deprecate EC_POINT_make_affine and EC_POINTs_make_affine
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10 OpenSSL Releases
11 ----------------
12
13  - [OpenSSL 3.0](#openssl-30)
14  - [OpenSSL 1.1.1](#openssl-111)
15  - [OpenSSL 1.1.0](#openssl-110)
16  - [OpenSSL 1.0.2](#openssl-102)
17  - [OpenSSL 1.0.1](#openssl-101)
18  - [OpenSSL 1.0.0](#openssl-100)
19  - [OpenSSL 0.9.x](#openssl-09x)
20
21 OpenSSL 3.0
22 -----------
23
24 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx]
25
26  * Deprecated EC_POINT_make_affine() and EC_POINTs_make_affine(). These
27    functions are not widely used and now OpenSSL automatically perform this
28    conversion when needed.
29
30    *Billy Bob Brumley*
31
32  * Deprecated EC_GROUP_precompute_mult(), EC_GROUP_have_precompute_mult(), and
33    EC_KEY_precompute_mult(). These functions are not widely used and
34    applications should instead switch to named curves which OpenSSL has
35    hardcoded lookup tables for.
36
37    *Billy Bob Brumley*
38
39  * Deprecated EC_POINTs_mul(). This function is not widely used and applications
40    should instead use the L<EC_POINT_mul(3)> function.
41
42    *Billy Bob Brumley*
43
44  * Removed FIPS_mode() and FIPS_mode_set(). These functions are legacy API's
45    that are not applicable to the new provider model. Applications should
46    instead use EVP_default_properties_is_fips_enabled() and
47    EVP_default_properties_enable_fips().
48
49    *Shane Lontis*
50
51  * The SSL option SSL_OP_IGNORE_UNEXPECTED_EOF is introduced. If that option
52    is set, an unexpected EOF is ignored, it pretends a close notify was received
53    instead and so the returned error becomes SSL_ERROR_ZERO_RETURN.
54
55    *Dmitry Belyavskiy*
56
57  * Deprecated EC_POINT_set_Jprojective_coordinates_GFp() and
58    EC_POINT_get_Jprojective_coordinates_GFp(). These functions are not widely
59    used and applications should instead use the
60    L<EC_POINT_set_affine_coordinates(3)> and
61    L<EC_POINT_get_affine_coordinates(3)> functions.
62
63    *Billy Bob Brumley*
64
65  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
66    arrays to be more easily constructed via a series of utility functions.
67    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
68    the various push functions and finally convert to a passable OSSL_PARAM
69    array using OSSL_PARAM_BLD_to_param().
70
71    *Paul Dale*
72
73  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
74    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
75    internal keys, if they correspond to one of those built in types.
76
77    *Richard Levitte*
78
79  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
80    contain a provider side internal key.
81
82    *Richard Levitte*
83
84  * ASN1_verify(), ASN1_digest() and ASN1_sign() have been deprecated.
85    They are old functions that we don't use, and that you could disable with
86    the macro NO_ASN1_OLD.  This goes all the way back to OpenSSL 0.9.7.
87
88    *Richard Levitte*
89
90  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
91    have been converted to Markdown with the goal to produce documents
92    which not only look pretty when viewed online in the browser, but
93    remain well readable inside a plain text editor.
94
95    To achieve this goal, a 'minimalistic' Markdown style has been applied
96    which avoids formatting elements that interfere too much with the
97    reading flow in the text file. For example, it
98
99    * avoids [ATX headings][] and uses [setext headings][] instead
100      (which works for `<h1>` and `<h2>` headings only).
101    * avoids [inline links][] and uses [reference links][] instead.
102    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
103
104      [ATX headings]:         https://github.github.com/gfm/#atx-headings
105      [setext headings]:      https://github.github.com/gfm/#setext-headings
106      [inline links]:         https://github.github.com/gfm/#inline-link
107      [reference links]:      https://github.github.com/gfm/#reference-link
108      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
109      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
110
111    *Matthias St. Pierre*
112
113  * The test suite is changed to preserve results of each test recipe.
114    A new directory test-runs/ with subdirectories named like the
115    test recipes are created in the build tree for this purpose.
116
117    *Richard Levitte*
118
119  * Added an implementation of CMP and CRMF (RFC 4210, RFC 4211 RFC 6712).
120    This adds crypto/cmp/, crpyto/crmf/, apps/cmp.c, and test/cmp_*.
121    See L<openssl-cmp(1)> and L<OSSL_CMP_exec_IR_ses(3)> as starting points.
122
123    *David von Oheimb, Martin Peylo*
124
125  * Generalized the HTTP client code from crypto/ocsp/ into crpyto/http/.
126    The legacy OCSP-focused and only partly documented API is retained.
127    See L<OSSL_CMP_MSG_http_perform(3)> etc. for details.
128
129    *David von Oheimb*
130
131  * All of the low level RSA functions have been deprecated including:
132
133    RSA_new_method, RSA_size, RSA_security_bits, RSA_get0_pss_params,
134    RSA_get_version, RSA_get0_engine, RSA_generate_key_ex,
135    RSA_generate_multi_prime_key, RSA_X931_derive_ex, RSA_X931_generate_key_ex,
136    RSA_check_key, RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
137    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
138    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
139    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
140    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING, RSA_blinding_on,
141    RSA_blinding_off, RSA_setup_blinding, RSA_padding_add_PKCS1_type_1,
142    RSA_padding_check_PKCS1_type_1, RSA_padding_add_PKCS1_type_2,
143    RSA_padding_check_PKCS1_type_2, PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP,
144    RSA_padding_check_PKCS1_OAEP, RSA_padding_add_PKCS1_OAEP_mgf1,
145    RSA_padding_check_PKCS1_OAEP_mgf1, RSA_padding_add_SSLv23,
146    RSA_padding_check_SSLv23, RSA_padding_add_none, RSA_padding_check_none,
147    RSA_padding_add_X931, RSA_padding_check_X931, RSA_X931_hash_id,
148    RSA_verify_PKCS1_PSS, RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
149    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
150    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
151    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
152    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
153    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
154    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
155    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
156    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
157    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
158    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
159    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
160    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
161
162    Use of these low level functions has been informally discouraged for a long
163    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
164    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
165    L<EVP_PKEY_decrypt(3)>.
166
167    *Paul Dale*
168
169  * X509 certificates signed using SHA1 are no longer allowed at security
170    level 1 and above.
171    In TLS/SSL the default security level is 1. It can be set either
172    using the cipher string with @SECLEVEL, or calling
173    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
174    a call to SSL_CTX_use_certificate() will fail if the security level is not
175    lowered first.
176    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
177    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
178    options of the apps.
179
180    *Kurt Roeckx*
181
182  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
183    modified to use PKEY APIs.  These commands are now in maintenance mode
184    and no new features will be added to them.
185
186    *Paul Dale*
187
188  * The command line utility rsautl has been deprecated.
189    Instead use the pkeyutl program.
190
191    *Paul Dale*
192
193  * The command line utilities genrsa and rsa have been modified to use PKEY
194    APIs  These commands are now in maintenance mode and no new features will
195    be added to them.
196
197    *Paul Dale*
198
199  * All of the low level DH functions have been deprecated including:
200
201    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
202    DH_new_method, DH_size, DH_security_bits, DH_get_ex_new_index,
203    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
204    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
205    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
206    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
207    DH_KDF_X9_42, DH_get0_engine, DH_meth_new, DH_meth_free, DH_meth_dup,
208    DH_meth_get0_name, DH_meth_set1_name, DH_meth_get_flags, DH_meth_set_flags,
209    DH_meth_get0_app_data, DH_meth_set0_app_data, DH_meth_get_generate_key,
210    DH_meth_set_generate_key, DH_meth_get_compute_key, DH_meth_set_compute_key,
211    DH_meth_get_bn_mod_exp, DH_meth_set_bn_mod_exp, DH_meth_get_init,
212    DH_meth_set_init, DH_meth_get_finish, DH_meth_set_finish,
213    DH_meth_get_generate_params and DH_meth_set_generate_params.
214
215    Use of these low level functions has been informally discouraged for a long
216    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
217    and L<EVP_PKEY_derive(3)>.
218
219    *Paul Dale*
220
221  * All of the low level DSA functions have been deprecated including:
222
223    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
224    DSA_get_default_method, DSA_set_method, DSA_get_method,
225    DSA_new_method, DSA_size, DSA_security_bits, DSA_sign_setup, DSA_sign,
226    DSA_verify, DSA_get_ex_new_index, DSA_set_ex_data, DSA_get_ex_data,
227    DSA_generate_parameters_ex, DSA_generate_key, DSA_meth_new, DSA_get0_engine,
228    DSA_meth_free, DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name,
229    DSA_meth_get_flags, DSA_meth_set_flags, DSA_meth_get0_app_data,
230    DSA_meth_set0_app_data, DSA_meth_get_sign, DSA_meth_set_sign,
231    DSA_meth_get_sign_setup, DSA_meth_set_sign_setup, DSA_meth_get_verify,
232    DSA_meth_set_verify, DSA_meth_get_mod_exp, DSA_meth_set_mod_exp,
233    DSA_meth_get_bn_mod_exp, DSA_meth_set_bn_mod_exp, DSA_meth_get_init,
234    DSA_meth_set_init, DSA_meth_get_finish, DSA_meth_set_finish,
235    DSA_meth_get_paramgen, DSA_meth_set_paramgen, DSA_meth_get_keygen and
236    DSA_meth_set_keygen.
237
238    Use of these low level functions has been informally discouraged for a long
239    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
240    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
241
242    *Paul Dale*
243
244  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
245    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
246    This means that applications don't have to look at the curve NID and
247    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
248    However, they still can, that EVP_PKEY_set_alias_type() call acts as
249    a no-op when the EVP_PKEY is already of the given type.
250
251    Parameter and key generation is also reworked to make it possible
252    to generate EVP_PKEY_SM2 parameters and keys without having to go
253    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
254    However, code that does the latter will still work as before.
255
256    *Richard Levitte*
257
258  * Deprecated low level ECDH and ECDSA functions.  These include:
259
260    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
261    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
262    ECDSA_size.
263
264    Use of these low level functions has been informally discouraged for a long
265    time.  Instead applications should use the EVP_PKEY_derive(3),
266    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
267
268    *Paul Dale*
269
270  * Deprecated the EC_KEY_METHOD functions.  These include:
271
272    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
273    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
274    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
275    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
276    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
277    EC_KEY_METHOD_get_verify.
278
279    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
280
281    *Paul Dale*
282
283  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
284    and EVP_PKEY_decrypt() instead.
285    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
286    and EVP_PKEY_encrypt() instead.
287
288    *Richard Levitte*
289
290  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
291    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
292    a new formulation to include all the things it can be used for,
293    as well as words of caution.
294
295    *Richard Levitte*
296
297  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
298    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
299
300    *Paul Dale*
301
302  * All of the low level HMAC functions have been deprecated including:
303
304    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
305    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
306    and HMAC_CTX_get_md.
307
308    Use of these low level functions has been informally discouraged for a long
309    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
310    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
311    and L<EVP_MAC_final(3)>.
312
313    *Paul Dale*
314
315  * Over two thousand fixes were made to the documentation, including:
316    - Common options (such as -rand/-writerand, TLS version control, etc)
317      were refactored and point to newly-enhanced descriptions in openssl.pod.
318    - Added style conformance for all options (with help from Richard Levitte),
319      documented all reported missing options, added a CI build to check
320      that all options are documented and that no unimplemented options
321      are documented.
322    - Documented some internals, such as all use of environment variables.
323    - Addressed all internal broken L<> references.
324
325    *Rich Salz*
326
327  * All of the low level CMAC functions have been deprecated including:
328
329    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
330    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
331
332    Use of these low level functions has been informally discouraged for a long
333    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
334    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
335    and L<EVP_MAC_final(3)>.
336
337    *Paul Dale*
338
339  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
340    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
341    These include:
342
343    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
344    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
345    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
346    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
347    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
348    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
349    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
350    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
351    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
352    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
353
354    Use of these low level functions has been informally discouraged
355    for a long time.  Applications should use the EVP_DigestInit_ex(3),
356    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
357
358    *Paul Dale*
359
360  * Corrected the documentation of the return values from the `EVP_DigestSign*`
361    set of functions.  The documentation mentioned negative values for some
362    errors, but this was never the case, so the mention of negative values
363    was removed.
364
365    Code that followed the documentation and thereby check with something
366    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
367
368    *Richard Levitte*
369
370  * All of the low level cipher functions have been deprecated including:
371
372    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
373    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
374    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
375    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
376    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
377    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
378    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
379    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
380    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
381    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
382    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
383    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
384    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
385    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
386    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
387    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
388    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
389    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
390    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
391    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
392    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
393    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
394    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
395    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
396    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
397    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
398    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
399    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
400    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
401
402    Use of these low level functions has been informally discouraged for
403    a long time. Applications should use the high level EVP APIs, e.g.
404    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
405    equivalently named decrypt functions instead.
406
407    *Matt Caswell and Paul Dale*
408
409  * Removed include/openssl/opensslconf.h.in and replaced it with
410    include/openssl/configuration.h.in, which differs in not including
411    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
412    was added to include both.
413
414    This allows internal hacks where one might need to modify the set
415    of configured macros, for example this if deprecated symbols are
416    still supposed to be available internally:
417
418        #include <openssl/configuration.h>
419
420        #undef OPENSSL_NO_DEPRECATED
421        #define OPENSSL_SUPPRESS_DEPRECATED
422
423        #include <openssl/macros.h>
424
425    This should not be used by applications that use the exported
426    symbols, as that will lead to linking errors.
427
428    *Richard Levitte*
429
430  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
431    used in exponentiation with 512-bit moduli. No EC algorithms are
432    affected. Analysis suggests that attacks against 2-prime RSA1024,
433    3-prime RSA1536, and DSA1024 as a result of this defect would be very
434    difficult to perform and are not believed likely. Attacks against DH512
435    are considered just feasible. However, for an attack the target would
436    have to re-use the DH512 private key, which is not recommended anyway.
437    Also applications directly using the low level API BN_mod_exp may be
438    affected if they use BN_FLG_CONSTTIME.
439    [CVE-2019-1551][]
440
441    *Andy Polyakov*
442
443  * Most memory-debug features have been deprecated, and the functionality
444    replaced with no-ops.
445
446    *Rich Salz*
447
448  * Added documentation for the STACK API. OpenSSL only defines the STACK
449    functions where they are used.
450
451    *Rich Salz*
452
453  * Introduced a new method type and API, OSSL_SERIALIZER, to
454    represent generic serializers.  An implementation is expected to
455    be able to serialize an object associated with a given name (such
456    as an algorithm name for an asymmetric key) into forms given by
457    implementation properties.
458
459    Serializers are primarily used from inside libcrypto, through
460    calls to functions like EVP_PKEY_print_private(),
461    PEM_write_bio_PrivateKey() and similar.
462
463    Serializers are specified in such a way that they can be made to
464    directly handle the provider side portion of an object, if this
465    provider side part comes from the same provider as the serializer
466    itself, but can also be made to handle objects in parametrized
467    form (as an OSSL_PARAM array of data).  This allows a provider to
468    offer generic serializers as a service for any other provider.
469
470    *Richard Levitte*
471
472  * Added a .pragma directive to the syntax of configuration files, to
473    allow varying behavior in a supported and predictable manner.
474    Currently added pragma:
475
476            .pragma dollarid:on
477
478    This allows dollar signs to be a keyword character unless it's
479    followed by a opening brace or parenthesis.  This is useful for
480    platforms where dollar signs are commonly used in names, such as
481    volume names and system directory names on VMS.
482
483    *Richard Levitte*
484
485  * Added functionality to create an EVP_PKEY from user data.  This
486    is effectively the same as creating a RSA, DH or DSA object and
487    then assigning them to an EVP_PKEY, but directly using algorithm
488    agnostic EVP functions.  A benefit is that this should be future
489    proof for public key algorithms to come.
490
491    *Richard Levitte*
492
493  * Change the interpretation of the '--api' configuration option to
494    mean that this is a desired API compatibility level with no
495    further meaning.  The previous interpretation, that this would
496    also mean to remove all deprecated symbols up to and including
497    the given version, no requires that 'no-deprecated' is also used
498    in the configuration.
499
500    When building applications, the desired API compatibility level
501    can be set with the OPENSSL_API_COMPAT macro like before.  For
502    API compatibility version below 3.0, the old style numerical
503    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
504    For version 3.0 and on, the value is expected to be the decimal
505    value calculated from the major and minor version like this:
506
507            MAJOR * 10000 + MINOR * 100
508
509    Examples:
510
511            -DOPENSSL_API_COMPAT=30000             For 3.0
512            -DOPENSSL_API_COMPAT=30200             For 3.2
513
514    To hide declarations that are deprecated up to and including the
515    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
516    given when building the application as well.
517
518    *Richard Levitte*
519
520  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
521    access to certificate and CRL stores via URIs and OSSL_STORE
522    loaders.
523
524    This adds the following functions:
525
526    - X509_LOOKUP_store()
527    - X509_STORE_load_file()
528    - X509_STORE_load_path()
529    - X509_STORE_load_store()
530    - SSL_add_store_cert_subjects_to_stack()
531    - SSL_CTX_set_default_verify_store()
532    - SSL_CTX_load_verify_file()
533    - SSL_CTX_load_verify_dir()
534    - SSL_CTX_load_verify_store()
535
536    Also, the following functions are now deprecated:
537
538    - X509_STORE_load_locations() (use X509_STORE_load_file(),
539      X509_STORE_load_path() or X509_STORE_load_store() instead)
540    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
541      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
542
543    *Richard Levitte*
544
545  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
546    The presence of this system service is determined at run-time.
547
548    *Richard Levitte*
549
550  * Added functionality to create an EVP_PKEY context based on data
551    for methods from providers.  This takes an algorithm name and a
552    property query string and simply stores them, with the intent
553    that any operation that uses this context will use those strings
554    to fetch the needed methods implicitly, thereby making the port
555    of application written for pre-3.0 OpenSSL easier.
556
557    *Richard Levitte*
558
559  * The undocumented function NCONF_WIN32() has been deprecated; for
560    conversion details see the HISTORY section of doc/man5/config.pod
561
562    *Rich Salz*
563
564  * Introduced the new functions EVP_DigestSignInit_ex() and
565    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
566    EVP_DigestVerifyUpdate() have been converted to functions. See the man
567    pages for further details.
568
569    *Matt Caswell*
570
571  * Over two thousand fixes were made to the documentation, including:
572    adding missing command flags, better style conformance, documentation
573    of internals, etc.
574
575    *Rich Salz, Richard Levitte*
576
577  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
578    X25519, X448, Ed25519 and Ed448.
579
580    *Patrick Steuer*
581
582  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
583    the first value.
584
585    *Jon Spillett*
586
587  * Deprecated the public definition of ERR_STATE as well as the function
588    ERR_get_state().  This is done in preparation of making ERR_STATE an
589    opaque type.
590
591    *Richard Levitte*
592
593  * Added ERR functionality to give callers access to the stored function
594    names that have replaced the older function code based functions.
595
596    New functions are ERR_get_error_func(), ERR_peek_error_func(),
597    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
598    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
599    and ERR_peek_last_error_all().
600
601    These functions have become deprecated: ERR_get_error_line_data(),
602    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
603    ERR_func_error_string().
604
605    *Richard Levitte*
606
607  * Extended testing to be verbose for failing tests only.  The make variables
608    VERBOSE_FAILURE or VF can be used to enable this:
609
610            $ make VF=1 test                           # Unix
611            $ mms /macro=(VF=1) test                   ! OpenVMS
612            $ nmake VF=1 test                          # Windows
613
614    *Richard Levitte*
615
616  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
617    used even when parsing explicit parameters, when loading a serialized key
618    or calling `EC_GROUP_new_from_ecpkparameters()`/
619    `EC_GROUP_new_from_ecparameters()`.
620    This prevents bypass of security hardening and performance gains,
621    especially for curves with specialized EC_METHODs.
622    By default, if a key encoded with explicit parameters is loaded and later
623    serialized, the output is still encoded with explicit parameters, even if
624    internally a "named" EC_GROUP is used for computation.
625
626    *Nicola Tuveri*
627
628  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
629    this change, EC_GROUP_set_generator would accept order and/or cofactor as
630    NULL. After this change, only the cofactor parameter can be NULL. It also
631    does some minimal sanity checks on the passed order.
632    [CVE-2019-1547][]
633
634    *Billy Bob Brumley*
635
636  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
637    An attack is simple, if the first CMS_recipientInfo is valid but the
638    second CMS_recipientInfo is chosen ciphertext. If the second
639    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
640    encryption key will be replaced by garbage, and the message cannot be
641    decoded, but if the RSA decryption fails, the correct encryption key is
642    used and the recipient will not notice the attack.
643    As a work around for this potential attack the length of the decrypted
644    key must be equal to the cipher default key length, in case the
645    certifiate is not given and all recipientInfo are tried out.
646    The old behaviour can be re-enabled in the CMS code by setting the
647    CMS_DEBUG_DECRYPT flag.
648
649    *Bernd Edlinger*
650
651  * Early start up entropy quality from the DEVRANDOM seed source has been
652    improved for older Linux systems.  The RAND subsystem will wait for
653    /dev/random to be producing output before seeding from /dev/urandom.
654    The seeded state is stored for future library initialisations using
655    a system global shared memory segment.  The shared memory identifier
656    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
657    the desired value.  The default identifier is 114.
658
659    *Paul Dale*
660
661  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
662    when primes for RSA keys are computed.
663    Since we previously always generated primes == 2 (mod 3) for RSA keys,
664    the 2-prime and 3-prime RSA modules were easy to distinguish, since
665    `N = p*q = 1 (mod 3)`, but `N = p*q*r = 2 (mod 3)`. Therefore fingerprinting
666    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
667    This avoids possible fingerprinting of newly generated RSA modules.
668
669    *Bernd Edlinger*
670
671  * Correct the extended master secret constant on EBCDIC systems. Without this
672    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
673    negotiate EMS will fail. Unfortunately this also means that TLS connections
674    between EBCDIC systems with this fix, and EBCDIC systems without this
675    fix will fail if they negotiate EMS.
676
677    *Matt Caswell*
678
679  * Changed the library initialisation so that the config file is now loaded
680    by default. This was already the case for libssl. It now occurs for both
681    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
682    OPENSSL_init_crypto() to suppress automatic loading of a config file.
683
684    *Matt Caswell*
685
686  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
687    where the former acts as a replacement for ERR_put_error(), and the
688    latter replaces the combination ERR_put_error()+ERR_add_error_data().
689    ERR_raise_data() adds more flexibility by taking a format string and
690    an arbitrary number of arguments following it, to be processed with
691    BIO_snprintf().
692
693    *Richard Levitte*
694
695  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
696    to check if a named provider is loaded and available.  When called, it
697    will also activate all fallback providers if such are still present.
698
699    *Richard Levitte*
700
701  * Enforce a minimum DH modulus size of 512 bits.
702
703    *Bernd Edlinger*
704
705  * Changed DH parameters to generate the order q subgroup instead of 2q.
706    Previously generated DH parameters are still accepted by DH_check
707    but DH_generate_key works around that by clearing bit 0 of the
708    private key for those. This avoids leaking bit 0 of the private key.
709
710    *Bernd Edlinger*
711
712  * Significantly reduce secure memory usage by the randomness pools.
713
714    *Paul Dale*
715
716  * `{CRYPTO,OPENSSL}_mem_debug_{push,pop}` are now no-ops and have been
717    deprecated.
718
719    *Rich Salz*
720
721  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
722    algorithms. An implementation of a key exchange algorithm can be obtained
723    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
724    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
725    the older EVP_PKEY_derive_init() function. See the man pages for the new
726    functions for further details.
727
728    *Matt Caswell*
729
730  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
731
732    *Matt Caswell*
733
734  * Removed the function names from error messages and deprecated the
735    xxx_F_xxx define's.
736
737  * Removed NextStep support and the macro OPENSSL_UNISTD
738
739    *Rich Salz*
740
741  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
742    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
743    Also removed "export var as function" capability; we do not export
744    variables, only functions.
745
746    *Rich Salz*
747
748  * RC5_32_set_key has been changed to return an int type, with 0 indicating
749    an error and 1 indicating success. In previous versions of OpenSSL this
750    was a void type. If a key was set longer than the maximum possible this
751    would crash.
752
753    *Matt Caswell*
754
755  * Support SM2 signing and verification schemes with X509 certificate.
756
757    *Paul Yang*
758
759  * Use SHA256 as the default digest for TS query in the ts app.
760
761    *Tomas Mraz*
762
763  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
764    This checks that the salt length is at least 128 bits, the derived key
765    length is at least 112 bits, and that the iteration count is at least 1000.
766    For backwards compatibility these checks are disabled by default in the
767    default provider, but are enabled by default in the fips provider.
768    To enable or disable these checks use the control
769    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
770
771    *Shane Lontis*
772
773  * Default cipher lists/suites are now available via a function, the
774    #defines are deprecated.
775
776    *Todd Short*
777
778  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
779    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
780    for Windows Store apps easier. Also, the "no-uplink" option has been added.
781
782    *Kenji Mouri*
783
784  * Join the directories crypto/x509 and crypto/x509v3
785
786    *Richard Levitte*
787
788  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
789    This changes the size when using the genpkey app when no size is given. It
790    fixes an omission in earlier changes that changed all RSA, DSA and DH
791    generation apps to use 2048 bits by default.
792
793    *Kurt Roeckx*
794
795  * Added command 'openssl kdf' that uses the EVP_KDF API.
796
797    *Shane Lontis*
798
799  * Added command 'openssl mac' that uses the EVP_MAC API.
800
801    *Shane Lontis*
802
803  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
804    as default directories.  Also added the command 'openssl info'
805    for scripting purposes.
806
807    *Richard Levitte*
808
809  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
810    deprecated. These undocumented functions were never integrated into the EVP
811    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
812    Bi-directional IGE mode. These modes were never formally standardised and
813    usage of these functions is believed to be very small. In particular
814    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
815    is ever used. The security implications are believed to be minimal, but
816    this issue was never fixed for backwards compatibility reasons. New code
817    should not use these modes.
818
819    *Matt Caswell*
820
821  * Add prediction resistance to the DRBG reseeding process.
822
823    *Paul Dale*
824
825  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
826    mandated by IEEE Std 1619-2018.
827
828    *Paul Dale*
829
830  * Added newline escaping functionality to a filename when using openssl dgst.
831    This output format is to replicate the output format found in the `*sum`
832    checksum programs. This aims to preserve backward compatibility.
833
834    *Matt Eaton, Richard Levitte, and Paul Dale*
835
836  * Removed the heartbeat message in DTLS feature, as it has very
837    little usage and doesn't seem to fulfill a valuable purpose.
838    The configuration option is now deprecated.
839
840    *Richard Levitte*
841
842  * Changed the output of 'openssl {digestname} < file' to display the
843    digest name in its output.
844
845    *Richard Levitte*
846
847  * Added a new generic trace API which provides support for enabling
848    instrumentation through trace output. This feature is mainly intended
849    as an aid for developers and is disabled by default. To utilize it,
850    OpenSSL needs to be configured with the `enable-trace` option.
851
852    If the tracing API is enabled, the application can activate trace output
853    by registering BIOs as trace channels for a number of tracing and debugging
854    categories.
855
856    The 'openssl' application has been expanded to enable any of the types
857    available via environment variables defined by the user, and serves as
858    one possible example on how to use this functionality.
859
860    *Richard Levitte & Matthias St. Pierre*
861
862  * Added build tests for C++.  These are generated files that only do one
863    thing, to include one public OpenSSL head file each.  This tests that
864    the public header files can be usefully included in a C++ application.
865
866    This test isn't enabled by default.  It can be enabled with the option
867    'enable-buildtest-c++'.
868
869    *Richard Levitte*
870
871  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
872
873    *Shane Lontis*
874
875  * Add KMAC to EVP_MAC.
876
877    *Shane Lontis*
878
879  * Added property based algorithm implementation selection framework to
880    the core.
881
882    *Paul Dale*
883
884  * Added SCA hardening for modular field inversion in EC_GROUP through
885    a new dedicated field_inv() pointer in EC_METHOD.
886    This also addresses a leakage affecting conversions from projective
887    to affine coordinates.
888
889    *Billy Bob Brumley, Nicola Tuveri*
890
891  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
892    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
893    those algorithms that were already supported through the EVP_PKEY API
894    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
895    and scrypt are now wrappers that call EVP_KDF.
896
897    *David Makepeace*
898
899  * Build devcrypto engine as a dynamic engine.
900
901    *Eneas U de Queiroz*
902
903  * Add keyed BLAKE2 to EVP_MAC.
904
905    *Antoine Salon*
906
907  * Fix a bug in the computation of the endpoint-pair shared secret used
908    by DTLS over SCTP. This breaks interoperability with older versions
909    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
910    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
911    interoperability with such broken implementations. However, enabling
912    this switch breaks interoperability with correct implementations.
913
914  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
915    re-used X509_PUBKEY object if the second PUBKEY is malformed.
916
917    *Bernd Edlinger*
918
919  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
920
921    *Richard Levitte*
922
923  * Change the license to the Apache License v2.0.
924
925    *Richard Levitte*
926
927  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
928
929    - Major releases (indicated by incrementing the MAJOR release number)
930      may introduce incompatible API/ABI changes.
931    - Minor releases (indicated by incrementing the MINOR release number)
932      may introduce new features but retain API/ABI compatibility.
933    - Patch releases (indicated by incrementing the PATCH number)
934      are intended for bug fixes and other improvements of existing
935      features only (like improving performance or adding documentation)
936      and retain API/ABI compatibility.
937
938    *Richard Levitte*
939
940  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
941
942    *Todd Short*
943
944  * Remove the 'dist' target and add a tarball building script.  The
945    'dist' target has fallen out of use, and it shouldn't be
946    necessary to configure just to create a source distribution.
947
948    *Richard Levitte*
949
950  * Recreate the OS390-Unix config target.  It no longer relies on a
951    special script like it did for OpenSSL pre-1.1.0.
952
953    *Richard Levitte*
954
955  * Instead of having the source directories listed in Configure, add
956    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
957    look into.
958
959    *Richard Levitte*
960
961  * Add GMAC to EVP_MAC.
962
963    *Paul Dale*
964
965  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
966
967    *Richard Levitte*
968
969  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
970    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
971    to facilitate the continued use of MACs through raw private keys in
972    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
973
974    *Richard Levitte*
975
976  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
977    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
978
979    *Antoine Salon*
980
981  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
982    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
983    are retained for backwards compatibility.
984
985    *Antoine Salon*
986
987  * AES-XTS mode now enforces that its two keys are different to mitigate
988    the attacked described in "Efficient Instantiations of Tweakable
989    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
990    Details of this attack can be obtained from:
991    <http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf>
992
993    *Paul Dale*
994
995  * Rename the object files, i.e. give them other names than in previous
996    versions.  Their names now include the name of the final product, as
997    well as its type mnemonic (bin, lib, shlib).
998
999    *Richard Levitte*
1000
1001  * Added new option for 'openssl list', '-objects', which will display the
1002    list of built in objects, i.e. OIDs with names.
1003
1004    *Richard Levitte*
1005
1006  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
1007    improves application performance by removing data copies and providing
1008    applications with zero-copy system calls such as sendfile and splice.
1009
1010    *Boris Pismenny*
1011
1012 OpenSSL 1.1.1
1013 -------------
1014
1015 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx]
1016
1017 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020]
1018
1019  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
1020    while reading in libssl then we would report an error back to the
1021    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
1022    an error to the stack (which means we instead return SSL_ERROR_SSL) and
1023    therefore give a hint as to what went wrong.
1024
1025    *Matt Caswell*
1026
1027  * Check that ed25519 and ed448 are allowed by the security level. Previously
1028    signature algorithms not using an MD were not being checked that they were
1029    allowed by the security level.
1030
1031    *Kurt Roeckx*
1032
1033  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
1034    was not quite right. The behaviour was not consistent between resumption
1035    and normal handshakes, and also not quite consistent with historical
1036    behaviour. The behaviour in various scenarios has been clarified and
1037    it has been updated to make it match historical behaviour as closely as
1038    possible.
1039
1040    *Matt Caswell*
1041
1042  * *[VMS only]* The header files that the VMS compilers include automatically,
1043    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
1044    that the C++ compiler doesn't understand.  This is a shortcoming in the
1045    compiler, but can be worked around with `__cplusplus` guards.
1046
1047    C++ applications that use OpenSSL libraries must be compiled using the
1048    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
1049    functions.  Otherwise, only functions with symbols of less than 31
1050    characters can be used, as the linker will not be able to successfully
1051    resolve symbols with longer names.
1052
1053    *Richard Levitte*
1054
1055  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1056    The presence of this system service is determined at run-time.
1057
1058    *Richard Levitte*
1059
1060  * Added newline escaping functionality to a filename when using openssl dgst.
1061    This output format is to replicate the output format found in the `*sum`
1062    checksum programs. This aims to preserve backward compatibility.
1063
1064    *Matt Eaton, Richard Levitte, and Paul Dale*
1065
1066  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1067    the first value.
1068
1069    *Jon Spillett*
1070
1071 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019]
1072
1073  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1074    number generator (RNG). This was intended to include protection in the
1075    event of a fork() system call in order to ensure that the parent and child
1076    processes did not share the same RNG state. However this protection was not
1077    being used in the default case.
1078
1079    A partial mitigation for this issue is that the output from a high
1080    precision timer is mixed into the RNG state so the likelihood of a parent
1081    and child process sharing state is significantly reduced.
1082
1083    If an application already calls OPENSSL_init_crypto() explicitly using
1084    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1085    [CVE-2019-1549][]
1086
1087    *Matthias St. Pierre*
1088
1089  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1090    used even when parsing explicit parameters, when loading a serialized key
1091    or calling `EC_GROUP_new_from_ecpkparameters()`/
1092    `EC_GROUP_new_from_ecparameters()`.
1093    This prevents bypass of security hardening and performance gains,
1094    especially for curves with specialized EC_METHODs.
1095    By default, if a key encoded with explicit parameters is loaded and later
1096    serialized, the output is still encoded with explicit parameters, even if
1097    internally a "named" EC_GROUP is used for computation.
1098
1099    *Nicola Tuveri*
1100
1101  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1102    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1103    NULL. After this change, only the cofactor parameter can be NULL. It also
1104    does some minimal sanity checks on the passed order.
1105    [CVE-2019-1547][]
1106
1107    *Billy Bob Brumley*
1108
1109  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1110    An attack is simple, if the first CMS_recipientInfo is valid but the
1111    second CMS_recipientInfo is chosen ciphertext. If the second
1112    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1113    encryption key will be replaced by garbage, and the message cannot be
1114    decoded, but if the RSA decryption fails, the correct encryption key is
1115    used and the recipient will not notice the attack.
1116    As a work around for this potential attack the length of the decrypted
1117    key must be equal to the cipher default key length, in case the
1118    certifiate is not given and all recipientInfo are tried out.
1119    The old behaviour can be re-enabled in the CMS code by setting the
1120    CMS_DEBUG_DECRYPT flag.
1121    [CVE-2019-1563][]
1122
1123    *Bernd Edlinger*
1124
1125  * Early start up entropy quality from the DEVRANDOM seed source has been
1126    improved for older Linux systems.  The RAND subsystem will wait for
1127    /dev/random to be producing output before seeding from /dev/urandom.
1128    The seeded state is stored for future library initialisations using
1129    a system global shared memory segment.  The shared memory identifier
1130    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1131    the desired value.  The default identifier is 114.
1132
1133    *Paul Dale*
1134
1135  * Correct the extended master secret constant on EBCDIC systems. Without this
1136    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1137    negotiate EMS will fail. Unfortunately this also means that TLS connections
1138    between EBCDIC systems with this fix, and EBCDIC systems without this
1139    fix will fail if they negotiate EMS.
1140
1141    *Matt Caswell*
1142
1143  * Use Windows installation paths in the mingw builds
1144
1145    Mingw isn't a POSIX environment per se, which means that Windows
1146    paths should be used for installation.
1147    [CVE-2019-1552][]
1148
1149    *Richard Levitte*
1150
1151  * Changed DH_check to accept parameters with order q and 2q subgroups.
1152    With order 2q subgroups the bit 0 of the private key is not secret
1153    but DH_generate_key works around that by clearing bit 0 of the
1154    private key for those. This avoids leaking bit 0 of the private key.
1155
1156    *Bernd Edlinger*
1157
1158  * Significantly reduce secure memory usage by the randomness pools.
1159
1160    *Paul Dale*
1161
1162  * Revert the DEVRANDOM_WAIT feature for Linux systems
1163
1164    The DEVRANDOM_WAIT feature added a select() call to wait for the
1165    /dev/random device to become readable before reading from the
1166    /dev/urandom device.
1167
1168    It turned out that this change had negative side effects on
1169    performance which were not acceptable. After some discussion it
1170    was decided to revert this feature and leave it up to the OS
1171    resp. the platform maintainer to ensure a proper initialization
1172    during early boot time.
1173
1174    *Matthias St. Pierre*
1175
1176 ### Changes between 1.1.1b and 1.1.1c [28 May 2019]
1177
1178  * Add build tests for C++.  These are generated files that only do one
1179    thing, to include one public OpenSSL head file each.  This tests that
1180    the public header files can be usefully included in a C++ application.
1181
1182    This test isn't enabled by default.  It can be enabled with the option
1183    'enable-buildtest-c++'.
1184
1185    *Richard Levitte*
1186
1187  * Enable SHA3 pre-hashing for ECDSA and DSA.
1188
1189    *Patrick Steuer*
1190
1191  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1192    This changes the size when using the genpkey app when no size is given. It
1193    fixes an omission in earlier changes that changed all RSA, DSA and DH
1194    generation apps to use 2048 bits by default.
1195
1196    *Kurt Roeckx*
1197
1198  * Reorganize the manual pages to consistently have RETURN VALUES,
1199    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1200    util/fix-doc-nits accordingly.
1201
1202    *Paul Yang, Joshua Lock*
1203
1204  * Add the missing accessor EVP_PKEY_get0_engine()
1205
1206    *Matt Caswell*
1207
1208  * Have apps like 's_client' and 's_server' output the signature scheme
1209    along with other cipher suite parameters when debugging.
1210
1211    *Lorinczy Zsigmond*
1212
1213  * Make OPENSSL_config() error agnostic again.
1214
1215    *Richard Levitte*
1216
1217  * Do the error handling in RSA decryption constant time.
1218
1219    *Bernd Edlinger*
1220
1221  * Prevent over long nonces in ChaCha20-Poly1305.
1222
1223    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1224    for every encryption operation. RFC 7539 specifies that the nonce value
1225    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1226    and front pads the nonce with 0 bytes if it is less than 12
1227    bytes. However it also incorrectly allows a nonce to be set of up to 16
1228    bytes. In this case only the last 12 bytes are significant and any
1229    additional leading bytes are ignored.
1230
1231    It is a requirement of using this cipher that nonce values are
1232    unique. Messages encrypted using a reused nonce value are susceptible to
1233    serious confidentiality and integrity attacks. If an application changes
1234    the default nonce length to be longer than 12 bytes and then makes a
1235    change to the leading bytes of the nonce expecting the new value to be a
1236    new unique nonce then such an application could inadvertently encrypt
1237    messages with a reused nonce.
1238
1239    Additionally the ignored bytes in a long nonce are not covered by the
1240    integrity guarantee of this cipher. Any application that relies on the
1241    integrity of these ignored leading bytes of a long nonce may be further
1242    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1243    is safe because no such use sets such a long nonce value. However user
1244    applications that use this cipher directly and set a non-default nonce
1245    length to be longer than 12 bytes may be vulnerable.
1246
1247    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1248    Greef of Ronomon.
1249    [CVE-2019-1543][]
1250
1251    *Matt Caswell*
1252
1253  * Add DEVRANDOM_WAIT feature for Linux systems
1254
1255    On older Linux systems where the getrandom() system call is not available,
1256    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1257    Contrary to getrandom(), the /dev/urandom device will not block during
1258    early boot when the kernel CSPRNG has not been seeded yet.
1259
1260    To mitigate this known weakness, use select() to wait for /dev/random to
1261    become readable before reading from /dev/urandom.
1262
1263  * Ensure that SM2 only uses SM3 as digest algorithm
1264
1265    *Paul Yang*
1266
1267 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019]
1268
1269  * Change the info callback signals for the start and end of a post-handshake
1270    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1271    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1272    confused by this and assume that a TLSv1.2 renegotiation has started. This
1273    can break KeyUpdate handling. Instead we no longer signal the start and end
1274    of a post handshake message exchange (although the messages themselves are
1275    still signalled). This could break some applications that were expecting
1276    the old signals. However without this KeyUpdate is not usable for many
1277    applications.
1278
1279    *Matt Caswell*
1280
1281 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018]
1282
1283  * Timing vulnerability in DSA signature generation
1284
1285    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1286    timing side channel attack. An attacker could use variations in the signing
1287    algorithm to recover the private key.
1288
1289    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1290    [CVE-2018-0734][]
1291
1292    *Paul Dale*
1293
1294  * Timing vulnerability in ECDSA signature generation
1295
1296    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1297    timing side channel attack. An attacker could use variations in the signing
1298    algorithm to recover the private key.
1299
1300    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1301    [CVE-2018-0735][]
1302
1303    *Paul Dale*
1304
1305  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1306    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1307    of two gigabytes and the error handling improved.
1308
1309    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1310    categorized as a normal bug, not a security issue, because the DRBG reseeds
1311    automatically and is fully functional even without additional randomness
1312    provided by the application.
1313
1314 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018]
1315
1316  * Add a new ClientHello callback. Provides a callback interface that gives
1317    the application the ability to adjust the nascent SSL object at the
1318    earliest stage of ClientHello processing, immediately after extensions have
1319    been collected but before they have been processed. In particular, this
1320    callback can adjust the supported TLS versions in response to the contents
1321    of the ClientHello
1322
1323    *Benjamin Kaduk*
1324
1325  * Add SM2 base algorithm support.
1326
1327    *Jack Lloyd*
1328
1329  * s390x assembly pack: add (improved) hardware-support for the following
1330    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1331    aes-cfb/cfb8, aes-ecb.
1332
1333    *Patrick Steuer*
1334
1335  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1336    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1337    pem_str is reserved for alias entries only.
1338
1339    *Richard Levitte*
1340
1341  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1342    step for prime curves. The new implementation is based on formulae from
1343    differential addition-and-doubling in homogeneous projective coordinates
1344    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1345    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1346    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1347    to work in projective coordinates.
1348
1349    *Billy Bob Brumley, Nicola Tuveri*
1350
1351  * Change generating and checking of primes so that the error rate of not
1352    being prime depends on the intended use based on the size of the input.
1353    For larger primes this will result in more rounds of Miller-Rabin.
1354    The maximal error rate for primes with more than 1080 bits is lowered
1355    to 2^-128.
1356
1357    *Kurt Roeckx, Annie Yousar*
1358
1359  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1360
1361    *Kurt Roeckx*
1362
1363  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1364    moving between systems, and to avoid confusion when a Windows build is
1365    done with mingw vs with MSVC.  For POSIX installs, there's still a
1366    symlink or copy named 'tsget' to avoid that confusion as well.
1367
1368    *Richard Levitte*
1369
1370  * Revert blinding in ECDSA sign and instead make problematic addition
1371    length-invariant. Switch even to fixed-length Montgomery multiplication.
1372
1373    *Andy Polyakov*
1374
1375  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1376    step for binary curves. The new implementation is based on formulae from
1377    differential addition-and-doubling in mixed Lopez-Dahab projective
1378    coordinates, modified to independently blind the operands.
1379
1380    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1381
1382  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1383    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1384    EC_METHODs to implement their own specialized "ladder step", to take
1385    advantage of more favorable coordinate systems or more efficient
1386    differential addition-and-doubling algorithms.
1387
1388    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1389
1390  * Modified the random device based seed sources to keep the relevant
1391    file descriptors open rather than reopening them on each access.
1392    This allows such sources to operate in a chroot() jail without
1393    the associated device nodes being available. This behaviour can be
1394    controlled using RAND_keep_random_devices_open().
1395
1396    *Paul Dale*
1397
1398  * Numerous side-channel attack mitigations have been applied. This may have
1399    performance impacts for some algorithms for the benefit of improved
1400    security. Specific changes are noted in this change log by their respective
1401    authors.
1402
1403    *Matt Caswell*
1404
1405  * AIX shared library support overhaul. Switch to AIX "natural" way of
1406    handling shared libraries, which means collecting shared objects of
1407    different versions and bitnesses in one common archive. This allows to
1408    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1409    doesn't affect the way 3rd party applications are linked, only how
1410    multi-version installation is managed.
1411
1412    *Andy Polyakov*
1413
1414  * Make ec_group_do_inverse_ord() more robust and available to other
1415    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1416    mitigations are applied to the fallback BN_mod_inverse().
1417    When using this function rather than BN_mod_inverse() directly, new
1418    EC cryptosystem implementations are then safer-by-default.
1419
1420    *Billy Bob Brumley*
1421
1422  * Add coordinate blinding for EC_POINT and implement projective
1423    coordinate blinding for generic prime curves as a countermeasure to
1424    chosen point SCA attacks.
1425
1426    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1427
1428  * Add blinding to ECDSA and DSA signatures to protect against side channel
1429    attacks discovered by Keegan Ryan (NCC Group).
1430
1431    *Matt Caswell*
1432
1433  * Enforce checking in the pkeyutl command line app to ensure that the input
1434    length does not exceed the maximum supported digest length when performing
1435    a sign, verify or verifyrecover operation.
1436
1437    *Matt Caswell*
1438
1439  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1440    I/O in combination with something like select() or poll() will hang. This
1441    can be turned off again using SSL_CTX_clear_mode().
1442    Many applications do not properly handle non-application data records, and
1443    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1444    around the problems in those applications, but can also break some.
1445    It's recommended to read the manpages about SSL_read(), SSL_write(),
1446    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1447    SSL_CTX_set_read_ahead() again.
1448
1449    *Kurt Roeckx*
1450
1451  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1452    now allow empty (zero character) pass phrases.
1453
1454    *Richard Levitte*
1455
1456  * Apply blinding to binary field modular inversion and remove patent
1457    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1458
1459    *Billy Bob Brumley*
1460
1461  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1462    binary and prime elliptic curves.
1463
1464    *Billy Bob Brumley*
1465
1466  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1467    constant time fixed point multiplication.
1468
1469    *Billy Bob Brumley*
1470
1471  * Revise elliptic curve scalar multiplication with timing attack
1472    defenses: ec_wNAF_mul redirects to a constant time implementation
1473    when computing fixed point and variable point multiplication (which
1474    in OpenSSL are mostly used with secret scalars in keygen, sign,
1475    ECDH derive operations).
1476    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1477     Sohaib ul Hassan*
1478
1479  * Updated CONTRIBUTING
1480
1481    *Rich Salz*
1482
1483  * Updated DRBG / RAND to request nonce and additional low entropy
1484    randomness from the system.
1485
1486    *Matthias St. Pierre*
1487
1488  * Updated 'openssl rehash' to use OpenSSL consistent default.
1489
1490    *Richard Levitte*
1491
1492  * Moved the load of the ssl_conf module to libcrypto, which helps
1493    loading engines that libssl uses before libssl is initialised.
1494
1495    *Matt Caswell*
1496
1497  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1498
1499    *Matt Caswell*
1500
1501  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1502
1503    *Ingo Schwarze, Rich Salz*
1504
1505  * Added output of accepting IP address and port for 'openssl s_server'
1506
1507    *Richard Levitte*
1508
1509  * Added a new API for TLSv1.3 ciphersuites:
1510       SSL_CTX_set_ciphersuites()
1511       SSL_set_ciphersuites()
1512
1513    *Matt Caswell*
1514
1515  * Memory allocation failures consistently add an error to the error
1516    stack.
1517
1518    *Rich Salz*
1519
1520  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1521    in libcrypto when run as setuid/setgid.
1522
1523    *Bernd Edlinger*
1524
1525  * Load any config file by default when libssl is used.
1526
1527    *Matt Caswell*
1528
1529  * Added new public header file <openssl/rand_drbg.h> and documentation
1530    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1531
1532    *Matthias St. Pierre*
1533
1534  * QNX support removed (cannot find contributors to get their approval
1535    for the license change).
1536
1537    *Rich Salz*
1538
1539  * TLSv1.3 replay protection for early data has been implemented. See the
1540    SSL_read_early_data() man page for further details.
1541
1542    *Matt Caswell*
1543
1544  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1545    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1546    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1547    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1548    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1549    configuration has been separated out. See the ciphers man page or the
1550    SSL_CTX_set_ciphersuites() man page for more information.
1551
1552    *Matt Caswell*
1553
1554  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1555    in responder mode now supports the new "-multi" option, which
1556    spawns the specified number of child processes to handle OCSP
1557    requests.  The "-timeout" option now also limits the OCSP
1558    responder's patience to wait to receive the full client request
1559    on a newly accepted connection. Child processes are respawned
1560    as needed, and the CA index file is automatically reloaded
1561    when changed.  This makes it possible to run the "ocsp" responder
1562    as a long-running service, making the OpenSSL CA somewhat more
1563    feature-complete.  In this mode, most diagnostic messages logged
1564    after entering the event loop are logged via syslog(3) rather than
1565    written to stderr.
1566
1567    *Viktor Dukhovni*
1568
1569  * Added support for X448 and Ed448. Heavily based on original work by
1570    Mike Hamburg.
1571
1572    *Matt Caswell*
1573
1574  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1575    objects loaded.  This adds the functions OSSL_STORE_expect() and
1576    OSSL_STORE_find() as well as needed tools to construct searches and
1577    get the search data out of them.
1578
1579    *Richard Levitte*
1580
1581  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1582    version of OpenSSL should review their configuration settings to ensure
1583    that they are still appropriate for TLSv1.3. For further information see:
1584    <https://wiki.openssl.org/index.php/TLS1.3>
1585
1586    *Matt Caswell*
1587
1588  * Grand redesign of the OpenSSL random generator
1589
1590    The default RAND method now utilizes an AES-CTR DRBG according to
1591    NIST standard SP 800-90Ar1. The new random generator is essentially
1592    a port of the default random generator from the OpenSSL FIPS 2.0
1593    object module. It is a hybrid deterministic random bit generator
1594    using an AES-CTR bit stream and which seeds and reseeds itself
1595    automatically using trusted system entropy sources.
1596
1597    Some of its new features are:
1598     - Support for multiple DRBG instances with seed chaining.
1599     - The default RAND method makes use of a DRBG.
1600     - There is a public and private DRBG instance.
1601     - The DRBG instances are fork-safe.
1602     - Keep all global DRBG instances on the secure heap if it is enabled.
1603     - The public and private DRBG instance are per thread for lock free
1604       operation
1605
1606    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1607
1608  * Changed Configure so it only says what it does and doesn't dump
1609    so much data.  Instead, ./configdata.pm should be used as a script
1610    to display all sorts of configuration data.
1611
1612    *Richard Levitte*
1613
1614  * Added processing of "make variables" to Configure.
1615
1616    *Richard Levitte*
1617
1618  * Added SHA512/224 and SHA512/256 algorithm support.
1619
1620    *Paul Dale*
1621
1622  * The last traces of Netware support, first removed in 1.1.0, have
1623    now been removed.
1624
1625    *Rich Salz*
1626
1627  * Get rid of Makefile.shared, and in the process, make the processing
1628    of certain files (rc.obj, or the .def/.map/.opt files produced from
1629    the ordinal files) more visible and hopefully easier to trace and
1630    debug (or make silent).
1631
1632    *Richard Levitte*
1633
1634  * Make it possible to have environment variable assignments as
1635    arguments to config / Configure.
1636
1637    *Richard Levitte*
1638
1639  * Add multi-prime RSA (RFC 8017) support.
1640
1641    *Paul Yang*
1642
1643  * Add SM3 implemented according to GB/T 32905-2016
1644    * Jack Lloyd <jack.lloyd@ribose.com>,
1645      Ronald Tse <ronald.tse@ribose.com>,
1646      Erick Borsboom <erick.borsboom@ribose.com> *
1647
1648  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1649    as documented in RFC6066.
1650    Based on a patch from Tomasz Moń
1651
1652    *Filipe Raimundo da Silva*
1653
1654  * Add SM4 implemented according to GB/T 32907-2016.
1655    * Jack Lloyd <jack.lloyd@ribose.com>,
1656      Ronald Tse <ronald.tse@ribose.com>,
1657      Erick Borsboom <erick.borsboom@ribose.com> *
1658
1659  * Reimplement -newreq-nodes and ERR_error_string_n; the
1660    original author does not agree with the license change.
1661
1662    *Rich Salz*
1663
1664  * Add ARIA AEAD TLS support.
1665
1666    *Jon Spillett*
1667
1668  * Some macro definitions to support VS6 have been removed.  Visual
1669    Studio 6 has not worked since 1.1.0
1670
1671    *Rich Salz*
1672
1673  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1674    without clearing the errors.
1675
1676    *Richard Levitte*
1677
1678  * Add "atfork" functions.  If building on a system that without
1679    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1680    requirements.  The RAND facility now uses/requires this.
1681
1682    *Rich Salz*
1683
1684  * Add SHA3.
1685
1686    *Andy Polyakov*
1687
1688  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1689    not possible to disable entirely.  However, it's still possible to
1690    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1691    as a fallback).
1692
1693    To disable, configure with 'no-ui-console'.  'no-ui' is still
1694    possible to use as an alias.  Check at compile time with the
1695    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1696    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1697
1698    *Richard Levitte*
1699
1700  * Add a STORE module, which implements a uniform and URI based reader of
1701    stores that can contain keys, certificates, CRLs and numerous other
1702    objects.  The main API is loosely based on a few stdio functions,
1703    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1704    OSSL_STORE_error and OSSL_STORE_close.
1705    The implementation uses backends called "loaders" to implement arbitrary
1706    URI schemes.  There is one built in "loader" for the 'file' scheme.
1707
1708    *Richard Levitte*
1709
1710  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1711    then adjusted to work on FreeBSD 8.4 as well.
1712    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1713    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1714
1715    *Richard Levitte*
1716
1717  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1718    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1719    error code calls like this:
1720
1721            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1722
1723    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1724    that can be encoded in C.  For the foreseeable future, this will only
1725    affect new modules.
1726
1727    *Richard Levitte and Tim Hudson*
1728
1729  * Removed BSD cryptodev engine.
1730
1731    *Rich Salz*
1732
1733  * Add a build target 'build_all_generated', to build all generated files
1734    and only that.  This can be used to prepare everything that requires
1735    things like perl for a system that lacks perl and then move everything
1736    to that system and do the rest of the build there.
1737
1738    *Richard Levitte*
1739
1740  * In the UI interface, make it possible to duplicate the user data.  This
1741    can be used by engines that need to retain the data for a longer time
1742    than just the call where this user data is passed.
1743
1744    *Richard Levitte*
1745
1746  * Ignore the '-named_curve auto' value for compatibility of applications
1747    with OpenSSL 1.0.2.
1748
1749    *Tomas Mraz <tmraz@fedoraproject.org>*
1750
1751  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1752    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1753    alerts across multiple records (some of which could be empty). In practice
1754    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1755    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1756    support this at all. Supporting it adds significant complexity to the
1757    record layer, and its removal is unlikely to cause interoperability
1758    issues.
1759
1760    *Matt Caswell*
1761
1762  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1763    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1764    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1765    in OpenSSL 1.2.0.
1766
1767    *Richard Levitte*
1768
1769  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1770    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1771
1772    *Richard Levitte, Andy Polyakov*
1773
1774  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1775    does for RSA, etc.
1776
1777    *Richard Levitte*
1778
1779  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1780    platform rather than 'mingw'.
1781
1782    *Richard Levitte*
1783
1784  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1785    success if they are asked to add an object which already exists
1786    in the store. This change cascades to other functions which load
1787    certificates and CRLs.
1788
1789    *Paul Dale*
1790
1791  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1792    facilitate stack unwinding even from assembly subroutines.
1793
1794    *Andy Polyakov*
1795
1796  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1797    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1798
1799    *Richard Levitte*
1800
1801  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1802    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1803    which is the minimum version we support.
1804
1805    *Richard Levitte*
1806
1807  * Certificate time validation (X509_cmp_time) enforces stricter
1808    compliance with RFC 5280. Fractional seconds and timezone offsets
1809    are no longer allowed.
1810
1811    *Emilia Käsper*
1812
1813  * Add support for ARIA
1814
1815    *Paul Dale*
1816
1817  * s_client will now send the Server Name Indication (SNI) extension by
1818    default unless the new "-noservername" option is used. The server name is
1819    based on the host provided to the "-connect" option unless overridden by
1820    using "-servername".
1821
1822    *Matt Caswell*
1823
1824  * Add support for SipHash
1825
1826    *Todd Short*
1827
1828  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1829    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1830    prevent issues where no progress is being made and the peer continually
1831    sends unrecognised record types, using up resources processing them.
1832
1833    *Matt Caswell*
1834
1835  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1836    using the algorithm defined in
1837    <https://www.akkadia.org/drepper/SHA-crypt.txt>
1838
1839    *Richard Levitte*
1840
1841  * Heartbeat support has been removed; the ABI is changed for now.
1842
1843    *Richard Levitte, Rich Salz*
1844
1845  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1846
1847    *Emilia Käsper*
1848
1849  * The RSA "null" method, which was partially supported to avoid patent
1850    issues, has been replaced to always returns NULL.
1851
1852    *Rich Salz*
1853
1854 OpenSSL 1.1.0
1855 -------------
1856
1857 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019]
1858
1859  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1860    used even when parsing explicit parameters, when loading a serialized key
1861    or calling `EC_GROUP_new_from_ecpkparameters()`/
1862    `EC_GROUP_new_from_ecparameters()`.
1863    This prevents bypass of security hardening and performance gains,
1864    especially for curves with specialized EC_METHODs.
1865    By default, if a key encoded with explicit parameters is loaded and later
1866    serialized, the output is still encoded with explicit parameters, even if
1867    internally a "named" EC_GROUP is used for computation.
1868
1869    *Nicola Tuveri*
1870
1871  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1872    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1873    NULL. After this change, only the cofactor parameter can be NULL. It also
1874    does some minimal sanity checks on the passed order.
1875    [CVE-2019-1547][]
1876
1877    *Billy Bob Brumley*
1878
1879  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1880    An attack is simple, if the first CMS_recipientInfo is valid but the
1881    second CMS_recipientInfo is chosen ciphertext. If the second
1882    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1883    encryption key will be replaced by garbage, and the message cannot be
1884    decoded, but if the RSA decryption fails, the correct encryption key is
1885    used and the recipient will not notice the attack.
1886    As a work around for this potential attack the length of the decrypted
1887    key must be equal to the cipher default key length, in case the
1888    certifiate is not given and all recipientInfo are tried out.
1889    The old behaviour can be re-enabled in the CMS code by setting the
1890    CMS_DEBUG_DECRYPT flag.
1891    [CVE-2019-1563][]
1892
1893    *Bernd Edlinger*
1894
1895  * Use Windows installation paths in the mingw builds
1896
1897    Mingw isn't a POSIX environment per se, which means that Windows
1898    paths should be used for installation.
1899    [CVE-2019-1552][]
1900
1901    *Richard Levitte*
1902
1903 ### Changes between 1.1.0j and 1.1.0k [28 May 2019]
1904
1905  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1906    This changes the size when using the genpkey app when no size is given. It
1907    fixes an omission in earlier changes that changed all RSA, DSA and DH
1908    generation apps to use 2048 bits by default.
1909
1910    *Kurt Roeckx*
1911
1912  * Prevent over long nonces in ChaCha20-Poly1305.
1913
1914    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1915    for every encryption operation. RFC 7539 specifies that the nonce value
1916    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1917    and front pads the nonce with 0 bytes if it is less than 12
1918    bytes. However it also incorrectly allows a nonce to be set of up to 16
1919    bytes. In this case only the last 12 bytes are significant and any
1920    additional leading bytes are ignored.
1921
1922    It is a requirement of using this cipher that nonce values are
1923    unique. Messages encrypted using a reused nonce value are susceptible to
1924    serious confidentiality and integrity attacks. If an application changes
1925    the default nonce length to be longer than 12 bytes and then makes a
1926    change to the leading bytes of the nonce expecting the new value to be a
1927    new unique nonce then such an application could inadvertently encrypt
1928    messages with a reused nonce.
1929
1930    Additionally the ignored bytes in a long nonce are not covered by the
1931    integrity guarantee of this cipher. Any application that relies on the
1932    integrity of these ignored leading bytes of a long nonce may be further
1933    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1934    is safe because no such use sets such a long nonce value. However user
1935    applications that use this cipher directly and set a non-default nonce
1936    length to be longer than 12 bytes may be vulnerable.
1937
1938    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1939    Greef of Ronomon.
1940    [CVE-2019-1543][]
1941
1942    *Matt Caswell*
1943
1944  * Added SCA hardening for modular field inversion in EC_GROUP through
1945    a new dedicated field_inv() pointer in EC_METHOD.
1946    This also addresses a leakage affecting conversions from projective
1947    to affine coordinates.
1948
1949    *Billy Bob Brumley, Nicola Tuveri*
1950
1951  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1952    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1953
1954    *Bernd Edlinger*
1955
1956  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1957
1958    *Richard Levitte*
1959
1960  * Remove the 'dist' target and add a tarball building script.  The
1961    'dist' target has fallen out of use, and it shouldn't be
1962    necessary to configure just to create a source distribution.
1963
1964    *Richard Levitte*
1965
1966 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018]
1967
1968  * Timing vulnerability in DSA signature generation
1969
1970    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1971    timing side channel attack. An attacker could use variations in the signing
1972    algorithm to recover the private key.
1973
1974    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1975    [CVE-2018-0734][]
1976
1977    *Paul Dale*
1978
1979  * Timing vulnerability in ECDSA signature generation
1980
1981    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1982    timing side channel attack. An attacker could use variations in the signing
1983    algorithm to recover the private key.
1984
1985    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1986    [CVE-2018-0735][]
1987
1988    *Paul Dale*
1989
1990  * Add coordinate blinding for EC_POINT and implement projective
1991    coordinate blinding for generic prime curves as a countermeasure to
1992    chosen point SCA attacks.
1993
1994    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1995
1996 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018]
1997
1998  * Client DoS due to large DH parameter
1999
2000    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
2001    malicious server can send a very large prime value to the client. This will
2002    cause the client to spend an unreasonably long period of time generating a
2003    key for this prime resulting in a hang until the client has finished. This
2004    could be exploited in a Denial Of Service attack.
2005
2006    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
2007    [CVE-2018-0732][]
2008
2009    *Guido Vranken*
2010
2011  * Cache timing vulnerability in RSA Key Generation
2012
2013    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
2014    a cache timing side channel attack. An attacker with sufficient access to
2015    mount cache timing attacks during the RSA key generation process could
2016    recover the private key.
2017
2018    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
2019    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
2020    [CVE-2018-0737][]
2021
2022    *Billy Brumley*
2023
2024  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2025    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2026    pem_str is reserved for alias entries only.
2027
2028    *Richard Levitte*
2029
2030  * Revert blinding in ECDSA sign and instead make problematic addition
2031    length-invariant. Switch even to fixed-length Montgomery multiplication.
2032
2033    *Andy Polyakov*
2034
2035  * Change generating and checking of primes so that the error rate of not
2036    being prime depends on the intended use based on the size of the input.
2037    For larger primes this will result in more rounds of Miller-Rabin.
2038    The maximal error rate for primes with more than 1080 bits is lowered
2039    to 2^-128.
2040
2041    *Kurt Roeckx, Annie Yousar*
2042
2043  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2044
2045    *Kurt Roeckx*
2046
2047  * Add blinding to ECDSA and DSA signatures to protect against side channel
2048    attacks discovered by Keegan Ryan (NCC Group).
2049
2050    *Matt Caswell*
2051
2052  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2053    now allow empty (zero character) pass phrases.
2054
2055    *Richard Levitte*
2056
2057  * Certificate time validation (X509_cmp_time) enforces stricter
2058    compliance with RFC 5280. Fractional seconds and timezone offsets
2059    are no longer allowed.
2060
2061    *Emilia Käsper*
2062
2063  * Fixed a text canonicalisation bug in CMS
2064
2065    Where a CMS detached signature is used with text content the text goes
2066    through a canonicalisation process first prior to signing or verifying a
2067    signature. This process strips trailing space at the end of lines, converts
2068    line terminators to CRLF and removes additional trailing line terminators
2069    at the end of a file. A bug in the canonicalisation process meant that
2070    some characters, such as form-feed, were incorrectly treated as whitespace
2071    and removed. This is contrary to the specification (RFC5485). This fix
2072    could mean that detached text data signed with an earlier version of
2073    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2074    signed with a fixed OpenSSL may fail to verify with an earlier version of
2075    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2076    and use the "-binary" flag (for the "cms" command line application) or set
2077    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2078
2079    *Matt Caswell*
2080
2081 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018]
2082
2083  * Constructed ASN.1 types with a recursive definition could exceed the stack
2084
2085    Constructed ASN.1 types with a recursive definition (such as can be found
2086    in PKCS7) could eventually exceed the stack given malicious input with
2087    excessive recursion. This could result in a Denial Of Service attack. There
2088    are no such structures used within SSL/TLS that come from untrusted sources
2089    so this is considered safe.
2090
2091    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2092    project.
2093    [CVE-2018-0739][]
2094
2095    *Matt Caswell*
2096
2097  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2098
2099    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2100    effectively reduced to only comparing the least significant bit of each
2101    byte. This allows an attacker to forge messages that would be considered as
2102    authenticated in an amount of tries lower than that guaranteed by the
2103    security claims of the scheme. The module can only be compiled by the
2104    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2105
2106    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2107    (IBM).
2108    [CVE-2018-0733][]
2109
2110    *Andy Polyakov*
2111
2112  * Add a build target 'build_all_generated', to build all generated files
2113    and only that.  This can be used to prepare everything that requires
2114    things like perl for a system that lacks perl and then move everything
2115    to that system and do the rest of the build there.
2116
2117    *Richard Levitte*
2118
2119  * Backport SSL_OP_NO_RENGOTIATION
2120
2121    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2122    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2123    changes this is no longer possible in 1.1.0. Therefore the new
2124    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2125    1.1.0 to provide equivalent functionality.
2126
2127    Note that if an application built against 1.1.0h headers (or above) is run
2128    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2129    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2130
2131    *Matt Caswell*
2132
2133  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2134    exist.
2135
2136    *Rich Salz*
2137
2138  * rsaz_1024_mul_avx2 overflow bug on x86_64
2139
2140    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2141    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2142    Analysis suggests that attacks against RSA and DSA as a result of this
2143    defect would be very difficult to perform and are not believed likely.
2144    Attacks against DH1024 are considered just feasible, because most of the
2145    work necessary to deduce information about a private key may be performed
2146    offline. The amount of resources required for such an attack would be
2147    significant. However, for an attack on TLS to be meaningful, the server
2148    would have to share the DH1024 private key among multiple clients, which is
2149    no longer an option since CVE-2016-0701.
2150
2151    This only affects processors that support the AVX2 but not ADX extensions
2152    like Intel Haswell (4th generation).
2153
2154    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2155    was originally found via the OSS-Fuzz project.
2156    [CVE-2017-3738][]
2157
2158    *Andy Polyakov*
2159
2160 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017]
2161
2162  * bn_sqrx8x_internal carry bug on x86_64
2163
2164    There is a carry propagating bug in the x86_64 Montgomery squaring
2165    procedure. No EC algorithms are affected. Analysis suggests that attacks
2166    against RSA and DSA as a result of this defect would be very difficult to
2167    perform and are not believed likely. Attacks against DH are considered just
2168    feasible (although very difficult) because most of the work necessary to
2169    deduce information about a private key may be performed offline. The amount
2170    of resources required for such an attack would be very significant and
2171    likely only accessible to a limited number of attackers. An attacker would
2172    additionally need online access to an unpatched system using the target
2173    private key in a scenario with persistent DH parameters and a private
2174    key that is shared between multiple clients.
2175
2176    This only affects processors that support the BMI1, BMI2 and ADX extensions
2177    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2178
2179    This issue was reported to OpenSSL by the OSS-Fuzz project.
2180    [CVE-2017-3736][]
2181
2182    *Andy Polyakov*
2183
2184  * Malformed X.509 IPAddressFamily could cause OOB read
2185
2186    If an X.509 certificate has a malformed IPAddressFamily extension,
2187    OpenSSL could do a one-byte buffer overread. The most likely result
2188    would be an erroneous display of the certificate in text format.
2189
2190    This issue was reported to OpenSSL by the OSS-Fuzz project.
2191    [CVE-2017-3735][]
2192
2193    *Rich Salz*
2194
2195 ### Changes between 1.1.0e and 1.1.0f [25 May 2017]
2196
2197  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2198    platform rather than 'mingw'.
2199
2200    *Richard Levitte*
2201
2202  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2203    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2204    which is the minimum version we support.
2205
2206    *Richard Levitte*
2207
2208 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017]
2209
2210  * Encrypt-Then-Mac renegotiation crash
2211
2212    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2213    negotiated where it was not in the original handshake (or vice-versa) then
2214    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2215    and servers are affected.
2216
2217    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2218    [CVE-2017-3733][]
2219
2220    *Matt Caswell*
2221
2222 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017]
2223
2224  * Truncated packet could crash via OOB read
2225
2226    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2227    cipher is being used, then a truncated packet can cause that host to
2228    perform an out-of-bounds read, usually resulting in a crash.
2229
2230    This issue was reported to OpenSSL by Robert Święcki of Google.
2231    [CVE-2017-3731][]
2232
2233    *Andy Polyakov*
2234
2235  * Bad (EC)DHE parameters cause a client crash
2236
2237    If a malicious server supplies bad parameters for a DHE or ECDHE key
2238    exchange then this can result in the client attempting to dereference a
2239    NULL pointer leading to a client crash. This could be exploited in a Denial
2240    of Service attack.
2241
2242    This issue was reported to OpenSSL by Guido Vranken.
2243    [CVE-2017-3730][]
2244
2245    *Matt Caswell*
2246
2247  * BN_mod_exp may produce incorrect results on x86_64
2248
2249    There is a carry propagating bug in the x86_64 Montgomery squaring
2250    procedure. No EC algorithms are affected. Analysis suggests that attacks
2251    against RSA and DSA as a result of this defect would be very difficult to
2252    perform and are not believed likely. Attacks against DH are considered just
2253    feasible (although very difficult) because most of the work necessary to
2254    deduce information about a private key may be performed offline. The amount
2255    of resources required for such an attack would be very significant and
2256    likely only accessible to a limited number of attackers. An attacker would
2257    additionally need online access to an unpatched system using the target
2258    private key in a scenario with persistent DH parameters and a private
2259    key that is shared between multiple clients. For example this can occur by
2260    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2261    similar to CVE-2015-3193 but must be treated as a separate problem.
2262
2263    This issue was reported to OpenSSL by the OSS-Fuzz project.
2264    [CVE-2017-3732][]
2265
2266    *Andy Polyakov*
2267
2268 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016]
2269
2270  * ChaCha20/Poly1305 heap-buffer-overflow
2271
2272    TLS connections using `*-CHACHA20-POLY1305` ciphersuites are susceptible to
2273    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2274    crash. This issue is not considered to be exploitable beyond a DoS.
2275
2276    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2277    [CVE-2016-7054][]
2278
2279    *Richard Levitte*
2280
2281  * CMS Null dereference
2282
2283    Applications parsing invalid CMS structures can crash with a NULL pointer
2284    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2285    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2286    structure callback if an attempt is made to free certain invalid encodings.
2287    Only CHOICE structures using a callback which do not handle NULL value are
2288    affected.
2289
2290    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2291    [CVE-2016-7053][]
2292
2293    *Stephen Henson*
2294
2295  * Montgomery multiplication may produce incorrect results
2296
2297    There is a carry propagating bug in the Broadwell-specific Montgomery
2298    multiplication procedure that handles input lengths divisible by, but
2299    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2300    and DH private keys are impossible. This is because the subroutine in
2301    question is not used in operations with the private key itself and an input
2302    of the attacker's direct choice. Otherwise the bug can manifest itself as
2303    transient authentication and key negotiation failures or reproducible
2304    erroneous outcome of public-key operations with specially crafted input.
2305    Among EC algorithms only Brainpool P-512 curves are affected and one
2306    presumably can attack ECDH key negotiation. Impact was not analyzed in
2307    detail, because pre-requisites for attack are considered unlikely. Namely
2308    multiple clients have to choose the curve in question and the server has to
2309    share the private key among them, neither of which is default behaviour.
2310    Even then only clients that chose the curve will be affected.
2311
2312    This issue was publicly reported as transient failures and was not
2313    initially recognized as a security issue. Thanks to Richard Morgan for
2314    providing reproducible case.
2315    [CVE-2016-7055][]
2316
2317    *Andy Polyakov*
2318
2319  * Removed automatic addition of RPATH in shared libraries and executables,
2320    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2321
2322    *Richard Levitte*
2323
2324 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016]
2325
2326  * Fix Use After Free for large message sizes
2327
2328    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2329    message larger than approx 16k is received then the underlying buffer to
2330    store the incoming message is reallocated and moved. Unfortunately a
2331    dangling pointer to the old location is left which results in an attempt to
2332    write to the previously freed location. This is likely to result in a
2333    crash, however it could potentially lead to execution of arbitrary code.
2334
2335    This issue only affects OpenSSL 1.1.0a.
2336
2337    This issue was reported to OpenSSL by Robert Święcki.
2338    [CVE-2016-6309][]
2339
2340    *Matt Caswell*
2341
2342 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016]
2343
2344  * OCSP Status Request extension unbounded memory growth
2345
2346    A malicious client can send an excessively large OCSP Status Request
2347    extension. If that client continually requests renegotiation, sending a
2348    large OCSP Status Request extension each time, then there will be unbounded
2349    memory growth on the server. This will eventually lead to a Denial Of
2350    Service attack through memory exhaustion. Servers with a default
2351    configuration are vulnerable even if they do not support OCSP. Builds using
2352    the "no-ocsp" build time option are not affected.
2353
2354    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2355    [CVE-2016-6304][]
2356
2357    *Matt Caswell*
2358
2359  * SSL_peek() hang on empty record
2360
2361    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2362    sends an empty record. This could be exploited by a malicious peer in a
2363    Denial Of Service attack.
2364
2365    This issue was reported to OpenSSL by Alex Gaynor.
2366    [CVE-2016-6305][]
2367
2368    *Matt Caswell*
2369
2370  * Excessive allocation of memory in tls_get_message_header() and
2371    dtls1_preprocess_fragment()
2372
2373    A (D)TLS message includes 3 bytes for its length in the header for the
2374    message. This would allow for messages up to 16Mb in length. Messages of
2375    this length are excessive and OpenSSL includes a check to ensure that a
2376    peer is sending reasonably sized messages in order to avoid too much memory
2377    being consumed to service a connection. A flaw in the logic of version
2378    1.1.0 means that memory for the message is allocated too early, prior to
2379    the excessive message length check. Due to way memory is allocated in
2380    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2381    to service a connection. This could lead to a Denial of Service through
2382    memory exhaustion. However, the excessive message length check still takes
2383    place, and this would cause the connection to immediately fail. Assuming
2384    that the application calls SSL_free() on the failed connection in a timely
2385    manner then the 21Mb of allocated memory will then be immediately freed
2386    again. Therefore the excessive memory allocation will be transitory in
2387    nature. This then means that there is only a security impact if:
2388
2389    1) The application does not call SSL_free() in a timely manner in the event
2390    that the connection fails
2391    or
2392    2) The application is working in a constrained environment where there is
2393    very little free memory
2394    or
2395    3) The attacker initiates multiple connection attempts such that there are
2396    multiple connections in a state where memory has been allocated for the
2397    connection; SSL_free() has not yet been called; and there is insufficient
2398    memory to service the multiple requests.
2399
2400    Except in the instance of (1) above any Denial Of Service is likely to be
2401    transitory because as soon as the connection fails the memory is
2402    subsequently freed again in the SSL_free() call. However there is an
2403    increased risk during this period of application crashes due to the lack of
2404    memory - which would then mean a more serious Denial of Service.
2405
2406    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2407    (CVE-2016-6307 and CVE-2016-6308)
2408
2409    *Matt Caswell*
2410
2411  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2412    had to be removed. Primary reason is that vendor assembler can't
2413    assemble our modules with -KPIC flag. As result it, assembly
2414    support, was not even available as option. But its lack means
2415    lack of side-channel resistant code, which is incompatible with
2416    security by todays standards. Fortunately gcc is readily available
2417    prepackaged option, which we firmly point at...
2418
2419    *Andy Polyakov*
2420
2421 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016]
2422
2423  * Windows command-line tool supports UTF-8 opt-in option for arguments
2424    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2425    (to any value) allows Windows user to access PKCS#12 file generated
2426    with Windows CryptoAPI and protected with non-ASCII password, as well
2427    as files generated under UTF-8 locale on Linux also protected with
2428    non-ASCII password.
2429
2430    *Andy Polyakov*
2431
2432  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2433    have been disabled by default and removed from DEFAULT, just like RC4.
2434    See the RC4 item below to re-enable both.
2435
2436    *Rich Salz*
2437
2438  * The method for finding the storage location for the Windows RAND seed file
2439    has changed. First we check %RANDFILE%. If that is not set then we check
2440    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2441    all else fails we fall back to C:\.
2442
2443    *Matt Caswell*
2444
2445  * The EVP_EncryptUpdate() function has had its return type changed from void
2446    to int. A return of 0 indicates and error while a return of 1 indicates
2447    success.
2448
2449    *Matt Caswell*
2450
2451  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2452    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2453    off the constant time implementation for RSA, DSA and DH have been made
2454    no-ops and deprecated.
2455
2456    *Matt Caswell*
2457
2458  * Windows RAND implementation was simplified to only get entropy by
2459    calling CryptGenRandom(). Various other RAND-related tickets
2460    were also closed.
2461
2462    *Joseph Wylie Yandle, Rich Salz*
2463
2464  * The stack and lhash API's were renamed to start with `OPENSSL_SK_`
2465    and `OPENSSL_LH_`, respectively.  The old names are available
2466    with API compatibility.  They new names are now completely documented.
2467
2468    *Rich Salz*
2469
2470  * Unify TYPE_up_ref(obj) methods signature.
2471    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2472    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2473    int (instead of void) like all others TYPE_up_ref() methods.
2474    So now these methods also check the return value of CRYPTO_atomic_add(),
2475    and the validity of object reference counter.
2476
2477    *fdasilvayy@gmail.com*
2478
2479  * With Windows Visual Studio builds, the .pdb files are installed
2480    alongside the installed libraries and executables.  For a static
2481    library installation, ossl_static.pdb is the associate compiler
2482    generated .pdb file to be used when linking programs.
2483
2484    *Richard Levitte*
2485
2486  * Remove openssl.spec.  Packaging files belong with the packagers.
2487
2488    *Richard Levitte*
2489
2490  * Automatic Darwin/OSX configuration has had a refresh, it will now
2491    recognise x86_64 architectures automatically.  You can still decide
2492    to build for a different bitness with the environment variable
2493    KERNEL_BITS (can be 32 or 64), for example:
2494
2495            KERNEL_BITS=32 ./config
2496
2497    *Richard Levitte*
2498
2499  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2500    256 bit AES and HMAC with SHA256.
2501
2502    *Steve Henson*
2503
2504  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2505
2506    *Andy Polyakov*
2507
2508  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2509
2510    *Rich Salz*
2511
2512  * To enable users to have their own config files and build file templates,
2513    Configure looks in the directory indicated by the environment variable
2514    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2515    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2516    name and is used as is.
2517
2518    *Richard Levitte*
2519
2520  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2521    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2522    X509_CERT_FILE_CTX was removed.
2523
2524    *Rich Salz*
2525
2526  * "shared" builds are now the default. To create only static libraries use
2527    the "no-shared" Configure option.
2528
2529    *Matt Caswell*
2530
2531  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2532    All of these option have not worked for some while and are fundamental
2533    algorithms.
2534
2535    *Matt Caswell*
2536
2537  * Make various cleanup routines no-ops and mark them as deprecated. Most
2538    global cleanup functions are no longer required because they are handled
2539    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2540    Explicitly de-initing can cause problems (e.g. where a library that uses
2541    OpenSSL de-inits, but an application is still using it). The affected
2542    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2543    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2544    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2545    COMP_zlib_cleanup().
2546
2547    *Matt Caswell*
2548
2549  * --strict-warnings no longer enables runtime debugging options
2550    such as REF_DEBUG. Instead, debug options are automatically
2551    enabled with '--debug' builds.
2552
2553    *Andy Polyakov, Emilia Käsper*
2554
2555  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2556    have been moved out of the public header files. New functions for managing
2557    these have been added.
2558
2559    *Matt Caswell*
2560
2561  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2562    objects have been moved out of the public header files. New
2563    functions for managing these have been added.
2564
2565    *Richard Levitte*
2566
2567  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2568    have been moved out of the public header files. New functions for managing
2569    these have been added.
2570
2571    *Matt Caswell*
2572
2573  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2574    moved out of the public header files. New functions for managing these
2575    have been added.
2576
2577    *Matt Caswell*
2578
2579  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2580
2581    *Matt Caswell*
2582
2583  * Removed the mk1mf build scripts.
2584
2585    *Richard Levitte*
2586
2587  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2588    it is always safe to #include a header now.
2589
2590    *Rich Salz*
2591
2592  * Removed the aged BC-32 config and all its supporting scripts
2593
2594    *Richard Levitte*
2595
2596  * Removed support for Ultrix, Netware, and OS/2.
2597
2598    *Rich Salz*
2599
2600  * Add support for HKDF.
2601
2602    *Alessandro Ghedini*
2603
2604  * Add support for blake2b and blake2s
2605
2606    *Bill Cox*
2607
2608  * Added support for "pipelining". Ciphers that have the
2609    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2610    encryptions/decryptions simultaneously. There are currently no built-in
2611    ciphers with this property but the expectation is that engines will be able
2612    to offer it to significantly improve throughput. Support has been extended
2613    into libssl so that multiple records for a single connection can be
2614    processed in one go (for >=TLS 1.1).
2615
2616    *Matt Caswell*
2617
2618  * Added the AFALG engine. This is an async capable engine which is able to
2619    offload work to the Linux kernel. In this initial version it only supports
2620    AES128-CBC. The kernel must be version 4.1.0 or greater.
2621
2622    *Catriona Lucey*
2623
2624  * OpenSSL now uses a new threading API. It is no longer necessary to
2625    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2626    are two supported threading models: pthreads and windows threads. It is
2627    also possible to configure OpenSSL at compile time for "no-threads". The
2628    old threading API should no longer be used. The functions have been
2629    replaced with "no-op" compatibility macros.
2630
2631    *Alessandro Ghedini, Matt Caswell*
2632
2633  * Modify behavior of ALPN to invoke callback after SNI/servername
2634    callback, such that updates to the SSL_CTX affect ALPN.
2635
2636    *Todd Short*
2637
2638  * Add SSL_CIPHER queries for authentication and key-exchange.
2639
2640    *Todd Short*
2641
2642  * Changes to the DEFAULT cipherlist:
2643    - Prefer (EC)DHE handshakes over plain RSA.
2644    - Prefer AEAD ciphers over legacy ciphers.
2645    - Prefer ECDSA over RSA when both certificates are available.
2646    - Prefer TLSv1.2 ciphers/PRF.
2647    - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2648      default cipherlist.
2649
2650    *Emilia Käsper*
2651
2652  * Change the ECC default curve list to be this, in order: x25519,
2653    secp256r1, secp521r1, secp384r1.
2654
2655    *Rich Salz*
2656
2657  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2658    disabled by default. They can be re-enabled using the
2659    enable-weak-ssl-ciphers option to Configure.
2660
2661    *Matt Caswell*
2662
2663  * If the server has ALPN configured, but supports no protocols that the
2664    client advertises, send a fatal "no_application_protocol" alert.
2665    This behaviour is SHALL in RFC 7301, though it isn't universally
2666    implemented by other servers.
2667
2668    *Emilia Käsper*
2669
2670  * Add X25519 support.
2671    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2672    for public and private key encoding using the format documented in
2673    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2674    key generation and key derivation.
2675
2676    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2677    X25519(29).
2678
2679    *Steve Henson*
2680
2681  * Deprecate SRP_VBASE_get_by_user.
2682    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2683    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2684    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2685    seed, even if the seed is configured.
2686
2687    Users should use SRP_VBASE_get1_by_user instead. Note that in
2688    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2689    also that even though configuring the SRP seed attempts to hide
2690    invalid usernames by continuing the handshake with fake
2691    credentials, this behaviour is not constant time and no strong
2692    guarantees are made that the handshake is indistinguishable from
2693    that of a valid user.
2694
2695    *Emilia Käsper*
2696
2697  * Configuration change; it's now possible to build dynamic engines
2698    without having to build shared libraries and vice versa.  This
2699    only applies to the engines in engines/, those in crypto/engine/
2700    will always be built into libcrypto (i.e. "static").
2701
2702    Building dynamic engines is enabled by default; to disable, use
2703    the configuration option "disable-dynamic-engine".
2704
2705    The only requirements for building dynamic engines are the
2706    presence of the DSO module and building with position independent
2707    code, so they will also automatically be disabled if configuring
2708    with "disable-dso" or "disable-pic".
2709
2710    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2711    are also taken away from openssl/opensslconf.h, as they are
2712    irrelevant.
2713
2714    *Richard Levitte*
2715
2716  * Configuration change; if there is a known flag to compile
2717    position independent code, it will always be applied on the
2718    libcrypto and libssl object files, and never on the application
2719    object files.  This means other libraries that use routines from
2720    libcrypto / libssl can be made into shared libraries regardless
2721    of how OpenSSL was configured.
2722
2723    If this isn't desirable, the configuration options "disable-pic"
2724    or "no-pic" can be used to disable the use of PIC.  This will
2725    also disable building shared libraries and dynamic engines.
2726
2727    *Richard Levitte*
2728
2729  * Removed JPAKE code.  It was experimental and has no wide use.
2730
2731    *Rich Salz*
2732
2733  * The INSTALL_PREFIX Makefile variable has been renamed to
2734    DESTDIR.  That makes for less confusion on what this variable
2735    is for.  Also, the configuration option --install_prefix is
2736    removed.
2737
2738    *Richard Levitte*
2739
2740  * Heartbeat for TLS has been removed and is disabled by default
2741    for DTLS; configure with enable-heartbeats.  Code that uses the
2742    old #define's might need to be updated.
2743
2744    *Emilia Käsper, Rich Salz*
2745
2746  * Rename REF_CHECK to REF_DEBUG.
2747
2748    *Rich Salz*
2749
2750  * New "unified" build system
2751
2752    The "unified" build system is aimed to be a common system for all
2753    platforms we support.  With it comes new support for VMS.
2754
2755    This system builds supports building in a different directory tree
2756    than the source tree.  It produces one Makefile (for unix family
2757    or lookalikes), or one descrip.mms (for VMS).
2758
2759    The source of information to make the Makefile / descrip.mms is
2760    small files called 'build.info', holding the necessary
2761    information for each directory with source to compile, and a
2762    template in Configurations, like unix-Makefile.tmpl or
2763    descrip.mms.tmpl.
2764
2765    With this change, the library names were also renamed on Windows
2766    and on VMS.  They now have names that are closer to the standard
2767    on Unix, and include the major version number, and in certain
2768    cases, the architecture they are built for.  See "Notes on shared
2769    libraries" in INSTALL.
2770
2771    We rely heavily on the perl module Text::Template.
2772
2773    *Richard Levitte*
2774
2775  * Added support for auto-initialisation and de-initialisation of the library.
2776    OpenSSL no longer requires explicit init or deinit routines to be called,
2777    except in certain circumstances. See the OPENSSL_init_crypto() and
2778    OPENSSL_init_ssl() man pages for further information.
2779
2780    *Matt Caswell*
2781
2782  * The arguments to the DTLSv1_listen function have changed. Specifically the
2783    "peer" argument is now expected to be a BIO_ADDR object.
2784
2785  * Rewrite of BIO networking library. The BIO library lacked consistent
2786    support of IPv6, and adding it required some more extensive
2787    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2788    which hold all types of addresses and chains of address information.
2789    It also introduces a new API, with functions like BIO_socket,
2790    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2791    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2792    have been adapted accordingly.
2793
2794    *Richard Levitte*
2795
2796  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2797    the leading 0-byte.
2798
2799    *Emilia Käsper*
2800
2801  * CRIME protection: disable compression by default, even if OpenSSL is
2802    compiled with zlib enabled. Applications can still enable compression
2803    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2804    using the SSL_CONF library to configure compression.
2805
2806    *Emilia Käsper*
2807
2808  * The signature of the session callback configured with
2809    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2810    was explicitly marked as `const unsigned char*` instead of
2811    `unsigned char*`.
2812
2813    *Emilia Käsper*
2814
2815  * Always DPURIFY. Remove the use of uninitialized memory in the
2816    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2817
2818    *Emilia Käsper*
2819
2820  * Removed many obsolete configuration items, including
2821       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2822       MD2_CHAR, MD2_INT, MD2_LONG
2823       BF_PTR, BF_PTR2
2824       IDEA_SHORT, IDEA_LONG
2825       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2826
2827    *Rich Salz, with advice from Andy Polyakov*
2828
2829  * Many BN internals have been moved to an internal header file.
2830
2831    *Rich Salz with help from Andy Polyakov*
2832
2833  * Configuration and writing out the results from it has changed.
2834    Files such as Makefile include/openssl/opensslconf.h and are now
2835    produced through general templates, such as Makefile.in and
2836    crypto/opensslconf.h.in and some help from the perl module
2837    Text::Template.
2838
2839    Also, the center of configuration information is no longer
2840    Makefile.  Instead, Configure produces a perl module in
2841    configdata.pm which holds most of the config data (in the hash
2842    table %config), the target data that comes from the target
2843    configuration in one of the `Configurations/*.conf~ files (in
2844    %target).
2845
2846    *Richard Levitte*
2847
2848  * To clarify their intended purposes, the Configure options
2849    --prefix and --openssldir change their semantics, and become more
2850    straightforward and less interdependent.
2851
2852    --prefix shall be used exclusively to give the location INSTALLTOP
2853    where programs, scripts, libraries, include files and manuals are
2854    going to be installed.  The default is now /usr/local.
2855
2856    --openssldir shall be used exclusively to give the default
2857    location OPENSSLDIR where certificates, private keys, CRLs are
2858    managed.  This is also where the default openssl.cnf gets
2859    installed.
2860    If the directory given with this option is a relative path, the
2861    values of both the --prefix value and the --openssldir value will
2862    be combined to become OPENSSLDIR.
2863    The default for --openssldir is INSTALLTOP/ssl.
2864
2865    Anyone who uses --openssldir to specify where OpenSSL is to be
2866    installed MUST change to use --prefix instead.
2867
2868    *Richard Levitte*
2869
2870  * The GOST engine was out of date and therefore it has been removed. An up
2871    to date GOST engine is now being maintained in an external repository.
2872    See: <https://wiki.openssl.org/index.php/Binaries>. Libssl still retains
2873    support for GOST ciphersuites (these are only activated if a GOST engine
2874    is present).
2875
2876    *Matt Caswell*
2877
2878  * EGD is no longer supported by default; use enable-egd when
2879    configuring.
2880
2881    *Ben Kaduk and Rich Salz*
2882
2883  * The distribution now has Makefile.in files, which are used to
2884    create Makefile's when Configure is run.  *Configure must be run
2885    before trying to build now.*
2886
2887    *Rich Salz*
2888
2889  * The return value for SSL_CIPHER_description() for error conditions
2890    has changed.
2891
2892    *Rich Salz*
2893
2894  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2895
2896    Obtaining and performing DNSSEC validation of TLSA records is
2897    the application's responsibility.  The application provides
2898    the TLSA records of its choice to OpenSSL, and these are then
2899    used to authenticate the peer.
2900
2901    The TLSA records need not even come from DNS.  They can, for
2902    example, be used to implement local end-entity certificate or
2903    trust-anchor "pinning", where the "pin" data takes the form
2904    of TLSA records, which can augment or replace verification
2905    based on the usual WebPKI public certification authorities.
2906
2907    *Viktor Dukhovni*
2908
2909  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2910    continues to support deprecated interfaces in default builds.
2911    However, applications are strongly advised to compile their
2912    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2913    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2914    or the 1.1.0 releases.
2915
2916    In environments in which all applications have been ported to
2917    not use any deprecated interfaces OpenSSL's Configure script
2918    should be used with the --api=1.1.0 option to entirely remove
2919    support for the deprecated features from the library and
2920    unconditionally disable them in the installed headers.
2921    Essentially the same effect can be achieved with the "no-deprecated"
2922    argument to Configure, except that this will always restrict
2923    the build to just the latest API, rather than a fixed API
2924    version.
2925
2926    As applications are ported to future revisions of the API,
2927    they should update their compile-time OPENSSL_API_COMPAT define
2928    accordingly, but in most cases should be able to continue to
2929    compile with later releases.
2930
2931    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2932    0x10000000L and 0x00908000L, respectively.  However those
2933    versions did not support the OPENSSL_API_COMPAT feature, and
2934    so applications are not typically tested for explicit support
2935    of just the undeprecated features of either release.
2936
2937    *Viktor Dukhovni*
2938
2939  * Add support for setting the minimum and maximum supported protocol.
2940    It can bet set via the SSL_set_min_proto_version() and
2941    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2942    MaxProtocol.  It's recommended to use the new APIs to disable
2943    protocols instead of disabling individual protocols using
2944    SSL_set_options() or SSL_CONF's Protocol.  This change also
2945    removes support for disabling TLS 1.2 in the OpenSSL TLS
2946    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2947
2948    *Kurt Roeckx*
2949
2950  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2951
2952    *Andy Polyakov*
2953
2954  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2955    and integrates ECDSA and ECDH functionality into EC. Implementations can
2956    now redirect key generation and no longer need to convert to or from
2957    ECDSA_SIG format.
2958
2959    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2960    include the ec.h header file instead.
2961
2962    *Steve Henson*
2963
2964  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2965    ciphers who are no longer supported and drops support the ephemeral RSA key
2966    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2967
2968    *Kurt Roeckx*
2969
2970  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2971    opaque.  For HMAC_CTX, the following constructors and destructors
2972    were added:
2973
2974       HMAC_CTX *HMAC_CTX_new(void);
2975       void HMAC_CTX_free(HMAC_CTX *ctx);
2976
2977    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2978    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2979    EVP_CIPHER_meth_new(3) for documentation.
2980
2981    Additional changes:
2982    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2983       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2984       EVP_MD_CTX_reset() should be called instead to reinitialise
2985       an already created structure.
2986    2) For consistency with the majority of our object creators and
2987       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2988       EVP_MD_CTX_(new|free).  The old names are retained as macros
2989       for deprecated builds.
2990
2991    *Richard Levitte*
2992
2993  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2994    cryptographic operations to be performed asynchronously as long as an
2995    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2996    further details. Libssl has also had this capability integrated with the
2997    introduction of the new mode SSL_MODE_ASYNC and associated error
2998    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2999    pages. This work was developed in partnership with Intel Corp.
3000
3001    *Matt Caswell*
3002
3003  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
3004    always enabled now.  If you want to disable the support you should
3005    exclude it using the list of supported ciphers. This also means that the
3006    "-no_ecdhe" option has been removed from s_server.
3007
3008    *Kurt Roeckx*
3009
3010  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
3011    SSL_{CTX_}set1_curves() which can set a list.
3012
3013    *Kurt Roeckx*
3014
3015  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
3016    curve you want to support using SSL_{CTX_}set1_curves().
3017
3018    *Kurt Roeckx*
3019
3020  * State machine rewrite. The state machine code has been significantly
3021    refactored in order to remove much duplication of code and solve issues
3022    with the old code (see ssl/statem/README for further details). This change
3023    does have some associated API changes. Notably the SSL_state() function
3024    has been removed and replaced by SSL_get_state which now returns an
3025    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
3026    altogether. The previous handshake states defined in ssl.h and ssl3.h have
3027    also been removed.
3028
3029    *Matt Caswell*
3030
3031  * All instances of the string "ssleay" in the public API were replaced
3032    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
3033    Some error codes related to internal RSA_eay API's were renamed.
3034
3035    *Rich Salz*
3036
3037  * The demo files in crypto/threads were moved to demo/threads.
3038
3039    *Rich Salz*
3040
3041  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
3042    sureware and ubsec.
3043
3044    *Matt Caswell, Rich Salz*
3045
3046  * New ASN.1 embed macro.
3047
3048    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
3049    structure is not allocated: it is part of the parent. That is instead of
3050
3051            FOO *x;
3052
3053    it must be:
3054
3055            FOO x;
3056
3057    This reduces memory fragmentation and make it impossible to accidentally
3058    set a mandatory field to NULL.
3059
3060    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3061    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3062    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3063    SEQUENCE OF.
3064
3065    *Steve Henson*
3066
3067  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3068
3069    *Emilia Käsper*
3070
3071  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3072    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3073    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3074    DES and RC4 ciphersuites.
3075
3076    *Matt Caswell*
3077
3078  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3079    This changes the decoding behaviour for some invalid messages,
3080    though the change is mostly in the more lenient direction, and
3081    legacy behaviour is preserved as much as possible.
3082
3083    *Emilia Käsper*
3084
3085  * Fix no-stdio build.
3086    * David Woodhouse <David.Woodhouse@intel.com> and also
3087     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3088
3089  * New testing framework
3090    The testing framework has been largely rewritten and is now using
3091    perl and the perl modules Test::Harness and an extended variant of
3092    Test::More called OpenSSL::Test to do its work.  All test scripts in
3093    test/ have been rewritten into test recipes, and all direct calls to
3094    executables in test/Makefile have become individual recipes using the
3095    simplified testing OpenSSL::Test::Simple.
3096
3097    For documentation on our testing modules, do:
3098
3099            perldoc test/testlib/OpenSSL/Test/Simple.pm
3100            perldoc test/testlib/OpenSSL/Test.pm
3101
3102    *Richard Levitte*
3103
3104  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3105    are used; the latter aborts on memory leaks (usually checked on exit).
3106    Some undocumented "set malloc, etc., hooks" functions were removed
3107    and others were changed.  All are now documented.
3108
3109    *Rich Salz*
3110
3111  * In DSA_generate_parameters_ex, if the provided seed is too short,
3112    return an error
3113
3114    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3115
3116  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3117    from RFC4279, RFC4785, RFC5487, RFC5489.
3118
3119    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3120    original RSA_PSK patch.
3121
3122    *Steve Henson*
3123
3124  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3125    era flag was never set throughout the codebase (only read). Also removed
3126    SSL3_FLAGS_POP_BUFFER which was only used if
3127    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3128
3129    *Matt Caswell*
3130
3131  * Changed the default name options in the "ca", "crl", "req" and "x509"
3132    to be "oneline" instead of "compat".
3133
3134    *Richard Levitte*
3135
3136  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3137    not aware of clients that still exhibit this bug, and the workaround
3138    hasn't been working properly for a while.
3139
3140    *Emilia Käsper*
3141
3142  * The return type of BIO_number_read() and BIO_number_written() as well as
3143    the corresponding num_read and num_write members in the BIO structure has
3144    changed from unsigned long to uint64_t. On platforms where an unsigned
3145    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3146    transferred.
3147
3148    *Matt Caswell*
3149
3150  * Given the pervasive nature of TLS extensions it is inadvisable to run
3151    OpenSSL without support for them. It also means that maintaining
3152    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3153    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3154
3155    *Matt Caswell*
3156
3157  * Removed support for the two export grade static DH ciphersuites
3158    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3159    were newly added (along with a number of other static DH ciphersuites) to
3160    1.0.2. However the two export ones have *never* worked since they were
3161    introduced. It seems strange in any case to be adding new export
3162    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3163
3164    *Matt Caswell*
3165
3166  * Version negotiation has been rewritten. In particular SSLv23_method(),
3167    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3168    and turned into macros which simply call the new preferred function names
3169    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3170    should use the new names instead. Also as part of this change the ssl23.h
3171    header file has been removed.
3172
3173    *Matt Caswell*
3174
3175  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3176    code and the associated standard is no longer considered fit-for-purpose.
3177
3178    *Matt Caswell*
3179
3180  * RT2547 was closed.  When generating a private key, try to make the
3181    output file readable only by the owner.  This behavior change might
3182    be noticeable when interacting with other software.
3183
3184  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3185    Added a test.
3186
3187    *Rich Salz*
3188
3189  * Added HTTP GET support to the ocsp command.
3190
3191    *Rich Salz*
3192
3193  * Changed default digest for the dgst and enc commands from MD5 to
3194    sha256
3195
3196    *Rich Salz*
3197
3198  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3199
3200    *Matt Caswell*
3201
3202  * Added support for TLS extended master secret from
3203    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3204    initial patch which was a great help during development.
3205
3206    *Steve Henson*
3207
3208  * All libssl internal structures have been removed from the public header
3209    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3210    now redundant). Users should not attempt to access internal structures
3211    directly. Instead they should use the provided API functions.
3212
3213    *Matt Caswell*
3214
3215  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3216    Access to deprecated functions can be re-enabled by running config with
3217    "enable-deprecated". In addition applications wishing to use deprecated
3218    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3219    will, by default, disable some transitive includes that previously existed
3220    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3221
3222    *Matt Caswell*
3223
3224  * Added support for OCB mode. OpenSSL has been granted a patent license
3225    compatible with the OpenSSL license for use of OCB. Details are available
3226    at <https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf>. Support
3227    for OCB can be removed by calling config with no-ocb.
3228
3229    *Matt Caswell*
3230
3231  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3232    compatible client hello.
3233
3234    *Kurt Roeckx*
3235
3236  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3237    done while fixing the error code for the key-too-small case.
3238
3239    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3240
3241  * CA.sh has been removed; use CA.pl instead.
3242
3243    *Rich Salz*
3244
3245  * Removed old DES API.
3246
3247    *Rich Salz*
3248
3249  * Remove various unsupported platforms:
3250       Sony NEWS4
3251       BEOS and BEOS_R5
3252       NeXT
3253       SUNOS
3254       MPE/iX
3255       Sinix/ReliantUNIX RM400
3256       DGUX
3257       NCR
3258       Tandem
3259       Cray
3260       16-bit platforms such as WIN16
3261
3262    *Rich Salz*
3263
3264  * Clean up OPENSSL_NO_xxx #define's
3265    - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3266    - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3267    - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3268    - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3269    - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3270    - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3271      OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3272      OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3273      OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3274    - Remove MS_STATIC; it's a relic from platforms <32 bits.
3275
3276    *Rich Salz*
3277
3278  * Cleaned up dead code
3279      Remove all but one '#ifdef undef' which is to be looked at.
3280
3281    *Rich Salz*
3282
3283  * Clean up calling of xxx_free routines.
3284       Just like free(), fix most of the xxx_free routines to accept
3285       NULL.  Remove the non-null checks from callers.  Save much code.
3286
3287    *Rich Salz*
3288
3289  * Add secure heap for storage of private keys (when possible).
3290    Add BIO_s_secmem(), CBIGNUM, etc.
3291    Contributed by Akamai Technologies under our Corporate CLA.
3292
3293    *Rich Salz*
3294
3295  * Experimental support for a new, fast, unbiased prime candidate generator,
3296    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3297
3298    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3299
3300  * New output format NSS in the sess_id command line tool. This allows
3301    exporting the session id and the master key in NSS keylog format.
3302
3303    *Martin Kaiser <martin@kaiser.cx>*
3304
3305  * Harmonize version and its documentation. -f flag is used to display
3306    compilation flags.
3307
3308    *mancha <mancha1@zoho.com>*
3309
3310  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3311    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3312
3313    *mancha <mancha1@zoho.com>*
3314
3315  * Fix some double frees. These are not thought to be exploitable.
3316
3317    *mancha <mancha1@zoho.com>*
3318
3319  * A missing bounds check in the handling of the TLS heartbeat extension
3320    can be used to reveal up to 64k of memory to a connected client or
3321    server.
3322
3323    Thanks for Neel Mehta of Google Security for discovering this bug and to
3324    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3325    preparing the fix [CVE-2014-0160][]
3326
3327    *Adam Langley, Bodo Moeller*
3328
3329  * Fix for the attack described in the paper "Recovering OpenSSL
3330    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3331    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3332    <http://eprint.iacr.org/2014/140>
3333
3334    Thanks to Yuval Yarom and Naomi Benger for discovering this
3335    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3336
3337    *Yuval Yarom and Naomi Benger*
3338
3339  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3340    this fixes a limitation in previous versions of OpenSSL.
3341
3342    *Steve Henson*
3343
3344  * Experimental encrypt-then-mac support.
3345
3346    Experimental support for encrypt then mac from
3347    draft-gutmann-tls-encrypt-then-mac-02.txt
3348
3349    To enable it set the appropriate extension number (0x42 for the test
3350    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3351
3352    For non-compliant peers (i.e. just about everything) this should have no
3353    effect.
3354
3355    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3356
3357    *Steve Henson*
3358
3359  * Add EVP support for key wrapping algorithms, to avoid problems with
3360    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3361    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3362    algorithms and include tests cases.
3363
3364    *Steve Henson*
3365
3366  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3367    enveloped data.
3368
3369    *Steve Henson*
3370
3371  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3372    MGF1 digest and OAEP label.
3373
3374    *Steve Henson*
3375
3376  * Make openssl verify return errors.
3377
3378    *Chris Palmer <palmer@google.com> and Ben Laurie*
3379
3380  * New function ASN1_TIME_diff to calculate the difference between two
3381    ASN1_TIME structures or one structure and the current time.
3382
3383    *Steve Henson*
3384
3385  * Update fips_test_suite to support multiple command line options. New
3386    test to induce all self test errors in sequence and check expected
3387    failures.
3388
3389    *Steve Henson*
3390
3391  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3392    sign or verify all in one operation.
3393
3394    *Steve Henson*
3395
3396  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3397    test programs and fips_test_suite. Includes functionality to parse
3398    the minimal script output of fipsalgest.pl directly.
3399
3400    *Steve Henson*
3401
3402  * Add authorisation parameter to FIPS_module_mode_set().
3403
3404    *Steve Henson*
3405
3406  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3407
3408    *Steve Henson*
3409
3410  * Use separate DRBG fields for internal and external flags. New function
3411    FIPS_drbg_health_check() to perform on demand health checking. Add
3412    generation tests to fips_test_suite with reduced health check interval to
3413    demonstrate periodic health checking. Add "nodh" option to
3414    fips_test_suite to skip very slow DH test.
3415
3416    *Steve Henson*
3417
3418  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3419    based on NID.
3420
3421    *Steve Henson*
3422
3423  * More extensive health check for DRBG checking many more failure modes.
3424    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3425    combination: call this in fips_test_suite.
3426
3427    *Steve Henson*
3428
3429  * Add support for canonical generation of DSA parameter 'g'. See
3430    FIPS 186-3 A.2.3.
3431
3432  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3433    POST to handle HMAC cases.
3434
3435    *Steve Henson*
3436
3437  * Add functions FIPS_module_version() and FIPS_module_version_text()
3438    to return numerical and string versions of the FIPS module number.
3439
3440    *Steve Henson*
3441
3442  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3443    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3444    outside the validated module in the FIPS capable OpenSSL.
3445
3446    *Steve Henson*
3447
3448  * Minor change to DRBG entropy callback semantics. In some cases
3449    there is no multiple of the block length between min_len and
3450    max_len. Allow the callback to return more than max_len bytes
3451    of entropy but discard any extra: it is the callback's responsibility
3452    to ensure that the extra data discarded does not impact the
3453    requested amount of entropy.
3454
3455    *Steve Henson*
3456
3457  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3458    information in FIPS186-3, SP800-57 and SP800-131A.
3459
3460    *Steve Henson*
3461
3462  * CCM support via EVP. Interface is very similar to GCM case except we
3463    must supply all data in one chunk (i.e. no update, final) and the
3464    message length must be supplied if AAD is used. Add algorithm test
3465    support.
3466
3467    *Steve Henson*
3468
3469  * Initial version of POST overhaul. Add POST callback to allow the status
3470    of POST to be monitored and/or failures induced. Modify fips_test_suite
3471    to use callback. Always run all selftests even if one fails.
3472
3473    *Steve Henson*
3474
3475  * XTS support including algorithm test driver in the fips_gcmtest program.
3476    Note: this does increase the maximum key length from 32 to 64 bytes but
3477    there should be no binary compatibility issues as existing applications
3478    will never use XTS mode.
3479
3480    *Steve Henson*
3481
3482  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3483    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3484    performs algorithm blocking for unapproved PRNG types. Also do not
3485    set PRNG type in FIPS_mode_set(): leave this to the application.
3486    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3487    the standard OpenSSL PRNG: set additional data to a date time vector.
3488
3489    *Steve Henson*
3490
3491  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3492    This shouldn't present any incompatibility problems because applications
3493    shouldn't be using these directly and any that are will need to rethink
3494    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3495
3496    *Steve Henson*
3497
3498  * Extensive self tests and health checking required by SP800-90 DRBG.
3499    Remove strength parameter from FIPS_drbg_instantiate and always
3500    instantiate at maximum supported strength.
3501
3502    *Steve Henson*
3503
3504  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3505
3506    *Steve Henson*
3507
3508  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3509
3510    *Steve Henson*
3511
3512  * New function DH_compute_key_padded() to compute a DH key and pad with
3513    leading zeroes if needed: this complies with SP800-56A et al.
3514
3515    *Steve Henson*
3516
3517  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3518    anything, incomplete, subject to change and largely untested at present.
3519
3520    *Steve Henson*
3521
3522  * Modify fipscanisteronly build option to only build the necessary object
3523    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3524
3525    *Steve Henson*
3526
3527  * Add experimental option FIPSSYMS to give all symbols in
3528    fipscanister.o and FIPS or fips prefix. This will avoid
3529    conflicts with future versions of OpenSSL. Add perl script
3530    util/fipsas.pl to preprocess assembly language source files
3531    and rename any affected symbols.
3532
3533    *Steve Henson*
3534
3535  * Add selftest checks and algorithm block of non-fips algorithms in
3536    FIPS mode. Remove DES2 from selftests.
3537
3538    *Steve Henson*
3539
3540  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3541    return internal method without any ENGINE dependencies. Add new
3542    tiny fips sign and verify functions.
3543
3544    *Steve Henson*
3545
3546  * New build option no-ec2m to disable characteristic 2 code.
3547
3548    *Steve Henson*
3549
3550  * New build option "fipscanisteronly". This only builds fipscanister.o
3551    and (currently) associated fips utilities. Uses the file Makefile.fips
3552    instead of Makefile.org as the prototype.
3553
3554    *Steve Henson*
3555
3556  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3557    Update fips_gcmtest to use IV generator.
3558
3559    *Steve Henson*
3560
3561  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3562    setting output buffer to NULL. The `*Final` function must be
3563    called although it will not retrieve any additional data. The tag
3564    can be set or retrieved with a ctrl. The IV length is by default 12
3565    bytes (96 bits) but can be set to an alternative value. If the IV
3566    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3567    set before the key.
3568
3569    *Steve Henson*
3570
3571  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3572    underlying do_cipher function handles all cipher semantics itself
3573    including padding and finalisation. This is useful if (for example)
3574    an ENGINE cipher handles block padding itself. The behaviour of
3575    do_cipher is subtly changed if this flag is set: the return value
3576    is the number of characters written to the output buffer (zero is
3577    no longer an error code) or a negative error code. Also if the
3578    input buffer is NULL and length 0 finalisation should be performed.
3579
3580    *Steve Henson*
3581
3582  * If a candidate issuer certificate is already part of the constructed
3583    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3584
3585    *Steve Henson*
3586
3587  * Improve forward-security support: add functions
3588
3589            void SSL_CTX_set_not_resumable_session_callback(
3590                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3591            void SSL_set_not_resumable_session_callback(
3592                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3593
3594    for use by SSL/TLS servers; the callback function will be called whenever a
3595    new session is created, and gets to decide whether the session may be
3596    cached to make it resumable (return 0) or not (return 1).  (As by the
3597    SSL/TLS protocol specifications, the session_id sent by the server will be
3598    empty to indicate that the session is not resumable; also, the server will
3599    not generate RFC 4507 (RFC 5077) session tickets.)
3600
3601    A simple reasonable callback implementation is to return is_forward_secure.
3602    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3603    by the SSL/TLS server library, indicating whether it can provide forward
3604    security.
3605
3606    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3607
3608  * New -verify_name option in command line utilities to set verification
3609    parameters by name.
3610
3611    *Steve Henson*
3612
3613  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3614    Add CMAC pkey methods.
3615
3616    *Steve Henson*
3617
3618  * Experimental renegotiation in s_server -www mode. If the client
3619    browses /reneg connection is renegotiated. If /renegcert it is
3620    renegotiated requesting a certificate.
3621
3622    *Steve Henson*
3623
3624  * Add an "external" session cache for debugging purposes to s_server. This
3625    should help trace issues which normally are only apparent in deployed
3626    multi-process servers.
3627
3628    *Steve Henson*
3629
3630  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3631    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3632    BIO_set_cipher() and some obscure PEM functions were changed so they
3633    can now return an error. The RAND changes required a change to the
3634    RAND_METHOD structure.
3635
3636    *Steve Henson*
3637
3638  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3639    a gcc attribute to warn if the result of a function is ignored. This
3640    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3641    whose return value is often ignored.
3642
3643    *Steve Henson*
3644
3645  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3646    These allow SCTs (signed certificate timestamps) to be requested and
3647    validated when establishing a connection.
3648
3649    *Rob Percival <robpercival@google.com>*
3650
3651 OpenSSL 1.0.2
3652 -------------
3653
3654 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019]
3655
3656  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3657    used even when parsing explicit parameters, when loading a serialized key
3658    or calling `EC_GROUP_new_from_ecpkparameters()`/
3659    `EC_GROUP_new_from_ecparameters()`.
3660    This prevents bypass of security hardening and performance gains,
3661    especially for curves with specialized EC_METHODs.
3662    By default, if a key encoded with explicit parameters is loaded and later
3663    serialized, the output is still encoded with explicit parameters, even if
3664    internally a "named" EC_GROUP is used for computation.
3665
3666    *Nicola Tuveri*
3667
3668  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3669    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3670    NULL. After this change, only the cofactor parameter can be NULL. It also
3671    does some minimal sanity checks on the passed order.
3672    [CVE-2019-1547][]
3673
3674    *Billy Bob Brumley*
3675
3676  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3677    An attack is simple, if the first CMS_recipientInfo is valid but the
3678    second CMS_recipientInfo is chosen ciphertext. If the second
3679    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3680    encryption key will be replaced by garbage, and the message cannot be
3681    decoded, but if the RSA decryption fails, the correct encryption key is
3682    used and the recipient will not notice the attack.
3683    As a work around for this potential attack the length of the decrypted
3684    key must be equal to the cipher default key length, in case the
3685    certifiate is not given and all recipientInfo are tried out.
3686    The old behaviour can be re-enabled in the CMS code by setting the
3687    CMS_DEBUG_DECRYPT flag.
3688    [CVE-2019-1563][]
3689
3690    *Bernd Edlinger*
3691
3692  * Document issue with installation paths in diverse Windows builds
3693
3694    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3695    binaries and run-time config file.
3696    [CVE-2019-1552][]
3697
3698    *Richard Levitte*
3699
3700 ### Changes between 1.0.2r and 1.0.2s [28 May 2019]
3701
3702  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3703    This changes the size when using the genpkey app when no size is given. It
3704    fixes an omission in earlier changes that changed all RSA, DSA and DH
3705    generation apps to use 2048 bits by default.
3706
3707    *Kurt Roeckx*
3708
3709  * Add FIPS support for Android Arm 64-bit
3710
3711    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3712    Module in Version 2.0.10. For some reason, the corresponding target
3713    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3714    built with FIPS support on Android Arm 64-bit. This omission has been
3715    fixed.
3716
3717    *Matthias St. Pierre*
3718
3719 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019]
3720
3721  * 0-byte record padding oracle
3722
3723    If an application encounters a fatal protocol error and then calls
3724    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3725    then OpenSSL can respond differently to the calling application if a 0 byte
3726    record is received with invalid padding compared to if a 0 byte record is
3727    received with an invalid MAC. If the application then behaves differently
3728    based on that in a way that is detectable to the remote peer, then this
3729    amounts to a padding oracle that could be used to decrypt data.
3730
3731    In order for this to be exploitable "non-stitched" ciphersuites must be in
3732    use. Stitched ciphersuites are optimised implementations of certain
3733    commonly used ciphersuites. Also the application must call SSL_shutdown()
3734    twice even if a protocol error has occurred (applications should not do
3735    this but some do anyway).
3736
3737    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3738    Aviram, with additional investigation by Steven Collison and Andrew
3739    Hourselt. It was reported to OpenSSL on 10th December 2018.
3740    [CVE-2019-1559][]
3741
3742    *Matt Caswell*
3743
3744  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3745
3746    *Richard Levitte*
3747
3748 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018]
3749
3750  * Microarchitecture timing vulnerability in ECC scalar multiplication
3751
3752    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3753    shown to be vulnerable to a microarchitecture timing side channel attack.
3754    An attacker with sufficient access to mount local timing attacks during
3755    ECDSA signature generation could recover the private key.
3756
3757    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3758    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3759    Nicola Tuveri.
3760    [CVE-2018-5407][]
3761
3762    *Billy Brumley*
3763
3764  * Timing vulnerability in DSA signature generation
3765
3766    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3767    timing side channel attack. An attacker could use variations in the signing
3768    algorithm to recover the private key.
3769
3770    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3771    [CVE-2018-0734][]
3772
3773    *Paul Dale*
3774
3775  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3776    Module, accidentally introduced while backporting security fixes from the
3777    development branch and hindering the use of ECC in FIPS mode.
3778
3779    *Nicola Tuveri*
3780
3781 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018]
3782
3783  * Client DoS due to large DH parameter
3784
3785    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3786    malicious server can send a very large prime value to the client. This will
3787    cause the client to spend an unreasonably long period of time generating a
3788    key for this prime resulting in a hang until the client has finished. This
3789    could be exploited in a Denial Of Service attack.
3790
3791    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3792    [CVE-2018-0732][]
3793
3794    *Guido Vranken*
3795
3796  * Cache timing vulnerability in RSA Key Generation
3797
3798    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3799    a cache timing side channel attack. An attacker with sufficient access to
3800    mount cache timing attacks during the RSA key generation process could
3801    recover the private key.
3802
3803    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3804    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3805    [CVE-2018-0737][]
3806
3807    *Billy Brumley*
3808
3809  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3810    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3811    pem_str is reserved for alias entries only.
3812
3813    *Richard Levitte*
3814
3815  * Revert blinding in ECDSA sign and instead make problematic addition
3816    length-invariant. Switch even to fixed-length Montgomery multiplication.
3817
3818    *Andy Polyakov*
3819
3820  * Change generating and checking of primes so that the error rate of not
3821    being prime depends on the intended use based on the size of the input.
3822    For larger primes this will result in more rounds of Miller-Rabin.
3823    The maximal error rate for primes with more than 1080 bits is lowered
3824    to 2^-128.
3825
3826    *Kurt Roeckx, Annie Yousar*
3827
3828  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3829
3830    *Kurt Roeckx*
3831
3832  * Add blinding to ECDSA and DSA signatures to protect against side channel
3833    attacks discovered by Keegan Ryan (NCC Group).
3834
3835    *Matt Caswell*
3836
3837  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3838    now allow empty (zero character) pass phrases.
3839
3840    *Richard Levitte*
3841
3842  * Certificate time validation (X509_cmp_time) enforces stricter
3843    compliance with RFC 5280. Fractional seconds and timezone offsets
3844    are no longer allowed.
3845
3846    *Emilia Käsper*
3847
3848 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018]
3849
3850  * Constructed ASN.1 types with a recursive definition could exceed the stack
3851
3852    Constructed ASN.1 types with a recursive definition (such as can be found
3853    in PKCS7) could eventually exceed the stack given malicious input with
3854    excessive recursion. This could result in a Denial Of Service attack. There
3855    are no such structures used within SSL/TLS that come from untrusted sources
3856    so this is considered safe.
3857
3858    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3859    project.
3860    [CVE-2018-0739][]
3861
3862    *Matt Caswell*
3863
3864 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017]
3865
3866  * Read/write after SSL object in error state
3867
3868    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3869    mechanism. The intent was that if a fatal error occurred during a handshake
3870    then OpenSSL would move into the error state and would immediately fail if
3871    you attempted to continue the handshake. This works as designed for the
3872    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3873    SSL_connect()), however due to a bug it does not work correctly if
3874    SSL_read() or SSL_write() is called directly. In that scenario, if the
3875    handshake fails then a fatal error will be returned in the initial function
3876    call. If SSL_read()/SSL_write() is subsequently called by the application
3877    for the same SSL object then it will succeed and the data is passed without
3878    being decrypted/encrypted directly from the SSL/TLS record layer.
3879
3880    In order to exploit this issue an application bug would have to be present
3881    that resulted in a call to SSL_read()/SSL_write() being issued after having
3882    already received a fatal error.
3883
3884    This issue was reported to OpenSSL by David Benjamin (Google).
3885    [CVE-2017-3737][]
3886
3887    *Matt Caswell*
3888
3889  * rsaz_1024_mul_avx2 overflow bug on x86_64
3890
3891    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3892    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3893    Analysis suggests that attacks against RSA and DSA as a result of this