82c186a6cd33f011d76c66af9ad92bd7f0be82e5
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10
11 OpenSSL Releases
12 ----------------
13
14  - [OpenSSL 3.0](#openssl-30)
15  - [OpenSSL 1.1.1](#openssl-111)
16  - [OpenSSL 1.1.0](#openssl-110)
17  - [OpenSSL 1.0.2](#openssl-102)
18  - [OpenSSL 1.0.1](#openssl-101)
19  - [OpenSSL 1.0.0](#openssl-100)
20  - [OpenSSL 0.9.x](#openssl-09x)
21
22 OpenSSL 3.0
23 -----------
24
25 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx] ###
26
27  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
28    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
29    internal keys, if they correspond to one of those built in types.
30
31    *Richard Levitte*
32
33  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
34    contain a provider side internal key.
35
36    *Richard Levitte*
37
38  * `ASN1_verify()`, `ASN1_digest()` and `ASN1_sign()` have been deprecated.
39    They are old functions that we don't use, and that you could disable with
40    the macro `NO_ASN1_OLD`.  This goes all the way back to OpenSSL 0.9.7.
41
42    *Richard Levitte*
43
44  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
45    have been converted to Markdown with the goal to produce documents
46    which not only look pretty when viewed online in the browser, but
47    remain well readable inside a plain text editor.
48
49    To achieve this goal, a 'minimalistic' Markdown style has been applied
50    which avoids formatting elements that interfere too much with the
51    reading flow in the text file. For example, it
52
53    * avoids [ATX headings][] and uses [setext headings][] instead
54      (which works for `<h1>` and `<h2>` headings only).
55    * avoids [inline links][] and uses [reference links][] instead.
56    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
57
58      [ATX headings]:         https://github.github.com/gfm/#atx-headings
59      [setext headings]:      https://github.github.com/gfm/#setext-headings
60      [inline links]:         https://github.github.com/gfm/#inline-link
61      [reference links]:      https://github.github.com/gfm/#reference-link
62      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
63      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
64
65    *Matthias St. Pierre*
66
67
68  * The test suite is changed to preserve results of each test recipe.
69    A new directory test-runs/ with subdirectories named like the
70    test recipes are created in the build tree for this purpose.
71
72    *Richard Levitte*
73
74  * The command line utilities ecparam and ec have been deprecated.  Instead
75    use the pkeyparam, pkey and genpkey programs.
76
77    *Paul Dale*
78
79  * All of the low level RSA functions have been deprecated including:
80
81    RSA_new_method, RSA_bits, RSA_size, RSA_security_bits,
82    RSA_get0_pss_params, RSA_get_version, RSA_get0_engine,
83    RSA_generate_key_ex, RSA_generate_multi_prime_key,
84    RSA_X931_derive_ex, RSA_X931_generate_key_ex, RSA_check_key,
85    RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
86    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
87    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
88    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
89    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING,
90    RSA_blinding_on, RSA_blinding_off, RSA_setup_blinding,
91    RSA_padding_add_PKCS1_type_1, RSA_padding_check_PKCS1_type_1,
92    RSA_padding_add_PKCS1_type_2, RSA_padding_check_PKCS1_type_2,
93    PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP, RSA_padding_check_PKCS1_OAEP,
94    RSA_padding_add_PKCS1_OAEP_mgf1, RSA_padding_check_PKCS1_OAEP_mgf1,
95    RSA_padding_add_SSLv23, RSA_padding_check_SSLv23,
96    RSA_padding_add_none, RSA_padding_check_none, RSA_padding_add_X931,
97    RSA_padding_check_X931, RSA_X931_hash_id, RSA_verify_PKCS1_PSS,
98    RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
99    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
100    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
101    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
102    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
103    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
104    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
105    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
106    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
107    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
108    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
109    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
110    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
111
112    Use of these low level functions has been informally discouraged for a long
113    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
114    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
115    L<EVP_PKEY_decrypt(3)>.
116
117    *Paul Dale*
118
119  * X509 certificates signed using SHA1 are no longer allowed at security
120    level 1 and above.
121    In TLS/SSL the default security level is 1. It can be set either
122    using the cipher string with @SECLEVEL, or calling
123    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
124    a call to SSL_CTX_use_certificate() will fail if the security level is not
125    lowered first.
126    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
127    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
128    options of the apps.
129
130    *Kurt Roeckx*
131
132  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
133    deprecated.  Instead use the pkeyparam, pkey, genpkey and pkeyparam
134    programs respectively.
135
136    *Paul Dale*
137
138  * All of the low level DH functions have been deprecated including:
139
140    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
141    DH_new_method, DH_bits, DH_size, DH_security_bits, DH_get_ex_new_index,
142    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
143    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
144    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
145    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
146    DH_KDF_X9_42, DH_get0_engine, DH_get_length, DH_set_length, DH_meth_new,
147    DH_meth_free, DH_meth_dup, DH_meth_get0_name, DH_meth_set1_name,
148    DH_meth_get_flags, DH_meth_set_flags, DH_meth_get0_app_data,
149    DH_meth_set0_app_data, DH_meth_get_generate_key,
150    DH_meth_set_generate_key, DH_meth_get_compute_key,
151    DH_meth_set_compute_key, DH_meth_get_bn_mod_exp,
152    DH_meth_set_bn_mod_exp, DH_meth_get_init, DH_meth_set_init,
153    DH_meth_get_finish, DH_meth_set_finish, DH_meth_get_generate_params
154    and DH_meth_set_generate_params.
155
156    Use of these low level functions has been informally discouraged for a long
157    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
158    and L<EVP_PKEY_derive(3)>.
159
160    *Paul Dale*
161
162  * All of the low level DSA functions have been deprecated including:
163
164    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
165    DSA_get_default_method, DSA_set_method, DSA_get_method, DSA_new_method,
166    DSA_sign_setup, DSA_sign, DSA_verify, DSA_get_ex_new_index,
167    DSA_set_ex_data, DSA_get_ex_data, DSA_generate_parameters_ex,
168    DSA_generate_key, DSA_meth_new, DSA_get0_engine, DSA_meth_free,
169    DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name, DSA_meth_get_flags,
170    DSA_meth_set_flags, DSA_meth_get0_app_data, DSA_meth_set0_app_data,
171    DSA_meth_get_sign, DSA_meth_set_sign, DSA_meth_get_sign_setup,
172    DSA_meth_set_sign_setup, DSA_meth_get_verify, DSA_meth_set_verify,
173    DSA_meth_get_mod_exp, DSA_meth_set_mod_exp, DSA_meth_get_bn_mod_exp,
174    DSA_meth_set_bn_mod_exp, DSA_meth_get_init, DSA_meth_set_init,
175    DSA_meth_get_finish, DSA_meth_set_finish, DSA_meth_get_paramgen,
176    DSA_meth_set_paramgen, DSA_meth_get_keygen and DSA_meth_set_keygen.
177
178    Use of these low level functions has been informally discouraged for a long
179    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
180    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
181
182    *Paul Dale*
183
184  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
185    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
186    This means that applications don't have to look at the curve NID and
187    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
188    However, they still can, that EVP_PKEY_set_alias_type() call acts as
189    a no-op when the EVP_PKEY is already of the given type.
190
191    Parameter and key generation is also reworked to make it possible
192    to generate EVP_PKEY_SM2 parameters and keys without having to go
193    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
194    However, code that does the latter will still work as before.
195
196    *Richard Levitte*
197
198  * Deprecated low level ECDH and ECDSA functions.  These include:
199
200    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
201    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
202    ECDSA_size.
203
204    Use of these low level functions has been informally discouraged for a long
205    time.  Instead applications should use the EVP_PKEY_derive(3),
206    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
207
208    *Paul Dale*
209
210  * Deprecated the EC_KEY_METHOD functions.  These include:
211
212    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
213    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
214    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
215    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
216    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
217    EC_KEY_METHOD_get_verify.
218
219    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
220
221    *Paul Dale*
222
223  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
224    and EVP_PKEY_decrypt() instead.
225    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
226    and EVP_PKEY_encrypt() instead.
227
228    *Richard Levitte*
229
230  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
231    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
232    a new formulation to include all the things it can be used for,
233    as well as words of caution.
234
235    *Richard Levitte*
236
237  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
238    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
239
240    *Paul Dale*
241
242  * All of the low level HMAC functions have been deprecated including:
243
244    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
245    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
246    and HMAC_CTX_get_md.
247
248    Use of these low level functions has been informally discouraged for a long
249    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
250    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
251    and L<EVP_MAC_final(3)>.
252
253    *Paul Dale*
254
255  * Over two thousand fixes were made to the documentation, including:
256    - Common options (such as -rand/-writerand, TLS version control, etc)
257      were refactored and point to newly-enhanced descriptions in openssl.pod.
258    - Added style conformance for all options (with help from Richard Levitte),
259      documented all reported missing options, added a CI build to check
260      that all options are documented and that no unimplemented options
261      are documented.
262    - Documented some internals, such as all use of environment variables.
263    - Addressed all internal broken L<> references.
264
265    *Rich Salz*
266
267  * All of the low level CMAC functions have been deprecated including:
268
269    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
270    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
271
272    Use of these low level functions has been informally discouraged for a long
273    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
274    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
275    and L<EVP_MAC_final(3)>.
276
277    *Paul Dale*
278
279  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
280    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
281    These include:
282
283    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
284    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
285    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
286    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
287    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
288    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
289    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
290    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
291    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
292    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
293
294    Use of these low level functions has been informally discouraged
295    for a long time.  Applications should use the EVP_DigestInit_ex(3),
296    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
297
298    *Paul Dale*
299
300  * Corrected the documentation of the return values from the EVP_DigestSign*
301    set of functions.  The documentation mentioned negative values for some
302    errors, but this was never the case, so the mention of negative values
303    was removed.
304
305    Code that followed the documentation and thereby check with something
306    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
307
308    *Richard Levitte*
309
310  * All of the low level cipher functions have been deprecated including:
311
312    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
313    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
314    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
315    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
316    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
317    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
318    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
319    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
320    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
321    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
322    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
323    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
324    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
325    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
326    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
327    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
328    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
329    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
330    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
331    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
332    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
333    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
334    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
335    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
336    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
337    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
338    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
339    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
340    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
341
342    Use of these low level functions has been informally discouraged for
343    a long time. Applications should use the high level EVP APIs, e.g.
344    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
345    equivalently named decrypt functions instead.
346
347    *Matt Caswell and Paul Dale*
348
349  * Removed include/openssl/opensslconf.h.in and replaced it with
350    include/openssl/configuration.h.in, which differs in not including
351    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
352    was added to include both.
353
354    This allows internal hacks where one might need to modify the set
355    of configured macros, for example this if deprecated symbols are
356    still supposed to be available internally:
357
358        #include <openssl/configuration.h>
359
360        #undef OPENSSL_NO_DEPRECATED
361        #define OPENSSL_SUPPRESS_DEPRECATED
362
363        #include <openssl/macros.h>
364
365    This should not be used by applications that use the exported
366    symbols, as that will lead to linking errors.
367
368    *Richard Levitte*
369
370  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
371    used in exponentiation with 512-bit moduli. No EC algorithms are
372    affected. Analysis suggests that attacks against 2-prime RSA1024,
373    3-prime RSA1536, and DSA1024 as a result of this defect would be very
374    difficult to perform and are not believed likely. Attacks against DH512
375    are considered just feasible. However, for an attack the target would
376    have to re-use the DH512 private key, which is not recommended anyway.
377    Also applications directly using the low level API BN_mod_exp may be
378    affected if they use BN_FLG_CONSTTIME.
379    [CVE-2019-1551][]
380
381    *Andy Polyakov*
382
383  * Most memory-debug features have been deprecated, and the functionality
384    replaced with no-ops.
385
386    *Rich Salz*
387
388  * Introduced a new method type and API, OSSL_SERIALIZER, to
389    represent generic serializers.  An implementation is expected to
390    be able to serialize an object associated with a given name (such
391    as an algorithm name for an asymmetric key) into forms given by
392    implementation properties.
393
394    Serializers are primarily used from inside libcrypto, through
395    calls to functions like EVP_PKEY_print_private(),
396    PEM_write_bio_PrivateKey() and similar.
397
398    Serializers are specified in such a way that they can be made to
399    directly handle the provider side portion of an object, if this
400    provider side part comes from the same provider as the serializer
401    itself, but can also be made to handle objects in parametrized
402    form (as an OSSL_PARAM array of data).  This allows a provider to
403    offer generic serializers as a service for any other provider.
404
405    *Richard Levitte*
406
407  * Added a .pragma directive to the syntax of configuration files, to
408    allow varying behavior in a supported and predictable manner.
409    Currently added pragma:
410
411            .pragma dollarid:on
412
413    This allows dollar signs to be a keyword character unless it's
414    followed by a opening brace or parenthesis.  This is useful for
415    platforms where dollar signs are commonly used in names, such as
416    volume names and system directory names on VMS.
417
418    *Richard Levitte*
419
420  * Added functionality to create an EVP_PKEY from user data.  This
421    is effectively the same as creating a RSA, DH or DSA object and
422    then assigning them to an EVP_PKEY, but directly using algorithm
423    agnostic EVP functions.  A benefit is that this should be future
424    proof for public key algorithms to come.
425
426    *Richard Levitte*
427
428  * Change the interpretation of the '--api' configuration option to
429    mean that this is a desired API compatibility level with no
430    further meaning.  The previous interpretation, that this would
431    also mean to remove all deprecated symbols up to and including
432    the given version, no requires that 'no-deprecated' is also used
433    in the configuration.
434
435    When building applications, the desired API compatibility level
436    can be set with the OPENSSL_API_COMPAT macro like before.  For
437    API compatibility version below 3.0, the old style numerical
438    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
439    For version 3.0 and on, the value is expected to be the decimal
440    value calculated from the major and minor version like this:
441
442            MAJOR * 10000 + MINOR * 100
443
444    Examples:
445
446            -DOPENSSL_API_COMPAT=30000             For 3.0
447            -DOPENSSL_API_COMPAT=30200             For 3.2
448
449    To hide declarations that are deprecated up to and including the
450    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
451    given when building the application as well.
452
453    *Richard Levitte*
454
455  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
456    access to certificate and CRL stores via URIs and OSSL_STORE
457    loaders.
458
459    This adds the following functions:
460
461    - X509_LOOKUP_store()
462    - X509_STORE_load_file()
463    - X509_STORE_load_path()
464    - X509_STORE_load_store()
465    - SSL_add_store_cert_subjects_to_stack()
466    - SSL_CTX_set_default_verify_store()
467    - SSL_CTX_load_verify_file()
468    - SSL_CTX_load_verify_dir()
469    - SSL_CTX_load_verify_store()
470
471    Also, the following functions are now deprecated:
472
473    - X509_STORE_load_locations() (use X509_STORE_load_file(),
474      X509_STORE_load_path() or X509_STORE_load_store() instead)
475    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
476      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
477
478    *Richard Levitte*
479
480  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
481    The presence of this system service is determined at run-time.
482
483    *Richard Levitte*
484
485  * Added functionality to create an EVP_PKEY context based on data
486    for methods from providers.  This takes an algorithm name and a
487    property query string and simply stores them, with the intent
488    that any operation that uses this context will use those strings
489    to fetch the needed methods implicitly, thereby making the port
490    of application written for pre-3.0 OpenSSL easier.
491
492    *Richard Levitte*
493
494  * The undocumented function NCONF_WIN32() has been deprecated; for
495    conversion details see the HISTORY section of doc/man5/config.pod
496
497    *Rich Salz*
498
499  * Introduced the new functions EVP_DigestSignInit_ex() and
500    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
501    EVP_DigestVerifyUpdate() have been converted to functions. See the man
502    pages for further details.
503
504    *Matt Caswell*
505
506  * Over two thousand fixes were made to the documentation, including:
507    adding missing command flags, better style conformance, documentation
508    of internals, etc.
509
510    *Rich Salz, Richard Levitte*
511
512  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
513    X25519, X448, Ed25519 and Ed448.
514
515    *Patrick Steuer*
516
517  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
518    the first value.
519
520    *Jon Spillett*
521
522  * Deprecated the public definition of ERR_STATE as well as the function
523    ERR_get_state().  This is done in preparation of making ERR_STATE an
524    opaque type.
525
526    *Richard Levitte*
527
528  * Added ERR functionality to give callers access to the stored function
529    names that have replaced the older function code based functions.
530
531    New functions are ERR_get_error_func(), ERR_peek_error_func(),
532    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
533    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
534    and ERR_peek_last_error_all().
535
536    These functions have become deprecated: ERR_get_error_line_data(),
537    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
538    ERR_func_error_string().
539
540    *Richard Levitte*
541
542  * Extended testing to be verbose for failing tests only.  The make variables
543    VERBOSE_FAILURE or VF can be used to enable this:
544
545            $ make VF=1 test                           # Unix
546            $ mms /macro=(VF=1) test                   ! OpenVMS
547            $ nmake VF=1 test                          # Windows
548
549
550    *Richard Levitte*
551
552  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
553    used even when parsing explicit parameters, when loading a serialized key
554    or calling `EC_GROUP_new_from_ecpkparameters()`/
555    `EC_GROUP_new_from_ecparameters()`.
556    This prevents bypass of security hardening and performance gains,
557    especially for curves with specialized EC_METHODs.
558    By default, if a key encoded with explicit parameters is loaded and later
559    serialized, the output is still encoded with explicit parameters, even if
560    internally a "named" EC_GROUP is used for computation.
561
562    *Nicola Tuveri*
563
564  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
565    this change, EC_GROUP_set_generator would accept order and/or cofactor as
566    NULL. After this change, only the cofactor parameter can be NULL. It also
567    does some minimal sanity checks on the passed order.
568    [CVE-2019-1547][]
569
570    *Billy Bob Brumley*
571
572  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
573    An attack is simple, if the first CMS_recipientInfo is valid but the
574    second CMS_recipientInfo is chosen ciphertext. If the second
575    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
576    encryption key will be replaced by garbage, and the message cannot be
577    decoded, but if the RSA decryption fails, the correct encryption key is
578    used and the recipient will not notice the attack.
579    As a work around for this potential attack the length of the decrypted
580    key must be equal to the cipher default key length, in case the
581    certifiate is not given and all recipientInfo are tried out.
582    The old behaviour can be re-enabled in the CMS code by setting the
583    CMS_DEBUG_DECRYPT flag.
584
585    *Bernd Edlinger*
586
587  * Early start up entropy quality from the DEVRANDOM seed source has been
588    improved for older Linux systems.  The RAND subsystem will wait for
589    /dev/random to be producing output before seeding from /dev/urandom.
590    The seeded state is stored for future library initialisations using
591    a system global shared memory segment.  The shared memory identifier
592    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
593    the desired value.  The default identifier is 114.
594
595    *Paul Dale*
596
597  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
598    when primes for RSA keys are computed.
599    Since we previously always generated primes == 2 (mod 3) for RSA keys,
600    the 2-prime and 3-prime RSA modules were easy to distinguish, since
601    N = p*q = 1 (mod 3), but N = p*q*r = 2 (mod 3). Therefore fingerprinting
602    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
603    This avoids possible fingerprinting of newly generated RSA modules.
604
605    *Bernd Edlinger*
606
607  * Correct the extended master secret constant on EBCDIC systems. Without this
608    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
609    negotiate EMS will fail. Unfortunately this also means that TLS connections
610    between EBCDIC systems with this fix, and EBCDIC systems without this
611    fix will fail if they negotiate EMS.
612
613    *Matt Caswell*
614
615  * Changed the library initialisation so that the config file is now loaded
616    by default. This was already the case for libssl. It now occurs for both
617    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
618    OPENSSL_init_crypto() to suppress automatic loading of a config file.
619
620    *Matt Caswell*
621
622  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
623    where the former acts as a replacement for ERR_put_error(), and the
624    latter replaces the combination ERR_put_error()+ERR_add_error_data().
625    ERR_raise_data() adds more flexibility by taking a format string and
626    an arbitrary number of arguments following it, to be processed with
627    BIO_snprintf().
628
629    *Richard Levitte*
630
631  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
632    to check if a named provider is loaded and available.  When called, it
633    will also activate all fallback providers if such are still present.
634
635    *Richard Levitte*
636
637  * Enforce a minimum DH modulus size of 512 bits.
638
639    *Bernd Edlinger*
640
641  * Changed DH parameters to generate the order q subgroup instead of 2q.
642    Previously generated DH parameters are still accepted by DH_check
643    but DH_generate_key works around that by clearing bit 0 of the
644    private key for those. This avoids leaking bit 0 of the private key.
645
646    *Bernd Edlinger*
647
648  * Significantly reduce secure memory usage by the randomness pools.
649
650    *Paul Dale*
651
652  * {CRYPTO,OPENSSL}_mem_debug_{push,pop} are now no-ops and have been
653    deprecated.
654
655    *Rich Salz*
656
657  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
658    algorithms. An implementation of a key exchange algorithm can be obtained
659    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
660    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
661    the older EVP_PKEY_derive_init() function. See the man pages for the new
662    functions for further details.
663
664    *Matt Caswell*
665
666  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
667
668    *Matt Caswell*
669
670  * Removed the function names from error messages and deprecated the
671    xxx_F_xxx define's.
672
673  * Removed NextStep support and the macro OPENSSL_UNISTD
674
675    *Rich Salz*
676
677  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
678    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
679    Also removed "export var as function" capability; we do not export
680    variables, only functions.
681
682    *Rich Salz*
683
684  * RC5_32_set_key has been changed to return an int type, with 0 indicating
685    an error and 1 indicating success. In previous versions of OpenSSL this
686    was a void type. If a key was set longer than the maximum possible this
687    would crash.
688
689    *Matt Caswell*
690
691  * Support SM2 signing and verification schemes with X509 certificate.
692
693    *Paul Yang*
694
695  * Use SHA256 as the default digest for TS query in the ts app.
696
697    *Tomas Mraz*
698
699  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
700    This checks that the salt length is at least 128 bits, the derived key
701    length is at least 112 bits, and that the iteration count is at least 1000.
702    For backwards compatibility these checks are disabled by default in the
703    default provider, but are enabled by default in the fips provider.
704    To enable or disable these checks use the control
705    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
706
707    *Shane Lontis*
708
709  * Default cipher lists/suites are now available via a function, the
710    #defines are deprecated.
711
712    *Todd Short*
713
714  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
715    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
716    for Windows Store apps easier. Also, the "no-uplink" option has been added.
717
718    *Kenji Mouri*
719
720  * Join the directories crypto/x509 and crypto/x509v3
721
722    *Richard Levitte*
723
724  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
725    This changes the size when using the genpkey app when no size is given. It
726    fixes an omission in earlier changes that changed all RSA, DSA and DH
727    generation apps to use 2048 bits by default.
728
729    *Kurt Roeckx*
730
731  * Added command 'openssl kdf' that uses the EVP_KDF API.
732
733    *Shane Lontis*
734
735  * Added command 'openssl mac' that uses the EVP_MAC API.
736
737    *Shane Lontis*
738
739  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
740    as default directories.  Also added the command 'openssl info'
741    for scripting purposes.
742
743    *Richard Levitte*
744
745  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
746    deprecated. These undocumented functions were never integrated into the EVP
747    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
748    Bi-directional IGE mode. These modes were never formally standardised and
749    usage of these functions is believed to be very small. In particular
750    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
751    is ever used. The security implications are believed to be minimal, but
752    this issue was never fixed for backwards compatibility reasons. New code
753    should not use these modes.
754
755    *Matt Caswell*
756
757  * Add prediction resistance to the DRBG reseeding process.
758
759    *Paul Dale*
760
761  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
762    mandated by IEEE Std 1619-2018.
763
764    *Paul Dale*
765
766  * Added newline escaping functionality to a filename when using openssl dgst.
767    This output format is to replicate the output format found in the '*sum'
768    checksum programs. This aims to preserve backward compatibility.
769
770    *Matt Eaton, Richard Levitte, and Paul Dale*
771
772  * Removed the heartbeat message in DTLS feature, as it has very
773    little usage and doesn't seem to fulfill a valuable purpose.
774    The configuration option is now deprecated.
775
776    *Richard Levitte*
777
778  * Changed the output of 'openssl {digestname} < file' to display the
779    digest name in its output.
780
781    *Richard Levitte*
782
783  * Added a new generic trace API which provides support for enabling
784    instrumentation through trace output. This feature is mainly intended
785    as an aid for developers and is disabled by default. To utilize it,
786    OpenSSL needs to be configured with the `enable-trace` option.
787
788    If the tracing API is enabled, the application can activate trace output
789    by registering BIOs as trace channels for a number of tracing and debugging
790    categories.
791
792    The 'openssl' application has been expanded to enable any of the types
793    available via environment variables defined by the user, and serves as
794    one possible example on how to use this functionality.
795
796    *Richard Levitte & Matthias St. Pierre*
797
798  * Added build tests for C++.  These are generated files that only do one
799    thing, to include one public OpenSSL head file each.  This tests that
800    the public header files can be usefully included in a C++ application.
801
802    This test isn't enabled by default.  It can be enabled with the option
803    'enable-buildtest-c++'.
804
805    *Richard Levitte*
806
807  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
808
809    *Shane Lontis*
810
811  * Add KMAC to EVP_MAC.
812
813    *Shane Lontis*
814
815  * Added property based algorithm implementation selection framework to
816    the core.
817
818    *Paul Dale*
819
820  * Added SCA hardening for modular field inversion in EC_GROUP through
821    a new dedicated field_inv() pointer in EC_METHOD.
822    This also addresses a leakage affecting conversions from projective
823    to affine coordinates.
824
825    *Billy Bob Brumley, Nicola Tuveri*
826
827  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
828    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
829    those algorithms that were already supported through the EVP_PKEY API
830    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
831    and scrypt are now wrappers that call EVP_KDF.
832
833    *David Makepeace*
834
835  * Build devcrypto engine as a dynamic engine.
836
837    *Eneas U de Queiroz*
838
839  * Add keyed BLAKE2 to EVP_MAC.
840
841    *Antoine Salon*
842
843  * Fix a bug in the computation of the endpoint-pair shared secret used
844    by DTLS over SCTP. This breaks interoperability with older versions
845    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
846    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
847    interoperability with such broken implementations. However, enabling
848    this switch breaks interoperability with correct implementations.
849
850  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
851    re-used X509_PUBKEY object if the second PUBKEY is malformed.
852
853    *Bernd Edlinger*
854
855  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
856
857    *Richard Levitte*
858
859  * Change the license to the Apache License v2.0.
860
861    *Richard Levitte*
862
863  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
864
865    - Major releases (indicated by incrementing the MAJOR release number)
866      may introduce incompatible API/ABI changes.
867    - Minor releases (indicated by incrementing the MINOR release number)
868      may introduce new features but retain API/ABI compatibility.
869    - Patch releases (indicated by incrementing the PATCH number)
870      are intended for bug fixes and other improvements of existing
871      features only (like improving performance or adding documentation)
872      and retain API/ABI compatibility.
873
874    *Richard Levitte*
875
876  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
877
878    *Todd Short*
879
880  * Remove the 'dist' target and add a tarball building script.  The
881    'dist' target has fallen out of use, and it shouldn't be
882    necessary to configure just to create a source distribution.
883
884    *Richard Levitte*
885
886  * Recreate the OS390-Unix config target.  It no longer relies on a
887    special script like it did for OpenSSL pre-1.1.0.
888
889    *Richard Levitte*
890
891  * Instead of having the source directories listed in Configure, add
892    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
893    look into.
894
895    *Richard Levitte*
896
897  * Add GMAC to EVP_MAC.
898
899    *Paul Dale*
900
901  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
902
903    *Richard Levitte*
904
905  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
906    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
907    to facilitate the continued use of MACs through raw private keys in
908    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
909
910    *Richard Levitte*
911
912  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
913    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
914
915    *Antoine Salon*
916
917  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
918    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
919    are retained for backwards compatibility.
920
921    *Antoine Salon*
922
923  * AES-XTS mode now enforces that its two keys are different to mitigate
924    the attacked described in "Efficient Instantiations of Tweakable
925    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
926    Details of this attack can be obtained from:
927    http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf
928
929    *Paul Dale*
930
931  * Rename the object files, i.e. give them other names than in previous
932    versions.  Their names now include the name of the final product, as
933    well as its type mnemonic (bin, lib, shlib).
934
935    *Richard Levitte*
936
937  * Added new option for 'openssl list', '-objects', which will display the
938    list of built in objects, i.e. OIDs with names.
939
940    *Richard Levitte*
941
942  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
943    improves application performance by removing data copies and providing
944    applications with zero-copy system calls such as sendfile and splice.
945
946    *Boris Pismenny*
947
948
949 OpenSSL 1.1.1
950 -------------
951
952 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx] ###
953
954
955 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020] ###
956
957  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
958    while reading in libssl then we would report an error back to the
959    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
960    an error to the stack (which means we instead return SSL_ERROR_SSL) and
961    therefore give a hint as to what went wrong.
962
963    *Matt Caswell*
964
965  * Check that ed25519 and ed448 are allowed by the security level. Previously
966    signature algorithms not using an MD were not being checked that they were
967    allowed by the security level.
968
969    *Kurt Roeckx*
970
971  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
972    was not quite right. The behaviour was not consistent between resumption
973    and normal handshakes, and also not quite consistent with historical
974    behaviour. The behaviour in various scenarios has been clarified and
975    it has been updated to make it match historical behaviour as closely as
976    possible.
977
978    *Matt Caswell*
979
980  * *[VMS only]* The header files that the VMS compilers include automatically,
981    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
982    that the C++ compiler doesn't understand.  This is a shortcoming in the
983    compiler, but can be worked around with `__cplusplus` guards.
984
985    C++ applications that use OpenSSL libraries must be compiled using the
986    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
987    functions.  Otherwise, only functions with symbols of less than 31
988    characters can be used, as the linker will not be able to successfully
989    resolve symbols with longer names.
990
991    *Richard Levitte*
992
993  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
994    The presence of this system service is determined at run-time.
995
996    *Richard Levitte*
997
998  * Added newline escaping functionality to a filename when using openssl dgst.
999    This output format is to replicate the output format found in the '*sum'
1000    checksum programs. This aims to preserve backward compatibility.
1001
1002    *Matt Eaton, Richard Levitte, and Paul Dale*
1003
1004  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1005    the first value.
1006
1007    *Jon Spillett*
1008
1009 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019] ###
1010
1011  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1012    number generator (RNG). This was intended to include protection in the
1013    event of a fork() system call in order to ensure that the parent and child
1014    processes did not share the same RNG state. However this protection was not
1015    being used in the default case.
1016
1017    A partial mitigation for this issue is that the output from a high
1018    precision timer is mixed into the RNG state so the likelihood of a parent
1019    and child process sharing state is significantly reduced.
1020
1021    If an application already calls OPENSSL_init_crypto() explicitly using
1022    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1023    [CVE-2019-1549][]
1024
1025    *Matthias St. Pierre*
1026
1027  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1028    used even when parsing explicit parameters, when loading a serialized key
1029    or calling `EC_GROUP_new_from_ecpkparameters()`/
1030    `EC_GROUP_new_from_ecparameters()`.
1031    This prevents bypass of security hardening and performance gains,
1032    especially for curves with specialized EC_METHODs.
1033    By default, if a key encoded with explicit parameters is loaded and later
1034    serialized, the output is still encoded with explicit parameters, even if
1035    internally a "named" EC_GROUP is used for computation.
1036
1037    *Nicola Tuveri*
1038
1039  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1040    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1041    NULL. After this change, only the cofactor parameter can be NULL. It also
1042    does some minimal sanity checks on the passed order.
1043    [CVE-2019-1547][]
1044
1045    *Billy Bob Brumley*
1046
1047  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1048    An attack is simple, if the first CMS_recipientInfo is valid but the
1049    second CMS_recipientInfo is chosen ciphertext. If the second
1050    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1051    encryption key will be replaced by garbage, and the message cannot be
1052    decoded, but if the RSA decryption fails, the correct encryption key is
1053    used and the recipient will not notice the attack.
1054    As a work around for this potential attack the length of the decrypted
1055    key must be equal to the cipher default key length, in case the
1056    certifiate is not given and all recipientInfo are tried out.
1057    The old behaviour can be re-enabled in the CMS code by setting the
1058    CMS_DEBUG_DECRYPT flag.
1059    [CVE-2019-1563][]
1060
1061    *Bernd Edlinger*
1062
1063  * Early start up entropy quality from the DEVRANDOM seed source has been
1064    improved for older Linux systems.  The RAND subsystem will wait for
1065    /dev/random to be producing output before seeding from /dev/urandom.
1066    The seeded state is stored for future library initialisations using
1067    a system global shared memory segment.  The shared memory identifier
1068    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1069    the desired value.  The default identifier is 114.
1070
1071    *Paul Dale*
1072
1073  * Correct the extended master secret constant on EBCDIC systems. Without this
1074    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1075    negotiate EMS will fail. Unfortunately this also means that TLS connections
1076    between EBCDIC systems with this fix, and EBCDIC systems without this
1077    fix will fail if they negotiate EMS.
1078
1079    *Matt Caswell*
1080
1081  * Use Windows installation paths in the mingw builds
1082
1083    Mingw isn't a POSIX environment per se, which means that Windows
1084    paths should be used for installation.
1085    [CVE-2019-1552][]
1086
1087    *Richard Levitte*
1088
1089  * Changed DH_check to accept parameters with order q and 2q subgroups.
1090    With order 2q subgroups the bit 0 of the private key is not secret
1091    but DH_generate_key works around that by clearing bit 0 of the
1092    private key for those. This avoids leaking bit 0 of the private key.
1093
1094    *Bernd Edlinger*
1095
1096  * Significantly reduce secure memory usage by the randomness pools.
1097
1098    *Paul Dale*
1099
1100  * Revert the DEVRANDOM_WAIT feature for Linux systems
1101
1102    The DEVRANDOM_WAIT feature added a select() call to wait for the
1103    /dev/random device to become readable before reading from the
1104    /dev/urandom device.
1105
1106    It turned out that this change had negative side effects on
1107    performance which were not acceptable. After some discussion it
1108    was decided to revert this feature and leave it up to the OS
1109    resp. the platform maintainer to ensure a proper initialization
1110    during early boot time.
1111
1112    *Matthias St. Pierre*
1113
1114 ### Changes between 1.1.1b and 1.1.1c [28 May 2019] ###
1115
1116  * Add build tests for C++.  These are generated files that only do one
1117    thing, to include one public OpenSSL head file each.  This tests that
1118    the public header files can be usefully included in a C++ application.
1119
1120    This test isn't enabled by default.  It can be enabled with the option
1121    'enable-buildtest-c++'.
1122
1123    *Richard Levitte*
1124
1125  * Enable SHA3 pre-hashing for ECDSA and DSA.
1126
1127    *Patrick Steuer*
1128
1129  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1130    This changes the size when using the genpkey app when no size is given. It
1131    fixes an omission in earlier changes that changed all RSA, DSA and DH
1132    generation apps to use 2048 bits by default.
1133
1134    *Kurt Roeckx*
1135
1136  * Reorganize the manual pages to consistently have RETURN VALUES,
1137    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1138    util/fix-doc-nits accordingly.
1139
1140    *Paul Yang, Joshua Lock*
1141
1142  * Add the missing accessor EVP_PKEY_get0_engine()
1143
1144    *Matt Caswell*
1145
1146  * Have apps like 's_client' and 's_server' output the signature scheme
1147    along with other cipher suite parameters when debugging.
1148
1149    *Lorinczy Zsigmond*
1150
1151  * Make OPENSSL_config() error agnostic again.
1152
1153    *Richard Levitte*
1154
1155  * Do the error handling in RSA decryption constant time.
1156
1157    *Bernd Edlinger*
1158
1159  * Prevent over long nonces in ChaCha20-Poly1305.
1160
1161    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1162    for every encryption operation. RFC 7539 specifies that the nonce value
1163    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1164    and front pads the nonce with 0 bytes if it is less than 12
1165    bytes. However it also incorrectly allows a nonce to be set of up to 16
1166    bytes. In this case only the last 12 bytes are significant and any
1167    additional leading bytes are ignored.
1168
1169    It is a requirement of using this cipher that nonce values are
1170    unique. Messages encrypted using a reused nonce value are susceptible to
1171    serious confidentiality and integrity attacks. If an application changes
1172    the default nonce length to be longer than 12 bytes and then makes a
1173    change to the leading bytes of the nonce expecting the new value to be a
1174    new unique nonce then such an application could inadvertently encrypt
1175    messages with a reused nonce.
1176
1177    Additionally the ignored bytes in a long nonce are not covered by the
1178    integrity guarantee of this cipher. Any application that relies on the
1179    integrity of these ignored leading bytes of a long nonce may be further
1180    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1181    is safe because no such use sets such a long nonce value. However user
1182    applications that use this cipher directly and set a non-default nonce
1183    length to be longer than 12 bytes may be vulnerable.
1184
1185    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1186    Greef of Ronomon.
1187    [CVE-2019-1543][]
1188
1189    *Matt Caswell*
1190
1191  * Add DEVRANDOM_WAIT feature for Linux systems
1192
1193    On older Linux systems where the getrandom() system call is not available,
1194    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1195    Contrary to getrandom(), the /dev/urandom device will not block during
1196    early boot when the kernel CSPRNG has not been seeded yet.
1197
1198    To mitigate this known weakness, use select() to wait for /dev/random to
1199    become readable before reading from /dev/urandom.
1200
1201  * Ensure that SM2 only uses SM3 as digest algorithm
1202
1203    *Paul Yang*
1204
1205 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019] ###
1206
1207  * Change the info callback signals for the start and end of a post-handshake
1208    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1209    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1210    confused by this and assume that a TLSv1.2 renegotiation has started. This
1211    can break KeyUpdate handling. Instead we no longer signal the start and end
1212    of a post handshake message exchange (although the messages themselves are
1213    still signalled). This could break some applications that were expecting
1214    the old signals. However without this KeyUpdate is not usable for many
1215    applications.
1216
1217    *Matt Caswell*
1218
1219 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018] ###
1220
1221  * Timing vulnerability in DSA signature generation
1222
1223    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1224    timing side channel attack. An attacker could use variations in the signing
1225    algorithm to recover the private key.
1226
1227    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1228    [CVE-2018-0734][]
1229
1230    *Paul Dale*
1231
1232  * Timing vulnerability in ECDSA signature generation
1233
1234    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1235    timing side channel attack. An attacker could use variations in the signing
1236    algorithm to recover the private key.
1237
1238    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1239    [CVE-2018-0735][]
1240
1241    *Paul Dale*
1242
1243  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1244    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1245    of two gigabytes and the error handling improved.
1246
1247    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1248    categorized as a normal bug, not a security issue, because the DRBG reseeds
1249    automatically and is fully functional even without additional randomness
1250    provided by the application.
1251
1252 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018] ###
1253
1254  * Add a new ClientHello callback. Provides a callback interface that gives
1255    the application the ability to adjust the nascent SSL object at the
1256    earliest stage of ClientHello processing, immediately after extensions have
1257    been collected but before they have been processed. In particular, this
1258    callback can adjust the supported TLS versions in response to the contents
1259    of the ClientHello
1260
1261    *Benjamin Kaduk*
1262
1263  * Add SM2 base algorithm support.
1264
1265    *Jack Lloyd*
1266
1267  * s390x assembly pack: add (improved) hardware-support for the following
1268    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1269    aes-cfb/cfb8, aes-ecb.
1270
1271    *Patrick Steuer*
1272
1273  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1274    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1275    pem_str is reserved for alias entries only.
1276
1277    *Richard Levitte*
1278
1279  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1280    step for prime curves. The new implementation is based on formulae from
1281    differential addition-and-doubling in homogeneous projective coordinates
1282    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1283    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1284    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1285    to work in projective coordinates.
1286
1287    *Billy Bob Brumley, Nicola Tuveri*
1288
1289  * Change generating and checking of primes so that the error rate of not
1290    being prime depends on the intended use based on the size of the input.
1291    For larger primes this will result in more rounds of Miller-Rabin.
1292    The maximal error rate for primes with more than 1080 bits is lowered
1293    to 2^-128.
1294
1295    *Kurt Roeckx, Annie Yousar*
1296
1297  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1298
1299    *Kurt Roeckx*
1300
1301  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1302    moving between systems, and to avoid confusion when a Windows build is
1303    done with mingw vs with MSVC.  For POSIX installs, there's still a
1304    symlink or copy named 'tsget' to avoid that confusion as well.
1305
1306    *Richard Levitte*
1307
1308  * Revert blinding in ECDSA sign and instead make problematic addition
1309    length-invariant. Switch even to fixed-length Montgomery multiplication.
1310
1311    *Andy Polyakov*
1312
1313  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1314    step for binary curves. The new implementation is based on formulae from
1315    differential addition-and-doubling in mixed Lopez-Dahab projective
1316    coordinates, modified to independently blind the operands.
1317
1318    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1319
1320  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1321    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1322    EC_METHODs to implement their own specialized "ladder step", to take
1323    advantage of more favorable coordinate systems or more efficient
1324    differential addition-and-doubling algorithms.
1325
1326    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1327
1328  * Modified the random device based seed sources to keep the relevant
1329    file descriptors open rather than reopening them on each access.
1330    This allows such sources to operate in a chroot() jail without
1331    the associated device nodes being available. This behaviour can be
1332    controlled using RAND_keep_random_devices_open().
1333
1334    *Paul Dale*
1335
1336  * Numerous side-channel attack mitigations have been applied. This may have
1337    performance impacts for some algorithms for the benefit of improved
1338    security. Specific changes are noted in this change log by their respective
1339    authors.
1340
1341    *Matt Caswell*
1342
1343  * AIX shared library support overhaul. Switch to AIX "natural" way of
1344    handling shared libraries, which means collecting shared objects of
1345    different versions and bitnesses in one common archive. This allows to
1346    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1347    doesn't affect the way 3rd party applications are linked, only how
1348    multi-version installation is managed.
1349
1350    *Andy Polyakov*
1351
1352  * Make ec_group_do_inverse_ord() more robust and available to other
1353    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1354    mitigations are applied to the fallback BN_mod_inverse().
1355    When using this function rather than BN_mod_inverse() directly, new
1356    EC cryptosystem implementations are then safer-by-default.
1357
1358    *Billy Bob Brumley*
1359
1360  * Add coordinate blinding for EC_POINT and implement projective
1361    coordinate blinding for generic prime curves as a countermeasure to
1362    chosen point SCA attacks.
1363
1364    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1365
1366  * Add blinding to ECDSA and DSA signatures to protect against side channel
1367    attacks discovered by Keegan Ryan (NCC Group).
1368
1369    *Matt Caswell*
1370
1371  * Enforce checking in the pkeyutl command line app to ensure that the input
1372    length does not exceed the maximum supported digest length when performing
1373    a sign, verify or verifyrecover operation.
1374
1375    *Matt Caswell*
1376
1377  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1378    I/O in combination with something like select() or poll() will hang. This
1379    can be turned off again using SSL_CTX_clear_mode().
1380    Many applications do not properly handle non-application data records, and
1381    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1382    around the problems in those applications, but can also break some.
1383    It's recommended to read the manpages about SSL_read(), SSL_write(),
1384    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1385    SSL_CTX_set_read_ahead() again.
1386
1387    *Kurt Roeckx*
1388
1389  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1390    now allow empty (zero character) pass phrases.
1391
1392    *Richard Levitte*
1393
1394  * Apply blinding to binary field modular inversion and remove patent
1395    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1396
1397    *Billy Bob Brumley*
1398
1399  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1400    binary and prime elliptic curves.
1401
1402    *Billy Bob Brumley*
1403
1404  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1405    constant time fixed point multiplication.
1406
1407    *Billy Bob Brumley*
1408
1409  * Revise elliptic curve scalar multiplication with timing attack
1410    defenses: ec_wNAF_mul redirects to a constant time implementation
1411    when computing fixed point and variable point multiplication (which
1412    in OpenSSL are mostly used with secret scalars in keygen, sign,
1413    ECDH derive operations).
1414    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1415     Sohaib ul Hassan*
1416
1417  * Updated CONTRIBUTING
1418
1419    *Rich Salz*
1420
1421  * Updated DRBG / RAND to request nonce and additional low entropy
1422    randomness from the system.
1423
1424    *Matthias St. Pierre*
1425
1426  * Updated 'openssl rehash' to use OpenSSL consistent default.
1427
1428    *Richard Levitte*
1429
1430  * Moved the load of the ssl_conf module to libcrypto, which helps
1431    loading engines that libssl uses before libssl is initialised.
1432
1433    *Matt Caswell*
1434
1435  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1436
1437    *Matt Caswell*
1438
1439  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1440
1441    *Ingo Schwarze, Rich Salz*
1442
1443  * Added output of accepting IP address and port for 'openssl s_server'
1444
1445    *Richard Levitte*
1446
1447  * Added a new API for TLSv1.3 ciphersuites:
1448       SSL_CTX_set_ciphersuites()
1449       SSL_set_ciphersuites()
1450
1451    *Matt Caswell*
1452
1453  * Memory allocation failures consistently add an error to the error
1454    stack.
1455
1456    *Rich Salz*
1457
1458  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1459    in libcrypto when run as setuid/setgid.
1460
1461    *Bernd Edlinger*
1462
1463  * Load any config file by default when libssl is used.
1464
1465    *Matt Caswell*
1466
1467  * Added new public header file <openssl/rand_drbg.h> and documentation
1468    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1469
1470    *Matthias St. Pierre*
1471
1472  * QNX support removed (cannot find contributors to get their approval
1473    for the license change).
1474
1475    *Rich Salz*
1476
1477  * TLSv1.3 replay protection for early data has been implemented. See the
1478    SSL_read_early_data() man page for further details.
1479
1480    *Matt Caswell*
1481
1482  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1483    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1484    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1485    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1486    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1487    configuration has been separated out. See the ciphers man page or the
1488    SSL_CTX_set_ciphersuites() man page for more information.
1489
1490    *Matt Caswell*
1491
1492  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1493    in responder mode now supports the new "-multi" option, which
1494    spawns the specified number of child processes to handle OCSP
1495    requests.  The "-timeout" option now also limits the OCSP
1496    responder's patience to wait to receive the full client request
1497    on a newly accepted connection. Child processes are respawned
1498    as needed, and the CA index file is automatically reloaded
1499    when changed.  This makes it possible to run the "ocsp" responder
1500    as a long-running service, making the OpenSSL CA somewhat more
1501    feature-complete.  In this mode, most diagnostic messages logged
1502    after entering the event loop are logged via syslog(3) rather than
1503    written to stderr.
1504
1505    *Viktor Dukhovni*
1506
1507  * Added support for X448 and Ed448. Heavily based on original work by
1508    Mike Hamburg.
1509
1510    *Matt Caswell*
1511
1512  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1513    objects loaded.  This adds the functions OSSL_STORE_expect() and
1514    OSSL_STORE_find() as well as needed tools to construct searches and
1515    get the search data out of them.
1516
1517    *Richard Levitte*
1518
1519  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1520    version of OpenSSL should review their configuration settings to ensure
1521    that they are still appropriate for TLSv1.3. For further information see:
1522    https://wiki.openssl.org/index.php/TLS1.3
1523
1524    *Matt Caswell*
1525
1526  * Grand redesign of the OpenSSL random generator
1527
1528    The default RAND method now utilizes an AES-CTR DRBG according to
1529    NIST standard SP 800-90Ar1. The new random generator is essentially
1530    a port of the default random generator from the OpenSSL FIPS 2.0
1531    object module. It is a hybrid deterministic random bit generator
1532    using an AES-CTR bit stream and which seeds and reseeds itself
1533    automatically using trusted system entropy sources.
1534
1535    Some of its new features are:
1536     - Support for multiple DRBG instances with seed chaining.
1537     - The default RAND method makes use of a DRBG.
1538     - There is a public and private DRBG instance.
1539     - The DRBG instances are fork-safe.
1540     - Keep all global DRBG instances on the secure heap if it is enabled.
1541     - The public and private DRBG instance are per thread for lock free
1542       operation
1543
1544    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1545
1546  * Changed Configure so it only says what it does and doesn't dump
1547    so much data.  Instead, ./configdata.pm should be used as a script
1548    to display all sorts of configuration data.
1549
1550    *Richard Levitte*
1551
1552  * Added processing of "make variables" to Configure.
1553
1554    *Richard Levitte*
1555
1556  * Added SHA512/224 and SHA512/256 algorithm support.
1557
1558    *Paul Dale*
1559
1560  * The last traces of Netware support, first removed in 1.1.0, have
1561    now been removed.
1562
1563    *Rich Salz*
1564
1565  * Get rid of Makefile.shared, and in the process, make the processing
1566    of certain files (rc.obj, or the .def/.map/.opt files produced from
1567    the ordinal files) more visible and hopefully easier to trace and
1568    debug (or make silent).
1569
1570    *Richard Levitte*
1571
1572  * Make it possible to have environment variable assignments as
1573    arguments to config / Configure.
1574
1575    *Richard Levitte*
1576
1577  * Add multi-prime RSA (RFC 8017) support.
1578
1579    *Paul Yang*
1580
1581  * Add SM3 implemented according to GB/T 32905-2016
1582    * Jack Lloyd <jack.lloyd@ribose.com>,
1583      Ronald Tse <ronald.tse@ribose.com>,
1584      Erick Borsboom <erick.borsboom@ribose.com> *
1585
1586  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1587    as documented in RFC6066.
1588    Based on a patch from Tomasz Moń
1589
1590    *Filipe Raimundo da Silva*
1591
1592  * Add SM4 implemented according to GB/T 32907-2016.
1593    * Jack Lloyd <jack.lloyd@ribose.com>,
1594      Ronald Tse <ronald.tse@ribose.com>,
1595      Erick Borsboom <erick.borsboom@ribose.com> *
1596
1597  * Reimplement -newreq-nodes and ERR_error_string_n; the
1598    original author does not agree with the license change.
1599
1600    *Rich Salz*
1601
1602  * Add ARIA AEAD TLS support.
1603
1604    *Jon Spillett*
1605
1606  * Some macro definitions to support VS6 have been removed.  Visual
1607    Studio 6 has not worked since 1.1.0
1608
1609    *Rich Salz*
1610
1611  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1612    without clearing the errors.
1613
1614    *Richard Levitte*
1615
1616  * Add "atfork" functions.  If building on a system that without
1617    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1618    requirements.  The RAND facility now uses/requires this.
1619
1620    *Rich Salz*
1621
1622  * Add SHA3.
1623
1624    *Andy Polyakov*
1625
1626  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1627    not possible to disable entirely.  However, it's still possible to
1628    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1629    as a fallback).
1630
1631    To disable, configure with 'no-ui-console'.  'no-ui' is still
1632    possible to use as an alias.  Check at compile time with the
1633    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1634    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1635
1636    *Richard Levitte*
1637
1638  * Add a STORE module, which implements a uniform and URI based reader of
1639    stores that can contain keys, certificates, CRLs and numerous other
1640    objects.  The main API is loosely based on a few stdio functions,
1641    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1642    OSSL_STORE_error and OSSL_STORE_close.
1643    The implementation uses backends called "loaders" to implement arbitrary
1644    URI schemes.  There is one built in "loader" for the 'file' scheme.
1645
1646    *Richard Levitte*
1647
1648  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1649    then adjusted to work on FreeBSD 8.4 as well.
1650    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1651    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1652
1653    *Richard Levitte*
1654
1655  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1656    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1657    error code calls like this:
1658
1659            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1660
1661    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1662    that can be encoded in C.  For the foreseeable future, this will only
1663    affect new modules.
1664
1665    *Richard Levitte and Tim Hudson*
1666
1667  * Removed BSD cryptodev engine.
1668
1669    *Rich Salz*
1670
1671  * Add a build target 'build_all_generated', to build all generated files
1672    and only that.  This can be used to prepare everything that requires
1673    things like perl for a system that lacks perl and then move everything
1674    to that system and do the rest of the build there.
1675
1676    *Richard Levitte*
1677
1678  * In the UI interface, make it possible to duplicate the user data.  This
1679    can be used by engines that need to retain the data for a longer time
1680    than just the call where this user data is passed.
1681
1682    *Richard Levitte*
1683
1684  * Ignore the '-named_curve auto' value for compatibility of applications
1685    with OpenSSL 1.0.2.
1686
1687    *Tomas Mraz <tmraz@fedoraproject.org>*
1688
1689  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1690    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1691    alerts across multiple records (some of which could be empty). In practice
1692    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1693    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1694    support this at all. Supporting it adds significant complexity to the
1695    record layer, and its removal is unlikely to cause interoperability
1696    issues.
1697
1698    *Matt Caswell*
1699
1700  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1701    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1702    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1703    in OpenSSL 1.2.0.
1704
1705    *Richard Levitte*
1706
1707  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1708    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1709
1710    *Richard Levitte, Andy Polyakov*
1711
1712  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1713    does for RSA, etc.
1714
1715    *Richard Levitte*
1716
1717  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1718    platform rather than 'mingw'.
1719
1720    *Richard Levitte*
1721
1722  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1723    success if they are asked to add an object which already exists
1724    in the store. This change cascades to other functions which load
1725    certificates and CRLs.
1726
1727    *Paul Dale*
1728
1729  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1730    facilitate stack unwinding even from assembly subroutines.
1731
1732    *Andy Polyakov*
1733
1734  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1735    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1736
1737    *Richard Levitte*
1738
1739  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1740    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1741    which is the minimum version we support.
1742
1743    *Richard Levitte*
1744
1745  * Certificate time validation (X509_cmp_time) enforces stricter
1746    compliance with RFC 5280. Fractional seconds and timezone offsets
1747    are no longer allowed.
1748
1749    *Emilia Käsper*
1750
1751  * Add support for ARIA
1752
1753    *Paul Dale*
1754
1755  * s_client will now send the Server Name Indication (SNI) extension by
1756    default unless the new "-noservername" option is used. The server name is
1757    based on the host provided to the "-connect" option unless overridden by
1758    using "-servername".
1759
1760    *Matt Caswell*
1761
1762  * Add support for SipHash
1763
1764    *Todd Short*
1765
1766  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1767    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1768    prevent issues where no progress is being made and the peer continually
1769    sends unrecognised record types, using up resources processing them.
1770
1771    *Matt Caswell*
1772
1773  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1774    using the algorithm defined in
1775    https://www.akkadia.org/drepper/SHA-crypt.txt
1776
1777    *Richard Levitte*
1778
1779  * Heartbeat support has been removed; the ABI is changed for now.
1780
1781    *Richard Levitte, Rich Salz*
1782
1783  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1784
1785    *Emilia Käsper*
1786
1787  * The RSA "null" method, which was partially supported to avoid patent
1788    issues, has been replaced to always returns NULL.
1789
1790    *Rich Salz*
1791
1792 OpenSSL 1.1.0
1793 -------------
1794
1795
1796 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019] ###
1797
1798  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1799    used even when parsing explicit parameters, when loading a serialized key
1800    or calling `EC_GROUP_new_from_ecpkparameters()`/
1801    `EC_GROUP_new_from_ecparameters()`.
1802    This prevents bypass of security hardening and performance gains,
1803    especially for curves with specialized EC_METHODs.
1804    By default, if a key encoded with explicit parameters is loaded and later
1805    serialized, the output is still encoded with explicit parameters, even if
1806    internally a "named" EC_GROUP is used for computation.
1807
1808    *Nicola Tuveri*
1809
1810  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1811    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1812    NULL. After this change, only the cofactor parameter can be NULL. It also
1813    does some minimal sanity checks on the passed order.
1814    [CVE-2019-1547][]
1815
1816    *Billy Bob Brumley*
1817
1818  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1819    An attack is simple, if the first CMS_recipientInfo is valid but the
1820    second CMS_recipientInfo is chosen ciphertext. If the second
1821    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1822    encryption key will be replaced by garbage, and the message cannot be
1823    decoded, but if the RSA decryption fails, the correct encryption key is
1824    used and the recipient will not notice the attack.
1825    As a work around for this potential attack the length of the decrypted
1826    key must be equal to the cipher default key length, in case the
1827    certifiate is not given and all recipientInfo are tried out.
1828    The old behaviour can be re-enabled in the CMS code by setting the
1829    CMS_DEBUG_DECRYPT flag.
1830    [CVE-2019-1563][]
1831
1832    *Bernd Edlinger*
1833
1834  * Use Windows installation paths in the mingw builds
1835
1836    Mingw isn't a POSIX environment per se, which means that Windows
1837    paths should be used for installation.
1838    [CVE-2019-1552][]
1839
1840    *Richard Levitte*
1841
1842 ### Changes between 1.1.0j and 1.1.0k [28 May 2019] ###
1843
1844  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1845    This changes the size when using the genpkey app when no size is given. It
1846    fixes an omission in earlier changes that changed all RSA, DSA and DH
1847    generation apps to use 2048 bits by default.
1848
1849    *Kurt Roeckx*
1850
1851  * Prevent over long nonces in ChaCha20-Poly1305.
1852
1853    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1854    for every encryption operation. RFC 7539 specifies that the nonce value
1855    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1856    and front pads the nonce with 0 bytes if it is less than 12
1857    bytes. However it also incorrectly allows a nonce to be set of up to 16
1858    bytes. In this case only the last 12 bytes are significant and any
1859    additional leading bytes are ignored.
1860
1861    It is a requirement of using this cipher that nonce values are
1862    unique. Messages encrypted using a reused nonce value are susceptible to
1863    serious confidentiality and integrity attacks. If an application changes
1864    the default nonce length to be longer than 12 bytes and then makes a
1865    change to the leading bytes of the nonce expecting the new value to be a
1866    new unique nonce then such an application could inadvertently encrypt
1867    messages with a reused nonce.
1868
1869    Additionally the ignored bytes in a long nonce are not covered by the
1870    integrity guarantee of this cipher. Any application that relies on the
1871    integrity of these ignored leading bytes of a long nonce may be further
1872    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1873    is safe because no such use sets such a long nonce value. However user
1874    applications that use this cipher directly and set a non-default nonce
1875    length to be longer than 12 bytes may be vulnerable.
1876
1877    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1878    Greef of Ronomon.
1879    [CVE-2019-1543][]
1880
1881    *Matt Caswell*
1882
1883  * Added SCA hardening for modular field inversion in EC_GROUP through
1884    a new dedicated field_inv() pointer in EC_METHOD.
1885    This also addresses a leakage affecting conversions from projective
1886    to affine coordinates.
1887
1888    *Billy Bob Brumley, Nicola Tuveri*
1889
1890  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1891    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1892
1893    *Bernd Edlinger*
1894
1895  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1896
1897    *Richard Levitte*
1898
1899  * Remove the 'dist' target and add a tarball building script.  The
1900    'dist' target has fallen out of use, and it shouldn't be
1901    necessary to configure just to create a source distribution.
1902
1903    *Richard Levitte*
1904
1905 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018] ###
1906
1907  * Timing vulnerability in DSA signature generation
1908
1909    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1910    timing side channel attack. An attacker could use variations in the signing
1911    algorithm to recover the private key.
1912
1913    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1914    [CVE-2018-0734][]
1915
1916    *Paul Dale*
1917
1918  * Timing vulnerability in ECDSA signature generation
1919
1920    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1921    timing side channel attack. An attacker could use variations in the signing
1922    algorithm to recover the private key.
1923
1924    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1925    [CVE-2018-0735][]
1926
1927    *Paul Dale*
1928
1929  * Add coordinate blinding for EC_POINT and implement projective
1930    coordinate blinding for generic prime curves as a countermeasure to
1931    chosen point SCA attacks.
1932
1933    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1934
1935 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018] ###
1936
1937  * Client DoS due to large DH parameter
1938
1939    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1940    malicious server can send a very large prime value to the client. This will
1941    cause the client to spend an unreasonably long period of time generating a
1942    key for this prime resulting in a hang until the client has finished. This
1943    could be exploited in a Denial Of Service attack.
1944
1945    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
1946    [CVE-2018-0732][]
1947
1948    *Guido Vranken*
1949
1950  * Cache timing vulnerability in RSA Key Generation
1951
1952    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
1953    a cache timing side channel attack. An attacker with sufficient access to
1954    mount cache timing attacks during the RSA key generation process could
1955    recover the private key.
1956
1957    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
1958    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
1959    [CVE-2018-0737][]
1960
1961    *Billy Brumley*
1962
1963  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1964    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1965    pem_str is reserved for alias entries only.
1966
1967    *Richard Levitte*
1968
1969  * Revert blinding in ECDSA sign and instead make problematic addition
1970    length-invariant. Switch even to fixed-length Montgomery multiplication.
1971
1972    *Andy Polyakov*
1973
1974  * Change generating and checking of primes so that the error rate of not
1975    being prime depends on the intended use based on the size of the input.
1976    For larger primes this will result in more rounds of Miller-Rabin.
1977    The maximal error rate for primes with more than 1080 bits is lowered
1978    to 2^-128.
1979
1980    *Kurt Roeckx, Annie Yousar*
1981
1982  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1983
1984    *Kurt Roeckx*
1985
1986  * Add blinding to ECDSA and DSA signatures to protect against side channel
1987    attacks discovered by Keegan Ryan (NCC Group).
1988
1989    *Matt Caswell*
1990
1991  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1992    now allow empty (zero character) pass phrases.
1993
1994    *Richard Levitte*
1995
1996  * Certificate time validation (X509_cmp_time) enforces stricter
1997    compliance with RFC 5280. Fractional seconds and timezone offsets
1998    are no longer allowed.
1999
2000    *Emilia Käsper*
2001
2002  * Fixed a text canonicalisation bug in CMS
2003
2004    Where a CMS detached signature is used with text content the text goes
2005    through a canonicalisation process first prior to signing or verifying a
2006    signature. This process strips trailing space at the end of lines, converts
2007    line terminators to CRLF and removes additional trailing line terminators
2008    at the end of a file. A bug in the canonicalisation process meant that
2009    some characters, such as form-feed, were incorrectly treated as whitespace
2010    and removed. This is contrary to the specification (RFC5485). This fix
2011    could mean that detached text data signed with an earlier version of
2012    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2013    signed with a fixed OpenSSL may fail to verify with an earlier version of
2014    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2015    and use the "-binary" flag (for the "cms" command line application) or set
2016    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2017
2018    *Matt Caswell*
2019
2020 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018] ###
2021
2022  * Constructed ASN.1 types with a recursive definition could exceed the stack
2023
2024    Constructed ASN.1 types with a recursive definition (such as can be found
2025    in PKCS7) could eventually exceed the stack given malicious input with
2026    excessive recursion. This could result in a Denial Of Service attack. There
2027    are no such structures used within SSL/TLS that come from untrusted sources
2028    so this is considered safe.
2029
2030    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2031    project.
2032    [CVE-2018-0739][]
2033
2034    *Matt Caswell*
2035
2036  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2037
2038    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2039    effectively reduced to only comparing the least significant bit of each
2040    byte. This allows an attacker to forge messages that would be considered as
2041    authenticated in an amount of tries lower than that guaranteed by the
2042    security claims of the scheme. The module can only be compiled by the
2043    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2044
2045    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2046    (IBM).
2047    [CVE-2018-0733][]
2048
2049    *Andy Polyakov*
2050
2051  * Add a build target 'build_all_generated', to build all generated files
2052    and only that.  This can be used to prepare everything that requires
2053    things like perl for a system that lacks perl and then move everything
2054    to that system and do the rest of the build there.
2055
2056    *Richard Levitte*
2057
2058  * Backport SSL_OP_NO_RENGOTIATION
2059
2060    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2061    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2062    changes this is no longer possible in 1.1.0. Therefore the new
2063    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2064    1.1.0 to provide equivalent functionality.
2065
2066    Note that if an application built against 1.1.0h headers (or above) is run
2067    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2068    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2069
2070    *Matt Caswell*
2071
2072  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2073    exist.
2074
2075    *Rich Salz*
2076
2077  * rsaz_1024_mul_avx2 overflow bug on x86_64
2078
2079    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2080    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2081    Analysis suggests that attacks against RSA and DSA as a result of this
2082    defect would be very difficult to perform and are not believed likely.
2083    Attacks against DH1024 are considered just feasible, because most of the
2084    work necessary to deduce information about a private key may be performed
2085    offline. The amount of resources required for such an attack would be
2086    significant. However, for an attack on TLS to be meaningful, the server
2087    would have to share the DH1024 private key among multiple clients, which is
2088    no longer an option since CVE-2016-0701.
2089
2090    This only affects processors that support the AVX2 but not ADX extensions
2091    like Intel Haswell (4th generation).
2092
2093    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2094    was originally found via the OSS-Fuzz project.
2095    [CVE-2017-3738][]
2096
2097    *Andy Polyakov*
2098
2099 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017] ###
2100
2101  * bn_sqrx8x_internal carry bug on x86_64
2102
2103    There is a carry propagating bug in the x86_64 Montgomery squaring
2104    procedure. No EC algorithms are affected. Analysis suggests that attacks
2105    against RSA and DSA as a result of this defect would be very difficult to
2106    perform and are not believed likely. Attacks against DH are considered just
2107    feasible (although very difficult) because most of the work necessary to
2108    deduce information about a private key may be performed offline. The amount
2109    of resources required for such an attack would be very significant and
2110    likely only accessible to a limited number of attackers. An attacker would
2111    additionally need online access to an unpatched system using the target
2112    private key in a scenario with persistent DH parameters and a private
2113    key that is shared between multiple clients.
2114
2115    This only affects processors that support the BMI1, BMI2 and ADX extensions
2116    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2117
2118    This issue was reported to OpenSSL by the OSS-Fuzz project.
2119    [CVE-2017-3736][]
2120
2121    *Andy Polyakov*
2122
2123  * Malformed X.509 IPAddressFamily could cause OOB read
2124
2125    If an X.509 certificate has a malformed IPAddressFamily extension,
2126    OpenSSL could do a one-byte buffer overread. The most likely result
2127    would be an erroneous display of the certificate in text format.
2128
2129    This issue was reported to OpenSSL by the OSS-Fuzz project.
2130    [CVE-2017-3735][]
2131
2132    *Rich Salz*
2133
2134 ### Changes between 1.1.0e and 1.1.0f [25 May 2017] ###
2135
2136  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2137    platform rather than 'mingw'.
2138
2139    *Richard Levitte*
2140
2141  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2142    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2143    which is the minimum version we support.
2144
2145    *Richard Levitte*
2146
2147 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017] ###
2148
2149  * Encrypt-Then-Mac renegotiation crash
2150
2151    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2152    negotiated where it was not in the original handshake (or vice-versa) then
2153    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2154    and servers are affected.
2155
2156    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2157    [CVE-2017-3733][]
2158
2159    *Matt Caswell*
2160
2161 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017] ###
2162
2163  * Truncated packet could crash via OOB read
2164
2165    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2166    cipher is being used, then a truncated packet can cause that host to
2167    perform an out-of-bounds read, usually resulting in a crash.
2168
2169    This issue was reported to OpenSSL by Robert Święcki of Google.
2170    [CVE-2017-3731][]
2171
2172    *Andy Polyakov*
2173
2174  * Bad (EC)DHE parameters cause a client crash
2175
2176    If a malicious server supplies bad parameters for a DHE or ECDHE key
2177    exchange then this can result in the client attempting to dereference a
2178    NULL pointer leading to a client crash. This could be exploited in a Denial
2179    of Service attack.
2180
2181    This issue was reported to OpenSSL by Guido Vranken.
2182    [CVE-2017-3730][]
2183
2184    *Matt Caswell*
2185
2186  * BN_mod_exp may produce incorrect results on x86_64
2187
2188    There is a carry propagating bug in the x86_64 Montgomery squaring
2189    procedure. No EC algorithms are affected. Analysis suggests that attacks
2190    against RSA and DSA as a result of this defect would be very difficult to
2191    perform and are not believed likely. Attacks against DH are considered just
2192    feasible (although very difficult) because most of the work necessary to
2193    deduce information about a private key may be performed offline. The amount
2194    of resources required for such an attack would be very significant and
2195    likely only accessible to a limited number of attackers. An attacker would
2196    additionally need online access to an unpatched system using the target
2197    private key in a scenario with persistent DH parameters and a private
2198    key that is shared between multiple clients. For example this can occur by
2199    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2200    similar to CVE-2015-3193 but must be treated as a separate problem.
2201
2202    This issue was reported to OpenSSL by the OSS-Fuzz project.
2203    [CVE-2017-3732][]
2204
2205    *Andy Polyakov*
2206
2207 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016] ###
2208
2209  * ChaCha20/Poly1305 heap-buffer-overflow
2210
2211    TLS connections using *-CHACHA20-POLY1305 ciphersuites are susceptible to
2212    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2213    crash. This issue is not considered to be exploitable beyond a DoS.
2214
2215    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2216    [CVE-2016-7054][]
2217
2218    *Richard Levitte*
2219
2220  * CMS Null dereference
2221
2222    Applications parsing invalid CMS structures can crash with a NULL pointer
2223    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2224    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2225    structure callback if an attempt is made to free certain invalid encodings.
2226    Only CHOICE structures using a callback which do not handle NULL value are
2227    affected.
2228
2229    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2230    [CVE-2016-7053][]
2231
2232    *Stephen Henson*
2233
2234  * Montgomery multiplication may produce incorrect results
2235
2236    There is a carry propagating bug in the Broadwell-specific Montgomery
2237    multiplication procedure that handles input lengths divisible by, but
2238    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2239    and DH private keys are impossible. This is because the subroutine in
2240    question is not used in operations with the private key itself and an input
2241    of the attacker's direct choice. Otherwise the bug can manifest itself as
2242    transient authentication and key negotiation failures or reproducible
2243    erroneous outcome of public-key operations with specially crafted input.
2244    Among EC algorithms only Brainpool P-512 curves are affected and one
2245    presumably can attack ECDH key negotiation. Impact was not analyzed in
2246    detail, because pre-requisites for attack are considered unlikely. Namely
2247    multiple clients have to choose the curve in question and the server has to
2248    share the private key among them, neither of which is default behaviour.
2249    Even then only clients that chose the curve will be affected.
2250
2251    This issue was publicly reported as transient failures and was not
2252    initially recognized as a security issue. Thanks to Richard Morgan for
2253    providing reproducible case.
2254    [CVE-2016-7055][]
2255
2256    *Andy Polyakov*
2257
2258  * Removed automatic addition of RPATH in shared libraries and executables,
2259    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2260
2261    *Richard Levitte*
2262
2263 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016] ###
2264
2265  * Fix Use After Free for large message sizes
2266
2267    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2268    message larger than approx 16k is received then the underlying buffer to
2269    store the incoming message is reallocated and moved. Unfortunately a
2270    dangling pointer to the old location is left which results in an attempt to
2271    write to the previously freed location. This is likely to result in a
2272    crash, however it could potentially lead to execution of arbitrary code.
2273
2274    This issue only affects OpenSSL 1.1.0a.
2275
2276    This issue was reported to OpenSSL by Robert Święcki.
2277    [CVE-2016-6309][]
2278
2279    *Matt Caswell*
2280
2281 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016] ###
2282
2283  * OCSP Status Request extension unbounded memory growth
2284
2285    A malicious client can send an excessively large OCSP Status Request
2286    extension. If that client continually requests renegotiation, sending a
2287    large OCSP Status Request extension each time, then there will be unbounded
2288    memory growth on the server. This will eventually lead to a Denial Of
2289    Service attack through memory exhaustion. Servers with a default
2290    configuration are vulnerable even if they do not support OCSP. Builds using
2291    the "no-ocsp" build time option are not affected.
2292
2293    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2294    [CVE-2016-6304][]
2295
2296    *Matt Caswell*
2297
2298  * SSL_peek() hang on empty record
2299
2300    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2301    sends an empty record. This could be exploited by a malicious peer in a
2302    Denial Of Service attack.
2303
2304    This issue was reported to OpenSSL by Alex Gaynor.
2305    [CVE-2016-6305][]
2306
2307    *Matt Caswell*
2308
2309  * Excessive allocation of memory in tls_get_message_header() and
2310    dtls1_preprocess_fragment()
2311
2312    A (D)TLS message includes 3 bytes for its length in the header for the
2313    message. This would allow for messages up to 16Mb in length. Messages of
2314    this length are excessive and OpenSSL includes a check to ensure that a
2315    peer is sending reasonably sized messages in order to avoid too much memory
2316    being consumed to service a connection. A flaw in the logic of version
2317    1.1.0 means that memory for the message is allocated too early, prior to
2318    the excessive message length check. Due to way memory is allocated in
2319    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2320    to service a connection. This could lead to a Denial of Service through
2321    memory exhaustion. However, the excessive message length check still takes
2322    place, and this would cause the connection to immediately fail. Assuming
2323    that the application calls SSL_free() on the failed connection in a timely
2324    manner then the 21Mb of allocated memory will then be immediately freed
2325    again. Therefore the excessive memory allocation will be transitory in
2326    nature. This then means that there is only a security impact if:
2327
2328    1) The application does not call SSL_free() in a timely manner in the event
2329    that the connection fails
2330    or
2331    2) The application is working in a constrained environment where there is
2332    very little free memory
2333    or
2334    3) The attacker initiates multiple connection attempts such that there are
2335    multiple connections in a state where memory has been allocated for the
2336    connection; SSL_free() has not yet been called; and there is insufficient
2337    memory to service the multiple requests.
2338
2339    Except in the instance of (1) above any Denial Of Service is likely to be
2340    transitory because as soon as the connection fails the memory is
2341    subsequently freed again in the SSL_free() call. However there is an
2342    increased risk during this period of application crashes due to the lack of
2343    memory - which would then mean a more serious Denial of Service.
2344
2345    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2346    (CVE-2016-6307 and CVE-2016-6308)
2347
2348    *Matt Caswell*
2349
2350  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2351    had to be removed. Primary reason is that vendor assembler can't
2352    assemble our modules with -KPIC flag. As result it, assembly
2353    support, was not even available as option. But its lack means
2354    lack of side-channel resistant code, which is incompatible with
2355    security by todays standards. Fortunately gcc is readily available
2356    prepackaged option, which we firmly point at...
2357
2358    *Andy Polyakov*
2359
2360 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016] ###
2361
2362  * Windows command-line tool supports UTF-8 opt-in option for arguments
2363    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2364    (to any value) allows Windows user to access PKCS#12 file generated
2365    with Windows CryptoAPI and protected with non-ASCII password, as well
2366    as files generated under UTF-8 locale on Linux also protected with
2367    non-ASCII password.
2368
2369    *Andy Polyakov*
2370
2371  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2372    have been disabled by default and removed from DEFAULT, just like RC4.
2373    See the RC4 item below to re-enable both.
2374
2375    *Rich Salz*
2376
2377  * The method for finding the storage location for the Windows RAND seed file
2378    has changed. First we check %RANDFILE%. If that is not set then we check
2379    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2380    all else fails we fall back to C:\.
2381
2382    *Matt Caswell*
2383
2384  * The EVP_EncryptUpdate() function has had its return type changed from void
2385    to int. A return of 0 indicates and error while a return of 1 indicates
2386    success.
2387
2388    *Matt Caswell*
2389
2390  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2391    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2392    off the constant time implementation for RSA, DSA and DH have been made
2393    no-ops and deprecated.
2394
2395    *Matt Caswell*
2396
2397  * Windows RAND implementation was simplified to only get entropy by
2398    calling CryptGenRandom(). Various other RAND-related tickets
2399    were also closed.
2400
2401    *Joseph Wylie Yandle, Rich Salz*
2402
2403  * The stack and lhash API's were renamed to start with OPENSSL_SK_
2404    and OPENSSL_LH_, respectively.  The old names are available
2405    with API compatibility.  They new names are now completely documented.
2406
2407    *Rich Salz*
2408
2409  * Unify TYPE_up_ref(obj) methods signature.
2410    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2411    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2412    int (instead of void) like all others TYPE_up_ref() methods.
2413    So now these methods also check the return value of CRYPTO_atomic_add(),
2414    and the validity of object reference counter.
2415
2416    *fdasilvayy@gmail.com*
2417
2418  * With Windows Visual Studio builds, the .pdb files are installed
2419    alongside the installed libraries and executables.  For a static
2420    library installation, ossl_static.pdb is the associate compiler
2421    generated .pdb file to be used when linking programs.
2422
2423    *Richard Levitte*
2424
2425  * Remove openssl.spec.  Packaging files belong with the packagers.
2426
2427    *Richard Levitte*
2428
2429  * Automatic Darwin/OSX configuration has had a refresh, it will now
2430    recognise x86_64 architectures automatically.  You can still decide
2431    to build for a different bitness with the environment variable
2432    KERNEL_BITS (can be 32 or 64), for example:
2433
2434            KERNEL_BITS=32 ./config
2435
2436    *Richard Levitte*
2437
2438  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2439    256 bit AES and HMAC with SHA256.
2440
2441    *Steve Henson*
2442
2443  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2444
2445    *Andy Polyakov*
2446
2447  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2448
2449    *Rich Salz*
2450
2451  * To enable users to have their own config files and build file templates,
2452    Configure looks in the directory indicated by the environment variable
2453    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2454    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2455    name and is used as is.
2456
2457    *Richard Levitte*
2458
2459  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2460    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2461    X509_CERT_FILE_CTX was removed.
2462
2463    *Rich Salz*
2464
2465  * "shared" builds are now the default. To create only static libraries use
2466    the "no-shared" Configure option.
2467
2468    *Matt Caswell*
2469
2470  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2471    All of these option have not worked for some while and are fundamental
2472    algorithms.
2473
2474    *Matt Caswell*
2475
2476  * Make various cleanup routines no-ops and mark them as deprecated. Most
2477    global cleanup functions are no longer required because they are handled
2478    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2479    Explicitly de-initing can cause problems (e.g. where a library that uses
2480    OpenSSL de-inits, but an application is still using it). The affected
2481    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2482    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2483    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2484    COMP_zlib_cleanup().
2485
2486    *Matt Caswell*
2487
2488  * --strict-warnings no longer enables runtime debugging options
2489    such as REF_DEBUG. Instead, debug options are automatically
2490    enabled with '--debug' builds.
2491
2492    *Andy Polyakov, Emilia Käsper*
2493
2494  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2495    have been moved out of the public header files. New functions for managing
2496    these have been added.
2497
2498    *Matt Caswell*
2499
2500  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2501    objects have been moved out of the public header files. New
2502    functions for managing these have been added.
2503
2504    *Richard Levitte*
2505
2506  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2507    have been moved out of the public header files. New functions for managing
2508    these have been added.
2509
2510    *Matt Caswell*
2511
2512  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2513    moved out of the public header files. New functions for managing these
2514    have been added.
2515
2516    *Matt Caswell*
2517
2518  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2519
2520    *Matt Caswell*
2521
2522  * Removed the mk1mf build scripts.
2523
2524    *Richard Levitte*
2525
2526  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2527    it is always safe to #include a header now.
2528
2529    *Rich Salz*
2530
2531  * Removed the aged BC-32 config and all its supporting scripts
2532
2533    *Richard Levitte*
2534
2535  * Removed support for Ultrix, Netware, and OS/2.
2536
2537    *Rich Salz*
2538
2539  * Add support for HKDF.
2540
2541    *Alessandro Ghedini*
2542
2543  * Add support for blake2b and blake2s
2544
2545    *Bill Cox*
2546
2547  * Added support for "pipelining". Ciphers that have the
2548    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2549    encryptions/decryptions simultaneously. There are currently no built-in
2550    ciphers with this property but the expectation is that engines will be able
2551    to offer it to significantly improve throughput. Support has been extended
2552    into libssl so that multiple records for a single connection can be
2553    processed in one go (for >=TLS 1.1).
2554
2555    *Matt Caswell*
2556
2557  * Added the AFALG engine. This is an async capable engine which is able to
2558    offload work to the Linux kernel. In this initial version it only supports
2559    AES128-CBC. The kernel must be version 4.1.0 or greater.
2560
2561    *Catriona Lucey*
2562
2563  * OpenSSL now uses a new threading API. It is no longer necessary to
2564    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2565    are two supported threading models: pthreads and windows threads. It is
2566    also possible to configure OpenSSL at compile time for "no-threads". The
2567    old threading API should no longer be used. The functions have been
2568    replaced with "no-op" compatibility macros.
2569
2570    *Alessandro Ghedini, Matt Caswell*
2571
2572  * Modify behavior of ALPN to invoke callback after SNI/servername
2573    callback, such that updates to the SSL_CTX affect ALPN.
2574
2575    *Todd Short*
2576
2577  * Add SSL_CIPHER queries for authentication and key-exchange.
2578
2579    *Todd Short*
2580
2581  * Changes to the DEFAULT cipherlist:
2582      - Prefer (EC)DHE handshakes over plain RSA.
2583      - Prefer AEAD ciphers over legacy ciphers.
2584      - Prefer ECDSA over RSA when both certificates are available.
2585      - Prefer TLSv1.2 ciphers/PRF.
2586      - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2587        default cipherlist.
2588
2589    *Emilia Käsper*
2590
2591  * Change the ECC default curve list to be this, in order: x25519,
2592    secp256r1, secp521r1, secp384r1.
2593
2594    *Rich Salz*
2595
2596  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2597    disabled by default. They can be re-enabled using the
2598    enable-weak-ssl-ciphers option to Configure.
2599
2600    *Matt Caswell*
2601
2602  * If the server has ALPN configured, but supports no protocols that the
2603    client advertises, send a fatal "no_application_protocol" alert.
2604    This behaviour is SHALL in RFC 7301, though it isn't universally
2605    implemented by other servers.
2606
2607    *Emilia Käsper*
2608
2609  * Add X25519 support.
2610    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2611    for public and private key encoding using the format documented in
2612    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2613    key generation and key derivation.
2614
2615    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2616    X25519(29).
2617
2618    *Steve Henson*
2619
2620  * Deprecate SRP_VBASE_get_by_user.
2621    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2622    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2623    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2624    seed, even if the seed is configured.
2625
2626    Users should use SRP_VBASE_get1_by_user instead. Note that in
2627    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2628    also that even though configuring the SRP seed attempts to hide
2629    invalid usernames by continuing the handshake with fake
2630    credentials, this behaviour is not constant time and no strong
2631    guarantees are made that the handshake is indistinguishable from
2632    that of a valid user.
2633
2634    *Emilia Käsper*
2635
2636  * Configuration change; it's now possible to build dynamic engines
2637    without having to build shared libraries and vice versa.  This
2638    only applies to the engines in engines/, those in crypto/engine/
2639    will always be built into libcrypto (i.e. "static").
2640
2641    Building dynamic engines is enabled by default; to disable, use
2642    the configuration option "disable-dynamic-engine".
2643
2644    The only requirements for building dynamic engines are the
2645    presence of the DSO module and building with position independent
2646    code, so they will also automatically be disabled if configuring
2647    with "disable-dso" or "disable-pic".
2648
2649    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2650    are also taken away from openssl/opensslconf.h, as they are
2651    irrelevant.
2652
2653    *Richard Levitte*
2654
2655  * Configuration change; if there is a known flag to compile
2656    position independent code, it will always be applied on the
2657    libcrypto and libssl object files, and never on the application
2658    object files.  This means other libraries that use routines from
2659    libcrypto / libssl can be made into shared libraries regardless
2660    of how OpenSSL was configured.
2661
2662    If this isn't desirable, the configuration options "disable-pic"
2663    or "no-pic" can be used to disable the use of PIC.  This will
2664    also disable building shared libraries and dynamic engines.
2665
2666    *Richard Levitte*
2667
2668  * Removed JPAKE code.  It was experimental and has no wide use.
2669
2670    *Rich Salz*
2671
2672  * The INSTALL_PREFIX Makefile variable has been renamed to
2673    DESTDIR.  That makes for less confusion on what this variable
2674    is for.  Also, the configuration option --install_prefix is
2675    removed.
2676
2677    *Richard Levitte*
2678
2679  * Heartbeat for TLS has been removed and is disabled by default
2680    for DTLS; configure with enable-heartbeats.  Code that uses the
2681    old #define's might need to be updated.
2682
2683    *Emilia Käsper, Rich Salz*
2684
2685  * Rename REF_CHECK to REF_DEBUG.
2686
2687    *Rich Salz*
2688
2689  * New "unified" build system
2690
2691    The "unified" build system is aimed to be a common system for all
2692    platforms we support.  With it comes new support for VMS.
2693
2694    This system builds supports building in a different directory tree
2695    than the source tree.  It produces one Makefile (for unix family
2696    or lookalikes), or one descrip.mms (for VMS).
2697
2698    The source of information to make the Makefile / descrip.mms is
2699    small files called 'build.info', holding the necessary
2700    information for each directory with source to compile, and a
2701    template in Configurations, like unix-Makefile.tmpl or
2702    descrip.mms.tmpl.
2703
2704    With this change, the library names were also renamed on Windows
2705    and on VMS.  They now have names that are closer to the standard
2706    on Unix, and include the major version number, and in certain
2707    cases, the architecture they are built for.  See "Notes on shared
2708    libraries" in INSTALL.
2709
2710    We rely heavily on the perl module Text::Template.
2711
2712    *Richard Levitte*
2713
2714  * Added support for auto-initialisation and de-initialisation of the library.
2715    OpenSSL no longer requires explicit init or deinit routines to be called,
2716    except in certain circumstances. See the OPENSSL_init_crypto() and
2717    OPENSSL_init_ssl() man pages for further information.
2718
2719    *Matt Caswell*
2720
2721  * The arguments to the DTLSv1_listen function have changed. Specifically the
2722    "peer" argument is now expected to be a BIO_ADDR object.
2723
2724  * Rewrite of BIO networking library. The BIO library lacked consistent
2725    support of IPv6, and adding it required some more extensive
2726    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2727    which hold all types of addresses and chains of address information.
2728    It also introduces a new API, with functions like BIO_socket,
2729    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2730    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2731    have been adapted accordingly.
2732
2733    *Richard Levitte*
2734
2735  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2736    the leading 0-byte.
2737
2738    *Emilia Käsper*
2739
2740  * CRIME protection: disable compression by default, even if OpenSSL is
2741    compiled with zlib enabled. Applications can still enable compression
2742    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2743    using the SSL_CONF library to configure compression.
2744
2745    *Emilia Käsper*
2746
2747  * The signature of the session callback configured with
2748    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2749    was explicitly marked as 'const unsigned char*' instead of
2750    'unsigned char*'.
2751
2752    *Emilia Käsper*
2753
2754  * Always DPURIFY. Remove the use of uninitialized memory in the
2755    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2756
2757    *Emilia Käsper*
2758
2759  * Removed many obsolete configuration items, including
2760       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2761       MD2_CHAR, MD2_INT, MD2_LONG
2762       BF_PTR, BF_PTR2
2763       IDEA_SHORT, IDEA_LONG
2764       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2765
2766    *Rich Salz, with advice from Andy Polyakov*
2767
2768  * Many BN internals have been moved to an internal header file.
2769
2770    *Rich Salz with help from Andy Polyakov*
2771
2772  * Configuration and writing out the results from it has changed.
2773    Files such as Makefile include/openssl/opensslconf.h and are now
2774    produced through general templates, such as Makefile.in and
2775    crypto/opensslconf.h.in and some help from the perl module
2776    Text::Template.
2777
2778    Also, the center of configuration information is no longer
2779    Makefile.  Instead, Configure produces a perl module in
2780    configdata.pm which holds most of the config data (in the hash
2781    table %config), the target data that comes from the target
2782    configuration in one of the Configurations/*.conf files (in
2783    %target).
2784
2785    *Richard Levitte*
2786
2787  * To clarify their intended purposes, the Configure options
2788    --prefix and --openssldir change their semantics, and become more
2789    straightforward and less interdependent.
2790
2791    --prefix shall be used exclusively to give the location INSTALLTOP
2792    where programs, scripts, libraries, include files and manuals are
2793    going to be installed.  The default is now /usr/local.
2794
2795    --openssldir shall be used exclusively to give the default
2796    location OPENSSLDIR where certificates, private keys, CRLs are
2797    managed.  This is also where the default openssl.cnf gets
2798    installed.
2799    If the directory given with this option is a relative path, the
2800    values of both the --prefix value and the --openssldir value will
2801    be combined to become OPENSSLDIR.
2802    The default for --openssldir is INSTALLTOP/ssl.
2803
2804    Anyone who uses --openssldir to specify where OpenSSL is to be
2805    installed MUST change to use --prefix instead.
2806
2807    *Richard Levitte*
2808
2809  * The GOST engine was out of date and therefore it has been removed. An up
2810    to date GOST engine is now being maintained in an external repository.
2811    See: https://wiki.openssl.org/index.php/Binaries. Libssl still retains
2812    support for GOST ciphersuites (these are only activated if a GOST engine
2813    is present).
2814
2815    *Matt Caswell*
2816
2817  * EGD is no longer supported by default; use enable-egd when
2818    configuring.
2819
2820    *Ben Kaduk and Rich Salz*
2821
2822  * The distribution now has Makefile.in files, which are used to
2823    create Makefile's when Configure is run.  *Configure must be run
2824    before trying to build now.*
2825
2826    *Rich Salz*
2827
2828  * The return value for SSL_CIPHER_description() for error conditions
2829    has changed.
2830
2831    *Rich Salz*
2832
2833  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2834
2835    Obtaining and performing DNSSEC validation of TLSA records is
2836    the application's responsibility.  The application provides
2837    the TLSA records of its choice to OpenSSL, and these are then
2838    used to authenticate the peer.
2839
2840    The TLSA records need not even come from DNS.  They can, for
2841    example, be used to implement local end-entity certificate or
2842    trust-anchor "pinning", where the "pin" data takes the form
2843    of TLSA records, which can augment or replace verification
2844    based on the usual WebPKI public certification authorities.
2845
2846    *Viktor Dukhovni*
2847
2848  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2849    continues to support deprecated interfaces in default builds.
2850    However, applications are strongly advised to compile their
2851    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2852    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2853    or the 1.1.0 releases.
2854
2855    In environments in which all applications have been ported to
2856    not use any deprecated interfaces OpenSSL's Configure script
2857    should be used with the --api=1.1.0 option to entirely remove
2858    support for the deprecated features from the library and
2859    unconditionally disable them in the installed headers.
2860    Essentially the same effect can be achieved with the "no-deprecated"
2861    argument to Configure, except that this will always restrict
2862    the build to just the latest API, rather than a fixed API
2863    version.
2864
2865    As applications are ported to future revisions of the API,
2866    they should update their compile-time OPENSSL_API_COMPAT define
2867    accordingly, but in most cases should be able to continue to
2868    compile with later releases.
2869
2870    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2871    0x10000000L and 0x00908000L, respectively.  However those
2872    versions did not support the OPENSSL_API_COMPAT feature, and
2873    so applications are not typically tested for explicit support
2874    of just the undeprecated features of either release.
2875
2876    *Viktor Dukhovni*
2877
2878  * Add support for setting the minimum and maximum supported protocol.
2879    It can bet set via the SSL_set_min_proto_version() and
2880    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2881    MaxProtocol.  It's recommended to use the new APIs to disable
2882    protocols instead of disabling individual protocols using
2883    SSL_set_options() or SSL_CONF's Protocol.  This change also
2884    removes support for disabling TLS 1.2 in the OpenSSL TLS
2885    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2886
2887    *Kurt Roeckx*
2888
2889  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2890
2891    *Andy Polyakov*
2892
2893  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2894    and integrates ECDSA and ECDH functionality into EC. Implementations can
2895    now redirect key generation and no longer need to convert to or from
2896    ECDSA_SIG format.
2897
2898    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2899    include the ec.h header file instead.
2900
2901    *Steve Henson*
2902
2903  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2904    ciphers who are no longer supported and drops support the ephemeral RSA key
2905    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2906
2907    *Kurt Roeckx*
2908
2909  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2910    opaque.  For HMAC_CTX, the following constructors and destructors
2911    were added:
2912
2913       HMAC_CTX *HMAC_CTX_new(void);
2914       void HMAC_CTX_free(HMAC_CTX *ctx);
2915
2916    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2917    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2918    EVP_CIPHER_meth_new(3) for documentation.
2919
2920    Additional changes:
2921    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2922       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2923       EVP_MD_CTX_reset() should be called instead to reinitialise
2924       an already created structure.
2925    2) For consistency with the majority of our object creators and
2926       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2927       EVP_MD_CTX_(new|free).  The old names are retained as macros
2928       for deprecated builds.
2929
2930    *Richard Levitte*
2931
2932  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2933    cryptographic operations to be performed asynchronously as long as an
2934    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2935    further details. Libssl has also had this capability integrated with the
2936    introduction of the new mode SSL_MODE_ASYNC and associated error
2937    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2938    pages. This work was developed in partnership with Intel Corp.
2939
2940    *Matt Caswell*
2941
2942  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2943    always enabled now.  If you want to disable the support you should
2944    exclude it using the list of supported ciphers. This also means that the
2945    "-no_ecdhe" option has been removed from s_server.
2946
2947    *Kurt Roeckx*
2948
2949  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
2950    SSL_{CTX_}set1_curves() which can set a list.
2951
2952    *Kurt Roeckx*
2953
2954  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
2955    curve you want to support using SSL_{CTX_}set1_curves().
2956
2957    *Kurt Roeckx*
2958
2959  * State machine rewrite. The state machine code has been significantly
2960    refactored in order to remove much duplication of code and solve issues
2961    with the old code (see ssl/statem/README for further details). This change
2962    does have some associated API changes. Notably the SSL_state() function
2963    has been removed and replaced by SSL_get_state which now returns an
2964    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
2965    altogether. The previous handshake states defined in ssl.h and ssl3.h have
2966    also been removed.
2967
2968    *Matt Caswell*
2969
2970  * All instances of the string "ssleay" in the public API were replaced
2971    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
2972    Some error codes related to internal RSA_eay API's were renamed.
2973
2974    *Rich Salz*
2975
2976  * The demo files in crypto/threads were moved to demo/threads.
2977
2978    *Rich Salz*
2979
2980  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
2981    sureware and ubsec.
2982
2983    *Matt Caswell, Rich Salz*
2984
2985  * New ASN.1 embed macro.
2986
2987    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
2988    structure is not allocated: it is part of the parent. That is instead of
2989
2990            FOO *x;
2991
2992    it must be:
2993
2994            FOO x;
2995
2996    This reduces memory fragmentation and make it impossible to accidentally
2997    set a mandatory field to NULL.
2998
2999    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3000    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3001    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3002    SEQUENCE OF.
3003
3004    *Steve Henson*
3005
3006  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3007
3008    *Emilia Käsper*
3009
3010  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3011    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3012    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3013    DES and RC4 ciphersuites.
3014
3015    *Matt Caswell*
3016
3017  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3018    This changes the decoding behaviour for some invalid messages,
3019    though the change is mostly in the more lenient direction, and
3020    legacy behaviour is preserved as much as possible.
3021
3022    *Emilia Käsper*
3023
3024  * Fix no-stdio build.
3025    * David Woodhouse <David.Woodhouse@intel.com> and also
3026     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3027
3028  * New testing framework
3029    The testing framework has been largely rewritten and is now using
3030    perl and the perl modules Test::Harness and an extended variant of
3031    Test::More called OpenSSL::Test to do its work.  All test scripts in
3032    test/ have been rewritten into test recipes, and all direct calls to
3033    executables in test/Makefile have become individual recipes using the
3034    simplified testing OpenSSL::Test::Simple.
3035
3036    For documentation on our testing modules, do:
3037
3038            perldoc test/testlib/OpenSSL/Test/Simple.pm
3039            perldoc test/testlib/OpenSSL/Test.pm
3040
3041    *Richard Levitte*
3042
3043  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3044    are used; the latter aborts on memory leaks (usually checked on exit).
3045    Some undocumented "set malloc, etc., hooks" functions were removed
3046    and others were changed.  All are now documented.
3047
3048    *Rich Salz*
3049
3050  * In DSA_generate_parameters_ex, if the provided seed is too short,
3051    return an error
3052
3053    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3054
3055  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3056    from RFC4279, RFC4785, RFC5487, RFC5489.
3057
3058    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3059    original RSA_PSK patch.
3060
3061    *Steve Henson*
3062
3063  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3064    era flag was never set throughout the codebase (only read). Also removed
3065    SSL3_FLAGS_POP_BUFFER which was only used if
3066    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3067
3068    *Matt Caswell*
3069
3070  * Changed the default name options in the "ca", "crl", "req" and "x509"
3071    to be "oneline" instead of "compat".
3072
3073    *Richard Levitte*
3074
3075  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3076    not aware of clients that still exhibit this bug, and the workaround
3077    hasn't been working properly for a while.
3078
3079    *Emilia Käsper*
3080
3081  * The return type of BIO_number_read() and BIO_number_written() as well as
3082    the corresponding num_read and num_write members in the BIO structure has
3083    changed from unsigned long to uint64_t. On platforms where an unsigned
3084    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3085    transferred.
3086
3087    *Matt Caswell*
3088
3089  * Given the pervasive nature of TLS extensions it is inadvisable to run
3090    OpenSSL without support for them. It also means that maintaining
3091    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3092    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3093
3094    *Matt Caswell*
3095
3096  * Removed support for the two export grade static DH ciphersuites
3097    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3098    were newly added (along with a number of other static DH ciphersuites) to
3099    1.0.2. However the two export ones have *never* worked since they were
3100    introduced. It seems strange in any case to be adding new export
3101    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3102
3103    *Matt Caswell*
3104
3105  * Version negotiation has been rewritten. In particular SSLv23_method(),
3106    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3107    and turned into macros which simply call the new preferred function names
3108    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3109    should use the new names instead. Also as part of this change the ssl23.h
3110    header file has been removed.
3111
3112    *Matt Caswell*
3113
3114  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3115    code and the associated standard is no longer considered fit-for-purpose.
3116
3117    *Matt Caswell*
3118
3119  * RT2547 was closed.  When generating a private key, try to make the
3120    output file readable only by the owner.  This behavior change might
3121    be noticeable when interacting with other software.
3122
3123  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3124    Added a test.
3125
3126    *Rich Salz*
3127
3128  * Added HTTP GET support to the ocsp command.
3129
3130    *Rich Salz*
3131
3132  * Changed default digest for the dgst and enc commands from MD5 to
3133    sha256
3134
3135    *Rich Salz*
3136
3137  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3138
3139    *Matt Caswell*
3140
3141  * Added support for TLS extended master secret from
3142    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3143    initial patch which was a great help during development.
3144
3145    *Steve Henson*
3146
3147  * All libssl internal structures have been removed from the public header
3148    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3149    now redundant). Users should not attempt to access internal structures
3150    directly. Instead they should use the provided API functions.
3151
3152    *Matt Caswell*
3153
3154  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3155    Access to deprecated functions can be re-enabled by running config with
3156    "enable-deprecated". In addition applications wishing to use deprecated
3157    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3158    will, by default, disable some transitive includes that previously existed
3159    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3160
3161    *Matt Caswell*
3162
3163  * Added support for OCB mode. OpenSSL has been granted a patent license
3164    compatible with the OpenSSL license for use of OCB. Details are available
3165    at https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf. Support
3166    for OCB can be removed by calling config with no-ocb.
3167
3168    *Matt Caswell*
3169
3170  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3171    compatible client hello.
3172
3173    *Kurt Roeckx*
3174
3175  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3176    done while fixing the error code for the key-too-small case.
3177
3178    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3179
3180  * CA.sh has been removed; use CA.pl instead.
3181
3182    *Rich Salz*
3183
3184  * Removed old DES API.
3185
3186    *Rich Salz*
3187
3188  * Remove various unsupported platforms:
3189       Sony NEWS4
3190       BEOS and BEOS_R5
3191       NeXT
3192       SUNOS
3193       MPE/iX
3194       Sinix/ReliantUNIX RM400
3195       DGUX
3196       NCR
3197       Tandem
3198       Cray
3199       16-bit platforms such as WIN16
3200
3201    *Rich Salz*
3202
3203  * Clean up OPENSSL_NO_xxx #define's
3204     - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3205     - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3206     - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3207     - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3208     - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3209     - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3210       OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3211       OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3212       OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3213     - Remove MS_STATIC; it's a relic from platforms <32 bits.
3214
3215    *Rich Salz*
3216
3217  * Cleaned up dead code
3218      Remove all but one '#ifdef undef' which is to be looked at.
3219
3220    *Rich Salz*
3221
3222  * Clean up calling of xxx_free routines.
3223       Just like free(), fix most of the xxx_free routines to accept
3224       NULL.  Remove the non-null checks from callers.  Save much code.
3225
3226    *Rich Salz*
3227
3228  * Add secure heap for storage of private keys (when possible).
3229    Add BIO_s_secmem(), CBIGNUM, etc.
3230    Contributed by Akamai Technologies under our Corporate CLA.
3231
3232    *Rich Salz*
3233
3234  * Experimental support for a new, fast, unbiased prime candidate generator,
3235    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3236
3237    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3238
3239  * New output format NSS in the sess_id command line tool. This allows
3240    exporting the session id and the master key in NSS keylog format.
3241
3242    *Martin Kaiser <martin@kaiser.cx>*
3243
3244  * Harmonize version and its documentation. -f flag is used to display
3245    compilation flags.
3246
3247    *mancha <mancha1@zoho.com>*
3248
3249  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3250    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3251
3252    *mancha <mancha1@zoho.com>*
3253
3254  * Fix some double frees. These are not thought to be exploitable.
3255
3256    *mancha <mancha1@zoho.com>*
3257
3258  * A missing bounds check in the handling of the TLS heartbeat extension
3259    can be used to reveal up to 64k of memory to a connected client or
3260    server.
3261
3262    Thanks for Neel Mehta of Google Security for discovering this bug and to
3263    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3264    preparing the fix [CVE-2014-0160][]
3265
3266    *Adam Langley, Bodo Moeller*
3267
3268  * Fix for the attack described in the paper "Recovering OpenSSL
3269    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3270    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3271    http://eprint.iacr.org/2014/140
3272
3273    Thanks to Yuval Yarom and Naomi Benger for discovering this
3274    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3275
3276    *Yuval Yarom and Naomi Benger*
3277
3278  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3279    this fixes a limitation in previous versions of OpenSSL.
3280
3281    *Steve Henson*
3282
3283  * Experimental encrypt-then-mac support.
3284
3285    Experimental support for encrypt then mac from
3286    draft-gutmann-tls-encrypt-then-mac-02.txt
3287
3288    To enable it set the appropriate extension number (0x42 for the test
3289    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3290
3291    For non-compliant peers (i.e. just about everything) this should have no
3292    effect.
3293
3294    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3295
3296
3297    *Steve Henson*
3298
3299  * Add EVP support for key wrapping algorithms, to avoid problems with
3300    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3301    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3302    algorithms and include tests cases.
3303
3304    *Steve Henson*
3305
3306  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3307    enveloped data.
3308
3309    *Steve Henson*
3310
3311  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3312    MGF1 digest and OAEP label.
3313
3314    *Steve Henson*
3315
3316  * Make openssl verify return errors.
3317
3318    *Chris Palmer <palmer@google.com> and Ben Laurie*
3319
3320  * New function ASN1_TIME_diff to calculate the difference between two
3321    ASN1_TIME structures or one structure and the current time.
3322
3323    *Steve Henson*
3324
3325  * Update fips_test_suite to support multiple command line options. New
3326    test to induce all self test errors in sequence and check expected
3327    failures.
3328
3329    *Steve Henson*
3330
3331  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3332    sign or verify all in one operation.
3333
3334    *Steve Henson*
3335
3336  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3337    test programs and fips_test_suite. Includes functionality to parse
3338    the minimal script output of fipsalgest.pl directly.
3339
3340    *Steve Henson*
3341
3342  * Add authorisation parameter to FIPS_module_mode_set().
3343
3344    *Steve Henson*
3345
3346  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3347
3348    *Steve Henson*
3349
3350  * Use separate DRBG fields for internal and external flags. New function
3351    FIPS_drbg_health_check() to perform on demand health checking. Add
3352    generation tests to fips_test_suite with reduced health check interval to
3353    demonstrate periodic health checking. Add "nodh" option to
3354    fips_test_suite to skip very slow DH test.
3355
3356    *Steve Henson*
3357
3358  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3359    based on NID.
3360
3361    *Steve Henson*
3362
3363  * More extensive health check for DRBG checking many more failure modes.
3364    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3365    combination: call this in fips_test_suite.
3366
3367    *Steve Henson*
3368
3369  * Add support for canonical generation of DSA parameter 'g'. See
3370    FIPS 186-3 A.2.3.
3371
3372  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3373    POST to handle HMAC cases.
3374
3375    *Steve Henson*
3376
3377  * Add functions FIPS_module_version() and FIPS_module_version_text()
3378    to return numerical and string versions of the FIPS module number.
3379
3380    *Steve Henson*
3381
3382  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3383    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3384    outside the validated module in the FIPS capable OpenSSL.
3385
3386    *Steve Henson*
3387
3388  * Minor change to DRBG entropy callback semantics. In some cases
3389    there is no multiple of the block length between min_len and
3390    max_len. Allow the callback to return more than max_len bytes
3391    of entropy but discard any extra: it is the callback's responsibility
3392    to ensure that the extra data discarded does not impact the
3393    requested amount of entropy.
3394
3395    *Steve Henson*
3396
3397  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3398    information in FIPS186-3, SP800-57 and SP800-131A.
3399
3400    *Steve Henson*
3401
3402  * CCM support via EVP. Interface is very similar to GCM case except we
3403    must supply all data in one chunk (i.e. no update, final) and the
3404    message length must be supplied if AAD is used. Add algorithm test
3405    support.
3406
3407    *Steve Henson*
3408
3409  * Initial version of POST overhaul. Add POST callback to allow the status
3410    of POST to be monitored and/or failures induced. Modify fips_test_suite
3411    to use callback. Always run all selftests even if one fails.
3412
3413    *Steve Henson*
3414
3415  * XTS support including algorithm test driver in the fips_gcmtest program.
3416    Note: this does increase the maximum key length from 32 to 64 bytes but
3417    there should be no binary compatibility issues as existing applications
3418    will never use XTS mode.
3419
3420    *Steve Henson*
3421
3422  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3423    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3424    performs algorithm blocking for unapproved PRNG types. Also do not
3425    set PRNG type in FIPS_mode_set(): leave this to the application.
3426    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3427    the standard OpenSSL PRNG: set additional data to a date time vector.
3428
3429    *Steve Henson*
3430
3431  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3432    This shouldn't present any incompatibility problems because applications
3433    shouldn't be using these directly and any that are will need to rethink
3434    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3435
3436    *Steve Henson*
3437
3438  * Extensive self tests and health checking required by SP800-90 DRBG.
3439    Remove strength parameter from FIPS_drbg_instantiate and always
3440    instantiate at maximum supported strength.
3441
3442    *Steve Henson*
3443
3444  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3445
3446    *Steve Henson*
3447
3448  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3449
3450    *Steve Henson*
3451
3452  * New function DH_compute_key_padded() to compute a DH key and pad with
3453    leading zeroes if needed: this complies with SP800-56A et al.
3454
3455    *Steve Henson*
3456
3457  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3458    anything, incomplete, subject to change and largely untested at present.
3459
3460    *Steve Henson*
3461
3462  * Modify fipscanisteronly build option to only build the necessary object
3463    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3464
3465    *Steve Henson*
3466
3467  * Add experimental option FIPSSYMS to give all symbols in
3468    fipscanister.o and FIPS or fips prefix. This will avoid
3469    conflicts with future versions of OpenSSL. Add perl script
3470    util/fipsas.pl to preprocess assembly language source files
3471    and rename any affected symbols.
3472
3473    *Steve Henson*
3474
3475  * Add selftest checks and algorithm block of non-fips algorithms in
3476    FIPS mode. Remove DES2 from selftests.
3477
3478    *Steve Henson*
3479
3480  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3481    return internal method without any ENGINE dependencies. Add new
3482    tiny fips sign and verify functions.
3483
3484    *Steve Henson*
3485
3486  * New build option no-ec2m to disable characteristic 2 code.
3487
3488    *Steve Henson*
3489
3490  * New build option "fipscanisteronly". This only builds fipscanister.o
3491    and (currently) associated fips utilities. Uses the file Makefile.fips
3492    instead of Makefile.org as the prototype.
3493
3494    *Steve Henson*
3495
3496  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3497    Update fips_gcmtest to use IV generator.
3498
3499    *Steve Henson*
3500
3501  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3502    setting output buffer to NULL. The *Final function must be
3503    called although it will not retrieve any additional data. The tag
3504    can be set or retrieved with a ctrl. The IV length is by default 12
3505    bytes (96 bits) but can be set to an alternative value. If the IV
3506    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3507    set before the key.
3508
3509    *Steve Henson*
3510
3511  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3512    underlying do_cipher function handles all cipher semantics itself
3513    including padding and finalisation. This is useful if (for example)
3514    an ENGINE cipher handles block padding itself. The behaviour of
3515    do_cipher is subtly changed if this flag is set: the return value
3516    is the number of characters written to the output buffer (zero is
3517    no longer an error code) or a negative error code. Also if the
3518    input buffer is NULL and length 0 finalisation should be performed.
3519
3520    *Steve Henson*
3521
3522  * If a candidate issuer certificate is already part of the constructed
3523    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3524
3525    *Steve Henson*
3526
3527  * Improve forward-security support: add functions
3528
3529            void SSL_CTX_set_not_resumable_session_callback(
3530                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3531            void SSL_set_not_resumable_session_callback(
3532                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3533
3534    for use by SSL/TLS servers; the callback function will be called whenever a
3535    new session is created, and gets to decide whether the session may be
3536    cached to make it resumable (return 0) or not (return 1).  (As by the
3537    SSL/TLS protocol specifications, the session_id sent by the server will be
3538    empty to indicate that the session is not resumable; also, the server will
3539    not generate RFC 4507 (RFC 5077) session tickets.)
3540
3541    A simple reasonable callback implementation is to return is_forward_secure.
3542    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3543    by the SSL/TLS server library, indicating whether it can provide forward
3544    security.
3545
3546    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3547
3548  * New -verify_name option in command line utilities to set verification
3549    parameters by name.
3550
3551    *Steve Henson*
3552
3553  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3554    Add CMAC pkey methods.
3555
3556    *Steve Henson*
3557
3558  * Experimental renegotiation in s_server -www mode. If the client
3559    browses /reneg connection is renegotiated. If /renegcert it is
3560    renegotiated requesting a certificate.
3561
3562    *Steve Henson*
3563
3564  * Add an "external" session cache for debugging purposes to s_server. This
3565    should help trace issues which normally are only apparent in deployed
3566    multi-process servers.
3567
3568    *Steve Henson*
3569
3570  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3571    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3572    BIO_set_cipher() and some obscure PEM functions were changed so they
3573    can now return an error. The RAND changes required a change to the
3574    RAND_METHOD structure.
3575
3576    *Steve Henson*
3577
3578  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3579    a gcc attribute to warn if the result of a function is ignored. This
3580    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3581    whose return value is often ignored.
3582
3583    *Steve Henson*
3584
3585  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3586    These allow SCTs (signed certificate timestamps) to be requested and
3587    validated when establishing a connection.
3588
3589    *Rob Percival <robpercival@google.com>*
3590
3591 OpenSSL 1.0.2
3592 -------------
3593
3594 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019] ###
3595
3596  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3597    used even when parsing explicit parameters, when loading a serialized key
3598    or calling `EC_GROUP_new_from_ecpkparameters()`/
3599    `EC_GROUP_new_from_ecparameters()`.
3600    This prevents bypass of security hardening and performance gains,
3601    especially for curves with specialized EC_METHODs.
3602    By default, if a key encoded with explicit parameters is loaded and later
3603    serialized, the output is still encoded with explicit parameters, even if
3604    internally a "named" EC_GROUP is used for computation.
3605
3606    *Nicola Tuveri*
3607
3608  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3609    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3610    NULL. After this change, only the cofactor parameter can be NULL. It also
3611    does some minimal sanity checks on the passed order.
3612    [CVE-2019-1547][]
3613
3614    *Billy Bob Brumley*
3615
3616  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3617    An attack is simple, if the first CMS_recipientInfo is valid but the
3618    second CMS_recipientInfo is chosen ciphertext. If the second
3619    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3620    encryption key will be replaced by garbage, and the message cannot be
3621    decoded, but if the RSA decryption fails, the correct encryption key is
3622    used and the recipient will not notice the attack.
3623    As a work around for this potential attack the length of the decrypted
3624    key must be equal to the cipher default key length, in case the
3625    certifiate is not given and all recipientInfo are tried out.
3626    The old behaviour can be re-enabled in the CMS code by setting the
3627    CMS_DEBUG_DECRYPT flag.
3628    [CVE-2019-1563][]
3629
3630    *Bernd Edlinger*
3631
3632  * Document issue with installation paths in diverse Windows builds
3633
3634    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3635    binaries and run-time config file.
3636    [CVE-2019-1552][]
3637
3638    *Richard Levitte*
3639
3640 ### Changes between 1.0.2r and 1.0.2s [28 May 2019] ###
3641
3642  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3643    This changes the size when using the genpkey app when no size is given. It
3644    fixes an omission in earlier changes that changed all RSA, DSA and DH
3645    generation apps to use 2048 bits by default.
3646
3647    *Kurt Roeckx*
3648
3649  * Add FIPS support for Android Arm 64-bit
3650
3651    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3652    Module in Version 2.0.10. For some reason, the corresponding target
3653    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3654    built with FIPS support on Android Arm 64-bit. This omission has been
3655    fixed.
3656
3657    *Matthias St. Pierre*
3658
3659 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019] ###
3660
3661  * 0-byte record padding oracle
3662
3663    If an application encounters a fatal protocol error and then calls
3664    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3665    then OpenSSL can respond differently to the calling application if a 0 byte
3666    record is received with invalid padding compared to if a 0 byte record is
3667    received with an invalid MAC. If the application then behaves differently
3668    based on that in a way that is detectable to the remote peer, then this
3669    amounts to a padding oracle that could be used to decrypt data.
3670
3671    In order for this to be exploitable "non-stitched" ciphersuites must be in
3672    use. Stitched ciphersuites are optimised implementations of certain
3673    commonly used ciphersuites. Also the application must call SSL_shutdown()
3674    twice even if a protocol error has occurred (applications should not do
3675    this but some do anyway).
3676
3677    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3678    Aviram, with additional investigation by Steven Collison and Andrew
3679    Hourselt. It was reported to OpenSSL on 10th December 2018.
3680    [CVE-2019-1559][]
3681
3682    *Matt Caswell*
3683
3684  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3685
3686    *Richard Levitte*
3687
3688 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018] ###
3689
3690  * Microarchitecture timing vulnerability in ECC scalar multiplication
3691
3692    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3693    shown to be vulnerable to a microarchitecture timing side channel attack.
3694    An attacker with sufficient access to mount local timing attacks during
3695    ECDSA signature generation could recover the private key.
3696
3697    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3698    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3699    Nicola Tuveri.
3700    [CVE-2018-5407][]
3701
3702    *Billy Brumley*
3703
3704  * Timing vulnerability in DSA signature generation
3705
3706    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3707    timing side channel attack. An attacker could use variations in the signing
3708    algorithm to recover the private key.
3709
3710    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3711    [CVE-2018-0734][]
3712
3713    *Paul Dale*
3714
3715  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3716    Module, accidentally introduced while backporting security fixes from the
3717    development branch and hindering the use of ECC in FIPS mode.
3718
3719    *Nicola Tuveri*
3720
3721 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018] ###
3722
3723  * Client DoS due to large DH parameter
3724
3725    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3726    malicious server can send a very large prime value to the client. This will
3727    cause the client to spend an unreasonably long period of time generating a
3728    key for this prime resulting in a hang until the client has finished. This
3729    could be exploited in a Denial Of Service attack.
3730
3731    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3732    [CVE-2018-0732][]
3733
3734    *Guido Vranken*
3735
3736  * Cache timing vulnerability in RSA Key Generation
3737
3738    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3739    a cache timing side channel attack. An attacker with sufficient access to
3740    mount cache timing attacks during the RSA key generation process could
3741    recover the private key.
3742
3743    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3744    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3745    [CVE-2018-0737][]
3746
3747    *Billy Brumley*
3748
3749  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3750    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3751    pem_str is reserved for alias entries only.
3752
3753    *Richard Levitte*
3754
3755  * Revert blinding in ECDSA sign and instead make problematic addition
3756    length-invariant. Switch even to fixed-length Montgomery multiplication.
3757
3758    *Andy Polyakov*
3759
3760  * Change generating and checking of primes so that the error rate of not
3761    being prime depends on the intended use based on the size of the input.
3762    For larger primes this will result in more rounds of Miller-Rabin.
3763    The maximal error rate for primes with more than 1080 bits is lowered
3764    to 2^-128.
3765
3766    *Kurt Roeckx, Annie Yousar*
3767
3768  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3769
3770    *Kurt Roeckx*
3771
3772  * Add blinding to ECDSA and DSA signatures to protect against side channel
3773    attacks discovered by Keegan Ryan (NCC Group).
3774
3775    *Matt Caswell*
3776
3777  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3778    now allow empty (zero character) pass phrases.
3779
3780    *Richard Levitte*
3781
3782  * Certificate time validation (X509_cmp_time) enforces stricter
3783    compliance with RFC 5280. Fractional seconds and timezone offsets
3784    are no longer allowed.
3785
3786    *Emilia Käsper*
3787
3788 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018] ###
3789
3790  * Constructed ASN.1 types with a recursive definition could exceed the stack
3791
3792    Constructed ASN.1 types with a recursive definition (such as can be found
3793    in PKCS7) could eventually exceed the stack given malicious input with
3794    excessive recursion. This could result in a Denial Of Service attack. There
3795    are no such structures used within SSL/TLS that come from untrusted sources
3796    so this is considered safe.
3797
3798    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3799    project.
3800    [CVE-2018-0739][]
3801
3802    *Matt Caswell*
3803
3804 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017] ###
3805
3806  * Read/write after SSL object in error state
3807
3808    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3809    mechanism. The intent was that if a fatal error occurred during a handshake
3810    then OpenSSL would move into the error state and would immediately fail if
3811    you attempted to continue the handshake. This works as designed for the
3812    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3813    SSL_connect()), however due to a bug it does not work correctly if
3814    SSL_read() or SSL_write() is called directly. In that scenario, if the
3815    handshake fails then a fatal error will be returned in the initial function
3816    call. If SSL_read()/SSL_write() is subsequently called by the application
3817    for the same SSL object then it will succeed and the data is passed without
3818    being decrypted/encrypted directly from the SSL/TLS record layer.
3819
3820    In order to exploit this issue an application bug would have to be present
3821    that resulted in a call to SSL_read()/SSL_write() being issued after having
3822    already received a fatal error.
3823
3824    This issue was reported to OpenSSL by David Benjamin (Google).
3825    [CVE-2017-3737][]
3826
3827    *Matt Caswell*
3828
3829  * rsaz_1024_mul_avx2 overflow bug on x86_64
3830
3831    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3832    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3833    Analysis suggests that attacks against RSA and DSA as a result of this
3834    defect would be very difficult to perform and are not believed likely.
3835    Attacks against DH1024 are considered just feasible, because most of the
3836    work necessary to deduce information about a private key may be performed
3837    offline. The amount of resources required for such an attack would be
3838    significant. However, for an attack on TLS to be meaningful, the server
3839    would have to share the DH1024 private key among multiple clients, which is
3840    no longer an option since CVE-2016-0701.
3841
3842    This only affects processors that support the AVX2 but not ADX extensions
3843    like Intel Haswell (4th generation).
3844
3845    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3846    was originally found via the OSS-Fuzz project.
3847    [CVE-2017-3738][]
3848
3849    *Andy Polyakov*
3850
3851 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017] ###
3852
3853  * bn_sqrx8x_internal carry bug on x86_64
3854
3855    There is a carry propagating bug in the x86_64 Montgomery squaring
3856    procedure. No EC algorithms are affected. Analysis suggests that attacks
3857    against RSA and DSA as a result of this defect would be very difficult to
3858    perform and are not believed likely. Attacks against DH are considered just
3859    feasible (although very difficult) because most of the work necessary to
3860    deduce information about a private key may be performed offline. The amount
3861    of resources required for such an attack would be very significant and
3862    likely only accessible to a limited number of attackers. An attacker would
3863    additionally need online access to an unpatched system using the target
3864    private key in a scenario with persistent DH parameters and a private
3865    key that is shared between multiple clients.
3866
3867    This only affects processors that support the BMI1, BMI2 and ADX extensions
3868    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3869
3870    This issue was reported to OpenSSL by the OSS-Fuzz project.
3871    [CVE-2017-3736][]
3872
3873    *Andy Polyakov*
3874
3875  * Malformed X.509 IPAddressFamily could cause OOB read
3876
3877    If an X.509 certificate has a malformed IPAddressFamily extension,
3878    OpenSSL could do a one-byte buffer overread. The most likely result
3879    would be an erroneous display of the certificate in text format.
3880
3881    This issue was reported to OpenSSL by the OSS-Fuzz project.
3882    [CVE-2017-3735][]
3883
3884    *Rich Salz*
3885
3886 ### Changes between 1.0.2k and 1.0.2l [25 May 2017] ###
3887
3888  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3889    platform rather than 'mingw'.
3890
3891    *Richard Levitte*
3892
3893 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017] ###
3894
3895  * Truncated packet could crash via OOB read