siphash: introduce siphash24_compress_safe()

resolve: do not compare key twice

resolve: slightly shorten dns_resource_key_compare_func()

resolve: fix typo

fuzzers: set maximum length for several fuzzers

Hopefully fixes oss-fuzz#19081, oss-fuzz#21731, oss-fuzz#21755.
https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=19081
https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=21731
https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=21755

Merge pull request #17477 from yuwata/network-drop-serialization-routing-policy-rule

network: do not serialize/deserialize routing policy rules

network: do not serialize/deserialize routing policy rules

We already handle foreign routing policy rules correctly by the previous
commit. So, the serialization/deserialization of rules are not necessary
anymore.

network: drop unnecessary routing policy rules

networkd already drop foreign address, routes, and nexthops on startup,
except those created by kernel. However, previously, routing policy
rules were not. The logic of serialization/deserialization of rules only
works for rules created by previous invocation of networkd, and does not
work for one created by other tools like `ip rule`.

This makes networkd drop foreign routing policy rules except created by
kernel on startup. Also, remove rules created by networkd when the
corresponding links are dropped or networkd is stopping.

network: treat rule which has l3mdev flag as created by kernel

network: adjust protocol of rules sent from kernel when kernel does not support FRA_PROTOCOL

Otherwise, each configured rule is treated as foreign.

network: set FRA_PROTOCOL to RTPROT_STATIC by default

Merge pull request #18048 from poettering/timesync-man-more

man: extend time-{set,sync}.target + systemd-timesyncd/wait-sync docs

man: apply @Minoru's suggestions from code review

Co-authored-by: Alexander Batischev <eual.jp@gmail.com>

man: extend time-{set,sync}.target + systemd-timesyncd/wait-sync docs

Let's link the three man pages together more tightly and explain what
the two targets are about, emphasizing local/quick/reliable/approximate
vs remote/slow/unreliable/accurate synchronization.

Follow-up for: 1431b2f701f7ba71e5d8664e709b1fad26797918 fe934b42e480473afba8a29a4a0d3d0e789543ac

shared/dns: fix dlopen_idn return code check

Fixes https://github.com/systemd/systemd/issues/18078

sd-dhcp-client: avoid "maybe-uninitialized" warning in client_timeout_resend()

When compiling with CFLAGS='-Werror=maybe-uninitialized -Og' we get a
warning about uninitialized "next_timeout" variable.

Avoid the warning by adding an (unreachable) "default" label.

Fixes: c24288d21ee9 ("sd-dhcp-client: correct dhcpv4 renew/rebind retransmit timeouts")

Merge pull request #18021 from ssahani/route-allow-list

networkd: add support for prefix allow-list and route allow-list

test-network: add tests for [IPv6AcceptRA] PrefixDenyList= or friends

network: introduce RouterAllowList= and RouterDenyList= in [IPv6AcceptRA]

networkd: add support for prefix allow-list and route allow-list

network: rename DenyList= -> PrefixDenyList=

network: make RouteDenyList= filter route prefix rather than gateway address

DenyList= filters provided prefixes, not router address.
So, RouteDenyLisy= should so for consistency.

Fixes 16c89e649d248b0fc7c1dc7ad9f3323be4eac0f4.

network: fix condition for checking the provided gateway is assigned to link

Fix bug introduced by 221019166f315252304b3459902ead613b905de5.

sd-ndisc: fix indentation

network: drop redundant TAKE_PTR()

Follow-up for 16c89e649d248b0fc7c1dc7ad9f3323be4eac0f4.

Improve instructions for debugging failing service

In situations where a service fails to start, systemd suggests the user to
use "journalctl -xe" to get details about the failure. While running this
command does provide some additional details, most of the information is
similar to what was already printed when the service fails.

often the actual reason for the failure can be found in the logs of the
service that fails to start.

This patch updates the wording to suggest using "-u" to view the service
logs instead.

Signed-off-by: Sebastiaan van Stijn <github@gone.nl>

Merge pull request #18069 from flokli/ipv6-privacy-extensions-kernel

network: fix IPv6PrivacyExtensions=kernel

network: fix IPv6PrivacyExtensions=kernel handling

When set to "kernel", systemd is not supposed to touch that sysctl.

5e0534f1c13cd50ec2b143a8b18156cd37e502f7, part of
https://github.com/systemd/systemd/pull/17240 forgot to handle that
case.

Fixes https://github.com/systemd/systemd/issues/18003

network: fix typo

IPv6 privacy extensions are plural, not singular.

cryptsetup: add support for workqueue options

This commit adds support for disabling the read and write
workqueues with the new crypttab options no-read-workqueue
and no-write-workqueue. These correspond to the cryptsetup
options --perf-no_read_workqueue and --perf-no_write_workqueue
respectively.

man/systemd-nspawn: document hashing machine name for uid base

Explicitly document the behavior introduced in #7437: when picking a new
UID shift base with "-U", a hash of the machine name will be tried
before falling back to fully random UID base candidates.

udev: Updates for cdrom_id helper

cdrom_id udev helper does not parse all MMC profiles. Following change
fixes this issue and parse all 34 profiles from all MMC standard versions.
Also it replaces magic constants by macros provided by linux/cdrom.h and
fixes cd_profiles_old_mmc() to issue READ_DISC_INFO command in two steps,
like it is doing kernel and also mkudffs.

basic: add make_mount_point_inode helper

Creates a file or a directory depending on the source path, useful
for creating mount points.

udev: fix memleak

Fixes #18039.

journal-importer: ignore invalid field at one more place

Fixes oss-fuzz#28817.
https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=28817

man/localtime: document default timezone

This explicitly documents the default `UTC` timezone which is used
by systemd and (other softwares) when `/etc/localtime` is not present.

Ref: https://github.com/systemd/systemd/blob/v247/src/basic/time-util.c#L1460-L1469

man/systemd.netdev: clarify the wireguard AllowedIPs= setting

`AllowedIPs=` only affects "routing inside the network interface
itself", as in, which wireguard peer packets with a specific destination
address are sent to, and what source addresses are accepted from which
peer.

To cause packets to be sent via wireguard in first place, a route via
that interface needs to be added - either in the `[Routes]` section on
the `.network` matching the wireguard interface, or outside of networkd.

This is a common cause of misunderstanding, because tools like wg-quick
also add routes to the interface. However, those tools are meant as a
"extremely simple script for easily bringing up a WireGuard interface,
suitable for a few common use cases (from their manpage).

Networkd also should support other usecases - like setting AllowedIPs to
0.0.0.0/0 and ::/0 and having a dynamic routing protocol setting more
specific routes (or the user manually setting them).

Reported-In: https://github.com/systemd/systemd/issues/14176

Merge pull request #18040 from mrc0mmand/cryptenroll-unused-variable

cryptenroll: drop an unused variable

github: add the missing tpm2 optional dependency

travis: add missing optional build dependencies

cryptenroll: drop an unused variable

Fixes following warning/error w/ clang:
../src/cryptenroll/cryptenroll-tpm2.c:64:64: error: unused variable 'a' [-Werror,-Wunused-variable]
        _cleanup_(json_variant_unrefp) JsonVariant *v = NULL, *a = NULL;
                                                               ^
1 error generated.

Merge pull request #18029 from bluca/minor_fixes

Minor test script runner and labeller bot fixes

mkosi: Add basic editors to final images

It's often useful to have an editor available to edit some random
config file in the final image. Let's install some basic editors
that don't take up too much space.

Add more matching rules to GA labeler bot for subcomponents

False positives in GA labeler bot

Don't automatically match on man/* and **/meson.build, since we change those
files as part of larger changes that we usually don't mark that way

test: fix regex in run-integration-tests.sh

The regex results in calls of "make setup run -again" which is broken

test: use deny-list in run-integration-tests.sh

The old env var doesn't seem to be used anywhere, and the script
currently doesn't work, so it seems safe to change immediately

mkosi: Use --only-changed meson option when installing

Recently, mkosi gained support for specifying an --install-directory
option to save the contents of the install directory between bulids.
By enabling the --only-changed meson install option, meson won't
overwrite the contents of files that haven't changed since the last
build when using --install-directory.

man: Advertise systemd-time-wait-sync.service more (#17729)

* man: Advertise systemd-time-wait-sync.service more

The description of time-sync.target says that NTP services *should* pull
that target, but doesn't mention that e.g. systemd-timesyncd.service
doesn't actually do that. As a result, time-sync.target is reached way
earlier than people expect; see #5097, #8861, #11008.

systemd provides systemd-time-wait-sync.service to ameliorate this
problem, but doesn't feature it prominently in relevant manpages. In
fact, it's only mentioned in passing in systemd-timesyncd.service(8). As
a result, I ended up re-implementing that service, and I'm not the first
one: https://github.com/NixOS/nixpkgs/pull/51338

This patch adds a mention right in the description of time-sync.target,
which will hopefully raise awareness of this helper service.

tmpfiles: fix typo

Follow-up for 94566540e3863032df3a8a89f948b94d764ca2b4.

Merge pull request #18019 from yuwata/hostname-drop-libudev

hostname: fix build failure

man: update org.freedesktop.hostname1.xml

memory-id: fix never hit condition

As sizeof(int64_t) is always 8.

hostname: fix build failure

Follow-up for b9d8069832425b34211a6812e06537e0c50d46b6.

libudev.h was dropped from most of our binaries.

Merge pull request #15531 from felipeborges/add-device-model-field-to-hostnamed

hostnamed: Add "Model" field

networkd: add RouteDenyList

Allow configuration for IPv6 discovered routes to be ignored instead of
adding them as a route. This can be used to block unwanted routes, for
example, you may wish to not receive some set of routes on an interface
if they are causing issues.

Merge pull request #18015 from keszybz/dmi-test-mesonification2

Dmi test mesonification2

Merge pull request #18011 from yuwata/trivial-fixes

Trivial fixes for recently merged PRs

Merge pull request #17693 from yuwata/tmpfiles-compress-nocow-on-btrfs

tmpfiles: try to set file attributes one by one

Merge pull request #18009 from poettering/time-set-sync-target

tweaks for time-sync.target and time-set.target

netlink: fix size of fib rule messages

meson: sort files

nspawn: sort headers

netlink: fix indentation

netlink: drop unnecessary error handling

netlink: use whitespace instead of tab

sd-netlink: add several assertions

sd-netlink: replace *messages[] -> **messages

meson: add missing headers

network: move variable declaration

tree-wide: fix typo

tmpfiles: try to set file attributes one by one

Closes #17690.

chattr-util: introduce fallback mode to set file attributes one by one

network: Allow to configure unreachable/blackhole RoutingPolicyRule (#17984)

Merge pull request #17741 from poettering/cryptsetup-fido2

cryptsetup: add support for unlocking cryptsetup volumes via FIDO2 + TPM2 + add systemd-cryptenroll tool + more

man: document that .timer units now have After= on both time-set.target + time-sync.target

core: order timer units after both time-sync.target and time-set.target

If users do not enable a service like systemd-time-wait-sync.target
(because they don't want to delay boot for external events, such as an
NTP sync), then timers should still take the the weaker time-set.target
feature into account, so that the clock is at least monotonic.

Hence, order timer units after both of the targets: time-sync.target
*and* time-set.target. That way, the right thing will happen regardless
if people have no NTP server (and thus also no
systemd-time-wait-sync.service or equivalent) or, only have an NTP
server (and no systemd-time-wait-sync.service), or have both.

Ordering after time-set.target is basically "free". The logic it is
backed by should be instant, without communication with the outside
going on. It's useful still so that time servers that implement the
timestamp from /var/ logic can run in later boot.

units: don't pull in time-sync.target from systemd-timesyncd.service

systemd-timesyncd.service only applies the much weaker monotonic clock
from file logic, i.e should pull in and order itself before
time-set.target. The strong time-sync.target unit is pulled in by
systemd-time-wait-sync.service.

update TODO

mkosi: add TPM2 packages to debian/ubuntu/fedora mkosi files

As suggested: https://github.com/systemd/systemd/pull/17741#issuecomment-743479834

man: document new features

fido2: when listing fido2/hmac-secret devices, actually validate feature set

test: add tpm2 and fido2 libs to dlopen test

repart: optionally lock encrypted partitions to TPM2

This useful for bootstrapping encrypted systems: on first boot let's
create a /var/ partition that is locked to the local TPM2.

string-table: add private version of lookup macro with boolean fallback

cryptsetup: add support for TPM2 unlocking of volumes

cryptenroll: support listing and wiping tokens

cryptenroll: add support for TPM2 enrolling

json: add APIs for quickly inserting hex blobs into as JSON strings

This is similar to the base64 support, but fixed-size hash values are
typically preferably presented as series of hex values, hence store them
here like that too.

sort-util: make cmp_int() generic, so that we can reuse it elsewhere

cryptenroll: add new "systemd-cryptenroll" tool for enrolling FIDO2+PKCS#11 security tokens

cryptsetup: add fido2 support

fido2: don't use up/uv/rk when device doesn't support it

Apparently devices are supposed to generate failures if we try to turn
off features they don't have. Thus don't.

Prompted-by: https://github.com/systemd/systemd/issues/17784#issuecomment-737730395

homed: split out HMAC-HASH fido2 decode code into src/shared/

That way we can use it later on in systemd-cryptsetup to unlock devices
with FIDO2 tokens.

homed: move fido2 setup code to src/shared/

That way we can reuse it from systemd-cryptenroll

homed: move fido2 device enumeration logic to shared code

homed: turn libfido2 into a dlopen() type dependency

cryptsetup: split up attach_luks_or_plain_or_bitlk() into smaller functions

Just some refactoring.

cryptsetup: read PKCS#11 key and token info from LUKS2 metadata

Optionally, embedd PKCS#11 token URI and encrypted key in LUKS2 JSON
metadata header. That way it becomes very easy to unlock properly set up
PKCS#11-enabled LUKS2 volumes, a simple /etc/crypttab line like the
following suffices:

    mytest /dev/disk/by-partuuid/41c1df55-e628-4dbb-8492-bc69d81e172e - pkcs11-uri=auto

Such a line declares that unlocking via PKCS#11 shall be attempted, and
the token URI and the encrypted key shall be read from the LUKS2 header.
An external key file for the encrypted PKCS#11 key is hence no longer
necessary, nor is specifying the precise URI to use.

cryptsetup: be more careful with erasing key material from memory