unit-tests: Add a simple semaphore test

unit-tests: Add a spinlock test case

unit-tests: Add a rwlock condvar thread cancel test

unit-tests: Add a rwlock condvar absolute timed wait test

unit-tests: Add a rwlock condvar wait test

unit-tests: Add a rwlock condvar broadcast test

unit-tests: Add a rwlock condvar test

unit-tests: Add a rwlock test case

unit-tests: Add a condvar test where wait gets cancelled

unit-tests: Add a condvar test working on a recursive mutex

unit-tests: Add a condvar absolute timed wait test

unit-tests: Add a condvar timed wait test

unit-tests: Add condvar broadcast test

unit-tests: Add a simple condvar test

unit-tests: Add a thread local storage cleanup test

unit-tests: Add a thread local storage fuzzer test

unit-tests: Add a thread cleanup pop test

unit-tests: Add cleanup test cases for different thread exit situations

unit-tests: Add a test for thread_cancellation_point()

unit-tests: Add thread cancellability testing

unit-tests: Add a simple thread_cancel() test

unit-tests: Add thread_exit() tests to both join and detach test cases

unit-tests: Add a simple thread detach test

unit-tests: Add a simple thread join() test

unit-tests: Add test suite for streams and services

unit-tests: Add a few test cases for watcher

unit-tests: Support testing multi-threaded code

unit-tests: Use a home-brew thread barrier to remove pthread dependency

unit-tests: Show how many test vectors have failed on test failure

unit-tests: Skip fmemopen() based printf() tests if not available

unit-tests: Avoid name clash with clone() from <sched.h>

unit-tests: Fix a compiler warning in identification tests

unit-tests: Clean up memory in new asn1 unit tests

Test runner checks for leaks when leak detective is enabled.

unit-tests: Pass linked_list->invoke* varargs as uintptr_t

Passing integers of unspecified length may result in passing an integer shorter
than uintptr_t. When reading them back, we might get more data than passed,
resulting in a failure.

unit-tests: Initialize backtracing before printing any backtraces

thread: Note that tread_cancellation_point temporarily activates cancelability

backtrace: Support backtracing even if library is not initialized

But of course backtracing must be initialized anyway using backtrace_init().

unit-tests: Enable libstrongswan tests even if --enable-unit-tests not set

As we don't depend on the check framework anymore, we can enable the unit tests
by default. These are built/executed with "make check" only, so it makes no
sense to disable them.

automake: Don't use parallel test harness being the default with automake 1.13

We have no need for the parallel test harness, and we prefer to have the output
of make check on the console

unit-tests: Implement testing framework without "check"

leak-detective: Call {gm,local}time_r() to allocate static buffer

On OS X Mavericks, these functions use a static allocation and are hard
to whitelist using other means.

leak-detective: Register OS X specific hooks just once

If we initialize libstrongswan more than once in the same process, we may
not register the hooks twice.

leak-detective: Reset leak list during cleanup

This resets leak detective state should it get created/destroyed more than once.

leak-detective: Use callback functions to report leaks and usage information

This is more flexible than printing reports to a FILE.

unit-tests: Move test suites to its own subfolder

ikev2: Properly free DH secret in case of errors during IKE key derivation

Fixes #437.

unit-tests: completed asn1_suite

Updated test_runner.h with new suites

unit-tests: 100% function coverage for asn1.c

unit-tests: 12 asn1 functions tested

Some minor refactoring in asn1.c

Do not free zero-length integer

unit-tests: Added tests for pen_type_t

Added IFOM_CAPABILITY notify message type

Updated copyright statement

charon-xpc: Set AUTH_RULE_IDENTITY_LOOSE on responder config

This allows the server to use a different IKE identity as long as the
configured hostname is contained in the certificate.

ike: Don't immediately DPD after deferred DELETEs following IKE_SA rekeying

Some peers seem to defer DELETEs a few seconds after rekeying the IKE_SA, which
is perfectly valid. For short(er) DPD delays, this leads to the situation where
we send a DPD request during set_state(), but the IKE_SA has no hosts set yet.
Avoid that DPD by resetting the INBOUND timestamp during set_state().

Added security info on CVE-2013-6075 and CVE-2013-6076

ikev1: Properly initialize list of fragments in case fragment ID is 0

Fixes CVE-2013-6076.

identification: Properly check length before comparing for binary DN equality

Fixes CVE-2013-6075.

unit-tests: Additionally do reverse match checking with empty identities

unit-tests: Test matching against some empty data identities

unit-tests: Test for equality against some empty data identities

unit-tests: Let identity equality test fail if a->equals(b) != b->equals(a)

PB-TNC PDP_REFERRAL message doesn't have to be in RESULT batch

Version bump to 5.1.1

Added test-driver to .gitignore

Encrypt carol's PKCS#8 private key in openssl-ikve2/rw-suite-b-128|192 scenarios

updown: fix segfault when interface name can't be resolved

The child_updown() function sets up environment variables to the updown
script. Sometimes call to hydra->kernel_interface->get_interface() could
fail and iface variable could be left uninitialized. This patch fixes
this issue by passing "unknown" as interface name.

Here is the stacktrace:

0  0x00007fa90791f445 in raise () from /lib/x86_64-linux-gnu/libc.so.6
1  0x00007fa907922bab in abort () from /lib/x86_64-linux-gnu/libc.so.6
2  0x0000000000401ed7 in segv_handler (signal=11) at charon.c:183
3  <signal handler called>
4  0x00007fa90793221f in vfprintf () from /lib/x86_64-linux-gnu/libc.so.6
5  0x00007fa9079f0580 in __vsnprintf_chk () from /lib/x86_64-linux-gnu/libc.so.6
6  0x00007fa9079f04c8 in __snprintf_chk () from /lib/x86_64-linux-gnu/libc.so.6
7  0x00007fa8f9b95b86 in snprintf (
    __fmt=0x7fa8f9b961b8 "2>&1 PLUTO_VERSION='1.1' PLUTO_VERB='%s%s%s' PLUTO_CONNECTION='%s' PLUTO_INTERFACE='%s' PLUTO_REQID='%u' PLUTO_ME='%H' PLUTO_MY_ID='%Y' PLUTO_MY_CLIENT='%H/%u' PLUTO_MY_PORT='%u' PLUTO_MY_PROTOCOL='%u"..., __n=1024, __s=0x7fa8f7923440 "2>&1 PLUTO_VERSION='1.1' PLUTO_VERB='up-host' PLUTO_CONNECTION='remote-40.0.0.40' PLUTO_INTERFACE='\367\250\177")
    at /usr/include/x86_64-linux-gnu/bits/stdio2.h:65
8  child_updown (this=0x8486b0, ike_sa=0x7fa8e4005f80, child_sa=0x7fa8d4008290, up=true) at updown_listener.c:308
9  0x00007fa907ecc11c in ?? () from /usr/lib/strongswan/libcharon.so.0
10 0x00007fa907ef89bf in ?? () from /usr/lib/strongswan/libcharon.so.0
11 0x00007fa907ef2fc8 in ?? () from /usr/lib/strongswan/libcharon.so.0
12 0x00007fa907ee84ff in ?? () from /usr/lib/strongswan/libcharon.so.0
13 0x00007fa907ee3067 in ?? () from /usr/lib/strongswan/libcharon.so.0
14 0x00007fa90835e8fb in ?? () from /usr/lib/strongswan/libstrongswan.so.0
15 0x00007fa908360d30 in ?? () from /usr/lib/strongswan/libstrongswan.so.0
16 0x00007fa907cade9a in start_thread () from /lib/x86_64-linux-gnu/libpthread.so.0
17 0x00007fa9079db4bd in clone () from /lib/x86_64-linux-gnu/libc.so.6
18 0x0000000000000000 in ?? ()

Signed-Off-By: Ansis Atteka <aatteka@nicira.com>

debian: build debug symbol package

Before this patch all debug symbols were stripped off and simply
discarded.  GDB without debug symbols is barely usable, but at
the same time distributing binaries with debug symbols would
drastically increase strongswan/libstrongswan package size.

Instead of discarding debug symbols, it would be better to strip
them off into a dedicated debian package.  So that, if needed, one
could still install them and use GDB.

Signed-off-by: Ansis Atteka <aatteka@nicira.com>

ipsec: Updated ipsec(8)

ipsec: Remove unused distro.txt

utils: Include stdio.h for fmemopen() replacement

This might now be required because Vstr is not necessarily required
anymore, which means stdio.h might not be pulled in by prinf_hook.h.

Use exact mask when calling umask(2)

Due to the previous negation the high bits of the mask were set, which
at least some versions of the Android build system prevent with a compile-time
check.

whitelist: Read multiple commands until client closes connection

This restores the same behavior we had before e11c02c8, and fixes the whitelist
add/remove-from command.

libtnccs: Add dummy entry to pb_tnc_tcg_msg_infos

That's required because the first message type in pb_tnc_tcg_msg_type_t
is 1 not 0.

swid: Properly clean up after reading SWID tag

man: strongswan.conf(5) updated

Fixed some typos

charon-xpc: Load missing eap-md5 plugin after enabling it

charon-xpc: Disable warnings about deprecated functions

This avoids all the deprecated warnings when using OpenSSL functins.

charon-xpc: Avoid -all_load linker flag

This seems to be not required anymore with the LLVM 5 toolchain.

charon-xpc: Properly xpc_retain() connections we xpc_release()

charon-xpc: Properly cast SA identifier to uintptr representation

charon-xpc: Don’t build against libvstr anymore

We now have our own printf backend and use it instead of Vstr.

charon-xpc: Build with EAP-MD5 support

utils: Fix check for fmemopen() fallback implementation

unit-tests: Set sa_len in sockaddr template data, if required

printf-hook-builtin: Don't rely on isinf() return value signedness

Many systems don't return a negative value for negative infinities; so do
a separate check.

watcher: Rebuild fdset when select() fails

This should make sure we refresh the fdset if a user closes an FD it just
removed. Some selects() seem to complain about the bad FD before signaling the
notification pipe.

rwlock: Disable thread cancelability while waiting in (fallback) rwlock

An rwlock wait is not a thread cancellation point. As a canceled thread
would not have released the mutex, the rwlock would have been left in unusable
state.

rwlock: Don't use buggy pthread_rwlock on OS X

Recursive read locks don't seem to work properly, at least on 10.9.

utils: Provide a fmemopen(3) fallback using BSD funopen()

Fixed sql/net2net-route-pem scenario evaluation

Added some example Debian SWID tags

Added Brainpool ECP support to NEWS

Added two Brainpool IKEv2 scenarios

pki: Replace BUILD_FROM_FD with passing a chunk via BUILD_BLOB

This allows more than one builder to try parsing the data read from STDIN.

chunk: Add helper function to create a chunk from data read from a file descriptor

semaphore: Support cancellation in wait functions of semaphore fallback

Semaphore wait functions should be a thread cancellation point, but did
not properly release the mutex in the fallback implementation.