Log a warning if old creds passed to change_user_key don't work.

Bug: 26948053
Change-Id: I8c117bfe5e85e73af72b6ecafea39924f3561c7c

Add scrypt-based password stretching.

Bug: 27056334
Change-Id: Ifa7f776c21c439f89dad7836175fbd045e1c603e

Merge "Fix encryption on non-default devices" into nyc-dev

Fix encryption on non-default devices

Bug: 27061863
Change-Id: Id998bb4534f657079e95718ef52af3f23100fb10

Prefer bool returns to int throughout

Change-Id: Ib3592b598ee07bc71a6f9507570bf4623c1cdd6a

Refactor now that global DE has been reworked

Change-Id: I4d6156332cfc847e25e7c8863fd6a50fa325fb87

Fix some "false" returns to be "-1" where appropriate in e4crypt_enable

Also fix a PLOG that should be a LOG.

Change-Id: Ic5ae288c37b6e236172f9e38349c2d0d530bfd4d

e4crypt_unlock_user_key no longer likes nullptr.

Bug: 27075797
Change-Id: I835d17d02ea50a88ef0a5322a30e04f3d0237019

Add new argument to unlock_user_key, fixing merge-caused error.

Change-Id: Ic51f375e500cd61bda926e3b039126a840ed89f0

Merge "Password security for FBE disk encryption keys" into nyc-dev

Password security for FBE disk encryption keys

Added a new call change_user_key which changes the way that disk
encryption keys are protected; a key can now be protected with a
combination of an auth token and a secret which is a hashed password.
Both of these are passed to unlock_user_key.

This change introduces a security bug, b/26948053, which must be fixed
before we ship.

Bug: 22950892
Change-Id: Iac1e45bb6f86f2af5c472c70a0fe3228b02115bf

Emulation fixes: mics dirs, recover after disable.

Add new misc directories to list of paths that we lock/unlock in
emulation mode.  When booting a device without native-FBE and without
emulation, make sure we "unlock" any emulated settings on user 0;
MountService handles this for secondary users later during boot.

Bug: 27069522
Change-Id: I15c7cf00a7231ce99b2e4e11a25106d7b87e70cc

Merge "Add context mount option for appfuse."

Allow callers to prepare CE/DE user storage.

Give callers the option of preparing CE and/or DE storage.  The
framework will only prepare CE storage after the CE keys have been
unlocked for that user.

When init is calling enablecrypto, kick off the work in a thread so
that we can make other calls back into vold without causing
deadlock.  Leaves blocking call intact for framework callers.

Clean up 'vdc' tool to send useful transaction numbers, and
actually watch for the matching result to come back.  This fixes
race conditions when there are multiple 'vdc' callers.

Also add other system and misc directories to match spec.

Bug: 25796509
Change-Id: Ie4f853db6e387916b845d2b5fb92925d743b063d

Add context mount option for appfuse.

BUG=26147865

Change-Id: I1812c46d0f80eaea9a9a3fa944bc4d0126ae8ba1

Remove unencrypted_properties

Change-Id: I5728f03dbde6621e410efcda1d93054915793407

Fix minor issues with previous change

New style logging
Remove set/get field from e4crypt
Save keys to temp file then rename

See https://googleplex-android-review.git.corp.google.com/#/c/858922/

Change-Id: I454c3f78489b491ffc1230a70dce64935e4e0f8a

Use consistent method for device key

Change-Id: I420f548115c1b55e62b193c60d569fdda518af1a

Remove support for non-default root passwords in FBE

Change-Id: Ie179cb09f9f24382afd0fe0f3aa2a1ad943a7f5d

Merge "Mount appfuse in process namespace."

Mount appfuse in process namespace.

BUG=26148108

Change-Id: I2297fd227a4c607054e0403e73bd9c857f580a1c

resolve merge conflicts of 2b6f9ce823 to master.

Change-Id: I69f36f560334b11b099f2eb15999603dd2469d4f

Merge "cryptfs: run e2fsck/fsck.f2fs in fsck domain"
am: 6f69ee094c

* commit '6f69ee094cabcd052a4742089fcae8e92cf7f924':
  cryptfs: run e2fsck/fsck.f2fs in fsck domain

Merge "cryptfs: run e2fsck/fsck.f2fs in fsck domain"

cryptfs: run e2fsck/fsck.f2fs in fsck domain

e2fsck and fsck.f2fs must run in the fsck domain. Add call to
setexeccon() to tell selinux to run in the fsck domain on exec.

Addresses:
avc: denied { execute_no_trans } for path="/system/bin/e2fsck" dev="mmcblk0p41" ino=241 scontext=u:r:vold:s0 tcontext=u:object_r:fsck_exec:s0 tclass=file

Bug: 26872236
Change-Id: Ib2a583aeefc667f8aa67532e0ac0ff9619b65461

Add support for per-user DE keys.

FBE devices need a factory reset after this change.

Bug: 26704408
Change-Id: I150b82a13a4a007d9a8997ef6a676e96576356b2

Refactor of Ext4Crypt.cpp in preparation for DE keys

Mainly a refactor, but with a substantive change: Keys are created in
a temporary location, then moved to their final destination, for
atomicity.

Bug: 26704408
Change-Id: I0b2dc70d6bfa1f8a65536dd05b73c4b36a4699cf

Add init_user0 command.

Change-Id: Icf746ec1968a073fde707ecc788b648f5803fd38

Create disk encryption keys only when FBE enabled

Our code for creating disk encryption keys doesn't work everywhere,
and it doesn't need to; only on platforms that support FBE. Don't
create them elsewhere.

Bug: 26842807
Change-Id: I686d0ffd7cb3adbddfce661c22ce18f66acb1aba

Improvements to the key storage module

The key storage module didn't comply with Android coding standards
and had room for improvemnet in a few other ways, so have cleaned up.

Change-Id: I260ccff316423169cf887e538113b5ea400892f2

Merge "Use a keymaster-based key storage module"

Use a keymaster-based key storage module

Instead of writing raw keys, encrypt the keys with keymaster. This
paves the way to protecting them with auth tokens and passwords later.
In addition, fold in the hash of a 16k file into their encryption, to
ensure secure deletion works properly.

Now even C++ier!

Bug: 22502684
Bug: 22950892
Change-Id: If70f139e342373533c42d5a298444b8438428322

Unmount emulated filesystems before killing the fuse process.

Avoid ENOTCONN for file system operations.

bug: 26645585
bug: 26070583
Change-Id: I19b00db37ef7ba85a2cae16c7c4204826653f559

Don't fail on unlock if we're not even emulating FBE

As a precaution, we do the work of emulating an unlock even on devices
that aren't emulating FBE. However, we don't care if it fails, so
don't fail the calling command in that instance.

Bug: 26713622
Change-Id: I8c5fb4b9a130335ecbb9b8ea6367f1c59835c0f1

Rework FBE crypto to match the N way of doing things

Major rework and refactor of FBE code to load the keys at the right
time and in a natural way. The old code was aimed at our goals for M,
with patches on top, and didn't quite work.

Bug: 22358539

Change-Id: I9bf7a0a86ee3f2abf0edbd5966f93efac2474c2c

Offer to enforce "locked" state using SELinux.

Bug: 26466827
Change-Id: Id5f05298c2cb5f3cf288df37ddf0a196ca49949b

Merge "Add allow_other mount option for appfuse."

Merge "cryptfs: Skip to encrtypt unused blocks into a block group which uninitialize block bitmap ." am: 1ae498e0d4
am: 9b5db9bcbe

* commit '9b5db9bcbe333b677ca18d2c1c398c8751cd0fd2':
  cryptfs: Skip to encrtypt unused blocks into a block group which uninitialize block bitmap .

Use android-base logging not cutils in secdiscard

Much nicer C++ style logging, but the main reason is to clean up
AutoCloseFD.h so I don't have to use cutils to use it.

Change-Id: I7a7f227508418046eecce6c89f813bd8854f448a

Merge "cryptfs: Skip to encrtypt unused blocks into a block group which uninitialize block bitmap ."
am: 1ae498e0d4

* commit '1ae498e0d4524aef6de2f1e3b639697ac24b29b2':
  cryptfs: Skip to encrtypt unused blocks into a block group which uninitialize block bitmap .

Merge "cryptfs: Skip to encrtypt unused blocks into a block group which uninitialize block bitmap ."

Add allow_other mount option for appfuse.

After DocumentsProvider opens FD on app fuse, DocumentProvider passes it
to other applications. To allow other applications to use the FD on app
fuse, we need to specify allow_other mount option.

BUG=25756419

Change-Id: I3c729f90e5b822a7b1032bf80726cc234c0936b1

cryptfs: Skip to encrtypt unused blocks into a block group which uninitialize block bitmap .

Bug: 198288

Change-Id: Iaa1a14fd916ddec8dc1a4be18d49732ebcba6884
Signed-off-by: liminghao <liminghao@xiaomi.com>

Add unmount command to vold's AppFuse listener.

BUG=25756420

Change-Id: I75b41f135c172d400e57a72a2be0473546781475

Create /data/media directory for new users.

Otherwise later unlock commands will fail.

Bug: 26267450
Change-Id: I090ac3a3fd4ac6d49290906e21d88f1efcdec421

Merge "Hide external storage from apps if it\'s not set as adoptable" am: f570ded508
am: 6a7d34bffd

* commit '6a7d34bffdcd166bfc8fafe98b00dd5063e50667':
  Hide external storage from apps if it's not set as adoptable

Merge "Hide external storage from apps if it\'s not set as adoptable"
am: f570ded508

* commit 'f570ded508aacc8130a2fd8f1130a51991202d9d':
  Hide external storage from apps if it's not set as adoptable

Merge "Hide external storage from apps if it's not set as adoptable"

Hide external storage from apps if it's not set as adoptable

If storage is not visible to apps and no need to spin up FUSE, it also
should not make FUSE mount point directory.

Change-Id: I6ecd2e5bf56b5dcf0e11834880256b156a62a9a0
Signed-off-by: Qin Chao <chao.qin@intel.com>

Avoid use of a macro when checking argument count.

Change-Id: Ia697de58b983233c78e9ef8eb93098d50dfda931

Fix a bug in passing parameters to prepare_user_storage.

Add the serial parameter to prepare_user_storage to avoid
confusion when parsing parameters and passing them around.

Change-Id: Id5516c248401ad50585aa8f6e8b1545a6cded549

Mount FUSE for appfuse directories.

BUG=25755834

Change-Id: Icb59b5096239fd3611b614a0870d0ec910cee277

Merge "Send file descriptor of /dev/fuse from vold."

Use Jeff's C++ style for finding the subcommand consistently.

Change-Id: I2c7333de680cf5d350894f5064e955969e804781

Simplify test for right argc in cryptfs commands, and test more.

Change-Id: I23bb19a329b34ba4b81c57b815a2a0a4e8f27745

Rename functions with a system/extras name collision.

Following around the call graph in code search is hard enough as it is!

Change-Id: I09d3513664423aafe0d99f9158acfbbb6c79b590

Fix create_user_key to take 3 params

Change-Id: Ied03e2ee404a1b4f386740213e6ab01f18ec09b9

Send file descriptor of /dev/fuse from vold.

BUG=25755834

Change-Id: Ica8bd336baa74e117be008a6e7ee34e3ffac3769

Introduce support for ephemeral users.

BUG: 24883058

Change-Id: I77d4757f87214166e7c41c7eb0d06b1cd5f06b20

Emulate media encryption, always chmod to unlock.

When FBE emulation is enabled, lock/unlock the media directories that
store emulated SD card contents.

Change unlocking logic to always chmod directories back to known
state so that we can recover devices that have disabled FBE
emulation.

Bug: 26010607, 26027473
Change-Id: I6d4bff25d8ad7b948679290106f585f777f7a249

resolve merge conflicts of b7d5a47cec to master.

Change-Id: I0c5211a00d92d0ee796bb9c77d2e13675a2a3e8d

Merge "Track rename from base/ to android-base/." am: 20a8fa98f6
am: a9d5080109

* commit 'a9d5080109623884c8f8e7c3515eaa9ed3f85c58':
  Track rename from base/ to android-base/.

Merge "Track rename from base/ to android-base/."
am: 20a8fa98f6

* commit '20a8fa98f6b858999b623272a182843259e1044c':
  Track rename from base/ to android-base/.

Merge "Track rename from base/ to android-base/."

Merge "Handle non-format partition in Vold" am: 385ca5d236 am: 63b7774894
am: 971ecb40ee

* commit '971ecb40ee9bc3c729091667b5192dbae996c1d2':
  Handle non-format partition in Vold

Merge "Make sure path is not NULL to avoid fatal exception." am: e0e5bfeb3c am: de629f105e
am: 9e807ea6db

* commit '9e807ea6db2c3ea7203844cefb31b1afa06619c3':
  Make sure path is not NULL to avoid fatal exception.

Merge "vold: fix 64 bit ioctl error" am: 3e6c59dc16 am: bf6acf44a9
am: a619c191cc

* commit 'a619c191cc06c08fb19e1bdd486a41da65f6c0af':
  vold: fix 64 bit ioctl error

Track rename from base/ to android-base/.

Change-Id: I3096cfa50afa395d8e9a8043ab69c1e390f86ccb

Merge "Handle non-format partition in Vold" am: 385ca5d236
am: 63b7774894

* commit '63b77748946dc1c18c758d9094e8b735de5ef249':
  Handle non-format partition in Vold

Merge "Make sure path is not NULL to avoid fatal exception." am: e0e5bfeb3c
am: de629f105e

* commit 'de629f105e12122ba042a8ae86b2130ef9a608bb':
  Make sure path is not NULL to avoid fatal exception.

Merge "Handle non-format partition in Vold"
am: 385ca5d236

* commit '385ca5d236547a767133abcd44dff12ca7b805be':
  Handle non-format partition in Vold

Merge "Make sure path is not NULL to avoid fatal exception."
am: e0e5bfeb3c

* commit 'e0e5bfeb3c49419ceb53d2ea2b7410ddcfab35c5':
  Make sure path is not NULL to avoid fatal exception.

Merge "Handle non-format partition in Vold"

Merge "Make sure path is not NULL to avoid fatal exception."

Merge "vold: fix 64 bit ioctl error" am: 3e6c59dc16
am: bf6acf44a9

* commit 'bf6acf44a9ac1754ec5089ec8370537ff37e5af3':
  vold: fix 64 bit ioctl error

Merge "vold: fix 64 bit ioctl error"
am: 3e6c59dc16

* commit '3e6c59dc162ff6b16177e480fdb80c08f24b3700':
  vold: fix 64 bit ioctl error

Merge "vold: fix 64 bit ioctl error"

Use the right system property name.

Bug: 22358539
Change-Id: I0bf9719a2b54acbde80f3c911988724581447b0c

Encrypt on reboot

Change encryption to happen after a reboot, not before. This
removes the problem whereby if data cannot be unmounted, we cannot
encrypt.

Bug: 25426629

Change-Id: I25d610204234ed8254330d001eb965e6e87a2fe9

Switch to new FBE emulation property.

Also prepare CE/DE storage directories for owner user at boot.

Bug: 22358539
Change-Id: I76228952c990ebed83360c69ef36321b99114196

Merge "Create user_de on adopted storage devices."

Create user_de on adopted storage devices.

Bug: 25676430
Change-Id: I22064789a608f13af2dddf740769969d4e4dcbe7

Make deletion of larger files possible.

Bug: 22502684
Change-Id: I9034af1ce919bff51f836e5bf51cc2585089440e

Merge "Add --no-unlink option to secdiscard for testing."

Merge "secdiscard.cpp: Use getmntent and my newfound C++ knowledge."

New granular encryption commands for framework.

We now have separate methods for key creation/destruction and
unlocking/locking.  Key unlocking can pass through an opaque token,
but it's left empty for now.

Extend user storage setup to also create system_ce and user_de
paths.  Bring over some path generation logic from installd.

Use strong type checking on user arguments.

Bug: 22358539
Change-Id: I00ba15c7b10dd682640b3f082feade4fb7cbbb5d

Merge "system/vold: check return value of PKCS5_PBKDF2_HMAC_SHA1." am: 0a7e668ebf am: cd6d8e3fb6
am: 03b10c268b

* commit '03b10c268b810c06e31f20fab00ee9bb93d09d01':
  system/vold: check return value of PKCS5_PBKDF2_HMAC_SHA1.

Merge "system/vold: check return value of PKCS5_PBKDF2_HMAC_SHA1." am: 0a7e668ebf
am: cd6d8e3fb6

* commit 'cd6d8e3fb68d09122acf4272ad0f93b0f253523f':
  system/vold: check return value of PKCS5_PBKDF2_HMAC_SHA1.

Merge "system/vold: check return value of PKCS5_PBKDF2_HMAC_SHA1."
am: 0a7e668ebf

* commit '0a7e668ebf7215fbb89837e251f3f73a124adada':
  system/vold: check return value of PKCS5_PBKDF2_HMAC_SHA1.

Merge "system/vold: check return value of PKCS5_PBKDF2_HMAC_SHA1."

system/vold: check return value of PKCS5_PBKDF2_HMAC_SHA1.

The function PKCS5_PBKDF2_HMAC_SHA1 can fail for a number of reasons and
thus its return value should be checked and handled.

Change-Id: I0f0d8f74b58940a34df16b88434a085760822075

Add developer option to convert from FDE to FBE

This set of changes adds the screen that offers this conversion,
and the plumbing so the option is only available on suitable
devices.

It does not implement the conversion mechanism.

Change-Id: I801199c37b03436045d40bf8840a8746daf94d27

Merge commit \'aebfa6e7eee173b8e02f869c3a25cfe2a5fffb9b\' into HEAD am: abcf4c6fca
am: ec34abe030

* commit 'ec34abe0306b47640298110c8358c839b2c4432d':

Merge commit \'aebfa6e7eee173b8e02f869c3a25cfe2a5fffb9b\' into HEAD
am: abcf4c6fca

* commit 'abcf4c6fca01c92cd8b4dd581488ede684efea71':

Merge commit 'aebfa6e7eee173b8e02f869c3a25cfe2a5fffb9b' into HEAD

Add --no-unlink option to secdiscard for testing.

Also allow deletion of multiple files in one invocation.

Change-Id: I5011bf45f2d3b91964bc68fd8e61ec037e1de2ca

secdiscard.cpp: Use getmntent and my newfound C++ knowledge.

Bug: 19706593
Change-Id: I6254e0339ab42fdbecda80c6f37e64c323329190

Merge "Fix ioctl parameter" am: 0eaad8ce8c am: 5cd32f73d8
am: 8185d3d8ba

* commit '8185d3d8ba3dec0f26ade8cd4764d5f09cc00bcc':
  Fix ioctl parameter

Merge "Fix ioctl parameter" am: 0eaad8ce8c
am: 5cd32f73d8

* commit '5cd32f73d8b5e6db60d397d102e5b1b193a76c77':
  Fix ioctl parameter

Merge "Fix ioctl parameter"
am: 0eaad8ce8c

* commit '0eaad8ce8ceaa4b730b0be8c149f389647fbdab0':
  Fix ioctl parameter