One more openssl 1.0.2 thing missed.

Switch from eopenssl to eopenssl30. Missed in both previous commits
for some reason.

Fix spelling

Retire OpenSSL 1.0.2 interop

Now that the OpenSSL 1.0.2 port is gone, there's no need to keep the
interop tests anymore. anton's and bluhm's regress tests will switch
to testing interoperability with OpenSSL 3.0.

Pull the MONT_WORD define to the top.

Reordering functions with defines hiding in the middle leads to fun
outcomes... and apparently the non-MONT_WORD code is broken, at least on
aarch64.

Move BN_MONT_CTX_* functions to the top of the file.

No functional change.

Print the pid in lastcomm(1) output for post mortem analysis.  Put
it in brackets after the command name, like syslogd does it in log
files.  A while ago the process id was added to process accounting
in the kernel, so no ABI break this time.
OK deraadt@

Fix a typo in a comment and spacing

from weerd@

Remove "deletetunnel" command (marked as "remove during 6.4-current").
The "-tunnel" command of course remains.

amd64: lapic_timer_trigger: disable interrupts while configuring timer

lapic_timer_oneshot() does three writes.  We need to disable
interrupts to ensure the timer lands in a valid state.

Link: https://marc.info/?l=openbsd-tech&m=167482851403841&w=2
ok mlarkin@

Not only reset the connection when a fatal error is received (or sent)
but also reset the cache and start totally fresh. The RFC is exceptionally
vague about error handling but in most cases the cache state is enough
off after an error that a fresh restart makes most sense.
With and OK job@

On systems without xonly mmu hardware-enforcement, we can still mitigate
against classic BROP with a range-checking wrapper in front of copyin() and
copyinstr() which ensures the userland source doesn't overlap the main program
text, ld.so text, signal tramp text (it's mapping is hard to distinguish
so it comes along for the ride), or libc.so text.  ld.so tells the kernel
libc.so text range with msyscall(2).  The range checking for 2-4 elements is
done without locking (because all 4 ranges are immutable!) and is inexpensive.

write(sock, &open, 400) now fails with EFAULT.  No programs have been
discovered which require reading their own text segments with a system call.

On a machine without mmu enforcement, a test program reports the following:
                  userland   kernel
ld.so             readable   unreadable
mmap xz           unreadable unreadable
mmap x            readable   readable
mmap nrx          readable   readable
mmap nwx          readable   readable
mmap xnwx         readable   readable
main              readable   unreadable
libc unmapped?    readable   unreadable
libc mapped       readable   unreadable

ok kettenis, additional help from miod

Fix RTR error reporting: length fields in Error Reports are 32 bits

OK claudio@

Improve whitespace alignment of RTR error reports

OK claudio@

typo, fix variable name

Remove the last ones route lock references from comments.
No functional change.

Route lock was reverted, adjust forgotten commentary.
No functional changes.

Remove the now empty bn_asm.c.

This rather misnamed file (bn_asm.c) previously contained the C code that
was needed to build libcrypto bignum on platforms that did not have
assembly implementations of the functions it contained.

Simplify bn_div_3_words().

Make use of bn_umul_hilo() and remove the tangle of preprocessor directives
that implement different code paths depending on what defines exist.

ok tb@

Provide inline assembly bn_umul_hilo() for alpha/powerpc64/riscv64.

These should work, but are currently untested and disabled.

ok tb@

Provide inline assembly versions of bn_umul_hilo() for aarch64/amd64/i386.

ok tb@

Provide bn_umul_hilo().

The bignum code needs to be able to multiply two words, producing a
double word result. Some architectures do not have native support for
this, hence a pure C version is required. bn_umul_hilo() provides this
functionality.

There are currently two implementations, both of which are branch free.
The first uses bitwise operations for the carry, while the second uses
accumulators. The accumulator version uses fewer instructions, however
requires more variables/registers and seems to be slower, at least on
amd64/i386. The accumulator version may be faster on architectures that
have more registers available. Further testing can be performed and one
of the two implementations can be removed at a later date.

ok tb@

Correctly detect b < a in BN_usub().

BN_usub() requires that a >= b and should return an error in the case that
b < a. This is currently only detected by checking the number of words in
a versus b - if they have the same number of words, the top word is not
checked and b < a, which then succeeds and produces an incorrect result.

Fix this by checking for the case where a and b have an equal number of
words, yet there is a borrow returned from bn_sub_words().

ok miod@ tb@

Add bn/arch/${MACHINE_CPU} to the include path.

This will be needed once headers pull in bn_arch.h.

Add more regress tests for BN_usub().

This adds more tests for BN_usub(), particularly where b > a, which should
be an error condition. One of these currently succeeds and produces
incorrect results.

Remove sparc related files from libcrypto.

The sparc platform got retired a while back, however some parts remained
hiding in libcrypto. Mop these up (along with the bn_arch.h that I
introduced).

Spotted by and ok tb@

Execute-only for macppc G5

The G5 PowerPC 970 has a Data Address Compare mechanism that can trap
loads and stores to pages with PTE_AC_64, while allowing instruction
fetches.  Use this for execute-only mappings, like we do on powerpc64.

Add a check to pte_spill_v for execute-only mappings.  Without this,
we would forever retry reading an execute-only page.

In altivec_assist, copyin would fail to read the instruction from an
execute-only page.  Add copyinsn to bypass x-only, like sparc64.

with help from abieber@ deraadt@ kettenis@
ok deraadt@

powerpc xonly for G5 is coming.  ld.so can have xonly text.
ok gkoehler

vmd(8): fix an interrupt storm in ns8250.

On slower hosts, such as those in a nested virtualization scenario
of OpenBSD guest inside OpenBSD atop Linux KVM, ns8250 can cause a
race between the kevent firing and the vcpu being kicked by an
assert/deassert of the irq.

The end user experiences a "stuck" serial console and the host will
see a vmd process peg the cpu.

This change only toggles the irq if we were in a position of being
ready to receive data on the device so while the kevent might
continuously fire, the vcpu will not be kicked repeatedly.

OK mlarkin@

Rework cpu_init_secondary() such that it can be used for both the initial
powerup and for wakeup from deeper sleep states.

Adjust cpu_suspen_primary() to use pmap_extract() to find the physical
address of the entry point and struct cpu_info.

ok phessler@

Fix logic of picmeup() to only produce one set of statements on OpenBSD; this
got accidentally lost in 1.4.

Extend community unittests to cover more bits

sync --execute-only archs described in the manual with current code
ok deraadt

Same parseextvalue() change as in parse.y rev 1.441
Use 2-byte ASnum encoding as a default when local-as/neighbor-as is used.

Alter the way extended communities are matched when part of the value
is auto-expanded or masked off.
Try to match against both 2- and 4-byte AS encoding and on insertion
check if expansion is actually possible and deny communities where both
community values are > USHRT_MAX.
OK tb@

The APM_IOC_NEXTEVENT ioctl was removed in the mickey era, remove
documentation about it

ok deraadt, miod

vmm(4): expose PKU cpuid bit if in use on host.

We are using {rd,wr}pkru instructions for saving and restoring the
PKRU, so tie the exposure of PKU feature bit to vmm having the
ability to properly handle the guest state.

part of a future diff snuck into the previous commit

remove unneeded includes in arch/i386
ok krw@ miod@

Replace selwakeup() with KNOTE() in pppac(4) and pppx(4)

Use the same mutex for read and write side klists. It would be overkill
to have dedicated locks.

Remove klist_invalidate() from pppacclose() because pppac(4) does not
have forced device detach. When the close routine gets called, there
should be no open file descriptors pointing the device, and consequently
the klists should be empty.

OK mvs@

vmm(4): save and restore guest pkru.

Take a simple approach for saving and restoring PKRU if the host
has PKE support enabled. Uses explicit rdpkru/wrpkru instructions
for now instead of xsave.

This functionality is still gated behind amd64 pmap checking for
operation under a hypervisor as well as vmm masking the cpuid bit
for PKU.

"if your diff is good, then commit it" -deraadt@

We have determined that enough HV have correct PKU handling now,
so don't be paranoid about it anymore.  What does this mean?  If the HV
above you is broken, userland programs in the guest could crash, the guest
might even be quite unusable.  So fix the hypervisor.  The best way to
raise the bar on hypervisor quality is for guests to behave like they
are on a real machine, and then sucky hypervisors have to get fixed.
ps.  if using vmd as your hypervisor, use syspatch...

Accumulate intermediate imutables locally before applying

OK deraadt

Unite all nitems copies in ld.so/util.h

OK deraadt

sign another typo

32-bit powerpc should also allow the --exec-only flag.
but it isn't the default yet

Use utime in order to make benchmarks less noisy and more consistent.

Set BN_FLG_CONSTTIME on benchmark inputs.

The public APIs still change behaviour based on BN_FLG_CONSTTIME - set it
to avoid benchmark noise.

Add benchmarks for BN_div()

Correct setup for BN_mul/BN_sqr benchmarks.

BN_rand() takes a bit length, not the top bit.

Rename bn_mul.c regress to bn_mul_div.c.

Remove the now empty/unused bn_depr.c.

Use s2n-bignum assembly implementations for libcrypto bignum on amd64.

This switches the core bignum assembly implementations from x86_64-gcc.c to
s2n-bignum for amd64.

ok miod@ tb@

Fix ^^D and 0^D description; pointed out by Tomas Rippl; ok jmc@

powerpc64 xonly works; ld.so can be switched over

sync

sync

sync

Stop installing x509_verify.h

ok jsing

Switch regress to using x509_verify.h from libcrypto instead of the
one in /usr/include/openssl.

Stop relying on x509_verify.h being public

Use x509_verify.h from the libcrypto sources instead of the public copy.

The x509_verify.h header was installed as a public header since early on
we had ideas of using a public API in libtls, but we eventually decided
against that. It makes no sense to install a public header that hides
everything behind LIBRESSL_INTERNAL. The public API will not be exposed
anytime soon if at all.

ok jsing

create enough wskbd* device nodes at runtime in the ramdisk so we can set
the keyboard layout on all of them during install.

tested with a Thinkpad X13s with a silly amount of kezboards connected.

OK miod@ kn@

install sbin/kbd on arm64's ramdisk, so a user can set a keyboard layout if
they are using a glass console and kezboard.

tested with a Thinkpad X13s with a DE kezboard.

OK deraadt@ miod@ kn@

Permit the --exec-only option on i386 also.  This does not make it the default.

I wonder if we should allow --exec-only option on all architectures
(but not as default), because this pre-check list now covers all
architectures, and we haven't seen a ld.lld problem.  We only switch
an architecture to --exec-only default when other aspects (mostly
compiler or .S files), that is a seperate switch block.

Even though i386 has no mmu means to enforce xonly, uvm will fail a
memcpy read of region which hasn't been previously faulted (by
executing code in the region). This definately blocks reads of
"contigious entire libc text", because very few programs "execute code
in all libc code pages", even with uvm_fault's behaviour of wide
faulting a 32K region.  The random relinking also means an attacker
cannot know what subset of libc text can be read because pre-faulted
chunks are unknown, but now they can't copy it all (if they could find
the location and bounds).  This neat behaviour applies to all
architectures.  It seems we should try to always hint text segment
permission as PROT_EXEC-only to the kernel and be happy that blocks a
read, even if that blocking isn't 100% reliable.

note: unfortunately binutils --exec-only isn't bug-free yet on most
architectures, taking the same approach there will take longer.

Remove comment referencing bn_depr.c.

Move the three functions that are in bn_depr.c back to bn_prime.c.

They should go away, but they have not yet disappeared and this
consolidates the source files.

Discussed with tb@

Move the more readable version of bn_mul_mont() from bn_asm.c to bn_mont.c.

Nothing actually uses this code, as OPENSSL_BN_ASM_MONT is not defined
unless there is an assembly implementation available (not to mention that
defining both OPENSSL_NO_ASM and OPENSSL_BN_ASM_MONT at the same time is
extra strange).

Discussed with tb@

Fix previous.

Provide bn_div_rem_words() and make use of it.

Provide a function that divides a double word (h:l) by d, returning the
quotient q and the remainder r, such that q * d + r is equal to the
numerator. Call this from the three places that currently implement this
themselves.

This is implemented with some slight indirection, which allows for per
architecture implementations, replacing the define/macro tangle, which
messes with variables that are not passed to it.

Also remove a duplicate of bn_div_words() for the BN_ULLONG && BN_DIV2W
case - this is already handled.

ok tb@

Move some header definitions from vmm(4) to vmd(8).

Part of an ongoing effort to move userland-specific information out
of a kernel header and directly into vmd(8). No functional change.

ok mlarkin@

Nuke unused variable.

sync

Make --execute-only the default on powerpc64.  Sort case statements in
alphabetical order while I'm there.

ok deraadt@

Update the number of default wskbd entries

OK deraadt@

Revert the `rt_lock' rwlock(9) diff to fix the recursive
rwlock(9) acquisition.

Reported-by: syzbot+fbe3acb4886adeef31e0@syzkaller.appspotmail.com

typo in comment

Only use the CPU_OFF PSCI call if SYSTEM_SUSPEND is supported.  This means
that secondary CPUs will get parked in a WFI loop like we already do on
Apple Silicon systems.  This requires some small changes in agintc(4) to
make sure we ack the "halt" IPI such that we can send a "wakeup" IPI later.

ok patrick@

dmtimer(4): initialize stathz, profhz as other drivers, platforms do

Don't hardcode stathz to 100 and profhz to 1000.  Instead, set stathz
to hz and profhz to (stathz * 10).  This is what we do in all other
armv7 clock interrupt drivers and most other platforms.

Link: https://marc.info/?l=openbsd-tech&m=167479021815637&w=2
ok kettenis@

powerpc64: initialize stathz, profhz as on other platforms

Don't hardcode stathz to 100 and profhz to 1000.  Instead, set stathz
to hz and profhz to (stathz * 10).  This is what we do on most other
platforms.

Link: https://marc.info/?l=openbsd-tech&m=167479021815637&w=2
ok kettenis@

macppc: initialize stathz, profhz as on other platforms

Don't hardcode stathz to 100 and profhz to 1000.  Instead, set stathz
to hz and profhz to (stathz * 10).  This is what we do on most other
platforms.

Link: https://marc.info/?l=openbsd-tech&m=167479021815637&w=2
ok kettenis@

Recommit the switch to use llvm-strip on architectures that use ld.lld.

ok naddy@, sthen@

Change the emitted .glink stub on powerpc64 to use an instruction sequence
to compose the offset to the PLT instead of having a constant pool in .text.
Make --execute-only work on powerpc64.

ok miod@

Push solock() down to sogetopt(). It is not required for the most cases.
Also, some cases could be protected with solock_shared().

ok bluhm@

Replace selinfo structure by klist in sockbuf. No reason to keep it,
selinfo is just wrapper to klist. netstat(1) and libkvm use socket
structure, but don't touch so_{snd,rcv}.sb_sel.

ok visa@

Use the same inline assembly constraints as for libc fp*(), when operating
on the floating-point control register.

Remove fast round(3) implementation for hppa. It is a nice idea, but does not
round in the right direction for halfway values.
(noticed in the perl test results thanks to afresh1@)

Test the behaviour of round() on halfway values.

Add a few more -fno-builtin to make sure we test libm, not the compiler.

riscv64: initialize stathz, profhz like other platforms do

Don't hardcode 100 and 1000.  Use hz(9) for stathz, compute profhz
using stathz, just like most other platforms.

Link: https://marc.info/?l=openbsd-tech&m=167479021815637&w=2
ok jca@

Delete get_plane_numbers() function.

Different from original LUNA(68k), the number of planes is directly
stored as an integer value on LUNA-88K.

Tested on LUNA-88K2 by me.

Use stricter constraints in the assembly statements in fpset{mask,round,sticky}
and make them behave as intended again.
The existing constraints are too weak; this used to work in older days, but
got broken when the system compiler was updated to gcc 4 (or maybe even gcc 3).

Add openssl 3.0 interop tests

The plan is to retire the 1.0.2 interop tests soon so as to be able to
drop the dead and dangerous OpenSSL 1.0.2 port.

The cert part is extremely slow on arm64: the whole interop test on an m1
is about 10x slower (~45 min!) than on a modern amd64 laptop, so people
running regress may want to wait a bit with adding OpenSSL 3 to their test
boxes until this is sorted out.

sync

Rework the secondary CPU spinup code to take advantage of the context
parameter that PSCI gives us.

ok patrick@

delete repeated word

backing "consolidate mbuf header parsing on device driver layer"
easily repeatable ASSERT happens seconds after starting compiles over nfs.

In the previous commit, FIXPROT would upgrade a PROT_NONE mapping too far.
Correct the logic, still blocking PROT_EXEC
ok anton kettenis

Use getpartno() in editor_delete(), enhancing getpartno() to
allow '*' to select all partitions when the action is 'delete'.

No intentional functional change.

Fix CVE-2023-24056, unbounded variable expansion in pkg-config.
We now die with an error when trying to expand a variable that is
already longer than 64K.  This was never a buffer overflow in our
pkg-config, but rather an unbounded memory allocation that would
eventually run up against resource limits.  OK sthen@ jasper@

gptimer(4): switch to clockintr

- Remove custom clock interrupt scheduling code.
- Remove local evcount structs.
- Wire up gptimer_intrclock.
- Switch stathz from 128 to hz
- Switch profhz from 1024 to (stathz * 10).

This change is untested.  Nobody seems to have hardware that actually uses
the gptimer(4) as an interrupt clock.  If this patch doesn't work, the driver
is probably not too distant from a working state.

Compile-tested by jca@.  Discussed with kettenis@, jca@, drahn@, patrick@,
jsg@, and uwe@.

Link: https://marc.info/?l=openbsd-tech&m=167451333419815&w=2
ok patrick@ kettenis@