Bring in two sets of changes:

(1) Permit userland applications to request a change of label atomic
    with an execve() via mac_execve().  This is required for the
    SEBSD port of SELinux/FLASK.  Attempts to invoke this without
    MAC compiled in result in ENOSYS, as with all other MAC system
    calls.  Complexity, if desired, is present in policy modules,
    rather than the framework.

(2) Permit policies to have access to both the label of the vnode
    being executed as well as the interpreter if it's a shell
    script or related UNIX nonsense.  Because we can't hold both
    vnode locks at the same time, cache the interpreter label.
    SEBSD relies on this because it supports secure transitioning
    via shell script executables.  Other policies might want to
    take both labels into account during an integrity or
    confidentiality decision at execve()-time.

Approved by: re
Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Regen.

Flesh out the definition of __mac_execve(): per earlier discussion,
it's essentially execve() with an optional MAC label argument.

Approved by: re
Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Document the current default for VersionAddendum.

Accurately reflect our local changes and additions.

Document the current default value for VersionAddendum.

Since neither the Biba policy nor the MLS policy make use of
transitioning, remove their transition entry points.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Grab 181 for HP/Compaq ProLiant advanced server management driver

Assert that appropriate vnodes are locked in mac_execve_will_transition().
Allow transitioning to be twiddled off using the process and fs enforcement
flags, although at some point this should probably be its own flag.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Hook up the mac_will_execve_transition() and mac_execve_transition()
entrypoints, #ifdef MAC.  The supporting logic already existed in
kern_mac.c, so no change there.  This permits MAC policies to cause
a process label change as the result of executing a binary --
typically, as a result of executing a specially labeled binary.

For example, the SEBSD port of SELinux/FLASK uses this functionality
to implement TE type transitions on processes using transitioning
binaries, in a manner similar to setuid.  Policies not implementing
a notion of transition (all the ones in the tree right now) require
no changes, since the old label data is copied to the new label
via mac_create_cred() even if a transition does occur.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Typo in comment: commmand -> command

Reviewed by: jhb

Fixes to unbreak Alpha releases:

Strip ${RD}/mfsfd/stand/etc/defaults/rc.conf.

Don't copy loader.help to ${RD}/mfsfd/boot, it serves no useful purpose.

Removed the now no-op commands to copy ${RD}/trees/base/dev bits to
${RD}/mfsfd/dev, now that DEVFS is the default.

Removed UFS_ACL, PSEUDOFS, and COMPAT_FREEBSD4 options from the BOOTMFS
kernel.

Moved miibus network module to the drivers floppy.

isp(4) and mpt(4) now have corresponding modules, move them to the third
floppy as well.

Caution!  With these changes, mfsroot.flp has only 11K left, and
kern.flp has even less -- 5K.

Use more non-b0rked error reporting.  Print the disk we are trying to open
and (we have the disk error from libufs? the disk error: the errno).

Requested by: bde, <many>

Make a small (1.2M) fixit floppy image for pc98.

Wrap function prototype declarations in __BEGIN_DECLS to do the right thing
with them in non-C cases, outside of the kernel.

Include <sys/cdefs.h> for __BEGIN_DECLS/__END_DECLS as other headers seem
to do in this area.

Requested by: Patrick Hartling <patrick@137.org>

Remove undefined variable.
Somehow this didn't make it in the last commits.

Wrap function prototype declarations in __BEGIN_DECLS to do the right thing
with them in non-C cases.

Requested by: Patrick Hartling <patrick@137.org>

Style/whitespace changes.

Fix for GEOM.

Tested on:  i386

- Convert to newbus, bus_space etc.
- Move to MI space.

Tested on:  i386

Use ${TARGET_ARCH} for ia64 tests.

o  Remove devices that are commented out.
o  Enable sc
o  Remove NO_GEOM. We need GEOM for GPT.
o  Remove NO_CPU_COPTFLAGS.

Remove mcclock. It's an Alpha left-over.

Create a special version for ia64. For auto-boot to work, we need
the loader in an EFI partition. This automaticly means we need the
kernel there as well.
In order to avoid having to worry about a geometry as much as
possible, we partition the disk with GPT.
With this, auto-boot works, but we have a problem mounting the
MFS.

Test for the existance of kernel ppp support by seeing if the kernel has
the module compiled in or loaded instead of bogusly checking for ppp0.
Also if and only if the caller is actually root and the kernel does not
have ppp support, try to load the ppp module before giving up.

Fix typo. ioport_rid should be irq_rid.

Sync with the stock FSF 3.2 file.  This adds TRANSFER_FROM_TRAMPOLINE,
which is needed in order for nexted C functions to work.

Sony CXD3222 OHCI i.LINK chips needs more DELAY before starting SCLK
when no devices are connected.

Remove reference to struct execve_args from struct imgact, which
describes an image activation instance.  Instead, make use of the
existing fname structure entry, and introduce two new entries,
userspace_argv, and userspace_envv.  With the addition of
mac_execve(), this divorces the image structure from the specifics
of the execve() system call, removes a redundant pointer, etc.
No semantic change from current behavior, but it means that the
structure doesn't depend on syscalls.master-generated includes.

There seems to be some redundant initialization of imgact entries,
which I have maintained, but which could probably use some cleaning
up at some point.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

License update authorized by NAI: remove clause 3.

Slight redesign for fitting in with -current.

Fix bogus return values from libc_r's write() routine in situations where
a partial-write is followed by an error.

PR: 43335
MFC after: 1 week

The symbol for Hertz is Hz.

Clarify language relating to ACLs, Capabtilities, and MAC, since the
implementation status of these services has changed substantially
since this man page was last updated.

Force rpcbind to start even if it wasn't enabled.  This solves the ypbind
problems people were having at startup.

Approved by:    re

Update license, historical information.

Point out that the MAC Framework is considered experimental.

Update ntpd to 4.1.1b. There are two new drivers and the usual bunch of
fixes. See contrib/ntp/ChangeLog for details.

MFC after: 1 month
Prodded by: jhay
Tested on: sparc64 (panther), alpha (beast) and i386.

Merge conflicts.

MFC after: 1 month

This commit was generated by cvs2svn to compensate for changes in r106424,
which included commits to RCS files with non-trunk default branches.

Virgin import of ntpd 4.1.1b

After waiting for help with the markup, I finally decided to just patch
the page myself. The new language is more accurate than what was there
before, but the most accurate way of describing the funcionality eludes
me.

PR: kern/33904
MFC after: 1 month

Export the function vm_page_splay().

Fix a grammar bogon.

PR: 44883
Submitted by: Christian Brueffer <chris@unixpages.org>

Call pcm_chn_destroy() in pcm_killchan() so that channel mutexes are destroyed and struct pcm_channel freed.

Reviewed by: cg
MFC after: 3 days

License: update, remove clause three of BSD license per approval of
NAI.

Add cautionary notes on the experimental status of the MAC Framework
in FreeBSD 5.0.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Implement mpo_check_system_acct and mpo_check_system_settime() for Biba:
require Biba privilege to configure either, and require that accounting
files be high integrity.  Note that this does allow implicit information
flow from low to high integrity, but it also protects the integrity
of accounting data.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Hook the new nextboot(8) manpage up to the build.

Correct use of mac_biba_subject_privileged() in swapon() code.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Add a nextboot manual page.

Spotted by: brandt@fokus.gmd.de

Move the modules in the mfsroot to /modules instead of /stand/modules so
that they aren't copied over into /stand of new installations.

Submitted by: matusita
Tested on: i386

Permit MAC policies to instrument the access control decisions for
system accounting configuration and for nfsd server thread attach.
Policies might use this to protect the integrity or confidentiality
of accounting data, limit the ability to turn on or off accounting,
as well as to prevent inappropriately labeled threads from becoming nfs
server threads.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Update the list of FTP mirrors to reflect the current situation.

Reviewed by:    -doc, -hubs
Approved by:    silence on -doc, -hubs

Remove mac_cache_fslabel_in_vnode sysctl -- with the new VFS/MAC
construction, labels are always cached.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Use ${RD}/trees/base/boot/loader for kern.flp instead of /boot/loader.

Polish a bit here and there.
Reenable the geom.ctl device so people can play with gbde.

Sponsored by: DARPA & NAI Labs

Run a revision on the GBDE encryption facility.

Replace ARC4 with SHA2-512.
Change lock-structure encoding to use random ordering rather for obscurity.
Encrypt lock-structure with AES/256 instead of AES/128.
Change kkey derivation to be MD5 hash based.
Watch for malloc(M_NOWAIT) failures and ditch our cache when they happen.
Remove clause 3 of the license with NAI Labs consent.

Many thanks to "Lucky Green" <shamrock@cypherpunks.to> and "David
Wagner" <daw@cs.berkeley.edu>, for code reading, inputs and
suggestions.

This code has still not been stared at for 10 years by a gang of
hard-core cryptographers.  Discretion advised.

NB: These changes result in the on-disk format changing: dump/restore needed.

Sponsored by:   DARPA & NAI Labs.

Add OpenBSD 3.2.

Submitted by: Sergey A. Osokin <osa@freebsd.org.ru>
MFC after: 1 week

Added install documentation for pc98.

Restore /var/games; lots of ports' games use it.

Add debug.doslowdown to enable/disable niced slowdown on I/O. Default
to off until locking interference issues get sorted out.

Sponsored by:   DARPA & NAI Labs.

Add descriptions for some _PC_* variables from <sys/unistd.h> that
were missing.

Cross-reference setfacl(1).

Reject slices where begin == end.
Remove clause 3 from the license with NAI Labs consent.

Sponsored by: DARPA & NAI Labs

Remove clause 3 in the license with NAI's consent.
Reject slices with type==0.
Diddle the bootverbose printfs.

Sponsored by: DARPA & NAI Labs

Backout "compatibility hack" for __sF.

Requested by: Steve Kargl <sgk@troutmask.apl.washington.edu> (submitter)

Detach the pccard bus children when we eject a 16-bit card, not the
32-bit ones.  This was introduced in the last commit.

Update licenses and wording: NAI has authorized the removal of clause three
of their BSD-style license; also, carry out the NAI Labs -> Network
Associates Laboratories renaming in these files.

License and wording updates: NAI has authorized the removal of clause
three from their BSD-style license.  Also, s/NAI Labs/Network Associates
Laboratories/.

License clarification and wording changes: NAI has approved removal of
clause three, and NAI Labs now goes by the name Network Associates
Laboratories.

Add the necessary tweaks for FreeBSD/ia64 releases. Note that this is
in no way final. A typical ia64 wart is that there are no boot blocks.
Instead, we need to create disks with EFI partitions if we want auto
boot to work. All this functionality is not present yet.

Add GPT entry types for partitions we're likely to encounter in the
wild. These include MS partitions and Linux partitions. At this time
there's no evidence that HP-UX uses GPT.

Hook the aic7xxx modules up.  This requires some extra care since aicasm
is a compiler tool and needs to be compiled by the host compiler.  I've
tested this in i386->sparc cross-build, 4.7->current upgrade, normal
buildkernel target, and normal /sys/i386/compile/GENERIC configurations.

Submitted by: ru

- Consistent use of warn() vs. perror().
- Gracefully handle the case where standard input is missing
  a newline at EOF.
- Exit with status 1 instead of -1 (really 255) on error.
- Add a Diagnostics section to the manual page documenting
  exit status.

Approved by: rwatson

 - Remove the memory allocation for the object/offset hash table
   because it's no longer used.  (See revision 1.215.)
 - Fix a harmless bug: the number of vm_page structures allocated wasn't
   properly adjusted when uma_bootstrap() was introduced.  Consequently,
   we were allocating 30 unused vm_page structures.
 - Wrap a long line.

Improve some questionable grammar.

Correctly recognize both bogus and genuine BSD disklabels.

Don't expect me to participate in a discussion which is which.

Sponsored by: DARPA & NAI Labs.

Remove unused MBR gunk leftover from i386.

early-adopter/article.sgml: translation fixes
relnotes/common/new.sgml:   1.446 -> 1.448

Add status initialization code for acpi_cmbat and acpi_acad,
acpi_cmbat_init_battery() and acpi_cmbat_init_acline() respectively.
Call acpi_cmbat_init_battery() from acpi_cmbat_resume() too just in
case.
This is a workaround for embedded controller operations which is
unstable for about a minute (typically 30 or 40 sec.) at boot time.

Enable if_fwe.

- Added the MenuIPLType menu for selecting pc98 boot IPL.
- Disabled 'Syscons, Font', 'Syscons, Screenmap' and 'Syscons, Ttys' menus
  on pc98.
- Fixed the MenuMouseType and MenuMousePort menus for pc98.
- Fixed some comments for pc98.

Fix to compile for pc98.

Bring newfs_msdos into the GEOM world.  Totally rewrite and simplify
getdiskinfo().  For the fixed-disk case, bpb->hid probably isn't
handled correctly, but I'm not sure if this is a serious problem since
the primary use of this program is to format floppy disks.

Reviewed by:    phk

Print a `+' character after the standard UNIX permission fields in long
listings if the file has an extended ACL (more than the required 3 entries).
This is what Solaris and IRIX do, and what the withdrawn POSIX.2c standard
required.

Reviewed by: rwatson (an earlier version of the patch)

Add hints for wd1, wd2 and wd3.

Introduce mac_check_system_settime(), a MAC check allowing policies to
augment the system policy for changing the system time.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Initialize d->bios_cyl. We know the media size in sectors, the number
of heads end the number of sectors per track. If there's an obvious
insanity (heads and sectors are both zero or the media size is not
an integral multiple of heads times sector) we set the number of
cylinders to zero.

Change privilege model for mac_partition such that BSD superuser can change
the partition once a partition has been set.  This is required for correct
operation of sendmail between partitions.

Obtained from: TrustedBSD Project
Sponsored by: DARPA, Network Associates Laboratories

Remove entry for All Saints' in Portugal.  While it's correct, All
Saints' is celebrated in all Christian countries, and there's already
another entry.

X-ref clock_gettime(2).

Sync to src/sys/kern/syscalls.master

Regen from yesterday's system call placeholder rename.

MFp4:
o Always release the resources on device detach.
o Attach resources the same with driver added as we do we do in the insert
  case (maybe this should be a routine).
o signal the wakeup of the thread on resume instead of trying to force an
  interrupt.
o Minor debug hacks.
o use 0xffffffff instead of -1 for uint32_t items.
o Don't complain when we're asked to detach no cards.  This is normal.
o Eliminate the now worthless second parameter to card_detach_card.
o minor style(9)isms

Some of these patches may be from: iwasaki-san, jhb, iadowse

Catch up with the removal of the vm page buckets spin mutex.

Remove the vm page buckets mutex.  As of revision 1.215 of vm/vm_page.c,
it is unused.

MFp4:
o It turns out that we always need to try to route the interrupts for
  the case where the $PIR tells us there can be only one.  Some machines
  require this, while others fail when we try to do this (bogusly, imho).
  Since we have no apriori way of knowing which is which, we always try to
  do the routing and hope for the best if things fail.
o Add some additional comments that state the obvious, but amplify it in
  non-obvious ways (judging from the questions I've gotten).

This should un-break older laptops that still have to use PCIBIOS to route
interrupts.

Tested by: sam

Use 0xffffffff instead of -1 for id to compare against.
Use exact width types, since this is a MD file and won't be used elsewhere.
Fix a couple of resulting printf breakages

Bug found by: phk using Flexlint

Shamelessly copy the files over from the sparc64 port. Since there
was no history to speak of, a repocopy would not have bought us
anything. Versions copied:
../sparc64/boot_crunch.conf,v 1.3 2002/11/01 15:29:35 jhb
../sparc64/dokern.sh,v 1.1 2002/10/13 18:36:06 jake
../sparc64/mkisoimages.sh,v 1.1 2002/10/13 18:36:06 jake

obtained from: jake, jhb
chapeau: jkh (mkisoimages.sh)

Unbreak MNT_UPDATE when running with cd as root.  Detect mountroot by
checking for "path == NULL" (like ffs) rather than MNT_ROOT.  Otherwise
when you try and do an update or mountd does an NFS export, the remount
fails because the code tries to mount a fresh rootfs and gets an EBUSY.
The same bug is in 4.x (which is where I found it).

Sanity check by: mux