gratuitious commit to let the git tree see this branch

 - (djm) Release openssh-6.5p1

trim entries prior to openssh-6.0p1

 - (djm) [configure.ac atomicio.c] Kludge around NetBSD offering
   different symbols for 'read' when various compiler flags are
   in use, causing atomicio.c comparisons against it to break and
   read/write operations to hang; ok dtucker

 - (djm) [configure.ac] Only check for width-specified integer types
   in headers that actually exist. patch from Tom G. Christensen;
   ok dtucker@

 - (djm) [configure.ac] Fix broken shell test '==' vs '='; patch from
   Tom G. Christensen

 - (tim) [regress/agent.sh regress/agent-ptrace.sh] Assign $? to a variable
   when used as an error message inside an if statement so we display the
   correct into. agent.sh patch from Petr Lautrbach.

 - (djm) [sshd.c] Use kill(0, ...) instead of killpg(0, ...); the
   latter being specified to have undefined behaviour in SUSv3;
   ok dtucker

 - (djm) [configure.ac] Search for inet_ntop in libnsl and libresovl;
   ok dtucker

 - (dtucker) [Makefile.in] Remove trailing backslash which some make
   implementations (eg older Solaris) do not cope with.

Welcome to 2014

 - (djm) [configure.ac] correct AC_DEFINE for previous.

  - (djm) [configure.ac sandbox-capsicum.c sandbox-rlimit.c] Disable
    RLIMIT_NOFILE pseudo-sandbox on FreeBSD. In some configurations,
    libc will attempt to open additional file descriptors for crypto
    offload and crash if they cannot be opened.

   - markus@cvs.openbsd.org 2014/01/25 20:35:37
     [kex.c]
     dh_need needs to be set to max(seclen, blocksize, ivlen, mac_len)
     ok dtucker@, noted by mancha

   - dtucker@cvs.openbsd.org 2014/01/25 10:12:50
     [cipher.c cipher.h kex.c kex.h kexgexc.c]
     Add a special case for the DH group size for 3des-cbc, which has an
     effective strength much lower than the key size.  This causes problems
     with some cryptlib implementations, which don't support group sizes larger
     than 4k but also don't use the largest group size it does support as
     specified in the RFC.  Based on a patch from Petr Lautrbach at Redhat,
     reduced by me with input from Markus.  ok djm@ markus@

 - (djm) [configure.ac] autoconf sets finds to 'yes' not '1', so test
   against the correct thing.

 - (djm) [configure.ac] Do not attempt to use capsicum sandbox unless
   sys/capability.h exists and cap_rights_limit is in libc. Fixes
   build on FreeBSD9x which provides the header but not the libc
   support.

 - (djm) [configure.ac] Fix detection of capsicum sandbox on FreeBSD

 - (djm) [Makefile.in regress/scp-ssh-wrapper.sh regress/scp.sh] Make
   the scp regress test actually test the built scp rather than the one
   in $PATH. ok dtucker@

 - (dtucker) [configure.ac] NetBSD's (and FreeBSD's) strnvis is gratuitously
   incompatible with OpenBSD's despite post-dating it by more than a decade.
   Declare it as broken, and document FreeBSD's as the same.  ok djm@

 - (tim) [session.c] Improve error reporting on set_id().

 - (djm) [configure.ac aclocal.m4] More tests to detect fallout from
   platform hardening options: include some long long int arithmatic
   to detect missing support functions for -ftrapv in libgcc and
   equivalents, actually test linking when -ftrapv is supplied and
   set either both -pie/-fPIE or neither. feedback and ok dtucker@

 - (djm) [configure.ac] Unless specifically requested, only attempt
   to build Position Independent Executables on gcc >= 4.x; ok dtucker

 - (djm) [openbsd-compat/setproctitle.c] Don't fail to compile if a
   platform that is expected to use the reuse-argv style setproctitle
   hack surprises us by providing a setproctitle in libc; ok dtucker

 - (djm) [aclocal.m4] Flesh out the code run in the OSSH_CHECK_CFLAG_COMPILE
   and OSSH_CHECK_LDFLAG_LINK tests to give them a better chance of
   detecting toolchain-related problems; ok dtucker

 - (tim) [platform.c session.c] Fix bug affecting SVR5 platforms introduced
   with sftp chroot support. Move set_id call after chroot.

 - (dtucker) [aclocal.m4] Differentiate between compile-time and link-time
   tests in the configure output.  ok djm.

 - (dtucker) [configure.ac] Make PIE a configure-time option which defaults
   to on platforms where it's known to be reliably detected and off elsewhere.
   Works around platforms such as FreeBSD 9.1 where it does not interop with
   -ftrapv (it seems to work but fails when trying to link ssh).  ok djm@

 - (djm) [regress/cert-hostkey.sh] Fix regress failure on platforms that
    skip one or more key types (e.g. RHEL/CentOS 6.5); ok dtucker@

- (dtucker) [gss-serv-krb5.c] Fall back to krb5_cc_gen_new if the Kerberos
   implementation does not have krb5_cc_new_unique, similar to what we do
   in auth-krb5.c.

   - djm@cvs.openbsd.org 2014/01/20 00:08:48
     [digest.c]
     memleak; found by Loganaden Velvindron @ AfriNIC; ok markus@

   - dtucker@cvs.openbsd.org 2014/01/19 11:21:51
     [addrmatch.c]
     Cast the sizeof to socklen_t so it'll work even if the supplied len is
     negative.  Suggested by and ok djm, ok deraadt.

   - djm@cvs.openbsd.org 2014/01/19 04:48:08
     [ssh_config.5]
     fix inverted meaning of 'no' and 'yes' for CanonicalizeFallbackLocal

   - dtucker@cvs.openbsd.org 2014/01/19 04:17:29
     [canohost.c addrmatch.c]
     Cast socklen_t when comparing to size_t and use socklen_t to iterate over
     the ip options, both to prevent signed/unsigned comparison warnings.
     Patch from vinschen at redhat via portable openssh, begrudging ok deraadt.

   - dtucker@cvs.openbsd.org 2014/01/18 09:36:26
     [session.c]
     explicitly define USE_PIPES to 1 to prevent redefinition warnings in
     portable on platforms that use pipes for everything.  From redhat @
     redhat.

   - dtucker@cvs.openbsd.org 2014/01/17 06:23:24
     [sftp-server.c]
     fix log message statvfs.  ok djm

 - (dtucker) [sandbox-capsicum.c] Correct some error messages and make the
   return value check for cap_enter() consistent with the other uses in
   FreeBSD.  From by Loganaden Velvindron @ AfriNIC via bz#2140.

 - (dtucker) [configure.ac] On Cygwin the getopt variables (like optargs,
   optind) are defined in getopt.h already.  Unfortunately they are defined as
   "declspec(dllimport)" for historical reasons, because the GNU linker didn't
   allow auto-import on PE/COFF targets way back when.  The problem is the
   dllexport attributes collide with the definitions in the various source
   files in OpenSSH, which obviousy define the variables without
   declspec(dllimport).  The least intrusive way to get rid of these warnings
   is to disable warnings for GCC compiler attributes when building on Cygwin.
   Patch from vinschen at redhat.com.

 - (dtucker) [openbsd-compat/bsd-cygwin_util.h] Add missing function
   declarations that stopped being included when we stopped including
   <windows.h> from openbsd-compat/bsd-cygwin_util.h.  Patch from vinschen at
   redhat.com.

 - (dtucker) [uidswap.c] Prevent unused variable warnings on Cygwin.  Patch
   from vinschen at redhat.com

 - (dtucker) [defines.h] Move our definitions of uintXX_t types down to after
   they're defined if we have to define them ourselves.  Fixes builds on old
   AIX.

 - (dtucker) [readconf.c] Wrap paths.h inside an ifdef.  Allows building on
   Solaris.

 - (dtucker) [configure.ac] Have --without-toolchain-hardening not turn off
   stack-protector since that has a separate flag that's been around a while.

 - (dtucker) [configure.ac] Also look in inttypes.h for uintXX_t types.

 - (dtucker) [openbsd-compat/bsd-statvfs.h] Only start including headers if we
   need them to cut down on the name collisions.

 - (dtucker) [configure.ac openbsd-compat/bsd-statvfs.c
   openbsd-compat/bsd-statvfs.h] Implement enough of statvfs on top of statfs
   to be useful (and for the regression tests to pass) on platforms that
   have statfs and fstatfs.  ok djm@

 - (dtucker) Fix typo in #ifndef.

 - (dtucker) [configure.ac digest.c openbsd-compat/openssl-compat.c
   openbsd-compat/openssl-compat.h]  Add compatibility layer for older
   openssl versions.  ok djm@

 - (djm) [Makefile.in configure.ac sandbox-capsicum.c sandbox-darwin.c]
   [sandbox-null.c sandbox-rlimit.c sandbox-seccomp-filter.c]
   [sandbox-systrace.c ssh-sandbox.h sshd.c] Support preauth sandboxing
   using the Capsicum API introduced in FreeBSD 10. Patch by Dag-Erling
   Smorgrav, updated by Loganaden Velvindron @ AfriNIC; ok dtucker@

   - dtucker@cvs.openbsd.org 2014/01/17 05:26:41
     [digest.c]
     remove unused includes.  ok djm@

   - djm@cvs.openbsd.org 2014/01/17 00:21:06
     [sftp-client.c]
     signed/unsigned comparison warning fix; from portable (Id sync only)

 - (dtucker) [configure.ac] Split AC_CHECK_FUNCS for OpenSSL functions into
   separate lines and alphabetize for easier diffing of changes.

 - (dtucker) [defines.h] Add typedefs for uintXX_t types for platforms that
   don't have them.

 - (dtucker) [openbsd-compat/bcrypt_pbkdf.c] Wrap stdlib.h include inside
   #ifdef HAVE_STDINT_H.

 - (dtucker) [blocks.c fe25519.c ge25519.c hash.c sc25519.c verify.c] Include
   includes.h to pull in all of the compatibility stuff.

 - (dtucker) [poly1305.c] Wrap stdlib.h include inside #ifdef HAVE_STDINT_H.

 - (dtucker) [crypto_api.h] Wrap stdlib.h include inside #ifdef HAVE_STDINT_H.

 - (dtucker) [loginrec.c] Cast to the types specfied in the format
    specification to prevent warnings.

 - (djm) [sftp-client.c] signed/unsigned comparison fix

 - (dtucker) [aclocal.m4 configure.ac] Add some additional compiler/toolchain
   hardening flags including -fstack-protector-strong.  These default to on
   if the toolchain supports them, but there is a configure-time knob
   (--without-hardening) to disable them if necessary.  ok djm@

 - (djm) [README] update release notes URL.

 - (djm) [contrib/caldera/openssh.spec contrib/redhat/openssh.spec]
   [contrib/suse/openssh.spec] Crank RPM spec version numbers.

   - djm@cvs.openbsd.org 2014/01/16 07:32:00
     [version.h]
     openssh-6.5

   - djm@cvs.openbsd.org 2014/01/16 07:31:09
     [sftp-client.c]
     needless and incorrect cast to size_t can break resumption of
     large download; patch from tobias@

   - djm@cvs.openbsd.org 2014/01/12 08:13:13
     [bufaux.c buffer.h kex.c kex.h kexc25519.c kexc25519c.c kexc25519s.c]
     [kexdhc.c kexdhs.c kexecdhc.c kexecdhs.c kexgexc.c kexgexs.c]
     avoid use of OpenSSL BIGNUM type and functions for KEX with
     Curve25519 by adding a buffer_put_bignum2_from_string() that stores
     a string using the bignum encoding rules. Will make it easier to
     build a reduced-feature OpenSSH without OpenSSL in the future;
     ok markus@

   - djm@cvs.openbsd.org 2014/01/10 05:59:19
     [sshd_config]
     the /etc/ssh/ssh_host_ed25519_key is loaded by default too

   - djm@cvs.openbsd.org 2014/01/09 23:26:48
     [sshconnect.c sshd.c]
     ban clients/servers that suffer from SSH_BUG_DERIVEKEY, they are ancient,
     deranged and might make some attacks on KEX easier; ok markus@

   - djm@cvs.openbsd.org 2014/01/09 23:20:00
     [digest.c digest.h hostfile.c kex.c kex.h kexc25519.c kexc25519c.c]
     [kexc25519s.c kexdh.c kexecdh.c kexecdhc.c kexecdhs.c kexgex.c kexgexc.c]
     [kexgexs.c key.c key.h roaming_client.c roaming_common.c schnorr.c]
     [schnorr.h ssh-dss.c ssh-ecdsa.c ssh-rsa.c sshconnect2.c]
     Introduce digest API and use it to perform all hashing operations
     rather than calling OpenSSL EVP_Digest* directly. Will make it easier
     to build a reduced-feature OpenSSH without OpenSSL in future;
     feedback, ok markus@

   - guenther@cvs.openbsd.org 2014/01/09 03:26:00
     [sftp-common.c]
     When formating the time for "ls -l"-style output, show dates in the future
     with the year, and rearrange a comparison to avoid a potentional signed
     arithmetic overflow that would give the wrong result.

     ok djm@

   - tedu@cvs.openbsd.org 2014/01/04 17:50:55
     [mac.c monitor_mm.c monitor_mm.h xmalloc.c]
     use standard types and formats for size_t like variables. ok dtucker

 - (djm) [regress/.cvsignore] Ignore regress test droppings; ok dtucker@

   - djm@cvs.openbsd.org 2013/12/30 23:52:28
     [auth2-hostbased.c auth2-pubkey.c compat.c compat.h ssh-rsa.c]
     [sshconnect.c sshconnect2.c sshd.c]
     refuse RSA keys from old proprietary clients/servers that use the
     obsolete RSA+MD5 signature scheme. it will still be possible to connect
     with these clients/servers but only DSA keys will be accepted, and we'll
     deprecate them entirely in a future release. ok markus@

 - (djm) [regress/Makefile] Add some generated files for cleaning

   - djm@cvs.openbsd.org 2013/12/29 05:57:02
     [sshconnect.c]
     when showing other hostkeys, don't forget Ed25519 keys

   - djm@cvs.openbsd.org 2013/12/29 05:42:16
     [ssh.c]
     don't forget to load Ed25519 certs too

   - djm@cvs.openbsd.org 2013/12/29 04:35:50
     [authfile.c]
     don't refuse to load Ed25519 certificates

   - djm@cvs.openbsd.org 2013/12/29 04:29:25
     [authfd.c]
     allow deletion of ed25519 keys from the agent

   - djm@cvs.openbsd.org 2013/12/29 04:20:04
     [key.c]
     to make sure we don't omit any key types as valid CA keys again,
     factor the valid key type check into a key_type_is_valid_ca()
     function

   - djm@cvs.openbsd.org 2013/12/29 02:49:52
     [key.c]
     correct comment for key_drop_cert()

   - djm@cvs.openbsd.org 2013/12/29 02:37:04
     [key.c]
     correct comment for key_to_certified()

   - djm@cvs.openbsd.org 2013/12/29 02:28:10
     [key.c]
     allow ed25519 keys to appear as certificate authorities

   - djm@cvs.openbsd.org 2013/12/27 22:37:18
     [ssh-rsa.c]
     correct comment

   - djm@cvs.openbsd.org 2013/12/27 22:30:17
     [ssh-dss.c ssh-ecdsa.c ssh-rsa.c]
     make the original RSA and DSA signing/verification code look more like
     the ECDSA/Ed25519 ones: use key_type_plain() when checking the key type
     rather than tediously listing all variants, use __func__ for debug/
     error messages

   - tedu@cvs.openbsd.org 2013/12/21 07:10:47
     [ssh-keygen.1]
     small typo

   - djm@cvs.openbsd.org 2013/12/19 22:57:13
     [poly1305.c poly1305.h]
     use full name for author, with his permission

   - djm@cvs.openbsd.org 2013/12/19 01:19:41
     [ssh-agent.c]
     bz#2186: don't crash (NULL deref) when deleting PKCS#11 keys from an agent
     that has a mix of normal and PKCS#11 keys; fix from jay AT slushpupie.com;
     ok dtucker

   - djm@cvs.openbsd.org 2013/12/19 01:04:36
     [channels.c]
     bz#2147: fix multiple remote forwardings with dynamically assigned
     listen ports. In the s->c message to open the channel we were sending
     zero (the magic number to request a dynamic port) instead of the actual
     listen port. The client therefore had no way of discriminating between
     them.

     Diagnosis and fix by ronf AT timeheart.net

   - djm@cvs.openbsd.org 2013/12/19 00:27:57
     [auth-options.c]
     simplify freeing of source-address certificate restriction

   - dtucker@cvs.openbsd.org 2013/12/19 00:19:12
     [serverloop.c]
     Cast client_alive_interval to u_int64_t before assinging to
     max_time_milliseconds to avoid potential integer overflow in the timeout.
     bz#2170, patch from Loganaden Velvindron, ok djm@

   - djm@cvs.openbsd.org 2013/12/19 00:10:30
     [ssh-add.c]
     skip requesting smartcard PIN when removing keys from agent; bz#2187
     patch from jay AT slushpupie.com; ok dtucker

 - (djm) [loginrec.c] Check for username truncation when looking up lastlog
   entries

20131221
 - (dtucker) [regress/keytype.sh] Actually test ecdsa key types.

 - (dtucker) [auth-pam.c] bz#2163: check return value from pam_get_item().
   Patch from Loganaden Velvindron.

 - (dtucker) [configure.ac] bz#2178: Don't try to use BSM on Solaris versions
   greater than 11 either rather than just 11.  Patch from Tomas Kuthan.

   - markus@cvs.openbsd.org 2013/12/17 10:36:38
     [crypto_api.h]
     I've assempled the header file by cut&pasting from generated headers
     and the source files.

   - djm@cvs.openbsd.org 2013/12/15 21:42:35
     [cipher-chachapoly.c]
     add some comments and constify a constant

   - pascal@cvs.openbsd.org 2013/12/15 18:17:26
     [ssh-add.c]
     Make ssh-add also add .ssh/id_ed25519; fixes lie in manual page.
     ok markus@

   - markus@cvs.openbsd.org 2013/12/09 11:08:17
     [crypto_api.h]
     remove unused defines

   - markus@cvs.openbsd.org 2013/12/09 11:03:45
     [blocks.c ed25519.c fe25519.c fe25519.h ge25519.c ge25519.h]
     [ge25519_base.data hash.c sc25519.c sc25519.h verify.c]
     Add Authors for the public domain ed25519/nacl code.
     see also http://nacl.cr.yp.to/features.html
        All of the NaCl software is in the public domain.
     and http://ed25519.cr.yp.to/software.html
        The Ed25519 software is in the public domain.

   - dtucker@cvs.openbsd.org 2013/12/08 09:53:27
     [sshd_config.5]
     Use a literal for the default value of KEXAlgorithms.  ok deraadt jmc