Move the RSA-PSS check for TLSv1.3 to ssl_sigalg_pkey_ok().

Also, rather than passing in a check_curve flag, pass in the SSL * and
handle version checks internally to ssl_sigalg_pkey_ok(), simplifying
the callers.

ok inoguchi@ tb@

Factor out handling of legacy default signature algorithms.

In the case of TLSv1.0 and TLSv1.1 there is no signature algorithms
extension and default signature algorithms are used - similar applies to
TLSv1.2 when the signature algorithms extension has been omitted.

ok inoguchi@ tb@

Mop up now unused variables.

Require a ServerHello following a HelloRetryRequest to use the same cipher.

RFC 8446 section 4.1.4 requires that the client ensure the cipher suite
in the TLSv1.3 HelloRetryRequest and subsequent ServerHello is the same.

Reported via GitHub issue #675.

ok inoguchi@ tb@

delete pre-EFI boot kernel location scripting
ok drahn

Reject zero-length non-application data fragments in the legacy stack.

Per RFC 5246 section 6.2.1, zero-length fragments are only permitted for
application data - reject all others.

Reported via GitHub issue #675.

ok inoguchi@ tb@

sync maxusers with other 64bits architectures. ok kettenis@, deraadt@.

Flip the -r RRDP switch, which went through community testing for half a year.
Default is now to attempt RRDP first, then try RSYNC.
If problems show up, return to rsync-only behaviour with -R, and file a report.
ok claudio

more precision because the argument is signed,
and even char is signed on some platforms;
OK millert@ jmc@

remove unused prototype
OK deraadt@

Send AUTHENTICATION_FAILED in case of unexpected auth method or auth
data not being accessible.

From Claudia Priesterjahn @ achelos
ok patrick@

function args must not use .Ar and EDOM and ERANGE require .Er;
mostly mechanical diff similar to what Emil Engler just sent for sqrt(3)

insert missing .Ns

basic mdoc(7) macro cleanup; patch from me at EmilEngler dot com

rktcphy(4)

When configuring the USB3 phy, try the OFW PHY API first, and if there's
no matching device, fall back to xhci(4)'s PHY configuration code.

ok kettenis@

Enable rktcphy(4).

ok kettenis@

Add rktcphy(4), a driver for the Type-C PHY controller found on the
Rockchip RK3399.  While the PHY allows switching between combinations
of USB3 and DisplayPort, this driver enables only USB3 functionality.
This allows USB3 devices to show up on machines where previously only
USB2 devices showed up.  Driver was taken from FreeBSD and adjusted to
fit into our code base.

ok kettenis@

The way we boot OpenBSD, there is no need to play the hart lottery.
This is essentially a remnant of early RISC-V, which used the Berkely
Boot Loader.  Modern RISC-V firmware makes sure only one hart is enabled
and offsers SBI calls to start the other harts.

Adjust unveil_find_cover() to return -1 if the root vnode is passed in.
This helps unveil_add_vnode() to properly re-evaluate unveils when
"/" is added to the list.

Because of this adjust unveil_covered() to check for the root as well
so that in that case the unveil uv is returned instead of NULL. Traversing
up from the root returns the root. This check is not really needed since
namei has its own root check and shortcuts for root vnodes.

OK semarie@

remove arch ifdefs around drm.h include

ok deraadt@ kettenis@

move some config lines to ensure drm.h is always created

ok deraadt@ kettenis@

delete the two pairs of extra blank lines from expected man(7) terminal
output that are no longer printed since man_term.c rev. 1.189

Add another epicycle to -A processing that ensures ONLY the
partition table is changed. Not the GPT header. Not the MBR. And
only write back as much partition table information as the header
claims to have room for.

At a minimum should make -A safer when operating on the Apple M1
GPT.

A major overhaul of this code is urgently needed before someone
sneezes too hard in its vicinity.

Feedback kettenis@ & ok deraadt@

In terminal output of man(7) documents, stop printing two extra blank
lines before the NAME section and before the page footer.  While these
blank lines had a long tradition, they didn't really serve any purpose
and merely wasted screen real estate.  Besides, this makes output from
man(7) more similar to output from mdoc(7).

This commit keeps mandoc compatible with groff-current,
where G. Branden Robinson committed the same change
on June 16 (groff commit 2278d6ed).

do not need .align 2 or 4 after .text, the ABI's .text will decide what
to do
ok kettenis

whitespace

Use the order action->sender == ctx->mode everywhere for consistency.

ctx->alert is not a boolean, so compare it explicitly against 0.

Fix assembly in #ifdef MULTIPROCESSOR case.

ok jsing@

Add speculation-blocking sequence after syscalls like we did for libc a while
ago.  While there, fix the SYS_exit syscall.  The syscall number is passed in
r12, not as the argument of the syscall instruction.

ok deraadt@

delete .align inside sigtramp stubs, as the stack alignment requirement
hasn't existed for many years, since the code was moved it into a unique page,
with trap sleds.
ok kettenis

The state machine now takes care of setting the legacy state,
so it is no longer necessary in to do this by hand in various
places of the code interfacing with the legacy stack.

ok jsing

Expand info callback support for TLSv1.3

During the TLSv1.3 handshake, update the legacy state and call the
info callback at the appropriate moment.  This is done by mapping
the TLSv1.3 states to the states in the old state machine whenever
that is possible. The callbacks are called at the beginning and end
of the handshake, and just before the state machine advances.

This should fix a periodic warning in logs of tor relays about a
variable that wasn't set although it should have been.

input/ok jsing, ok inoguchi (early version)

Have tcpdump split the 802.11 sequence number field into its sequence number
and fragment number components instead of printing the whole field in decimal.

ok sthen@ kn@ jca@

placeholder for later

Garbage collect loop index i which is no longer used after usage tweak.

Fix base-gcc -Wno-error=uninitialized

base-gcc always errored out when -Werror was passed and -Wuninitialized
triggered, even when -Wno-error=uninitialized was passed.

Deemed correct by Miod

remove old "paranoid" option, I'm pretty sure nobody uses it.

refactor the code into figuring out simple updates: if we don't have
any @execs but just @tags, we can probably do something simpler wrt
temporary files and temporary filenames, which should speed up texlive
updates significantly.

(the tempfile code is not there yet, just the check for safe updates)

Make anonymous object reference counting independant from the KERNEL_LOCK().

- Use atomic operations for increment/decrement

- Rewrite the loop from uao_swap_off() to only keep a reference to the
  next item in the list.

ok jmatthew@

Enable dt(4).

ok kettenis@

Implement copyin32().

ok deraadt@

Also show the time spent in userland when analyzing the kernel stack
in flame graph.  Only when both kernel and userland are displayed,
the whole picture of system activity becomes clear.  Fixes a parsing
bug in the flame graph tool where userland time was interpreted as
invalid kernel stack.
OK kn@

Make sure __bss_start is aligned on an 8-byte boundary.  This makes sure
zeroing out .bss doesn't overrun and overwrite the ELF symbol table.

ok patrick@

Using the MI mplock should be fine on riscv64.

Track the sigalgs used by ourselves and our peer.

Move the sigalg pointer from SSL_HANDSHAKE_TLS13 to SSL_HANDSHAKE, naming
it our_sigalg, adding an equivalent peer_sigalg. Adjust the TLSv1.3 code
that records our signature algorithm. Add code to record the signature
algorithm used by our peer.

Needed for upcoming API additions.

ok tb@

Have ssl3_send_client_verify() pass *pkey to called functions.

ssl3_send_client_verify() already has a pointer to the EVP_PKEY for the
certificate - pass this as an argument to the functions that it calls,
rather than duplicating code/variable declarations.

Change ssl_sigalgs_from_value() to perform sigalg list selection.

Rather that passing in a sigalg list at every call site, pass in the
appropriate TLS version and have ssl_sigalgs_from_value() perform the
sigalg list selection itself. This allows the sigalg lists to be made
internal to the sigalgs code.

ok tb@

Rename ssl_sigalg() to ssl_sigalg_from_value().

This makes the code more self-documenting and avoids the ambiguity between
ssl_sigalg the struct and ssl_sigalg the function.

ok tb@

Change ssl_sigalgs_build() to perform sigalg list selection.

Rather that doing sigalg list selection at every call site, pass in the
appropriate TLS version and have ssl_sigalgs_build() perform the sigalg
list selection itself. This reduces code duplication, simplifies the
calling code and is the first step towards internalising the sigalg lists.

ok tb@

add a style message about overlong text lines,
trying very hard to avoid false positives,
not at all trying to catch as many cases as possible;

feature originally suggested by tb@,
OK tb@ kn@ jmc@

Tidy some comments and simplify some code.

ok tb@

Keep sigalg initialiser order consistent - key type, then hash.

This matches the order that sigalgs are specified in.

ok tb@

Add test coverage for TLSv1.3 client hellos.

This is a little bit clunky due to the number of things that vary (largely
thanks to middlebox compatibility mode, along with the versions and key
share extensions), however it works and can be improved at a later date.

Add test coverage for DTLSv1.2 client hellos.

Improve test coverage for SSL_OP_NO_DTLSv1.

Correct handling of SSL_OP_NO_DTLSv1.

When converting to TLS flags, we need to also include SSL_OP_NO_TLSv1,
otherwise the TLS equivalent of SSL_OP_NO_DTLSv1 is TLSv1.0 only, which
does not work so well when we try to switch back to DTLS versions.

Teach hexdump() how to identify differing bytes.

This allows differences between the received data and the test data to be
more readily identified.

More appropriately set cipher_list_len when AES acceleration is available.

Tweak some data types and sprinkle some const.

In addition to 2-byte and 3-byte UTF-8 sequences, correctly identify all
4-byte UTF-8 sequences and not just some of them, to keep them together
and avoid passing them on byte by byte, helping tools like tmux(1).

While here, also do all the range tests with < and > rather than &
for uniformity and readability, and add some comments.

Input and OK jca@ and nicm@.

Soeren at Soeren dash Tempel dot net originally reported the bug
and provided an incomplete patch that was used as a starting point,
and he also tested this final patch.

Add Hart State Management functions.  These will be needed to spin up
the secondary cores.  From FreeBSD.

ok mlarkin@

reuse armv7 installboot for riscv64
ok deraadt@

Create DMA maps with 64-bit capability when appropriate.

OK kettenis@

Use config register to determine if 64-bit DMA is available.

Suggested by and OK kettenis@

match on sifive,fu540-c000-gem

used by the hifive unmatched device tree in mainline linux and u-boot
ok visa@

make usage less chatty; ok mlarkin

make SYNOPSIS match usage; ok ajacoutot

For some reason the riscv64 locore.S ended up with the copyright license
from the arm64 locore.S.  But the code was clearly copied from FreeBSD's
riscv64 locore.S.  The license is the same, but the author/attribution isn't.
Fix this.

ok deraadt@

Fix .Xr order. From mandoc -Tlint.

delete extra explanations in the usage: messages which are described
far better in the manual pages
ok jmc

Make lazy binding work on riscv64.

prompted by deraadt@

Build ld.so with --march=rv64imac on riscv64 to be absolutely sure that
ld.so doesn't use the FP registers.

ok deraadt@

Use AFLAGS when building syscall stubs.  Drop AINC wich isn't used.

ok deraadt@

cad: Implement 64-bit DMA mode

This lets the driver utilize 64-bit DMA on hardware that supports it.

Currently, riscv64 does not constrain DMA-reachable memory to the 32-bit
range. This caused memory errors with cad(4) on machines that have RAM
above 4GB in the physical address space.

Prompted by Mickael Torres

OK kettenis@

Add riscv64 support.  From Mickael Torres.

ok matthieu@, jsg@

Add powerpc64 and riscv64 to the list of architectures that have DRM.

ok matthieu@, deraadt@, jsg@

Revert last change, which is under an #ifdef __linux__ block so no used.

noticed by jsg@

riscv64 struct cpu_info has ci_idepth

sync

add /dev/dri/card0 and /dev/dri/renderD128
ok deraadt@

add /dev/dri/
ok deraadt@

let pfsync_request_update actually retry when it overfills a packet.

a continue in the middle of a do { } while (0) loop is effectively
a break, it doesnt restart the loop.

without the retry, the code leaked update messages which in turn
made pool_destroy in pfsync destroy trip over a kassert cos items
were still out.

found by and fix tested by hrvoje popovski
ok sashan@

Move unused eficall.h files to the Attic.

Clean up and remove debug prints, and add a few more relevant prints for
when things go wrong.

basic radeondrm / X support for riscv64. Ok kettenis@

- add wscons devices
- build radeondrm and add MD uvm bits to support it.

Replace instances of the magic number '64' with a nice #define
BLOCKALIGNMENT. This will make it more obvious where this
512-byte block count could/should be converted to a disk sector
count.

No functional change.

add SIZE_MAX. ok kettenis@

Make sure we translate prefetchable mmio space as well.

From Mickael Torres.

1) Finish eliminating all uses of EFI_CALL() used in the tree, allowing for the
removal of eficall.h files.

2) Allow booting from 4k-byte sector devices.

3) Don't leak memory after successfull i/o.

The end result is that riscv64 efidev.c and efipxe.c are identical to the
arm64/armv7 versions, efirng.c is identical to the amd64/arm64 versions and
efiboot.c has only the arm64 -> riscv64 changes.

ok kettenis@

While it seems like we can choose any I/O virtual address for peripheral
devices, this isn't really the case.  It depends on the bus topology of
how devices are connected.  In the case of PCIe, devices are assigned
addresses (in PCI BARs) from the PCI address spaces.  Now if we take an
address from one of these address spaces for our IOVA, transfers from
from a PCI device to that address will terminate inside of the PCI bus.
This is because from the PCI buses' point-of-view, the address we chose
is part of its address space.  To make sure we don't allocate addresses
from there, reserve the PCI addresses in the IOVA.

Note that smmu(4) currently gives each device its own IOVA.  So the PCI
addresses will be reserved only in IOVA from PCI devices, and only the
addresses concerning the PCI bus it is connected to will be reserved.
All other devices behind an smmu(4) will not have any changes to their
IOVA.

ok kettenis@

Allow (w)hole disk allocation for GPT disks. Use fdisk -A when Apple APFS ISC
partition is detected. Otherwise the normal big hammer fdisk -ig.

Only create EFI SYS boot partition on GPT disks that are the ROOTDISK.

ok kettenis@ deraadt@

add linux style memory barriers for risc-v to drm

based on linux operation to rvwmo mapping table in
the rvwmo appendix of the risc-v unprivileged isa spec

ok kettenis@

Remove an unused struct.

use weaker fences for riscv64 membar

Fences are described in 'RISC-V Unprivileged ISA' syntax is
'fence predecessor,successor'.

"Any combination of device input (I), device output (O), memory reads (R),
and memory writes (W) may be ordered with respect to any combination
of the same."

Previously "fence" was used for membar_* which is short for
"fence iorw,iorw".  Change this to more specific fences based on the
text in membar_sync(9) with store -> w, load -> r.

build test by and ok kettenis@

Save quite a bit of space by removing the existence of PTEDs.  The
dynamics of SMMU are a bit different to regular MMU usage, as we do
not need P->V lists or ref/mod emulation (with page access upgrade).
While in the future we might want to save cacheability modes, it is
not necessary right now.  Our PTED construct, which holds that kind
of information, is not needed.  With these gone, we save around 93%
of smmu(4)'s previous memory overhead.

Discussed with drahn@ kettenis@

The network flush code only operates on peerself (like all the other
network commands). Instead of passing the peer as argument to the tree
walker just default to peerself in network_flush_upcall().
OK benno@

Do the multiprotocol check first for the IPv4 case. So it is the same
everywhere.
OK benno@

fix decoding of X.509 subject name; from Leif Thuresson via bz3327
ok markus@

Use better language to refer to the user.  From l1ving via github
PR#250, ok jmc@