Factor the computation of ECDSA s into a function

ossl_ecdsa_sign_sig() is already complicated enough. The math bit is
entirely self contained and does not need to obfuscate control flow
and logic.

with feedback from and ok jsing

document the recent addition of "Building from scratch" and what it means.

add support for unix domain sockets to ssh -W

ok djm@ dtucker@

m_reclaim() was removed in uipc_mbuf.c rev 1.195

a little knf, no functional change

remove unused global var
ok sashan@

record when pkg_add is actually doing something.
details of rc code to be set in stone later (currently as an option)

favor REGRESS_EXPECTED_FAILURES

also make things 5.36 if not used

Add support for marking lines with a shell prompt based on the OSC 133
extension, from Munif Tanjim in GitHub issue 3596.

Enable mouse.tp.mtbuttons for apldcms

ok bru@

use consistent queue(9) example for LIST removal;  OK bluhm mvs

An empty string indicates there is no NXTNUM().

Fixes segfault in -e if you happen to delete everything after
a partition line's ":".

sign_sig: drop ckinv

The only reason ckinv exists is to be able to avoid a copy. This copy
leaks some timing info, that will be mitigated in a subsequent step.
It is an unused or at least uncommonly used codepath.

ok jsing

Rework the logic in ECDSA sign_sig()

If the caller supplied both kinv and r, we don't loop but rather throw
an undocumented error code that no one uses, which is intended to tell
the caller to run ECDSA_sign_setup() and try again.

Use a boolean that indicates this situation so that the logic becomes
a bit more transparent.

ok jsing

add regress tests for the remainder of the function provided by our uuid.h

add a few tests related to --cflags and --libs in combination with Requires.private.

skipping one (currently failing) test which exhibits the behaviour described
by humm@ljabl.com on bugs@

Use new ibuf API. Use ibuf_data() and ibuf_size() instead of direct
struct access and use ibuf_set_n16() to update the length field.
OK tb@

Delete some more references to dead policy code.
Fixes -DNAMESPACE

ok tb@

sign_sig: test on assignment

sign_setup: split another check into two

typo

Do not risk writing over the end of the buffer when it ends in #
(because strchr \0 will be non-NULL), reported by Robert Morris in
GitHub issue 3610.

Use ibuf_data() and ibuf_size() instead of accessing struct ibuf.
OK tb@

Use ibuf_data() and ibuf_size() instead of accessing struct ibuf.
OK tb@

Split range checks for ECDSA r and ECDSA s

requested by jsing

Switch a couple of test from ucmp to cmp

This is confusing, as both sides involved should be unsigned. The ec
code is undecided on whether the group order can be negative. It should
never be, so lets see what happen with this slightly stricter check.

discussed with jsing

ossl_ecdsa_verify_sig(): simplify range checks

The checks whether r and s lie in the interval [1, order) were a bit
uglier than necessary. Clean this up.

ok beck jsing

List variables in a somewhat more sensible order

In ossl_ecdsa_verify_sig() use BN_CTX more idiomatically

ok beck jsing

Split a bunch of unrelated checks

ok beck jsing

Make ossl_ecdsa_verify_sig() single exit

ok beck jsing

Switch ossl_ecdsa_verify() to timingsafe_memcmp()

Requested by jsing

Streamline ossl_ecdsa_verify()

Make it single exit and use API more idiomatically and some other
cosmetics.

ok beck jsing

Use ibuf_data() instead of direct access to ibuf->buf,
use ibuf_size() instead of direct access to ibuf->wpos,
use ibuf_left() in places where the code checks if there is enough
space left in the ibuf.
OK tb@

Use ibuf_data() instead of directly accessing ibuf->buf.
OK tb@

Use ibuf_data() instead of accessing ibuf->buf directly.
OK tb@

Explicit parameter printing can also use get0_order()

ok beck jsing

Convert ossl_ec_key_gen() and EC_KEY_check_key()

These also get the EC_GROUP_get0_order() treatment

ok beck jsing

Convert EC_GROUP_check() to EC_GROUP_get0_order()

ok beck jsing

Inline two copies of EC_GROUP_order_bits()

This code is way more complicated than it needs to be. Simplify. ec_bits()
was particularly stupid.

ok beck jsing

use semicolon not comma at eol
ok stsp@

fix uuid_dec_{b,l}e prototypes

ok jmc@

some minor fix up;

Another warning fix for GCC from Thomas Klausner.

when shutting down a vm, handle the VM id in the same way as a VM name argument

ok dv@

Nuke unused label 'next:'.

Bring back no_tls1 and no_tls1_1 as undocumented silently discarded opitons

While I'm here, change the no_ssl2 and no_ssl3 options to use
OPTION_DISCARD as well instead of continuing to set a no-op
option flag.

ok jsing@ tb@

typofix lladdr in function names;  OK deraadt jan

Switch ECDSA code to using EC_GROUP_get0_order()

ok jsing

Provide internal-only EC_GROUP_get0_order()

ok jsing

Bring malloc(9) and <sys/malloc.h> into sync for M_* entries, such
that the former's text comes from the latter's comments.  Rationalize
capitalization, whitespace, and plural-vs-singular.  Mark things for
for automation in the future.

Prompted by loss of sync from the addition of M_IFGROUP and M_PF
Previously worked up in discussion with schwarze@ and jmc@

ok deraadt@, miod@, jmc@

Remove the tls1.0 and 1.1 related options from the openssl(1) toolkit

ok tb@

The only thing worse than treating 'return' as a function call is
randomly mixing 'return (blah)' and 'return blah' idioms.

Nuke the '()'s. No intentional functional change.

Another empty line did not want to go in

Stop caring about tls 1.0 and 1.1.

Syslogd is not a tls protocol tester in any case. These tests
should not care what version of tls they use

Stop testing tls 1.0 and 1.1

They have gone behind the barn.

Trade a pair of extra braces for a missing empty line

Add button mappings for two- and three-finger clicks on clickpads.

Based on a proposal of tobhe@.

ok tobhe@

Simplify allocation checks

Instead of attempting to allocate a few times and only then check all the
returned pointers for NULL, allocate and check one after the othre. This
is easier on the eyes and what we usually do.

Prompted by a report by Ilya Shipitsin

ok beck

Use TSO and LRO on the loopback interface to transfer TCP faster.

If tcplro is activated on lo(4), ignore the MTU with TCP packets.
They are passed along with the information that they have to be
chopped in case they are forwarded later.  New netstat(1) counter
shows that software LRO is in effect.  The feature is currently
turned off by default.

tested by jan@; OK claudio@ jan@

Clean up dynamic tables in OPENSSL_cleanup()

This is not currently done in OpenSSL, but it looks more like something
that was mised rather than desired behavior. There are some thread safety
issues here, but those are rife in this codebase anyway (although I heard
claims on some versions of this lib being "fully threadsafe").

no objection jsing

all platforms, kernel: remove __HAVE_CLOCKINTR symbol

Every platform made the clockintr switch at least six months ago.
The __HAVE_CLOCKINTR symbol is now redundant.  Remove it.

Prompted by claudio@.

Link: https://marc.info/?l=openbsd-tech&m=168826181015032&w=2
"makes sense" mlarkin@

Disable TLS 1.0 and TLS 1.1 in libssl

Their time has long since past, and they should not be used.
This change restricts ssl to versions 1.2 and 1.3, and changes
the regression tests to understand we no longer speak the legacy
protocols.

For the moment the magical "golden" byte for byte comparison
tests of raw handshake values are disabled util jsing fixes them.

ok jsing@ tb@

Convert some tables to C99 initializers

ok & "happy pirate day" beck

Fix return values of ecx methods

It is hard to get your return values right if you choose them to be a
random subset of {-2, ..., 3}. The item_verify() and the digestverify()
methods don't return 0 on error, but -1. Here 0 means "failed to verify",
obviously.

ok jsing

Demacro SHA-512.

Use static inline functions instead of macros to implement SHA-512. At
the same time, make two key changes - firstly, rather than trying to
outsmart the compiler and shuffle variables around, write the algorithm
the way it is documented and actually swap the variable contents. Secondly,
instead of interleaving the message schedule update and the round, do the
full message schedule update first, then process the round.

Overall, we get safer and more readable code. Additionally, the compiler
can generate smaller and faster code (with a gain of 5-10% across a range
of architectures).

ok beck@ tb@

Fix typo in previous

Use asprintf() to avoid repetition in string constants

... since ASN1_bn_print() is stupid.

ok jsing

Split ECPKParameters_print()

This function has two entirely independent parts, so instead of a huge
if/else just use two functions. In ecpk_print_explicity parameters() do
some additional boring cleanup such as switching to actually using the
local BN_CTX and shuffling things into a slightly more sensible order.

ok jsing

Switch sign_sig() and sign_setup() to using BN_CTX

Both these functions use a BN_CTX internally to deal with the EC API
that usually requires one. However, they don't actually make use of it.
Get the BIGNUMs from the BN_CTX instead, which simplifies the cleanup.
Also defer allocation of the ECDSA_SIG to the very end. Instead of using
its internal r and s, use two local r and s variables and transfer those
to the ECDSA_SIG on success.

ok beck jsing

lost silence_children behavior by accident
add a hook to compute the exit_code in more fun ways

Revert hunk accidentally committed in r1.39

Rework handling of the out_kinv and out_r pointers

suggested by jsing

Replace bn_sqr_words() with bn_sqr_add_words().

In order to implement efficient squaring, we compute the sum of products
(omitting the squares), double the sum of products and then finally
compute and add in the squares. However, for reasons unknown the final
calculation was implemented as two separate steps.

Replace bn_sqr_words() with bn_sqr_add_words() such that we do the
computation in one step, avoid the need for temporary BN and remove
needless overhead. This gives us a performance gain across most
architectures (even with the loss of sse2 on i386, for example).

ok tb@

Rename ctx_in into in_ctx, kinvp into out_kinv and rp into out_r

Rename a few variables from X to x

sync

Simplify things by switching to bn_rand_interval()

This avoids some silly dances in ECDSA signature generation by replacing
them with a single API call. Also garbage collect the now unnecessary
range.

ok beck jsing

Unconditionally zero the ECDH key

While memset() is quite expensive, we can afford zeroing a few extra bytes
to make this code more readable.

ok beck jsing

PS_CHROOT flag must also be copied when forking.  This will block
a ypconnect(2) from reading inside an incorrectly configured space.
ok kettenis

Teach openssl ca about Ed25519 certificates

This adds a few logic curlies to end up setting the EVP_MD to EVP_md_null()
as required by the API. This way ASN1_item_sign() now knows how to behave.

"ok = (rv == 2);" beck

Teach openssl req about EdDSA certs

After a few things in libcrypto were adjusted, this diff makes issuing
certificate requests with Ed25519 work.

ok beck

Remove the ability to do tls 1.0 and 1.1 from libtls.

With this change any requests from configurations to request
versions of tls before tls 1.2 will use tls 1.2. This prepares
us to deprecate tls 1.0 and tls 1.1 support from libssl.

ok tb@

ECDSA_size(): move order a few lines down

Invert method checks to avoid stupid line breaks

Move the EC_POINT a bit down and a * to the right place

ech_key.c: Fix includes

We need stdint.h for uintptr_t, stdlib.h for malloc, ec.h for various
things, but there's no need for objects. or sha.h.

clockintr_cpu_init: stagger clock interrupts by MAXCPUS

During clockintr_cpu_init(), we can't stagger by ncpus because not
every platform has fully incremented it yet.  Instead, stagger by
MAXCPUS.  The resulting intervals are smaller, but are probably still
sufficiently large to avoid aggravating lock contention, even on
platforms where MAXCPUS is large.

While here, don't bother staggering the statclock if it is randomized.

With input from claudio@.

Add sensor to qccpu to be able to show all cpu frequencies.

Document that small allocations are initially junked with 0xdf now

Manpage for qccpu.4

Add driver for QC cpu Power States.

ok kettenis@ patrick@

Enable AC detection in qcpas driver.

Will enable apm -A once cpu P-state driver is added.

Reverse polarity to avoid an overlong line

Reword comment to fit on a single line

tmp is a silly name for a point on an elliptic curve

Garbage collect the now unused len

Test and assign for EC_KEY_get0_private_key()

Add a missing NULL check for group

ok jsing