Implement Ed25519 signatures for CMS (RFC 8419)

This adds support for Edwards curve digital signature algorithms in the
cryptographic message syntax, as specified in RFC 8419. Only Ed25519 is
supported since that is the only EdDSA algorithm that LibreSSL supports
(this is unlikely to change ever, but, as they say - never is a very
long time).

This has the usual curly interactions between EVP and CMS with poorly
documented interfaces and lots of confusing magic return values and
controls. This improves upon existing control handlers by documenting
what is being done and why. Unlike other (draft) implementations we
also happen to use the correct hashing algorithm.

There are no plans to implement RFC 8418.

joint work with job at p2k23

ok jsing

Move aes_core.c to the primary Makefile.

This is now built on all platforms.

Consolidate idea into a single C file.

Remove unused n2ln, l2nn, n2l and l2n macros.

Make X509_VERIFY_PARAM_set1_policies() less bad

If any OBJ_dup() fails along the way, a partially copied policy stack
would remain on the params object. This makes no sense. Implement and
use an sk_ASN1_OBJECT_deep_copy(), that copies the full stack or else
returns NULL.

Remove unnecessary NULL check and streamline some other logic.

ok jsing

Clean up X509_VERIFY_PARAM_add0_policy()

Streamline some checks and use more idiomatic sk_push() error check

ok jsing

Always use C functions for AES_set_{encrypt,decrypt}_key().

Always include aes_core.c and provide AES_set_{encrypt,decrypt}_key() via C
functions, which then either use a C implementation or call the assembly
implementation.

ok tb@

Retire mime_debug()

discussed with jsing

Improve error checking in i2d_ASN1_bio_stream()

The streaming BIO API is full of missing error checks. This diff reverts
the logic so that the single call to ASN1_item_i2d_bio() is error checked
(it has the usual 1/0 return values), unindents the bulk of the code and
propagates the SMIME_crlf_copy() return value (alos 1/0) to be the actual
error.

ok jsing

Consolidate whirlpool into a single C file.

Buy a vowel at the same time, since we're no longer limited to 8.3 file
names.

Discussed with tb@

Remove now unused assembly implementations of whirlpool.

Hide symbols in Blowfish

ok jsing tb

Elkhart Lake needs the 0V quirk

fixes accessing eMMC on a machine with Celeron J6413
from and tested by Sven Falempin

Move wp_block.c to the primary Makefile.

This is now built on all platforms.

Sync EVP_MD_meth removal with what landed upstream

discussed with djm

Remove CMS special now that we do not depend on pem.h being included first.

Stop playing #ifdef HEADER_PEM_H games in cms.h.

Rather than making prototypes appear and disappear depending on whether
or not you've included pem.h before cms.h, just include pem.h from cms.h
itself.

ok joshua@ tb@

Stop using pem2.h.

Somewhere in the past 25 years, the circular dependency between err and pem
went away. Stop pulling in pem2.h and just use pem.h directly (pem2.h can
probably be removed at some point, but that remains for another day).

ok joshua@ tb@

Hide symbols in DES

ok jsing beck

Rename AES_cbc_encrypt to aes_cbc_encrypt_internal for the SEH handlers.

Should fix windows build.

Stop building whirlpool assembly on amd64 and i386.

This is a legacy algorithm and the assembly is only marginally faster than
the C code.

Discussed with beck@ and tb@

Back out tzset(3) change, it is not effective.

Call tzset() in main() so we don't need to check TZ repeatedly.
This has the greatest impact on makewhatis, which used to make
thousands of calls to issetugid(2) via localtime(3) and strftime(3).
Inspired by a different diff from miod@.  OK miod@

Fix indent

Apply style(9) hammer.

The code is still a horrific mess, but at least the braces are in the right
place...

Hide symbols in RIPEMD

ok beck jsing

Alder Lake-N eMMC needs the 0V quirk

fixes accessing eMMC on MeLE Quieter 4C
from and tested by Colin Didier

Merge aes_cbc.c into aes.c now that aes_cbc.c is used on all platforms.

Make AES_cbc_encrypt() always be a C function.

Rename the assembly generated functions from AES_cbc_encrypt() to
aes_cbc_encrypt_internal(). Always include aes_cbc.c and change it
to use defines that are similar to those used in BN.

ok tb@

Use static inline for rc4_set_key_internal().

Remove unused SM3_Transform()

Along with the misnamed SM3_transform() prototype.

Rename SM3_block_data_order() and make static.

Remove md32_common.h since it is now (finally) unused.

Rework loads and stores for sm3.

Replace loads with crypto_load_be32toh() or be32toh(). Use
crypto_store_htobe32() or htobe32() for stores.

ok tb@

Remove .init section that calls OPENSSL_cpuid_setup on i386.

OPENSSL_cpuid_setup() is already called from OPENSSL_crypto_init(), hence
we do not need or want automatic initialisation on library load.

Remove .init section that calls OPENSSL_cpuid_setup on amd64.

OPENSSL_cpuid_setup() is already called from OPENSSL_crypto_init(), hence
we do not need or want automatic initialisation on library load.

ok tb@

Rework loads and stores in ripemd.

Replace loads with crypto_load_le32toh() or le32toh(). Use
crypto_store_htole32() or htole32() for stores.

ok joshua@ tb@

Remove OPENSSL_UNISTD define

Expand ROTATE macro to crypto_rol_u32().

Include stdint.h since we use uint*_t types.

Inline initial hash values.

Remove no unnecessary do { } while (0);

Inline HASH_MAKE_STRING.

No change to generated assembly.

Expand HASH_* defines.

No change in generated assembly.

Hide symbols in RC4

ok jsing tb beck

Reorder functions.

No functional change.

Tidy includes.

Inline functions from md32_common.h.

No change in generated assembly.

Load in the top of the loop, as we do for other hash implementations.

Remove now unnecessary do { } while (0);

Inline HASH_MAKE_STRING.

No change in generated assembly.

Expand ROTATE macro to crypto_rol_u32().

Demacro sha1.

Replace macros with static inline functions and use names that follow
the spec more closely. Unlike SHA256/SHA512, the functions and constants do
not align with the number of words loaded, which means we cannot easily loop
and just end up just unrolling everything.

ok joshua@ tb@

Inline initial hash values.

Clean up various defines and prototypes.

No assembly implementations remain, hence we can clean the mess up and
replace it with a single static void function.

Use TLS_ERROR_INVALID_ARGUMENT for "too large" and "too small" errors

ok beck tb

Nuke more gost

Nuke more leftover GOST tendrils.

ok tb@

unstub guc functions

add more iosys_map interfaces used by inteldrm guc code
based in part on FreeBSD changes

Tidy includes.

Expand HASH_* defines.

No change to generated assembly.

Reorder functions.

No functional change.

Inline functions from md32_common.h for ripemd.

No change to generated assembly.

Fix line wrapping.

reduce diff to linux

sync

sys

Delete pinsyscall(2) [which was specific only to SYS_execve] now
that it has been replaced with pinsyscalls(2) [which tells the kernel
the location of all system calls in libc.so]
floated to various people before release, but it was prudent to wait.

Remove fallback files that are now always included in the build.

Use TLS_ERROR_OUT_OF_MEMORY error code for calloc errors in libtls

ok jsing

Move rc4.c to primary Makefile.

This is now built on all platforms.

Use C functions for RC4 public API.

Rather than having public API switch between C and assembly, always
use C functions as entry points, which then call an assembly
implementation (if available). This makes it significantly easier
to deal with symbol aliasing/namespaces and it also means we
benefit from vulnerability prevention provided by the C compiler.

Rename the assembly generated functions from RC4() to rc4_internal()
and RC4_set_key() to rc4_set_key_internal(). Always include rc4.c
and change it to use defines that are similar to those used in BN.

ok beck@ joshua@ tb@

Fix coverity complaints.

Check the return value of EVP_CIPHER_CTX_reset()

The function call can't actually fail, but all other calls check its
return value.

ok joshua jsing

Move des sources to primary Makefile.

Now that all platforms use a C des implementation, move it to the primary
Makefile.

Remove now unused des assembly.

Stop building the assembly implementation of des on sparc64.

This one was hiding behind an m4 script.

Build tested by tb@

Remove now unused ripemd i386 assembly.

Stop building the assembly implementation of des and ripemd on i386.

This is the only architecture that has an assembly implementation for these
algorithms. There is little to gain from accelerating legacy algorithms on
a legacy architecture.

Discussed with beck@ and tb@

Consolidate most of the AES modes into a single C file.

Discussed with tb@

PKCS#1.5 PBE: test and assign

Stop pandering to the loadbalancer industrial complex.

So we initially kept this hack around for f5 boxes that
should have been patched in 2014, and were not as of 2017.

The f5 article for the bug archived on their web site,
and any of these devices on the public internet will have
since been upgraded to deal with a host of record layer, TLS,
and other bugs, or they likely won't be talking to modern
stacks, since as of this point the software with the bug
would not have been updated in 10 years.

So just make this spec compliant and reject a supported groups
extension that should not have been sent by a server.

ok tb@ jsing@

fix leaks in the horrible ssl whackery necessary for this test.

ok tb@

The RISC-V architecture specification says that memory read/writes are
not ordered with respect to mmio read/writes.  This appears to happen on
T-Head C920 cores as I'm seeing interrupts being enabled before the lock
is released in mtx_leave() despite program order releasing the lock
before enabling interrupts.  This is fixed by adding the necessary fences
in more or less the same places where Linux uses them.

ok patrick@, jca@

Fix fdt_find_node().  We should make sure we match the full name when
matching path components (but we do allow matches with the @unit bit).

This fixes a problem on the Milk-V Pioneer where /soc/serial@123456
accidentally match a /socket0-clocks node and we would fail to find the
serial console.

ok miod@

Introduce SB_OWNLOCK to mark sockets which `so_rcv' buffer modified
outside socket lock.

`sb_mtx' mutex(9) used for this case and it should not be released between
`so_rcv' usage check and corresponding sbwait() sleep. Otherwise wakeup()
could be lost sometimes.

ok bluhm

Fix up server processing of key shares.

Ensure that the client can not provide a duplicate key share
for any group, or send more key shares than groups they support.

Ensure that the key shares must be provided in the same order
as the client preference order specified in supported_groups.

Ensure we only will choose to use a key share that is for the
most preferred group by the client that we also support,
to avoid the client being downgraded by sending a less preferred
key share. If we do not end up with a key share for the most preferred
mutually supported group, will then do a hello retry request
selecting that group.

Add regress for this to regress/tlsext/tlsexttest.c

ok jsing@

When the syscall number has to be loaded from a pc-relative location,
abuse END macros to place the number at the end of the syscall wrapper
rather than in the middle of it, so that there is no need to branch
around it; this saves two instructions per syscall number >= 128.

While there, also tweak the error return (SET_ERRNO_AND_RETURN) to only
return a 64-bit value for lseek; this saves another instruction for
all other syscalls.

With input from guenther@; "Anything that makes the machine faster" deraadt@

Initialize uvm_km_pages.mtx before use.
okay mpi@ miod@

Initialize pmap_tramp.pm_mtx before use.
okay mpi@ miod@

Support having bcmpcie(4) as both PCIe bus and simplebus to enable
use of the Raspberry Pi 5's RP1 I/O controller, which is connected
over PCIe.  With this, the peripherals on the RP1 are enumerated and
attached as well.

ok kettenis@

printtime: use the Unix epoch if the file's timestamp is invalid
Fixes a crash in "ls -l" for files with bogus timestamp values.
OK miod@ denis@

Remove unused rc4 parisc assembly.

This is already disabled since it is "about 35% slower than C code".

Catch the blowfish that escaped.

Consolidate rc4 code.

Discussed with tb@

Remove assembly for stitched modes.

The stitched modes have been removed, so having assembly for them is of
little use.

Remove empty rc4_local.h include.

Discussed with tb@

Remove private_RC4_set_key() from the public rc4.h header.

This does not exist in libcrypto.

Unifdef BF_PTR2.

This removes the unused Intel special version of BF_ENC().

ok tb@