INSTALL

   1  OPENSSL INSTALLATION
   2  --------------------
   3
   4  This document describes installation on all supported operating
   5  systems (the Unix/Linux family (which includes Mac OS/X), OpenVMS,
   6  and Windows).
   7
   8  To install OpenSSL, you will need:
   9
  10   * A make implementation
  11   * Perl 5 with core modules (please read NOTES.PERL)
  12   * The perl module Text::Template (please read NOTES.PERL)
  13   * an ANSI C compiler
  14   * a development environment in the form of development libraries and C
  15     header files
  16   * a supported operating system
  17
  18  For additional platform specific requirements, solutions to specific
  19  issues and other details, please read one of these:
  20
  21   * NOTES.UNIX (any supported Unix like system)
  22   * NOTES.VMS (OpenVMS)
  23   * NOTES.WIN (any supported Windows)
  24   * NOTES.DJGPP (DOS platform with DJGPP)
  25   * NOTES.ANDROID (obviously Android [NDK])
  26
  27  Notational conventions in this document
  28  ---------------------------------------
  29
  30  Throughout this document, we use the following conventions in command
  31  examples:
  32
  33  $ command                      Any line starting with a dollar sign
  34                                 ($) is a command line.
  35
  36  { word1 | word2 | word3 }      This denotes a mandatory choice, to be
  37                                 replaced with one of the given words.
  38                                 A simple example would be this:
  39
  40                                 $ echo { FOO | BAR | COOKIE }
  41
  42                                 which is to be understood as one of
  43                                 these:
  44
  45                                 $ echo FOO
  46                                 - or -
  47                                 $ echo BAR
  48                                 - or -
  49                                 $ echo COOKIE
  50
  51  [ word1 | word2 | word3 ]      Similar to { word1 | word2 | word3 }
  52                                 except it's optional to give any of
  53                                 those.  In addition to the examples
  54                                 above, this would also be valid:
  55
  56                                 $ echo
  57
  58  {{ target }}                   This denotes a mandatory word or
  59                                 sequence of words of some sort.  A
  60                                 simple example would be this:
  61
  62                                 $ type {{ filename }}
  63
  64                                 which is to be understood to use the
  65                                 command 'type' on some file name
  66                                 determined by the user.
  67
  68  [[ options ]]                  Similar to {{ target }}, but is
  69                                 optional.
  70
  71  Note that the notation assumes spaces around {, }, [, ], {{, }} and
  72  [[, ]].  This is to differentiate from OpenVMS directory
  73  specifications, which also use [ and ], but without spaces.
  74
  75  Quick Start
  76  -----------
  77
  78  If you want to just get on with it, do:
  79
  80   on Unix (again, this includes Mac OS/X):
  81
  82     $ ./config
  83     $ make
  84     $ make test
  85     $ make install
  86
  87   on OpenVMS:
  88
  89     $ @config
  90     $ mms
  91     $ mms test
  92     $ mms install
  93
  94   on Windows (only pick one of the targets for configuration):
  95
  96     $ perl Configure { VC-WIN32 | VC-WIN64A | VC-WIN64I | VC-CE }
  97     $ nmake
  98     $ nmake test
  99     $ nmake install
 100
 101  Note that in order to perform the install step above you need to have
 102  appropriate permissions to write to the installation directory.
 103
 104  If any of these steps fails, see section Installation in Detail below.
 105
 106  This will build and install OpenSSL in the default location, which is:
 107
 108   Unix:    normal installation directories under /usr/local
 109   OpenVMS: SYS$COMMON:[OPENSSL-'version'...], where 'version' is the
 110            OpenSSL version number with underscores instead of periods.
 111   Windows: C:\Program Files\OpenSSL or C:\Program Files (x86)\OpenSSL
 112
 113  The installation directory should be appropriately protected to ensure
 114  unprivileged users cannot make changes to OpenSSL binaries or files, or install
 115  engines. If you already have a pre-installed version of OpenSSL as part of
 116  your Operating System it is recommended that you do not overwrite the system
 117  version and instead install to somewhere else.
 118
 119  If you want to install it anywhere else, run config like this:
 120
 121   On Unix:
 122
 123     $ ./config --prefix=/opt/openssl --openssldir=/usr/local/ssl
 124
 125   On OpenVMS:
 126
 127     $ @config --prefix=PROGRAM:[INSTALLS] --openssldir=SYS$MANAGER:[OPENSSL]
 128
 129  (Note: if you do add options to the configuration command, please make sure
 130  you've read more than just this Quick Start, such as relevant NOTES.* files,
 131  the options outline below, as configuration options may change the outcome
 132  in otherwise unexpected ways)
 133
 134
 135  Configuration Options
 136  ---------------------
 137
 138  There are several options to ./config (or ./Configure) to customize
 139  the build (note that for Windows, the defaults for --prefix and
 140  --openssldir depend in what configuration is used and what Windows
 141  implementation OpenSSL is built on.  More notes on this in NOTES.WIN):
 142
 143   --api=x.y.z
 144                    Don't build with support for deprecated APIs below the
 145                    specified version number. For example "--api=1.1.0" will
 146                    remove support for all APIS that were deprecated in OpenSSL
 147                    version 1.1.0 or below. This is a rather specialized option
 148                    for developers. If you just intend to remove all deprecated
 149                    APIs entirely (up to the current version), it is easier
 150                    to add the 'no-deprecated' option instead (see below).
 151
 152   --cross-compile-prefix=PREFIX
 153                    The PREFIX to include in front of commands for your
 154                    toolchain. It's likely to have to end with dash, e.g.
 155                    a-b-c- would invoke GNU compiler as a-b-c-gcc, etc.
 156                    Unfortunately cross-compiling is too case-specific to
 157                    put together one-size-fits-all instructions. You might
 158                    have to pass more flags or set up environment variables
 159                    to actually make it work. Android and iOS cases are
 160                    discussed in corresponding Configurations/15-*.conf
 161                    files. But there are cases when this option alone is
 162                    sufficient. For example to build the mingw64 target on
 163                    Linux "--cross-compile-prefix=x86_64-w64-mingw32-"
 164                    works. Naturally provided that mingw packages are
 165                    installed. Today Debian and Ubuntu users have option to
 166                    install a number of prepackaged cross-compilers along
 167                    with corresponding run-time and development packages for
 168                    "alien" hardware. To give another example
 169                    "--cross-compile-prefix=mipsel-linux-gnu-" suffices
 170                    in such case. Needless to mention that you have to
 171                    invoke ./Configure, not ./config, and pass your target
 172                    name explicitly. Also, note that --openssldir refers
 173                    to target's file system, not one you are building on.
 174
 175   --debug
 176                    Build OpenSSL with debugging symbols and zero optimization
 177                    level.
 178
 179   --libdir=DIR
 180                    The name of the directory under the top of the installation
 181                    directory tree (see the --prefix option) where libraries will
 182                    be installed. By default this is "lib". Note that on Windows
 183                    only ".lib" files will be stored in this location. dll files
 184                    will always be installed to the "bin" directory.
 185
 186   --openssldir=DIR
 187                    Directory for OpenSSL configuration files, and also the
 188                    default certificate and key store.  Defaults are:
 189
 190                    Unix:           /usr/local/ssl
 191                    Windows:        C:\Program Files\Common Files\SSL
 192                                 or C:\Program Files (x86)\Common Files\SSL
 193                    OpenVMS:        SYS$COMMON:[OPENSSL-COMMON]
 194
 195   --prefix=DIR
 196                    The top of the installation directory tree.  Defaults are:
 197
 198                    Unix:           /usr/local
 199                    Windows:        C:\Program Files\OpenSSL
 200                                 or C:\Program Files (x86)\OpenSSL
 201                    OpenVMS:        SYS$COMMON:[OPENSSL-'version']
 202
 203   --release
 204                    Build OpenSSL without debugging symbols. This is the default.
 205
 206   --strict-warnings
 207                    This is a developer flag that switches on various compiler
 208                    options recommended for OpenSSL development. It only works
 209                    when using gcc or clang as the compiler. If you are
 210                    developing a patch for OpenSSL then it is recommended that
 211                    you use this option where possible.
 212
 213   --with-zlib-include=DIR
 214                    The directory for the location of the zlib include file. This
 215                    option is only necessary if enable-zlib (see below) is used
 216                    and the include file is not already on the system include
 217                    path.
 218
 219   --with-zlib-lib=LIB
 220                    On Unix: this is the directory containing the zlib library.
 221                    If not provided the system library path will be used.
 222                    On Windows: this is the filename of the zlib library (with or
 223                    without a path). This flag must be provided if the
 224                    zlib-dynamic option is not also used. If zlib-dynamic is used
 225                    then this flag is optional and a default value ("ZLIB1") is
 226                    used if not provided.
 227                    On VMS: this is the filename of the zlib library (with or
 228                    without a path). This flag is optional and if not provided
 229                    then "GNV$LIBZSHR", "GNV$LIBZSHR32" or "GNV$LIBZSHR64" is
 230                    used by default depending on the pointer size chosen.
 231
 232
 233   --with-rand-seed=seed1[,seed2,...]
 234                    A comma separated list of seeding methods which will be tried
 235                    by OpenSSL in order to obtain random input (a.k.a "entropy")
 236                    for seeding its cryptographically secure random number
 237                    generator (CSPRNG). The current seeding methods are:
 238
 239                    os:         Use a trusted operating system entropy source.
 240                                This is the default method if such an entropy
 241                                source exists.
 242                    getrandom:  Use the L<getrandom(2)> or equivalent system
 243                                call.
 244                    devrandom:  Use the first device from the DEVRANDOM list
 245                                which can be opened to read random bytes. The
 246                                DEVRANDOM preprocessor constant expands to
 247                                "/dev/urandom","/dev/random","/dev/srandom" on
 248                                most unix-ish operating systems.
 249                    egd:        Check for an entropy generating daemon.
 250                    rdcpu:      Use the RDSEED or RDRAND command if provided by
 251                                the CPU.
 252                    librandom:  Use librandom (not implemented yet).
 253                    none:       Disable automatic seeding. This is the default
 254                                on some operating systems where no suitable
 255                                entropy source exists, or no support for it is
 256                                implemented yet.
 257
 258                    For more information, see the section 'Note on random number
 259                    generation' at the end of this document.
 260
 261   no-afalgeng
 262                    Don't build the AFALG engine. This option will be forced if
 263                    on a platform that does not support AFALG.
 264
 265   enable-asan
 266                    Build with the Address sanitiser. This is a developer option
 267                    only. It may not work on all platforms and should never be
 268                    used in production environments. It will only work when used
 269                    with gcc or clang and should be used in conjunction with the
 270                    no-shared option.
 271
 272   no-asm
 273                    Do not use assembler code. This should be viewed as
 274                    debugging/trouble-shooting option rather than production.
 275                    On some platforms a small amount of assembler code may
 276                    still be used even with this option.
 277
 278   no-async
 279                    Do not build support for async operations.
 280
 281   no-autoalginit
 282                    Don't automatically load all supported ciphers and digests.
 283                    Typically OpenSSL will make available all of its supported
 284                    ciphers and digests. For a statically linked application this
 285                    may be undesirable if small executable size is an objective.
 286                    This only affects libcrypto. Ciphers and digests will have to
 287                    be loaded manually using EVP_add_cipher() and
 288                    EVP_add_digest() if this option is used. This option will
 289                    force a non-shared build.
 290
 291   no-autoerrinit
 292                    Don't automatically load all libcrypto/libssl error strings.
 293                    Typically OpenSSL will automatically load human readable
 294                    error strings. For a statically linked application this may
 295                    be undesirable if small executable size is an objective.
 296
 297   no-autoload-config
 298                    Don't automatically load the default openssl.cnf file.
 299                    Typically OpenSSL will automatically load a system config
 300                    file which configures default ssl options.
 301
 302   enable-buildtest-c++
 303                    While testing, generate C++ buildtest files that
 304                    simply check that the public OpenSSL header files
 305                    are usable standalone with C++.
 306
 307                    Enabling this option demands extra care.  For any
 308                    compiler flag given directly as configuration
 309                    option, you must ensure that it's valid for both
 310                    the C and the C++ compiler.  If not, the C++ build
 311                    test will most likely break.  As an alternative,
 312                    you can use the language specific variables, CFLAGS
 313                    and CXXFLAGS.
 314
 315   no-capieng
 316                    Don't build the CAPI engine. This option will be forced if
 317                    on a platform that does not support CAPI.
 318
 319   no-cms
 320                    Don't build support for CMS features
 321
 322   no-comp
 323                    Don't build support for SSL/TLS compression. If this option
 324                    is left enabled (the default), then compression will only
 325                    work if the zlib or zlib-dynamic options are also chosen.
 326
 327   enable-crypto-mdebug
 328                    Build support for debugging memory allocated via
 329                    OPENSSL_malloc() or OPENSSL_zalloc().
 330
 331   enable-crypto-mdebug-backtrace
 332                    As for crypto-mdebug, but additionally provide backtrace
 333                    information for allocated memory.
 334                    TO BE USED WITH CARE: this uses GNU C functionality, and
 335                    is therefore not usable for non-GNU config targets.  If
 336                    your build complains about the use of '-rdynamic' or the
 337                    lack of header file execinfo.h, this option is not for you.
 338                    ALSO NOTE that even though execinfo.h is available on your
 339                    system (through Gnulib), the functions might just be stubs
 340                    that do nothing.
 341
 342   no-ct
 343                    Don't build support for Certificate Transparency.
 344
 345   no-deprecated
 346                    Don't build with support for any deprecated APIs. This is the
 347                    same as using "--api" and supplying the latest version
 348                    number.
 349
 350   no-dgram
 351                    Don't build support for datagram based BIOs. Selecting this
 352                    option will also force the disabling of DTLS.
 353
 354   enable-devcryptoeng
 355                    Build the /dev/crypto engine.  It is automatically selected
 356                    on BSD implementations, in which case it can be disabled with
 357                    no-devcryptoeng.
 358
 359   no-dynamic-engine
 360                    Don't build the dynamically loaded engines. This only has an
 361                    effect in a "shared" build
 362
 363   no-ec
 364                    Don't build support for Elliptic Curves.
 365
 366   no-ec2m
 367                    Don't build support for binary Elliptic Curves
 368
 369   enable-ec_nistp_64_gcc_128
 370                    Enable support for optimised implementations of some commonly
 371                    used NIST elliptic curves.
 372                    This is only supported on platforms:
 373                    - with little-endian storage of non-byte types
 374                    - that tolerate misaligned memory references
 375                    - where the compiler:
 376                      - supports the non-standard type __uint128_t
 377                      - defines the built-in macro __SIZEOF_INT128__
 378
 379   enable-egd
 380                    Build support for gathering entropy from EGD (Entropy
 381                    Gathering Daemon).
 382
 383   no-engine
 384                    Don't build support for loading engines.
 385
 386   no-err
 387                    Don't compile in any error strings.
 388
 389   enable-external-tests
 390                    Enable building of integration with external test suites.
 391                    This is a developer option and may not work on all platforms.
 392                    The only supported external test suite at the current time is
 393                    the BoringSSL test suite. See the file test/README.external
 394                    for further details.
 395
 396   no-filenames
 397                    Don't compile in filename and line number information (e.g.
 398                    for errors and memory allocation).
 399
 400   enable-fuzz-libfuzzer, enable-fuzz-afl
 401                    Build with support for fuzzing using either libfuzzer or AFL.
 402                    These are developer options only. They may not work on all
 403                    platforms and should never be used in production environments.
 404                    See the file fuzz/README.md for further details.
 405
 406   no-gost
 407                    Don't build support for GOST based ciphersuites. Note that
 408                    if this feature is enabled then GOST ciphersuites are only
 409                    available if the GOST algorithms are also available through
 410                    loading an externally supplied engine.
 411
 412   no-hw-padlock
 413                    Don't build the padlock engine.
 414
 415   no-makedepend
 416                    Don't generate dependencies.
 417
 418   no-multiblock
 419                    Don't build support for writing multiple records in one
 420                    go in libssl (Note: this is a different capability to the
 421                    pipelining functionality).
 422
 423   no-nextprotoneg
 424                    Don't build support for the NPN TLS extension.
 425
 426   no-ocsp
 427                    Don't build support for OCSP.
 428
 429   no-pic
 430                    Don't build with support for Position Independent Code.
 431
 432   no-pinshared     By default OpenSSL will attempt to stay in memory until the
 433                    process exits. This is so that libcrypto and libssl can be
 434                    properly cleaned up automatically via an "atexit()" handler.
 435                    The handler is registered by libcrypto and cleans up both
 436                    libraries. On some platforms the atexit() handler will run on
 437                    unload of libcrypto (if it has been dynamically loaded)
 438                    rather than at process exit. This option can be used to stop
 439                    OpenSSL from attempting to stay in memory until the process
 440                    exits. This could lead to crashes if either libcrypto or
 441                    libssl have already been unloaded at the point
 442                    that the atexit handler is invoked, e.g. on a platform which
 443                    calls atexit() on unload of the library, and libssl is
 444                    unloaded before libcrypto then a crash is likely to happen.
 445                    Applications can suppress running of the atexit() handler at
 446                    run time by using the OPENSSL_INIT_NO_ATEXIT option to
 447                    OPENSSL_init_crypto(). See the man page for it for further
 448                    details.
 449
 450   no-posix-io
 451                    Don't use POSIX IO capabilities.
 452
 453   no-psk
 454                    Don't build support for Pre-Shared Key based ciphersuites.
 455
 456   no-rdrand
 457                    Don't use hardware RDRAND capabilities.
 458
 459   no-rfc3779
 460                    Don't build support for RFC3779 ("X.509 Extensions for IP
 461                    Addresses and AS Identifiers")
 462
 463   sctp
 464                    Build support for SCTP
 465
 466   no-shared
 467                    Do not create shared libraries, only static ones.  See "Note
 468                    on shared libraries" below.
 469
 470   no-sock
 471                    Don't build support for socket BIOs
 472
 473   no-srp
 474                    Don't build support for SRP or SRP based ciphersuites.
 475
 476   no-srtp
 477                    Don't build SRTP support
 478
 479   no-sse2
 480                    Exclude SSE2 code paths from 32-bit x86 assembly modules.
 481                    Normally SSE2 extension is detected at run-time, but the
 482                    decision whether or not the machine code will be executed
 483                    is taken solely on CPU capability vector. This means that
 484                    if you happen to run OS kernel which does not support SSE2
 485                    extension on Intel P4 processor, then your application
 486                    might be exposed to "illegal instruction" exception.
 487                    There might be a way to enable support in kernel, e.g.
 488                    FreeBSD kernel can  be compiled with CPU_ENABLE_SSE, and
 489                    there is a way to disengage SSE2 code paths upon application
 490                    start-up, but if you aim for wider "audience" running
 491                    such kernel, consider no-sse2. Both the 386 and
 492                    no-asm options imply no-sse2.
 493
 494   enable-ssl-trace
 495                    Build with the SSL Trace capabilities (adds the "-trace"
 496                    option to s_client and s_server).
 497
 498   no-static-engine
 499                    Don't build the statically linked engines. This only
 500                    has an impact when not built "shared".
 501
 502   no-stdio
 503                    Don't use anything from the C header file "stdio.h" that
 504                    makes use of the "FILE" type. Only libcrypto and libssl can
 505                    be built in this way. Using this option will suppress
 506                    building the command line applications. Additionally since
 507                    the OpenSSL tests also use the command line applications the
 508                    tests will also be skipped.
 509
 510   no-tests
 511                    Don't build test programs or run any test.
 512
 513   no-threads
 514                    Don't try to build with support for multi-threaded
 515                    applications.
 516
 517   threads
 518                    Build with support for multi-threaded applications. Most
 519                    platforms will enable this by default. However if on a
 520                    platform where this is not the case then this will usually
 521                    require additional system-dependent options! See "Note on
 522                    multi-threading" below.
 523
 524   no-ts
 525                    Don't build Time Stamping Authority support.
 526
 527   enable-ubsan
 528                    Build with the Undefined Behaviour sanitiser. This is a
 529                    developer option only. It may not work on all platforms and
 530                    should never be used in production environments. It will only
 531                    work when used with gcc or clang and should be used in
 532                    conjunction with the "-DPEDANTIC" option (or the
 533                    --strict-warnings option).
 534
 535   no-ui
 536                    Don't build with the "UI" capability (i.e. the set of
 537                    features enabling text based prompts).
 538
 539   enable-unit-test
 540                    Enable additional unit test APIs. This should not typically
 541                    be used in production deployments.
 542
 543   enable-weak-ssl-ciphers
 544                    Build support for SSL/TLS ciphers that are considered "weak"
 545                    (e.g. RC4 based ciphersuites).
 546
 547   zlib
 548                    Build with support for zlib compression/decompression.
 549
 550   zlib-dynamic
 551                    Like "zlib", but has OpenSSL load the zlib library
 552                    dynamically when needed.  This is only supported on systems
 553                    where loading of shared libraries is supported.
 554
 555   386
 556                    In 32-bit x86 builds, when generating assembly modules,
 557                    use the 80386 instruction set only (the default x86 code
 558                    is more efficient, but requires at least a 486). Note:
 559                    This doesn't affect code generated by compiler, you're
 560                    likely to complement configuration command line with
 561                    suitable compiler-specific option.
 562
 563   no-<prot>
 564                    Don't build support for negotiating the specified SSL/TLS
 565                    protocol (one of ssl, ssl3, tls, tls1, tls1_1, tls1_2,
 566                    tls1_3, dtls, dtls1 or dtls1_2). If "no-tls" is selected then
 567                    all of tls1, tls1_1, tls1_2 and tls1_3 are disabled.
 568                    Similarly "no-dtls" will disable dtls1 and dtls1_2. The
 569                    "no-ssl" option is synonymous with "no-ssl3". Note this only
 570                    affects version negotiation. OpenSSL will still provide the
 571                    methods for applications to explicitly select the individual
 572                    protocol versions.
 573
 574   no-<prot>-method
 575                    As for no-<prot> but in addition do not build the methods for
 576                    applications to explicitly select individual protocol
 577                    versions. Note that there is no "no-tls1_3-method" option
 578                    because there is no application method for TLSv1.3. Using
 579                    individual protocol methods directly is deprecated.
 580                    Applications should use TLS_method() instead.
 581
 582   enable-<alg>
 583                    Build with support for the specified algorithm, where <alg>
 584                    is one of: md2 or rc5.
 585
 586   no-<alg>
 587                    Build without support for the specified algorithm, where
 588                    <alg> is one of: aria, bf, blake2, camellia, cast, chacha,
 589                    cmac, des, dh, dsa, ecdh, ecdsa, idea, md4, mdc2, ocb,
 590                    poly1305, rc2, rc4, rmd160, scrypt, seed, siphash, sm2, sm3,
 591                    sm4 or whirlpool.  The "ripemd" algorithm is deprecated and
 592                    if used is synonymous with rmd160.
 593
 594   -Dxxx, -Ixxx, -Wp, -lxxx, -Lxxx, -Wl, -rpath, -R, -framework, -static
 595                    These system specific options will be recognised and
 596                    passed through to the compiler to allow you to define
 597                    preprocessor symbols, specify additional libraries, library
 598                    directories or other compiler options. It might be worth
 599                    noting that some compilers generate code specifically for
 600                    processor the compiler currently executes on. This is not
 601                    necessarily what you might have in mind, since it might be
 602                    unsuitable for execution on other, typically older,
 603                    processor. Consult your compiler documentation.
 604
 605                    Take note of the VAR=value documentation below and how
 606                    these flags interact with those variables.
 607
 608   -xxx, +xxx
 609                    Additional options that are not otherwise recognised are
 610                    passed through as they are to the compiler as well.  Again,
 611                    consult your compiler documentation.
 612
 613                    Take note of the VAR=value documentation below and how
 614                    these flags interact with those variables.
 615
 616   VAR=value
 617                    Assignment of environment variable for Configure.  These
 618                    work just like normal environment variable assignments,
 619                    but are supported on all platforms and are confined to
 620                    the configuration scripts only.  These assignments override
 621                    the corresponding value in the inherited environment, if
 622                    there is one.
 623
 624                    The following variables are used as "make variables" and
 625                    can be used as an alternative to giving preprocessor,
 626                    compiler and linker options directly as configuration.
 627                    The following variables are supported:
 628
 629                    AR              The static library archiver.
 630                    ARFLAGS         Flags for the static library archiver.
 631                    AS              The assembler compiler.
 632                    ASFLAGS         Flags for the assembler compiler.
 633                    CC              The C compiler.
 634                    CFLAGS          Flags for the C compiler.
 635                    CXX             The C++ compiler.
 636                    CXXFLAGS        Flags for the C++ compiler.
 637                    CPP             The C/C++ preprocessor.
 638                    CPPFLAGS        Flags for the C/C++ preprocessor.
 639                    CPPDEFINES      List of CPP macro definitions, separated
 640                                    by a platform specific character (':' or
 641                                    space for Unix, ';' for Windows, ',' for
 642                                    VMS).  This can be used instead of using
 643                                    -D (or what corresponds to that on your
 644                                    compiler) in CPPFLAGS.
 645                    CPPINCLUDES     List of CPP inclusion directories, separated
 646                                    the same way as for CPPDEFINES.  This can
 647                                    be used instead of -I (or what corresponds
 648                                    to that on your compiler) in CPPFLAGS.
 649                    HASHBANGPERL    Perl invocation to be inserted after '#!'
 650                                    in public perl scripts (only relevant on
 651                                    Unix).
 652                    LD              The program linker (not used on Unix, $(CC)
 653                                    is used there).
 654                    LDFLAGS         Flags for the shared library, DSO and
 655                                    program linker.
 656                    LDLIBS          Extra libraries to use when linking.
 657                                    Takes the form of a space separated list
 658                                    of library specifications on Unix and
 659                                    Windows, and as a comma separated list of
 660                                    libraries on VMS.
 661                    RANLIB          The library archive indexer.
 662                    RC              The Windows resource compiler.
 663                    RCFLAGS         Flags for the Windows resource compiler.
 664                    RM              The command to remove files and directories.
 665
 666                    These cannot be mixed with compiling / linking flags given
 667                    on the command line.  In other words, something like this
 668                    isn't permitted.
 669
 670                        ./config -DFOO CPPFLAGS=-DBAR -DCOOKIE
 671
 672                    Backward compatibility note:
 673
 674                    To be compatible with older configuration scripts, the
 675                    environment variables are ignored if compiling / linking
 676                    flags are given on the command line, except for these:
 677
 678                    AR, CC, CXX, CROSS_COMPILE, HASHBANGPERL, PERL, RANLIB, RC
 679                    and WINDRES
 680
 681                    For example, the following command will not see -DBAR:
 682
 683                         CPPFLAGS=-DBAR ./config -DCOOKIE
 684
 685                    However, the following will see both set variables:
 686
 687                         CC=gcc CROSS_COMPILE=x86_64-w64-mingw32- \
 688                         ./config -DCOOKIE
 689
 690                    If CC is set, it is advisable to also set CXX to ensure
 691                    both C and C++ compilers are in the same "family".  This
 692                    becomes relevant with 'enable-external-tests' and
 693                    'enable-buildtest-c++'.
 694
 695   reconf
 696   reconfigure
 697                    Reconfigure from earlier data.  This fetches the previous
 698                    command line options and environment from data saved in
 699                    "configdata.pm", and runs the configuration process again,
 700                    using these options and environment.
 701                    Note: NO other option is permitted together with "reconf".
 702                    This means that you also MUST use "./Configure" (or
 703                    what corresponds to that on non-Unix platforms) directly
 704                    to invoke this option.
 705                    Note: The original configuration saves away values for ALL
 706                    environment variables that were used, and if they weren't
 707                    defined, they are still saved away with information that
 708                    they weren't originally defined.  This information takes
 709                    precedence over environment variables that are defined
 710                    when reconfiguring.
 711
 712  Displaying configuration data
 713  -----------------------------
 714
 715  The configuration script itself will say very little, and finishes by
 716  creating "configdata.pm".  This perl module can be loaded by other scripts
 717  to find all the configuration data, and it can also be used as a script to
 718  display all sorts of configuration data in a human readable form.
 719
 720  For more information, please do:
 721
 722        $ ./configdata.pm --help                         # Unix
 723
 724        or
 725
 726        $ perl configdata.pm --help                      # Windows and VMS
 727
 728  Installation in Detail
 729  ----------------------
 730
 731  1a. Configure OpenSSL for your operation system automatically:
 732
 733      NOTE: This is not available on Windows.
 734
 735        $ ./config [[ options ]]                         # Unix
 736
 737        or
 738
 739        $ @config [[ options ]]                          ! OpenVMS
 740
 741      For the remainder of this text, the Unix form will be used in all
 742      examples, please use the appropriate form for your platform.
 743
 744      This guesses at your operating system (and compiler, if necessary) and
 745      configures OpenSSL based on this guess. Run ./config -t to see
 746      if it guessed correctly. If you want to use a different compiler, you
 747      are cross-compiling for another platform, or the ./config guess was
 748      wrong for other reasons, go to step 1b. Otherwise go to step 2.
 749
 750      On some systems, you can include debugging information as follows:
 751
 752        $ ./config -d [[ options ]]
 753
 754  1b. Configure OpenSSL for your operating system manually
 755
 756      OpenSSL knows about a range of different operating system, hardware and
 757      compiler combinations. To see the ones it knows about, run
 758
 759        $ ./Configure                                    # Unix
 760
 761        or
 762
 763        $ perl Configure                                 # All other platforms
 764
 765      For the remainder of this text, the Unix form will be used in all
 766      examples, please use the appropriate form for your platform.
 767
 768      Pick a suitable name from the list that matches your system. For most
 769      operating systems there is a choice between using "cc" or "gcc".  When
 770      you have identified your system (and if necessary compiler) use this name
 771      as the argument to Configure. For example, a "linux-elf" user would
 772      run:
 773
 774        $ ./Configure linux-elf [[ options ]]
 775
 776      If your system isn't listed, you will have to create a configuration
 777      file named Configurations/{{ something }}.conf and add the correct
 778      configuration for your system. See the available configs as examples
 779      and read Configurations/README and Configurations/README.design for
 780      more information.
 781
 782      The generic configurations "cc" or "gcc" should usually work on 32 bit
 783      Unix-like systems.
 784
 785      Configure creates a build file ("Makefile" on Unix, "makefile" on Windows
 786      and "descrip.mms" on OpenVMS) from a suitable template in Configurations,
 787      and defines various macros in include/openssl/opensslconf.h (generated from
 788      include/openssl/opensslconf.h.in).
 789
 790  1c. Configure OpenSSL for building outside of the source tree.
 791
 792      OpenSSL can be configured to build in a build directory separate from
 793      the directory with the source code.  It's done by placing yourself in
 794      some other directory and invoking the configuration commands from
 795      there.
 796
 797      Unix example:
 798
 799        $ mkdir /var/tmp/openssl-build
 800        $ cd /var/tmp/openssl-build
 801        $ /PATH/TO/OPENSSL/SOURCE/config [[ options ]]
 802
 803        or
 804
 805        $ /PATH/TO/OPENSSL/SOURCE/Configure {{ target }} [[ options ]]
 806
 807      OpenVMS example:
 808
 809        $ set default sys$login:
 810        $ create/dir [.tmp.openssl-build]
 811        $ set default [.tmp.openssl-build]
 812        $ @[PATH.TO.OPENSSL.SOURCE]config [[ options ]]
 813
 814        or
 815
 816        $ @[PATH.TO.OPENSSL.SOURCE]Configure {{ target }} [[ options ]]
 817
 818      Windows example:
 819
 820        $ C:
 821        $ mkdir \temp-openssl
 822        $ cd \temp-openssl
 823        $ perl d:\PATH\TO\OPENSSL\SOURCE\Configure {{ target }} [[ options ]]
 824
 825      Paths can be relative just as well as absolute.  Configure will
 826      do its best to translate them to relative paths whenever possible.
 827
 828   2. Build OpenSSL by running:
 829
 830        $ make                                           # Unix
 831        $ mms                                            ! (or mmk) OpenVMS
 832        $ nmake                                          # Windows
 833
 834      This will build the OpenSSL libraries (libcrypto.a and libssl.a on
 835      Unix, corresponding on other platforms) and the OpenSSL binary
 836      ("openssl"). The libraries will be built in the top-level directory,
 837      and the binary will be in the "apps" subdirectory.
 838
 839      Troubleshooting:
 840
 841      If the build fails, look at the output.  There may be reasons
 842      for the failure that aren't problems in OpenSSL itself (like
 843      missing standard headers).
 844
 845      If the build succeeded previously, but fails after a source or
 846      configuration change, it might be helpful to clean the build tree
 847      before attempting another build. Use this command:
 848
 849        $ make clean                                     # Unix
 850        $ mms clean                                      ! (or mmk) OpenVMS
 851        $ nmake clean                                    # Windows
 852
 853      Assembler error messages can sometimes be sidestepped by using the
 854      "no-asm" configuration option.
 855
 856      Compiling parts of OpenSSL with gcc and others with the system
 857      compiler will result in unresolved symbols on some systems.
 858
 859      If you are still having problems you can get help by sending an email
 860      to the openssl-users email list (see
 861      https://www.openssl.org/community/mailinglists.html for details). If
 862      it is a bug with OpenSSL itself, please open an issue on GitHub, at
 863      https://github.com/openssl/openssl/issues. Please review the existing
 864      ones first; maybe the bug was already reported or has already been
 865      fixed.
 866
 867   3. After a successful build, the libraries should be tested. Run:
 868
 869        $ make test                                      # Unix
 870        $ mms test                                       ! OpenVMS
 871        $ nmake test                                     # Windows
 872
 873      NOTE: you MUST run the tests from an unprivileged account (or
 874      disable your privileges temporarily if your platform allows it).
 875
 876      If some tests fail, look at the output.  There may be reasons for
 877      the failure that isn't a problem in OpenSSL itself (like a
 878      malfunction with Perl).  You may want increased verbosity, that
 879      can be accomplished like this:
 880
 881        $ make VERBOSE=1 test                            # Unix
 882
 883        $ mms /macro=(VERBOSE=1) test                    ! OpenVMS
 884
 885        $ nmake VERBOSE=1 test                           # Windows
 886
 887      If you want to run just one or a few specific tests, you can use
 888      the make variable TESTS to specify them, like this:
 889
 890        $ make TESTS='test_rsa test_dsa' test            # Unix
 891        $ mms/macro="TESTS=test_rsa test_dsa" test       ! OpenVMS
 892        $ nmake TESTS='test_rsa test_dsa' test           # Windows
 893
 894      And of course, you can combine (Unix example shown):
 895
 896        $ make VERBOSE=1 TESTS='test_rsa test_dsa' test
 897
 898      You can find the list of available tests like this:
 899
 900        $ make list-tests                                # Unix
 901        $ mms list-tests                                 ! OpenVMS
 902        $ nmake list-tests                               # Windows
 903
 904      Have a look at the manual for the perl module Test::Harness to
 905      see what other HARNESS_* variables there are.
 906
 907      If you find a problem with OpenSSL itself, try removing any
 908      compiler optimization flags from the CFLAGS line in Makefile and
 909      run "make clean; make" or corresponding.
 910
 911      To report a bug please open an issue on GitHub, at
 912      https://github.com/openssl/openssl/issues.
 913
 914      For more details on how the make variables TESTS can be used,
 915      see section TESTS in Detail below.
 916
 917   4. If everything tests ok, install OpenSSL with
 918
 919        $ make install                                   # Unix
 920        $ mms install                                    ! OpenVMS
 921        $ nmake install                                  # Windows
 922
 923      Note that in order to perform the install step above you need to have
 924      appropriate permissions to write to the installation directory.
 925
 926      The above commands will install all the software components in this
 927      directory tree under PREFIX (the directory given with --prefix or its
 928      default):
 929
 930        Unix:
 931
 932          bin/           Contains the openssl binary and a few other
 933                         utility scripts.
 934          include/openssl
 935                         Contains the header files needed if you want
 936                         to build your own programs that use libcrypto
 937                         or libssl.
 938          lib            Contains the OpenSSL library files.
 939          lib/engines    Contains the OpenSSL dynamically loadable engines.
 940
 941          share/man/man1 Contains the OpenSSL command line man-pages.
 942          share/man/man3 Contains the OpenSSL library calls man-pages.
 943          share/man/man5 Contains the OpenSSL configuration format man-pages.
 944          share/man/man7 Contains the OpenSSL other misc man-pages.
 945
 946          share/doc/openssl/html/man1
 947          share/doc/openssl/html/man3
 948          share/doc/openssl/html/man5
 949          share/doc/openssl/html/man7
 950                         Contains the HTML rendition of the man-pages.
 951
 952        OpenVMS ('arch' is replaced with the architecture name, "Alpha"
 953        or "ia64", 'sover' is replaced with the shared library version
 954        (0101 for 1.1), and 'pz' is replaced with the pointer size
 955        OpenSSL was built with):
 956
 957          [.EXE.'arch']  Contains the openssl binary.
 958          [.EXE]         Contains a few utility scripts.
 959          [.include.openssl]
 960                         Contains the header files needed if you want
 961                         to build your own programs that use libcrypto
 962                         or libssl.
 963          [.LIB.'arch']  Contains the OpenSSL library files.
 964          [.ENGINES'sover''pz'.'arch']
 965                         Contains the OpenSSL dynamically loadable engines.
 966          [.SYS$STARTUP] Contains startup, login and shutdown scripts.
 967                         These define appropriate logical names and
 968                         command symbols.
 969          [.SYSTEST]     Contains the installation verification procedure.
 970          [.HTML]        Contains the HTML rendition of the manual pages.
 971
 972
 973      Additionally, install will add the following directories under
 974      OPENSSLDIR (the directory given with --openssldir or its default)
 975      for you convenience:
 976
 977          certs          Initially empty, this is the default location
 978                         for certificate files.
 979          private        Initially empty, this is the default location
 980                         for private key files.
 981          misc           Various scripts.
 982
 983      The installation directory should be appropriately protected to ensure
 984      unprivileged users cannot make changes to OpenSSL binaries or files, or
 985      install engines. If you already have a pre-installed version of OpenSSL as
 986      part of your Operating System it is recommended that you do not overwrite
 987      the system version and instead install to somewhere else.
 988
 989      Package builders who want to configure the library for standard
 990      locations, but have the package installed somewhere else so that
 991      it can easily be packaged, can use
 992
 993        $ make DESTDIR=/tmp/package-root install         # Unix
 994        $ mms/macro="DESTDIR=TMP:[PACKAGE-ROOT]" install ! OpenVMS
 995
 996      The specified destination directory will be prepended to all
 997      installation target paths.
 998
 999   Compatibility issues with previous OpenSSL versions:
1000
1001   *  COMPILING existing applications
1002
1003      Starting with version 1.1.0, OpenSSL hides a number of structures
1004      that were previously open.  This includes all internal libssl
1005      structures and a number of EVP types.  Accessor functions have
1006      been added to allow controlled access to the structures' data.
1007
1008      This means that some software needs to be rewritten to adapt to
1009      the new ways of doing things.  This often amounts to allocating
1010      an instance of a structure explicitly where you could previously
1011      allocate them on the stack as automatic variables, and using the
1012      provided accessor functions where you would previously access a
1013      structure's field directly.
1014
1015      Some APIs have changed as well.  However, older APIs have been
1016      preserved when possible.
1017
1018  Environment Variables
1019  ---------------------
1020
1021  A number of environment variables can be used to provide additional control
1022  over the build process. Typically these should be defined prior to running
1023  config or Configure. Not all environment variables are relevant to all
1024  platforms.
1025
1026  AR
1027                 The name of the ar executable to use.
1028
1029  BUILDFILE
1030                 Use a different build file name than the platform default
1031                 ("Makefile" on Unix-like platforms, "makefile" on native Windows,
1032                 "descrip.mms" on OpenVMS).  This requires that there is a
1033                 corresponding build file template.  See Configurations/README
1034                 for further information.
1035
1036  CC
1037                 The compiler to use. Configure will attempt to pick a default
1038                 compiler for your platform but this choice can be overridden
1039                 using this variable. Set it to the compiler executable you wish
1040                 to use, e.g. "gcc" or "clang".
1041
1042  CROSS_COMPILE
1043                 This environment variable has the same meaning as for the
1044                 "--cross-compile-prefix" Configure flag described above. If both
1045                 are set then the Configure flag takes precedence.
1046
1047  NM
1048                 The name of the nm executable to use.
1049
1050  OPENSSL_LOCAL_CONFIG_DIR
1051                 OpenSSL comes with a database of information about how it
1052                 should be built on different platforms as well as build file
1053                 templates for those platforms. The database is comprised of
1054                 ".conf" files in the Configurations directory.  The build
1055                 file templates reside there as well as ".tmpl" files. See the
1056                 file Configurations/README for further information about the
1057                 format of ".conf" files as well as information on the ".tmpl"
1058                 files.
1059                 In addition to the standard ".conf" and ".tmpl" files, it is
1060                 possible to create your own ".conf" and ".tmpl" files and store
1061                 them locally, outside the OpenSSL source tree. This environment
1062                 variable can be set to the directory where these files are held
1063                 and will be considered by Configure before it looks in the
1064                 standard directories.
1065
1066  PERL
1067                 The name of the Perl executable to use when building OpenSSL.
1068                 This variable is used in config script only. Configure on the
1069                 other hand imposes the interpreter by which it itself was
1070                 executed on the whole build procedure.
1071
1072  HASHBANGPERL
1073                 The command string for the Perl executable to insert in the
1074                 #! line of perl scripts that will be publically installed.
1075                 Default: /usr/bin/env perl
1076                 Note: the value of this variable is added to the same scripts
1077                 on all platforms, but it's only relevant on Unix-like platforms.
1078
1079  RC
1080                 The name of the rc executable to use. The default will be as
1081                 defined for the target platform in the ".conf" file. If not
1082                 defined then "windres" will be used. The WINDRES environment
1083                 variable is synonymous to this. If both are defined then RC
1084                 takes precedence.
1085
1086  RANLIB
1087                 The name of the ranlib executable to use.
1088
1089  WINDRES
1090                 See RC.
1091
1092  Makefile targets
1093  ----------------
1094
1095  The Configure script generates a Makefile in a format relevant to the specific
1096  platform. The Makefiles provide a number of targets that can be used. Not all
1097  targets may be available on all platforms. Only the most common targets are
1098  described here. Examine the Makefiles themselves for the full list.
1099
1100  all
1101                 The default target to build all the software components.
1102
1103  clean
1104                 Remove all build artefacts and return the directory to a "clean"
1105                 state.
1106
1107  depend
1108                 Rebuild the dependencies in the Makefiles. This is a legacy
1109                 option that no longer needs to be used since OpenSSL 1.1.0.
1110
1111  install
1112                 Install all OpenSSL components.
1113
1114  install_sw
1115                 Only install the OpenSSL software components.
1116
1117  install_docs
1118                 Only install the OpenSSL documentation components.
1119
1120  install_man_docs
1121                 Only install the OpenSSL man pages (Unix only).
1122
1123  install_html_docs
1124                 Only install the OpenSSL html documentation.
1125
1126  list-tests
1127                 Prints a list of all the self test names.
1128
1129  test
1130                 Build and run the OpenSSL self tests.
1131
1132  uninstall
1133                 Uninstall all OpenSSL components.
1134
1135  reconfigure
1136  reconf
1137                 Re-run the configuration process, as exactly as the last time
1138                 as possible.
1139
1140  update
1141                 This is a developer option. If you are developing a patch for
1142                 OpenSSL you may need to use this if you want to update
1143                 automatically generated files; add new error codes or add new
1144                 (or change the visibility of) public API functions. (Unix only).
1145
1146  TESTS in Detail
1147  ---------------
1148
1149  The make variable TESTS supports a versatile set of space separated tokens
1150  with which you can specify a set of tests to be performed.  With a "current
1151  set of tests" in mind, initially being empty, here are the possible tokens:
1152
1153  alltests       The current set of tests becomes the whole set of available
1154                 tests (as listed when you do 'make list-tests' or similar).
1155  xxx            Adds the test 'xxx' to the current set of tests.
1156  -xxx           Removes 'xxx' from the current set of tests.  If this is the
1157                 first token in the list, the current set of tests is first
1158                 assigned the whole set of available tests, effectively making
1159                 this token equivalent to TESTS="alltests -xxx".
1160  nn             Adds the test group 'nn' (which is a number) to the current
1161                 set of tests.
1162  -nn            Removes the test group 'nn' from the current set of tests.
1163                 If this is the first token in the list, the current set of
1164                 tests is first assigned the whole set of available tests,
1165                 effectively making this token equivalent to
1166                 TESTS="alltests -xxx".
1167
1168  Also, all tokens except for "alltests" may have wildcards, such as *.
1169  (on Unix and Windows, BSD style wildcards are supported, while on VMS,
1170  it's VMS style wildcards)
1171
1172  Example: All tests except for the fuzz tests:
1173
1174  $ make TESTS=-test_fuzz test
1175
1176  or (if you want to be explicit)
1177
1178  $ make TESTS='alltests -test_fuzz' test
1179
1180  Example: All tests that have a name starting with "test_ssl" but not those
1181  starting with "test_ssl_":
1182
1183  $ make TESTS='test_ssl* -test_ssl_*' test
1184
1185  Example: Only test group 10:
1186
1187  $ make TESTS='10'
1188
1189  Example: All tests except the slow group (group 99):
1190
1191  $ make TESTS='-99'
1192
1193  Example: All tests in test groups 80 to 99 except for tests in group 90:
1194
1195  $ make TESTS='[89]? -90'
1196
1197  Note on multi-threading
1198  -----------------------
1199
1200  For some systems, the OpenSSL Configure script knows what compiler options
1201  are needed to generate a library that is suitable for multi-threaded
1202  applications.  On these systems, support for multi-threading is enabled
1203  by default; use the "no-threads" option to disable (this should never be
1204  necessary).
1205
1206  On other systems, to enable support for multi-threading, you will have
1207  to specify at least two options: "threads", and a system-dependent option.
1208  (The latter is "-D_REENTRANT" on various systems.)  The default in this
1209  case, obviously, is not to include support for multi-threading (but
1210  you can still use "no-threads" to suppress an annoying warning message
1211  from the Configure script.)
1212
1213  OpenSSL provides built-in support for two threading models: pthreads (found on
1214  most UNIX/Linux systems), and Windows threads. No other threading models are
1215  supported. If your platform does not provide pthreads or Windows threads then
1216  you should Configure with the "no-threads" option.
1217
1218  Notes on shared libraries
1219  -------------------------
1220
1221  For most systems the OpenSSL Configure script knows what is needed to
1222  build shared libraries for libcrypto and libssl. On these systems
1223  the shared libraries will be created by default. This can be suppressed and
1224  only static libraries created by using the "no-shared" option. On systems
1225  where OpenSSL does not know how to build shared libraries the "no-shared"
1226  option will be forced and only static libraries will be created.
1227
1228  Shared libraries are named a little differently on different platforms.
1229  One way or another, they all have the major OpenSSL version number as
1230  part of the file name, i.e. for OpenSSL 1.1.x, 1.1 is somehow part of
1231  the name.
1232
1233  On most POSIX platforms, shared libraries are named libcrypto.so.1.1
1234  and libssl.so.1.1.
1235
1236  on Cygwin, shared libraries are named cygcrypto-1.1.dll and cygssl-1.1.dll
1237  with import libraries libcrypto.dll.a and libssl.dll.a.
1238
1239  On Windows build with MSVC or using MingW, shared libraries are named
1240  libcrypto-1_1.dll and libssl-1_1.dll for 32-bit Windows, libcrypto-1_1-x64.dll
1241  and libssl-1_1-x64.dll for 64-bit x86_64 Windows, and libcrypto-1_1-ia64.dll
1242  and libssl-1_1-ia64.dll for IA64 Windows.  With MSVC, the import libraries
1243  are named libcrypto.lib and libssl.lib, while with MingW, they are named
1244  libcrypto.dll.a and libssl.dll.a.
1245
1246  On VMS, shareable images (VMS speak for shared libraries) are named
1247  ossl$libcrypto0101_shr.exe and ossl$libssl0101_shr.exe.  However, when
1248  OpenSSL is specifically built for 32-bit pointers, the shareable images
1249  are named ossl$libcrypto0101_shr32.exe and ossl$libssl0101_shr32.exe
1250  instead, and when built for 64-bit pointers, they are named
1251  ossl$libcrypto0101_shr64.exe and ossl$libssl0101_shr64.exe.
1252
1253  Note on random number generation
1254  --------------------------------
1255
1256  Availability of cryptographically secure random numbers is required for
1257  secret key generation. OpenSSL provides several options to seed the
1258  internal CSPRNG. If not properly seeded, the internal CSPRNG will refuse
1259  to deliver random bytes and a "PRNG not seeded error" will occur.
1260
1261  The seeding method can be configured using the --with-rand-seed option,
1262  which can be used to specify a comma separated list of seed methods.
1263  However in most cases OpenSSL will choose a suitable default method,
1264  so it is not necessary to explicitly provide this option. Note also
1265  that not all methods are available on all platforms.
1266
1267  I) On operating systems which provide a suitable randomness source (in
1268  form  of a system call or system device), OpenSSL will use the optimal
1269  available  method to seed the CSPRNG from the operating system's
1270  randomness sources. This corresponds to the option --with-rand-seed=os.
1271
1272  II) On systems without such a suitable randomness source, automatic seeding
1273  and reseeding is disabled (--with-rand-seed=none) and it may be necessary
1274  to install additional support software to obtain a random seed and reseed
1275  the CSPRNG manually.  Please check out the manual pages for RAND_add(),
1276  RAND_bytes(), RAND_egd(), and the FAQ for more information.