Added gnutls_x509_crt_get_extension_by_oid2() and gnutls_x509_crq_get_extension_by_oid2()

Added gnutls_x509_trust_list_verify_purpose_crt()

tpmtool: corrected key password read

set umask prior to calling mkstemp

initialize verification output to zero

dtls: when discarding packet, discard the correct number of bytes

check_ip: initialize ret

gnutls_tpm_privkey_generate: initialize input values to null to prevent any issue

do not dereference find_data->p_list in pkcs11 callback

corrected issue in fips RNG

added comment to clarify check

opencdk: corrected unsigned comparison

fixes in loop for SRK password input

apps: corrected GNUTLS_PIN reading

gnutls_x509_trust_list_add_trust_dir: corrected CRL loading error

certtool: corrected copy+paste error

tests: simply valgrind suppressions for libidn

use random ports in tests, unless a port is provided

corrected usage of readdir_r()

ocsptool: better error message

reentrant fixes for gnutls_x509_trust_list_add_trust_dir() handle unknown file types

doc update

optimized escaped comma handling

require libtasn1 3.9 or later

That is because of the ocsp fix.

tests: extended crq API checks

doc update

when setting a DN properly handle spaces and escaped commas

simplified _gnutls_x509_get_signed_data()

The get_raw_dn() functions were modified to work even if the certificate is generated (not imported)

Disallow zero fragments in DTLS for packets which have data.

Reported by Manuel Pégourié-Gonnard.

tests: Check the behavior of a DTLS server in a low-mtu scenario.

http://permalink.gmane.org/gmane.network.gnutls.general/3582

steal openconnect's vasprintf() implementation

corrected bundled vasprintf(); reported by Jeff Lee

updated libtasn1

tests: Added tests on the invalid OCSP response

fips140: check the integrity of GMP

when comparing an end-certificate with the trusted list compare the entire certificate

tests: Added test for amazon.com chain with new verisign CA.

when comparing a CA certificate with the trusted list compare the name and key

That is to handle cases where a CA certificate was superceded by a different
one with the same name and the same key. That can happen when an intermediate
CA certificate is replaced by a self-signed one.

perform the FIPS140-2 self tests in two rounds

One round is before the AES acceleration is registered, and the second
is after. That is to allow testing of the AES implementation used in the
DRBG. That is a hack until nettle handles all cipher acceleration.

name constraints: do not check CN when a DNSname is available

drbg-aes: added checks in the error handling of the functions

That coverts the instantiate and generation functions.

fips140: fail on encryption test failure

drbg-aes: if the continuous test fails, put the library into error state

small doc updates

doc: fixes in sectioning for p11tool and tpmtool invocation

alpn: fix version documentation

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

p11tool: allow printing multiple types of tokens

remove text not applicable in that version

refer to rfc6125

additional sanity check in RSA key generation testing in FIPS-140-2 mode

The encrypted data are checked to differ from the plaintext, to prevent
any issues with an accidental null encryption.

when in FIPS140-2 mode switch the library to error state if key generation fails

avoid new allocations and keep a pointer to the DER data for DN

when importing a CRL keep the DER data

when importing a certificate, keep the DER data

doc update

added configuration option --disable-padlock

That allows keeping hardware acceleration in x86 but without
support for padlock.

Revert "updated asm sources"

This reverts commit 97895066e18abc5689ede9af1a463539ea783e90.

p11tool: when listing tokens, list their type as well

hide _gnutls_x86_cpuid_s

updated asm sources

gnutls_pkcs11_obj_list_import_url2() will import data in a single pass

tests: added more idna valgrind suppressions

pkcs11: when reading PKCS #11 objects, read multiple objects at a time

That improves the performance significantly when reading
from tokens with a significant number of objects. Reported
by David Woodhouse.

pkcs11: do not fail the entire operation if a single object cannot be imported

pkcs11: allow objects without label or without ID

tests: updated name constraints checks to not include a CN

Revert "tests: Added a nameconstraints test based on the CN bypass" The bypass check was included in chainverify.

This reverts commit c9417bcc0614aaa2668486d294f5759b4082a23a.

doc update

only check name constraints in non-CA certificates

ignore constraints for different type than the checked

tests: Added a nameconstraints test based on the CN bypass

That was discussed in:
http://permalink.gmane.org/gmane.comp.encryption.openssl.devel/26660

when verifying name constrains enforce the single CN rule

cross.mk: compile gnutls without p11-kit by default

cross.mk: do not delete the pkgconfig directory

Added Alon's DCO link

check for stdnoreturn.h presence

build: tests: x509cert-tl: support separate builddir

Signed-off-by: Alon Bar-Lev <alon.barlev@gmail.com>

build: condition pkcs11 block

Signed-off-by: Alon Bar-Lev <alon.barlev@gmail.com>

record: tolerate a finished packet with errors in DTLS

record: in DTLS discard only messages that cause unexpected packet errors

tests: suppress more libidn warnings

danetool: ensure the temporary file is always removed

the server_name extension will convert input and output names to IDNA.

tools: use idna_to_ascii_8z() to convert internationalized hostnames

hostname-verify: use idn_free()

doc update

prevent 1024-bit DSA parameter generation only when FIPS-mode is enabled.

Revert "removed pbits=1024, qbits=160 from the acceptable bit sizes in FIPS140-2 DSA parameter generation."

This reverts commit 110527d9bb9ca70a66ae8173769067f133fd3cf7.

use the windows API in windows even if iconv is available

win32: updated Makefile and added the ability build openconnect

check for the correct version of libidn

tests: Added case sensitive checks in hostname verification

tests: copied valgrind suppressions to suite

updated libtasn1

tests: suppress valgrind warnings due to libidn

doc update

gnutls_x509_crt_print() will print the IDNA A-label names as well.

tests: added UTF-8 hostname comparison checks

Added support for RFC6125 hostname comparison

That adds the dependency on libidn.