c552e9a0a8db35fb380ad39f0c512ae3bcb0da5f
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10
11 OpenSSL Releases
12 ----------------
13
14  - [OpenSSL 3.0](#openssl-30)
15  - [OpenSSL 1.1.1](#openssl-111)
16  - [OpenSSL 1.1.0](#openssl-110)
17  - [OpenSSL 1.0.2](#openssl-102)
18  - [OpenSSL 1.0.1](#openssl-101)
19  - [OpenSSL 1.0.0](#openssl-100)
20  - [OpenSSL 0.9.x](#openssl-09x)
21
22 OpenSSL 3.0
23 -----------
24
25 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx] ###
26
27  * `ASN1_verify()`, `ASN1_digest()` and `ASN1_sign()` have been deprecated.
28    They are old functions that we don't use, and that you could disable with
29    the macro `NO_ASN1_OLD`.  This goes all the way back to OpenSSL 0.9.7.
30
31    *Richard Levitte*
32
33  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
34    have been converted to Markdown with the goal to produce documents
35    which not only look pretty when viewed online in the browser, but
36    remain well readable inside a plain text editor.
37
38    To achieve this goal, a 'minimalistic' Markdown style has been applied
39    which avoids formatting elements that interfere too much with the
40    reading flow in the text file. For example, it
41
42    * avoids [ATX headings][] and uses [setext headings][] instead
43      (which works for `<h1>` and `<h2>` headings only).
44    * avoids [inline links][] and uses [reference links][] instead.
45    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
46
47      [ATX headings]:         https://github.github.com/gfm/#atx-headings
48      [setext headings]:      https://github.github.com/gfm/#setext-headings
49      [inline links]:         https://github.github.com/gfm/#inline-link
50      [reference links]:      https://github.github.com/gfm/#reference-link
51      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
52      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
53
54    *Matthias St. Pierre*
55
56
57  * The test suite is changed to preserve results of each test recipe.
58    A new directory test-runs/ with subdirectories named like the
59    test recipes are created in the build tree for this purpose.
60
61    *Richard Levitte*
62
63  * The command line utilities ecparam and ec have been deprecated.  Instead
64    use the pkeyparam, pkey and genpkey programs.
65
66    *Paul Dale*
67
68  * All of the low level RSA functions have been deprecated including:
69
70    RSA_new_method, RSA_bits, RSA_size, RSA_security_bits,
71    RSA_get0_pss_params, RSA_get_version, RSA_get0_engine,
72    RSA_generate_key_ex, RSA_generate_multi_prime_key,
73    RSA_X931_derive_ex, RSA_X931_generate_key_ex, RSA_check_key,
74    RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
75    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
76    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
77    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
78    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING,
79    RSA_blinding_on, RSA_blinding_off, RSA_setup_blinding,
80    RSA_padding_add_PKCS1_type_1, RSA_padding_check_PKCS1_type_1,
81    RSA_padding_add_PKCS1_type_2, RSA_padding_check_PKCS1_type_2,
82    PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP, RSA_padding_check_PKCS1_OAEP,
83    RSA_padding_add_PKCS1_OAEP_mgf1, RSA_padding_check_PKCS1_OAEP_mgf1,
84    RSA_padding_add_SSLv23, RSA_padding_check_SSLv23,
85    RSA_padding_add_none, RSA_padding_check_none, RSA_padding_add_X931,
86    RSA_padding_check_X931, RSA_X931_hash_id, RSA_verify_PKCS1_PSS,
87    RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
88    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
89    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
90    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
91    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
92    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
93    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
94    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
95    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
96    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
97    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
98    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
99    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
100
101    Use of these low level functions has been informally discouraged for a long
102    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
103    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
104    L<EVP_PKEY_decrypt(3)>.
105
106    *Paul Dale*
107
108  * X509 certificates signed using SHA1 are no longer allowed at security
109    level 1 and above.
110    In TLS/SSL the default security level is 1. It can be set either
111    using the cipher string with @SECLEVEL, or calling
112    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
113    a call to SSL_CTX_use_certificate() will fail if the security level is not
114    lowered first.
115    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
116    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
117    options of the apps.
118
119    *Kurt Roeckx*
120
121  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
122    deprecated.  Instead use the pkeyparam, pkey, genpkey and pkeyparam
123    programs respectively.
124
125    *Paul Dale*
126
127  * All of the low level DH functions have been deprecated including:
128
129    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
130    DH_new_method, DH_bits, DH_size, DH_security_bits, DH_get_ex_new_index,
131    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
132    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
133    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
134    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
135    DH_KDF_X9_42, DH_get0_engine, DH_get_length, DH_set_length, DH_meth_new,
136    DH_meth_free, DH_meth_dup, DH_meth_get0_name, DH_meth_set1_name,
137    DH_meth_get_flags, DH_meth_set_flags, DH_meth_get0_app_data,
138    DH_meth_set0_app_data, DH_meth_get_generate_key,
139    DH_meth_set_generate_key, DH_meth_get_compute_key,
140    DH_meth_set_compute_key, DH_meth_get_bn_mod_exp,
141    DH_meth_set_bn_mod_exp, DH_meth_get_init, DH_meth_set_init,
142    DH_meth_get_finish, DH_meth_set_finish, DH_meth_get_generate_params
143    and DH_meth_set_generate_params.
144
145    Use of these low level functions has been informally discouraged for a long
146    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
147    and L<EVP_PKEY_derive(3)>.
148
149    *Paul Dale*
150
151  * All of the low level DSA functions have been deprecated including:
152
153    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
154    DSA_get_default_method, DSA_set_method, DSA_get_method, DSA_new_method,
155    DSA_sign_setup, DSA_sign, DSA_verify, DSA_get_ex_new_index,
156    DSA_set_ex_data, DSA_get_ex_data, DSA_generate_parameters_ex,
157    DSA_generate_key, DSA_meth_new, DSA_get0_engine, DSA_meth_free,
158    DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name, DSA_meth_get_flags,
159    DSA_meth_set_flags, DSA_meth_get0_app_data, DSA_meth_set0_app_data,
160    DSA_meth_get_sign, DSA_meth_set_sign, DSA_meth_get_sign_setup,
161    DSA_meth_set_sign_setup, DSA_meth_get_verify, DSA_meth_set_verify,
162    DSA_meth_get_mod_exp, DSA_meth_set_mod_exp, DSA_meth_get_bn_mod_exp,
163    DSA_meth_set_bn_mod_exp, DSA_meth_get_init, DSA_meth_set_init,
164    DSA_meth_get_finish, DSA_meth_set_finish, DSA_meth_get_paramgen,
165    DSA_meth_set_paramgen, DSA_meth_get_keygen and DSA_meth_set_keygen.
166
167    Use of these low level functions has been informally discouraged for a long
168    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
169    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
170
171    *Paul Dale*
172
173  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
174    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
175    This means that applications don't have to look at the curve NID and
176    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
177    However, they still can, that EVP_PKEY_set_alias_type() call acts as
178    a no-op when the EVP_PKEY is already of the given type.
179
180    Parameter and key generation is also reworked to make it possible
181    to generate EVP_PKEY_SM2 parameters and keys without having to go
182    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
183    However, code that does the latter will still work as before.
184
185    *Richard Levitte*
186
187  * Deprecated low level ECDH and ECDSA functions.  These include:
188
189    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
190    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
191    ECDSA_size.
192
193    Use of these low level functions has been informally discouraged for a long
194    time.  Instead applications should use the EVP_PKEY_derive(3),
195    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
196
197    *Paul Dale*
198
199  * Deprecated the EC_KEY_METHOD functions.  These include:
200
201    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
202    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
203    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
204    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
205    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
206    EC_KEY_METHOD_get_verify.
207
208    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
209
210    *Paul Dale*
211
212  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
213    and EVP_PKEY_decrypt() instead.
214    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
215    and EVP_PKEY_encrypt() instead.
216
217    *Richard Levitte*
218
219  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
220    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
221    a new formulation to include all the things it can be used for,
222    as well as words of caution.
223
224    *Richard Levitte*
225
226  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
227    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
228
229    *Paul Dale*
230
231  * All of the low level HMAC functions have been deprecated including:
232
233    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
234    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
235    and HMAC_CTX_get_md.
236
237    Use of these low level functions has been informally discouraged for a long
238    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
239    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
240    and L<EVP_MAC_final(3)>.
241
242    *Paul Dale*
243
244  * Over two thousand fixes were made to the documentation, including:
245    - Common options (such as -rand/-writerand, TLS version control, etc)
246      were refactored and point to newly-enhanced descriptions in openssl.pod.
247    - Added style conformance for all options (with help from Richard Levitte),
248      documented all reported missing options, added a CI build to check
249      that all options are documented and that no unimplemented options
250      are documented.
251    - Documented some internals, such as all use of environment variables.
252    - Addressed all internal broken L<> references.
253
254    *Rich Salz*
255
256  * All of the low level CMAC functions have been deprecated including:
257
258    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
259    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
260
261    Use of these low level functions has been informally discouraged for a long
262    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
263    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
264    and L<EVP_MAC_final(3)>.
265
266    *Paul Dale*
267
268  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
269    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
270    These include:
271
272    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
273    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
274    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
275    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
276    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
277    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
278    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
279    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
280    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
281    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
282
283    Use of these low level functions has been informally discouraged
284    for a long time.  Applications should use the EVP_DigestInit_ex(3),
285    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
286
287    *Paul Dale*
288
289  * Corrected the documentation of the return values from the EVP_DigestSign*
290    set of functions.  The documentation mentioned negative values for some
291    errors, but this was never the case, so the mention of negative values
292    was removed.
293
294    Code that followed the documentation and thereby check with something
295    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
296
297    *Richard Levitte*
298
299  * All of the low level cipher functions have been deprecated including:
300
301    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
302    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
303    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
304    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
305    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
306    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
307    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
308    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
309    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
310    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
311    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
312    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
313    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
314    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
315    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
316    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
317    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
318    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
319    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
320    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
321    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
322    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
323    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
324    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
325    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
326    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
327    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
328    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
329    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
330
331    Use of these low level functions has been informally discouraged for
332    a long time. Applications should use the high level EVP APIs, e.g.
333    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
334    equivalently named decrypt functions instead.
335
336    *Matt Caswell and Paul Dale*
337
338  * Removed include/openssl/opensslconf.h.in and replaced it with
339    include/openssl/configuration.h.in, which differs in not including
340    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
341    was added to include both.
342
343    This allows internal hacks where one might need to modify the set
344    of configured macros, for example this if deprecated symbols are
345    still supposed to be available internally:
346
347        #include <openssl/configuration.h>
348
349        #undef OPENSSL_NO_DEPRECATED
350        #define OPENSSL_SUPPRESS_DEPRECATED
351
352        #include <openssl/macros.h>
353
354    This should not be used by applications that use the exported
355    symbols, as that will lead to linking errors.
356
357    *Richard Levitte*
358
359  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
360    used in exponentiation with 512-bit moduli. No EC algorithms are
361    affected. Analysis suggests that attacks against 2-prime RSA1024,
362    3-prime RSA1536, and DSA1024 as a result of this defect would be very
363    difficult to perform and are not believed likely. Attacks against DH512
364    are considered just feasible. However, for an attack the target would
365    have to re-use the DH512 private key, which is not recommended anyway.
366    Also applications directly using the low level API BN_mod_exp may be
367    affected if they use BN_FLG_CONSTTIME.
368    [CVE-2019-1551][]
369
370    *Andy Polyakov*
371
372  * Most memory-debug features have been deprecated, and the functionality
373    replaced with no-ops.
374
375    *Rich Salz*
376
377  * Introduced a new method type and API, OSSL_SERIALIZER, to
378    represent generic serializers.  An implementation is expected to
379    be able to serialize an object associated with a given name (such
380    as an algorithm name for an asymmetric key) into forms given by
381    implementation properties.
382
383    Serializers are primarily used from inside libcrypto, through
384    calls to functions like EVP_PKEY_print_private(),
385    PEM_write_bio_PrivateKey() and similar.
386
387    Serializers are specified in such a way that they can be made to
388    directly handle the provider side portion of an object, if this
389    provider side part comes from the same provider as the serializer
390    itself, but can also be made to handle objects in parametrized
391    form (as an OSSL_PARAM array of data).  This allows a provider to
392    offer generic serializers as a service for any other provider.
393
394    *Richard Levitte*
395
396  * Added a .pragma directive to the syntax of configuration files, to
397    allow varying behavior in a supported and predictable manner.
398    Currently added pragma:
399
400            .pragma dollarid:on
401
402    This allows dollar signs to be a keyword character unless it's
403    followed by a opening brace or parenthesis.  This is useful for
404    platforms where dollar signs are commonly used in names, such as
405    volume names and system directory names on VMS.
406
407    *Richard Levitte*
408
409  * Added functionality to create an EVP_PKEY from user data.  This
410    is effectively the same as creating a RSA, DH or DSA object and
411    then assigning them to an EVP_PKEY, but directly using algorithm
412    agnostic EVP functions.  A benefit is that this should be future
413    proof for public key algorithms to come.
414
415    *Richard Levitte*
416
417  * Change the interpretation of the '--api' configuration option to
418    mean that this is a desired API compatibility level with no
419    further meaning.  The previous interpretation, that this would
420    also mean to remove all deprecated symbols up to and including
421    the given version, no requires that 'no-deprecated' is also used
422    in the configuration.
423
424    When building applications, the desired API compatibility level
425    can be set with the OPENSSL_API_COMPAT macro like before.  For
426    API compatibility version below 3.0, the old style numerical
427    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
428    For version 3.0 and on, the value is expected to be the decimal
429    value calculated from the major and minor version like this:
430
431            MAJOR * 10000 + MINOR * 100
432
433    Examples:
434
435            -DOPENSSL_API_COMPAT=30000             For 3.0
436            -DOPENSSL_API_COMPAT=30200             For 3.2
437
438    To hide declarations that are deprecated up to and including the
439    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
440    given when building the application as well.
441
442    *Richard Levitte*
443
444  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
445    access to certificate and CRL stores via URIs and OSSL_STORE
446    loaders.
447
448    This adds the following functions:
449
450    - X509_LOOKUP_store()
451    - X509_STORE_load_file()
452    - X509_STORE_load_path()
453    - X509_STORE_load_store()
454    - SSL_add_store_cert_subjects_to_stack()
455    - SSL_CTX_set_default_verify_store()
456    - SSL_CTX_load_verify_file()
457    - SSL_CTX_load_verify_dir()
458    - SSL_CTX_load_verify_store()
459
460    Also, the following functions are now deprecated:
461
462    - X509_STORE_load_locations() (use X509_STORE_load_file(),
463      X509_STORE_load_path() or X509_STORE_load_store() instead)
464    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
465      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
466
467    *Richard Levitte*
468
469  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
470    The presence of this system service is determined at run-time.
471
472    *Richard Levitte*
473
474  * Added functionality to create an EVP_PKEY context based on data
475    for methods from providers.  This takes an algorithm name and a
476    property query string and simply stores them, with the intent
477    that any operation that uses this context will use those strings
478    to fetch the needed methods implicitly, thereby making the port
479    of application written for pre-3.0 OpenSSL easier.
480
481    *Richard Levitte*
482
483  * The undocumented function NCONF_WIN32() has been deprecated; for
484    conversion details see the HISTORY section of doc/man5/config.pod
485
486    *Rich Salz*
487
488  * Introduced the new functions EVP_DigestSignInit_ex() and
489    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
490    EVP_DigestVerifyUpdate() have been converted to functions. See the man
491    pages for further details.
492
493    *Matt Caswell*
494
495  * Over two thousand fixes were made to the documentation, including:
496    adding missing command flags, better style conformance, documentation
497    of internals, etc.
498
499    *Rich Salz, Richard Levitte*
500
501  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
502    X25519, X448, Ed25519 and Ed448.
503
504    *Patrick Steuer*
505
506  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
507    the first value.
508
509    *Jon Spillett*
510
511  * Deprecated the public definition of ERR_STATE as well as the function
512    ERR_get_state().  This is done in preparation of making ERR_STATE an
513    opaque type.
514
515    *Richard Levitte*
516
517  * Added ERR functionality to give callers access to the stored function
518    names that have replaced the older function code based functions.
519
520    New functions are ERR_get_error_func(), ERR_peek_error_func(),
521    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
522    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
523    and ERR_peek_last_error_all().
524
525    These functions have become deprecated: ERR_get_error_line_data(),
526    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
527    ERR_func_error_string().
528
529    *Richard Levitte*
530
531  * Extended testing to be verbose for failing tests only.  The make variables
532    VERBOSE_FAILURE or VF can be used to enable this:
533
534            $ make VF=1 test                           # Unix
535            $ mms /macro=(VF=1) test                   ! OpenVMS
536            $ nmake VF=1 test                          # Windows
537
538
539    *Richard Levitte*
540
541  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
542    used even when parsing explicit parameters, when loading a serialized key
543    or calling `EC_GROUP_new_from_ecpkparameters()`/
544    `EC_GROUP_new_from_ecparameters()`.
545    This prevents bypass of security hardening and performance gains,
546    especially for curves with specialized EC_METHODs.
547    By default, if a key encoded with explicit parameters is loaded and later
548    serialized, the output is still encoded with explicit parameters, even if
549    internally a "named" EC_GROUP is used for computation.
550
551    *Nicola Tuveri*
552
553  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
554    this change, EC_GROUP_set_generator would accept order and/or cofactor as
555    NULL. After this change, only the cofactor parameter can be NULL. It also
556    does some minimal sanity checks on the passed order.
557    [CVE-2019-1547][]
558
559    *Billy Bob Brumley*
560
561  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
562    An attack is simple, if the first CMS_recipientInfo is valid but the
563    second CMS_recipientInfo is chosen ciphertext. If the second
564    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
565    encryption key will be replaced by garbage, and the message cannot be
566    decoded, but if the RSA decryption fails, the correct encryption key is
567    used and the recipient will not notice the attack.
568    As a work around for this potential attack the length of the decrypted
569    key must be equal to the cipher default key length, in case the
570    certifiate is not given and all recipientInfo are tried out.
571    The old behaviour can be re-enabled in the CMS code by setting the
572    CMS_DEBUG_DECRYPT flag.
573
574    *Bernd Edlinger*
575
576  * Early start up entropy quality from the DEVRANDOM seed source has been
577    improved for older Linux systems.  The RAND subsystem will wait for
578    /dev/random to be producing output before seeding from /dev/urandom.
579    The seeded state is stored for future library initialisations using
580    a system global shared memory segment.  The shared memory identifier
581    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
582    the desired value.  The default identifier is 114.
583
584    *Paul Dale*
585
586  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
587    when primes for RSA keys are computed.
588    Since we previously always generated primes == 2 (mod 3) for RSA keys,
589    the 2-prime and 3-prime RSA modules were easy to distinguish, since
590    N = p*q = 1 (mod 3), but N = p*q*r = 2 (mod 3). Therefore fingerprinting
591    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
592    This avoids possible fingerprinting of newly generated RSA modules.
593
594    *Bernd Edlinger*
595
596  * Correct the extended master secret constant on EBCDIC systems. Without this
597    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
598    negotiate EMS will fail. Unfortunately this also means that TLS connections
599    between EBCDIC systems with this fix, and EBCDIC systems without this
600    fix will fail if they negotiate EMS.
601
602    *Matt Caswell*
603
604  * Changed the library initialisation so that the config file is now loaded
605    by default. This was already the case for libssl. It now occurs for both
606    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
607    OPENSSL_init_crypto() to suppress automatic loading of a config file.
608
609    *Matt Caswell*
610
611  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
612    where the former acts as a replacement for ERR_put_error(), and the
613    latter replaces the combination ERR_put_error()+ERR_add_error_data().
614    ERR_raise_data() adds more flexibility by taking a format string and
615    an arbitrary number of arguments following it, to be processed with
616    BIO_snprintf().
617
618    *Richard Levitte*
619
620  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
621    to check if a named provider is loaded and available.  When called, it
622    will also activate all fallback providers if such are still present.
623
624    *Richard Levitte*
625
626  * Enforce a minimum DH modulus size of 512 bits.
627
628    *Bernd Edlinger*
629
630  * Changed DH parameters to generate the order q subgroup instead of 2q.
631    Previously generated DH parameters are still accepted by DH_check
632    but DH_generate_key works around that by clearing bit 0 of the
633    private key for those. This avoids leaking bit 0 of the private key.
634
635    *Bernd Edlinger*
636
637  * Significantly reduce secure memory usage by the randomness pools.
638
639    *Paul Dale*
640
641  * {CRYPTO,OPENSSL}_mem_debug_{push,pop} are now no-ops and have been
642    deprecated.
643
644    *Rich Salz*
645
646  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
647    algorithms. An implementation of a key exchange algorithm can be obtained
648    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
649    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
650    the older EVP_PKEY_derive_init() function. See the man pages for the new
651    functions for further details.
652
653    *Matt Caswell*
654
655  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
656
657    *Matt Caswell*
658
659  * Removed the function names from error messages and deprecated the
660    xxx_F_xxx define's.
661
662  * Removed NextStep support and the macro OPENSSL_UNISTD
663
664    *Rich Salz*
665
666  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
667    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
668    Also removed "export var as function" capability; we do not export
669    variables, only functions.
670
671    *Rich Salz*
672
673  * RC5_32_set_key has been changed to return an int type, with 0 indicating
674    an error and 1 indicating success. In previous versions of OpenSSL this
675    was a void type. If a key was set longer than the maximum possible this
676    would crash.
677
678    *Matt Caswell*
679
680  * Support SM2 signing and verification schemes with X509 certificate.
681
682    *Paul Yang*
683
684  * Use SHA256 as the default digest for TS query in the ts app.
685
686    *Tomas Mraz*
687
688  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
689    This checks that the salt length is at least 128 bits, the derived key
690    length is at least 112 bits, and that the iteration count is at least 1000.
691    For backwards compatibility these checks are disabled by default in the
692    default provider, but are enabled by default in the fips provider.
693    To enable or disable these checks use the control
694    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
695
696    *Shane Lontis*
697
698  * Default cipher lists/suites are now available via a function, the
699    #defines are deprecated.
700
701    *Todd Short*
702
703  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
704    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
705    for Windows Store apps easier. Also, the "no-uplink" option has been added.
706
707    *Kenji Mouri*
708
709  * Join the directories crypto/x509 and crypto/x509v3
710
711    *Richard Levitte*
712
713  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
714    This changes the size when using the genpkey app when no size is given. It
715    fixes an omission in earlier changes that changed all RSA, DSA and DH
716    generation apps to use 2048 bits by default.
717
718    *Kurt Roeckx*
719
720  * Added command 'openssl kdf' that uses the EVP_KDF API.
721
722    *Shane Lontis*
723
724  * Added command 'openssl mac' that uses the EVP_MAC API.
725
726    *Shane Lontis*
727
728  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
729    as default directories.  Also added the command 'openssl info'
730    for scripting purposes.
731
732    *Richard Levitte*
733
734  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
735    deprecated. These undocumented functions were never integrated into the EVP
736    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
737    Bi-directional IGE mode. These modes were never formally standardised and
738    usage of these functions is believed to be very small. In particular
739    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
740    is ever used. The security implications are believed to be minimal, but
741    this issue was never fixed for backwards compatibility reasons. New code
742    should not use these modes.
743
744    *Matt Caswell*
745
746  * Add prediction resistance to the DRBG reseeding process.
747
748    *Paul Dale*
749
750  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
751    mandated by IEEE Std 1619-2018.
752
753    *Paul Dale*
754
755  * Added newline escaping functionality to a filename when using openssl dgst.
756    This output format is to replicate the output format found in the '*sum'
757    checksum programs. This aims to preserve backward compatibility.
758
759    *Matt Eaton, Richard Levitte, and Paul Dale*
760
761  * Removed the heartbeat message in DTLS feature, as it has very
762    little usage and doesn't seem to fulfill a valuable purpose.
763    The configuration option is now deprecated.
764
765    *Richard Levitte*
766
767  * Changed the output of 'openssl {digestname} < file' to display the
768    digest name in its output.
769
770    *Richard Levitte*
771
772  * Added a new generic trace API which provides support for enabling
773    instrumentation through trace output. This feature is mainly intended
774    as an aid for developers and is disabled by default. To utilize it,
775    OpenSSL needs to be configured with the `enable-trace` option.
776
777    If the tracing API is enabled, the application can activate trace output
778    by registering BIOs as trace channels for a number of tracing and debugging
779    categories.
780
781    The 'openssl' application has been expanded to enable any of the types
782    available via environment variables defined by the user, and serves as
783    one possible example on how to use this functionality.
784
785    *Richard Levitte & Matthias St. Pierre*
786
787  * Added build tests for C++.  These are generated files that only do one
788    thing, to include one public OpenSSL head file each.  This tests that
789    the public header files can be usefully included in a C++ application.
790
791    This test isn't enabled by default.  It can be enabled with the option
792    'enable-buildtest-c++'.
793
794    *Richard Levitte*
795
796  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
797
798    *Shane Lontis*
799
800  * Add KMAC to EVP_MAC.
801
802    *Shane Lontis*
803
804  * Added property based algorithm implementation selection framework to
805    the core.
806
807    *Paul Dale*
808
809  * Added SCA hardening for modular field inversion in EC_GROUP through
810    a new dedicated field_inv() pointer in EC_METHOD.
811    This also addresses a leakage affecting conversions from projective
812    to affine coordinates.
813
814    *Billy Bob Brumley, Nicola Tuveri*
815
816  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
817    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
818    those algorithms that were already supported through the EVP_PKEY API
819    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
820    and scrypt are now wrappers that call EVP_KDF.
821
822    *David Makepeace*
823
824  * Build devcrypto engine as a dynamic engine.
825
826    *Eneas U de Queiroz*
827
828  * Add keyed BLAKE2 to EVP_MAC.
829
830    *Antoine Salon*
831
832  * Fix a bug in the computation of the endpoint-pair shared secret used
833    by DTLS over SCTP. This breaks interoperability with older versions
834    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
835    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
836    interoperability with such broken implementations. However, enabling
837    this switch breaks interoperability with correct implementations.
838
839  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
840    re-used X509_PUBKEY object if the second PUBKEY is malformed.
841
842    *Bernd Edlinger*
843
844  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
845
846    *Richard Levitte*
847
848  * Change the license to the Apache License v2.0.
849
850    *Richard Levitte*
851
852  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
853
854    - Major releases (indicated by incrementing the MAJOR release number)
855      may introduce incompatible API/ABI changes.
856    - Minor releases (indicated by incrementing the MINOR release number)
857      may introduce new features but retain API/ABI compatibility.
858    - Patch releases (indicated by incrementing the PATCH number)
859      are intended for bug fixes and other improvements of existing
860      features only (like improving performance or adding documentation)
861      and retain API/ABI compatibility.
862
863    *Richard Levitte*
864
865  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
866
867    *Todd Short*
868
869  * Remove the 'dist' target and add a tarball building script.  The
870    'dist' target has fallen out of use, and it shouldn't be
871    necessary to configure just to create a source distribution.
872
873    *Richard Levitte*
874
875  * Recreate the OS390-Unix config target.  It no longer relies on a
876    special script like it did for OpenSSL pre-1.1.0.
877
878    *Richard Levitte*
879
880  * Instead of having the source directories listed in Configure, add
881    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
882    look into.
883
884    *Richard Levitte*
885
886  * Add GMAC to EVP_MAC.
887
888    *Paul Dale*
889
890  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
891
892    *Richard Levitte*
893
894  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
895    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
896    to facilitate the continued use of MACs through raw private keys in
897    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
898
899    *Richard Levitte*
900
901  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
902    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
903
904    *Antoine Salon*
905
906  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
907    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
908    are retained for backwards compatibility.
909
910    *Antoine Salon*
911
912  * AES-XTS mode now enforces that its two keys are different to mitigate
913    the attacked described in "Efficient Instantiations of Tweakable
914    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
915    Details of this attack can be obtained from:
916    http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf
917
918    *Paul Dale*
919
920  * Rename the object files, i.e. give them other names than in previous
921    versions.  Their names now include the name of the final product, as
922    well as its type mnemonic (bin, lib, shlib).
923
924    *Richard Levitte*
925
926  * Added new option for 'openssl list', '-objects', which will display the
927    list of built in objects, i.e. OIDs with names.
928
929    *Richard Levitte*
930
931  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
932    improves application performance by removing data copies and providing
933    applications with zero-copy system calls such as sendfile and splice.
934
935    *Boris Pismenny*
936
937
938 OpenSSL 1.1.1
939 -------------
940
941 ### Changes between 1.1.1d and 1.1.1e [xx XXX xxxx] ###
942
943  * *[VMS only]* The header files that the VMS compilers include automatically,
944    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
945    that the C++ compiler doesn't understand.  This is a shortcoming in the
946    compiler, but can be worked around with `__cplusplus` guards.
947
948    C++ applications that use OpenSSL libraries must be compiled using the
949    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
950    functions.  Otherwise, only functions with symbols of less than 31
951    characters can be used, as the linker will not be able to successfully
952    resolve symbols with longer names.
953
954    *Richard Levitte*
955
956  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
957    The presence of this system service is determined at run-time.
958
959    *Richard Levitte*
960
961  * Added newline escaping functionality to a filename when using openssl dgst.
962    This output format is to replicate the output format found in the '*sum'
963    checksum programs. This aims to preserve backward compatibility.
964
965    *Matt Eaton, Richard Levitte, and Paul Dale*
966
967  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
968    the first value.
969
970    *Jon Spillett*
971
972 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019] ###
973
974  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
975    number generator (RNG). This was intended to include protection in the
976    event of a fork() system call in order to ensure that the parent and child
977    processes did not share the same RNG state. However this protection was not
978    being used in the default case.
979
980    A partial mitigation for this issue is that the output from a high
981    precision timer is mixed into the RNG state so the likelihood of a parent
982    and child process sharing state is significantly reduced.
983
984    If an application already calls OPENSSL_init_crypto() explicitly using
985    OPENSSL_INIT_ATFORK then this problem does not occur at all.
986    [CVE-2019-1549][]
987
988    *Matthias St. Pierre*
989
990  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
991    used even when parsing explicit parameters, when loading a serialized key
992    or calling `EC_GROUP_new_from_ecpkparameters()`/
993    `EC_GROUP_new_from_ecparameters()`.
994    This prevents bypass of security hardening and performance gains,
995    especially for curves with specialized EC_METHODs.
996    By default, if a key encoded with explicit parameters is loaded and later
997    serialized, the output is still encoded with explicit parameters, even if
998    internally a "named" EC_GROUP is used for computation.
999
1000    *Nicola Tuveri*
1001
1002  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1003    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1004    NULL. After this change, only the cofactor parameter can be NULL. It also
1005    does some minimal sanity checks on the passed order.
1006    [CVE-2019-1547][]
1007
1008    *Billy Bob Brumley*
1009
1010  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1011    An attack is simple, if the first CMS_recipientInfo is valid but the
1012    second CMS_recipientInfo is chosen ciphertext. If the second
1013    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1014    encryption key will be replaced by garbage, and the message cannot be
1015    decoded, but if the RSA decryption fails, the correct encryption key is
1016    used and the recipient will not notice the attack.
1017    As a work around for this potential attack the length of the decrypted
1018    key must be equal to the cipher default key length, in case the
1019    certifiate is not given and all recipientInfo are tried out.
1020    The old behaviour can be re-enabled in the CMS code by setting the
1021    CMS_DEBUG_DECRYPT flag.
1022    [CVE-2019-1563][]
1023
1024    *Bernd Edlinger*
1025
1026  * Early start up entropy quality from the DEVRANDOM seed source has been
1027    improved for older Linux systems.  The RAND subsystem will wait for
1028    /dev/random to be producing output before seeding from /dev/urandom.
1029    The seeded state is stored for future library initialisations using
1030    a system global shared memory segment.  The shared memory identifier
1031    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1032    the desired value.  The default identifier is 114.
1033
1034    *Paul Dale*
1035
1036  * Correct the extended master secret constant on EBCDIC systems. Without this
1037    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1038    negotiate EMS will fail. Unfortunately this also means that TLS connections
1039    between EBCDIC systems with this fix, and EBCDIC systems without this
1040    fix will fail if they negotiate EMS.
1041
1042    *Matt Caswell*
1043
1044  * Use Windows installation paths in the mingw builds
1045
1046    Mingw isn't a POSIX environment per se, which means that Windows
1047    paths should be used for installation.
1048    [CVE-2019-1552][]
1049
1050    *Richard Levitte*
1051
1052  * Changed DH_check to accept parameters with order q and 2q subgroups.
1053    With order 2q subgroups the bit 0 of the private key is not secret
1054    but DH_generate_key works around that by clearing bit 0 of the
1055    private key for those. This avoids leaking bit 0 of the private key.
1056
1057    *Bernd Edlinger*
1058
1059  * Significantly reduce secure memory usage by the randomness pools.
1060
1061    *Paul Dale*
1062
1063  * Revert the DEVRANDOM_WAIT feature for Linux systems
1064
1065    The DEVRANDOM_WAIT feature added a select() call to wait for the
1066    /dev/random device to become readable before reading from the
1067    /dev/urandom device.
1068
1069    It turned out that this change had negative side effects on
1070    performance which were not acceptable. After some discussion it
1071    was decided to revert this feature and leave it up to the OS
1072    resp. the platform maintainer to ensure a proper initialization
1073    during early boot time.
1074
1075    *Matthias St. Pierre*
1076
1077 ### Changes between 1.1.1b and 1.1.1c [28 May 2019] ###
1078
1079  * Add build tests for C++.  These are generated files that only do one
1080    thing, to include one public OpenSSL head file each.  This tests that
1081    the public header files can be usefully included in a C++ application.
1082
1083    This test isn't enabled by default.  It can be enabled with the option
1084    'enable-buildtest-c++'.
1085
1086    *Richard Levitte*
1087
1088  * Enable SHA3 pre-hashing for ECDSA and DSA.
1089
1090    *Patrick Steuer*
1091
1092  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1093    This changes the size when using the genpkey app when no size is given. It
1094    fixes an omission in earlier changes that changed all RSA, DSA and DH
1095    generation apps to use 2048 bits by default.
1096
1097    *Kurt Roeckx*
1098
1099  * Reorganize the manual pages to consistently have RETURN VALUES,
1100    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1101    util/fix-doc-nits accordingly.
1102
1103    *Paul Yang, Joshua Lock*
1104
1105  * Add the missing accessor EVP_PKEY_get0_engine()
1106
1107    *Matt Caswell*
1108
1109  * Have apps like 's_client' and 's_server' output the signature scheme
1110    along with other cipher suite parameters when debugging.
1111
1112    *Lorinczy Zsigmond*
1113
1114  * Make OPENSSL_config() error agnostic again.
1115
1116    *Richard Levitte*
1117
1118  * Do the error handling in RSA decryption constant time.
1119
1120    *Bernd Edlinger*
1121
1122  * Prevent over long nonces in ChaCha20-Poly1305.
1123
1124    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1125    for every encryption operation. RFC 7539 specifies that the nonce value
1126    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1127    and front pads the nonce with 0 bytes if it is less than 12
1128    bytes. However it also incorrectly allows a nonce to be set of up to 16
1129    bytes. In this case only the last 12 bytes are significant and any
1130    additional leading bytes are ignored.
1131
1132    It is a requirement of using this cipher that nonce values are
1133    unique. Messages encrypted using a reused nonce value are susceptible to
1134    serious confidentiality and integrity attacks. If an application changes
1135    the default nonce length to be longer than 12 bytes and then makes a
1136    change to the leading bytes of the nonce expecting the new value to be a
1137    new unique nonce then such an application could inadvertently encrypt
1138    messages with a reused nonce.
1139
1140    Additionally the ignored bytes in a long nonce are not covered by the
1141    integrity guarantee of this cipher. Any application that relies on the
1142    integrity of these ignored leading bytes of a long nonce may be further
1143    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1144    is safe because no such use sets such a long nonce value. However user
1145    applications that use this cipher directly and set a non-default nonce
1146    length to be longer than 12 bytes may be vulnerable.
1147
1148    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1149    Greef of Ronomon.
1150    [CVE-2019-1543][]
1151
1152    *Matt Caswell*
1153
1154  * Add DEVRANDOM_WAIT feature for Linux systems
1155
1156    On older Linux systems where the getrandom() system call is not available,
1157    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1158    Contrary to getrandom(), the /dev/urandom device will not block during
1159    early boot when the kernel CSPRNG has not been seeded yet.
1160
1161    To mitigate this known weakness, use select() to wait for /dev/random to
1162    become readable before reading from /dev/urandom.
1163
1164  * Ensure that SM2 only uses SM3 as digest algorithm
1165
1166    *Paul Yang*
1167
1168 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019] ###
1169
1170  * Change the info callback signals for the start and end of a post-handshake
1171    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1172    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1173    confused by this and assume that a TLSv1.2 renegotiation has started. This
1174    can break KeyUpdate handling. Instead we no longer signal the start and end
1175    of a post handshake message exchange (although the messages themselves are
1176    still signalled). This could break some applications that were expecting
1177    the old signals. However without this KeyUpdate is not usable for many
1178    applications.
1179
1180    *Matt Caswell*
1181
1182 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018] ###
1183
1184  * Timing vulnerability in DSA signature generation
1185
1186    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1187    timing side channel attack. An attacker could use variations in the signing
1188    algorithm to recover the private key.
1189
1190    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1191    [CVE-2018-0734][]
1192
1193    *Paul Dale*
1194
1195  * Timing vulnerability in ECDSA signature generation
1196
1197    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1198    timing side channel attack. An attacker could use variations in the signing
1199    algorithm to recover the private key.
1200
1201    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1202    [CVE-2018-0735][]
1203
1204    *Paul Dale*
1205
1206  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1207    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1208    of two gigabytes and the error handling improved.
1209
1210    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1211    categorized as a normal bug, not a security issue, because the DRBG reseeds
1212    automatically and is fully functional even without additional randomness
1213    provided by the application.
1214
1215 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018] ###
1216
1217  * Add a new ClientHello callback. Provides a callback interface that gives
1218    the application the ability to adjust the nascent SSL object at the
1219    earliest stage of ClientHello processing, immediately after extensions have
1220    been collected but before they have been processed. In particular, this
1221    callback can adjust the supported TLS versions in response to the contents
1222    of the ClientHello
1223
1224    *Benjamin Kaduk*
1225
1226  * Add SM2 base algorithm support.
1227
1228    *Jack Lloyd*
1229
1230  * s390x assembly pack: add (improved) hardware-support for the following
1231    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1232    aes-cfb/cfb8, aes-ecb.
1233
1234    *Patrick Steuer*
1235
1236  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1237    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1238    pem_str is reserved for alias entries only.
1239
1240    *Richard Levitte*
1241
1242  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1243    step for prime curves. The new implementation is based on formulae from
1244    differential addition-and-doubling in homogeneous projective coordinates
1245    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1246    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1247    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1248    to work in projective coordinates.
1249
1250    *Billy Bob Brumley, Nicola Tuveri*
1251
1252  * Change generating and checking of primes so that the error rate of not
1253    being prime depends on the intended use based on the size of the input.
1254    For larger primes this will result in more rounds of Miller-Rabin.
1255    The maximal error rate for primes with more than 1080 bits is lowered
1256    to 2^-128.
1257
1258    *Kurt Roeckx, Annie Yousar*
1259
1260  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1261
1262    *Kurt Roeckx*
1263
1264  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1265    moving between systems, and to avoid confusion when a Windows build is
1266    done with mingw vs with MSVC.  For POSIX installs, there's still a
1267    symlink or copy named 'tsget' to avoid that confusion as well.
1268
1269    *Richard Levitte*
1270
1271  * Revert blinding in ECDSA sign and instead make problematic addition
1272    length-invariant. Switch even to fixed-length Montgomery multiplication.
1273
1274    *Andy Polyakov*
1275
1276  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1277    step for binary curves. The new implementation is based on formulae from
1278    differential addition-and-doubling in mixed Lopez-Dahab projective
1279    coordinates, modified to independently blind the operands.
1280
1281    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1282
1283  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1284    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1285    EC_METHODs to implement their own specialized "ladder step", to take
1286    advantage of more favorable coordinate systems or more efficient
1287    differential addition-and-doubling algorithms.
1288
1289    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1290
1291  * Modified the random device based seed sources to keep the relevant
1292    file descriptors open rather than reopening them on each access.
1293    This allows such sources to operate in a chroot() jail without
1294    the associated device nodes being available. This behaviour can be
1295    controlled using RAND_keep_random_devices_open().
1296
1297    *Paul Dale*
1298
1299  * Numerous side-channel attack mitigations have been applied. This may have
1300    performance impacts for some algorithms for the benefit of improved
1301    security. Specific changes are noted in this change log by their respective
1302    authors.
1303
1304    *Matt Caswell*
1305
1306  * AIX shared library support overhaul. Switch to AIX "natural" way of
1307    handling shared libraries, which means collecting shared objects of
1308    different versions and bitnesses in one common archive. This allows to
1309    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1310    doesn't affect the way 3rd party applications are linked, only how
1311    multi-version installation is managed.
1312
1313    *Andy Polyakov*
1314
1315  * Make ec_group_do_inverse_ord() more robust and available to other
1316    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1317    mitigations are applied to the fallback BN_mod_inverse().
1318    When using this function rather than BN_mod_inverse() directly, new
1319    EC cryptosystem implementations are then safer-by-default.
1320
1321    *Billy Bob Brumley*
1322
1323  * Add coordinate blinding for EC_POINT and implement projective
1324    coordinate blinding for generic prime curves as a countermeasure to
1325    chosen point SCA attacks.
1326
1327    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1328
1329  * Add blinding to ECDSA and DSA signatures to protect against side channel
1330    attacks discovered by Keegan Ryan (NCC Group).
1331
1332    *Matt Caswell*
1333
1334  * Enforce checking in the pkeyutl command line app to ensure that the input
1335    length does not exceed the maximum supported digest length when performing
1336    a sign, verify or verifyrecover operation.
1337
1338    *Matt Caswell*
1339
1340  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1341    I/O in combination with something like select() or poll() will hang. This
1342    can be turned off again using SSL_CTX_clear_mode().
1343    Many applications do not properly handle non-application data records, and
1344    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1345    around the problems in those applications, but can also break some.
1346    It's recommended to read the manpages about SSL_read(), SSL_write(),
1347    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1348    SSL_CTX_set_read_ahead() again.
1349
1350    *Kurt Roeckx*
1351
1352  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1353    now allow empty (zero character) pass phrases.
1354
1355    *Richard Levitte*
1356
1357  * Apply blinding to binary field modular inversion and remove patent
1358    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1359
1360    *Billy Bob Brumley*
1361
1362  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1363    binary and prime elliptic curves.
1364
1365    *Billy Bob Brumley*
1366
1367  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1368    constant time fixed point multiplication.
1369
1370    *Billy Bob Brumley*
1371
1372  * Revise elliptic curve scalar multiplication with timing attack
1373    defenses: ec_wNAF_mul redirects to a constant time implementation
1374    when computing fixed point and variable point multiplication (which
1375    in OpenSSL are mostly used with secret scalars in keygen, sign,
1376    ECDH derive operations).
1377    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1378     Sohaib ul Hassan*
1379
1380  * Updated CONTRIBUTING
1381
1382    *Rich Salz*
1383
1384  * Updated DRBG / RAND to request nonce and additional low entropy
1385    randomness from the system.
1386
1387    *Matthias St. Pierre*
1388
1389  * Updated 'openssl rehash' to use OpenSSL consistent default.
1390
1391    *Richard Levitte*
1392
1393  * Moved the load of the ssl_conf module to libcrypto, which helps
1394    loading engines that libssl uses before libssl is initialised.
1395
1396    *Matt Caswell*
1397
1398  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1399
1400    *Matt Caswell*
1401
1402  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1403
1404    *Ingo Schwarze, Rich Salz*
1405
1406  * Added output of accepting IP address and port for 'openssl s_server'
1407
1408    *Richard Levitte*
1409
1410  * Added a new API for TLSv1.3 ciphersuites:
1411       SSL_CTX_set_ciphersuites()
1412       SSL_set_ciphersuites()
1413
1414    *Matt Caswell*
1415
1416  * Memory allocation failures consistently add an error to the error
1417    stack.
1418
1419    *Rich Salz*
1420
1421  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1422    in libcrypto when run as setuid/setgid.
1423
1424    *Bernd Edlinger*
1425
1426  * Load any config file by default when libssl is used.
1427
1428    *Matt Caswell*
1429
1430  * Added new public header file <openssl/rand_drbg.h> and documentation
1431    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1432
1433    *Matthias St. Pierre*
1434
1435  * QNX support removed (cannot find contributors to get their approval
1436    for the license change).
1437
1438    *Rich Salz*
1439
1440  * TLSv1.3 replay protection for early data has been implemented. See the
1441    SSL_read_early_data() man page for further details.
1442
1443    *Matt Caswell*
1444
1445  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1446    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1447    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1448    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1449    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1450    configuration has been separated out. See the ciphers man page or the
1451    SSL_CTX_set_ciphersuites() man page for more information.
1452
1453    *Matt Caswell*
1454
1455  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1456    in responder mode now supports the new "-multi" option, which
1457    spawns the specified number of child processes to handle OCSP
1458    requests.  The "-timeout" option now also limits the OCSP
1459    responder's patience to wait to receive the full client request
1460    on a newly accepted connection. Child processes are respawned
1461    as needed, and the CA index file is automatically reloaded
1462    when changed.  This makes it possible to run the "ocsp" responder
1463    as a long-running service, making the OpenSSL CA somewhat more
1464    feature-complete.  In this mode, most diagnostic messages logged
1465    after entering the event loop are logged via syslog(3) rather than
1466    written to stderr.
1467
1468    *Viktor Dukhovni*
1469
1470  * Added support for X448 and Ed448. Heavily based on original work by
1471    Mike Hamburg.
1472
1473    *Matt Caswell*
1474
1475  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1476    objects loaded.  This adds the functions OSSL_STORE_expect() and
1477    OSSL_STORE_find() as well as needed tools to construct searches and
1478    get the search data out of them.
1479
1480    *Richard Levitte*
1481
1482  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1483    version of OpenSSL should review their configuration settings to ensure
1484    that they are still appropriate for TLSv1.3. For further information see:
1485    https://wiki.openssl.org/index.php/TLS1.3
1486
1487    *Matt Caswell*
1488
1489  * Grand redesign of the OpenSSL random generator
1490
1491    The default RAND method now utilizes an AES-CTR DRBG according to
1492    NIST standard SP 800-90Ar1. The new random generator is essentially
1493    a port of the default random generator from the OpenSSL FIPS 2.0
1494    object module. It is a hybrid deterministic random bit generator
1495    using an AES-CTR bit stream and which seeds and reseeds itself
1496    automatically using trusted system entropy sources.
1497
1498    Some of its new features are:
1499     - Support for multiple DRBG instances with seed chaining.
1500     - The default RAND method makes use of a DRBG.
1501     - There is a public and private DRBG instance.
1502     - The DRBG instances are fork-safe.
1503     - Keep all global DRBG instances on the secure heap if it is enabled.
1504     - The public and private DRBG instance are per thread for lock free
1505       operation
1506
1507    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1508
1509  * Changed Configure so it only says what it does and doesn't dump
1510    so much data.  Instead, ./configdata.pm should be used as a script
1511    to display all sorts of configuration data.
1512
1513    *Richard Levitte*
1514
1515  * Added processing of "make variables" to Configure.
1516
1517    *Richard Levitte*
1518
1519  * Added SHA512/224 and SHA512/256 algorithm support.
1520
1521    *Paul Dale*
1522
1523  * The last traces of Netware support, first removed in 1.1.0, have
1524    now been removed.
1525
1526    *Rich Salz*
1527
1528  * Get rid of Makefile.shared, and in the process, make the processing
1529    of certain files (rc.obj, or the .def/.map/.opt files produced from
1530    the ordinal files) more visible and hopefully easier to trace and
1531    debug (or make silent).
1532
1533    *Richard Levitte*
1534
1535  * Make it possible to have environment variable assignments as
1536    arguments to config / Configure.
1537
1538    *Richard Levitte*
1539
1540  * Add multi-prime RSA (RFC 8017) support.
1541
1542    *Paul Yang*
1543
1544  * Add SM3 implemented according to GB/T 32905-2016
1545    * Jack Lloyd <jack.lloyd@ribose.com>,
1546      Ronald Tse <ronald.tse@ribose.com>,
1547      Erick Borsboom <erick.borsboom@ribose.com> *
1548
1549  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1550    as documented in RFC6066.
1551    Based on a patch from Tomasz Moń
1552
1553    *Filipe Raimundo da Silva*
1554
1555  * Add SM4 implemented according to GB/T 32907-2016.
1556    * Jack Lloyd <jack.lloyd@ribose.com>,
1557      Ronald Tse <ronald.tse@ribose.com>,
1558      Erick Borsboom <erick.borsboom@ribose.com> *
1559
1560  * Reimplement -newreq-nodes and ERR_error_string_n; the
1561    original author does not agree with the license change.
1562
1563    *Rich Salz*
1564
1565  * Add ARIA AEAD TLS support.
1566
1567    *Jon Spillett*
1568
1569  * Some macro definitions to support VS6 have been removed.  Visual
1570    Studio 6 has not worked since 1.1.0
1571
1572    *Rich Salz*
1573
1574  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1575    without clearing the errors.
1576
1577    *Richard Levitte*
1578
1579  * Add "atfork" functions.  If building on a system that without
1580    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1581    requirements.  The RAND facility now uses/requires this.
1582
1583    *Rich Salz*
1584
1585  * Add SHA3.
1586
1587    *Andy Polyakov*
1588
1589  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1590    not possible to disable entirely.  However, it's still possible to
1591    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1592    as a fallback).
1593
1594    To disable, configure with 'no-ui-console'.  'no-ui' is still
1595    possible to use as an alias.  Check at compile time with the
1596    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1597    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1598
1599    *Richard Levitte*
1600
1601  * Add a STORE module, which implements a uniform and URI based reader of
1602    stores that can contain keys, certificates, CRLs and numerous other
1603    objects.  The main API is loosely based on a few stdio functions,
1604    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1605    OSSL_STORE_error and OSSL_STORE_close.
1606    The implementation uses backends called "loaders" to implement arbitrary
1607    URI schemes.  There is one built in "loader" for the 'file' scheme.
1608
1609    *Richard Levitte*
1610
1611  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1612    then adjusted to work on FreeBSD 8.4 as well.
1613    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1614    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1615
1616    *Richard Levitte*
1617
1618  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1619    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1620    error code calls like this:
1621
1622            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1623
1624    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1625    that can be encoded in C.  For the foreseeable future, this will only
1626    affect new modules.
1627
1628    *Richard Levitte and Tim Hudson*
1629
1630  * Removed BSD cryptodev engine.
1631
1632    *Rich Salz*
1633
1634  * Add a build target 'build_all_generated', to build all generated files
1635    and only that.  This can be used to prepare everything that requires
1636    things like perl for a system that lacks perl and then move everything
1637    to that system and do the rest of the build there.
1638
1639    *Richard Levitte*
1640
1641  * In the UI interface, make it possible to duplicate the user data.  This
1642    can be used by engines that need to retain the data for a longer time
1643    than just the call where this user data is passed.
1644
1645    *Richard Levitte*
1646
1647  * Ignore the '-named_curve auto' value for compatibility of applications
1648    with OpenSSL 1.0.2.
1649
1650    *Tomas Mraz <tmraz@fedoraproject.org>*
1651
1652  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1653    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1654    alerts across multiple records (some of which could be empty). In practice
1655    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1656    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1657    support this at all. Supporting it adds significant complexity to the
1658    record layer, and its removal is unlikely to cause interoperability
1659    issues.
1660
1661    *Matt Caswell*
1662
1663  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1664    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1665    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1666    in OpenSSL 1.2.0.
1667
1668    *Richard Levitte*
1669
1670  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1671    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1672
1673    *Richard Levitte, Andy Polyakov*
1674
1675  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1676    does for RSA, etc.
1677
1678    *Richard Levitte*
1679
1680  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1681    platform rather than 'mingw'.
1682
1683    *Richard Levitte*
1684
1685  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1686    success if they are asked to add an object which already exists
1687    in the store. This change cascades to other functions which load
1688    certificates and CRLs.
1689
1690    *Paul Dale*
1691
1692  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1693    facilitate stack unwinding even from assembly subroutines.
1694
1695    *Andy Polyakov*
1696
1697  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1698    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1699
1700    *Richard Levitte*
1701
1702  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1703    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1704    which is the minimum version we support.
1705
1706    *Richard Levitte*
1707
1708  * Certificate time validation (X509_cmp_time) enforces stricter
1709    compliance with RFC 5280. Fractional seconds and timezone offsets
1710    are no longer allowed.
1711
1712    *Emilia Käsper*
1713
1714  * Add support for ARIA
1715
1716    *Paul Dale*
1717
1718  * s_client will now send the Server Name Indication (SNI) extension by
1719    default unless the new "-noservername" option is used. The server name is
1720    based on the host provided to the "-connect" option unless overridden by
1721    using "-servername".
1722
1723    *Matt Caswell*
1724
1725  * Add support for SipHash
1726
1727    *Todd Short*
1728
1729  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1730    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1731    prevent issues where no progress is being made and the peer continually
1732    sends unrecognised record types, using up resources processing them.
1733
1734    *Matt Caswell*
1735
1736  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1737    using the algorithm defined in
1738    https://www.akkadia.org/drepper/SHA-crypt.txt
1739
1740    *Richard Levitte*
1741
1742  * Heartbeat support has been removed; the ABI is changed for now.
1743
1744    *Richard Levitte, Rich Salz*
1745
1746  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1747
1748    *Emilia Käsper*
1749
1750  * The RSA "null" method, which was partially supported to avoid patent
1751    issues, has been replaced to always returns NULL.
1752
1753    *Rich Salz*
1754
1755 OpenSSL 1.1.0
1756 -------------
1757
1758
1759 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019] ###
1760
1761  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1762    used even when parsing explicit parameters, when loading a serialized key
1763    or calling `EC_GROUP_new_from_ecpkparameters()`/
1764    `EC_GROUP_new_from_ecparameters()`.
1765    This prevents bypass of security hardening and performance gains,
1766    especially for curves with specialized EC_METHODs.
1767    By default, if a key encoded with explicit parameters is loaded and later
1768    serialized, the output is still encoded with explicit parameters, even if
1769    internally a "named" EC_GROUP is used for computation.
1770
1771    *Nicola Tuveri*
1772
1773  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1774    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1775    NULL. After this change, only the cofactor parameter can be NULL. It also
1776    does some minimal sanity checks on the passed order.
1777    [CVE-2019-1547][]
1778
1779    *Billy Bob Brumley*
1780
1781  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1782    An attack is simple, if the first CMS_recipientInfo is valid but the
1783    second CMS_recipientInfo is chosen ciphertext. If the second
1784    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1785    encryption key will be replaced by garbage, and the message cannot be
1786    decoded, but if the RSA decryption fails, the correct encryption key is
1787    used and the recipient will not notice the attack.
1788    As a work around for this potential attack the length of the decrypted
1789    key must be equal to the cipher default key length, in case the
1790    certifiate is not given and all recipientInfo are tried out.
1791    The old behaviour can be re-enabled in the CMS code by setting the
1792    CMS_DEBUG_DECRYPT flag.
1793    [CVE-2019-1563][]
1794
1795    *Bernd Edlinger*
1796
1797  * Use Windows installation paths in the mingw builds
1798
1799    Mingw isn't a POSIX environment per se, which means that Windows
1800    paths should be used for installation.
1801    [CVE-2019-1552][]
1802
1803    *Richard Levitte*
1804
1805 ### Changes between 1.1.0j and 1.1.0k [28 May 2019] ###
1806
1807  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1808    This changes the size when using the genpkey app when no size is given. It
1809    fixes an omission in earlier changes that changed all RSA, DSA and DH
1810    generation apps to use 2048 bits by default.
1811
1812    *Kurt Roeckx*
1813
1814  * Prevent over long nonces in ChaCha20-Poly1305.
1815
1816    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1817    for every encryption operation. RFC 7539 specifies that the nonce value
1818    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1819    and front pads the nonce with 0 bytes if it is less than 12
1820    bytes. However it also incorrectly allows a nonce to be set of up to 16
1821    bytes. In this case only the last 12 bytes are significant and any
1822    additional leading bytes are ignored.
1823
1824    It is a requirement of using this cipher that nonce values are
1825    unique. Messages encrypted using a reused nonce value are susceptible to
1826    serious confidentiality and integrity attacks. If an application changes
1827    the default nonce length to be longer than 12 bytes and then makes a
1828    change to the leading bytes of the nonce expecting the new value to be a
1829    new unique nonce then such an application could inadvertently encrypt
1830    messages with a reused nonce.
1831
1832    Additionally the ignored bytes in a long nonce are not covered by the
1833    integrity guarantee of this cipher. Any application that relies on the
1834    integrity of these ignored leading bytes of a long nonce may be further
1835    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1836    is safe because no such use sets such a long nonce value. However user
1837    applications that use this cipher directly and set a non-default nonce
1838    length to be longer than 12 bytes may be vulnerable.
1839
1840    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1841    Greef of Ronomon.
1842    [CVE-2019-1543][]
1843
1844    *Matt Caswell*
1845
1846  * Added SCA hardening for modular field inversion in EC_GROUP through
1847    a new dedicated field_inv() pointer in EC_METHOD.
1848    This also addresses a leakage affecting conversions from projective
1849    to affine coordinates.
1850
1851    *Billy Bob Brumley, Nicola Tuveri*
1852
1853  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1854    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1855
1856    *Bernd Edlinger*
1857
1858  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1859
1860    *Richard Levitte*
1861
1862  * Remove the 'dist' target and add a tarball building script.  The
1863    'dist' target has fallen out of use, and it shouldn't be
1864    necessary to configure just to create a source distribution.
1865
1866    *Richard Levitte*
1867
1868 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018] ###
1869
1870  * Timing vulnerability in DSA signature generation
1871
1872    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1873    timing side channel attack. An attacker could use variations in the signing
1874    algorithm to recover the private key.
1875
1876    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1877    [CVE-2018-0734][]
1878
1879    *Paul Dale*
1880
1881  * Timing vulnerability in ECDSA signature generation
1882
1883    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1884    timing side channel attack. An attacker could use variations in the signing
1885    algorithm to recover the private key.
1886
1887    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1888    [CVE-2018-0735][]
1889
1890    *Paul Dale*
1891
1892  * Add coordinate blinding for EC_POINT and implement projective
1893    coordinate blinding for generic prime curves as a countermeasure to
1894    chosen point SCA attacks.
1895
1896    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1897
1898 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018] ###
1899
1900  * Client DoS due to large DH parameter
1901
1902    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1903    malicious server can send a very large prime value to the client. This will
1904    cause the client to spend an unreasonably long period of time generating a
1905    key for this prime resulting in a hang until the client has finished. This
1906    could be exploited in a Denial Of Service attack.
1907
1908    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
1909    [CVE-2018-0732][]
1910
1911    *Guido Vranken*
1912
1913  * Cache timing vulnerability in RSA Key Generation
1914
1915    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
1916    a cache timing side channel attack. An attacker with sufficient access to
1917    mount cache timing attacks during the RSA key generation process could
1918    recover the private key.
1919
1920    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
1921    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
1922    [CVE-2018-0737][]
1923
1924    *Billy Brumley*
1925
1926  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1927    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1928    pem_str is reserved for alias entries only.
1929
1930    *Richard Levitte*
1931
1932  * Revert blinding in ECDSA sign and instead make problematic addition
1933    length-invariant. Switch even to fixed-length Montgomery multiplication.
1934
1935    *Andy Polyakov*
1936
1937  * Change generating and checking of primes so that the error rate of not
1938    being prime depends on the intended use based on the size of the input.
1939    For larger primes this will result in more rounds of Miller-Rabin.
1940    The maximal error rate for primes with more than 1080 bits is lowered
1941    to 2^-128.
1942
1943    *Kurt Roeckx, Annie Yousar*
1944
1945  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1946
1947    *Kurt Roeckx*
1948
1949  * Add blinding to ECDSA and DSA signatures to protect against side channel
1950    attacks discovered by Keegan Ryan (NCC Group).
1951
1952    *Matt Caswell*
1953
1954  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1955    now allow empty (zero character) pass phrases.
1956
1957    *Richard Levitte*
1958
1959  * Certificate time validation (X509_cmp_time) enforces stricter
1960    compliance with RFC 5280. Fractional seconds and timezone offsets
1961    are no longer allowed.
1962
1963    *Emilia Käsper*
1964
1965  * Fixed a text canonicalisation bug in CMS
1966
1967    Where a CMS detached signature is used with text content the text goes
1968    through a canonicalisation process first prior to signing or verifying a
1969    signature. This process strips trailing space at the end of lines, converts
1970    line terminators to CRLF and removes additional trailing line terminators
1971    at the end of a file. A bug in the canonicalisation process meant that
1972    some characters, such as form-feed, were incorrectly treated as whitespace
1973    and removed. This is contrary to the specification (RFC5485). This fix
1974    could mean that detached text data signed with an earlier version of
1975    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
1976    signed with a fixed OpenSSL may fail to verify with an earlier version of
1977    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
1978    and use the "-binary" flag (for the "cms" command line application) or set
1979    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
1980
1981    *Matt Caswell*
1982
1983 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018] ###
1984
1985  * Constructed ASN.1 types with a recursive definition could exceed the stack
1986
1987    Constructed ASN.1 types with a recursive definition (such as can be found
1988    in PKCS7) could eventually exceed the stack given malicious input with
1989    excessive recursion. This could result in a Denial Of Service attack. There
1990    are no such structures used within SSL/TLS that come from untrusted sources
1991    so this is considered safe.
1992
1993    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
1994    project.
1995    [CVE-2018-0739][]
1996
1997    *Matt Caswell*
1998
1999  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2000
2001    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2002    effectively reduced to only comparing the least significant bit of each
2003    byte. This allows an attacker to forge messages that would be considered as
2004    authenticated in an amount of tries lower than that guaranteed by the
2005    security claims of the scheme. The module can only be compiled by the
2006    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2007
2008    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2009    (IBM).
2010    [CVE-2018-0733][]
2011
2012    *Andy Polyakov*
2013
2014  * Add a build target 'build_all_generated', to build all generated files
2015    and only that.  This can be used to prepare everything that requires
2016    things like perl for a system that lacks perl and then move everything
2017    to that system and do the rest of the build there.
2018
2019    *Richard Levitte*
2020
2021  * Backport SSL_OP_NO_RENGOTIATION
2022
2023    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2024    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2025    changes this is no longer possible in 1.1.0. Therefore the new
2026    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2027    1.1.0 to provide equivalent functionality.
2028
2029    Note that if an application built against 1.1.0h headers (or above) is run
2030    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2031    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2032
2033    *Matt Caswell*
2034
2035  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2036    exist.
2037
2038    *Rich Salz*
2039
2040  * rsaz_1024_mul_avx2 overflow bug on x86_64
2041
2042    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2043    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2044    Analysis suggests that attacks against RSA and DSA as a result of this
2045    defect would be very difficult to perform and are not believed likely.
2046    Attacks against DH1024 are considered just feasible, because most of the
2047    work necessary to deduce information about a private key may be performed
2048    offline. The amount of resources required for such an attack would be
2049    significant. However, for an attack on TLS to be meaningful, the server
2050    would have to share the DH1024 private key among multiple clients, which is
2051    no longer an option since CVE-2016-0701.
2052
2053    This only affects processors that support the AVX2 but not ADX extensions
2054    like Intel Haswell (4th generation).
2055
2056    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2057    was originally found via the OSS-Fuzz project.
2058    [CVE-2017-3738][]
2059
2060    *Andy Polyakov*
2061
2062 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017] ###
2063
2064  * bn_sqrx8x_internal carry bug on x86_64
2065
2066    There is a carry propagating bug in the x86_64 Montgomery squaring
2067    procedure. No EC algorithms are affected. Analysis suggests that attacks
2068    against RSA and DSA as a result of this defect would be very difficult to
2069    perform and are not believed likely. Attacks against DH are considered just
2070    feasible (although very difficult) because most of the work necessary to
2071    deduce information about a private key may be performed offline. The amount
2072    of resources required for such an attack would be very significant and
2073    likely only accessible to a limited number of attackers. An attacker would
2074    additionally need online access to an unpatched system using the target
2075    private key in a scenario with persistent DH parameters and a private
2076    key that is shared between multiple clients.
2077
2078    This only affects processors that support the BMI1, BMI2 and ADX extensions
2079    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2080
2081    This issue was reported to OpenSSL by the OSS-Fuzz project.
2082    [CVE-2017-3736][]
2083
2084    *Andy Polyakov*
2085
2086  * Malformed X.509 IPAddressFamily could cause OOB read
2087
2088    If an X.509 certificate has a malformed IPAddressFamily extension,
2089    OpenSSL could do a one-byte buffer overread. The most likely result
2090    would be an erroneous display of the certificate in text format.
2091
2092    This issue was reported to OpenSSL by the OSS-Fuzz project.
2093    [CVE-2017-3735][]
2094
2095    *Rich Salz*
2096
2097 ### Changes between 1.1.0e and 1.1.0f [25 May 2017] ###
2098
2099  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2100    platform rather than 'mingw'.
2101
2102    *Richard Levitte*
2103
2104  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2105    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2106    which is the minimum version we support.
2107
2108    *Richard Levitte*
2109
2110 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017] ###
2111
2112  * Encrypt-Then-Mac renegotiation crash
2113
2114    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2115    negotiated where it was not in the original handshake (or vice-versa) then
2116    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2117    and servers are affected.
2118
2119    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2120    [CVE-2017-3733][]
2121
2122    *Matt Caswell*
2123
2124 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017] ###
2125
2126  * Truncated packet could crash via OOB read
2127
2128    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2129    cipher is being used, then a truncated packet can cause that host to
2130    perform an out-of-bounds read, usually resulting in a crash.
2131
2132    This issue was reported to OpenSSL by Robert Święcki of Google.
2133    [CVE-2017-3731][]
2134
2135    *Andy Polyakov*
2136
2137  * Bad (EC)DHE parameters cause a client crash
2138
2139    If a malicious server supplies bad parameters for a DHE or ECDHE key
2140    exchange then this can result in the client attempting to dereference a
2141    NULL pointer leading to a client crash. This could be exploited in a Denial
2142    of Service attack.
2143
2144    This issue was reported to OpenSSL by Guido Vranken.
2145    [CVE-2017-3730][]
2146
2147    *Matt Caswell*
2148
2149  * BN_mod_exp may produce incorrect results on x86_64
2150
2151    There is a carry propagating bug in the x86_64 Montgomery squaring
2152    procedure. No EC algorithms are affected. Analysis suggests that attacks
2153    against RSA and DSA as a result of this defect would be very difficult to
2154    perform and are not believed likely. Attacks against DH are considered just
2155    feasible (although very difficult) because most of the work necessary to
2156    deduce information about a private key may be performed offline. The amount
2157    of resources required for such an attack would be very significant and
2158    likely only accessible to a limited number of attackers. An attacker would
2159    additionally need online access to an unpatched system using the target
2160    private key in a scenario with persistent DH parameters and a private
2161    key that is shared between multiple clients. For example this can occur by
2162    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2163    similar to CVE-2015-3193 but must be treated as a separate problem.
2164
2165    This issue was reported to OpenSSL by the OSS-Fuzz project.
2166    [CVE-2017-3732][]
2167
2168    *Andy Polyakov*
2169
2170 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016] ###
2171
2172  * ChaCha20/Poly1305 heap-buffer-overflow
2173
2174    TLS connections using *-CHACHA20-POLY1305 ciphersuites are susceptible to
2175    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2176    crash. This issue is not considered to be exploitable beyond a DoS.
2177
2178    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2179    [CVE-2016-7054][]
2180
2181    *Richard Levitte*
2182
2183  * CMS Null dereference
2184
2185    Applications parsing invalid CMS structures can crash with a NULL pointer
2186    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2187    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2188    structure callback if an attempt is made to free certain invalid encodings.
2189    Only CHOICE structures using a callback which do not handle NULL value are
2190    affected.
2191
2192    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2193    [CVE-2016-7053][]
2194
2195    *Stephen Henson*
2196
2197  * Montgomery multiplication may produce incorrect results
2198
2199    There is a carry propagating bug in the Broadwell-specific Montgomery
2200    multiplication procedure that handles input lengths divisible by, but
2201    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2202    and DH private keys are impossible. This is because the subroutine in
2203    question is not used in operations with the private key itself and an input
2204    of the attacker's direct choice. Otherwise the bug can manifest itself as
2205    transient authentication and key negotiation failures or reproducible
2206    erroneous outcome of public-key operations with specially crafted input.
2207    Among EC algorithms only Brainpool P-512 curves are affected and one
2208    presumably can attack ECDH key negotiation. Impact was not analyzed in
2209    detail, because pre-requisites for attack are considered unlikely. Namely
2210    multiple clients have to choose the curve in question and the server has to
2211    share the private key among them, neither of which is default behaviour.
2212    Even then only clients that chose the curve will be affected.
2213
2214    This issue was publicly reported as transient failures and was not
2215    initially recognized as a security issue. Thanks to Richard Morgan for
2216    providing reproducible case.
2217    [CVE-2016-7055][]
2218
2219    *Andy Polyakov*
2220
2221  * Removed automatic addition of RPATH in shared libraries and executables,
2222    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2223
2224    *Richard Levitte*
2225
2226 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016] ###
2227
2228  * Fix Use After Free for large message sizes
2229
2230    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2231    message larger than approx 16k is received then the underlying buffer to
2232    store the incoming message is reallocated and moved. Unfortunately a
2233    dangling pointer to the old location is left which results in an attempt to
2234    write to the previously freed location. This is likely to result in a
2235    crash, however it could potentially lead to execution of arbitrary code.
2236
2237    This issue only affects OpenSSL 1.1.0a.
2238
2239    This issue was reported to OpenSSL by Robert Święcki.
2240    [CVE-2016-6309][]
2241
2242    *Matt Caswell*
2243
2244 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016] ###
2245
2246  * OCSP Status Request extension unbounded memory growth
2247
2248    A malicious client can send an excessively large OCSP Status Request
2249    extension. If that client continually requests renegotiation, sending a
2250    large OCSP Status Request extension each time, then there will be unbounded
2251    memory growth on the server. This will eventually lead to a Denial Of
2252    Service attack through memory exhaustion. Servers with a default
2253    configuration are vulnerable even if they do not support OCSP. Builds using
2254    the "no-ocsp" build time option are not affected.
2255
2256    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2257    [CVE-2016-6304][]
2258
2259    *Matt Caswell*
2260
2261  * SSL_peek() hang on empty record
2262
2263    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2264    sends an empty record. This could be exploited by a malicious peer in a
2265    Denial Of Service attack.
2266
2267    This issue was reported to OpenSSL by Alex Gaynor.
2268    [CVE-2016-6305][]
2269
2270    *Matt Caswell*
2271
2272  * Excessive allocation of memory in tls_get_message_header() and
2273    dtls1_preprocess_fragment()
2274
2275    A (D)TLS message includes 3 bytes for its length in the header for the
2276    message. This would allow for messages up to 16Mb in length. Messages of
2277    this length are excessive and OpenSSL includes a check to ensure that a
2278    peer is sending reasonably sized messages in order to avoid too much memory
2279    being consumed to service a connection. A flaw in the logic of version
2280    1.1.0 means that memory for the message is allocated too early, prior to
2281    the excessive message length check. Due to way memory is allocated in
2282    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2283    to service a connection. This could lead to a Denial of Service through
2284    memory exhaustion. However, the excessive message length check still takes
2285    place, and this would cause the connection to immediately fail. Assuming
2286    that the application calls SSL_free() on the failed connection in a timely
2287    manner then the 21Mb of allocated memory will then be immediately freed
2288    again. Therefore the excessive memory allocation will be transitory in
2289    nature. This then means that there is only a security impact if:
2290
2291    1) The application does not call SSL_free() in a timely manner in the event
2292    that the connection fails
2293    or
2294    2) The application is working in a constrained environment where there is
2295    very little free memory
2296    or
2297    3) The attacker initiates multiple connection attempts such that there are
2298    multiple connections in a state where memory has been allocated for the
2299    connection; SSL_free() has not yet been called; and there is insufficient
2300    memory to service the multiple requests.
2301
2302    Except in the instance of (1) above any Denial Of Service is likely to be
2303    transitory because as soon as the connection fails the memory is
2304    subsequently freed again in the SSL_free() call. However there is an
2305    increased risk during this period of application crashes due to the lack of
2306    memory - which would then mean a more serious Denial of Service.
2307
2308    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2309    (CVE-2016-6307 and CVE-2016-6308)
2310
2311    *Matt Caswell*
2312
2313  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2314    had to be removed. Primary reason is that vendor assembler can't
2315    assemble our modules with -KPIC flag. As result it, assembly
2316    support, was not even available as option. But its lack means
2317    lack of side-channel resistant code, which is incompatible with
2318    security by todays standards. Fortunately gcc is readily available
2319    prepackaged option, which we firmly point at...
2320
2321    *Andy Polyakov*
2322
2323 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016] ###
2324
2325  * Windows command-line tool supports UTF-8 opt-in option for arguments
2326    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2327    (to any value) allows Windows user to access PKCS#12 file generated
2328    with Windows CryptoAPI and protected with non-ASCII password, as well
2329    as files generated under UTF-8 locale on Linux also protected with
2330    non-ASCII password.
2331
2332    *Andy Polyakov*
2333
2334  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2335    have been disabled by default and removed from DEFAULT, just like RC4.
2336    See the RC4 item below to re-enable both.
2337
2338    *Rich Salz*
2339
2340  * The method for finding the storage location for the Windows RAND seed file
2341    has changed. First we check %RANDFILE%. If that is not set then we check
2342    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2343    all else fails we fall back to C:\.
2344
2345    *Matt Caswell*
2346
2347  * The EVP_EncryptUpdate() function has had its return type changed from void
2348    to int. A return of 0 indicates and error while a return of 1 indicates
2349    success.
2350
2351    *Matt Caswell*
2352
2353  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2354    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2355    off the constant time implementation for RSA, DSA and DH have been made
2356    no-ops and deprecated.
2357
2358    *Matt Caswell*
2359
2360  * Windows RAND implementation was simplified to only get entropy by
2361    calling CryptGenRandom(). Various other RAND-related tickets
2362    were also closed.
2363
2364    *Joseph Wylie Yandle, Rich Salz*
2365
2366  * The stack and lhash API's were renamed to start with OPENSSL_SK_
2367    and OPENSSL_LH_, respectively.  The old names are available
2368    with API compatibility.  They new names are now completely documented.
2369
2370    *Rich Salz*
2371
2372  * Unify TYPE_up_ref(obj) methods signature.
2373    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2374    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2375    int (instead of void) like all others TYPE_up_ref() methods.
2376    So now these methods also check the return value of CRYPTO_atomic_add(),
2377    and the validity of object reference counter.
2378
2379    *fdasilvayy@gmail.com*
2380
2381  * With Windows Visual Studio builds, the .pdb files are installed
2382    alongside the installed libraries and executables.  For a static
2383    library installation, ossl_static.pdb is the associate compiler
2384    generated .pdb file to be used when linking programs.
2385
2386    *Richard Levitte*
2387
2388  * Remove openssl.spec.  Packaging files belong with the packagers.
2389
2390    *Richard Levitte*
2391
2392  * Automatic Darwin/OSX configuration has had a refresh, it will now
2393    recognise x86_64 architectures automatically.  You can still decide
2394    to build for a different bitness with the environment variable
2395    KERNEL_BITS (can be 32 or 64), for example:
2396
2397            KERNEL_BITS=32 ./config
2398
2399    *Richard Levitte*
2400
2401  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2402    256 bit AES and HMAC with SHA256.
2403
2404    *Steve Henson*
2405
2406  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2407
2408    *Andy Polyakov*
2409
2410  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2411
2412    *Rich Salz*
2413
2414  * To enable users to have their own config files and build file templates,
2415    Configure looks in the directory indicated by the environment variable
2416    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2417    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2418    name and is used as is.
2419
2420    *Richard Levitte*
2421
2422  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2423    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2424    X509_CERT_FILE_CTX was removed.
2425
2426    *Rich Salz*
2427
2428  * "shared" builds are now the default. To create only static libraries use
2429    the "no-shared" Configure option.
2430
2431    *Matt Caswell*
2432
2433  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2434    All of these option have not worked for some while and are fundamental
2435    algorithms.
2436
2437    *Matt Caswell*
2438
2439  * Make various cleanup routines no-ops and mark them as deprecated. Most
2440    global cleanup functions are no longer required because they are handled
2441    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2442    Explicitly de-initing can cause problems (e.g. where a library that uses
2443    OpenSSL de-inits, but an application is still using it). The affected
2444    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2445    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2446    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2447    COMP_zlib_cleanup().
2448
2449    *Matt Caswell*
2450
2451  * --strict-warnings no longer enables runtime debugging options
2452    such as REF_DEBUG. Instead, debug options are automatically
2453    enabled with '--debug' builds.
2454
2455    *Andy Polyakov, Emilia Käsper*
2456
2457  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2458    have been moved out of the public header files. New functions for managing
2459    these have been added.
2460
2461    *Matt Caswell*
2462
2463  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2464    objects have been moved out of the public header files. New
2465    functions for managing these have been added.
2466
2467    *Richard Levitte*
2468
2469  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2470    have been moved out of the public header files. New functions for managing
2471    these have been added.
2472
2473    *Matt Caswell*
2474
2475  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2476    moved out of the public header files. New functions for managing these
2477    have been added.
2478
2479    *Matt Caswell*
2480
2481  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2482
2483    *Matt Caswell*
2484
2485  * Removed the mk1mf build scripts.
2486
2487    *Richard Levitte*
2488
2489  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2490    it is always safe to #include a header now.
2491
2492    *Rich Salz*
2493
2494  * Removed the aged BC-32 config and all its supporting scripts
2495
2496    *Richard Levitte*
2497
2498  * Removed support for Ultrix, Netware, and OS/2.
2499
2500    *Rich Salz*
2501
2502  * Add support for HKDF.
2503
2504    *Alessandro Ghedini*
2505
2506  * Add support for blake2b and blake2s
2507
2508    *Bill Cox*
2509
2510  * Added support for "pipelining". Ciphers that have the
2511    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2512    encryptions/decryptions simultaneously. There are currently no built-in
2513    ciphers with this property but the expectation is that engines will be able
2514    to offer it to significantly improve throughput. Support has been extended
2515    into libssl so that multiple records for a single connection can be
2516    processed in one go (for >=TLS 1.1).
2517
2518    *Matt Caswell*
2519
2520  * Added the AFALG engine. This is an async capable engine which is able to
2521    offload work to the Linux kernel. In this initial version it only supports
2522    AES128-CBC. The kernel must be version 4.1.0 or greater.
2523
2524    *Catriona Lucey*
2525
2526  * OpenSSL now uses a new threading API. It is no longer necessary to
2527    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2528    are two supported threading models: pthreads and windows threads. It is
2529    also possible to configure OpenSSL at compile time for "no-threads". The
2530    old threading API should no longer be used. The functions have been
2531    replaced with "no-op" compatibility macros.
2532
2533    *Alessandro Ghedini, Matt Caswell*
2534
2535  * Modify behavior of ALPN to invoke callback after SNI/servername
2536    callback, such that updates to the SSL_CTX affect ALPN.
2537
2538    *Todd Short*
2539
2540  * Add SSL_CIPHER queries for authentication and key-exchange.
2541
2542    *Todd Short*
2543
2544  * Changes to the DEFAULT cipherlist:
2545      - Prefer (EC)DHE handshakes over plain RSA.
2546      - Prefer AEAD ciphers over legacy ciphers.
2547      - Prefer ECDSA over RSA when both certificates are available.
2548      - Prefer TLSv1.2 ciphers/PRF.
2549      - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2550        default cipherlist.
2551
2552    *Emilia Käsper*
2553
2554  * Change the ECC default curve list to be this, in order: x25519,
2555    secp256r1, secp521r1, secp384r1.
2556
2557    *Rich Salz*
2558
2559  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2560    disabled by default. They can be re-enabled using the
2561    enable-weak-ssl-ciphers option to Configure.
2562
2563    *Matt Caswell*
2564
2565  * If the server has ALPN configured, but supports no protocols that the
2566    client advertises, send a fatal "no_application_protocol" alert.
2567    This behaviour is SHALL in RFC 7301, though it isn't universally
2568    implemented by other servers.
2569
2570    *Emilia Käsper*
2571
2572  * Add X25519 support.
2573    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2574    for public and private key encoding using the format documented in
2575    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2576    key generation and key derivation.
2577
2578    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2579    X25519(29).
2580
2581    *Steve Henson*
2582
2583  * Deprecate SRP_VBASE_get_by_user.
2584    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2585    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2586    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2587    seed, even if the seed is configured.
2588
2589    Users should use SRP_VBASE_get1_by_user instead. Note that in
2590    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2591    also that even though configuring the SRP seed attempts to hide
2592    invalid usernames by continuing the handshake with fake
2593    credentials, this behaviour is not constant time and no strong
2594    guarantees are made that the handshake is indistinguishable from
2595    that of a valid user.
2596
2597    *Emilia Käsper*
2598
2599  * Configuration change; it's now possible to build dynamic engines
2600    without having to build shared libraries and vice versa.  This
2601    only applies to the engines in engines/, those in crypto/engine/
2602    will always be built into libcrypto (i.e. "static").
2603
2604    Building dynamic engines is enabled by default; to disable, use
2605    the configuration option "disable-dynamic-engine".
2606
2607    The only requirements for building dynamic engines are the
2608    presence of the DSO module and building with position independent
2609    code, so they will also automatically be disabled if configuring
2610    with "disable-dso" or "disable-pic".
2611
2612    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2613    are also taken away from openssl/opensslconf.h, as they are
2614    irrelevant.
2615
2616    *Richard Levitte*
2617
2618  * Configuration change; if there is a known flag to compile
2619    position independent code, it will always be applied on the
2620    libcrypto and libssl object files, and never on the application
2621    object files.  This means other libraries that use routines from
2622    libcrypto / libssl can be made into shared libraries regardless
2623    of how OpenSSL was configured.
2624
2625    If this isn't desirable, the configuration options "disable-pic"
2626    or "no-pic" can be used to disable the use of PIC.  This will
2627    also disable building shared libraries and dynamic engines.
2628
2629    *Richard Levitte*
2630
2631  * Removed JPAKE code.  It was experimental and has no wide use.
2632
2633    *Rich Salz*
2634
2635  * The INSTALL_PREFIX Makefile variable has been renamed to
2636    DESTDIR.  That makes for less confusion on what this variable
2637    is for.  Also, the configuration option --install_prefix is
2638    removed.
2639
2640    *Richard Levitte*
2641
2642  * Heartbeat for TLS has been removed and is disabled by default
2643    for DTLS; configure with enable-heartbeats.  Code that uses the
2644    old #define's might need to be updated.
2645
2646    *Emilia Käsper, Rich Salz*
2647
2648  * Rename REF_CHECK to REF_DEBUG.
2649
2650    *Rich Salz*
2651
2652  * New "unified" build system
2653
2654    The "unified" build system is aimed to be a common system for all
2655    platforms we support.  With it comes new support for VMS.
2656
2657    This system builds supports building in a different directory tree
2658    than the source tree.  It produces one Makefile (for unix family
2659    or lookalikes), or one descrip.mms (for VMS).
2660
2661    The source of information to make the Makefile / descrip.mms is
2662    small files called 'build.info', holding the necessary
2663    information for each directory with source to compile, and a
2664    template in Configurations, like unix-Makefile.tmpl or
2665    descrip.mms.tmpl.
2666
2667    With this change, the library names were also renamed on Windows
2668    and on VMS.  They now have names that are closer to the standard
2669    on Unix, and include the major version number, and in certain
2670    cases, the architecture they are built for.  See "Notes on shared
2671    libraries" in INSTALL.
2672
2673    We rely heavily on the perl module Text::Template.
2674
2675    *Richard Levitte*
2676
2677  * Added support for auto-initialisation and de-initialisation of the library.
2678    OpenSSL no longer requires explicit init or deinit routines to be called,
2679    except in certain circumstances. See the OPENSSL_init_crypto() and
2680    OPENSSL_init_ssl() man pages for further information.
2681
2682    *Matt Caswell*
2683
2684  * The arguments to the DTLSv1_listen function have changed. Specifically the
2685    "peer" argument is now expected to be a BIO_ADDR object.
2686
2687  * Rewrite of BIO networking library. The BIO library lacked consistent
2688    support of IPv6, and adding it required some more extensive
2689    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2690    which hold all types of addresses and chains of address information.
2691    It also introduces a new API, with functions like BIO_socket,
2692    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2693    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2694    have been adapted accordingly.
2695
2696    *Richard Levitte*
2697
2698  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2699    the leading 0-byte.
2700
2701    *Emilia Käsper*
2702
2703  * CRIME protection: disable compression by default, even if OpenSSL is
2704    compiled with zlib enabled. Applications can still enable compression
2705    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2706    using the SSL_CONF library to configure compression.
2707
2708    *Emilia Käsper*
2709
2710  * The signature of the session callback configured with
2711    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2712    was explicitly marked as 'const unsigned char*' instead of
2713    'unsigned char*'.
2714
2715    *Emilia Käsper*
2716
2717  * Always DPURIFY. Remove the use of uninitialized memory in the
2718    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2719
2720    *Emilia Käsper*
2721
2722  * Removed many obsolete configuration items, including
2723       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2724       MD2_CHAR, MD2_INT, MD2_LONG
2725       BF_PTR, BF_PTR2
2726       IDEA_SHORT, IDEA_LONG
2727       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2728
2729    *Rich Salz, with advice from Andy Polyakov*
2730
2731  * Many BN internals have been moved to an internal header file.
2732
2733    *Rich Salz with help from Andy Polyakov*
2734
2735  * Configuration and writing out the results from it has changed.
2736    Files such as Makefile include/openssl/opensslconf.h and are now
2737    produced through general templates, such as Makefile.in and
2738    crypto/opensslconf.h.in and some help from the perl module
2739    Text::Template.
2740
2741    Also, the center of configuration information is no longer
2742    Makefile.  Instead, Configure produces a perl module in
2743    configdata.pm which holds most of the config data (in the hash
2744    table %config), the target data that comes from the target
2745    configuration in one of the Configurations/*.conf files (in
2746    %target).
2747
2748    *Richard Levitte*
2749
2750  * To clarify their intended purposes, the Configure options
2751    --prefix and --openssldir change their semantics, and become more
2752    straightforward and less interdependent.
2753
2754    --prefix shall be used exclusively to give the location INSTALLTOP
2755    where programs, scripts, libraries, include files and manuals are
2756    going to be installed.  The default is now /usr/local.
2757
2758    --openssldir shall be used exclusively to give the default
2759    location OPENSSLDIR where certificates, private keys, CRLs are
2760    managed.  This is also where the default openssl.cnf gets
2761    installed.
2762    If the directory given with this option is a relative path, the
2763    values of both the --prefix value and the --openssldir value will
2764    be combined to become OPENSSLDIR.
2765    The default for --openssldir is INSTALLTOP/ssl.
2766
2767    Anyone who uses --openssldir to specify where OpenSSL is to be
2768    installed MUST change to use --prefix instead.
2769
2770    *Richard Levitte*
2771
2772  * The GOST engine was out of date and therefore it has been removed. An up
2773    to date GOST engine is now being maintained in an external repository.
2774    See: https://wiki.openssl.org/index.php/Binaries. Libssl still retains
2775    support for GOST ciphersuites (these are only activated if a GOST engine
2776    is present).
2777
2778    *Matt Caswell*
2779
2780  * EGD is no longer supported by default; use enable-egd when
2781    configuring.
2782
2783    *Ben Kaduk and Rich Salz*
2784
2785  * The distribution now has Makefile.in files, which are used to
2786    create Makefile's when Configure is run.  *Configure must be run
2787    before trying to build now.*
2788
2789    *Rich Salz*
2790
2791  * The return value for SSL_CIPHER_description() for error conditions
2792    has changed.
2793
2794    *Rich Salz*
2795
2796  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2797
2798    Obtaining and performing DNSSEC validation of TLSA records is
2799    the application's responsibility.  The application provides
2800    the TLSA records of its choice to OpenSSL, and these are then
2801    used to authenticate the peer.
2802
2803    The TLSA records need not even come from DNS.  They can, for
2804    example, be used to implement local end-entity certificate or
2805    trust-anchor "pinning", where the "pin" data takes the form
2806    of TLSA records, which can augment or replace verification
2807    based on the usual WebPKI public certification authorities.
2808
2809    *Viktor Dukhovni*
2810
2811  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2812    continues to support deprecated interfaces in default builds.
2813    However, applications are strongly advised to compile their
2814    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2815    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2816    or the 1.1.0 releases.
2817
2818    In environments in which all applications have been ported to
2819    not use any deprecated interfaces OpenSSL's Configure script
2820    should be used with the --api=1.1.0 option to entirely remove
2821    support for the deprecated features from the library and
2822    unconditionally disable them in the installed headers.
2823    Essentially the same effect can be achieved with the "no-deprecated"
2824    argument to Configure, except that this will always restrict
2825    the build to just the latest API, rather than a fixed API
2826    version.
2827
2828    As applications are ported to future revisions of the API,
2829    they should update their compile-time OPENSSL_API_COMPAT define
2830    accordingly, but in most cases should be able to continue to
2831    compile with later releases.
2832
2833    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2834    0x10000000L and 0x00908000L, respectively.  However those
2835    versions did not support the OPENSSL_API_COMPAT feature, and
2836    so applications are not typically tested for explicit support
2837    of just the undeprecated features of either release.
2838
2839    *Viktor Dukhovni*
2840
2841  * Add support for setting the minimum and maximum supported protocol.
2842    It can bet set via the SSL_set_min_proto_version() and
2843    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2844    MaxProtocol.  It's recommended to use the new APIs to disable
2845    protocols instead of disabling individual protocols using
2846    SSL_set_options() or SSL_CONF's Protocol.  This change also
2847    removes support for disabling TLS 1.2 in the OpenSSL TLS
2848    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2849
2850    *Kurt Roeckx*
2851
2852  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2853
2854    *Andy Polyakov*
2855
2856  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2857    and integrates ECDSA and ECDH functionality into EC. Implementations can
2858    now redirect key generation and no longer need to convert to or from
2859    ECDSA_SIG format.
2860
2861    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2862    include the ec.h header file instead.
2863
2864    *Steve Henson*
2865
2866  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2867    ciphers who are no longer supported and drops support the ephemeral RSA key
2868    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2869
2870    *Kurt Roeckx*
2871
2872  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2873    opaque.  For HMAC_CTX, the following constructors and destructors
2874    were added:
2875
2876       HMAC_CTX *HMAC_CTX_new(void);
2877       void HMAC_CTX_free(HMAC_CTX *ctx);
2878
2879    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2880    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2881    EVP_CIPHER_meth_new(3) for documentation.
2882
2883    Additional changes:
2884    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2885       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2886       EVP_MD_CTX_reset() should be called instead to reinitialise
2887       an already created structure.
2888    2) For consistency with the majority of our object creators and
2889       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2890       EVP_MD_CTX_(new|free).  The old names are retained as macros
2891       for deprecated builds.
2892
2893    *Richard Levitte*
2894
2895  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2896    cryptographic operations to be performed asynchronously as long as an
2897    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2898    further details. Libssl has also had this capability integrated with the
2899    introduction of the new mode SSL_MODE_ASYNC and associated error
2900    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2901    pages. This work was developed in partnership with Intel Corp.
2902
2903    *Matt Caswell*
2904
2905  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2906    always enabled now.  If you want to disable the support you should
2907    exclude it using the list of supported ciphers. This also means that the
2908    "-no_ecdhe" option has been removed from s_server.
2909
2910    *Kurt Roeckx*
2911
2912  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
2913    SSL_{CTX_}set1_curves() which can set a list.
2914
2915    *Kurt Roeckx*
2916
2917  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
2918    curve you want to support using SSL_{CTX_}set1_curves().
2919
2920    *Kurt Roeckx*
2921
2922  * State machine rewrite. The state machine code has been significantly
2923    refactored in order to remove much duplication of code and solve issues
2924    with the old code (see ssl/statem/README for further details). This change
2925    does have some associated API changes. Notably the SSL_state() function
2926    has been removed and replaced by SSL_get_state which now returns an
2927    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
2928    altogether. The previous handshake states defined in ssl.h and ssl3.h have
2929    also been removed.
2930
2931    *Matt Caswell*
2932
2933  * All instances of the string "ssleay" in the public API were replaced
2934    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
2935    Some error codes related to internal RSA_eay API's were renamed.
2936
2937    *Rich Salz*
2938
2939  * The demo files in crypto/threads were moved to demo/threads.
2940
2941    *Rich Salz*
2942
2943  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
2944    sureware and ubsec.
2945
2946    *Matt Caswell, Rich Salz*
2947
2948  * New ASN.1 embed macro.
2949
2950    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
2951    structure is not allocated: it is part of the parent. That is instead of
2952
2953            FOO *x;
2954
2955    it must be:
2956
2957            FOO x;
2958
2959    This reduces memory fragmentation and make it impossible to accidentally
2960    set a mandatory field to NULL.
2961
2962    This currently only works for some fields specifically a SEQUENCE, CHOICE,
2963    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
2964    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
2965    SEQUENCE OF.
2966
2967    *Steve Henson*
2968
2969  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
2970
2971    *Emilia Käsper*
2972
2973  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
2974    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
2975    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
2976    DES and RC4 ciphersuites.
2977
2978    *Matt Caswell*
2979
2980  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
2981    This changes the decoding behaviour for some invalid messages,
2982    though the change is mostly in the more lenient direction, and
2983    legacy behaviour is preserved as much as possible.
2984
2985    *Emilia Käsper*
2986
2987  * Fix no-stdio build.
2988    * David Woodhouse <David.Woodhouse@intel.com> and also
2989     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
2990
2991  * New testing framework
2992    The testing framework has been largely rewritten and is now using
2993    perl and the perl modules Test::Harness and an extended variant of
2994    Test::More called OpenSSL::Test to do its work.  All test scripts in
2995    test/ have been rewritten into test recipes, and all direct calls to
2996    executables in test/Makefile have become individual recipes using the
2997    simplified testing OpenSSL::Test::Simple.
2998
2999    For documentation on our testing modules, do:
3000
3001            perldoc test/testlib/OpenSSL/Test/Simple.pm
3002            perldoc test/testlib/OpenSSL/Test.pm
3003
3004    *Richard Levitte*
3005
3006  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3007    are used; the latter aborts on memory leaks (usually checked on exit).
3008    Some undocumented "set malloc, etc., hooks" functions were removed
3009    and others were changed.  All are now documented.
3010
3011    *Rich Salz*
3012
3013  * In DSA_generate_parameters_ex, if the provided seed is too short,
3014    return an error
3015
3016    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3017
3018  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3019    from RFC4279, RFC4785, RFC5487, RFC5489.
3020
3021    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3022    original RSA_PSK patch.
3023
3024    *Steve Henson*
3025
3026  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3027    era flag was never set throughout the codebase (only read). Also removed
3028    SSL3_FLAGS_POP_BUFFER which was only used if
3029    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3030
3031    *Matt Caswell*
3032
3033  * Changed the default name options in the "ca", "crl", "req" and "x509"
3034    to be "oneline" instead of "compat".
3035
3036    *Richard Levitte*
3037
3038  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3039    not aware of clients that still exhibit this bug, and the workaround
3040    hasn't been working properly for a while.
3041
3042    *Emilia Käsper*
3043
3044  * The return type of BIO_number_read() and BIO_number_written() as well as
3045    the corresponding num_read and num_write members in the BIO structure has
3046    changed from unsigned long to uint64_t. On platforms where an unsigned
3047    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3048    transferred.
3049
3050    *Matt Caswell*
3051
3052  * Given the pervasive nature of TLS extensions it is inadvisable to run
3053    OpenSSL without support for them. It also means that maintaining
3054    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3055    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3056
3057    *Matt Caswell*
3058
3059  * Removed support for the two export grade static DH ciphersuites
3060    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3061    were newly added (along with a number of other static DH ciphersuites) to
3062    1.0.2. However the two export ones have *never* worked since they were
3063    introduced. It seems strange in any case to be adding new export
3064    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3065
3066    *Matt Caswell*
3067
3068  * Version negotiation has been rewritten. In particular SSLv23_method(),
3069    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3070    and turned into macros which simply call the new preferred function names
3071    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3072    should use the new names instead. Also as part of this change the ssl23.h
3073    header file has been removed.
3074
3075    *Matt Caswell*
3076
3077  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3078    code and the associated standard is no longer considered fit-for-purpose.
3079
3080    *Matt Caswell*
3081
3082  * RT2547 was closed.  When generating a private key, try to make the
3083    output file readable only by the owner.  This behavior change might
3084    be noticeable when interacting with other software.
3085
3086  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3087    Added a test.
3088
3089    *Rich Salz*
3090
3091  * Added HTTP GET support to the ocsp command.
3092
3093    *Rich Salz*
3094
3095  * Changed default digest for the dgst and enc commands from MD5 to
3096    sha256
3097
3098    *Rich Salz*
3099
3100  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3101
3102    *Matt Caswell*
3103
3104  * Added support for TLS extended master secret from
3105    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3106    initial patch which was a great help during development.
3107
3108    *Steve Henson*
3109
3110  * All libssl internal structures have been removed from the public header
3111    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3112    now redundant). Users should not attempt to access internal structures
3113    directly. Instead they should use the provided API functions.
3114
3115    *Matt Caswell*
3116
3117  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3118    Access to deprecated functions can be re-enabled by running config with
3119    "enable-deprecated". In addition applications wishing to use deprecated
3120    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3121    will, by default, disable some transitive includes that previously existed
3122    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3123
3124    *Matt Caswell*
3125
3126  * Added support for OCB mode. OpenSSL has been granted a patent license
3127    compatible with the OpenSSL license for use of OCB. Details are available
3128    at https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf. Support
3129    for OCB can be removed by calling config with no-ocb.
3130
3131    *Matt Caswell*
3132
3133  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3134    compatible client hello.
3135
3136    *Kurt Roeckx*
3137
3138  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3139    done while fixing the error code for the key-too-small case.
3140
3141    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3142
3143  * CA.sh has been removed; use CA.pl instead.
3144
3145    *Rich Salz*
3146
3147  * Removed old DES API.
3148
3149    *Rich Salz*
3150
3151  * Remove various unsupported platforms:
3152       Sony NEWS4
3153       BEOS and BEOS_R5
3154       NeXT
3155       SUNOS
3156       MPE/iX
3157       Sinix/ReliantUNIX RM400
3158       DGUX
3159       NCR
3160       Tandem
3161       Cray
3162       16-bit platforms such as WIN16
3163
3164    *Rich Salz*
3165
3166  * Clean up OPENSSL_NO_xxx #define's
3167     - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3168     - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3169     - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3170     - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3171     - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3172     - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3173       OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3174       OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3175       OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3176     - Remove MS_STATIC; it's a relic from platforms <32 bits.
3177
3178    *Rich Salz*
3179
3180  * Cleaned up dead code
3181      Remove all but one '#ifdef undef' which is to be looked at.
3182
3183    *Rich Salz*
3184
3185  * Clean up calling of xxx_free routines.
3186       Just like free(), fix most of the xxx_free routines to accept
3187       NULL.  Remove the non-null checks from callers.  Save much code.
3188
3189    *Rich Salz*
3190
3191  * Add secure heap for storage of private keys (when possible).
3192    Add BIO_s_secmem(), CBIGNUM, etc.
3193    Contributed by Akamai Technologies under our Corporate CLA.
3194
3195    *Rich Salz*
3196
3197  * Experimental support for a new, fast, unbiased prime candidate generator,
3198    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3199
3200    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3201
3202  * New output format NSS in the sess_id command line tool. This allows
3203    exporting the session id and the master key in NSS keylog format.
3204
3205    *Martin Kaiser <martin@kaiser.cx>*
3206
3207  * Harmonize version and its documentation. -f flag is used to display
3208    compilation flags.
3209
3210    *mancha <mancha1@zoho.com>*
3211
3212  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3213    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3214
3215    *mancha <mancha1@zoho.com>*
3216
3217  * Fix some double frees. These are not thought to be exploitable.
3218
3219    *mancha <mancha1@zoho.com>*
3220
3221  * A missing bounds check in the handling of the TLS heartbeat extension
3222    can be used to reveal up to 64k of memory to a connected client or
3223    server.
3224
3225    Thanks for Neel Mehta of Google Security for discovering this bug and to
3226    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3227    preparing the fix [CVE-2014-0160][]
3228
3229    *Adam Langley, Bodo Moeller*
3230
3231  * Fix for the attack described in the paper "Recovering OpenSSL
3232    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3233    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3234    http://eprint.iacr.org/2014/140
3235
3236    Thanks to Yuval Yarom and Naomi Benger for discovering this
3237    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3238
3239    *Yuval Yarom and Naomi Benger*
3240
3241  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3242    this fixes a limitation in previous versions of OpenSSL.
3243
3244    *Steve Henson*
3245
3246  * Experimental encrypt-then-mac support.
3247
3248    Experimental support for encrypt then mac from
3249    draft-gutmann-tls-encrypt-then-mac-02.txt
3250
3251    To enable it set the appropriate extension number (0x42 for the test
3252    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3253
3254    For non-compliant peers (i.e. just about everything) this should have no
3255    effect.
3256
3257    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3258
3259
3260    *Steve Henson*
3261
3262  * Add EVP support for key wrapping algorithms, to avoid problems with
3263    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3264    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3265    algorithms and include tests cases.
3266
3267    *Steve Henson*
3268
3269  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3270    enveloped data.
3271
3272    *Steve Henson*
3273
3274  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3275    MGF1 digest and OAEP label.
3276
3277    *Steve Henson*
3278
3279  * Make openssl verify return errors.
3280
3281    *Chris Palmer <palmer@google.com> and Ben Laurie*
3282
3283  * New function ASN1_TIME_diff to calculate the difference between two
3284    ASN1_TIME structures or one structure and the current time.
3285
3286    *Steve Henson*
3287
3288  * Update fips_test_suite to support multiple command line options. New
3289    test to induce all self test errors in sequence and check expected
3290    failures.
3291
3292    *Steve Henson*
3293
3294  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3295    sign or verify all in one operation.
3296
3297    *Steve Henson*
3298
3299  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3300    test programs and fips_test_suite. Includes functionality to parse
3301    the minimal script output of fipsalgest.pl directly.
3302
3303    *Steve Henson*
3304
3305  * Add authorisation parameter to FIPS_module_mode_set().
3306
3307    *Steve Henson*
3308
3309  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3310
3311    *Steve Henson*
3312
3313  * Use separate DRBG fields for internal and external flags. New function
3314    FIPS_drbg_health_check() to perform on demand health checking. Add
3315    generation tests to fips_test_suite with reduced health check interval to
3316    demonstrate periodic health checking. Add "nodh" option to
3317    fips_test_suite to skip very slow DH test.
3318
3319    *Steve Henson*
3320
3321  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3322    based on NID.
3323
3324    *Steve Henson*
3325
3326  * More extensive health check for DRBG checking many more failure modes.
3327    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3328    combination: call this in fips_test_suite.
3329
3330    *Steve Henson*
3331
3332  * Add support for canonical generation of DSA parameter 'g'. See
3333    FIPS 186-3 A.2.3.
3334
3335  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3336    POST to handle HMAC cases.
3337
3338    *Steve Henson*
3339
3340  * Add functions FIPS_module_version() and FIPS_module_version_text()
3341    to return numerical and string versions of the FIPS module number.
3342
3343    *Steve Henson*
3344
3345  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3346    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3347    outside the validated module in the FIPS capable OpenSSL.
3348
3349    *Steve Henson*
3350
3351  * Minor change to DRBG entropy callback semantics. In some cases
3352    there is no multiple of the block length between min_len and
3353    max_len. Allow the callback to return more than max_len bytes
3354    of entropy but discard any extra: it is the callback's responsibility
3355    to ensure that the extra data discarded does not impact the
3356    requested amount of entropy.
3357
3358    *Steve Henson*
3359
3360  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3361    information in FIPS186-3, SP800-57 and SP800-131A.
3362
3363    *Steve Henson*
3364
3365  * CCM support via EVP. Interface is very similar to GCM case except we
3366    must supply all data in one chunk (i.e. no update, final) and the
3367    message length must be supplied if AAD is used. Add algorithm test
3368    support.
3369
3370    *Steve Henson*
3371
3372  * Initial version of POST overhaul. Add POST callback to allow the status
3373    of POST to be monitored and/or failures induced. Modify fips_test_suite
3374    to use callback. Always run all selftests even if one fails.
3375
3376    *Steve Henson*
3377
3378  * XTS support including algorithm test driver in the fips_gcmtest program.
3379    Note: this does increase the maximum key length from 32 to 64 bytes but
3380    there should be no binary compatibility issues as existing applications
3381    will never use XTS mode.
3382
3383    *Steve Henson*
3384
3385  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3386    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3387    performs algorithm blocking for unapproved PRNG types. Also do not
3388    set PRNG type in FIPS_mode_set(): leave this to the application.
3389    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3390    the standard OpenSSL PRNG: set additional data to a date time vector.
3391
3392    *Steve Henson*
3393
3394  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3395    This shouldn't present any incompatibility problems because applications
3396    shouldn't be using these directly and any that are will need to rethink
3397    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3398
3399    *Steve Henson*
3400
3401  * Extensive self tests and health checking required by SP800-90 DRBG.
3402    Remove strength parameter from FIPS_drbg_instantiate and always
3403    instantiate at maximum supported strength.
3404
3405    *Steve Henson*
3406
3407  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3408
3409    *Steve Henson*
3410
3411  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3412
3413    *Steve Henson*
3414
3415  * New function DH_compute_key_padded() to compute a DH key and pad with
3416    leading zeroes if needed: this complies with SP800-56A et al.
3417
3418    *Steve Henson*
3419
3420  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3421    anything, incomplete, subject to change and largely untested at present.
3422
3423    *Steve Henson*
3424
3425  * Modify fipscanisteronly build option to only build the necessary object
3426    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3427
3428    *Steve Henson*
3429
3430  * Add experimental option FIPSSYMS to give all symbols in
3431    fipscanister.o and FIPS or fips prefix. This will avoid
3432    conflicts with future versions of OpenSSL. Add perl script
3433    util/fipsas.pl to preprocess assembly language source files
3434    and rename any affected symbols.
3435
3436    *Steve Henson*
3437
3438  * Add selftest checks and algorithm block of non-fips algorithms in
3439    FIPS mode. Remove DES2 from selftests.
3440
3441    *Steve Henson*
3442
3443  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3444    return internal method without any ENGINE dependencies. Add new
3445    tiny fips sign and verify functions.
3446
3447    *Steve Henson*
3448
3449  * New build option no-ec2m to disable characteristic 2 code.
3450
3451    *Steve Henson*
3452
3453  * New build option "fipscanisteronly". This only builds fipscanister.o
3454    and (currently) associated fips utilities. Uses the file Makefile.fips
3455    instead of Makefile.org as the prototype.
3456
3457    *Steve Henson*
3458
3459  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3460    Update fips_gcmtest to use IV generator.
3461
3462    *Steve Henson*
3463
3464  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3465    setting output buffer to NULL. The *Final function must be
3466    called although it will not retrieve any additional data. The tag
3467    can be set or retrieved with a ctrl. The IV length is by default 12
3468    bytes (96 bits) but can be set to an alternative value. If the IV
3469    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3470    set before the key.
3471
3472    *Steve Henson*
3473
3474  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3475    underlying do_cipher function handles all cipher semantics itself
3476    including padding and finalisation. This is useful if (for example)
3477    an ENGINE cipher handles block padding itself. The behaviour of
3478    do_cipher is subtly changed if this flag is set: the return value
3479    is the number of characters written to the output buffer (zero is
3480    no longer an error code) or a negative error code. Also if the
3481    input buffer is NULL and length 0 finalisation should be performed.
3482
3483    *Steve Henson*
3484
3485  * If a candidate issuer certificate is already part of the constructed
3486    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3487
3488    *Steve Henson*
3489
3490  * Improve forward-security support: add functions
3491
3492            void SSL_CTX_set_not_resumable_session_callback(
3493                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3494            void SSL_set_not_resumable_session_callback(
3495                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3496
3497    for use by SSL/TLS servers; the callback function will be called whenever a
3498    new session is created, and gets to decide whether the session may be
3499    cached to make it resumable (return 0) or not (return 1).  (As by the
3500    SSL/TLS protocol specifications, the session_id sent by the server will be
3501    empty to indicate that the session is not resumable; also, the server will
3502    not generate RFC 4507 (RFC 5077) session tickets.)
3503
3504    A simple reasonable callback implementation is to return is_forward_secure.
3505    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3506    by the SSL/TLS server library, indicating whether it can provide forward
3507    security.
3508
3509    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3510
3511  * New -verify_name option in command line utilities to set verification
3512    parameters by name.
3513
3514    *Steve Henson*
3515
3516  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3517    Add CMAC pkey methods.
3518
3519    *Steve Henson*
3520
3521  * Experimental renegotiation in s_server -www mode. If the client
3522    browses /reneg connection is renegotiated. If /renegcert it is
3523    renegotiated requesting a certificate.
3524
3525    *Steve Henson*
3526
3527  * Add an "external" session cache for debugging purposes to s_server. This
3528    should help trace issues which normally are only apparent in deployed
3529    multi-process servers.
3530
3531    *Steve Henson*
3532
3533  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3534    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3535    BIO_set_cipher() and some obscure PEM functions were changed so they
3536    can now return an error. The RAND changes required a change to the
3537    RAND_METHOD structure.
3538
3539    *Steve Henson*
3540
3541  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3542    a gcc attribute to warn if the result of a function is ignored. This
3543    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3544    whose return value is often ignored.
3545
3546    *Steve Henson*
3547
3548  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3549    These allow SCTs (signed certificate timestamps) to be requested and
3550    validated when establishing a connection.
3551
3552    *Rob Percival <robpercival@google.com>*
3553
3554 OpenSSL 1.0.2
3555 -------------
3556
3557 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019] ###
3558
3559  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3560    used even when parsing explicit parameters, when loading a serialized key
3561    or calling `EC_GROUP_new_from_ecpkparameters()`/
3562    `EC_GROUP_new_from_ecparameters()`.
3563    This prevents bypass of security hardening and performance gains,
3564    especially for curves with specialized EC_METHODs.
3565    By default, if a key encoded with explicit parameters is loaded and later
3566    serialized, the output is still encoded with explicit parameters, even if
3567    internally a "named" EC_GROUP is used for computation.
3568
3569    *Nicola Tuveri*
3570
3571  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3572    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3573    NULL. After this change, only the cofactor parameter can be NULL. It also
3574    does some minimal sanity checks on the passed order.
3575    [CVE-2019-1547][]
3576
3577    *Billy Bob Brumley*
3578
3579  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3580    An attack is simple, if the first CMS_recipientInfo is valid but the
3581    second CMS_recipientInfo is chosen ciphertext. If the second
3582    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3583    encryption key will be replaced by garbage, and the message cannot be
3584    decoded, but if the RSA decryption fails, the correct encryption key is
3585    used and the recipient will not notice the attack.
3586    As a work around for this potential attack the length of the decrypted
3587    key must be equal to the cipher default key length, in case the
3588    certifiate is not given and all recipientInfo are tried out.
3589    The old behaviour can be re-enabled in the CMS code by setting the
3590    CMS_DEBUG_DECRYPT flag.
3591    [CVE-2019-1563][]
3592
3593    *Bernd Edlinger*
3594
3595  * Document issue with installation paths in diverse Windows builds
3596
3597    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3598    binaries and run-time config file.
3599    [CVE-2019-1552][]
3600
3601    *Richard Levitte*
3602
3603 ### Changes between 1.0.2r and 1.0.2s [28 May 2019] ###
3604
3605  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3606    This changes the size when using the genpkey app when no size is given. It
3607    fixes an omission in earlier changes that changed all RSA, DSA and DH
3608    generation apps to use 2048 bits by default.
3609
3610    *Kurt Roeckx*
3611
3612  * Add FIPS support for Android Arm 64-bit
3613
3614    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3615    Module in Version 2.0.10. For some reason, the corresponding target
3616    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3617    built with FIPS support on Android Arm 64-bit. This omission has been
3618    fixed.
3619
3620    *Matthias St. Pierre*
3621
3622 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019] ###
3623
3624  * 0-byte record padding oracle
3625
3626    If an application encounters a fatal protocol error and then calls
3627    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3628    then OpenSSL can respond differently to the calling application if a 0 byte
3629    record is received with invalid padding compared to if a 0 byte record is
3630    received with an invalid MAC. If the application then behaves differently
3631    based on that in a way that is detectable to the remote peer, then this
3632    amounts to a padding oracle that could be used to decrypt data.
3633
3634    In order for this to be exploitable "non-stitched" ciphersuites must be in
3635    use. Stitched ciphersuites are optimised implementations of certain
3636    commonly used ciphersuites. Also the application must call SSL_shutdown()
3637    twice even if a protocol error has occurred (applications should not do
3638    this but some do anyway).
3639
3640    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3641    Aviram, with additional investigation by Steven Collison and Andrew
3642    Hourselt. It was reported to OpenSSL on 10th December 2018.
3643    [CVE-2019-1559][]
3644
3645    *Matt Caswell*
3646
3647  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3648
3649    *Richard Levitte*
3650
3651 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018] ###
3652
3653  * Microarchitecture timing vulnerability in ECC scalar multiplication
3654
3655    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3656    shown to be vulnerable to a microarchitecture timing side channel attack.
3657    An attacker with sufficient access to mount local timing attacks during
3658    ECDSA signature generation could recover the private key.
3659
3660    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3661    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3662    Nicola Tuveri.
3663    [CVE-2018-5407][]
3664
3665    *Billy Brumley*
3666
3667  * Timing vulnerability in DSA signature generation
3668
3669    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3670    timing side channel attack. An attacker could use variations in the signing
3671    algorithm to recover the private key.
3672
3673    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3674    [CVE-2018-0734][]
3675
3676    *Paul Dale*
3677
3678  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3679    Module, accidentally introduced while backporting security fixes from the
3680    development branch and hindering the use of ECC in FIPS mode.
3681
3682    *Nicola Tuveri*
3683
3684 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018] ###
3685
3686  * Client DoS due to large DH parameter
3687
3688    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3689    malicious server can send a very large prime value to the client. This will
3690    cause the client to spend an unreasonably long period of time generating a
3691    key for this prime resulting in a hang until the client has finished. This
3692    could be exploited in a Denial Of Service attack.
3693
3694    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3695    [CVE-2018-0732][]
3696
3697    *Guido Vranken*
3698
3699  * Cache timing vulnerability in RSA Key Generation
3700
3701    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3702    a cache timing side channel attack. An attacker with sufficient access to
3703    mount cache timing attacks during the RSA key generation process could
3704    recover the private key.
3705
3706    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3707    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3708    [CVE-2018-0737][]
3709
3710    *Billy Brumley*
3711
3712  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3713    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3714    pem_str is reserved for alias entries only.
3715
3716    *Richard Levitte*
3717
3718  * Revert blinding in ECDSA sign and instead make problematic addition
3719    length-invariant. Switch even to fixed-length Montgomery multiplication.
3720
3721    *Andy Polyakov*
3722
3723  * Change generating and checking of primes so that the error rate of not
3724    being prime depends on the intended use based on the size of the input.
3725    For larger primes this will result in more rounds of Miller-Rabin.
3726    The maximal error rate for primes with more than 1080 bits is lowered
3727    to 2^-128.
3728
3729    *Kurt Roeckx, Annie Yousar*
3730
3731  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3732
3733    *Kurt Roeckx*
3734
3735  * Add blinding to ECDSA and DSA signatures to protect against side channel
3736    attacks discovered by Keegan Ryan (NCC Group).
3737
3738    *Matt Caswell*
3739
3740  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3741    now allow empty (zero character) pass phrases.
3742
3743    *Richard Levitte*
3744
3745  * Certificate time validation (X509_cmp_time) enforces stricter
3746    compliance with RFC 5280. Fractional seconds and timezone offsets
3747    are no longer allowed.
3748
3749    *Emilia Käsper*
3750
3751 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018] ###
3752
3753  * Constructed ASN.1 types with a recursive definition could exceed the stack
3754
3755    Constructed ASN.1 types with a recursive definition (such as can be found
3756    in PKCS7) could eventually exceed the stack given malicious input with
3757    excessive recursion. This could result in a Denial Of Service attack. There
3758    are no such structures used within SSL/TLS that come from untrusted sources
3759    so this is considered safe.
3760
3761    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3762    project.
3763    [CVE-2018-0739][]
3764
3765    *Matt Caswell*
3766
3767 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017] ###
3768
3769  * Read/write after SSL object in error state
3770
3771    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3772    mechanism. The intent was that if a fatal error occurred during a handshake
3773    then OpenSSL would move into the error state and would immediately fail if
3774    you attempted to continue the handshake. This works as designed for the
3775    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3776    SSL_connect()), however due to a bug it does not work correctly if
3777    SSL_read() or SSL_write() is called directly. In that scenario, if the
3778    handshake fails then a fatal error will be returned in the initial function
3779    call. If SSL_read()/SSL_write() is subsequently called by the application
3780    for the same SSL object then it will succeed and the data is passed without
3781    being decrypted/encrypted directly from the SSL/TLS record layer.
3782
3783    In order to exploit this issue an application bug would have to be present
3784    that resulted in a call to SSL_read()/SSL_write() being issued after having
3785    already received a fatal error.
3786
3787    This issue was reported to OpenSSL by David Benjamin (Google).
3788    [CVE-2017-3737][]
3789
3790    *Matt Caswell*
3791
3792  * rsaz_1024_mul_avx2 overflow bug on x86_64
3793
3794    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3795    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3796    Analysis suggests that attacks against RSA and DSA as a result of this
3797    defect would be very difficult to perform and are not believed likely.
3798    Attacks against DH1024 are considered just feasible, because most of the
3799    work necessary to deduce information about a private key may be performed
3800    offline. The amount of resources required for such an attack would be
3801    significant. However, for an attack on TLS to be meaningful, the server
3802    would have to share the DH1024 private key among multiple clients, which is
3803    no longer an option since CVE-2016-0701.
3804
3805    This only affects processors that support the AVX2 but not ADX extensions
3806    like Intel Haswell (4th generation).
3807
3808    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3809    was originally found via the OSS-Fuzz project.
3810    [CVE-2017-3738][]
3811
3812    *Andy Polyakov*
3813
3814 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017] ###
3815
3816  * bn_sqrx8x_internal carry bug on x86_64
3817
3818    There is a carry propagating bug in the x86_64 Montgomery squaring
3819    procedure. No EC algorithms are affected. Analysis suggests that attacks
3820    against RSA and DSA as a result of this defect would be very difficult to
3821    perform and are not believed likely. Attacks against DH are considered just
3822    feasible (although very difficult) because most of the work necessary to
3823    deduce information about a private key may be performed offline. The amount
3824    of resources required for such an attack would be very significant and
3825    likely only accessible to a limited number of attackers. An attacker would
3826    additionally need online access to an unpatched system using the target
3827    private key in a scenario with persistent DH parameters and a private
3828    key that is shared between multiple clients.
3829
3830    This only affects processors that support the BMI1, BMI2 and ADX extensions
3831    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3832
3833    This issue was reported to OpenSSL by the OSS-Fuzz project.
3834    [CVE-2017-3736][]
3835
3836    *Andy Polyakov*
3837
3838  * Malformed X.509 IPAddressFamily could cause OOB read
3839
3840    If an X.509 certificate has a malformed IPAddressFamily extension,
3841    OpenSSL could do a one-byte buffer overread. The most likely result
3842    would be an erroneous display of the certificate in text format.
3843
3844    This issue was reported to OpenSSL by the OSS-Fuzz project.
3845    [CVE-2017-3735][]
3846
3847    *Rich Salz*
3848
3849 ### Changes between 1.0.2k and 1.0.2l [25 May 2017] ###
3850
3851  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3852    platform rather than 'mingw'.
3853
3854    *Richard Levitte*
3855
3856 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017] ###
3857
3858  * Truncated packet could crash via OOB read
3859
3860    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3861    cipher is being used, then a truncated packet can cause that host to
3862    perform an out-of-bounds read, usually resulting in a crash.
3863
3864    This issue was reported to OpenSSL by Robert Święcki of Google.
3865    [CVE-2017-3731][]
3866
3867    *Andy Polyakov*
3868
3869  * BN_mod_exp may produce incorrect results on x86_64
3870
3871    There is a carry propagating bug in the x86_64 Montgomery squaring
3872    procedure. No EC algorithms are affected. Analysis suggests that attacks
3873    against RSA and DSA as a result of this defect would be very difficult to
3874    perform and are not believed likely. Attacks against DH are considered just
3875    feasible (although very difficult) because most of the work necessary to
3876    deduce information about a private key may be performed offline. The amount
3877    of resources required for such an attack would be very significant and
3878    likely only accessible to a limited number of attackers. An attacker would
3879    additionally need online access to an unpatched system using the target
3880    private key in a scenario with persistent DH parameters and a private
3881    key that is shared between multiple clients. For example this can occur by
3882    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3883    similar to CVE-2015-3193 but must be treated as a separate problem.
3884
3885    This issue was reported to OpenSSL by the OSS-Fuzz project.
3886    [CVE-2017-3732][]
3887
3888    *Andy Polyakov*
3889
3890  * Montgomery multiplication may produce incorrect results
3891
3892    There is a carry propagating bug in the Broadwell-specific Montgomery