generating different initiator identities, configs and certificates on the fly

removed debugging leftovers

fixed out-of-tree build of scepclient

basic x509 certificate generation

whitelisted another pthread_setspecific implementation

accept NULL values in hashtable enumerator

hashtable enumerator enumerates over both, key and values

added actual ikev2bis draft

pass identity to release_address(), allows providers to do a lookup by id

extended changeset [4753]

implemented the policy cache in kernel_netlink_ipsec_t with a hash table instead of a linked list.

fixed off by one error

fixed copy-paste bug (double-free)

reset pointer for a clean destruction

handling peer_match with higher priority tan ike_match to select correct config if IPs are equal

leak whitelisting of OPENSSL_config()

suppress output from leak-detective in openac

load openac plugins explicitly

fixed refactoring error in openac

suppress leak-detective stderr output in ipsec pool

fixed double free of host in sadb_address2ts

enable leak-detective and integrity-test in UML tests by default

add support for smartcards in charon by using the ENGINE API provided by OpenSSL, based on patches by Michael Roßberg.

enable quoted tokens in the token enumerator

fixed compiler warning

added memstr and extract_token_str helper functions

adding general purpose hash table

fixed double free of host in selector2ts

ref_get()/ref_put() use atomic gcc operations if supported, thanks to Thomas Jarosch for the patch

added a --disable-threads ./configure option for pluto

use DBG_ANY to set all loglevels

added time.h include for struct tm

some task queueing improvements:
- do not pass CHILD_SAs to task constructor, might not
  be valid anymore during execution (late lookup)
- use sub-tasks to delete CHILD/IKE_SA after rekeying,
  as we want to execute the delete before additional
  queued tasks

re-established lost default auth sys_logger

schedule rekeying when activating passive IKE_SAs

do not delete passive IKE_SAs

added a PASSIVE IKE_SA state to manage it externally

pass SKd to derive_ike_keys() to have a more interoperable API

fixed a double-unlock bug, showed up when using rwlocks in backend manager

use rwlocks in backend manager to allow simultaneous access

use a rwlock in attribute manager to allow simultaneous access

remove attribute provider in SQL plugin destruction

added an include hack to build starter without gmp.h

fixed pluto out-of-tree builds

token enumerator missed the last token if it contains only a single char

checkin of non-existing IKE_SAs
removed unneeded checkin() return values

removed private parser function pointers, allows compiler to inline

removed private generator function pointers, allows compiler to inline

inlined some short chunk functions, showed up in the profiler

memxor() tweaks, as it is heavily used in xcbc

allow to globally disable DOS protection by setting charon.dos_protection to no.

optimized the scheduler for performance by replacing the linked list with a heap.

replacing the pthread_mutex in scheduler_t with the wrapped implementation.
added a method to condvar_t which allows to wait for an absolute timeout.

performance optimization for the DOS protection.
 * half-open SAs per peer are tracked in a hash table
 * charon.dos_protection setting replaced with charon.cookie_threshold and charon.block_threshold
 * chunk_hash function added

fixed crash due to missing function call parameter

use static IPsec policy iptables rule for alice in mobike scenario

fixed set_message_id() on IKE_SA
added missing bus->message() hook invocation
whitespace cleanups

set message IDs on IKE_SAs

moved the IPV6_IPSEC_POLICY definition to the ipsec plugins, fixes uClibc build

added a "load_tester.auth" option: "pubkey" (default) or "psk"

proper cancellation of load-testing initiators

added a MODP_NULL Diffie Hellman group to avoid calculation overhead in load-testing

expecting int sized length arguments to chunk_split, as vararg functions use integers

fixing Makefile of the nm plugin (avoids including a .svn directory in the distribution)

optimized ike_sa_manager for concurrent access (default behavior is still as before, needs configuration in strongswan.conf).

fixed lock-profiler help message

refactored and cleaned up child_sa interface
replaced add/update calls by a install() call
allocating SPIs always externally
support installation of non-allocated CHILD_SAs
some other cleanups

fixing compilation on systems lacking linux/xfrm.h

setting default port of own address to have a proper fallback if src addr lookup fails

consider interfaces we do not monitor as up (e.g. lo)
fixes load-testing against 127.0.0.1

version bump to 4.2.10

separated updown listener to its own class
caching interface names to properly remove rules if interface has changed

fixed virtual IP re-installation failure in MOBIKE scenarios introduced with changeset 4662

set release number back to 4.2.9

added migration to NEWS

completed migration of MIPv6 connections

show TRANSPORT_PROXY mode in ipsec status

using aligned buffers for netlink

fallback to reauthentication if peer does not support CHILD_SA rekeying

fall back to reauthentication if IKE rekeying fails with NO_ADDITIONAL_SAS

also use correct encap parameter in PF_KEY

fixed encap enabling in xfrm (using new encap state, not the old one)

do not use a route if outgoing interface is down
other cleanups

rta->rta_len is NOT the payload data length, use RTA_PAYLOAD(rta) instead!

do not use public interface for functions which are local anyway

reset IKE_SA on bus during child_sa destruction

adapted evaltest.dat to changed debug output

updated API doc for socket.h

ported socket enumerator to raw-socket.c
some cleanups in socket.c

added type=transport_proxy and installpolicy=yes|no to man page

added MIPv6 functionality to NEWS

corrected unwanted deletion in comment

BEET mode might want forwarding policies

removed some obsolete includes

moved ike_initiator flag to IKE_SAs condition bitfield

ported some hard-to-merge cherries back to trunk :-/
shame, svn, shame: this was ways to complicated
we should consider a switch to git...

fixing keylength bug at the right place:
we usually don't touch output parameters if operations fails

improved fix

fixed AES-CCM/GCM authenticated encryption by eliminating generation of superfluous generation of integrity keying material

fixed compiler warnings issued by:
gcc 4.3
curl.h gcc type-checking
glibc with enabled FORTIFY_SOURCE checking