added unique function names to --enable-valgrind suspect functions test

added new test in --enable-valgrind mode to collect suspect functions

Only cache replay digests for SPA packets that decrypt

This change ensures that we only cache replay digests for those SPA packets
that actually decrypt.  Not doing this would have allowed an attacker to
potentially fill up digest cache space with digests for garbage packets.

Added a test for a dual-usage key in access.conf

Bug fix for multi-stanza key use and replay attack detection

This commit fixes a bug where the same encryption key used for two stanzas in
the access.conf file would result in access requests that matched the second
stanza to always be treated as a replay attack.  This has been fixed for
the fwknop-2.0.1 release, and was reported by Andy Rowland.  Now the fwknopd
server computes the SHA256 digest of raw incoming payload data before
decryption, and compares this against all previous hashes.  Previous to this
commit, fwknopd would add a new hash to the replay digest list right after
the first access.conf stanza match, so when SPA packet data matched the
second access.conf stanza a matching replay digest would already be there.

gcc warning fix fox: fko_decode.c:43:17: warning: variable ‘edata_size’ set but not used [-Wunused-but-set-variable]

updated PF anchor check to not rely on listing the PF policy

added Ted Wynnychenko for OpenBSD PF testing

convert Rijndael blocksize values '16' to use RIJNDAEL_BLOCKSIZE macro

added --stat output to ChangeLog

moved ChangeLog-v2.0 to ChangeLog

removed old ChangeLog files

Added ChangeLog, ShortLog, and diffstat files for the 2.0 release.

bumped version to 2.0

added FKO_CHECK_COMPILER_ARG_LDFLAGS_ONLY to fix ro-relocations and immediate binding protection compliation warnings on FreeBSD

minor test suite update to look for linker warnings in a more generic way

minor test suite addition to check for linker input file warnings

bumped version to 2.0

minor wording update subversion -> git

Refactored configure.ac to use a custom macro for compiler flag checks.
Set version to 2.0 (non-release candidate).
Minor typo fixes.

updated copyright and license statement - fwknop is GPL software

minor addition of the local_spa.key file for 'make dist'

added local_spa.key file

added local_spa.key file

minor addition of the CREDITS file for 'make dist'

Added the CREDITS file for 'make dist'

change log doc updates

Added various files to Makefile.am so that 'make dist' continues to work

added CREDITS file, bumped software version, added ChangeLog files

added CREDITS file, bumped software version, added ChangeLog files

minor compiler warning fix on OpenBSD

minor compile fixes for FreeBSD

Added FORCE_NAT mode to the access.conf file

This commit adds a new configuration variable "FORCE_NAT" to the access.conf
file:

    For any valid SPA packet, force the requested connection to be NAT'd
    through to the specified (usually internal) IP and port value.  This is
    useful if there are multiple internal systems running a service such as
    SSHD, and you want to give transparent access to only one internal system
    for each stanza in the access.conf file.  This way, multiple external
    users can each directly access only one internal system per SPA key.

This commit also implements a few minor code cleanups.

minor newline fix for access.conf output dump

memory leak bugfix as a follow up to commit b280f5cde0246cdef33dee3f8be66a2bcef77336

Added access stanza expiration feature, multiple access stanza bug fix

This commit does two major things:

1) Two new access.conf variables are added "ACCESS_EXPIRE" and
"ACCESS_EXPIRE_EPOCH" to allow access stanzas to be expired without having
to modify the access.conf file and restart fwknopd.

2) Allow an access stanza that matches the SPA source address to not
automatically short circuit other stanzas if there is an error (such as when
there are multiple encryption keys involved and an incoming SPA packet is
meant for, say, the second stanza and the first therefore doesn't allow
proper decryption).

added SPA packet aging tests

bug fix to exclude SPA packets with timestamps in the future that are too great (old packets were properly excluded already)

added test for --test mode in the fwknop client

bug fix to honor the fwknop client --time-offset-plus and --time-offset-minus options

added DNAT mode tests, minor memory leak fix in NAT mode, added fwknopd check for ENABLE_IPT_FORWARDING variable before attempting NAT access

added tests for various access.conf variables

added IP/subnet match tests, added --Anonymize-results mode

simplified the client/server interaction code, started on IP filtering tests, added spoof username tests

minor test wording consolidation

This commit fixes two memory leaks and adds a common exit function.

The two memory leaks were found with the test suite running in
--enable-valgrind mode - here are the relevant error messages:

For fwknopd server GPG clean up:

==345== 9 bytes in 1 blocks are definitely lost in loss record 2 of 2
==345==   at 0x4C2815C: malloc (vg_replace_malloc.c:236)
==345==   by 0x52F6B81: strdup (strdup.c:43)
==345==   by 0x10FA57: add_string_list_ent (access.c:308)
==345==   by 0x110513: parse_access_file (access.c:387)
==345==   by 0x10B5FB: main (fwknopd.c:193)

For fwknop client rc file processing:

==8045== 568 bytes in 1 blocks are still reachable in loss record 12 of 12
==8045==    at 0x4C2815C: malloc (vg_replace_malloc.c:236)
==8045==    by 0x50A53AA: __fopen_internal (iofopen.c:76)
==8045==    by 0x10C3FF: process_rc (config_init.c:446)
==8045==    by 0x10C8F6: config_init (config_init.c:671)
==8045==    by 0x10AC9E: main (fwknop.c:62)

There is also a new clean_exit() function that makes it easier to ensure that
resources are deallocated upon existing.

remove CMD timestamps for --diff mode

added --diff mode to the test suite to compare results from one execution to the next

consolidated several test functions into a single generic_exec() function

Fixed fwknopd memory leak, several other fixes and updates

This commit does several things.  First, a memory leak in fwknopd has been
fixed by ensuring to free access.conf stanzas.  This bug was found with the
new test suite running in --enable-valgrind mode.  Here is what some of the
valgrind output looked like to find the leak:

==19217== 11 bytes in 1 blocks are indirectly lost in loss record 3 of 5
==19217==    at 0x4C2815C: malloc (vg_replace_malloc.c:236)
==19217==    by 0x52F6B81: strdup (strdup.c:43)
==19217==    by 0x10FC8B: add_acc_string (access.c:49)
==19217==    by 0x1105C8: parse_access_file (access.c:756)
==19217==    by 0x10B79B: main (fwknopd.c:194)
==19217==
==19217== 16 bytes in 1 blocks are indirectly lost in loss record 4 of 5
==19217==    at 0x4C27480: calloc (vg_replace_malloc.c:467)
==19217==    by 0x10FEC0: add_source_mask (access.c:88)
==19217==    by 0x110100: expand_acc_source (access.c:191)
==19217==    by 0x1104B0: parse_access_file (access.c:500)
==19217==    by 0x10B79B: main (fwknopd.c:194)
==19217==
==19217== 183 (152 direct, 31 indirect) bytes in 1 blocks are definitely lost in loss record 5 of 5
==19217==    at 0x4C27480: calloc (vg_replace_malloc.c:467)
==19217==    by 0x1103E4: parse_access_file (access.c:551)
==19217==    by 0x10B79B: main (fwknopd.c:194)
==19217==
==19217== LEAK SUMMARY:
==19217==    definitely lost: 152 bytes in 1 blocks
==19217==    indirectly lost: 31 bytes in 3 blocks
==19217==      possibly lost: 0 bytes in 0 blocks
==19217==    still reachable: 8 bytes in 1 blocks
==19217==         suppressed: 0 bytes in 0 blocks

Second, this commit changes how fwknopd acquires packet data with
pcap_dispatch() - packets are now processed within the callback function
process_packet() that is provided to pcap_dispatch(), the global packet
counter is incremented by the return value from pcap_dispatch() (since this is
the number of packets processed per pcap loop), and there are two new
fwknopd.conf variables PCAP_DISPATCH_COUNT and PCAP_LOOP_SLEEP to control the
number of packets that pcap_dispatch() should process per loop and the number
of microseconds that fwknopd should sleep per loop respectively.  Without this
change, it was fairly easy to cause fwknopd to miss packets by creating bursts
of packets that would all be processed one at time with the usleep() delay
between each.  For fwknopd deployed on a busy network and with a permissive
pcap filter (i.e. something other than the default that causes fwknopd to look
at, say, TCP ACK's), this change should help.

Third, the criteria that a packet must reach before data copying into the
buffer designed for SPA processing has been tightened.  A packet less than
/greater than the minimum/maximum expected sizes is ignored before data is
copied, and the base64 check is done as well.

added complete SPA cycle tests for tcp ports 23 and 9418 (git), and for udp 53 dns

updated client SPA verbose message to include the server IP/host

minor looping criteria update for valgrind tests

[test-suite] added the ability to run all fwknop tests through valgrind

bugfix to return preprocess_spa_data() result properly to calling function

update to remove packet direction requirement when sniffing on OpenBSD loopback interfaces

minor whitespace removal

added stack protection detection for OpenBSD systems

Update to ensure libfko.so path is detected properly on OpenBSD

Update to print all firewall commands in --verbose mode

This commit makes it easier to determine exactly which commands fwknopd
runs in --verbose mode when interacting with the underlying firewall.
This commit also adds --verbose --verbose mode to the test suite.

added 'const' to function prototype vars where possible

Added the 'const' qualifier to function prototype variables where possible.
In addition, reduced some functions to file-scope with 'static' where possible.

Also made a few minor changes to remove extra whitespace, and fixed a bug
in create_fwknoprc() to ensure the new fwknoprc filehandle is closed.

compiler warning fix for sscanf() on freebsd

This commit fixes the following gcc warning on freebsd systems:

replay_cache.c: In function 'replay_file_cache_init':
replay_cache.c:312: warning: format '%ld' expects type 'long int *', but argument 9 has type 'time_t *'

update to detect loopback interface

minor whitespace removal

added LD_LIBRARY_PATH to all fwknop/fwknopd commands to make manual command execution easier

added digest cache validation after GPG tests

minor update to match include/exclude criteria on the whole test message

extended packet validity tests in GPG mode

added first GPG complete cycle SPA test

minor whitespace removal

added test to validate digest.cache structure

added -P bpf test for complete SPA cycle over non standard SPA port

added -P bpf filter test

added Rijndael SPA validity tests

added rule timeout detection

added replay attack detection test

minor removal of whitespace

added first complete SPA cycle test

Added --digest-file and --pid-file args

Added --digest-file and --pid-file args so that the user can easily alter
these paths from the command line.

added client/server interaction test capability

Minor PID string length fix

Changed PID string length to 7 to accomodate an ending newline and NULL
char when writing to the fwknopd .pid file.  Without this fix, with a
5 digit PID the trailing newline would be truncated (no room for the
ending NULL char).

Added --fw-list-all and --fw-flush

Added new command line options --fw-list-all and --fw-flush to allow all
firewall rules to be displayed including those not created by fwknopd, and
allow all firewall rules created by fwknopd to be deleted.

Also switched -D config dump output to stdout.

Added usage of sudo for recompilation test

The test suite now recompiles fwknop only if the --enable-recompile-check
option is used, and if so, uses sudo (if installed) to have the resulting
binaries own by the original user (instead of by root).  Also made a couple
of API changes to create test output files automatically if they don't
exist.

minor update to allow fw rules to be dumped before parsing the access.conf file

minor whitespace fixes

minor wording update netfilter -> iptables

minor bugfix to ensure that the proper firewall is used to collect system specs

added the test/conf/ directory for config files use by the test suite

minor typo fix

started on basic SPA generation, updated to use LD_LIBRARY_PATH for local libfko instance

interim commit to add major functionality to the fwknop test suite

removed

minor update to switch to stdout when exiting with success

switched --help output to stdout from stderr

minor update to account for hardening-check return values

Initial start on a test suite

This commit begins development on a comprehensive test suite for fwknop.
The initial tests are focused on compilation correctness and security options
as determined by the "hardening-check" script from Kees Cook of the Debian
security team.

Added --help usage information

With the --help command line argument, the following information is printed:

$ ./fwknop-launcher-lsof.pl --help

Usage: fwknop-launcher-lsof.pl [options]

Options:

    -c,  --config     <file>   - Path to fwknop-launcher.conf config file.
    -l,  --lsof-cmd   <path>   - Path to lsof command.
    -f,  --fwknop-cmd <path>   - Path to fwknop client command.
    -s,  --sleep   <seconds>   - Specify sleep interval (default:
                                 1 seconds)
    -n   --no-daemon           - Run in foreground mode.
    -u,  --user   <username>   - Specify username (usually this is not
                                 needed).
         --home-dir <dir>      - Path to user's home directory (usually
                                 this is not needed).
    -v   --verbose             - Print verbose information to the terminal
                                 (requires --no-daemon).
         --help                - Print usage info and exit.

Merge branch 'master' into fwknop-launcher

Added the fwknop lsof launcher under the extras/ directory

The fwknop lsof launcher (extras/fwknop-launcher/fwknop-launcher-lsof.pl) is a
lightweight daemon that allows the user to not have to manually run the fwknop
client when attempting to gain access to a service that is protected by Single
Packet Authorization via fwknopd.  This is accomplished by checking the output
of lsof to look for pending connections in the SYN_SENT state, which (usually)
indicate that a remote firewall is blocking the attempted connection.  At this
point, the launcher executes the fwknop client with the --get-key arg (so the
user must place the key in the local filesystem) to generate an SPA packet for
the attempted connection.  The remote fwknopd daemon will reconfigure the
firewall to allow temporary access, and this usually happens fast enough that
the original connection attempt will then succeed.

The idea for this was originally for a pcap-based connection watcher by
Sebastien Jeanquier.

Merge pull request #5 from maxkas/master

Fwknop client for iPhone devices - contributed by Max Kastanas