kernel-interface: get_address_by_ts() can tell if a returned IP is virtual

kernel-interface: support enumeration of virtual-only IPs

kernel-pfkey: refactor route installation to a dedicate function

kernel-pfroute: split /0 routes to avoid conflict with default route

kernel-pfkey: check if we have a gateway before comparing them

kernel-pfkey: install route along with input, not forward policies

As forwarding policies are not available on all systems (OS X), using the
forward policy to attach the route is a bad pick. Using input policies allows
OS X to install routes.

kernel-pfroute: rescan address list for an interface if its state changes

It seems that we don't get address notifications if the interface is down
on OS X.

kernel-pfroute: add newly appearing interfaces to the interface cache

kernel-pfroute: implement get_nexthop()

kernel-pfroute: install and uninstall routes

kernel-pfroute: collect replies received for our own queries

kernel-pfroute: refactor PF_ROUTE message processing, use an enumerator

kernel-pfkey: use an int to set esp_port with a sysctl on OS X

kernel-pfroute: use INIT() macro for allocations

kernel-pfroute: use only a single PF_ROUTE socket for both events and queries

kernel-pfroute: fix length check when receiving PF_ROUTE messages

kernel-pfkey: remove obsolete pluto specific behavior

kernel-netlink: remove obsolete pluto specific behavior

tun_device: add a getter for the address previously passed to set_address()

tun_device: add a getter for the underlying file descriptor

tun-device: use host_create_netmask() to calculate interface netmask

host: add a netmask constructor taking the number of network bits

host: remove unused host_t.get_differences() method

host: print %#H format specifiers not as %any, but with the port

host: initialize sockaddr->sa_len if it is available

child-sa: pass traffic selector to add_sa() regardless of IPsec mode

This lets the kernel backend decide what to do with it, and in fact all kernel
interfaces already handle this correctly.

socket-default: to bind to one dynamic port on OS X, create v4 socket before v6

It seems that the order of binding sockets of different address families to the
same dynamic port must be v6-before-v4 on Linux, but v4-before-v6 on OS X.

socket-default: refactor socket pair opening to a function

socket-default: Don't try to send packet if we haven't a socket for given family

socket-default: Use -1 if socket is not available, as 0 is actually a valid fd

semaphore: similar to thread_create(), semaphore_create() is used by Mach

The compiler spits no warning, but the wrong symbol is used when calling
semaphore_create() from strongSwan. Override the name with a #define to force
the use of our semaphore_create().

.gitignore: add OS X .DS_Store files

Merge branch 'charon-cmd'

Introduce a simple IKEv1/IKEv2 command line client, charon-cmd. It does
not need any configuration files at all, but takes a few command line arguments
to establish connections as a road warrior.

charon-cmd: add an option to set a different server identity

proposals: try next if IKEv2 algorithm could not be mapped to IKEv1

charon-cmd: add support for different IKEv1/IKEv2 authentication profiles

charon-cmd: support multi-line help text for each option in usage

charon-cmd: add --local/remote-ts options to set traffic selectors

charon-cmd: Use dynamic ports with the socket-default plugin

settings: Add a set_default_str() to set a different default for a key

The value is set only if it is not configured in strongswan.conf or has
not been set() otherwise.

charon-cmd: prompt for EAP passwords on-demand using a callback credential set

charon-cmd: authenticate with EAP if no private key is given

charon-cmd: pass arguments to all handlers, even if already handled

charon-cmd: build long_opts only once when reading arguments in charon-cmd

charon-cmd: add support for using dynamic ports in charon-cmd

socket-dynamic: when sending from port zero, allocate a free port dynamically

controller: clean up job data if a thread gets cancelled waiting in a function

Controller functions are thread cancellation points, so register a cancellation
handler cleaning up job data.

charon-cmd: load certificates and RSA private keys

charon-cmd: add a connection object and its initiation to charon-cmd

charon-cmd: move command line options to separate file, obsolete short options

charon-cmd: add a stub for charon-cmd, a simple command line IKE client

Merge branch 'leak-detective-dlsym'

Replaces the use of deprecated glibc malloc hooks by overloading malloc calls
and find the originals using dlsym(RTLD_NEXT).

On OS X, we now support the use of leak detective by changing the default
malloc zone functions, backtraces get resolved using atos.

It seems that the performance bottleneck now is stack unwinding. Unfortunately
a new libunwind based backtrace() is not much faster than the libc variant; we
keep that option nonetheless for platforms without backtrace().

scripts: add a simple test utility to do some malloc() benchmarking/profiling

backtrace: use atos instead of addr2line on OS X to resolve source lines

backtrace: add an alternative stack unwinding implementation using libunwind

leak-detective: add support for OS X by hooking default malloc zone

leak-detective: remove unused malloc call counters

leak-detective: align allocations on both 32 and 64-bit systems to 32 bytes

leak-detective: call tzset() explicitly before enabling leak detective

tzset() is hard to whitelist on some systems, as there is no symbol involved.
Call tzset() explicitly before initialization to avoid false positives.

leak-detective: override malloc functions instead of using deprecated hooks

malloc hooks have become deprecated, and their use has always been problematic,
especially in multi-threaded applications. Replace the functionality by
overriding all malloc functions and query the system allocator functions
using dlsym() with RTLD_NEXT.

Merge branch 'silent-automake'

Adds support for --enable/disable-silent-rules when building with Automake
1.11 or 1.12. make V=0 or V=1 can be used to build with a different verbosity
than ./configured.

Add -s to make if --enable-silent-rules is ./configured

Use the GEN silent rule when generating files with sed

Use the GEN silent rule when generating oid database with perl

Use the GEN silent rule when generating gperf files

Provide the --enable-silent-rules ./configure option with automake 1.11 and 1.12

Introduce an optional logger_t.vlog() method with format string and arguments

To have more flexibility in the logging backend, receiving the original format
string and do printf() substitution in the logger may be preferable. An
additional but optional logger method does not touch the behavior of existing
loggers.

Raise an ALERT_PROPOSAL_MISMATCH_CHILD also when receiving NO_PROPOSAL_CHOSEN

Raise an ALERT_PROPOSAL_MISMATCH_IKE also when receiving NO_PROPOSAL_CHOSEN

eap-radius: add an option to disable accounting for tunnels without virtual IP

eap-radius: use IKE_SA unique id instead of peer identity to manage virtual IPs

Fixes some corner cases if multiple tunnels use the same peer identity.

Don't unset IKE_SA on bus before we released virtual IPs and attributes

New Android release after adding AES-GCM, IPv6-in-IPv4 and using kernel-netlink

libipsec now supports AES-GCM, IPv6 tunnels over IPv4 are supported,
native x86 libraries are built (requires a new Vstr build script).
Also, the existing kernel-netlink plugin now provides the kernel-net
implementation, which should be more stable in case multiple interfaces
are up and have IP addresses installed on them.

libipsec: Fix memory leak in event relay

android: Use stronger ESP proposal including AES-GCM

libipsec: Add support for AES-GCM

libipsec: Wrap traditional algorithms in AEAD wrapper

android: Remove unused methods on NetworkManager/network_manager_t

android: Ignore interface 'lo'

Android adds a default route via 'lo' if no connectivity is available
causing charon to send packets via lo and triggering DPD.

android: Repurpose android-net to simply handle connectivity events

Using the events by NetworkManager/ConnectivityManager to trigger roam events
instead of the events generated by the kernel-netlink plugin the noise level
is much lower.

kernel-netlink: Add an option to disable roam events

android: Replace android-net plugin with kernel-netlink

Virtual IPs are not handled by the kernel-netlink plugin and tun devices are
ignored.

android: Set strongswan.conf options before initializing other libraries

kernel-netlink: Define defaults for routing table and prio

openssl: Define a default for FIPS_MODE

In memwipe_check(), don't put magic on stack when calling do_magic()

Otherwise the magic might be on the stack while checking it.

Dump stack if memwipe() check fails

Use attest database in tnc/tnccs-20-os scenario

fixed a 64bit time_t issue

destroy SQL query

Keep last AR ID

Added use of openssl-fips library to NEWS

check for successful activation of FIPS mode

install FIPS-aware OpenSSL Debian packages

Added openssl-ikev2/rw-cpa scenario

build openssl-fips in KVM root-image

fixed typo

During libstrongswan initialization, check if memwipe() works as expected

added libstrongswan.plugins.openssl.fips_mode to man page

support of OpenSSL FIPS-140-2 library