Document problems with SHA-1 in certs with DANE-TA

Very few domains are using SHA-1 in EE certs issued from a CA used in
DANE-TA anchoring, but some are.  Meanwhile apparently GnuTLS now
defaults to disabling SHA-1 in chains.  Which is eminently reasonable.

I do not believe that Exim should re-enable use of SHA-1 here.  Let it
die.  Document with warnings that folks using a private CA for certs to
be publicly trusted via DANE-TA should follow decent operational
issuance practices.

Also update my Channel Binding docs for GSASL to warn that Channel
Binding is Broken™.

Callouts: enhance debug message

Testsuite: tweak instructions for running the suite

Restore rsmapd support

Following discussions on the exim-user mailinglist it seems that the conclusion
that the interface was nonfunctioning was unwarranted.

tidying

Merge branch 'rspamd-removal'

Revert "Support Rspamd.  Patch from Andrew Lewis, lightly editorialised"

This reverts commit c5f280e20a8e3ecd5f016b8fb34a436588915ed2.

Revert "Rspamd: add $authenticated_id as User to scan command"

This reverts commit 6c54be6459b83b955fbd2fd6d6a844f80c98427a.

Revert "Spamd: add missing initialiser.  Rspamd mode was incorrectly sometimes seen."

This reverts commit e718bd6285cb0fb45b74b6fc00b7737590dcaa60.

Revert "Do not use shutdown() when talking to rspamd. Fixes 1802"

This reverts commit 416a0be6df0697848ca551dd3243b652e763792d.

Revert "Testsuite: limited support for Content-length:"

This reverts commit f6f239461fd62b3a4f3142b6b2a85f8f65eee486.

Revert "Avoid repeated string-copy building command-string for rspamd"

This reverts commit 5df838645bcdb135355205a115bf918c85987caf.

Unbreak non-DANE build

Broken-by: afdb5e9cf0

Expansions: A tls option on ${readsocket }.  Bug 2282

ARC: Fix verification to do AS checks in reverse order

Broken from the original introduction (617d39327e)

Fix mutiple message send under TLS

Broken-by: 74f1a42304

TLS: rework client-side use with an explicit context rather than a global

Testsuite: workaround older-perl bug

Testsuite: missing output files

DKIM: Fix signing for body lines starting with a pair of dots.  Bug 2284

Broken-by: 42055a3385

Docs: spelling

OpenSSL: TLSv1.3 notes

OpenSSL: enable use of TLS 1.3  (with OpenSSL 1.1.0 and later)

Add client-ip info to non-pass iprev ${authres } lines

Clarify the socket address family (UNIX) for server_socket (dovecot)

Wishlist item (#2280) is created for INET connections.
See https://bugs.exim.org/show_bug.cgi?id=2280

DKIM: support timestamp and expiry tags in signing.  Bug 2260

Follow CNAME chains only one step.  Bug 2264

ARC: Fix signing for case when DKIM signing failed

Change-log

Fix logging of cmdline args when starting in an unlinked cwd.  Bug 2274

Use serial number 1 for self-generated selfsigned certificate

Broken-by: 23bb69826c

ARC: better diagnostics for keyfile issues

DMARC: do not wipe values set by config options, between message receptions

Broken-by: b4757e3611

Docs: add note on DKIM signing-limit security

Safer handling of argument-logging memory of cwd

Testsuite: output changes arising

Callouts: record succeeding random local-part tests.  Bug 177

Content scanning: Fix locking on message spool files.  Bug 2275

Don't open spool data-files which are symlinks

ARC: fix crash on signing with missing key file

-bV: include the CONFIGURE_FILE path if it contains a ':'

tidying

Cutthrough: fix race resulting in duplicate-delivery.  Bug 2273

tidying

Fix typo in readconf.c

Expansions: new ${lheader:<name>}.  Bug 2272

tidying

Docs: minor fixes

ARC: add $arc_oldest_pass variable, for verify

ARC: support $arc_domains also for verify fails

ARC: add $arc_domains variable, for verify pass

ARC: limit verify chain to 50-deep

Testsuite: syslog testcase

DKIM: enforce limit of 20 on received DKIM-Signature: headers.  Bug 2269

Improve OpenSSL/GnuTLS; enable DNSSEC for non-smarthost

Docs: clarify DKIM verification

TLS by default for example smarthost SMTP Transport

And _decent_ TLS at that, with verification.

Testsuite: output changes arising.

Broken-by: 0e8aed8aab

ACL: reword error message for ratelimit.  Bug 2267

Docs: rewrite description of 'leaky' ratelimit.  Bug 1298

Fix spec

Thanks to Mike Brudenell

Compile warning defaults for OpenBSD, at request of the port maintainer

tidying

Belated README.UPDATING notes for Exim 4.91

People skip versions and move past them later, so while it's too late
for 4.91, this will still help people moving to 4.92 from pre-4.91 in
future.

Note that none of these strictly needed to be documented here:
experimental features, features marked as deprecated for many many
years, etc.  But let's err on the side of caution and include "things
which will break if you try to upgrade without changing Local/Makefile".

Fix OpenSSL non-OCSP build

Fix merge artifacts

Testsuite: output changes arising

Broken-by: 777e3beace

Fix typo in arc.  Bug 2262

Enable weak/old stuff in OpenSSL

Configure OpenSSL with:

    enable-ssl3 enable-ssl3-method enable-weak-ssl-ciphers

Include explanation as to why.

Testsuite: syslog testcase

Merge branch '4.next'

Tidy logging code

Clear more globals between messages

Add client-ip info to iprev ${authres } line

ARC: add optional x= tag to signing

ARC: add optional t= tags to signing

Avoid doing logging in signal-handlers.  Bug 1007

Docs: clean for next release

Testsuite: tidyup after myslq testing

Logging: fix syslog logging for syslog_timestamp=no and log_selector +millisec
         also syslog_pid=no and log_selector +pid

Docs: typo

Logging: fix syslog logging for syslog_timestamp=no and log_selector +millisec

DKIM downgrade example again; this time debugged

As well as previous commit's `len_3` -> `length_3`, we were missing
braces around the expansion operator, resulting in trying to dereference
an unknown variable `$length_3`, and we were missing the outer braces
from the `or` expansion condition.

We really need a better way to test ACL expansion without a full harness. :(

This bug-fixed version is now running on my system.

Fix length expansion operator in DKIM downgrade example

DKIM: add support for the SubjectPublicKeyInfo wrapped form of pubkey

Docs: add known broken-version info for OpenSSL behavior

Mention MTA-STS in DANE context; nit fixes

Did an audit of text changed since commit 6aa6fc9c5 to look for issues
which stood out, fixed those.  Spelling mistakes, markup issues, minor
grammatical infelicities.

The public/private CA stuff in the DANE text might push people away from
public CAs, but the existence of MTA-STS means that one of those is
probably the best choice.  Mention what exim.org does, to provide
slightly firmer guidance without pressure.

List the `dkim_hash` values, `sha512` appears to be new since that text
was last touched.

Doc: website updates and so forth

I've added <https://downloads.exim.org/> as a new vhost which doesn't
reference FTP and loses the `/pub/exim` prefix.

Fixed various other outdated claims and documented Jeremy's PGP key as
the main key for releases, with mine (Phil's) and Heiko's as fallbacks.

Mention the `.xz` files.

Add `receive_time` to list of log_selector values

bugfix: heimdal interaction, check length

clang noted that taking the address of a struct member will never be 0,
so checking against 0 was wrong.  It was a `.length` member.  I've
compiled RC4 with this change and deployed it to my box and I can still
authenticate fine.

ARC: fix signing when DKIM-signing is also being done

The ordering of headers being signed was wrong when a message
being forwarded arrived with a dkim signature

DMARC: fix history file

Too many variables were being cleared between connections
Broken-by: c780096c29 4.91 RC2

Better(?!?) fallback for stat: Perl

We use Perl extensively in other scripts.

*sigh*

stat portability

I forgot how much I loathe basic stuff like "get the size of a file,
portably, in shell".  Bleh.

Added util/renew-opendmarc-tlds.sh script to renew PSL

OpenSSL: Revert the disabling of the session-cache.  Bug 2255

Session cacheing is never useful, as we use a new context for every TLS startup.
However, removing the support triggers odd behaviour from Outlook Express (only
when there is an IMAP server on the same machine as Exim): an initial connect
from the OE client fails, the immediate retry works.

ARC: fix verify to not evaluate the top AMS twice

Clear more globals between messages

Logging: fix DKIM precis received log line element.

Broken-by: 2c47372fad

compiler quietening