Recommit previous "Remove useless struct in6_ifextra"

This was the right diff after all, I just confused myself between trees.

OK bluhm
---
  Remove useless struct in6_ifextra

  in6_var.h r1.75 removed all other struct members.

  Now It only contains a single struct nd_ifinfo pointer, so address family
  specific data might as well be just that.

  ND_IFINFO() is the only way nd6_nbr.c and nd6.c access this data, there is
  no other usage of if_afdata[].

  One allocation and unhelpful indirection less per interface.

  All under _KERNEL.

  OK claudio

Fix leaks in ecx_set_{priv,pub}_key()

When ecx_key_set_{priv,pub}() fails, ecx_key is leaked.

CID 377014

From jsing

Reverse arguments in CBS_dup()

We want to copy the tls_content_cbs() into the cbs, not the other way around

CID 377013

ok jsing

Fix inconsequential copy-paste error

CID 377010

sync

Use bn_wexpand() rather than bn_expand() with sizeof(BN_ULONG).

This also fixes a bug in BN_MONT_CTX_set(), where the sizeof(BN_ULONG) in
the call to bn_expand() was not multiplied by eight (to get bits).

ok tb@

Ensure that bn_expand()/bn_wexpand() fail on negative sizes.

ok tb@

Turn bn_wexpand() into a function.

Any sensible compiler will likely inline this anyway (and even if it does
not, one extra function call/return is the least of the performance
overhead for this code).

ok tb@

Move bn_expand() under bn_expand2().

No functional change.

ok tb@

Remove unused bn_dup_expand().

ok tb@

Move #ifndef OPENSSL_NO_DEPRECATED.

The BN_set_params()/BN_get_params() and associated unused variables are
meant to be in this block, not things like BN_new() and BN_free().

ok tb@

Remove bn_* defines/prototypes.

These now come directly via bn_lcl.h.

ok tb@

Interface tables (a.k.a. kif) in pf(4) are currently protected
by NET_LOCK() only. This change makes them protected by PF_LOCK().
Having this change in tree will allow us to remove NET_LOCK()
protection from ioctl(2) code path in pf(4).

OK dlg@, kn@

Fix some whitespace and comment formatting

Rename last OPENSSL_gmtime() to asn1_time_time_t_to_tm()

This rename was done before commit, but one instance was missed since it
was hidden behind #ifdef SMALL_TIME_T.

Spotted by Android CI.

Remove incorrect "r must not be a" comment

This was fixed by Eric A. Young in "a C2Net version of SSLeay" and
committed to OpenSSL by Mark J. Cox in January 1999 (OpenSSL a0a54079).

Plug leaks spotted by ASAN CI

Backout "Remove useless struct in6_ifextra" commit

I committed the wrong iteration of this diff, sorry for the noise.

mention what BN_ULONG is

Remove the lie that BN_ULONG might be 16 bits wide.

We don't install this page, but it might possibly still help developers
working on internals of the BN library, so i'm not in a hurry to cvs rm
this file.

Better document BN_ULONG (in the DESCRIPTION near BN_num_bits_word(3))
and BN_BITS2 (below RETURN VALUES).

While here, perform major reordering and rewriting
for precision and readability, in particular:
- Avoid misleading wordings like "size of a BIGNUM".
- Drop the trivial example.
- Move the pointers to RSA_size(3) and friends to CAVEATS.
- Stop recommending 8*BN_num_bytes() in this context because it is wrong, too.

Remove comment obsoleted by API change (and r1.3)

ed25519 test: make the testvectors table const

Use local variable consistently

All prior lines in this function already use it, do so on the last one.

OK claudio

Remove useless struct in6_ifextra

in6_var.h r1.75 removed all other struct members.

Now It only contains a single struct nd_ifinfo pointer, so address family
specific data might as well be just that.

ND_IFINFO() is the only way nd6_nbr.c and nd6.c access this data, there is
no other usage of if_afdata[].

One allocation and unhelpful indirection less per interface.

All under _KERNEL.

OK claudio

Add missing parantheses around if block

Stated during review but missed in the previous commit.

simplify makefile

Be more helpful and provide details on what the time conversion tests
need in order to run.

Also, output the expected SKIPPED string as dictated by bsd.regress.mk.

Copy apple-boot firmware to EFI system partition.  This enables automatic
bootloader updates on Apple Silicon computers.  We rely on fw_update(8)
to place apple-boot.bin in /etc/firmware.  installboot(8) will pick it
up from there and copy it to $ESP/m1n1/boot.bin, if this directory
exists.  The m1n1 directory and original boot.bin are created by the
Asahi Linux installer as part of the initial UEFI environment.

The firmware package was manually tested by many.
Regress, installation and upgrade with and without apple-boot.bin tested by me.

Feedback and ok kettenis@ kn@

Tweak a printf.

Add a unit test that crashes without bn_print.c r1.34.

Fix segfaults in BN_dec2bn() and BN_hex2bn()

bn_print.c r1.29 added length checks to avoid overflowing the BIGNUM.
If these checks are hit in length-only mode, i.e., bn is NULL, the
error path dereferences bn. Change goto err to an early return to
avoid this.

ok jsing

Allocate additional command queue slots and use command completion events
to run commands where we can sleep while waiting.  Rather than actually
using it as a queue, just allocate the slots to particular uses.
The first slot is used for polled commands (anything run while cold),
then there's one for general ioctls, one for kstat reads, and one for
link operations.  Since we can sleep while waiting now, we need to serialize
access to the command slots.  This is done with rwlocks for the ioctl and
kstat slots, and link slot is only used from a single instance task.
This also means we don't need to hold the kernel lock while doing kstat
reads.

Using interrupt based command completion drops the time taken to read all
the kstats off mcx interfaces from tens of milliseconds to almost nothing,
which is a pretty big win when you're reading them every few seconds on
busy firewalls.

ok dlg@

sync

count how many times ifiqs enqueue and dequeue packets.

network cards try to enqueue a list of packets on an ifiq once per
interrupt and ifiqs already count how many packets they're handling.
this let's us see how well interrupt mitigation is working on a
ring or interface. ifiqs are supposed to provide backpressure
signalling to a driver if it enqueues a lot more work than it's
able to process in softnet, so recording dequeues let's us see this
ratio.

sync

Replace manual loop and duplicate RB_NEXT with RB_FOREACH

The loop begins with saving a pointer to the next interface, does work and
then gets the same next interface again, for nothing.

Switch to the elsewhere consistently used RB_FOREACH helper.

OK sashan

document BN_nist_mod_521(3) and their four siblings

aplpwm(4)

Add aplpwm(4), a driver for the PWM controller found on Apple silicon.

ok tobhe@

Get rid of pmap_map_early().  This is part of my crusade against the use of
1G mappings for the PA = VA identity mapping used in the early boot phase
of the kernel and when spinning up CPUs.  The mappings are dangerous since
they might (unintentially) covering address ranges that should not be
mapped (i.e. secure memory) which is dangerous on arm64 since the
architecture allows speculative access to any address for which a valid
mapping exists and even speculative access may cause the machine to
misbehave.

So instead of relying on the PA = VA identity mapping, call pmap_bootstrap()
earlier such that we can use pmap_kenter_cache() to enter mappings for the
FDT.

ok miod@

Wait for a reply to the command that switches the touchpad into raw mode.
If we don't do this, the SMC appears to crash on machines with firmware
from macOS 12.6.1.  Insert a small delay of 1ms after sending the command
as polling for the reply too soon makes the command fail.

ok tobhe@

Fix DIOCIGETIFACES ioctl so all network interfaces
and interface groups are reported. The bug allowed
to enumerate the first 64 interfaces only.

The issue has been noticed and bug kindly reported
by Olivier Croquin.

OK kn@

port the kstat code from re(4) to rge(4)

this bit of the hardware works the same, so it's straightforward work.

ok jmatthew@

Fix a surprising quirk in BN_GF2m_mod(3).

All other wrappers in the same file that use a temporary array of
degrees size that array dynamically, such that they are able to
handle reducing polynomials of arbitrary lengths.  BN_GF2m_mod(3)
was the only one that used a static array of size 6 instead, limiting
it to trinomials and pentanomials and causing it to fail for longer
reducing polynomials.

Make this more uniform and less surprising by using exactly the
same code as in all the other wrappers, such that BN_GF2m_mod(3)
works with reducing polynomials of arbitrary length, too, just like
the others.

Again, tb@ points out this quirk is very unlikely to cause
vulnerabilities in practice because cryptographic applications do
not use longer reducing polynomials.

This patch is not expected to significantly impact performance
because the relevant caller, BN_GF2m_mod_div(3), already uses dynamic
allocation via BN_GF2m_mod_mul(3).

OK tb@

Fix an off-by-one bug in BN_GF2m_poly2arr(3).

If the last argument, the size of the output array, is too small to
contain all degrees present in the input polynomial plus one for the
terminating -1, the function is documented to return the size of the
output array that would be needed (in comments in the source code, in
the new manual page, and by the way how the function is used by other
functions in the same file).  However, in case of overflow, the existing
code failed to include the element needed for the terminating -1 in the
return value, wrongly indicating success if everything but the -1 did
fit and reporting failure with a size that was still too small otherwise.

According to tb@, this is very unlikely to cause vulnerabilities in
practical applications because there is no real reason to pick a
reducing polynomial longer than a pentanomial, because all known
callers use either fixed size arrays of size 6 or dynamic allocation,
because use of GF(2^m) is rare in practice, and GF(2^m) with custom
reducing polynomials even more so.

OK tb@

Sync struct pfi_kif with reality

pfik_srcnodes and pfik_flagrefs members were added in sys/net/pfvar.h
r1.492 (jul 2019) and r1.505 (dec 2021), respectively.

correct alignment; from brad

fix vertical spacing in previous

mips64, loongson, octeon: switch to clockintr

- Remove mips64-specific clock interrupt scheduling bits from cpu_info.
- Add missing tick_nsec initialization to cpu_initclocks().
- Disable the glxclk interrupt clock on loongson.  visa@/miod@ say it
  can be removed later if it isn't useful for anything else.
- Wire up cp0_intrclock.

Notes:

- The loongson apm_suspend() changes are untested, but deraadt@ claims
  APM suspend/resume on loongson doesn't work anyway.
- loongson and octeon now have a randomized statclock(), stathz = hz.

With input from miod@, visa@.  Tested by miod@, visa@.

Link: https://marc.info/?l=openbsd-tech&m=166776379603497&w=2
ok visa@ mlarkin@

riscv64: switch to clockintr

- Remove riscv64-specific clock interrupt scheduling bits from
  cpu_info.
- Remove riscv64-specific randomized statclock() bits from
  riscv64/clock.c.
- Remove the 'stat_count' evcount.  All clock interrupts are
  now counted via the 'clock_count' evcount.
- Wire up timer_intrclock.

With input from jca@, kettenis@.  Tested by jca@.

Link: https://marc.info/?l=openbsd-tech&m=166776413003655&w=2
ok kettenis@ jca@ mlarkin@

Decrease netlock pressure in pppx(4).

Push netlock down to pppx_add_session(). The 'pppx_if' structure has
the `pxi_ready' member to prevent access to incomplete `pxi', so we
don't need to hold netlock during all initialisation process. This
removes potential PR_WAITOK/M_WAITOK allocations impact on packet
processing. Also this removes relock dances around if_attach() and
if_detach() calls.

Do not grab netlock for FIONREAD. mbuf(9) queue doesn't rely on it.

Do not grab netlock around pipex_ioctl() call. pipex(4) has its own
protection and doesn't rely on netlock. We need to unlink  pipex(4)
session before destroy associated `pxi', it can't be killed
concurrently. Also this stops to block packet processing when npppd(8)
periodically does PIPEXGCLOSED ioctl(2) commands.

The dummy FIONBIO case doesn't require any lock to be held.

The netlock remains to be taken around pppx_del_session() and
pppx_set_session_descr() because pppx(4) data structures rely on it.

Tested by Hrvoje Popovski.

ok yasuoka@

Push kernel lock into pru_control() aka. in6_control() / in_control()

so->so_state is already read without kernel lock inside soo_ioctl()
which calls pru_control() aka in6_control() and in_control().

OK mvs

Prettify expired rules printing

"pfctl -s rules"    omits expired rules but print newlines for them.
"pfctl -s rules -v" omits expired rules but print their stats.

Add the existing skip check to those two missing print logic places such
that expired rules won't cause any output at all, as expected, unless
debug ("-g") or more verbose ("-vv") mode are given, as documented.

OK sashan

Fix comment describing BN_mod_sqrt()

It was placed and formatted weirdly. Fix the title of the book referenced
and complete the reference's information.

Rework pkey_dsa_sign() and pkey_dsa_verify()

Since DSA_sign() and DSA_verify() ignore their type argument, don't bother
to determine it here. Check all size_t for overflow before passing them as
int arguments. Follow OpenSSL and add a check to see if the tbs blob's
length matches the one of the md, in case it is set on the EVP_PKEY_CTX.
Fix return value check of DSA_sign().

ok jsing

Rework DSA_sign() and DSA_verify()

Change DSA_sign() to single exit and check the signed i2d_DSA_SIG() return
value before assigning it to an unsigned int.

In DSA_verify() let d2i_DSA_SIG() handle the allocation, split error check
of i2d_DSA_SIG() from signature check and change an unnecessary freezero()
to free.

ok jsing

Add O: to the getopt string for newfs in mount_mfs mode, allowing it to
optionally use FFS2 (stu@ ran into a problem when running some tests on
an MFS filesystem that involved future dates).

Correct the manual which said that FFS2 is the default, which isn't the
case for mount_mfs.

lgtm miod@

Fix an annoying quirk in the EC code

Dealing with elliptic curves makes some people think that it would be kind
of neat to multiply types with variable names. Sometimes. Only in function
definitions.

whitespace

Fix whitespace

Unindent and check some pointers explicitly against NULL

Remove HMAC PRIVATE KEY support

This is an undocumented feature of openssl genpkey for testing purposes.
Emilia removed support for this 'bogus private key format' from OpenSSL
in 2017 in commit c26f655fdd18ac19016c1c0496105f5256a1e84d.

ok jsing

Check os for NULL before dereferencing it

Avoids a segfault when both priv == NULL and os == NULL.

ok miod

In channel_request_remote_forwarding the parameters for permission_set_add
are leaked as they are also duplicated in the call.
Found by CodeChecker.
ok djm

Add four new SI prefixes.

This is resolution 3 "Sur l’extension de la liste des préfixes du SI",
passed by the 27th meeting of the Conférence générale des poids et
mesures.

OK deraadt, daniel, sthen

Revert my last two changes.
If csa_bundled is set, exactly two csas exist and they point to
each other. Therefore childsa_free already sets the bundled csa
pointer to NULL and it shouldn't be done after calling childsa_free.
ok tobhe@

zap a stray semicolon

Improve "once" bits

- use imperative tense in the pf.conf(5) "once" part
- leave printing implementation details to pfctl(8)'s "-s rules" part
- use more markup
- debug mode also prints expired rules

OK jmc sashan

Include bytestring.h directly rather than pulling it in via asn1_locl.h

Wire up HMAC to raw private key methods

Obviously, the brilliant API design kitchen decided that an interface
carrying public and private key in its name (so that every sane person
thinks of asymmetric cryptography), is also perfectly suitable for MACs.
Wire up HMAC since Ruby's OpenSSL gem uses these bindings if the build
system detects that EVP_PKEY_new_raw_public_key() is available in evp.h.

While there, also add the missing pub_cmp() ameth, which obviously
treats two things as equal by returning 1.

Reported by jeremy and anton, fixes regress/lib/libssl/openssl-ruby tests

ok jsing

Write number of bytes read/written and "?" prompt to stdout, not stderr.
This matches both historical behavior and the POSIX specification.
From Soeren Tempel.

Change the pkey.ptr from char * to void *

Now that EVP_PKEY is opaque, there is no reason to keep the ptr member
of the pkey union as a weird char pointer, a void pointer will do. This
avoids a few stupid casts and simplifies an upcoming diff.

ok jsing

Move skiplist to main and merge with shortlist.

With/ok job

zap errant space in usage();

Add aspa-set config test.

Add plumbing for ASPA support. This implements the parser and part of the
logic in the rtr process. It does not implement the new RTR messages yet
but it is possible to specify an aspa-set in the config. Also the validation
code in the RDE is missing so this does not do anything.
With this in it will be possible to extend rpki-client to publish an
aspa-set as part of the openbgpd config file.
OK tb@

group -> field

discussed with schwarze

polynominal -> polynomial

ok schwarze

cope with new getaddrinfo() error message

sync

mips64 code calls uvm_map_protect() directly, so needs to adapt:
stack growth from setrlimit was never updated to set UVM_ET_STACK on
the entries, so the check-sp-at-system-call check failed.  Quite strange
it took this long to find this.
ok kettenis

new manual page BN_GF2m_add(3)
concerning arithmetic in Galois fields of power-of-2 order

With regret, place mutexes after struct vm_map fields which are inspected
by libkvm and procmap(8).  struct mutex can change based upon kernel
compile options, and the fields were dancing around
ok kettenis

Avoid a few unnecessary contortions

Turns out that after ~40 years of practice I still can't do addition
with carry correctly :S

Use a fixed-size array for the message and simplify a few other curly
things.

Schedule cleanup of '-r' now useless getopt option

OK tb@

Add shortlist functionality, a compagnion to the skiplist

If the operator specifies the '-H' option once (or more) followed by a FQDN,
the utility will *only* connect to those hosts and skip all others.

OK claudio@ tb@

Add initial Wycheproof EdDSA test coverage

Add a regression test for curve25519.c r1.14

Generate random signatures of random messages and verify them. Then check
that the signature modified by adding the edwards25519 group order to the
upper half are rejected. This would not always be accepted without the
check in curve25519.c r1.14, but often enough that a few iterations suffice
to expose the missing check.

Prevent Ed25519 signature malleability

Add a check that ensures that the upper half s of an Ed25519 signature is
bounded by the group order, i.e, 0 <= s < order. This is required by the
Verify procedure in RFC 8032, section 5.1.7, step 1, and prevents simple
modifications of signatures such as adding (a multiple of) the group order
to the upper half of the signature.

Found with EdDSA testcase 63 of project Wycheproof.

ok beck jsing

stack growth from setrlimit was never updated to set UVM_ET_STACK on
the entries, so the check-sp-at-system-call check failed.  Quite strange
it took this long to find this.
ok kettenis

style(9) fix. No functional change.

Restrict what getaddrinfo(3) is willing to try to resolve.

Programs assume that a successful call to getaddrinfo(3) validates the
input as "safe", but that's not true. Characters like '$', '`', '\n'
or '*' can traverse the DNS without problems, but have special
meaning, for example a shell.

There is a function res_hnok() already in libc, but it validates if a
string is a host name, which is too strict in practice. For example
foo-.example.com is not a valid host name, but is used on the
Internet.

Posix has this to say:
"The getaddrinfo() function shall translate the name of a service
location (for example, a host name)"

It hints that the input should be a host name, but it does not
restrict it to it.

This introduces a function hnok_lenient() which restricts the input to
getaddrinfo(3) to the set [A-z0-9-_.]. Additionally two consecutive
dots ('.') are not allowed nor can the string start with - or '.'.

glibc introduced a similar restriction years ago, so this should not
cause problems.

It has been known in the DNS community for years, probably decades
that getaddrinfo(3) is too lenient what it accepts, but it has always
been kicked down the road as "not a DNS problem". Unfortunately this
information never made it out of the DNS community and no coordinated
effort happened to have this addressed in operating systems.

David Leadbeater recently demonstrated how ssh(1) and ftp(1) are too
trusting with what getaddrinfo(3) accepts. Both have been fixed
independently of this.

Input deraadt, eric
OK millert, deraadt

Add apple-boot firmware for Apple arm64 machines in fw_update(8) patterns.

The pattern matches the printed CPU_IMPL_APPLE name as in:
cpu0 at mainbus0 mpidr 0: Apple Icestorm Pro r2p0
cpu0 at mainbus0 mpidr 0: Apple Blizzard r1p0

ok deraadt@ afresh@ kettenis@

add .gnu.warning.SYMBOL support to ld.lld(1) to display the warnings in
these sections like ld.bfd(1)

e.g:
add.c(add.o:(add)): warning: sprintf() is often misused, please use snprintf()
add.c(add.o:(add)): warning: strcpy() is almost always misused, please use strlcpy()
add.c(add.o:(add)): warning: strcat() is almost always misused, please use strlcat()

ok deraadt@

whitespace fixes. no functional change.

Revert "Check certificate extensions in trusted certificates"

There are some possible strange side effects noticed by the
openssl cms regress tests that I missed. Backing this out
until I untangle it

ok tb@

sync

tolower(3) guarantees to return its argument unchanged if it's not
uppercase.
While here use the correct idiom of casting to unsigned char.

OK millert, farewell to ultrix deraadt