charon-tkm: Remove useless checks when deriving IKE keys

charon-tkm: Delegate encryption/decryption of IKE traffic to TKM

Co-authored-by: Tobias Brunner <tobias@strongswan.org>

pkcs11: Change how unavailable attributes like CKA_TRUSTED are handled

If a PKCS#11 library/token doesn't provide one or more attributes via
C_GetAttributeValue(), we get back CKR_ATTRIBUTE_TYPE_INVALID (similar
for protected attributes where CKR_ATTRIBUTE_SENSITIVE is returned).
This is not an error as the spec demands that all attributes have been
processed with the unavailable attributes having set their length
field to CK_UNAVAILABLE_INFORMATION.

We use this to handle the CKA_TRUSTED attribute, which some tokens
apparently don't support.  We previously used a version check to remove
the attribute from the call but even the latest spec doesn't make the
attribute mandatory (it's just in a list of "common" attributes for
CKO_CERTIFICATE objects, without a default value), so there are current
tokens that don't support it and prevent us from enumerating certificates.

receiver: Avoid division by 0 after system start if CLOCK_MONOTONIC is used

Depending on how CLOCK_MONOTONIC is implemented, time_monotonic() might
return 0 within 1 second after the system is started.  If that's the
case, we just default to 0 for now to avoid a crash (doesn't "hide" the
system time, but it's only the uptime anyway in this case).

Closes strongswan/strongswan#435.

charon-nm: Simplify certificate enumeration and allow IDs other than DNs

This allows using SANs as identity instead of having to use the subject DN.

References strongswan/strongswan#437.

dhcp: Move log messages for received packets

This way they are logged in the context of the corresponding IKE_SA.

Closes strongswan/strongswan#417.

bus: Extend and reorder arguments of ike_derived_keys() hook

This now includes all key material derived for IKE_SAs in the order
defined in the RFC:

  {SK_d | SK_ai | SK_ar | SK_ei | SK_er | SK_pi | SK_pr}
               = prf+ (SKEYSEED, Ni | Nr | SPIi | SPIr)

Signed-off-by: Thomas Egerer <thomas.egerer@secunet.com>

Version bump to 5.9.3dr3

ikev1: Fix flags so NAT Vendor IDs are sent again

Fixes: 6c49ddfbca72 ("ike: Add additional Vendor IDs for third-party implementations")

testing: Added openssl-ikev2/net2net-sha3-rsa-cert scenario

openssl: Support SHA-3 based RSA_EMSA_PKCS1 signatures

testing: Test wolfssl plugin

wolfssl: Full support of SHA3 signatures

credential_factory: Store name of plugin registering a builder

wolfssl: Set RSA key type

ccm: Destroy IV generator on crypter creation failure

Closes strongswan/strongswan#343.

dhcp: Log MAC address when sending DISCOVER message

Closes strongswan/strongswan#239.

ike: Add additional Vendor IDs for third-party implementations

For some that are followed by unknown data (e.g. detailed version
information) we only do a prefix match.

Co-authored-by: Tobias Brunner <tobias@strongswan.org>
Closes strongswan/strongswan#393.

Version bump to 5.9.3dr2

testing: Reorganizing IKEv1 and IKEv2 examples

For documentation purposes the new folders ikev1-algs, ikev2-algs,
ikev1-multi-ca and ikev2-multi-ca have been created. Most of the
test cases have now been converted to the vici interface. The
remaining legacy stroke scenarios yet to be converted have been put
into the ikev2-stroke-bye folder.

For documentation purposes some legacy stroke scenarios will be kept
in the ikev1-stroke, ikev2-stroke and ipv6-stroke folders.

notify-payload: Update reference for notify types for PPKs

draft-ietf-ipsecme-qr-ikev2 was released as RFC 8784 in June of 2020.

Don't report current text in parser error messages

The values of `yytext` and `yyleng` might not be properly defined when
the error function is called (in particular if the lexer reached EOF).
While this might just cause non-printable characters in the output, it
could actually lead to a crash depending on where `yytext` points.

Closes strongswan/strongswan#346.

testing: Replace kvm with qemu-system-x86_64

It might not exist on all platforms and according to the man page:

  The kvm wrapper script is used to provide compatibility with old
  qemu-kvm package which has been merged into qemu as of version 1.3.

  The script executes
    qemu-system-x86_64 -enable-kvm
  passing all other command-line arguments to the qemu binary.

Closes strongswan/strongswan#385.

testing: Use host-passthrough CPU mode for all KVM guests

This should give us the best performance and feature set on modern
hardware (in particular when compared to code2duo, which e.g. does not allow
nested virtualization).

Closes strongswan/strongswan#340.

Use Botan 2.18.0 for tests

openssl: Consider authorityKeyIdentifier in issued_by()

Prior to verifying the cryptographic signature, check if the
authorityKeyIdentifier matches the key ID of the issuing certificate if
it is available.

x509: Consider authorityKeyIdentifier in issued_by()

Prior to verifying the cryptographic signature, check if the
authorityKeyIdentifier matches the key ID of the issuing certificate if
it is available.

openssl: Bring CRL issued_by() in line with x509 plugin

ike: Set DCSP on keepalive packets

openssl: Add support for AES in CCM mode

While CCM is available in earlier versions, we only use it with
OpenSSL 1.1.0 and newer because the generic control variables are not
available before and we default to GCM for them.

Closes strongswan/strongswan#353.

testing: Make sure $SHAREDDIR exists before mounting it

Closes strongswan/strongswan#344.

github: Fix python build and checks on older Ubuntu releases

On 18.04, setuptools was apparently pulled in by python-pip but is not
by python3-pip and on Ubuntu 16.04 there is an issue with tox when
installed via pip3 (syntax error in one of the dependencies) and with
pip that dependency is not even available.

wolfssl: Properly handle failure to initialize SHAKE_256

github: Don't fail LGTM test with an error if variables are missing

That's because forks are currently not allowed to be analyzed by LGTM (unlike
with SonarCloud) so this check can't actually be successful for forks even if
variables are defined.

References strongswan/strongswan#328.

github: Fail LGTM test if required environment variables aren't set

Closes strongswan/strongswan#328.

github: Make LGTM project ID configurable via environment variable

github: Fail sonarcloud test if required environment variables aren't set

Closes strongswan/strongswan#330.

github: Always upload lint results from Android build

github: Fix build on Ubuntu 20.04 and add a job for 18.04

The nm test can only be done on Ubuntu 18.04 as the required libraries
are not available on newer systems.

Switch to pip3 to install tox (the only Python dependency we use).

Closes strongswan/strongswan#327.

github: Fix installation of Python dependencies

android: Avoid lint errors when determining column indices

The lint version used on our GitHub build hosts reported these errors:

Error: Value must be ≥ 0 [Range]
        db.update(TABLE_VPNPROFILE, values, KEY_ID + " = " + cursor.getLong(cursor.getColumnIndex(KEY_ID)), null);

That's because get*() expect a valid index >= 0 but getColumnIndex()
can return -1 if the column name doesn't exist.

backtrace: The BFD API changed in newer versions

openssl: Fix OpenSSL version check for EC_POINT_set_affine_coordinates

Fixes: bd323ae6c832 ("openssl: Migrate from deprecated EC_POINT_[set|get]_affine_coordinates_GFp() functions")
Closes strongswan/strongswan#332

forecast: Restrict strncpy() call

Closes strongswan/strongswan#331.

Merge branch 'doxygen-fixes'

Closes strongswan/strongswan#326.

Doxyfile.in: Remove deprecated variables

doxygen: Fix documentation problems

Version bump to 5.9.3dr1

testing: Migrated p2pnat/medsrv-psk scenario to vici

testing: Migrated p2pnat/behind-same-nat scenario to vici

testing: Store mars credentials in the swanctl directory

testing: Migrated redirect-active scenario to vici

testing: Migrated ha/both-active scenario to vici

testing: Migrated ha/active-passive scenario to vici

testing: Switched PTS measurements to /usr/sbin

Due to Debian 10 linking /bin to /usr/bin which drastically
increased the number of files in /bin, the PTS measurement
was switched to /usr/sbin with a lesser number of files.

wolfssl: Support SHAKE_256

wolfssl: Support SHA3

wolfssl: Support AES_ECB

openssl: Migrate from deprecated EC_POINT_[set|get]_affine_coordinates_GFp() functions

libcharon: Include libtpmtss in monolithic build

testing: Bump guest kernel to Linux 5.11

Version bump to 5.9.2

Merge branch 'sha2-no-trunc'

Closes strongswan/strongswan#215.

save-keys: Fix length of AES-GCM with 12-byte ICV

save-keys: Add support for full-length HMAC-SHA256 for ESP

Wireshark doesn't really support it, but this way it at least decodes
the ESP packets correctly and the encryption keys are saved and the
packets can be decrypted.  The full-length versions of SHA-384 and
SHA-512 are not supported by Wireshark as 256-bit is the longest ICV
it is able to decode currently.

kernel-netlink: Add support for full-length HMAC-SHA2 algorithms

keymat: Add support for full-length HMAC-SHA2 algorithms

af-alg: Fix typo in algorithm mapping for full-size HMAC-SHA-256

Version bump to 5.9.2rc2

testing: Use TLS 1.3 in TNC PT-TLS tests

testing: Added mgf1 plugin to load statement

Merge branch 'tls-fixes'

Version bump to 5.9.2rc1

pt-tls-server: Make TLS client authentication optional as appropriate

tls-test: Add option to make client authentication optional

tls-server: Add flag that makes client authentication optional

This allows clients to send an empty certificate payload if the server
sent a certificate request.  If an identity was set previously, it will
be reset so get_peer_id() may be used to check if the client was
authenticated.

libtls: Add control flags and replace GENERIC_NULLOK purpose with one

pt-tls-server: Explicitly request client authentication if necessary

The PT_TLS_AUTH_TLS_OR_SASL case currently can't be implemented properly
as TLS authentication will be enforced if a client identity is configured
on the TLS server socket.

tls-server: Use subject DN as peer identity if it was ID_ANY

To request client authentication if we don't know the client's identity,
it's possible to use ID_ANY.  However, if we don't change the identity
get_peer_id() would still report ID_ANY after the authentication.

testing: Adapt some checks as SHA-384 is now preferred for TLS signatures

tls-eap: Only servers conclude EAP method after processing packets

As client with older TLS versions, we have to ack the receipt of the server's
Finished message instead.

Fixes: 083f38259c79 ("tls-eap: Conclude EAP method also after processing packets")

ike-sa: Properly set timing info for delete after rekeying

The job is queued properly, yet the timing information is wrong.

Signed-off-by: Stefan Berghofer <stefan.berghofer@secunet.com>
Fixes: ee61471113c2 ("implemented RFC4478 (repeated authentication)...")

NEWS: Add news for 5.9.2

dhcp: Properly initialize struct when binding to interface

pts: Don't rely on BIOS event buffer to be null terminated

tls-crypto: Fix potential memory leak

Fixes: d8e42a3d4e3c ("tls-crypto: Share private key search between client and server")

ike-sa-manager: Ensure we were able to create a new IKE_SA

This may happen if we are unable to allocate an SPI.

github: Bump wolfSSL to 4.7.0

cirrus: Use FreeBSD 12.2

This seems to fix the build with Autotools that recently started to fail
with:

autom4te-2.69: need GNU m4 1.4 or later: /usr/local/bin/gm4
aclocal: error: /usr/local/bin/autom4te-2.69 failed with exit status: 1
autoreconf-2.69: aclocal failed with exit status: 1

Closes strongswan/strongswan#197.

github: Fix emojis in templates

github: Add security policy

github: Add issue templates

botan: Use strongSwan's RNG interface in Botan plugin

This allows using rng_t implementations provided by other plugins to
serve as RNG for Botan.

Closes strongswan/strongswan#192.

botan: Extract helper function to map RNG quality to Botan RNG names

botan: Look for Botan 3 in configure script

ike-sa: Avoid possible integer underflow when scheduling reauth after rekeying

If the reauthentication is scheduled while rekeying, the difference
might be negative, however, schedule_job() takes an unsigned int,
so the reauth would get scheduled very far in the future.

ha: Register new IKE_SAs before calling inherit_post()

ike-rekey: Register new IKE_SA before calling inherit_post()

If rekeying and reauthetication coincided, the reauth job could get
scheduled to run immediately i.e. before checkin() was called.  So the
new IKE_SA would not get reauthenticated, however, the further delayed
delete job would later find the new IKE_SA and delete it.

ike-sa-manager: Add a method to register/check out new IKE_SAs

This way, jobs for new IKE_SAs (created via create_new()) may be
scheduled/queued before checkin() is called.  If they run before
that happens, they will now correctly block in checkout() instead of
doing nothing because the IKE_SA was not found.

ike-sa-manager: Rename checkout_new() to create_new()

We don't actually check that SA out (i.e. it's not registered with the
manager).  That was originally different but had to be changed with
86993d6b9037 to avoid that SAs created for rekeying don't block other
threads on the manager.