integrity-checker: Fix checksum calculation after randomizing chunk_hash()

unit-tests: Print loaded plugins

unit-tests: RSA key generation might take longer than 4 seconds

Check uses a default timeout of 4 seconds for each test case, generating
keys of 6 different key sizes might take longer than that.

tests: Properly load plugins from build directory

Calling load() incrementally does not really work as dependencies
wouldn't be resolved properly if a required feature was to be provided
by a plugin that is loaded later with a separate call to load().

plugin-loader: Method added to provide additional search paths for plugins

Support blacklist field in PTS database

Updated PTS demo database

Device can be member of multiple groups

Adding NEWS for 5.1.0

Merge branch 'check-caps'

Plugins may now ensure the process has all the required capabilities.
Some minor changes to UID/GID handling are also included.

capabilities: Return effective UID/GID if user did not configure anything

capabilities: Make the user and group charon(-nm) changes to configurable

capabilities: Report effective UID/GID after dropping capabilities

capabilities: CAP_CHOWN might be required by many plugins opening UNIX sockets

But as the sockets will be created with the user/group of the running
process this might not be required as no change may be needed.

capabilities: Handle CAP_CHOWN specially as it might not be required

capabilities: Check effective UID as fallback if capabilities are not supported

kernel-netlink: Make CAP_NET_ADMIN capability optional

It is not required to use the kernel-net part of the plugin.

farp: Require CAP_NET_RAW capability to open AF_PACKET socket

dhcp: Require CAP_NET_BIND_SERVICE and CAP_NET_RAW to open/bind sockets

socket-default: Require CAP_NET_BIND_SERVICE for ports < 1024

Since we don't know which ports are used with socket-dynamic we can't
demand the capability there, but it might still be required.

capabilities: Only plugins that require CAP_NET_ADMIN demand it

The daemon as such does not require this capability.

capabilities: Move global capabilities_t instance to libstrongswan

capabilities: Ensure required capabilities are actually held by the process/user

ikev2: keep the CHILD_SA we delete as initiator in the list to destroy

If the responder not correctly send the correct protocol or SPI in the delete
response, we should remove the CHILD_SA regardless.

Some IMV policy managers expect a TEXT string

Assign default group to newly created devices

Set device creation date if it hasn't been set yet

unit-tester: RSA test was removed

Aligned AR Identity types to IF-IMV 1.4 R5 draft

Send PA-TNC assessment result even if no workitems are available

Some pacman fixes

version bump to 5.1.0dr1

Some PTS database fixes

Implemented pacman in a more reliable way

Define protocol string

Generate result string for port scan workitems

Ignore non-matching protocols

Introduced workitems to Scanner IMV

Removed obsoleted strongswan.conf options

Added ITA components to database

Added soft dependency on database plugin

fixed SQL query

Shortened names of default policy groups

Store device with product ID

Database changes needed to integrate Cygnet backend

Implemented get|set_action_flag() methods

Implemented hierarchical policy groups

Introduced workitems to Attestation IMV

pts_meas_algo_probe() and pts_dh_group_probe() got lost

Converted all IMVs to use generic IF-IMV API

Remove the constructor from the IMV agent interface

Defined a generic IMV agent interface

Moved all functionality into imv_os_agent_t class turning imv_os_t into an IF-IMV skeleton

Moved batch_ending into separate source file

do not process workitems with NULL result

fixed enumeration of workitems for a given session

generate workitems based on group policy

Added file and directory reference measurements to workitems

add overall recommendation to session database entry

don't define a default database URI

created a simple IMV Policy Manager

register received scanner attributes

used tnc_policy_update functions for default policy

refactored IMV policy management

implemented policy rules for OS IMV

check for zero-length device ID

ITA-HSR/Device ID attribute & IMV OS state machine

execute an _imv_policy script

implemented IMV session control

Manage files and directories

Merge branch 'kernel-libipsec'

Adds a new kernel interface plugin that uses TUN devices and libipsec to
provide IPsec process in userland.

It works on Linux, FreeBSD and Mac OS X.  In particular the latter two
platforms may gain from this approach as their respective kernels don't
provide support for AES-GCM.

kernel-pfroute has been improved (source address lookup) and a second
plugin (osx-attr) installs configuration attributes (currently DNS
servers only) via SystemConfiguration on Mac OS X.

osx-attr: add plugin installing config attributes using SystemConfiguration

Currently installs DNS servers only, by prepending IP addresses to the
DNS configuration of the primary networking service.

kernel-pfroute: Simplify route lookup after fixing sockaddr parsing

kernel-pfroute: Alignment of sockaddrs is not always the same

kernel-pfroute: struct sockaddr arguments are 4 byte aligned

This was noticed on Mac OS X where, if the default route is returned,
RTA_NETMASK has sa_len set to 0, but skipping zero bytes to read the
next address makes no sense, of course.  Using 0 for sa_len seems
a bit strange, in particular, because struct sockaddr has by definition
a minimum length of 16 bytes.  But it seems FreeBSD actually does the
same.

kernel-libipsec: Ignore failures when installing routes for multicast or broadcast policies

kernel-pfroute: Improve route lookup depending on information we get back

Kernels don't provide the same information for all routes.

kernel-pfroute: Try to ensure we get a source address or interface name

ike: Force NAT-T/UDP encapsulation if kernel interface requires it

kernel-libipsec: Add a feature to request UDP encapsulation of ESP packets

tun-device: Packets sent over utun devices on Mac OS X have the protocol family prepended

kernel-pfroute: Use DST as nexthop for host routes

These are created as cache/clone on Mac OS X.

kernel-pfroute: Implement get_source_addr()

kernel-pfroute: Properly install routes with interface and gateway

kernel-libipsec: Install a gateway for routes on platforms other than Linux

This seems required e.g. on FreeBSD but doesn't work on Linux.

kernel-pfroute: Activate TUN device before setting address

On FreeBSD, for some reason, we don't learn the interface is up
otherwise.  Even though ifconfig lists it as up at the same time.

tun-device: Avoid opening /dev/tunX multiple times (e.g. on FreeBSD)

kernel-libipsec: Router reads packets from multiple TUN devices

These devices are collected via kernel_listener_t interface.

kernel-libipsec: Use separate class to route packets between charon, libipsec and TUN device

kernel-pfroute: Raise tun event when creating/destroying TUN devices for virtual IPs

kernel: Add an event kernel interfaces can raise if they create/destroy a TUN device

printf-hook: Avoid double-free when freeing Vstr config

Thread-specific objects get freed when the thread value object is
destroyed (wasn't the case earlier, i.e. before 2b19dd35), which
may cause the second call to vstr_free_conf() to fail in an assert
in Vstr (depending on how it was built).

kernel-libipsec: Track policies and automatically install routes

The routes direct traffic matching the remote traffic selector to the
TUN device.

If the remote traffic selector includes the IKE peer a very specific route
is installed to allow IKE traffic.

kernel-libipsec: Handle packets between charon socket, libipsec and TUN device

kernel-libipsec: Create a TUN device and use it to install virtual IPs

kernel-libipsec: Add plugin that implements kernel_ipsec_t using libipsec

kernel-netlink: Routes don't require a gateway/nexthop

charon-cmd: Document auxiliary options

charon-cmd: Link strongswan.conf(5) and charon-cmd(8) man pages

charon-cmd: Use fixed number of character to align command descriptions

If the command and argument is longer than that write the first line of
description to the following line.