Format PGP public key block in SECURITY

Added PGP public key block for security contacts.

Pass argument names to logging functions in preparation for discreet argument logging

ci: flag multi-server profiling regressions in the job summary (#5908)

* ci: publish sends commit subject and branch ref for the run picker

* Fix GITHUB_REF_NAME check in publish-profiling-results.sh

---------

Co-authored-by: Arran Cudbard-Bell <a.cudbardb@freeradius.org>

typo: "ownership" and "directory" -> "socket" (#5916)

* typo: Fixed typo for "ownership" and corrected "directory" to "socket" in this context

Signed-off-by: ethan-thompson <ethan.thompson@networkradius.com>
* Update error messages for socket permissions and ownership

---------

Signed-off-by: ethan-thompson <ethan.thompson@networkradius.com>
Co-authored-by: Arran Cudbard-Bell <a.cudbardb@freeradius.org>

Remove set but not used variable

Add crl to protocols list in Makefile

Needed to install the dictionary

Better suppression of compiler warnings

Properly clean up docker images

Previously only an image matching the current Git SHA would be removed,
leaving a trail of old images which are extremely unlikely to ever be
needed again.

Pass project to multi-server test config builder

So logging to correctly named file / socket can be easily configured.

Exit FR when the load listner has completed

Use common template for load listener config

Update for antora complaints.  Fixes #5914

docs-v4: add interval.adoc file to antora index. Updated relevant nav.adoc and policy_table.adoc files to reference interval.adoc.
This updated PR replaces PR #5883.

use unlang_call_push() instead of virtual_server_push()

remove duplicate "packet debug"

now that it's being printed in the "call" instruction.

This change also cleans up the output.  The previous functions
mostly did similar things (but not always), and were mostly called
from the same stages of packet processing (but not always)

print "Received" and "Sending" inside of "server ... { } blocks

which is a bit of a change from v3, but ends up being clearer for
the "v4 way".

Now when you "call" a virtual server, it prints out the received
packet (which might have been edited after it was received!).

This also makes the inner-tunnel processing much cleaner, as they
now print packets out in the same layout and format as packets
that are received from the network.  Previously, the inner-tunnel
debug was just gratuitously different.

remove old comment

no need to manually print out inner packet code

move debug "Running foo bar { } from file baz"

to the main interpreter loop, which cleans up the debug output
a bit, and makes it easier to parse

don't print module name when inside of call{}

the debug output is confusing when it prints messages about the
virtual server, but the initial and final messages are prefixed
with the module name.

add log_request_packet() and LOG_PACKET_DEBUG

for debug logging of received packets, in a protocol-generic
manner.

remove server/protocol.h, server/listen.h, and server/protocol.c

nothing in them is used, so we are removing them, and all references
to them.

This is (hopefully) the last vestiges of v3

tweak header includes in preparation for removing listen.h

use "server foo" as the debug name, not just "foo"

this ensures that the debug output is standardized

use unlang_interpret_virtual_server()

set packet->socket->af to AF_FR_VIRTUAL_SERVER on subrequest alloc

and use that in unlang_interpret_virtual_server().

When used with frame->prev.frame_call, it should significantly
shorten process to find the virtual server.  Instead of walking
back up all parent requests, and then walking back up the stack
for each request, it becomes largely an O(1) process most of
the time.

add and use unlang_interpret_virtual_server()

so that we abstract this all in one place

cache the call frame number, too.

so that we don't need to walk back up the stack to find the
call stack with the virtual server.

typo

add (unused) function to print #fr_socket_t to a string

so that we can unify IPs, unix sockets, filenames, and virtual
servers.

this is mainly useful for "inner-tunnel" virtual servers, which
don't print much of anything useful right now.

set fr_socket_t AF field, too

glue EAP-PSK virtual server into antora

run through the auto-formatter

format for v4

use consistent comments for v4 auto-format

add file and virtual server to fr_socket_t

in preparation for other cleanups

rename AF_FILE_BIO to AF_FR_FILENAME

in preparation for adding AF_FR_VIRTUAL_SERVER

process/eap_psk: find Password.PSK with the nested pair search

Password.PSK is a child of the Password container pair, so the
top-level fr_pair_find_by_da() never saw the pair policy had just
added, and every authentication was discarded with "No
control.Password.PSK".  The old module used password_find(), which
walks the tree.

eapol_test: print more of the server log when a test fails

40 lines rarely reaches back to the failing exchange.  Also print the
server log heading before the log contents rather than after.

process/eap_psk: initialise the analyzer-flagged test outputs

The static analyzer does not model acutest_check_()'s return value
(variadic, so never inlined), so TEST_ASSERT on the producing calls
did not remove the garbage-value path.  Initialise the two outputs;
if a producing call ever fails to write, the comparison against the
known-answer value still fails.

raddb: ship EAP-PSK disabled by default

EAP-PSK now requires the eap-psk virtual server, which is not enabled
by default, so an installed system failed config validation.  Comment
out the type entries and psk sections in the eap and eap_inner
modules; the enable instructions point at sites-available/eap-psk.

The eap_inner psk section also still set the removed 'identity'
config item; the commented-out replacement uses virtual_server.

eapol_test: add an EAP-PSK failure test

The supplicant authenticates with the wrong pre-shared key, so MAC_P
verification fails and eapol_test must not succeed, while the server
must survive the exchange.

process/eap_psk: use TEST_ASSERT for the calls which produce compared values

The static analyzer follows the error return of the crypto functions,
where the out-parameters are never written, into the comparisons, and
reports garbage-value reads.  Aborting the test when a producing call
fails removes the path, and comparing an output whose producing call
failed was never informative.

process/eap_psk: keep the module target out of the all.mk that lists SUBMAKEFILES

boiler.mk generates the install rule for a fragment's target after
recursing into its SUBMAKEFILES, so the TGT_INSTALLDIR := set by
eap_psk_tests.mk leaked into the install rule for process_eap_psk,
and the module was built but never installed.  Same mechanism CI
diagnosed on d5e3f21e3b for rlm_eap_psk before the module moved.

Follow the existing convention: the all.mk lists only SUBMAKEFILES,
and the module target lives in its own fragment.

rlm_eap_psk: select the PSK by peer identity via an eap-psk virtual server

Implement full RFC 4764 credential-selection semantics: the peer's
asserted identity (ID_P) drives the PSK lookup, in a virtual server
with per-message policy sections, mirroring the EAP-AKA architecture.

The protocol state machine, message parsing, and cryptography move to
a new eap_psk process module.  The rlm_eap_psk submodule shrinks to
deriving the next Packet-Type from the session state, pushing the
request into the virtual server, and translating the reply Packet-Type
back into an EAP result.  Nothing happens in the outer server.

Sections: send Identity-Request (may override Server-Identity, same
pattern as EAP-AKA' network_name), recv Identity-Response (supplies
control.Password.PSK for the asserted Identity, capped at the RFC's
966 bytes), send Result-Indication, recv Result-Acknowledgement, and
send Success / send Failure.

Invalid messages are not processed (RFC 4764 Section 4.1); as a true
silent discard cannot be expressed through the EAP module, the session
ends with an EAP-Failure like every other EAP method.

rlm_eap_psk: add known-answer tests for the EAP-PSK crypto primitives

RFC 4764 publishes no test vectors, so the CMAC core is checked
against the RFC 4493 Section 4 vectors, and the EAP-PSK derivations
and EAX protected channel are checked against values computed with
hostap's independent implementation (commit f541de4).  Negative tests
cover tag, ciphertext, nonce, and header tampering.

Clean up EAP-PSK using v4 conventions

Compare pointers to NULL...

Add static assert in case someone renumbers the rcodes

Add the intended behaviour for unlang_io_subrequest_alloc namespaces

Compare to NULL

Use a single error label

tls/bio: detach both dbuffs from the shared buffer in one helper

The in/out dbuffs are bound to the same talloc buffer.  finalise,
finalise_bstr, and thread_local_clear each hand-rolled clearing the
buff pointers; a single helper now enforces the invariant that both
dbuffs forget the buffer together.

Remove REQUEST_MASTER_NUM_STATES, the "fix" in db7dbce375 was incorrect, but nothing uses the macro

Simpler fix for 40b0a25cfe

reformat radiusd.conf.in and regenerate antora docs

pass value-box to file_allowed() function

preserve SAFE_FOR_ANY inputs when parsing xlat arguments

so that data which is taken from the configuration files does not
get mashed to any particular SAFE_FOR value

lib/util/dbuff: fix fr_dbuff_reset_talloc clobbering old base before fr_dbuff_update()

lib/util/dbuff: fix fr_dbuff_advance_extend referencing nonexistent _fr_dbuff_advance

update inner-tunnel for notes on `eap` vs `eap_inner`

word smith inner EAP

also add PSK and PWD to it

tweak EAP comments and documentation

bypass walk up the stack in NDEBUG mode

when finding a frame by op flag.

add stack short-cuts for break, continue, return, and load-balance

so that we don't have to walk back up the stack to find them.
Instead, we can just examine the current stack frame to see where
those frames are.

For now. we just set the return frames and assert that their values
are correct.  We do not (as yet) skip the loop over the frames,
to just find the correct frame.

regenerate antora files after reformatting the input raddb files

fix indentation for raddb

* audit example configurations in comments, so that they are
  marked as in-line code

* re-indent commented out modules

* re-indent and fix hashes for multi-line commented-out code

add rlm_eap_psk

Remove un-used mysql option

This option only applies to synchronous connections and defaults to
false anyway, which is the value which was being set.

Add support for Mariadb Connector/C socket notification callbacks

In anticipation of them being added to the library.

Handle MariaDB Connector/C socket closing behaviour

During connection establishement, MariaDB Connector/C can close the fd
and potentially open a new one without any callbacks to notify of that
happening.

If we have events registered for the fd that has now been closed,
potentially events fire for that fd when it has been re-used for a
different purpose.

Using dup() to create our own fd for the socket, we remain in control of
the fd which has registered events.

Replace deprecated mysql_options with mysql_optionsv

FreeRADIUS is only built against mariadb-connector, not libmysql

Due to the difference in async behaviour.

print out the correct location of the log

add Password.PSK, and glue into password function

lib/util/cbor: emit tag before array header when encoding IPv6 addr with scope_id

lib/util/cap: fr_cap_disable clears the whole set instead of the single requested capability

lib/util/calc.h: fix wrong nonnull() arg on fr_value_calc_unary_op (protects ctx, not dst/src)

lib/util/base32: fix copy-pasted 'Base 64 encode' doc header on fr_base32_encode_nstd

lib/util/base.h: remove duplicate util/table.h include

lib/util/atexit.h: fix __Thread_local typo so non-threaded build strips _Thread_local qualifier

atexit.c: guard NULL fr_atexit_global in fr_atexit_global_disarm

lib/unlang/xlat_redundant: free leaked mrx_tree on two error paths in xlat_register_redundant

lib/unlang/xlat_purify: avoid use-after-free of freed group node when hoisting an empty group

lib/unlang/xlat_func: fix typo in xlat_mctx_set doc comment (about -> bound)

lib/unlang/xlat_expr: parent xlat_logical_and result box from rctx->ctx (latent UAF)

lib/unlang/xlat_alloc: check tmpl_copy() failure in _xlat_copy_internal (NULL deref)

lib/unlang/xlat: drop stale UNUSED on unlang_xlat() p_result parameter (it is used)

unlang/try: default 'catch' redundancy check never fires (loop starts at RLM_MODULE_NOT_SET)

lib/unlang/subrequest: remove dead unlang_subrequest_detach_child declaration

lib/unlang/subrequest: fix OOB read from signed-char index into fr_dict_attr_allowed_chars

lib/unlang/map: free leaked unlang_group_t on two error paths in unlang_compile_map()

unlang/limit: fix NULL deref in signal handler when cancelling a dynamic limit argument

lib/unlang/io: fix misleading doc claiming NULL namespace is supported in unlang_io_subrequest_alloc

unlang/interpret_synchronous: remove dead num_events == -1 branches in DEBUG4

unlang/interpret.h: fix copy-pasted doc comment on unlang_request_scheduled_t typedef

unlang/interpret: fix stale comment on unlang_cancel_xlat immediate-cancel path

unlang/function: FUNC()/REPEAT() macros ignore their argument and use captured 'state'

unlang/finally: fix inverted min_time comparison that cancels finally sections early

lib/unlang/edit: clear RHS tmpl dcursor on temporary_pair_list error paths (leak)