Wrap vec-push function in src/socket.c

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Merge branch 'tmp-fix-pha-pkcs11-test' into 'master'

tests: fix race condition in tls13/post-handshake-with-cert-pkcs11

See merge request gnutls/gnutls!977

tests: fix race condition in tls13/post-handshake-with-cert-pkcs11

The test had a strange setup of server/client processes: the server
runs in a child process and the client runs in a parent process.  The
intention behind this was to detect softhsm availability in the parent
process and exit with 77 if missing.  However, there was a potential
race when the server exits and proceeds to the next call of start().

This fixes the process setup and moves the softhsm detection at the
program startup.

Signed-off-by: Daiki Ueno <dueno@redhat.com>

Merge branch 'guile' into 'master'

build: allow override guile system location

Closes #748

See merge request gnutls/gnutls!968

Merge branch 'tmp-check-even' into 'master'

Pass CI commit check if branches are 'even'

See merge request gnutls/gnutls!975

build: rename guile variables to match upstream names

Reduce confusion between the upstream terms and the gnutls terms.

Signed-off-by: Alon Bar-Lev <alon.barlev@gmail.com>

build: allow override guile system location

guile has three settings acquired from system:
* GUILE_SITE
* GUILE_SITE_CCACHE
* GUILE_EXTENSION

The <guile-2.2 m4 macro exposed only GUILE_SITE while build tried to guess the
other variables based on the $libdir of the gnutls which may be different.

The >=guile-2.2 m4 macro provides all settings for build to use as default,
while allowing to override each.

Resolves: #748
Signed-off-by: Alon Bar-Lev <alon.barlev@gmail.com>

Pass CI commit check if branches are 'even'

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Merge branch 'tests' into 'master'

tests: cert-tests: crl: cleanup files

See merge request gnutls/gnutls!973

tests: cert-tests: crl: cleanup files

Signed-off-by: Alon Bar-Lev <alon.barlev@gmail.com>

Merge branch 'ci' into 'master'

ci: refresh the cache due to failures in debian

See merge request gnutls/gnutls!974

ci: refresh the cache due to failures in debian

Signed-off-by: Alon Bar-Lev <alon.barlev@gmail.com>

Merge branch 'tmp-include-unit-testing-doc' into 'master'

CONTRIBUTING.md: document unit testing method of internal functions [ci skip]

Closes #749

See merge request gnutls/gnutls!971

CONTRIBUTING.md: document unit testing method of internal functions [ci skip]

Resolves: #749

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Merge branch 'tmp-client-auth-decline' into 'master'

cert auth: reject auth if no signature algorithm is usable in TLS 1.3

Closes #730

See merge request gnutls/gnutls!967

tests: add post-handshake auth test using PKCS#11 token

This adds a test that exercise the client's auth rejection logic,
using the RSA-PSS disabled PKCS #11 token.

Signed-off-by: Daiki Ueno <dueno@redhat.com>

tests: add mock PKCS#11 module disabling RSA-PSS

This adds libpkcs11mock2.so, which wraps SoftHSM but filters out the
use of the CKM_RSA_PKCS_PSS mechanism.  That way we can simulate the
situation where the certificate is RSA while the private key cannot be
used for RSA-PSS.

Signed-off-by: Daiki Ueno <dueno@redhat.com>

Merge branch 'tmp-cmac-cfb8-fix' into 'master'

nettle: include config.h before checking for definitions

See merge request gnutls/gnutls!970

nettle: include config.h before checking for definitions

This makes sure that we don't include the internal backport
if compiled with a version of nettle that includes that code.
We also exclude nettle/backport from the static analyzer's list
as it contains files outside our control (from nettle project).

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Merge branch 'master' into 'master'

[OSCP] Fix : null pointer resp

See merge request gnutls/gnutls!969

gnutls_memset(): calling explicit_bzero() is enough to zero-fill a buffer

If we use explicit_bzero() to zero-fill a buffer in gnutls_memset() we
don't need to zero it again via a volatile trick later in this function.

Signed-off-by: Maciej S. Szmigiero <mail@maciej.szmigiero.name>

[OSCP] Fix : null pointer resp

Signed-off-by: Elta Koepp <elta_koepp@gmail.com>

cert auth: reject auth if no signature algorithm is usable in TLS 1.3

Previously, when there is no overlap between usable signature
algorithms and the "signature_algorithms" extension in Certificate
Request, the client failed in sending Certificate Verify, followed by
a connection close.  In TLS 1.3, it is possible to keep the connection
but reject the authentication by not sending Certificate Verify.

Signed-off-by: Daiki Ueno <dueno@redhat.com>

handshake: remove unnecessary HSK_CRT_SENT flag

Previously, while the flag HSK_CRT_SENT was checked in
_gnutls13_send_certificate_verify, the flag was never set anywhere.

Signed-off-by: Daiki Ueno <dueno@redhat.com>

.gitlab-ci.yml: do not run commit-check on master branch

That is, because there are no diffs to check.

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

Merge branch 'check_if_signed' into 'master'

Fix check_if_signed

See merge request gnutls/gnutls!964

Fix check_if_signed

Fix the target branch we check against by adding upstream as remote.

Drop the use of set -e as this causes the shell to immediately exit on
errors instead of allowing the code to check the failure and report what
it faled about.

Also print which commits are being checked and what information was found
so that a CI failure can be better diagnosed.

Signed-off-by: Simo Sorce <simo@redhat.com>

doc update [ci skip]

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Vendor in XTS functionality from Nettle

If nettle's XTS is not available, use a vendored in version from master.
This is necessary as long as we need to link against 3.4 for ABI
compatibility reasons.

Signed-off-by: Simo Sorce <simo@redhat.com>

fuzz: improvements in gnutls_x509_verify_fuzzer [ci skip]

Added a larger set of corpus (generated with afl-fuzz), and made
sure that the fuzzer application crashes if verification succeeds.

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Merge branch 'tmp-fail-sigcheck' into 'master'

Let check_if_signed fail if git fails

See merge request gnutls/gnutls!962

Let check_if_signed fail if git fails

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Merge branch 'master' into 'master'

Detect malloc failure.

See merge request gnutls/gnutls!960

Update ocsptool-common.c

Detect malloc failure.

malloc(data.size + 1) maybe returns NULL on failure.

released 3.6.7

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

handshake: add missing initialization of local variable

Resolves: #704

Signed-off-by: Daiki Ueno <dueno@redhat.com>
Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

fuzz: added fuzzer for certificate verification

This also adds a reproducer for CVE-2019-3829.

Resolves: #694

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

Merge branch 'sha3_selftests' into 'master'

fips140: Perform SHA-3 self tests

See merge request gnutls/gnutls!958

bumped version

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

Merge branch 'tmp-increase-nr-of-tickets' into 'master'

handshake: increase the default number of tickets we send to 2

Closes #596

See merge request gnutls/gnutls!942

fips140: Perform SHA-3 self tests

It is required to perform the self tests to validate SHA-3
implementation.

Signed-off-by: Anderson Toshiyuki Sasaki <ansasaki@redhat.com>

Merge branch 'tmp-security-update' into 'master'

SECURITY.md: updated to reflect the current practice

See merge request gnutls/gnutls!951

Merge branch 'guile' into 'master'

configure.ac: remove --with-guile-site-dir

See merge request gnutls/gnutls!957

tools: removed unused code

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

gnutls-cli: Fix output with option "--logfile"

The X.509 connection would still print informational message to the
stdout by default. Move that output to logfile and add x509 functionality
test in the test suite.

Signed-off-by: Ke Zhao <kzhao@redhat.com>

configure.ac: remove --with-guile-site-dir

The hack of distcheck is not known and should not be the default as the
GUILE_SITE_DIR macro is the default expected behavior.

There is little value in specifying any other location of the site-dir as it
is out of the guile configuration so best to remove.

Signed-off-by: Alon Bar-Lev <alon.barlev@gmail.com>

Merge branch 'tmp-improve-session-resumption' into 'master'

Improved estimation of wait in gnutls_session_get_data2

Closes #706

See merge request gnutls/gnutls!936

_x509_en/decode_provable_seed: clarified purpose of functions [ci skip]

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

handshake: increase the default number of tickets we send to 2

This makes it easier for clients which perform multiple connections
to the server to use the tickets sent by a default server. That's
because 2 tickets allow for 2 new connections (if one is using each
ticket once as recommended), which in turn lead to 4 new and so on.

Resolves: #596

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

Merge branch 'tmp-fix-pkcs11-so' into 'master'

pkcs11: security officer login implies writable session

Closes #721

See merge request gnutls/gnutls!953

Improved estimation of wait in gnutls_session_get_data2

Previously we would wait an arbitrary value of 50ms for the
server to send session tickets. This change makes the client
wait for the estimated single trip time + 60 ms for the server
to calculate the session tickets. This improves the chance
to obtain tickets from internet servers during the call of
gnutls_session_get_data2().

Resolves: #706

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Merge branch 'tmp-remove-fixme' into 'master'

Removed all FIXME comments in code

See merge request gnutls/gnutls!955

doc update

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

gnutls-cli: Add option "--logfile" to redirect information message output

First, add an option "--logfile" so user could choose a specific file to
store all the informational messages. In some cases, informational
messages may cause unexpected result if the output is standard output.

With this option, user could redirect these messages to a specific
file. This will be helpful in testing and tracking.

Second, replace printf() function with log_msg() function

This log_msg() function is used when "--logfile" is enabled.

Third, add a functionality test for "--logfile" option

Add a test script to test if "--logfile" option works as it should be.

Signed-off-by: Ke Zhao <kzhao@redhat.com>

Removed all FIXME comments in code [ci skip]

We expand informational comments on limitations, but with removing
FIXME (keyword didn't help fixing these), and remove completely unhelpful
comments, obsolete ones, or comments about ideas.

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

pkcs11: security officer login implies writable session

According to the PKCS#11 v2.30, 6.7.1 there are no read-only Security Officer
sessions.

Resolves: #721

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

Merge branch 'tmp-use-https' into 'master'

Change HTTP:// references to HTTPs:// (generally)

See merge request gnutls/gnutls!910

Merge branch 'inet_ntop' into 'master'

inet_ntop is available in Windows but not via arpa/inet.h

See merge request gnutls/gnutls!947

inet_ntop is available in Windows but not via arpa/inet.h

It's found in ws2tcpip.h which is already included in gnutls_int.h

arpa/inet.h doesn't exist on Windows, so add arpa_inet to the list of headers
replaced by gnulib if not found.

Signed-off-by: Steve Lhomme <robux4@ycbcr.xyz>

Update the GNU Free Documentation License (FDL)

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Fix URL of ABI compliance checker

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Fix URLs of p11-kit

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Use https:// in lib/, src/, and m4/

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Use https:// for arbitrary files #1

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Use https:// for www.iana.org

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Use https:// for csrc.nist.gov

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Use https:// for www.gnu.org and www.example.com

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

.gitlab-ci.yml: updated cache key name

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

Merge branch 'tmp-test-certtool' into 'master'

tests: verify that 'certtool -i --outder' does not output text

Closes #627

See merge request gnutls/gnutls!952

tests: verify that 'certtool -i --outder' does not output text

A common regression in the past, was certtool outputting text while
writing raw DER data. Ensure that the certificate-info option does not
regress.

Resolves: #627

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Merge branch 'tmp-remove-doc-cyclo' into 'master'

doc: removed cyclo subdir

Closes #727

See merge request gnutls/gnutls!950

SECURITY.md: updated to reflect the current practice [ci skip]

This change updates the SECURITY guidelines to reflect the current
practice (no special security releases), and thus refer directly
to the upcoming or following release. Furthermore, it removes
any mention of absolute time, as the release cadence is already
fixed to bi-monthly.

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

doc: removed cyclo subdir

This directory had a makefile which was intended to calculate the cyclomatic
complexity, however that was not functional, and not related with gnutls'
documentation.

Resolves: #727

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

NEWS: fix NEWS entries [ci skip]

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Merge branch 'tmp-explicit-sanity-checks' into 'master'

cleanup: _gnutls_recv_handshake: added explicit sanity checks

See merge request gnutls/gnutls!937

Merge branch 'tmp-cert-req' into 'master'

TLS 1.3: utilize "certificate_required" alert

Closes #715

See merge request gnutls/gnutls!946

tls13/certificate: utilize "certificate_required" alert

This could make errors more distinguishable when the client sends no
certificates or a bad certificate.

Signed-off-by: Daiki Ueno <dueno@redhat.com>

Merge branch 'tmp-fix-cli-starttls-xmpp' into 'master'

gnutls-cli: Fix --starttls-proto=xmpp

Closes #697

See merge request gnutls/gnutls!911

Merge branch 'lgtm-analysis' into 'master'

Create .lgtm.yml for LGTM.com C/C++ analysis

See merge request gnutls/gnutls!945

Merge branch 'tmp-doc-update-iv' into 'master'

Improve documentation for gnutls_cipher_get_iv_size and AEAD ciphers

Closes #717

See merge request gnutls/gnutls!941

alert: recognize "certificate_required"

This may be sent if the server received an empty Certificate message.

Signed-off-by: Daiki Ueno <dueno@redhat.com>

Merge branch 'fix_fips_lib_name' into 'master'

Fix FIPS integrity self tests

See merge request gnutls/gnutls!873

.gitlab-ci.yml: Test FIPS HMAC self-test

This enables the integrity self-tests in FIPS140 test build.

Signed-off-by: Anderson Toshiyuki Sasaki <ansasaki@redhat.com>

fips140: Ignore newlines read at the end of HMAC file

This makes the integrity check to ignore newlines appended after the
HMAC value.

Signed-off-by: Anderson Toshiyuki Sasaki <ansasaki@redhat.com>

fips140: Fix the names of files used in integrity checks

The names of the libraries haven't been updated when the soname version
were bumped.

Signed-off-by: Anderson Toshiyuki Sasaki <ansasaki@redhat.com>

Merge branch 'tmp-false-start-clarifications' into 'master'

Fixed operation under multiple threads

Closes #713

See merge request gnutls/gnutls!935

Merge branch 'update-bootstrap' into 'master'

Update ./bootstrap from latest gnulib

See merge request gnutls/gnutls!943

Create .lgtm.yml for LGTM.com C/C++ analysis

Signed-off-by: Bas van Schaik <gitlab.com@s.traiectum.net>

.gitlab-ci.yml: added thread sanitizer run

This checks for unsafe uses of variables in our included threaded
tests.

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

Protected _gnutls_epoch_get from _gnutls_epoch_gc on false start

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

gnutls_record_send2: try to ensure integrity of operations on false and early start

This adds a double check in the sanity check of gnutls_record_send2()
for the initial_negotiation_completed value, making sure that the
check will be successful even in parallel operation of send/recv.

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

mini-dtls-pthread: renamed and fixed several shortcomings

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Make false start and early start multi-thread recv/send safe

An application that is sending and receiving from different threads
after handshake is complete cannot take advantage of false start because
gnutls_record_send2() detects operations during the handshake process
as invalid.

Because in early start and false start the remaining handshake process needs
only to receive data, and the sending side is already set-up, this error
detection is bogus. With this patch we remove it.

Resolves: #713

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

doc: added more information on operation under multiple threads

Relates: #713

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

Update ./bootstrap from latest gnulib

Signed-off-by: Tim Rühsen <tim.ruehsen@gmx.de>

Clarifications on AEAD ciphers

Relates: #716

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

Improve documentation for gnutls_cipher_get_iv_size

This clarifies what is returned and what is to be expected on algorithms
with variable IV sizes.

Resolves: #717

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>

Merge branch 'tmp-token-modname-clarifications' into 'master'

pkcs11: clarify GNUTLS_PKCS11_TOKEN_MODNAME presence [ci skip]

Closes #633

See merge request gnutls/gnutls!938

pkcs11: clarify GNUTLS_PKCS11_TOKEN_MODNAME presence [ci skip]

Resolves: #633

Signed-off-by: Nikos Mavrogiannopoulos <nmav@redhat.com>