libdane: use gnutls_malloc() and doc update

Added self test for DANE raw functions

danetool: added option to print the raw entries.

doc update

moved _gnutls_prf_raw to FIPS140 symbols

Added sanity check on padlock AES IV set.

fips140-2: Added _gnutls_prf_raw() which can calculate the TLS PRF without depending on a session structure.

fips140-2: do not check the libtasn1's integrity

RSA-PSK ciphersuites are only allowed in TLS 1.0.

That is because they implement the EncryptedPreMasterSecret encoding
according to RFC 4279, which uses the TLS 1.0 (RFC 2246) encoding,
and there can be ambiguities when using that over SSL 3.0.

See: http://lists.gnupg.org/pipermail/gnutls-help/2014-July/003546.html

gnutls_priority_init: set err_pos prior to any action

That allows a valid err_pos, even on a memory allocation
error. Reported by Dan Fandrich.

updated TODO

minimum version was changed to TLS 1.0 for ciphersuites with SHA2

These ciphersuites could not be used with SSL 3.0 that only defines
usage of MD5 or SHA1 MACs. Reported by Manuel Pegourie-Gonnard.

ignore CKR_CRYPTOKI_ALREADY_INITIALIZED when returned on reinitialization

tests: x509cert-tl checks gnutls_x509_trust_list_add_trust_dir()

doc update

doc update

Added gnutls_certificate_set_x509_trust_dir()

Added gnutls_x509_trust_list_add_trust_dir()

This essentially exports the functionality to read from a directory
with trusted certificates.

Allow specifying a directory as trust store

doc update

libdane: add function dane_query_to_raw_tlsa

This function converts a dane_query_t into the parameters needed for
dane_raw_tlsa() to make it easy to copy the results of the (synchronous)
lookup query from one process to another.

This code allocates an unnecessary extra NULL entry for dane_data_len
to avoid trying to malloc 0 bytes if q->data_entries is 0 (it is possible
for malloc/calloc to return NULL when requested to allocate 0 bytes).

Signed-off-by: Simon Arlott

FIPS140-2 tests: no need for MD5 check

FIPS140-2 tests: removed redundant checks

We keep on check per cipher which is required, and avoid multiple
(and time-consuming) tests.

Allow specifying GNUTLS_CPUID_OVERRIDE in either hex or decimal.

doc update

Added option to disable any cpu optimizations

simplified housekeeping of CPUID registers

Allow overriding the detected CPUID using the GNUTLS_CPUID_OVERRIDE environment variable

FIPS140-2 tests: Added pairwise consistency check for RSA encryption

FIPS140-2 tests: check with DSA-2048 and DSA-3072 bit keys, as well as SHA256.

FIPS140-2 tests: check with RSA-2048 and RSA-3072 bit keys

tests: check RSA with SHA256

FIPS140-2 mode: test whether RSA encrypted data differ from plaintext

FIPS140-2 mode: enforce the minimum GCM IV size required by SP800-38D (section 8.2)

doc update

p11tool/certtool: Added --curve parameter.

The curve parameter allows to explicitly specify the curve to use
when generating a key.

doc update

set CKA_EC_PARAMS when generating an ECDSA key

p11tool: only print warning about key sizes in RSA keys

p11tool: make brief output more brief

mpi: use zeroize_key() instead of memset()

dane: Skip DANE entries that may contain unknown info

That would allow skipping any future entries without failing.
Reported by Simon Arlott.

dane: Added sanity check in dane_verify_crt_raw()

That allows calling the function will an empty chain.
Reported by Simon Arlott.

examples: mention that gnutls_global_init() is optional

doc: mention and link to trust storage module

doc update

doc update

pkcs11: Removed length check of attribute as a sanity check for valid keys.

There can be keys where the id or label is empty and thus with zero length.

Increased number of attributes

doc update

try to restart on session errors, to avoid having a failed call.

corrected pkcs11 reinitialization

If we get a PKCS #11 session error, invalidate the cached session.

set the maximum value when printing library_description

On fork invalidate the PKCS #11 privkey cached session

doc update

p11tool: don't outsmart user and override login type

Unfortunately tokens vary on their requirements for writing trusted
and private objects, and there is no one-size fits all policy. Thus
allow a proper failure and warn the user that so-login may be required.

testpkcs11: Try to write the trusted object both by so-pin and normal pin

tests: testpkcs11: temp parameters are deleted after generation

bumped version

tests: added testpkcs11.sc-hsm

doc update

p11tool: use GNUTLS_PIN and GNUTLS_SO_PIN when setting the PINs of an initialized token.

tests: gendh: increased the DH prime size to allow usage under FIPS140-2 mode

tools: when in batch mode and no PIN, print a note about using the environment variables

tests: crq_key_id: increased generated DSA key size and changed hash to SHA256

That allows the test to operate under the FIPS140-2 mode.

tests: improved error reporting in crq_key_id

doc: properly terminate table

removed pbits=1024, qbits=160 from the acceptable bit sizes in FIPS140-2 DSA parameter generation.

doc update

doc update

tools: PIN callback will respect batch mode and will not ask for PIN.

p11tool: Ask for label if not specified.

Added --batch parameter to disable interaction.

p11tool: If there is only a single token available, don't bother complaining about specifying the correct URL

updated comment

doc update

certtool: document that URLs are supported

p11tool: document GNUTLS_SO_PIN env variable

tests: improved testpkcs11 suite

gnutls_pkcs11_privkey_generate2(): corrected public key extraction (for ECDSA keys)

p11tool/certtool: use GNUTLS_SO_PIN for reading security officer's PIN

p11tool: added options --set-pin and --set-so-pin

These allow for an non-interactive --initialize process.

Added explicit documentation on IPv4 and IPv6 address matching.

tests: long-session-id: ignore SIGPIPE

doc: Added text on upgrading to 3.3.x from 3.2.x

do not exit the loop in case a name doesn't fit into our buffer.

when verifying an IP, also verify it as a hostname

There are several misconfigured servers that placed their IP
as a DNS name. Pointed out by David Woodhouse.

supress warnings

doc update

check of inet_pton instead for AF_INET6

Use inet_ntop() for printing IP addresses.

The old dumb code is used in systems that don't have that function.

tests: Added test cases for IPv4/6 matching.

gnutls_x509_crt_check_hostname() checks text ip addresses as well.

That aligns the documentation with the implementation. Reported by David Woodhouse.

initialize str to NULL

fixed documentation

tests: better replacement of LIBTOOL variable in scripts

tests: ship certs/

added new symbols

bumped version

gnutls-serv: removed the --print-cert option; the cert was anyway being printed.