pkcs12: increased the number of iterations for MAC

removed debugging info

several windows compilation fixes

gnutls.h: use _SYM_EXPORT to export other than function symbols

updated to libopts 5.18.3

updated gnulib

updated documentation for gnutls_pkcs12_simple_parse

master now holds the 3.4.0 release

Use pthread_atfork() and variants to detect fork

doc update

Added replacements of inet_aton and inet_pton on systems they are not present

gnulib is avoided due to keep the gnulib network replacements out of
the library.

Added text on PKCS #11 verification

removed comma at the end of enumerations

That patch allows compilers that don't support C99 syntax to
compile applications that use a header of gnutls. Report and
patch Ryan Schmidt.

check for sed in configure.ac and use the output variable in Makefiles

doc update

tests: dane: add flag DANE_F_IGNORE_LOCAL_RESOLVER to dane_state_init

That prevents unbound from complaining in systems where no
DNSSEC functionality is present.

doc update

tests: added libdane/includes to includes dir

released 3.3.6

Added missing functions

bumped library version

libdane: simplified initialization of variables.

libdane: bogus and secure values are always initialized in dane_query_to_raw_tlsa

tests: eliminated leak from dane check

libdane: use gnutls_malloc() and doc update

Added self test for DANE raw functions

danetool: added option to print the raw entries.

doc update

moved _gnutls_prf_raw to FIPS140 symbols

Added sanity check on padlock AES IV set.

fips140-2: Added _gnutls_prf_raw() which can calculate the TLS PRF without depending on a session structure.

fips140-2: do not check the libtasn1's integrity

RSA-PSK ciphersuites are only allowed in TLS 1.0.

That is because they implement the EncryptedPreMasterSecret encoding
according to RFC 4279, which uses the TLS 1.0 (RFC 2246) encoding,
and there can be ambiguities when using that over SSL 3.0.

See: http://lists.gnupg.org/pipermail/gnutls-help/2014-July/003546.html

gnutls_priority_init: set err_pos prior to any action

That allows a valid err_pos, even on a memory allocation
error. Reported by Dan Fandrich.

updated TODO

minimum version was changed to TLS 1.0 for ciphersuites with SHA2

These ciphersuites could not be used with SSL 3.0 that only defines
usage of MD5 or SHA1 MACs. Reported by Manuel Pegourie-Gonnard.

ignore CKR_CRYPTOKI_ALREADY_INITIALIZED when returned on reinitialization

tests: x509cert-tl checks gnutls_x509_trust_list_add_trust_dir()

doc update

doc update

Added gnutls_certificate_set_x509_trust_dir()

Added gnutls_x509_trust_list_add_trust_dir()

This essentially exports the functionality to read from a directory
with trusted certificates.

Allow specifying a directory as trust store

doc update

libdane: add function dane_query_to_raw_tlsa

This function converts a dane_query_t into the parameters needed for
dane_raw_tlsa() to make it easy to copy the results of the (synchronous)
lookup query from one process to another.

This code allocates an unnecessary extra NULL entry for dane_data_len
to avoid trying to malloc 0 bytes if q->data_entries is 0 (it is possible
for malloc/calloc to return NULL when requested to allocate 0 bytes).

Signed-off-by: Simon Arlott

FIPS140-2 tests: no need for MD5 check

FIPS140-2 tests: removed redundant checks

We keep on check per cipher which is required, and avoid multiple
(and time-consuming) tests.

Allow specifying GNUTLS_CPUID_OVERRIDE in either hex or decimal.

doc update

Added option to disable any cpu optimizations

simplified housekeeping of CPUID registers

Allow overriding the detected CPUID using the GNUTLS_CPUID_OVERRIDE environment variable

FIPS140-2 tests: Added pairwise consistency check for RSA encryption

FIPS140-2 tests: check with DSA-2048 and DSA-3072 bit keys, as well as SHA256.

FIPS140-2 tests: check with RSA-2048 and RSA-3072 bit keys

tests: check RSA with SHA256

FIPS140-2 mode: test whether RSA encrypted data differ from plaintext

FIPS140-2 mode: enforce the minimum GCM IV size required by SP800-38D (section 8.2)

doc update

p11tool/certtool: Added --curve parameter.

The curve parameter allows to explicitly specify the curve to use
when generating a key.

doc update

set CKA_EC_PARAMS when generating an ECDSA key

p11tool: only print warning about key sizes in RSA keys

p11tool: make brief output more brief

mpi: use zeroize_key() instead of memset()

dane: Skip DANE entries that may contain unknown info

That would allow skipping any future entries without failing.
Reported by Simon Arlott.

dane: Added sanity check in dane_verify_crt_raw()

That allows calling the function will an empty chain.
Reported by Simon Arlott.

examples: mention that gnutls_global_init() is optional

doc: mention and link to trust storage module

doc update

doc update

pkcs11: Removed length check of attribute as a sanity check for valid keys.

There can be keys where the id or label is empty and thus with zero length.

Increased number of attributes

doc update

try to restart on session errors, to avoid having a failed call.

corrected pkcs11 reinitialization

If we get a PKCS #11 session error, invalidate the cached session.

set the maximum value when printing library_description

On fork invalidate the PKCS #11 privkey cached session

doc update

p11tool: don't outsmart user and override login type

Unfortunately tokens vary on their requirements for writing trusted
and private objects, and there is no one-size fits all policy. Thus
allow a proper failure and warn the user that so-login may be required.

testpkcs11: Try to write the trusted object both by so-pin and normal pin

tests: testpkcs11: temp parameters are deleted after generation

bumped version

tests: added testpkcs11.sc-hsm

doc update

p11tool: use GNUTLS_PIN and GNUTLS_SO_PIN when setting the PINs of an initialized token.

tests: gendh: increased the DH prime size to allow usage under FIPS140-2 mode

tools: when in batch mode and no PIN, print a note about using the environment variables

tests: crq_key_id: increased generated DSA key size and changed hash to SHA256

That allows the test to operate under the FIPS140-2 mode.

tests: improved error reporting in crq_key_id

doc: properly terminate table

removed pbits=1024, qbits=160 from the acceptable bit sizes in FIPS140-2 DSA parameter generation.

doc update

doc update

tools: PIN callback will respect batch mode and will not ask for PIN.

p11tool: Ask for label if not specified.

Added --batch parameter to disable interaction.

p11tool: If there is only a single token available, don't bother complaining about specifying the correct URL

updated comment

doc update