updated for verification updates

Updated verification function

New option --stricttofu for gnutls-cli

With option --tofu, gnutls-cli waits with a yes-no-question upon
certificate changes.  I added the option --stricttofu that omits the
question and fails instead.

The contribution is in accordance to the "Developer's Certificate of
Origin" as found in the file doc/DCO.txt.

Best wishes
Jens

Signed-off-by: Jens Lechtenbörger <jens.lechtenboerger@fsfe.org>

moved priorities check to the first call only.

removed duplicate definition; reported by Dennis Philipps.

updated coding style

doc update

added cert

corrected check

combined timeout values

updated

doc update

When appending a name, ensure that we append to the end of the list.

use gnutls_free()

corrected email in texi

srp: Add resistance against guessing usernames

When a client tries to authenticate using an unknown username, instead of
generating a random salt every time, generate the salt based on the
username and a secret seed.

The seed is settable by the application, allowing servers to re-use the
same seed after a restart.

A random seed is generated for each newly allocated SRP server credentials
structure, meaning that applications not using the new API to set the seed
continue to work and gain limited advantage (because they use a different
seed after every restart).

For further information see section 2.5.1.3. in RFC 5054.

Signed-off-by: Attila Molnar <attilamolnar@hush.com>

small artistic changes

check against the success value

use bool types when needed.

ensure failure when parsing fails.

allow ip address as constraint

Added check for IPaddress

doc update

Added tests for name constraints addition.

better error printing

corrected empty name check

Updated test for name constraints to include empty constraints names.

pretty print empty DNSnames

_gnutls_x509_read_value() can now read empty values.

Allow empty names.

removed debugging

Added check for null

If alternative names are found, don't bother checking the DN.

Added tool to create a certificate chain

properly indent name constraints

_gnutls_parse_general_name2() will return the expected data

certtool allows setting name constraints.

removed false warnings

simplify names

Verify name constraints.

Added gnutls_x509_name_constraints_check_crt

This function will check name constraints against all the names
in a certificate.

Added support for e-mail constraints.

Added more constraints tests for unsupported structures.

Corrected check for present constraints in unsupported types.

fix small leak

When verifying a response and a signer isn't provided assume that the signer is the issuer.

When sending a nonce in OCSP check if it is available on the reply.

properly deinitialize name constraints structure.

Verify in example that the sent nonce matches the received nonce.

Reported by Benny Baumann.

Added missing file

priority string flag VERIFY_ALLOW_X509_V1_CA_CRT is now a dummy

reinitialize the handshake timers when gnutls_handshake() is called.

Improved DTLS rehandshake test to catch a timeout issue in handshake().

doc update

Allow multiple flags in gnutls_x509_crt_get_name_constraints()

Do not deinitialize the constraints structure when reading the constraints fails.

Allow appending name constraints.

Allow setting a non-critical name-constraints extension.

better checking of unsupported constraints.

doc update

Added support for name constraints X.509 extension.

This allows to generate and read the name constraints extension,
as well as check against the DNSNAME value.

depend on p11-kit 0.20.0 or later

changed names for clarity

Corrected bug in gnutls_pcert_list_import_x509_raw().

The bug caused gnutls_pcert_list_import_x509_raw() to crash if
gnutls_x509_crt_list_import() would fail with the provided data.
Reported by Dmitriy Anisimkov.

corrected suppressions file

do not mention GNUTLS_VERIFY_ALLOW_X509_V1_CA_CRT in documentation

removed deprecated flag

added Ted

Use pre-generated keys for self-tests.

set value to null after releasing

generate keys in the acceptable sizes in FIPS140 mode

generate 2048 bit keys in RSA mode

Added _gnutls_parse_general_name2()

ensure that _gnutls_x509_read_value works as documented.

ensure that the issuer in present in a trusted module.

removed flag GNUTLS_PKCS11_TOKEN_TRUSTED_UINT

Added flag GNUTLS_PKCS11_TOKEN_TRUSTED for gnutls_pkcs11_token_get_flags().

Use the GNUTLS_PKCS11_OBJ_FLAG_PRESENT_IN_TRUSTED_MODULE to ensure that only trusted modules are used.

Added flag GNUTLS_PKCS11_OBJ_FLAG_PRESENT_IN_TRUSTED_MODULE.

This flag can be used to ensure that the object request lies on
a marked as trusted PKCS #11 module. The marking is done on
p11-kit configuration.

mark trusted p11-kit modules as trusted.

fixed socket existance checking

If getaddrinfo returns: ipv4 address, ipv6 address ... and socket() for
the ipv6 address fails, this loop would fail and abort the socket listen
code.

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Applied part of Ted Zlatanov's patch.

Added test for pathlen constraints.

Added check for v1 intermediate CA certificate

Fix bug that prevented the rejection of v1 intermediate CA certificates.

Reported by Suman Jana.

removed unused function

doc update

Use longer timestamps for serial numbers.

updated indent cmd

corrected indent parameters

do not redefine the _gnutls_x86_cpuid_s symbol

Adjusted the security levels of PFS, SECURE128 and SECURE192 keywords.

reduced security levels of SECURE128 and SECURE192 strings.

only test libz if it is available

check errors from gnutls_priority_set_direct().

doc update

increased the interval between reading /dev/urandom

Sync with TP.

Added --ask-pass certtool option to allow asking for passwords even when in batch mode.

use newlines in error printing