network: fix typo

IPv6 privacy extensions are plural, not singular.

cryptsetup: add support for workqueue options

This commit adds support for disabling the read and write
workqueues with the new crypttab options no-read-workqueue
and no-write-workqueue. These correspond to the cryptsetup
options --perf-no_read_workqueue and --perf-no_write_workqueue
respectively.

man/systemd-nspawn: document hashing machine name for uid base

Explicitly document the behavior introduced in #7437: when picking a new
UID shift base with "-U", a hash of the machine name will be tried
before falling back to fully random UID base candidates.

udev: Updates for cdrom_id helper

cdrom_id udev helper does not parse all MMC profiles. Following change
fixes this issue and parse all 34 profiles from all MMC standard versions.
Also it replaces magic constants by macros provided by linux/cdrom.h and
fixes cd_profiles_old_mmc() to issue READ_DISC_INFO command in two steps,
like it is doing kernel and also mkudffs.

basic: add make_mount_point_inode helper

Creates a file or a directory depending on the source path, useful
for creating mount points.

udev: fix memleak

Fixes #18039.

journal-importer: ignore invalid field at one more place

Fixes oss-fuzz#28817.
https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=28817

man/localtime: document default timezone

This explicitly documents the default `UTC` timezone which is used
by systemd and (other softwares) when `/etc/localtime` is not present.

Ref: https://github.com/systemd/systemd/blob/v247/src/basic/time-util.c#L1460-L1469

man/systemd.netdev: clarify the wireguard AllowedIPs= setting

`AllowedIPs=` only affects "routing inside the network interface
itself", as in, which wireguard peer packets with a specific destination
address are sent to, and what source addresses are accepted from which
peer.

To cause packets to be sent via wireguard in first place, a route via
that interface needs to be added - either in the `[Routes]` section on
the `.network` matching the wireguard interface, or outside of networkd.

This is a common cause of misunderstanding, because tools like wg-quick
also add routes to the interface. However, those tools are meant as a
"extremely simple script for easily bringing up a WireGuard interface,
suitable for a few common use cases (from their manpage).

Networkd also should support other usecases - like setting AllowedIPs to
0.0.0.0/0 and ::/0 and having a dynamic routing protocol setting more
specific routes (or the user manually setting them).

Reported-In: https://github.com/systemd/systemd/issues/14176

Merge pull request #18040 from mrc0mmand/cryptenroll-unused-variable

cryptenroll: drop an unused variable

github: add the missing tpm2 optional dependency

travis: add missing optional build dependencies

cryptenroll: drop an unused variable

Fixes following warning/error w/ clang:
../src/cryptenroll/cryptenroll-tpm2.c:64:64: error: unused variable 'a' [-Werror,-Wunused-variable]
        _cleanup_(json_variant_unrefp) JsonVariant *v = NULL, *a = NULL;
                                                               ^
1 error generated.

Merge pull request #18029 from bluca/minor_fixes

Minor test script runner and labeller bot fixes

mkosi: Add basic editors to final images

It's often useful to have an editor available to edit some random
config file in the final image. Let's install some basic editors
that don't take up too much space.

Add more matching rules to GA labeler bot for subcomponents

False positives in GA labeler bot

Don't automatically match on man/* and **/meson.build, since we change those
files as part of larger changes that we usually don't mark that way

test: fix regex in run-integration-tests.sh

The regex results in calls of "make setup run -again" which is broken

test: use deny-list in run-integration-tests.sh

The old env var doesn't seem to be used anywhere, and the script
currently doesn't work, so it seems safe to change immediately

mkosi: Use --only-changed meson option when installing

Recently, mkosi gained support for specifying an --install-directory
option to save the contents of the install directory between bulids.
By enabling the --only-changed meson install option, meson won't
overwrite the contents of files that haven't changed since the last
build when using --install-directory.

man: Advertise systemd-time-wait-sync.service more (#17729)

* man: Advertise systemd-time-wait-sync.service more

The description of time-sync.target says that NTP services *should* pull
that target, but doesn't mention that e.g. systemd-timesyncd.service
doesn't actually do that. As a result, time-sync.target is reached way
earlier than people expect; see #5097, #8861, #11008.

systemd provides systemd-time-wait-sync.service to ameliorate this
problem, but doesn't feature it prominently in relevant manpages. In
fact, it's only mentioned in passing in systemd-timesyncd.service(8). As
a result, I ended up re-implementing that service, and I'm not the first
one: https://github.com/NixOS/nixpkgs/pull/51338

This patch adds a mention right in the description of time-sync.target,
which will hopefully raise awareness of this helper service.

tmpfiles: fix typo

Follow-up for 94566540e3863032df3a8a89f948b94d764ca2b4.

Merge pull request #18019 from yuwata/hostname-drop-libudev

hostname: fix build failure

man: update org.freedesktop.hostname1.xml

memory-id: fix never hit condition

As sizeof(int64_t) is always 8.

hostname: fix build failure

Follow-up for b9d8069832425b34211a6812e06537e0c50d46b6.

libudev.h was dropped from most of our binaries.

Merge pull request #15531 from felipeborges/add-device-model-field-to-hostnamed

hostnamed: Add "Model" field

networkd: add RouteDenyList

Allow configuration for IPv6 discovered routes to be ignored instead of
adding them as a route. This can be used to block unwanted routes, for
example, you may wish to not receive some set of routes on an interface
if they are causing issues.

Merge pull request #18015 from keszybz/dmi-test-mesonification2

Dmi test mesonification2

Merge pull request #18011 from yuwata/trivial-fixes

Trivial fixes for recently merged PRs

Merge pull request #17693 from yuwata/tmpfiles-compress-nocow-on-btrfs

tmpfiles: try to set file attributes one by one

Merge pull request #18009 from poettering/time-set-sync-target

tweaks for time-sync.target and time-set.target

netlink: fix size of fib rule messages

meson: sort files

nspawn: sort headers

netlink: fix indentation

netlink: drop unnecessary error handling

netlink: use whitespace instead of tab

sd-netlink: add several assertions

sd-netlink: replace *messages[] -> **messages

meson: add missing headers

network: move variable declaration

tree-wide: fix typo

tmpfiles: try to set file attributes one by one

Closes #17690.

chattr-util: introduce fallback mode to set file attributes one by one

network: Allow to configure unreachable/blackhole RoutingPolicyRule (#17984)

Merge pull request #17741 from poettering/cryptsetup-fido2

cryptsetup: add support for unlocking cryptsetup volumes via FIDO2 + TPM2 + add systemd-cryptenroll tool + more

man: document that .timer units now have After= on both time-set.target + time-sync.target

core: order timer units after both time-sync.target and time-set.target

If users do not enable a service like systemd-time-wait-sync.target
(because they don't want to delay boot for external events, such as an
NTP sync), then timers should still take the the weaker time-set.target
feature into account, so that the clock is at least monotonic.

Hence, order timer units after both of the targets: time-sync.target
*and* time-set.target. That way, the right thing will happen regardless
if people have no NTP server (and thus also no
systemd-time-wait-sync.service or equivalent) or, only have an NTP
server (and no systemd-time-wait-sync.service), or have both.

Ordering after time-set.target is basically "free". The logic it is
backed by should be instant, without communication with the outside
going on. It's useful still so that time servers that implement the
timestamp from /var/ logic can run in later boot.

units: don't pull in time-sync.target from systemd-timesyncd.service

systemd-timesyncd.service only applies the much weaker monotonic clock
from file logic, i.e should pull in and order itself before
time-set.target. The strong time-sync.target unit is pulled in by
systemd-time-wait-sync.service.

update TODO

mkosi: add TPM2 packages to debian/ubuntu/fedora mkosi files

As suggested: https://github.com/systemd/systemd/pull/17741#issuecomment-743479834

man: document new features

fido2: when listing fido2/hmac-secret devices, actually validate feature set

test: add tpm2 and fido2 libs to dlopen test

repart: optionally lock encrypted partitions to TPM2

This useful for bootstrapping encrypted systems: on first boot let's
create a /var/ partition that is locked to the local TPM2.

string-table: add private version of lookup macro with boolean fallback

cryptsetup: add support for TPM2 unlocking of volumes

cryptenroll: support listing and wiping tokens

cryptenroll: add support for TPM2 enrolling

json: add APIs for quickly inserting hex blobs into as JSON strings

This is similar to the base64 support, but fixed-size hash values are
typically preferably presented as series of hex values, hence store them
here like that too.

sort-util: make cmp_int() generic, so that we can reuse it elsewhere

cryptenroll: add new "systemd-cryptenroll" tool for enrolling FIDO2+PKCS#11 security tokens

cryptsetup: add fido2 support

fido2: don't use up/uv/rk when device doesn't support it

Apparently devices are supposed to generate failures if we try to turn
off features they don't have. Thus don't.

Prompted-by: https://github.com/systemd/systemd/issues/17784#issuecomment-737730395

homed: split out HMAC-HASH fido2 decode code into src/shared/

That way we can use it later on in systemd-cryptsetup to unlock devices
with FIDO2 tokens.

homed: move fido2 setup code to src/shared/

That way we can reuse it from systemd-cryptenroll

homed: move fido2 device enumeration logic to shared code

homed: turn libfido2 into a dlopen() type dependency

cryptsetup: split up attach_luks_or_plain_or_bitlk() into smaller functions

Just some refactoring.

cryptsetup: read PKCS#11 key and token info from LUKS2 metadata

Optionally, embedd PKCS#11 token URI and encrypted key in LUKS2 JSON
metadata header. That way it becomes very easy to unlock properly set up
PKCS#11-enabled LUKS2 volumes, a simple /etc/crypttab line like the
following suffices:

    mytest /dev/disk/by-partuuid/41c1df55-e628-4dbb-8492-bc69d81e172e - pkcs11-uri=auto

Such a line declares that unlocking via PKCS#11 shall be attempted, and
the token URI and the encrypted key shall be read from the LUKS2 header.
An external key file for the encrypted PKCS#11 key is hence no longer
necessary, nor is specifying the precise URI to use.

cryptsetup: be more careful with erasing key material from memory

cryptsetup: split code that allocates udev security device monitor into its own function

cryptsetup-util: add helper for setting minimal PBKDF

cryptsetup-util: add helper call for extracting/parsing token JSON

homed: move code to list and resolve "auto" pkcs#11 URL into common code

That way we can reuse it from systemd-cryptenroll.

homed: split out code that determines suitable LUKS passphrase size from RSA key

We can use this in cryptenroll later on, hence let's make this generic.

homed: move pkcs11 LUKS glue into shared code

That way we can lter reuse it from cryptsetup/cryptenroll too.

homed: move helper calls for RSA encryption to shared code

homed: move homectl's recovery key generation/modhex code to src/shared/

This allows us to later reuse the code to generate recovery keys for
traditional LUKS volumes, too and share the code.

test: fix fd_is_mount_point() check

So the currentl and only fd_is_mount_point() check is actually entirely
bogus: it passes "/" as filename argument, but that's not actually a
a valid filename, but an absolute path.

fd_is_mount_point() is written in a way tha the fd refers to a directory
and the specified path is a file directly below it that shall be
checked. The test call actually violated that rule, but still expected
success.

Let's fix this, and check for this explicitly, and refuse it.

Let's extend the test and move it to test-mountpoint-util.c where the
rest of the tests for related calls are placed.

Replaces: #18004
Fixes: #17950

tree-wide: suggest meson command lines instead of ninja ones

This only changes documentation. In various places we call "ninja"
directly. I figured it would be safer to leave those in place for now,
given the meson replacement commands lines appears to be supported in
newer meson versions only.

test: add one more dmidecode dump

meson: make each dmidecode a separate test

This allows them to be executed in parallel and also gives us
better reporting.

The dump files are renamed to avoid repeating "dmidecode-dump", since that
string is already present in the subdirectory name.

Merge pull request #18001 from systemd/wip/hadess/unsupported-dmi

meson: Disable dmi_memory_id on arches without DMI

terminal-util: use 256 color mode for PID 1 output, too

Follow-up for: #17702

Alsoe, see earlier review comment: https://github.com/systemd/systemd/pull/17702#pullrequestreview-552329600

Merge pull request #17998 from mrc0mmand/qemu-drop-trailing-whitespace

test: drop the trailing whitespace from the QEMU version check

Merge pull request #17702 from rnhmjoj/master

Extend $SYSTEMD_COLORS to switch colors mode

meson: Disable dmi_memory_id on arches without DMI

Merge pull request #17026 from fw-strlen/nft_16

add networkd/nspawn nftables backend

meson: Split off udev helper programs array

udev: Extract RAM properties from DMI information

Add memory_id program to set properties about the physical memory
devices in the system. This is useful on machines with removable memory
modules to show how the machine can be upgraded, and on all devices to
detect the actual RAM size, without relying on the OS accessible amount.

Closes: #16651

tree-wide: fix typo

test-login: skip consistency checks when logind is not active

There are two ways in swich sd_login_* functions acquire data:
some are derived from the cgroup path, but others use the data serialized
by logind.

When the tests are executed under Fedora's mock, without systemd-spawn
but instead in a traditional chroot, test-login gets confused:
the "outside" cgroup path is visible, so sd_pid_get_unit() and
sd_pid_get_session() work, but sd_session_is_active() and other functions
that need logind data fail.

Such a buildroot setup is fairly bad, but it can be encountered in the wild, so
let's just skip the tests in that case.

/* Information printed is from the live system */
sd_pid_get_unit(0, …) → "session-237.scope"
sd_pid_get_user_unit(0, …) → "n/a"
sd_pid_get_slice(0, …) → "user-1000.slice"
sd_pid_get_session(0, …) → "237"
sd_pid_get_owner_uid(0, …) → 1000
sd_pid_get_cgroup(0, …) → "/user.slice/user-1000.slice/session-237.scope"
sd_uid_get_display(1000, …) → "(null)"
sd_uid_get_sessions(1000, …) → [0] ""
sd_uid_get_seats(1000, …) → [0] ""
Assertion 'r >= 0' failed at src/libsystemd/sd-login/test-login.c:104, function test_login(). Aborting.

networkd: handle ignoring ll gateway being link ll

In the event where network discovery gets a route with the gateway being
the interfaces local link address, networkd will fail the interface.

systemd-networkd[44319]: br_lan: Configuring route: dst: fdcd:41a4:5559:ec03::/64, src: n/a, gw: fe80::e4da:7eff:fe77:5c5e, prefsrc: n/a, scope: global, table: main, proto: ra, type: unicast
systemd-networkd[44319]: br_lan: Could not set NDisc route or address: Gateway can not be a local address. Invalid argument
systemd-networkd[44319]: br_lan: Failed
systemd-networkd[44319]: br_lan: State changed: configuring -> failed

This patch, instead of allowing the interface to fail, will instead log
the event and skip setting the route.

Merge pull request #17799 from yuwata/oss-fuzz-25353

logs-show: skip non-utf8 name entries

Translated using Weblate (Swedish)

Currently translated at 67.3% (126 of 187 strings)

Co-authored-by: Luna Jernberg <bittin@reimu.nl>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/master/sv/
Translation: systemd/master

tree-wide: fix typo

Merge pull request #17859 from keszybz/hostnamed-export-hostname-origin-and-simplify-logic

Export hostname origin and simplify logic in hostamed

test: s/MUMA/NUMA/