Split early startup code out of locore.S into locore0.S.  Adjust link
run so that this locore0.o is always at the start of the executable.
But randomize the link order of all other .o files in the kernel, so
that their exec/rodata/data/bss segments land all over the place.
Late during kernel boot, unmap the early startup code.

As a result, the internal layout of every newly build bsd kernel is
different from past kernels.  Internal relative offsets are not known
to an outside attacker.  The only known offsets are in the startup code,
which has been unmapped.

Ramdisk kernels cannot be compiled like this, because they are gzip'd.
When the internal pointer references change, the compression dictionary
bloats and results in poorer compression.

ok kettenis mlarkin visa, also thanks to tedu for getting me back to this

about ten different improvements; OK tedu@ espie@ bentley@

Style and spacing nits.

use the standard OpenBSD license for new manual pages
rather than some 2-clause variant of the ancient BSD license;
OK benno@ tedu@

Do not use CVS_LOCK_REPO for committing.

This flag tells our file recursion code that for each directory entered
we should lock it. Commit however locks all relevant directories on its
own when it is about to make changes and should not depend on the file
recursion code to do so.

sync

Shut up a warning.

Plug memleak in rcs_translate_tag() that was causing havoc on large repos.

When unlocking a directory only unlock the given one rather then all repo_locks.

fix indentation

Fix opencvs tag so it does not attempt to to local operations in a remote setup.

While here make sure the "up-to-date" check (-c) works as one expects.

Implement support for missed beacon notifications in iwn(4).
Works with WIFIonICE.
ok phessler@

remove -X, it was just migrated to mandoc -Wstyle; OK wiz@

STYLE message about missing use of Ox/Nx/Fx/Dx; OK jmc@ wiz@

time.h here too.

Need time.h.

Add support for EV_RECEIPT and EV_DISPATCH flags

From FreeBSD via Jan Schreiber <jes at posteo ! de>, thanks!
OK tedu, bluhm

another place to use ieee80211_min_basic_rate() to select the minimum tx rate

OK stsp@

Use mbuf_queue to properly serialize access to pflow output queue.

Input from mpi@, jmatthew@; OK mpi@, henning@, benno@

section order;

add ieee80211_min_basic_rate() to iwm(4), to select the lowest available
datarate for management frames

based on revs 1.187 and r 1.188 from iwn(4)

OK stsp@

Some applications like vi(1) and tmux until 10 minutes or so ago, do not
redraw on SIGWINCH if the size returns to the original size between the
original SIGWINCH and when they get around to calling TIOCGWINSZ. So use
the existing resize timer to introduce a small delay between the two
resizes.

make sure we don't pass a NULL string to vfprintf (triggered by the
principals-command regress test); ok bluhm

Man page bits for ext-community which grew a few more subtypes.
Based on a diff from Job Snijders

Update ext community printer to the changes done in bgpd.
OK henning@ benno@

Oups, that should have not been committed. Revert.

Rework the way we do extended communities (mainly in the parser) and update
the IANA table to a somewhat more complete list. This includes BGP Prefix
Origin Validation State support via the ext-community ovs keyword.
OK henning@ benno@ based on a diff by Job Snijders

sync

install futex(2), ok mpi

It is not OK to ignore SIGWINCH if SIOCGWINSZ reports the size has
unchanged, because it may have changed and changed back in the time
between us getting the signal and calling ioctl(). Always redraw when we
see SIGWINCH.

Because we defer actually resizing applications (calling TIOCSWINSZ)
until the end of the server loop, tmux may have gone through several
internal resizes in between. This can be a problem if the final size is
the same as the initial size (what the application things it currently
is), because the application may choose not to redraw, assuming the
screen state is unchanged, when in fact tmux has thrown away parts of
the screen, assuming the application will redraw them.

To avoid this, do an extra resize if the new size is the same size as
the initial size. This should force the application to redraw when tmux
needs it to, while retaining the benefits of deferring (so we now resize
at most two times instead of at most one - and only two very rarely).

Fixes a problem with break-pane and zoomed panes reported by Michal
Mazurek.

perhaps a few more words about encoding format

minor tweaks;

use SO_ZEROIZE for privsep communication (if available)

utf8 has an rfc

Deleting a default route proposal is a bit of work and the code got
copied around (not always correctly). Introduce free_dfr_proposal() to
have this in one place.

clarify that translations happen immediately on match rules, not generally
Tony Gong <tony.y.gong at gmail>

As pf blocks packets with IPv6 options header, the tests needs an
allow-opts rule.

Block IPv6 packets in pf(4) that have hop-by-hop options header or
destination options header.  Such packets can be passed by adding
"allow-opts" to the rule.  So IPv6 options are handled like their
counterpart in IPv4 now.
tested by benno@; OK henning@

The net80211 stack was providing a 'beacon miss timeout' value (in ms)
which specified how much time may elapse without beacons before drivers
begin searching for a new AP.

Drivers convert this timeout value into the amount of beacons they're allowed
to miss. Having the stack provide this number upfront simplifies things.

ok mpi@

Switch to recallocarray() for a few operations.  Both growth and shrinkage
are handled safely, and there also is no need for preallocation dances.
Future changes in this area will be less error prone.
Review and one bug found by markus

These shutdown() SHUT_RDWR are not needed before close()
ok djm markus claudio

virtio_pci: Support IPL_MPSAFE interrupt handlers

new socketoption SO_ZEROIZE: zero out all mbufs sent over socket
ok deraadt bluhm

Look for setrgbf and setrgbb terminfo extensions for RGB colour. This is
the most reasonable of the various (some bizarre) suggestions for
capabilities.

Add serial console support for efiboot.

Add missing function prototype for iwm_rx_bmiss().

add a tiny, to be improved, man page for utf8 encoding.
ok stsp

Disable "machine boot" and "machine comaddr" from efiboot.

Implement support for iwm(4) firmware's missed beacon notification.
Requested by deraadt@
ok mpi@

document COMPILER, this is getting to be clean enough to be documentable

Optimize virtio_enqueue_trim() a bit by nuking unneeded
re-initializations of statically set fields. Move a common
chunk out of both clauses of if/else.

No intentional functional change.

ok sf@

clear session keys from memory; ok djm@

whitespace nit

Change cp -pR to pax copy mode with -k when copying /etc/skel. This way
we keep existing files in the user's home directory that might have been
installed from siteXX.tgz. Found the hard way by Erling Westenvik.
Thanks to trondd for helpful analysis.

"If that's what it does, I'm all for it" halex

Drop -t option from ctags call.

The option has been deprecated for almost 7 years by now.

ok tb@

do not leak address and dfr proposals if an interface goes away

we can just use void for functions that always return 0.
from Michael W. Bombardieri

add a workaround for the rebound portjacking hijinks. ok millert

remove DEBUG_IMSG; I have figured out imsg flow by now; no binary
change

make a copy of the first EV_SET argument to prevent multiple evaluation.
matches freebsd, fixes lldb. from Kamil Rytarowski at NetBSD.
while here, make the same change to KNOTE. ok deraadt

remove now obsolete ctx from ssh_dispatch_run; ok djm@

Allow replacement of UTF-8 characters in vi mode.

Reported by Walter Alejandro Iglesias on tech@.

ok schwarze@ tb@

ca_revoke() gets called two ways.  Directly from ca_opt() with keyname
set to the cert to revoke, and indirectly from ca_create() with a
keyname set to NULL.

ca_create() sets REQ_EXT so avoid setting it in ca_revoke() when keyname
is NULL and the crl database is being initialised.

Avoids "REQ_EXT already set" when creating a CA error introduced
in rev 1.44 which set REQ_EXT unconditionally in ca_revoke().

tweak previous;

Move IPv4 & IPv6 incoming/forwarding path, PIPEX ppp processing and
IPv4 & IPv6 dispatch functions outside the KERNEL_LOCK().

We currently rely on the NET_LOCK() serializing access to most global
data structures for that.  IP input queues are no longer used in the
forwarding case.  They still exist as boundary between the network and
transport layers because TCP/UDP & friends still need the KERNEL_LOCK().

Since we do not want to grab the NET_LOCK() for every packet, the
softnet thread will do it once before processing a batch.  That means
the L2 processing path, which is currently running without lock, will
now run with the NET_LOCK().

IPsec isn't ready to run without KERNEL_LOCK(), so the softnet thread
will grab the KERNEL_LOCK() as soon as ``ipsec_in_use'' is set.

Tested by Hrvoje Popovski.

ok visa@, bluhm@, henning@

add some details relating to SATA device power management
part of a diff from Imre Vadasz via sf@

fix SATA_SStatus_DET_OFFLINE value and add newer SStatus bits
from Imre Vadasz via sf@

use the ssh_dispatch_run_fatal variant

fold the vnetid and parent lines into a single encap line.

this is a modest attempt to shorten the ifconfig output. encap wont
show up if neither vnetid or parent are supplied by an interface.

whitespace tweaks from benno@
output tweaks from reyk@
ok deraadt@ henning@

make vlan use their parents lladdr all the time, not just when theyre up.

krw@ has been having issues with dhclient on vlan interfaces because
i made them only configure the lladdr when they were brought up.
dhclient likes to read the mac address and then bring them up.

this makes vlan copy the parents lladdr onto the vlan interface
when the parent is configured. this probably helps with v6 addresses
on vlan interfaces too.

the new code still supports configuring a custom lladdr on a vlan
interface. this can be done both before and after a parent is
configured, and if a parent is removed.

while here, if the parent is reconfigured while the vlan is up, dont
error if the new parent is the same as the current one. this should
make running netstart again less noisy.

ok krw@

another ctx => ssh conversion (in GSSAPI code)

use strerror; from Edgar Pettijohn

typo; from Edgar Pettijohn

avoid going outside array bounds
ok krw@ deraadt@

spell out that custom options/extensions should follow the usual SSH
naming rules, e.g. "extension@example.com"

one more void *ctx => struct ssh *ssh conversion

close fd on an exit path

one more void *ctx => struct ssh *ssh conversion

Fix a memory leak in pkey_add() error path.  All current callers fatal
if pkey_add() fails.

Add support for Ralink RT5360.  From Kevin Lo who tested with a
D-Link DWA-525 rev A2.

regen

Add Ralink RT5360.  From Kevin Lo.

Make gcc move switch tables into .rodata instead of .text on i386/amd64

For C++, gcc has to make use of comdat sections instead
of .gnu.linkonce sections for this because
switch tables and functions would now end up
in different .gnu.linkonce sections. This can cause ld
to sometimes incorrectly discard the switch tables, which causes
linker errors. With comdat sections, making the switch table
and function sections belong together is more reliable.

ok deraadt@

fix possible OOB strlen() in SOCKS4A hostname parsing; ok markus@

make the AES-XTS mode a little more constant-time, though the AES
implementation that it depends on currently isn't.

ok mikeb tom

add option "query from <ip>" to ntpd.conf, to specify a local IP
address for outgoing ntp queries.
From Job Snijders, thanks!
with feedback and ok henning@

Allow building the bootstrap with clang:
* skip the integrated assembler for assym.h
* use as(1) to build biosboot.S and the various versions of srt0.S
ok deraadt@

sync

Oops, this was RTP_BGP during development to be able to easier spot
the configured route. Should be RTP_DEFAULT.

Make doas regression tests that involve doas running use a non-nosuid
partition, or skip if it could not find a one.

thanks bluhm@ for valuable input

remove no longer needed splnet/splx.
ok florian@

Rewrite of choose mode, both to simplify and tidy the code and to add
some modern features.

Now the common code is in mode-tree.c, which provides an API used by the
three modes now separated into window-{buffer,client,tree}.c. Buffer
mode shows buffers, client mode clients and tree mode a tree of
sessions, windows and panes.

Each mode has a common set of key bindings plus a few that are specific
to the mode. Other changes are:

- each mode has a preview pane: for buffers this is the buffer content
  (very useful), for others it is a preview of the pane;

- items may be sorted in different ways ('O' key);

- multiple items may be tagged and an operation applied to all of them
  (for example, to delete multiple buffers at once);

- in tree mode a command may be run on the selected item (session,
  window, pane) or on tagged items (key ':');

- displayed items may be filtered in tree mode by using a format (this
  is used to implement find-window) (key 'f');

- the custom format (-F) for the display is no longer available;

- shortcut keys change from 0-9, a-z, A-Z which was always a bit weird
  with keys used for other uses to 0-9, M-a to M-z.

Now that the code is simpler, other improvements will come later.

Primary key bindings for each mode are documented under the commands in
the man page (choose-buffer, choose-client, choose-tree).

Parts written by Thomas Adam.

Use the CD bit (Cursor Disable) in the cursor start register to properly
disable hardware cursor.

From NetBSD.

OK deraadt@

First pass to make bluhm@ happy regarding doas regress conf.

1. Make permit tests use wsrc instead of wobj (because basically, to run
   test you need obj being writable, unless you want to pollute /usr/src);
2. Test if current user is in wobj group prior running the test, and skip
   the test if he is not.

event injection framework, will be used for other features coming shortly

ok deraadt

tweak previous;

MIN->MINIMUM, even though smb is currently disabled.

sizes for free()
ok henning

remove XXX from the comments marking "holes" in the ioctls. I see very
very little value in these comments at all, but the XXX is just wrong and
in the way when looking for real XXXs. phessler agrees