Configure: sort the disablables alphabetically
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10 OpenSSL Releases
11 ----------------
12
13  - [OpenSSL 3.0](#openssl-30)
14  - [OpenSSL 1.1.1](#openssl-111)
15  - [OpenSSL 1.1.0](#openssl-110)
16  - [OpenSSL 1.0.2](#openssl-102)
17  - [OpenSSL 1.0.1](#openssl-101)
18  - [OpenSSL 1.0.0](#openssl-100)
19  - [OpenSSL 0.9.x](#openssl-09x)
20
21 OpenSSL 3.0
22 -----------
23
24 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx]
25
26  * For the key types DH and DHX the allowed settable parameters are now different.
27    Previously (in 1.1.1) these conflicting parameters were allowed, but will now
28    result in errors. See EVP_PKEY-DH(7) for further details. This affects the
29    behaviour of openssl-genpkey(1) for DH parameter generation.
30
31    *Shane Lontis*
32
33  * The default manual page suffix ($MANSUFFIX) has been changed to "ossl"
34
35    *Matt Caswell*
36
37  * Added support for Kernel TLS (KTLS). In order to use KTLS, support for it
38    must be compiled in using the "enable-ktls" compile time option. It must
39    also be enabled at run time using the SSL_OP_ENABLE_KTLS option.
40
41    *Boris Pismenny, John Baldwin and Andrew Gallatin*
42
43  * The error return values from some control calls (ctrl) have changed.
44    One significant change is that controls which used to return -2 for
45    invalid inputs, now return -1 indicating a generic error condition instead.
46
47    *Paul Dale*
48
49  * A public key check is now performed during EVP_PKEY_derive_set_peer().
50    Previously DH was internally doing this during EVP_PKEY_derive().
51    To disable this check use EVP_PKEY_derive_set_peer_ex(dh, peer, 0). This
52    may mean that an error can occur in EVP_PKEY_derive_set_peer() rather than
53    during EVP_PKEY_derive().
54
55    *Shane Lontis*
56
57  * The EVP_PKEY_CTRL_PKCS7_ENCRYPT, EVP_PKEY_CTRL_PKCS7_DECRYPT,
58    EVP_PKEY_CTRL_PKCS7_SIGN, EVP_PKEY_CTRL_CMS_ENCRYPT,
59    EVP_PKEY_CTRL_CMS_DECRYPT, and EVP_PKEY_CTRL_CMS_SIGN control operations
60    are deprecated. They are not invoked by the OpenSSL library anymore and
61    are replaced by direct checks of the key operation against the key type
62    when the operation is initialized.
63
64    *Tomáš Mráz*
65
66  * The EVP_PKEY_public_check() and EVP_PKEY_param_check() functions now work for
67    more key types including RSA, DSA, ED25519, X25519, ED448 and X448.
68    Previously (in 1.1.1) they would return -2. For key types that do not have
69    parameters then EVP_PKEY_param_check() will always return 1.
70
71  * The output from numerous "printing" functions such as X509_signature_print(),
72    X509_print_ex(), X509_CRL_print_ex(), and other similar functions has been
73    amended such that there may be cosmetic differences between the output
74    observed in 1.1.1 and 3.0. This also applies to the "-text" output from the
75    x509 and crl applications.
76
77    *David von Oheimb*
78
79  * Windows thread synchronization uses read/write primitives (SRWLock) when
80    supported by the OS, otherwise CriticalSection continues to be used.
81
82    *Vincent Drake*
83
84  * Add filter BIO BIO_f_readbuffer() that allows BIO_tell() and BIO_seek() to
85    work on read only BIO source/sinks that do not support these functions.
86    This allows piping or redirection of a file BIO using stdin to be buffered
87    into memory. This is used internally in OSSL_DECODER_from_bio().
88
89    *Shane Lontis*
90
91  * OSSL_STORE_INFO_get_type() may now return an additional value. In 1.1.1
92    this function would return one of the values OSSL_STORE_INFO_NAME,
93    OSSL_STORE_INFO_PKEY, OSSL_STORE_INFO_PARAMS, OSSL_STORE_INFO_CERT or
94    OSSL_STORE_INFO_CRL. Decoded public keys would previously have been reported
95    as type OSSL_STORE_INFO_PKEY in 1.1.1. In 3.0 decoded public keys are now
96    reported as having the new type OSSL_STORE_INFO_PUBKEY. Applications
97    using this function should be amended to handle the changed return value.
98
99    *Richard Levitte*
100
101  * Improved adherence to Enhanced Security Services (ESS, RFC 2634 and RFC 5035)
102    for the TSP and CMS Advanced Electronic Signatures (CAdES) implementations.
103    As required by RFC 5035 check both ESSCertID and ESSCertIDv2 if both present.
104    Correct the semantics of checking the validation chain in case ESSCertID{,v2}
105    contains more than one certificate identifier: This means that all
106    certificates referenced there MUST be part of the validation chain.
107
108    *David von Oheimb*
109
110  * The implementation of the EVP ciphers CAST5-ECB, CAST5-CBC, CAST5-OFB,
111    CAST5-CFB, BF-ECB, BF-CBC, BF-OFB, BF-CFB, IDEA-ECB, IDEC-CBC, IDEA-OFB,
112    IDEA-CFB, SEED-ECB, SEED-CBC, SEED-OFB, SEED-CFB, RC2-ECB, RC2-CBC,
113    RC2-40-CBC, RC2-64-CBC, RC2-OFB, RC2-CFB, RC4, RC4-40, RC4-HMAC-MD5, RC5-ECB,
114    RC5-CBC, RC5-OFB, RC5-CFB, DESX-CBC, DES-ECB, DES-CBC, DES-OFB, DES-CFB,
115    DES-CFB1 and DES-CFB8 have been moved to the legacy provider. Applications
116    using the EVP APIs to access these ciphers should instead use more modern
117    ciphers. If that is not possible then these applications should ensure that
118    the legacy provider has been loaded. This can be achieved either
119    programmatically or via configuration. See the provider(7) man page for
120    further details.
121
122    *Matt Caswell*
123
124  * The implementation of the EVP digests MD2, MD4, MDC2, WHIRLPOOL and
125    RIPEMD-160 have been moved to the legacy provider. Applications using the
126    EVP APIs to access these digests should instead use more modern digests. If
127    that is not possible then these applications should ensure that the legacy
128    provider has been loaded. This can be achieved either programmatically or via
129    configuration. See the provider(7) man page for further details.
130
131    *Matt Caswell*
132
133  * The deprecated function EVP_PKEY_get0() now returns NULL being called for a
134    provided key.
135
136    *Dmitry Belyavskiy*
137
138  * The deprecated functions EVP_PKEY_get0_RSA(),
139    EVP_PKEY_get0_DSA(), EVP_PKEY_get0_EC_KEY(), EVP_PKEY_get0_DH(),
140    EVP_PKEY_get0_hmac(), EVP_PKEY_get0_poly1305() and EVP_PKEY_get0_siphash() as
141    well as the similarly named "get1" functions behave slightly differently in
142    OpenSSL 3.0. Previously they returned a pointer to the low-level key used
143    internally by libcrypto. From OpenSSL 3.0 this key may now be held in a
144    provider. Calling these functions will only return a handle on the internal
145    key where the EVP_PKEY was constructed using this key in the first place, for
146    example using a function or macro such as EVP_PKEY_assign_RSA(),
147    EVP_PKEY_set1_RSA(), etc. Where the EVP_PKEY holds a provider managed key,
148    then these functions now return a cached copy of the key. Changes to
149    the internal provider key that take place after the first time the cached key
150    is accessed will not be reflected back in the cached copy. Similarly any
151    changes made to the cached copy by application code will not be reflected
152    back in the internal provider key.
153
154    For the above reasons the keys returned from these functions should typically
155    be treated as read-only. To emphasise this the value returned from
156    EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(),
157    EVP_PKEY_get0_EC_KEY() and EVP_PKEY_get0_DH() has been made const. This may
158    break some existing code. Applications broken by this change should be
159    modified. The preferred solution is to refactor the code to avoid the use of
160    these deprecated functions. Failing this the code should be modified to use a
161    const pointer instead. The EVP_PKEY_get1_RSA(), EVP_PKEY_get1_DSA(),
162    EVP_PKEY_get1_EC_KEY() and EVP_PKEY_get1_DH() functions continue to return a
163    non-const pointer to enable them to be "freed". However they should also be
164    treated as read-only.
165
166    *Matt Caswell*
167
168  * A number of functions handling low level keys or engines were deprecated
169    including EVP_PKEY_set1_engine(), EVP_PKEY_get0_engine(), EVP_PKEY_assign(),
170    EVP_PKEY_get0(), EVP_PKEY_get0_hmac(), EVP_PKEY_get0_poly1305() and
171    EVP_PKEY_get0_siphash(). Applications using engines should instead use
172    providers. Applications getting or setting low level keys in an EVP_PKEY
173    should instead use the OSSL_ENCODER or OSSL_DECODER APIs, or alternatively
174    use EVP_PKEY_fromdata() or EVP_PKEY_get_params().
175
176    *Matt Caswell*
177
178  * Deprecated obsolete EVP_PKEY_CTX_get0_dh_kdf_ukm() and
179    EVP_PKEY_CTX_get0_ecdh_kdf_ukm() functions. They are not needed
180    and require returning octet ptr parameters from providers that
181    would like to support them which complicates provider implementations.
182
183    *Tomáš Mráz*
184
185  * The RAND_METHOD APIs have been deprecated.  The functions deprecated are:
186    RAND_OpenSSL(), RAND_get_rand_method(), RAND_set_rand_engine() and
187    RAND_set_rand_method().  Provider based random number generators should
188    be used instead via EVP_RAND(3).
189
190    *Paul Dale*
191
192  * The SRP APIs have been deprecated. The old APIs do not work via providers,
193    and there is no EVP interface to them. Unfortunately there is no replacement
194    for these APIs at this time.
195
196    *Matt Caswell*
197
198  * Add a compile time option to prevent the caching of provider fetched
199    algorithms.  This is enabled by including the no-cached-fetch option
200    at configuration time.
201
202    *Paul Dale*
203
204  * The default algorithms for pkcs12 creation with the PKCS12_create() function
205    were changed to more modern PBKDF2 and AES based algorithms. The default
206    MAC iteration count was changed to PKCS12_DEFAULT_ITER to make it equal
207    with the password-based encryption iteration count. The default digest
208    algorithm for the MAC computation was changed to SHA-256. The pkcs12
209    application now supports -legacy option that restores the previous
210    default algorithms to support interoperability with legacy systems.
211
212    *Tomáš Mráz and Sahana Prasad*
213
214  * The openssl speed command does not use low-level API calls anymore. This
215    implies some of the performance numbers might not be fully comparable
216    with the previous releases due to higher overhead. This applies
217    particularly to measuring performance on smaller data chunks.
218
219    *Tomáš Mráz*
220
221  * Parallel dual-prime 1024-bit modular exponentiation for AVX512_IFMA
222    capable processors.
223
224    *Ilya Albrekht, Sergey Kirillov, Andrey Matyukov (Intel Corp)*
225
226  * Combining the Configure options no-ec and no-dh no longer disables TLSv1.3.
227    Typically if OpenSSL has no EC or DH algorithms then it cannot support
228    connections with TLSv1.3. However OpenSSL now supports "pluggable" groups
229    through providers. Therefore third party providers may supply group
230    implementations even where there are no built-in ones. Attempting to create
231    TLS connections in such a build without also disabling TLSv1.3 at run time or
232    using third party provider groups may result in handshake failures. TLSv1.3
233    can be disabled at compile time using the "no-tls1_3" Configure option.
234
235    *Matt Caswell*
236
237  * The undocumented function X509_certificate_type() has been deprecated;
238    applications can use X509_get0_pubkey() and X509_get0_signature() to
239    get the same information.
240
241    *Rich Salz*
242
243  * Deprecated the obsolete BN_pseudo_rand() and BN_pseudo_rand_range()
244    functions. They are identical to BN_rand() and BN_rand_range()
245    respectively.
246
247    *Tomáš Mráz*
248
249  * Removed RSA padding mode for SSLv23 (which was only used for
250    SSLv2). This includes the functions RSA_padding_check_SSLv23() and
251    RSA_padding_add_SSLv23() and the `-ssl` option in the deprecated
252    `rsautl` command.
253
254    *Rich Salz*
255
256  * Deprecated the obsolete X9.31 RSA key generation related functions
257    BN_X931_generate_Xpq(), BN_X931_derive_prime_ex(), and
258    BN_X931_generate_prime_ex().
259
260    *Tomáš Mráz*
261
262  * The default key generation method for the regular 2-prime RSA keys was
263    changed to the FIPS 186-4 B.3.6 method (Generation of Probable Primes with
264    Conditions Based on Auxiliary Probable Primes). This method is slower
265    than the original method.
266
267    *Shane Lontis*
268
269  * Deprecated the BN_is_prime_ex() and BN_is_prime_fasttest_ex() functions.
270    They are replaced with the BN_check_prime() function that avoids possible
271    misuse and always uses at least 64 rounds of the Miller-Rabin
272    primality test. At least 64 rounds of the Miller-Rabin test are now also
273    used for all prime generation, including RSA key generation.
274    This increases key generation time, especially for larger keys.
275
276    *Kurt Roeckx*
277
278  * Deprecated EVP_MD_CTX_set_update_fn() and EVP_MD_CTX_update_fn()
279    as they are not useful with non-deprecated functions.
280
281    *Rich Salz*
282
283  * Deprecated the type OCSP_REQ_CTX and the functions OCSP_REQ_CTX_new(),
284    OCSP_REQ_CTX_free(), OCSP_REQ_CTX_http(), OCSP_REQ_CTX_add1_header(),
285    OCSP_REQ_CTX_i2d(), OCSP_REQ_CTX_nbio(), OCSP_REQ_CTX_nbio_d2i(),
286    OCSP_REQ_CTX_get0_mem_bio() and OCSP_set_max_response_length().  These
287    were used to collect all necessary data to form a HTTP request, and to
288    perform the HTTP transfer with that request.  With OpenSSL 3.0, the
289    type is OSSL_HTTP_REQ_CTX, and the deprecated functions are replaced
290    with OSSL_HTTP_REQ_CTX_new(), OSSL_HTTP_REQ_CTX_free(),
291    OSSL_HTTP_REQ_CTX_set_request_line(), OSSL_HTTP_REQ_CTX_add1_header(),
292    OSSL_HTTP_REQ_CTX_set1_req(), OSSL_HTTP_REQ_CTX_nbio(),
293    OSSL_HTTP_REQ_CTX_sendreq_d2i(), OSSL_HTTP_REQ_CTX_get0_mem_bio() and
294    OSSL_HTTP_REQ_CTX_set_max_response_length().
295
296    *Rich Salz and Richard Levitte*
297
298  * Deprecated `OCSP_parse_url()`, which is replaced with `OSSL_HTTP_parse_url`.
299
300    *David von Oheimb*
301
302  * Validation of SM2 keys has been separated from the validation of regular EC
303    keys, allowing to improve the SM2 validation process to reject loaded private
304    keys that are not conforming to the SM2 ISO standard.
305    In particular, a private scalar `k` outside the range `1 <= k < n-1` is now
306    correctly rejected.
307
308    *Nicola Tuveri*
309
310  * Behavior of the `pkey` app is changed, when using the `-check` or `-pubcheck`
311    switches: a validation failure triggers an early exit, returning a failure
312    exit status to the parent process.
313
314    *Nicola Tuveri*
315
316  * Changed behavior of SSL_CTX_set_ciphersuites() and SSL_set_ciphersuites()
317    to ignore unknown ciphers.
318
319    *Otto Hollmann*
320
321  * The `-cipher-commands` and `-digest-commands` options
322    of the command line utility `list` have been deprecated.
323    Instead use the `-cipher-algorithms` and `-digest-algorithms` options.
324
325    *Dmitry Belyavskiy*
326
327  * All of the low level EC_KEY functions have been deprecated including:
328
329    EC_KEY_OpenSSL, EC_KEY_get_default_method, EC_KEY_set_default_method,
330    EC_KEY_get_method, EC_KEY_set_method, EC_KEY_new_method
331    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
332    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
333    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
334    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
335    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign,
336    EC_KEY_METHOD_get_verify,
337    EC_KEY_new_ex, EC_KEY_new, EC_KEY_get_flags, EC_KEY_set_flags,
338    EC_KEY_clear_flags, EC_KEY_decoded_from_explicit_params,
339    EC_KEY_new_by_curve_name_ex, EC_KEY_new_by_curve_name, EC_KEY_free,
340    EC_KEY_copy, EC_KEY_dup, EC_KEY_up_ref, EC_KEY_get0_engine,
341    EC_KEY_get0_group, EC_KEY_set_group, EC_KEY_get0_private_key,
342    EC_KEY_set_private_key, EC_KEY_get0_public_key, EC_KEY_set_public_key,
343    EC_KEY_get_enc_flags, EC_KEY_set_enc_flags, EC_KEY_get_conv_form,
344    EC_KEY_set_conv_form, EC_KEY_set_ex_data, EC_KEY_get_ex_data,
345    EC_KEY_set_asn1_flag, EC_KEY_generate_key, EC_KEY_check_key, EC_KEY_can_sign,
346    EC_KEY_set_public_key_affine_coordinates, EC_KEY_key2buf, EC_KEY_oct2key,
347    EC_KEY_oct2priv, EC_KEY_priv2oct and EC_KEY_priv2buf.
348    Applications that need to implement an EC_KEY_METHOD need to consider
349    implementation of the functionality in a special provider.
350    For replacement of the functions manipulating the EC_KEY objects
351    see the EVP_PKEY-EC(7) manual page.
352
353    Additionally functions that read and write EC_KEY objects such as
354    o2i_ECPublicKey, i2o_ECPublicKey, ECParameters_print_fp, EC_KEY_print_fp,
355    d2i_ECPKParameters, d2i_ECParameters, d2i_ECPrivateKey, d2i_ECPrivateKey_bio,
356    d2i_ECPrivateKey_fp, d2i_EC_PUBKEY, d2i_EC_PUBKEY_bio, d2i_EC_PUBKEY_fp,
357    i2d_ECPKParameters, i2d_ECParameters, i2d_ECPrivateKey, i2d_ECPrivateKey_bio,
358    i2d_ECPrivateKey_fp, i2d_EC_PUBKEY, i2d_EC_PUBKEY_bio and i2d_EC_PUBKEY_fp
359    have also been deprecated. Applications should instead use the
360    OSSL_DECODER and OSSL_ENCODER APIs to read and write EC files.
361
362    Finally functions that assign or obtain EC_KEY objects from an EVP_PKEY such as
363    EVP_PKEY_assign_EC_KEY, EVP_PKEY_get0_EC_KEY, EVP_PKEY_get1_EC_KEY and
364    EVP_PKEY_set1_EC_KEY are also deprecated. Applications should instead either
365    read or write an EVP_PKEY directly using the OSSL_DECODER and OSSL_ENCODER
366    APIs. Or load an EVP_PKEY directly from EC data using EVP_PKEY_fromdata().
367
368    *Shane Lontis, Paul Dale, Richard Levitte, and Tomáš Mráz*
369
370  * Deprecated all the libcrypto and libssl error string loading
371    functions: ERR_load_ASN1_strings(), ERR_load_ASYNC_strings(),
372    ERR_load_BIO_strings(), ERR_load_BN_strings(), ERR_load_BUF_strings(),
373    ERR_load_CMS_strings(), ERR_load_COMP_strings(), ERR_load_CONF_strings(),
374    ERR_load_CRYPTO_strings(), ERR_load_CT_strings(), ERR_load_DH_strings(),
375    ERR_load_DSA_strings(), ERR_load_EC_strings(), ERR_load_ENGINE_strings(),
376    ERR_load_ERR_strings(), ERR_load_EVP_strings(), ERR_load_KDF_strings(),
377    ERR_load_OBJ_strings(), ERR_load_OCSP_strings(), ERR_load_PEM_strings(),
378    ERR_load_PKCS12_strings(), ERR_load_PKCS7_strings(), ERR_load_RAND_strings(),
379    ERR_load_RSA_strings(), ERR_load_OSSL_STORE_strings(), ERR_load_TS_strings(),
380    ERR_load_UI_strings(), ERR_load_X509_strings(), ERR_load_X509V3_strings().
381
382    Calling these functions is not necessary since OpenSSL 1.1.0, as OpenSSL
383    now loads error strings automatically.
384
385    *Richard Levitte*
386
387  * The functions SSL_CTX_set_tmp_dh_callback and SSL_set_tmp_dh_callback, as
388    well as the macros SSL_CTX_set_tmp_dh() and SSL_set_tmp_dh() have been
389    deprecated. These are used to set the Diffie-Hellman (DH) parameters that
390    are to be used by servers requiring ephemeral DH keys. Instead applications
391    should consider using the built-in DH parameters that are available by
392    calling SSL_CTX_set_dh_auto() or SSL_set_dh_auto(). If custom parameters are
393    necessary then applications can use the alternative functions
394    SSL_CTX_set0_tmp_dh_pkey() and SSL_set0_tmp_dh_pkey(). There is no direct
395    replacement for the "callback" functions. The callback was originally useful
396    in order to have different parameters for export and non-export ciphersuites.
397    Export ciphersuites are no longer supported by OpenSSL. Use of the callback
398    functions should be replaced by one of the other methods described above.
399
400    *Matt Caswell*
401
402  * The `-crypt` option to the `passwd` command line tool has been removed.
403
404    *Paul Dale*
405
406  * The -C option to the `x509`, `dhparam`, `dsaparam`, and `ecparam` commands
407    were removed.
408
409    *Rich Salz*
410
411  * Add support for AES Key Wrap inverse ciphers to the EVP layer.
412    The algorithms are:
413    "AES-128-WRAP-INV", "AES-192-WRAP-INV", "AES-256-WRAP-INV",
414    "AES-128-WRAP-PAD-INV", "AES-192-WRAP-PAD-INV" and "AES-256-WRAP-PAD-INV".
415    The inverse ciphers use AES decryption for wrapping, and
416    AES encryption for unwrapping.
417
418    *Shane Lontis*
419
420  * Deprecated EVP_PKEY_set1_tls_encodedpoint() and
421    EVP_PKEY_get1_tls_encodedpoint(). These functions were previously used by
422    libssl to set or get an encoded public key in/from an EVP_PKEY object. With
423    OpenSSL 3.0 these are replaced by the more generic functions
424    EVP_PKEY_set1_encoded_public_key() and EVP_PKEY_get1_encoded_public_key().
425    The old versions have been converted to deprecated macros that just call the
426    new functions.
427
428    *Matt Caswell*
429
430  * The security callback, which can be customised by application code, supports
431    the security operation SSL_SECOP_TMP_DH. This is defined to take an EVP_PKEY
432    in the "other" parameter. In most places this is what is passed. All these
433    places occur server side. However there was one client side call of this
434    security operation and it passed a DH object instead. This is incorrect
435    according to the definition of SSL_SECOP_TMP_DH, and is inconsistent with all
436    of the other locations. Therefore this client side call has been changed to
437    pass an EVP_PKEY instead.
438
439    *Matt Caswell*
440
441  * Add PKCS7_get_octet_string() and PKCS7_type_is_other() to the public
442    interface. Their functionality remains unchanged.
443
444    *Jordan Montgomery*
445
446  * Added new option for 'openssl list', '-providers', which will display the
447    list of loaded providers, their names, version and status.  It optionally
448    displays their gettable parameters.
449
450    *Paul Dale*
451
452  * Removed EVP_PKEY_set_alias_type().  This function was previously
453    needed as a workaround to recognise SM2 keys.  With OpenSSL 3.0, this key
454    type is internally recognised so the workaround is no longer needed.
455
456    This is a breaking change from previous OpenSSL versions.
457
458    *Richard Levitte*
459
460  * Deprecated `EVP_PKEY_CTX_set_rsa_keygen_pubexp()` and introduced
461    `EVP_PKEY_CTX_set1_rsa_keygen_pubexp()`, which is now preferred.
462
463    *Jeremy Walch*
464
465  * Changed all "STACK" functions to be macros instead of inline functions. Macro
466    parameters are still checked for type safety at compile time via helper
467    inline functions.
468
469    *Matt Caswell*
470
471  * Remove the RAND_DRBG API
472
473    The RAND_DRBG API did not fit well into the new provider concept as
474    implemented by EVP_RAND and EVP_RAND_CTX. The main reason is that the
475    RAND_DRBG API is a mixture of 'front end' and 'back end' API calls
476    and some of its API calls are rather low-level. This holds in particular
477    for the callback mechanism (`RAND_DRBG_set_callbacks()`).
478
479    Adding a compatibility layer to continue supporting the RAND_DRBG API as
480    a legacy API for a regular deprecation period turned out to come at the
481    price of complicating the new provider API unnecessarily. Since the
482    RAND_DRBG API exists only since version 1.1.1, it was decided by the OMC
483    to drop it entirely.
484
485    *Paul Dale and Matthias St. Pierre*
486
487  * Allow `SSL_set1_host()` and `SSL_add1_host()` to take IP literal addresses
488    as well as actual hostnames.
489
490    *David Woodhouse*
491
492  * The 'MinProtocol' and 'MaxProtocol' configuration commands now silently
493    ignore TLS protocol version bounds when configuring DTLS-based contexts, and
494    conversely, silently ignore DTLS protocol version bounds when configuring
495    TLS-based contexts.  The commands can be repeated to set bounds of both
496    types.  The same applies with the corresponding "min_protocol" and
497    "max_protocol" command-line switches, in case some application uses both TLS
498    and DTLS.
499
500    SSL_CTX instances that are created for a fixed protocol version (e.g.
501    `TLSv1_server_method()`) also silently ignore version bounds.  Previously
502    attempts to apply bounds to these protocol versions would result in an
503    error.  Now only the "version-flexible" SSL_CTX instances are subject to
504    limits in configuration files in command-line options.
505
506    *Viktor Dukhovni*
507
508  * Deprecated the `ENGINE` API.  Engines should be replaced with providers
509    going forward.
510
511    *Paul Dale*
512
513  * Reworked the recorded ERR codes to make better space for system errors.
514    To distinguish them, the macro `ERR_SYSTEM_ERROR()` indicates if the
515    given code is a system error (true) or an OpenSSL error (false).
516
517    *Richard Levitte*
518
519  * Reworked the test perl framework to better allow parallel testing.
520
521    *Nicola Tuveri and David von Oheimb*
522
523  * Added ciphertext stealing algorithms AES-128-CBC-CTS, AES-192-CBC-CTS and
524    AES-256-CBC-CTS to the providers. CS1, CS2 and CS3 variants are supported.
525
526    *Shane Lontis*
527
528  * 'Configure' has been changed to figure out the configuration target if
529    none is given on the command line.  Consequently, the 'config' script is
530    now only a mere wrapper.  All documentation is changed to only mention
531    'Configure'.
532
533    *Rich Salz and Richard Levitte*
534
535  * Added a library context `OSSL_LIB_CTX` that applications as well as
536    other libraries can use to form a separate context within which
537    libcrypto operations are performed.
538
539    There are two ways this can be used:
540
541    - Directly, by passing a library context to functions that take
542      such an argument, such as `EVP_CIPHER_fetch` and similar algorithm
543      fetching functions.
544    - Indirectly, by creating a new library context and then assigning
545      it as the new default, with `OSSL_LIB_CTX_set0_default`.
546
547    All public OpenSSL functions that take an `OSSL_LIB_CTX` pointer,
548    apart from the functions directly related to `OSSL_LIB_CTX`, accept
549    NULL to indicate that the default library context should be used.
550
551    Library code that changes the default library context using
552    `OSSL_LIB_CTX_set0_default` should take care to restore it with a
553    second call before returning to the caller.
554
555    _(Note: the library context was initially called `OPENSSL_CTX` and
556    renamed to `OSSL_LIB_CTX` in version 3.0.0 alpha7.)_
557
558    *Richard Levitte*
559
560  * Handshake now fails if Extended Master Secret extension is dropped
561    on renegotiation.
562
563    *Tomáš Mráz*
564
565  * Dropped interactive mode from the `openssl` program.  From now on,
566    running it without arguments is equivalent to `openssl help`.
567
568    *Richard Levitte*
569
570  * Deprecated `EVP_PKEY_cmp()` and `EVP_PKEY_cmp_parameters()` since their
571    return values were confusing: Unlike other `_cmp()` functions
572    they do not return 0 when their arguments are equal.
573    The new replacement functions `EVP_PKEY_eq()` and `EVP_PKEY_parameters_eq()`
574    should be used.
575
576    *David von Oheimb and Shane Lontis*
577
578  * Deprecated `EC_METHOD_get_field_type()`. Applications should switch to
579    `EC_GROUP_get_field_type()`.
580
581    *Billy Bob Brumley*
582
583  * Deprecated EC_GFp_simple_method(), EC_GFp_mont_method(),
584    EC_GF2m_simple_method(), EC_GFp_nist_method(), EC_GFp_nistp224_method()
585    EC_GFp_nistp256_method(), and EC_GFp_nistp521_method().
586    Applications should rely on the library automatically assigning a suitable
587    EC_METHOD internally upon EC_GROUP construction.
588
589    *Billy Bob Brumley*
590
591  * Deprecated EC_GROUP_new(), EC_GROUP_method_of(), and EC_POINT_method_of().
592    EC_METHOD is now an internal-only concept and a suitable EC_METHOD is
593    assigned internally without application intervention.
594    Users of EC_GROUP_new() should switch to a different suitable constructor.
595
596    *Billy Bob Brumley*
597
598  * Add CAdES-BES signature verification support, mostly derived
599    from ESSCertIDv2 TS (RFC 5816) contribution by Marek Klein.
600
601    *Filipe Raimundo da Silva*
602
603  * Add CAdES-BES signature scheme and attributes support (RFC 5126) to CMS API.
604
605    *Antonio Iacono*
606
607  * Added the AuthEnvelopedData content type structure (RFC 5083) with AES-GCM
608    parameter (RFC 5084) for the Cryptographic Message Syntax (CMS). Its purpose
609    is to support encryption and decryption of a digital envelope that is both
610    authenticated and encrypted using AES GCM mode.
611
612    *Jakub Zelenka*
613
614  * Deprecated EC_POINT_make_affine() and EC_POINTs_make_affine(). These
615    functions are not widely used and now OpenSSL automatically perform this
616    conversion when needed.
617
618    *Billy Bob Brumley*
619
620  * Deprecated EC_GROUP_precompute_mult(), EC_GROUP_have_precompute_mult(), and
621    EC_KEY_precompute_mult(). These functions are not widely used and
622    applications should instead switch to named curves which OpenSSL has
623    hardcoded lookup tables for.
624
625    *Billy Bob Brumley*
626
627  * Deprecated EC_POINTs_mul(). This function is not widely used and applications
628    should instead use the L<EC_POINT_mul(3)> function.
629
630    *Billy Bob Brumley*
631
632  * Removed FIPS_mode() and FIPS_mode_set(). These functions are legacy API's
633    that are not applicable to the new provider model. Applications should
634    instead use EVP_default_properties_is_fips_enabled() and
635    EVP_default_properties_enable_fips().
636
637    *Shane Lontis*
638
639  * The SSL option SSL_OP_IGNORE_UNEXPECTED_EOF is introduced. If that option
640    is set, an unexpected EOF is ignored, it pretends a close notify was received
641    instead and so the returned error becomes SSL_ERROR_ZERO_RETURN.
642
643    *Dmitry Belyavskiy*
644
645  * Deprecated EC_POINT_set_Jprojective_coordinates_GFp() and
646    EC_POINT_get_Jprojective_coordinates_GFp(). These functions are not widely
647    used and applications should instead use the
648    L<EC_POINT_set_affine_coordinates(3)> and
649    L<EC_POINT_get_affine_coordinates(3)> functions.
650
651    *Billy Bob Brumley*
652
653  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
654    arrays to be more easily constructed via a series of utility functions.
655    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
656    the various push functions and finally convert to a passable OSSL_PARAM
657    array using OSSL_PARAM_BLD_to_param().
658
659    *Paul Dale*
660
661  * The security strength of SHA1 and MD5 based signatures in TLS has been
662    reduced. This results in SSL 3, TLS 1.0, TLS 1.1 and DTLS 1.0 no longer
663    working at the default security level of 1 and instead requires security
664    level 0. The security level can be changed either using the cipher string
665    with `@SECLEVEL`, or calling `SSL_CTX_set_security_level()`. This also means
666    that where the signature algorithms extension is missing from a ClientHello
667    then the handshake will fail in TLS 1.2 at security level 1. This is because,
668    although this extension is optional, failing to provide one means that
669    OpenSSL will fallback to a default set of signature algorithms. This default
670    set requires the availability of SHA1.
671
672    *Kurt Roeckx*
673
674  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
675    contain a provider side internal key.
676
677    *Richard Levitte*
678
679  * ASN1_verify(), ASN1_digest() and ASN1_sign() have been deprecated.
680    They are old functions that we don't use, and that you could disable with
681    the macro NO_ASN1_OLD.  This goes all the way back to OpenSSL 0.9.7.
682
683    *Richard Levitte*
684
685  * Project text documents not yet having a proper file name extension
686    (`HACKING`, `LICENSE`, `NOTES*`, `README*`, `VERSION`) have been renamed to
687    `*.md` as far as reasonable, else `*.txt`, for better use with file managers.
688
689    *David von Oheimb*
690
691  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
692    have been converted to Markdown with the goal to produce documents
693    which not only look pretty when viewed online in the browser, but
694    remain well readable inside a plain text editor.
695
696    To achieve this goal, a 'minimalistic' Markdown style has been applied
697    which avoids formatting elements that interfere too much with the
698    reading flow in the text file. For example, it
699
700    * avoids [ATX headings][] and uses [setext headings][] instead
701      (which works for `<h1>` and `<h2>` headings only).
702    * avoids [inline links][] and uses [reference links][] instead.
703    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
704
705      [ATX headings]:         https://github.github.com/gfm/#atx-headings
706      [setext headings]:      https://github.github.com/gfm/#setext-headings
707      [inline links]:         https://github.github.com/gfm/#inline-link
708      [reference links]:      https://github.github.com/gfm/#reference-link
709      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
710      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
711
712    *Matthias St. Pierre*
713
714  * The test suite is changed to preserve results of each test recipe.
715    A new directory test-runs/ with subdirectories named like the
716    test recipes are created in the build tree for this purpose.
717
718    *Richard Levitte*
719
720  * Added an implementation of CMP and CRMF (RFC 4210, RFC 4211 RFC 6712).
721    This adds `crypto/cmp/`, `crpyto/crmf/`, `apps/cmp.c`, and `test/cmp_*`.
722    See L<openssl-cmp(1)> and L<OSSL_CMP_exec_IR_ses(3)> as starting points.
723
724    *David von Oheimb, Martin Peylo*
725
726  * Generalized the HTTP client code from `crypto/ocsp/` into `crpyto/http/`.
727    The legacy OCSP-focused and only partly documented API is retained for
728    backward compatibility. See L<OSSL_CMP_MSG_http_perform(3)> etc. for details.
729
730    *David von Oheimb*
731
732  * Added `util/check-format.pl`, a tool for checking adherence to the
733    OpenSSL coding style <https://www.openssl.org/policies/codingstyle.html>.
734    The checks performed are incomplete and yield some false positives.
735    Still the tool should be useful for detecting most typical glitches.
736
737    *David von Oheimb*
738
739  * `BIO_do_connect()` and `BIO_do_handshake()` have been extended:
740    If domain name resolution yields multiple IP addresses all of them are tried
741    after `connect()` failures.
742
743    *David von Oheimb*
744
745  * All of the low level RSA functions have been deprecated including:
746
747    RSA_new_method, RSA_size, RSA_security_bits, RSA_get0_pss_params,
748    RSA_get_version, RSA_get0_engine, RSA_generate_key_ex,
749    RSA_generate_multi_prime_key, RSA_X931_derive_ex, RSA_X931_generate_key_ex,
750    RSA_check_key, RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
751    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
752    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
753    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
754    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING, RSA_blinding_on,
755    RSA_blinding_off, RSA_setup_blinding, RSA_padding_add_PKCS1_type_1,
756    RSA_padding_check_PKCS1_type_1, RSA_padding_add_PKCS1_type_2,
757    RSA_padding_check_PKCS1_type_2, PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP,
758    RSA_padding_check_PKCS1_OAEP, RSA_padding_add_PKCS1_OAEP_mgf1,
759    RSA_padding_check_PKCS1_OAEP_mgf1, RSA_padding_add_SSLv23,
760    RSA_padding_check_SSLv23, RSA_padding_add_none, RSA_padding_check_none,
761    RSA_padding_add_X931, RSA_padding_check_X931, RSA_X931_hash_id,
762    RSA_verify_PKCS1_PSS, RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
763    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
764    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
765    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
766    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
767    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
768    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
769    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
770    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
771    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
772    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
773    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
774    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
775
776    Use of these low level functions has been informally discouraged for a long
777    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
778    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
779    L<EVP_PKEY_decrypt(3)>.
780
781    All of these low level RSA functions have been deprecated without
782    replacement:
783
784    RSA_blinding_off, RSA_blinding_on, RSA_clear_flags, RSA_get_version,
785    RSAPrivateKey_dup, RSAPublicKey_dup, RSA_set_flags, RSA_setup_blinding and
786    RSA_test_flags.
787
788    All of these RSA flags have been deprecated without replacement:
789
790    RSA_FLAG_BLINDING, RSA_FLAG_CACHE_PRIVATE, RSA_FLAG_CACHE_PUBLIC,
791    RSA_FLAG_EXT_PKEY, RSA_FLAG_NO_BLINDING, RSA_FLAG_THREAD_SAFE and
792    RSA_METHOD_FLAG_NO_CHECK.
793
794    *Paul Dale*
795
796  * X509 certificates signed using SHA1 are no longer allowed at security
797    level 1 and above.
798    In TLS/SSL the default security level is 1. It can be set either
799    using the cipher string with `@SECLEVEL`, or calling
800    `SSL_CTX_set_security_level()`. If the leaf certificate is signed with SHA-1,
801    a call to `SSL_CTX_use_certificate()` will fail if the security level is not
802    lowered first.
803    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
804    be set using `X509_VERIFY_PARAM_set_auth_level()` or using the `-auth_level`
805    options of the commands.
806
807    *Kurt Roeckx*
808
809  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
810    modified to use PKEY APIs.  These commands are now in maintenance mode
811    and no new features will be added to them.
812
813    *Paul Dale*
814
815  * The command line utility rsautl has been deprecated.
816    Instead use the pkeyutl program.
817
818    *Paul Dale*
819
820  * The command line utilities genrsa and rsa have been modified to use PKEY
821    APIs. They now write PKCS#8 keys by default. These commands are now in
822    maintenance mode and no new features will be added to them.
823
824    *Paul Dale*
825
826  * All of the low level DH functions have been deprecated including:
827
828    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
829    DH_new_method, DH_new, DH_free, DH_up_ref, DH_bits, DH_set0_pqg, DH_size,
830    DH_security_bits, DH_get_ex_new_index, DH_set_ex_data, DH_get_ex_data,
831    DH_generate_parameters_ex, DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
832    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
833    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
834    DH_KDF_X9_42, DH_get0_engine, DH_meth_new, DH_meth_free, DH_meth_dup,
835    DH_meth_get0_name, DH_meth_set1_name, DH_meth_get_flags, DH_meth_set_flags,
836    DH_meth_get0_app_data, DH_meth_set0_app_data, DH_meth_get_generate_key,
837    DH_meth_set_generate_key, DH_meth_get_compute_key, DH_meth_set_compute_key,
838    DH_meth_get_bn_mod_exp, DH_meth_set_bn_mod_exp, DH_meth_get_init,
839    DH_meth_set_init, DH_meth_get_finish, DH_meth_set_finish,
840    DH_meth_get_generate_params and DH_meth_set_generate_params.
841
842    Use of these low level functions has been informally discouraged for a long
843    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
844    and L<EVP_PKEY_derive(3)>.
845
846    These low level DH functions have been deprecated without replacement:
847
848    DH_clear_flags, DH_get_1024_160, DH_get_2048_224, DH_get_2048_256,
849    DH_set_flags and DH_test_flags.
850
851    The DH_FLAG_CACHE_MONT_P flag has been deprecated without replacement.
852    The DH_FLAG_TYPE_DH and DH_FLAG_TYPE_DHX have been deprecated.  Use
853    EVP_PKEY_is_a() to determine the type of a key.  There is no replacement for
854    setting these flags.
855
856    Additionally functions that read and write DH objects such as d2i_DHparams,
857    i2d_DHparams, PEM_read_DHparam, PEM_write_DHparams and other similar
858    functions have also been deprecated. Applications should instead use the
859    OSSL_DECODER and OSSL_ENCODER APIs to read and write DH files.
860
861    Finally functions that assign or obtain DH objects from an EVP_PKEY such as
862    `EVP_PKEY_assign_DH()`, `EVP_PKEY_get0_DH()`, `EVP_PKEY_get1_DH()`, and
863    `EVP_PKEY_set1_DH()` are also deprecated.
864    Applications should instead either read or write an
865    EVP_PKEY directly using the OSSL_DECODER and OSSL_ENCODER APIs.
866    Or load an EVP_PKEY directly from DH data using `EVP_PKEY_fromdata()`.
867
868    *Paul Dale and Matt Caswell*
869
870  * All of the low level DSA functions have been deprecated including:
871
872    DSA_new, DSA_free, DSA_up_ref, DSA_bits, DSA_get0_pqg, DSA_set0_pqg,
873    DSA_get0_key, DSA_set0_key, DSA_get0_p, DSA_get0_q, DSA_get0_g,
874    DSA_get0_pub_key, DSA_get0_priv_key, DSA_clear_flags, DSA_test_flags,
875    DSA_set_flags, DSA_do_sign, DSA_do_verify, DSA_OpenSSL,
876    DSA_set_default_method, DSA_get_default_method, DSA_set_method,
877    DSA_get_method, DSA_new_method, DSA_size, DSA_security_bits,
878    DSA_sign_setup, DSA_sign, DSA_verify, DSA_get_ex_new_index,
879    DSA_set_ex_data, DSA_get_ex_data, DSA_generate_parameters_ex,
880    DSA_generate_key, DSA_meth_new, DSA_get0_engine, DSA_meth_free,
881    DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name, DSA_meth_get_flags,
882    DSA_meth_set_flags, DSA_meth_get0_app_data, DSA_meth_set0_app_data,
883    DSA_meth_get_sign, DSA_meth_set_sign, DSA_meth_get_sign_setup,
884    DSA_meth_set_sign_setup, DSA_meth_get_verify, DSA_meth_set_verify,
885    DSA_meth_get_mod_exp, DSA_meth_set_mod_exp, DSA_meth_get_bn_mod_exp,
886    DSA_meth_set_bn_mod_exp, DSA_meth_get_init, DSA_meth_set_init,
887    DSA_meth_get_finish, DSA_meth_set_finish, DSA_meth_get_paramgen,
888    DSA_meth_set_paramgen, DSA_meth_get_keygen and DSA_meth_set_keygen.
889
890    Use of these low level functions has been informally discouraged for a long
891    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
892    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
893
894    These low level DSA functions have been deprecated without replacement:
895
896    DSA_clear_flags, DSA_dup_DH, DSAparams_dup, DSA_set_flags and
897    DSA_test_flags.
898
899    The DSA_FLAG_CACHE_MONT_P flag has been deprecated without replacement.
900
901    Finally functions that assign or obtain DSA objects from an EVP_PKEY such as
902    `EVP_PKEY_assign_DSA()`, `EVP_PKEY_get0_DSA()`, `EVP_PKEY_get1_DSA()`, and
903    `EVP_PKEY_set1_DSA()` are also deprecated.
904    Applications should instead either read or write an
905    EVP_PKEY directly using the OSSL_DECODER and OSSL_ENCODER APIs,
906    or load an EVP_PKEY directly from DSA data using `EVP_PKEY_fromdata()`.
907
908    *Paul Dale*
909
910  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
911    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC. This is a breaking
912    change from previous OpenSSL versions.
913
914    Unlike in previous OpenSSL versions, this means that applications must not
915    call `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
916    The `EVP_PKEY_set_alias_type` function has now been removed.
917
918    Parameter and key generation is also reworked to make it possible
919    to generate EVP_PKEY_SM2 parameters and keys. Applications must now generate
920    SM2 keys directly and must not create an EVP_PKEY_EC key first.
921
922    *Richard Levitte*
923
924  * Deprecated low level ECDH and ECDSA functions.  These include:
925
926    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
927    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
928    ECDSA_size.
929
930    Use of these low level functions has been informally discouraged for a long
931    time.  Instead applications should use the EVP_PKEY_derive(3),
932    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
933
934    *Paul Dale*
935
936  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
937    and EVP_PKEY_decrypt() instead.
938    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
939    and EVP_PKEY_encrypt() instead.
940
941    *Richard Levitte*
942
943  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
944    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
945    a new formulation to include all the things it can be used for,
946    as well as words of caution.
947
948    *Richard Levitte*
949
950  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
951    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
952
953    *Paul Dale*
954
955  * All of the low level HMAC functions have been deprecated including:
956
957    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
958    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
959    and HMAC_CTX_get_md.
960
961    Use of these low level functions has been informally discouraged for a long
962    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
963    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
964    and L<EVP_MAC_final(3)>.
965
966    *Paul Dale*
967
968  * Over two thousand fixes were made to the documentation, including:
969    - Common options (such as -rand/-writerand, TLS version control, etc)
970      were refactored and point to newly-enhanced descriptions in openssl.pod.
971    - Added style conformance for all options (with help from Richard Levitte),
972      documented all reported missing options, added a CI build to check
973      that all options are documented and that no unimplemented options
974      are documented.
975    - Documented some internals, such as all use of environment variables.
976    - Addressed all internal broken L<> references.
977
978    *Rich Salz*
979
980  * All of the low level CMAC functions have been deprecated including:
981
982    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
983    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
984
985    Use of these low level functions has been informally discouraged for a long
986    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
987    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
988    and L<EVP_MAC_final(3)>.
989
990    *Paul Dale*
991
992  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
993    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
994    These include:
995
996    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
997    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
998    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
999    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
1000    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
1001    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
1002    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
1003    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
1004    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
1005    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
1006
1007    Use of these low level functions has been informally discouraged
1008    for a long time.  Applications should use the EVP_DigestInit_ex(3),
1009    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
1010
1011    *Paul Dale*
1012
1013  * Corrected the documentation of the return values from the `EVP_DigestSign*`
1014    set of functions.  The documentation mentioned negative values for some
1015    errors, but this was never the case, so the mention of negative values
1016    was removed.
1017
1018    Code that followed the documentation and thereby check with something
1019    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
1020
1021    *Richard Levitte*
1022
1023  * All of the low level cipher functions have been deprecated including:
1024
1025    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
1026    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
1027    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
1028    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
1029    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
1030    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
1031    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
1032    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
1033    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
1034    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
1035    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
1036    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
1037    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
1038    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
1039    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
1040    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
1041    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
1042    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
1043    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
1044    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
1045    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
1046    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
1047    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
1048    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
1049    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
1050    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
1051    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
1052    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
1053    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
1054
1055    Use of these low level functions has been informally discouraged for
1056    a long time. Applications should use the high level EVP APIs, e.g.
1057    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
1058    equivalently named decrypt functions instead.
1059
1060    *Matt Caswell and Paul Dale*
1061
1062  * Removed include/openssl/opensslconf.h.in and replaced it with
1063    include/openssl/configuration.h.in, which differs in not including
1064    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
1065    was added to include both.
1066
1067    This allows internal hacks where one might need to modify the set
1068    of configured macros, for example this if deprecated symbols are
1069    still supposed to be available internally:
1070
1071        #include <openssl/configuration.h>
1072
1073        #undef OPENSSL_NO_DEPRECATED
1074        #define OPENSSL_SUPPRESS_DEPRECATED
1075
1076        #include <openssl/macros.h>
1077
1078    This should not be used by applications that use the exported
1079    symbols, as that will lead to linking errors.
1080
1081    *Richard Levitte*
1082
1083  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
1084    used in exponentiation with 512-bit moduli. No EC algorithms are
1085    affected. Analysis suggests that attacks against 2-prime RSA1024,
1086    3-prime RSA1536, and DSA1024 as a result of this defect would be very
1087    difficult to perform and are not believed likely. Attacks against DH512
1088    are considered just feasible. However, for an attack the target would
1089    have to re-use the DH512 private key, which is not recommended anyway.
1090    Also applications directly using the low level API BN_mod_exp may be
1091    affected if they use BN_FLG_CONSTTIME.
1092    ([CVE-2019-1551])
1093
1094    *Andy Polyakov*
1095
1096  * Most memory-debug features have been deprecated, and the functionality
1097    replaced with no-ops.
1098
1099    *Rich Salz*
1100
1101  * Added documentation for the STACK API.
1102
1103    *Rich Salz*
1104
1105  * Introduced a new method type and API, OSSL_ENCODER, to
1106    represent generic encoders.  An implementation is expected to
1107    be able to encode an object associated with a given name (such
1108    as an algorithm name for an asymmetric key) into forms given by
1109    implementation properties.
1110
1111    Encoders are primarily used from inside libcrypto, through
1112    calls to functions like EVP_PKEY_print_private(),
1113    PEM_write_bio_PrivateKey() and similar.
1114
1115    Encoders are specified in such a way that they can be made to
1116    directly handle the provider side portion of an object, if this
1117    provider side part comes from the same provider as the encoder
1118    itself, but can also be made to handle objects in parametrized
1119    form (as an OSSL_PARAM array of data).  This allows a provider to
1120    offer generic encoders as a service for any other provider.
1121
1122    *Richard Levitte*
1123
1124  * Added a .pragma directive to the syntax of configuration files, to
1125    allow varying behavior in a supported and predictable manner.
1126    Currently added pragma:
1127
1128            .pragma dollarid:on
1129
1130    This allows dollar signs to be a keyword character unless it's
1131    followed by a opening brace or parenthesis.  This is useful for
1132    platforms where dollar signs are commonly used in names, such as
1133    volume names and system directory names on VMS.
1134
1135    *Richard Levitte*
1136
1137  * Added functionality to create an EVP_PKEY from user data.  This
1138    is effectively the same as creating a RSA, DH or DSA object and
1139    then assigning them to an EVP_PKEY, but directly using algorithm
1140    agnostic EVP functions.  A benefit is that this should be future
1141    proof for public key algorithms to come.
1142
1143    *Richard Levitte*
1144
1145  * Change the interpretation of the '--api' configuration option to
1146    mean that this is a desired API compatibility level with no
1147    further meaning.  The previous interpretation, that this would
1148    also mean to remove all deprecated symbols up to and including
1149    the given version, no requires that 'no-deprecated' is also used
1150    in the configuration.
1151
1152    When building applications, the desired API compatibility level
1153    can be set with the OPENSSL_API_COMPAT macro like before.  For
1154    API compatibility version below 3.0, the old style numerical
1155    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
1156    For version 3.0 and on, the value is expected to be the decimal
1157    value calculated from the major and minor version like this:
1158
1159            MAJOR * 10000 + MINOR * 100
1160
1161    Examples:
1162
1163            -DOPENSSL_API_COMPAT=30000             For 3.0
1164            -DOPENSSL_API_COMPAT=30200             For 3.2
1165
1166    To hide declarations that are deprecated up to and including the
1167    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
1168    given when building the application as well.
1169
1170    *Richard Levitte*
1171
1172  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
1173    access to certificate and CRL stores via URIs and OSSL_STORE
1174    loaders.
1175
1176    This adds the following functions:
1177
1178    - X509_LOOKUP_store()
1179    - X509_STORE_load_file()
1180    - X509_STORE_load_path()
1181    - X509_STORE_load_store()
1182    - SSL_add_store_cert_subjects_to_stack()
1183    - SSL_CTX_set_default_verify_store()
1184    - SSL_CTX_load_verify_file()
1185    - SSL_CTX_load_verify_dir()
1186    - SSL_CTX_load_verify_store()
1187
1188    *Richard Levitte*
1189
1190  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1191    The presence of this system service is determined at run-time.
1192
1193    *Richard Levitte*
1194
1195  * Added functionality to create an EVP_PKEY context based on data
1196    for methods from providers.  This takes an algorithm name and a
1197    property query string and simply stores them, with the intent
1198    that any operation that uses this context will use those strings
1199    to fetch the needed methods implicitly, thereby making the port
1200    of application written for pre-3.0 OpenSSL easier.
1201
1202    *Richard Levitte*
1203
1204  * The undocumented function NCONF_WIN32() has been deprecated; for
1205    conversion details see the HISTORY section of doc/man5/config.pod
1206
1207    *Rich Salz*
1208
1209  * Introduced the new functions EVP_DigestSignInit_ex() and
1210    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
1211    EVP_DigestVerifyUpdate() have been converted to functions. See the man
1212    pages for further details.
1213
1214    *Matt Caswell*
1215
1216  * Over two thousand fixes were made to the documentation, including:
1217    adding missing command flags, better style conformance, documentation
1218    of internals, etc.
1219
1220    *Rich Salz, Richard Levitte*
1221
1222  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
1223    X25519, X448, Ed25519 and Ed448.
1224
1225    *Patrick Steuer*
1226
1227  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1228    the first value.
1229
1230    *Jon Spillett*
1231
1232  * Deprecated the public definition of `ERR_STATE` as well as the function
1233    `ERR_get_state()`.  This is done in preparation of making `ERR_STATE` an
1234    opaque type.
1235
1236    *Richard Levitte*
1237
1238  * Added ERR functionality to give callers access to the stored function
1239    names that have replaced the older function code based functions.
1240
1241    New functions are ERR_peek_error_func(), ERR_peek_last_error_func(),
1242    ERR_peek_error_data(), ERR_peek_last_error_data(), ERR_get_error_all(),
1243    ERR_peek_error_all() and ERR_peek_last_error_all().
1244
1245    These functions have become deprecated: ERR_get_error_line(),
1246    ERR_get_error_line_data(), ERR_peek_error_line_data(),
1247    ERR_peek_last_error_line_data() and ERR_func_error_string().
1248
1249    Users are recommended to use ERR_get_error_all(), or to pick information
1250    with ERR_peek functions and finish off with getting the error code by using
1251    ERR_get_error().
1252
1253    *Richard Levitte*
1254
1255  * Extended testing to be verbose for failing tests only.  The make variables
1256    VERBOSE_FAILURE or VF can be used to enable this:
1257
1258            $ make VF=1 test                           # Unix
1259            $ mms /macro=(VF=1) test                   ! OpenVMS
1260            $ nmake VF=1 test                          # Windows
1261
1262    *Richard Levitte*
1263
1264  * Added the `-copy_extensions` option to the `x509` command for use with
1265    `-req` and `-x509toreq`. When given with the `copy` or `copyall` argument,
1266    all extensions in the request are copied to the certificate or vice versa.
1267
1268    *David von Oheimb*, *Kirill Stefanenkov <kirill_stefanenkov@rambler.ru>*
1269
1270  * Added the `-copy_extensions` option to the `req` command for use with
1271    `-x509`. When given with the `copy` or `copyall` argument,
1272    all extensions in the certification request are copied to the certificate.
1273
1274    *David von Oheimb*
1275
1276  * The `x509`, `req`, and `ca` commands now make sure that X.509v3 certificates
1277    they generate are by default RFC 5280 compliant in the following sense:
1278    There is a subjectKeyIdentifier extension with a hash value of the public key
1279    and for not self-signed certs there is an authorityKeyIdentifier extension
1280    with a keyIdentifier field or issuer information identifying the signing key.
1281    This is done unless some configuration overrides the new default behavior,
1282    such as `subjectKeyIdentifier = none` and `authorityKeyIdentifier = none`.
1283
1284    *David von Oheimb*
1285
1286  * Added several checks to `X509_verify_cert()` according to requirements in
1287    RFC 5280 in case `X509_V_FLAG_X509_STRICT` is set
1288    (which may be done by using the CLI option `-x509_strict`):
1289    * The basicConstraints of CA certificates must be marked critical.
1290    * CA certificates must explicitly include the keyUsage extension.
1291    * If a pathlenConstraint is given the key usage keyCertSign must be allowed.
1292    * The issuer name of any certificate must not be empty.
1293    * The subject name of CA certs, certs with keyUsage crlSign,
1294      and certs without subjectAlternativeName must not be empty.
1295    * If a subjectAlternativeName extension is given it must not be empty.
1296    * The signatureAlgorithm field and the cert signature must be consistent.
1297    * Any given authorityKeyIdentifier and any given subjectKeyIdentifier
1298      must not be marked critical.
1299    * The authorityKeyIdentifier must be given for X.509v3 certs
1300      unless they are self-signed.
1301    * The subjectKeyIdentifier must be given for all X.509v3 CA certs.
1302
1303    *David von Oheimb*
1304
1305  * Certificate verification using `X509_verify_cert()` meanwhile rejects EC keys
1306    with explicit curve parameters (specifiedCurve) as required by RFC 5480.
1307
1308    *Tomáš Mráz*
1309
1310  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1311    used even when parsing explicit parameters, when loading a encoded key
1312    or calling `EC_GROUP_new_from_ecpkparameters()`/
1313    `EC_GROUP_new_from_ecparameters()`.
1314    This prevents bypass of security hardening and performance gains,
1315    especially for curves with specialized EC_METHODs.
1316    By default, if a key encoded with explicit parameters is loaded and later
1317    encoded, the output is still encoded with explicit parameters, even if
1318    internally a "named" EC_GROUP is used for computation.
1319
1320    *Nicola Tuveri*
1321
1322  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1323    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1324    NULL. After this change, only the cofactor parameter can be NULL. It also
1325    does some minimal sanity checks on the passed order.
1326    ([CVE-2019-1547])
1327
1328    *Billy Bob Brumley*
1329
1330  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1331    An attack is simple, if the first CMS_recipientInfo is valid but the
1332    second CMS_recipientInfo is chosen ciphertext. If the second
1333    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1334    encryption key will be replaced by garbage, and the message cannot be
1335    decoded, but if the RSA decryption fails, the correct encryption key is
1336    used and the recipient will not notice the attack.
1337    As a work around for this potential attack the length of the decrypted
1338    key must be equal to the cipher default key length, in case the
1339    certifiate is not given and all recipientInfo are tried out.
1340    The old behaviour can be re-enabled in the CMS code by setting the
1341    CMS_DEBUG_DECRYPT flag.
1342
1343    *Bernd Edlinger*
1344
1345  * Early start up entropy quality from the DEVRANDOM seed source has been
1346    improved for older Linux systems.  The RAND subsystem will wait for
1347    /dev/random to be producing output before seeding from /dev/urandom.
1348    The seeded state is stored for future library initialisations using
1349    a system global shared memory segment.  The shared memory identifier
1350    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1351    the desired value.  The default identifier is 114.
1352
1353    *Paul Dale*
1354
1355  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
1356    when primes for RSA keys are computed.
1357    Since we previously always generated primes == 2 (mod 3) for RSA keys,
1358    the 2-prime and 3-prime RSA modules were easy to distinguish, since
1359    `N = p*q = 1 (mod 3)`, but `N = p*q*r = 2 (mod 3)`. Therefore fingerprinting
1360    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
1361    This avoids possible fingerprinting of newly generated RSA modules.
1362
1363    *Bernd Edlinger*
1364
1365  * Correct the extended master secret constant on EBCDIC systems. Without this
1366    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1367    negotiate EMS will fail. Unfortunately this also means that TLS connections
1368    between EBCDIC systems with this fix, and EBCDIC systems without this
1369    fix will fail if they negotiate EMS.
1370
1371    *Matt Caswell*
1372
1373  * Changed the library initialisation so that the config file is now loaded
1374    by default. This was already the case for libssl. It now occurs for both
1375    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
1376    `OPENSSL_init_crypto()` to suppress automatic loading of a config file.
1377
1378    *Matt Caswell*
1379
1380  * Introduced new error raising macros, `ERR_raise()` and `ERR_raise_data()`,
1381    where the former acts as a replacement for `ERR_put_error()`, and the
1382    latter replaces the combination `ERR_put_error()` + `ERR_add_error_data()`.
1383    `ERR_raise_data()` adds more flexibility by taking a format string and
1384    an arbitrary number of arguments following it, to be processed with
1385    `BIO_snprintf()`.
1386
1387    *Richard Levitte*
1388
1389  * Introduced a new function, `OSSL_PROVIDER_available()`, which can be used
1390    to check if a named provider is loaded and available.  When called, it
1391    will also activate all fallback providers if such are still present.
1392
1393    *Richard Levitte*
1394
1395  * Enforce a minimum DH modulus size of 512 bits.
1396
1397    *Bernd Edlinger*
1398
1399  * Changed DH parameters to generate the order q subgroup instead of 2q.
1400    Previously generated DH parameters are still accepted by DH_check
1401    but DH_generate_key works around that by clearing bit 0 of the
1402    private key for those. This avoids leaking bit 0 of the private key.
1403
1404    *Bernd Edlinger*
1405
1406  * Significantly reduce secure memory usage by the randomness pools.
1407
1408    *Paul Dale*
1409
1410  * `{CRYPTO,OPENSSL}_mem_debug_{push,pop}` are now no-ops and have been
1411    deprecated.
1412
1413    *Rich Salz*
1414
1415  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
1416    algorithms. An implementation of a key exchange algorithm can be obtained
1417    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
1418    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
1419    the older EVP_PKEY_derive_init() function. See the man pages for the new
1420    functions for further details.
1421
1422    *Matt Caswell*
1423
1424  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
1425
1426    *Matt Caswell*
1427
1428  * Removed the function names from error messages and deprecated the
1429    xxx_F_xxx define's.
1430
1431  * Removed NextStep support and the macro OPENSSL_UNISTD
1432
1433    *Rich Salz*
1434
1435  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
1436    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
1437    Also removed "export var as function" capability; we do not export
1438    variables, only functions.
1439
1440    *Rich Salz*
1441
1442  * RC5_32_set_key has been changed to return an int type, with 0 indicating
1443    an error and 1 indicating success. In previous versions of OpenSSL this
1444    was a void type. If a key was set longer than the maximum possible this
1445    would crash.
1446
1447    *Matt Caswell*
1448
1449  * Support SM2 signing and verification schemes with X509 certificate.
1450
1451    *Paul Yang*
1452
1453  * Use SHA256 as the default digest for TS query in the `ts` app.
1454
1455    *Tomáš Mráz*
1456
1457  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
1458    This checks that the salt length is at least 128 bits, the derived key
1459    length is at least 112 bits, and that the iteration count is at least 1000.
1460    For backwards compatibility these checks are disabled by default in the
1461    default provider, but are enabled by default in the fips provider.
1462    To enable or disable these checks use the control
1463    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
1464
1465    *Shane Lontis*
1466
1467  * Default cipher lists/suites are now available via a function, the
1468    #defines are deprecated.
1469
1470    *Todd Short*
1471
1472  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
1473    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
1474    for Windows Store apps easier. Also, the "no-uplink" option has been added.
1475
1476    *Kenji Mouri*
1477
1478  * Join the directories crypto/x509 and crypto/x509v3
1479
1480    *Richard Levitte*
1481
1482  * Added command 'openssl kdf' that uses the EVP_KDF API.
1483
1484    *Shane Lontis*
1485
1486  * Added command 'openssl mac' that uses the EVP_MAC API.
1487
1488    *Shane Lontis*
1489
1490  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
1491    as default directories.  Also added the command 'openssl info'
1492    for scripting purposes.
1493
1494    *Richard Levitte*
1495
1496  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
1497    deprecated. These undocumented functions were never integrated into the EVP
1498    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
1499    Bi-directional IGE mode. These modes were never formally standardised and
1500    usage of these functions is believed to be very small. In particular
1501    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
1502    is ever used. The security implications are believed to be minimal, but
1503    this issue was never fixed for backwards compatibility reasons. New code
1504    should not use these modes.
1505
1506    *Matt Caswell*
1507
1508  * Add prediction resistance to the DRBG reseeding process.
1509
1510    *Paul Dale*
1511
1512  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
1513    mandated by IEEE Std 1619-2018.
1514
1515    *Paul Dale*
1516
1517  * Added newline escaping functionality to a filename when using openssl dgst.
1518    This output format is to replicate the output format found in the `*sum`
1519    checksum programs. This aims to preserve backward compatibility.
1520
1521    *Matt Eaton, Richard Levitte, and Paul Dale*
1522
1523  * Removed the heartbeat message in DTLS feature, as it has very
1524    little usage and doesn't seem to fulfill a valuable purpose.
1525    The configuration option is now deprecated.
1526
1527    *Richard Levitte*
1528
1529  * Changed the output of 'openssl {digestname} < file' to display the
1530    digest name in its output.
1531
1532    *Richard Levitte*
1533
1534  * Added a new generic trace API which provides support for enabling
1535    instrumentation through trace output. This feature is mainly intended
1536    as an aid for developers and is disabled by default. To utilize it,
1537    OpenSSL needs to be configured with the `enable-trace` option.
1538
1539    If the tracing API is enabled, the application can activate trace output
1540    by registering BIOs as trace channels for a number of tracing and debugging
1541    categories.
1542
1543    The `openssl` program has been expanded to enable any of the types
1544    available via environment variables defined by the user, and serves as
1545    one possible example on how to use this functionality.
1546
1547    *Richard Levitte & Matthias St. Pierre*
1548
1549  * Added build tests for C++.  These are generated files that only do one
1550    thing, to include one public OpenSSL head file each.  This tests that
1551    the public header files can be usefully included in a C++ application.
1552
1553    This test isn't enabled by default.  It can be enabled with the option
1554    'enable-buildtest-c++'.
1555
1556    *Richard Levitte*
1557
1558  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
1559
1560    *Shane Lontis*
1561
1562  * Add KMAC to EVP_MAC.
1563
1564    *Shane Lontis*
1565
1566  * Added property based algorithm implementation selection framework to
1567    the core.
1568
1569    *Paul Dale*
1570
1571  * Added SCA hardening for modular field inversion in EC_GROUP through
1572    a new dedicated field_inv() pointer in EC_METHOD.
1573    This also addresses a leakage affecting conversions from projective
1574    to affine coordinates.
1575
1576    *Billy Bob Brumley, Nicola Tuveri*
1577
1578  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
1579    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
1580    those algorithms that were already supported through the EVP_PKEY API
1581    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
1582    and scrypt are now wrappers that call EVP_KDF.
1583
1584    *David Makepeace*
1585
1586  * Build devcrypto engine as a dynamic engine.
1587
1588    *Eneas U de Queiroz*
1589
1590  * Add keyed BLAKE2 to EVP_MAC.
1591
1592    *Antoine Salon*
1593
1594  * Fix a bug in the computation of the endpoint-pair shared secret used
1595    by DTLS over SCTP. This breaks interoperability with older versions
1596    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
1597    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
1598    interoperability with such broken implementations. However, enabling
1599    this switch breaks interoperability with correct implementations.
1600
1601  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1602    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1603
1604    *Bernd Edlinger*
1605
1606  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1607
1608    *Richard Levitte*
1609
1610  * Changed the license to the Apache License v2.0.
1611
1612    *Richard Levitte*
1613
1614  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
1615
1616    - Major releases (indicated by incrementing the MAJOR release number)
1617      may introduce incompatible API/ABI changes.
1618    - Minor releases (indicated by incrementing the MINOR release number)
1619      may introduce new features but retain API/ABI compatibility.
1620    - Patch releases (indicated by incrementing the PATCH number)
1621      are intended for bug fixes and other improvements of existing
1622      features only (like improving performance or adding documentation)
1623      and retain API/ABI compatibility.
1624
1625    *Richard Levitte*
1626
1627  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
1628
1629    *Todd Short*
1630
1631  * Remove the 'dist' target and add a tarball building script.  The
1632    'dist' target has fallen out of use, and it shouldn't be
1633    necessary to configure just to create a source distribution.
1634
1635    *Richard Levitte*
1636
1637  * Recreate the OS390-Unix config target.  It no longer relies on a
1638    special script like it did for OpenSSL pre-1.1.0.
1639
1640    *Richard Levitte*
1641
1642  * Instead of having the source directories listed in Configure, add
1643    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
1644    look into.
1645
1646    *Richard Levitte*
1647
1648  * Add GMAC to EVP_MAC.
1649
1650    *Paul Dale*
1651
1652  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
1653
1654    *Richard Levitte*
1655
1656  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
1657    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
1658    to facilitate the continued use of MACs through raw private keys in
1659    functionality such as `EVP_DigestSign*` and `EVP_DigestVerify*`.
1660
1661    *Richard Levitte*
1662
1663  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
1664    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
1665
1666    *Antoine Salon*
1667
1668  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
1669    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
1670    are retained for backwards compatibility.
1671
1672    *Antoine Salon*
1673
1674  * AES-XTS mode now enforces that its two keys are different to mitigate
1675    the attacked described in "Efficient Instantiations of Tweakable
1676    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
1677    Details of this attack can be obtained from:
1678    <http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf>
1679
1680    *Paul Dale*
1681
1682  * Rename the object files, i.e. give them other names than in previous
1683    versions.  Their names now include the name of the final product, as
1684    well as its type mnemonic (bin, lib, shlib).
1685
1686    *Richard Levitte*
1687
1688  * Added new option for 'openssl list', '-objects', which will display the
1689    list of built in objects, i.e. OIDs with names.
1690
1691    *Richard Levitte*
1692
1693  * Added the options `-crl_lastupdate` and `-crl_nextupdate` to `openssl ca`,
1694    allowing the `lastUpdate` and `nextUpdate` fields in the generated CRL to
1695    be set explicitly.
1696
1697    *Chris Novakovic*
1698
1699  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
1700    improves application performance by removing data copies and providing
1701    applications with zero-copy system calls such as sendfile and splice.
1702
1703    *Boris Pismenny*
1704
1705  * The SSL option SSL_OP_CLEANSE_PLAINTEXT is introduced. If that
1706    option is set, openssl cleanses (zeroize) plaintext bytes from
1707    internal buffers after delivering them to the application. Note,
1708    the application is still responsible for cleansing other copies
1709    (e.g.: data received by SSL_read(3)).
1710
1711    *Martin Elshuber*
1712
1713  * `PKCS12_parse` now maintains the order of the parsed certificates
1714    when outputting them via `*ca` (rather than reversing it).
1715
1716    *David von Oheimb*
1717
1718  * Deprecated pthread fork support methods. These were unused so no
1719    replacement is required.
1720
1721    - OPENSSL_fork_prepare()
1722    - OPENSSL_fork_parent()
1723    - OPENSSL_fork_child()
1724
1725    *Randall S. Becker*
1726
1727  * Added support for FFDHE key exchange in TLS 1.3.
1728
1729    *Raja Ashok*
1730
1731 OpenSSL 1.1.1
1732 -------------
1733
1734 ### Changes between 1.1.1j and 1.1.1k [xx XXX xxxx]
1735
1736  * Fixed a problem with verifying a certificate chain when using the
1737    X509_V_FLAG_X509_STRICT flag. This flag enables additional security checks of
1738    the certificates present in a certificate chain. It is not set by default.
1739
1740    Starting from OpenSSL version 1.1.1h a check to disallow certificates in
1741    the chain that have explicitly encoded elliptic curve parameters was added
1742    as an additional strict check.
1743
1744    An error in the implementation of this check meant that the result of a
1745    previous check to confirm that certificates in the chain are valid CA
1746    certificates was overwritten. This effectively bypasses the check
1747    that non-CA certificates must not be able to issue other certificates.
1748
1749    If a "purpose" has been configured then there is a subsequent opportunity
1750    for checks that the certificate is a valid CA.  All of the named "purpose"
1751    values implemented in libcrypto perform this check.  Therefore, where
1752    a purpose is set the certificate chain will still be rejected even when the
1753    strict flag has been used. A purpose is set by default in libssl client and
1754    server certificate verification routines, but it can be overridden or
1755    removed by an application.
1756
1757    In order to be affected, an application must explicitly set the
1758    X509_V_FLAG_X509_STRICT verification flag and either not set a purpose
1759    for the certificate verification or, in the case of TLS client or server
1760    applications, override the default purpose.
1761    ([CVE-2021-3450])
1762
1763    *Tomáš Mráz*
1764
1765  * Fixed an issue where an OpenSSL TLS server may crash if sent a maliciously
1766    crafted renegotiation ClientHello message from a client. If a TLSv1.2
1767    renegotiation ClientHello omits the signature_algorithms extension (where it
1768    was present in the initial ClientHello), but includes a
1769    signature_algorithms_cert extension then a NULL pointer dereference will
1770    result, leading to a crash and a denial of service attack.
1771
1772    A server is only vulnerable if it has TLSv1.2 and renegotiation enabled
1773    (which is the default configuration). OpenSSL TLS clients are not impacted by
1774    this issue.
1775    ([CVE-2021-3449])
1776
1777    *Peter Kästle and Samuel Sapalski*
1778
1779 ### Changes between 1.1.1i and 1.1.1j [16 Feb 2021]
1780
1781  * Fixed the X509_issuer_and_serial_hash() function. It attempts to
1782    create a unique hash value based on the issuer and serial number data
1783    contained within an X509 certificate. However it was failing to correctly
1784    handle any errors that may occur while parsing the issuer field (which might
1785    occur if the issuer field is maliciously constructed). This may subsequently
1786    result in a NULL pointer deref and a crash leading to a potential denial of
1787    service attack.
1788    ([CVE-2021-23841])
1789
1790    *Matt Caswell*
1791
1792  * Fixed the RSA_padding_check_SSLv23() function and the RSA_SSLV23_PADDING
1793    padding mode to correctly check for rollback attacks. This is considered a
1794    bug in OpenSSL 1.1.1 because it does not support SSLv2. In 1.0.2 this is
1795    CVE-2021-23839.
1796
1797    *Matt Caswell*
1798
1799    Fixed the EVP_CipherUpdate, EVP_EncryptUpdate and EVP_DecryptUpdate
1800    functions. Previously they could overflow the output length argument in some
1801    cases where the input length is close to the maximum permissable length for
1802    an integer on the platform. In such cases the return value from the function
1803    call would be 1 (indicating success), but the output length value would be
1804    negative. This could cause applications to behave incorrectly or crash.
1805    ([CVE-2021-23840])
1806
1807    *Matt Caswell*
1808
1809  * Fixed SRP_Calc_client_key so that it runs in constant time. The previous
1810    implementation called BN_mod_exp without setting BN_FLG_CONSTTIME. This
1811    could be exploited in a side channel attack to recover the password. Since
1812    the attack is local host only this is outside of the current OpenSSL
1813    threat model and therefore no CVE is assigned.
1814
1815    Thanks to Mohammed Sabt and Daniel De Almeida Braga for reporting this
1816    issue.
1817
1818    *Matt Caswell*
1819
1820 ### Changes between 1.1.1h and 1.1.1i [8 Dec 2020]
1821
1822  * Fixed NULL pointer deref in the GENERAL_NAME_cmp function
1823    This function could crash if both GENERAL_NAMEs contain an EDIPARTYNAME.
1824     If an attacker can control both items being compared  then this could lead
1825     to a possible denial of service attack. OpenSSL itself uses the
1826     GENERAL_NAME_cmp function for two purposes:
1827     1) Comparing CRL distribution point names between an available CRL and a
1828        CRL distribution point embedded in an X509 certificate
1829     2) When verifying that a timestamp response token signer matches the
1830        timestamp authority name (exposed via the API functions
1831        TS_RESP_verify_response and TS_RESP_verify_token)
1832    ([CVE-2020-1971])
1833
1834    *Matt Caswell*
1835
1836 ### Changes between 1.1.1g and 1.1.1h [22 Sep 2020]
1837
1838  * Certificates with explicit curve parameters are now disallowed in
1839    verification chains if the X509_V_FLAG_X509_STRICT flag is used.
1840
1841    *Tomáš Mráz*
1842
1843  * The 'MinProtocol' and 'MaxProtocol' configuration commands now silently
1844    ignore TLS protocol version bounds when configuring DTLS-based contexts, and
1845    conversely, silently ignore DTLS protocol version bounds when configuring
1846    TLS-based contexts.  The commands can be repeated to set bounds of both
1847    types.  The same applies with the corresponding "min_protocol" and
1848    "max_protocol" command-line switches, in case some application uses both TLS
1849    and DTLS.
1850
1851    SSL_CTX instances that are created for a fixed protocol version (e.g.
1852    TLSv1_server_method()) also silently ignore version bounds.  Previously
1853    attempts to apply bounds to these protocol versions would result in an
1854    error.  Now only the "version-flexible" SSL_CTX instances are subject to
1855    limits in configuration files in command-line options.
1856
1857    *Viktor Dukhovni*
1858
1859  * Handshake now fails if Extended Master Secret extension is dropped
1860    on renegotiation.
1861
1862    *Tomáš Mráz*
1863
1864  * The Oracle Developer Studio compiler will start reporting deprecated APIs
1865
1866 ### Changes between 1.1.1f and 1.1.1g [21 Apr 2020]
1867
1868  * Fixed segmentation fault in SSL_check_chain()
1869    Server or client applications that call the SSL_check_chain() function
1870    during or after a TLS 1.3 handshake may crash due to a NULL pointer
1871    dereference as a result of incorrect handling of the
1872    "signature_algorithms_cert" TLS extension. The crash occurs if an invalid
1873    or unrecognised signature algorithm is received from the peer. This could
1874    be exploited by a malicious peer in a Denial of Service attack.
1875    ([CVE-2020-1967])
1876
1877    *Benjamin Kaduk*
1878
1879  * Added AES consttime code for no-asm configurations
1880    an optional constant time support for AES was added
1881    when building openssl for no-asm.
1882    Enable with: ./config no-asm -DOPENSSL_AES_CONST_TIME
1883    Disable with: ./config no-asm -DOPENSSL_NO_AES_CONST_TIME
1884    At this time this feature is by default disabled.
1885    It will be enabled by default in 3.0.
1886
1887    *Bernd Edlinger*
1888
1889 ### Changes between 1.1.1e and 1.1.1f [31 Mar 2020]
1890
1891  * Revert the change of EOF detection while reading in libssl to avoid
1892    regressions in applications depending on the current way of reporting
1893    the EOF. As the existing method is not fully accurate the change to
1894    reporting the EOF via SSL_ERROR_SSL is kept on the current development
1895    branch and will be present in the 3.0 release.
1896
1897    *Tomáš Mráz*
1898
1899  * Revised BN_generate_prime_ex to not avoid factors 3..17863 in p-1
1900    when primes for RSA keys are computed.
1901    Since we previously always generated primes == 2 (mod 3) for RSA keys,
1902    the 2-prime and 3-prime RSA modules were easy to distinguish, since
1903    N = p*q = 1 (mod 3), but N = p*q*r = 2 (mod 3). Therefore fingerprinting
1904    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
1905    This avoids possible fingerprinting of newly generated RSA modules.
1906
1907    *Bernd Edlinger*
1908
1909 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020]
1910
1911  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
1912    while reading in libssl then we would report an error back to the
1913    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
1914    an error to the stack (which means we instead return SSL_ERROR_SSL) and
1915    therefore give a hint as to what went wrong.
1916
1917    *Matt Caswell*
1918
1919  * Check that ed25519 and ed448 are allowed by the security level. Previously
1920    signature algorithms not using an MD were not being checked that they were
1921    allowed by the security level.
1922
1923    *Kurt Roeckx*
1924
1925  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
1926    was not quite right. The behaviour was not consistent between resumption
1927    and normal handshakes, and also not quite consistent with historical
1928    behaviour. The behaviour in various scenarios has been clarified and
1929    it has been updated to make it match historical behaviour as closely as
1930    possible.
1931
1932    *Matt Caswell*
1933
1934  * *[VMS only]* The header files that the VMS compilers include automatically,
1935    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
1936    that the C++ compiler doesn't understand.  This is a shortcoming in the
1937    compiler, but can be worked around with `__cplusplus` guards.
1938
1939    C++ applications that use OpenSSL libraries must be compiled using the
1940    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
1941    functions.  Otherwise, only functions with symbols of less than 31
1942    characters can be used, as the linker will not be able to successfully
1943    resolve symbols with longer names.
1944
1945    *Richard Levitte*
1946
1947  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1948    The presence of this system service is determined at run-time.
1949
1950    *Richard Levitte*
1951
1952  * Added newline escaping functionality to a filename when using openssl dgst.
1953    This output format is to replicate the output format found in the `*sum`
1954    checksum programs. This aims to preserve backward compatibility.
1955
1956    *Matt Eaton, Richard Levitte, and Paul Dale*
1957
1958  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1959    the first value.
1960
1961    *Jon Spillett*
1962
1963 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019]
1964
1965  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1966    number generator (RNG). This was intended to include protection in the
1967    event of a fork() system call in order to ensure that the parent and child
1968    processes did not share the same RNG state. However this protection was not
1969    being used in the default case.
1970
1971    A partial mitigation for this issue is that the output from a high
1972    precision timer is mixed into the RNG state so the likelihood of a parent
1973    and child process sharing state is significantly reduced.
1974
1975    If an application already calls OPENSSL_init_crypto() explicitly using
1976    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1977    ([CVE-2019-1549])
1978
1979    *Matthias St. Pierre*
1980
1981  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1982    used even when parsing explicit parameters, when loading a encoded key
1983    or calling `EC_GROUP_new_from_ecpkparameters()`/
1984    `EC_GROUP_new_from_ecparameters()`.
1985    This prevents bypass of security hardening and performance gains,
1986    especially for curves with specialized EC_METHODs.
1987    By default, if a key encoded with explicit parameters is loaded and later
1988    encoded, the output is still encoded with explicit parameters, even if
1989    internally a "named" EC_GROUP is used for computation.
1990
1991    *Nicola Tuveri*
1992
1993  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1994    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1995    NULL. After this change, only the cofactor parameter can be NULL. It also
1996    does some minimal sanity checks on the passed order.
1997    ([CVE-2019-1547])
1998
1999    *Billy Bob Brumley*
2000
2001  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
2002    An attack is simple, if the first CMS_recipientInfo is valid but the
2003    second CMS_recipientInfo is chosen ciphertext. If the second
2004    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
2005    encryption key will be replaced by garbage, and the message cannot be
2006    decoded, but if the RSA decryption fails, the correct encryption key is
2007    used and the recipient will not notice the attack.
2008    As a work around for this potential attack the length of the decrypted
2009    key must be equal to the cipher default key length, in case the
2010    certifiate is not given and all recipientInfo are tried out.
2011    The old behaviour can be re-enabled in the CMS code by setting the
2012    CMS_DEBUG_DECRYPT flag.
2013    ([CVE-2019-1563])
2014
2015    *Bernd Edlinger*
2016
2017  * Early start up entropy quality from the DEVRANDOM seed source has been
2018    improved for older Linux systems.  The RAND subsystem will wait for
2019    /dev/random to be producing output before seeding from /dev/urandom.
2020    The seeded state is stored for future library initialisations using
2021    a system global shared memory segment.  The shared memory identifier
2022    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
2023    the desired value.  The default identifier is 114.
2024
2025    *Paul Dale*
2026
2027  * Correct the extended master secret constant on EBCDIC systems. Without this
2028    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
2029    negotiate EMS will fail. Unfortunately this also means that TLS connections
2030    between EBCDIC systems with this fix, and EBCDIC systems without this
2031    fix will fail if they negotiate EMS.
2032
2033    *Matt Caswell*
2034
2035  * Use Windows installation paths in the mingw builds
2036
2037    Mingw isn't a POSIX environment per se, which means that Windows
2038    paths should be used for installation.
2039    ([CVE-2019-1552])
2040
2041    *Richard Levitte*
2042
2043  * Changed DH_check to accept parameters with order q and 2q subgroups.
2044    With order 2q subgroups the bit 0 of the private key is not secret
2045    but DH_generate_key works around that by clearing bit 0 of the
2046    private key for those. This avoids leaking bit 0 of the private key.
2047
2048    *Bernd Edlinger*
2049
2050  * Significantly reduce secure memory usage by the randomness pools.
2051
2052    *Paul Dale*
2053
2054  * Revert the DEVRANDOM_WAIT feature for Linux systems
2055
2056    The DEVRANDOM_WAIT feature added a select() call to wait for the
2057    /dev/random device to become readable before reading from the
2058    /dev/urandom device.
2059
2060    It turned out that this change had negative side effects on
2061    performance which were not acceptable. After some discussion it
2062    was decided to revert this feature and leave it up to the OS
2063    resp. the platform maintainer to ensure a proper initialization
2064    during early boot time.
2065
2066    *Matthias St. Pierre*
2067
2068 ### Changes between 1.1.1b and 1.1.1c [28 May 2019]
2069
2070  * Add build tests for C++.  These are generated files that only do one
2071    thing, to include one public OpenSSL head file each.  This tests that
2072    the public header files can be usefully included in a C++ application.
2073
2074    This test isn't enabled by default.  It can be enabled with the option
2075    'enable-buildtest-c++'.
2076
2077    *Richard Levitte*
2078
2079  * Enable SHA3 pre-hashing for ECDSA and DSA.
2080
2081    *Patrick Steuer*
2082
2083  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
2084    This changes the size when using the `genpkey` command when no size is given.
2085    It fixes an omission in earlier changes that changed all RSA, DSA and DH
2086    generation commands to use 2048 bits by default.
2087
2088    *Kurt Roeckx*
2089
2090  * Reorganize the manual pages to consistently have RETURN VALUES,
2091    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
2092    util/fix-doc-nits accordingly.
2093
2094    *Paul Yang, Joshua Lock*
2095
2096  * Add the missing accessor EVP_PKEY_get0_engine()
2097
2098    *Matt Caswell*
2099
2100  * Have commands like `s_client` and `s_server` output the signature scheme
2101    along with other cipher suite parameters when debugging.
2102
2103    *Lorinczy Zsigmond*
2104
2105  * Make OPENSSL_config() error agnostic again.
2106
2107    *Richard Levitte*
2108
2109  * Do the error handling in RSA decryption constant time.
2110
2111    *Bernd Edlinger*
2112
2113  * Prevent over long nonces in ChaCha20-Poly1305.
2114
2115    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
2116    for every encryption operation. RFC 7539 specifies that the nonce value
2117    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
2118    and front pads the nonce with 0 bytes if it is less than 12
2119    bytes. However it also incorrectly allows a nonce to be set of up to 16
2120    bytes. In this case only the last 12 bytes are significant and any
2121    additional leading bytes are ignored.
2122
2123    It is a requirement of using this cipher that nonce values are
2124    unique. Messages encrypted using a reused nonce value are susceptible to
2125    serious confidentiality and integrity attacks. If an application changes
2126    the default nonce length to be longer than 12 bytes and then makes a
2127    change to the leading bytes of the nonce expecting the new value to be a
2128    new unique nonce then such an application could inadvertently encrypt
2129    messages with a reused nonce.
2130
2131    Additionally the ignored bytes in a long nonce are not covered by the
2132    integrity guarantee of this cipher. Any application that relies on the
2133    integrity of these ignored leading bytes of a long nonce may be further
2134    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
2135    is safe because no such use sets such a long nonce value. However user
2136    applications that use this cipher directly and set a non-default nonce
2137    length to be longer than 12 bytes may be vulnerable.
2138
2139    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
2140    Greef of Ronomon.
2141    ([CVE-2019-1543])
2142
2143    *Matt Caswell*
2144
2145  * Add DEVRANDOM_WAIT feature for Linux systems
2146
2147    On older Linux systems where the getrandom() system call is not available,
2148    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
2149    Contrary to getrandom(), the /dev/urandom device will not block during
2150    early boot when the kernel CSPRNG has not been seeded yet.
2151
2152    To mitigate this known weakness, use select() to wait for /dev/random to
2153    become readable before reading from /dev/urandom.
2154
2155  * Ensure that SM2 only uses SM3 as digest algorithm
2156
2157    *Paul Yang*
2158
2159 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019]
2160
2161  * Change the info callback signals for the start and end of a post-handshake
2162    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
2163    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
2164    confused by this and assume that a TLSv1.2 renegotiation has started. This
2165    can break KeyUpdate handling. Instead we no longer signal the start and end
2166    of a post handshake message exchange (although the messages themselves are
2167    still signalled). This could break some applications that were expecting
2168    the old signals. However without this KeyUpdate is not usable for many
2169    applications.
2170
2171    *Matt Caswell*
2172
2173 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018]
2174
2175  * Timing vulnerability in DSA signature generation
2176
2177    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
2178    timing side channel attack. An attacker could use variations in the signing
2179    algorithm to recover the private key.
2180
2181    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
2182    ([CVE-2018-0734])
2183
2184    *Paul Dale*
2185
2186  * Timing vulnerability in ECDSA signature generation
2187
2188    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
2189    timing side channel attack. An attacker could use variations in the signing
2190    algorithm to recover the private key.
2191
2192    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
2193    ([CVE-2018-0735])
2194
2195    *Paul Dale*
2196
2197  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
2198    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
2199    of two gigabytes and the error handling improved.
2200
2201    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
2202    categorized as a normal bug, not a security issue, because the DRBG reseeds
2203    automatically and is fully functional even without additional randomness
2204    provided by the application.
2205
2206 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018]
2207
2208  * Add a new ClientHello callback. Provides a callback interface that gives
2209    the application the ability to adjust the nascent SSL object at the
2210    earliest stage of ClientHello processing, immediately after extensions have
2211    been collected but before they have been processed. In particular, this
2212    callback can adjust the supported TLS versions in response to the contents
2213    of the ClientHello
2214
2215    *Benjamin Kaduk*
2216
2217  * Add SM2 base algorithm support.
2218
2219    *Jack Lloyd*
2220
2221  * s390x assembly pack: add (improved) hardware-support for the following
2222    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
2223    aes-cfb/cfb8, aes-ecb.
2224
2225    *Patrick Steuer*
2226
2227  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2228    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2229    pem_str is reserved for alias entries only.
2230
2231    *Richard Levitte*
2232
2233  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
2234    step for prime curves. The new implementation is based on formulae from
2235    differential addition-and-doubling in homogeneous projective coordinates
2236    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
2237    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
2238    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
2239    to work in projective coordinates.
2240
2241    *Billy Bob Brumley, Nicola Tuveri*
2242
2243  * Change generating and checking of primes so that the error rate of not
2244    being prime depends on the intended use based on the size of the input.
2245    For larger primes this will result in more rounds of Miller-Rabin.
2246    The maximal error rate for primes with more than 1080 bits is lowered
2247    to 2^-128.
2248
2249    *Kurt Roeckx, Annie Yousar*
2250
2251  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2252
2253    *Kurt Roeckx*
2254
2255  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
2256    moving between systems, and to avoid confusion when a Windows build is
2257    done with mingw vs with MSVC.  For POSIX installs, there's still a
2258    symlink or copy named 'tsget' to avoid that confusion as well.
2259
2260    *Richard Levitte*
2261
2262  * Revert blinding in ECDSA sign and instead make problematic addition
2263    length-invariant. Switch even to fixed-length Montgomery multiplication.
2264
2265    *Andy Polyakov*
2266
2267  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
2268    step for binary curves. The new implementation is based on formulae from
2269    differential addition-and-doubling in mixed Lopez-Dahab projective
2270    coordinates, modified to independently blind the operands.
2271
2272    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
2273
2274  * Add a scaffold to optionally enhance the Montgomery ladder implementation
2275    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
2276    EC_METHODs to implement their own specialized "ladder step", to take
2277    advantage of more favorable coordinate systems or more efficient
2278    differential addition-and-doubling algorithms.
2279
2280    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
2281
2282  * Modified the random device based seed sources to keep the relevant
2283    file descriptors open rather than reopening them on each access.
2284    This allows such sources to operate in a chroot() jail without
2285    the associated device nodes being available. This behaviour can be
2286    controlled using RAND_keep_random_devices_open().
2287
2288    *Paul Dale*
2289
2290  * Numerous side-channel attack mitigations have been applied. This may have
2291    performance impacts for some algorithms for the benefit of improved
2292    security. Specific changes are noted in this change log by their respective
2293    authors.
2294
2295    *Matt Caswell*
2296
2297  * AIX shared library support overhaul. Switch to AIX "natural" way of
2298    handling shared libraries, which means collecting shared objects of
2299    different versions and bitnesses in one common archive. This allows to
2300    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
2301    doesn't affect the way 3rd party applications are linked, only how
2302    multi-version installation is managed.
2303
2304    *Andy Polyakov*
2305
2306  * Make ec_group_do_inverse_ord() more robust and available to other
2307    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
2308    mitigations are applied to the fallback BN_mod_inverse().
2309    When using this function rather than BN_mod_inverse() directly, new
2310    EC cryptosystem implementations are then safer-by-default.
2311
2312    *Billy Bob Brumley*
2313
2314  * Add coordinate blinding for EC_POINT and implement projective
2315    coordinate blinding for generic prime curves as a countermeasure to
2316    chosen point SCA attacks.
2317
2318    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
2319
2320  * Add blinding to ECDSA and DSA signatures to protect against side channel
2321    attacks discovered by Keegan Ryan (NCC Group).
2322
2323    *Matt Caswell*
2324
2325  * Enforce checking in the `pkeyutl` command to ensure that the input
2326    length does not exceed the maximum supported digest length when performing
2327    a sign, verify or verifyrecover operation.
2328
2329    *Matt Caswell*
2330
2331  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
2332    I/O in combination with something like select() or poll() will hang. This
2333    can be turned off again using SSL_CTX_clear_mode().
2334    Many applications do not properly handle non-application data records, and
2335    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
2336    around the problems in those applications, but can also break some.
2337    It's recommended to read the manpages about SSL_read(), SSL_write(),
2338    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
2339    SSL_CTX_set_read_ahead() again.
2340
2341    *Kurt Roeckx*
2342
2343  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2344    now allow empty (zero character) pass phrases.
2345
2346    *Richard Levitte*
2347
2348  * Apply blinding to binary field modular inversion and remove patent
2349    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
2350
2351    *Billy Bob Brumley*
2352
2353  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
2354    binary and prime elliptic curves.
2355
2356    *Billy Bob Brumley*
2357
2358  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
2359    constant time fixed point multiplication.
2360
2361    *Billy Bob Brumley*
2362
2363  * Revise elliptic curve scalar multiplication with timing attack
2364    defenses: ec_wNAF_mul redirects to a constant time implementation
2365    when computing fixed point and variable point multiplication (which
2366    in OpenSSL are mostly used with secret scalars in keygen, sign,
2367    ECDH derive operations).
2368    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
2369     Sohaib ul Hassan*
2370
2371  * Updated CONTRIBUTING
2372
2373    *Rich Salz*
2374
2375  * Updated DRBG / RAND to request nonce and additional low entropy
2376    randomness from the system.
2377
2378    *Matthias St. Pierre*
2379
2380  * Updated 'openssl rehash' to use OpenSSL consistent default.
2381
2382    *Richard Levitte*
2383
2384  * Moved the load of the ssl_conf module to libcrypto, which helps
2385    loading engines that libssl uses before libssl is initialised.
2386
2387    *Matt Caswell*
2388
2389  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
2390
2391    *Matt Caswell*
2392
2393  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
2394
2395    *Ingo Schwarze, Rich Salz*
2396
2397  * Added output of accepting IP address and port for 'openssl s_server'
2398
2399    *Richard Levitte*
2400
2401  * Added a new API for TLSv1.3 ciphersuites:
2402       SSL_CTX_set_ciphersuites()
2403       SSL_set_ciphersuites()
2404
2405    *Matt Caswell*
2406
2407  * Memory allocation failures consistently add an error to the error
2408    stack.
2409
2410    *Rich Salz*
2411
2412  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
2413    in libcrypto when run as setuid/setgid.
2414
2415    *Bernd Edlinger*
2416
2417  * Load any config file by default when libssl is used.
2418
2419    *Matt Caswell*
2420
2421  * Added new public header file <openssl/rand_drbg.h> and documentation
2422    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
2423
2424    *Matthias St. Pierre*
2425
2426  * QNX support removed (cannot find contributors to get their approval
2427    for the license change).
2428
2429    *Rich Salz*
2430
2431  * TLSv1.3 replay protection for early data has been implemented. See the
2432    SSL_read_early_data() man page for further details.
2433
2434    *Matt Caswell*
2435
2436  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
2437    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
2438    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
2439    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
2440    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
2441    configuration has been separated out. See the ciphers man page or the
2442    SSL_CTX_set_ciphersuites() man page for more information.
2443
2444    *Matt Caswell*
2445
2446  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
2447    in responder mode now supports the new "-multi" option, which
2448    spawns the specified number of child processes to handle OCSP
2449    requests.  The "-timeout" option now also limits the OCSP
2450    responder's patience to wait to receive the full client request
2451    on a newly accepted connection. Child processes are respawned
2452    as needed, and the CA index file is automatically reloaded
2453    when changed.  This makes it possible to run the "ocsp" responder
2454    as a long-running service, making the OpenSSL CA somewhat more
2455    feature-complete.  In this mode, most diagnostic messages logged
2456    after entering the event loop are logged via syslog(3) rather than
2457    written to stderr.
2458
2459    *Viktor Dukhovni*
2460
2461  * Added support for X448 and Ed448. Heavily based on original work by
2462    Mike Hamburg.
2463
2464    *Matt Caswell*
2465
2466  * Extend OSSL_STORE with capabilities to search and to narrow the set of
2467    objects loaded.  This adds the functions OSSL_STORE_expect() and
2468    OSSL_STORE_find() as well as needed tools to construct searches and
2469    get the search data out of them.
2470
2471    *Richard Levitte*
2472
2473  * Support for TLSv1.3 added. Note that users upgrading from an earlier
2474    version of OpenSSL should review their configuration settings to ensure
2475    that they are still appropriate for TLSv1.3. For further information see:
2476    <https://wiki.openssl.org/index.php/TLS1.3>
2477
2478    *Matt Caswell*
2479
2480  * Grand redesign of the OpenSSL random generator
2481
2482    The default RAND method now utilizes an AES-CTR DRBG according to
2483    NIST standard SP 800-90Ar1. The new random generator is essentially
2484    a port of the default random generator from the OpenSSL FIPS 2.0
2485    object module. It is a hybrid deterministic random bit generator
2486    using an AES-CTR bit stream and which seeds and reseeds itself
2487    automatically using trusted system entropy sources.
2488
2489    Some of its new features are:
2490     - Support for multiple DRBG instances with seed chaining.
2491     - The default RAND method makes use of a DRBG.
2492     - There is a public and private DRBG instance.
2493     - The DRBG instances are fork-safe.
2494     - Keep all global DRBG instances on the secure heap if it is enabled.
2495     - The public and private DRBG instance are per thread for lock free
2496       operation
2497
2498    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
2499
2500  * Changed Configure so it only says what it does and doesn't dump
2501    so much data.  Instead, ./configdata.pm should be used as a script
2502    to display all sorts of configuration data.
2503
2504    *Richard Levitte*
2505
2506  * Added processing of "make variables" to Configure.
2507
2508    *Richard Levitte*
2509
2510  * Added SHA512/224 and SHA512/256 algorithm support.
2511
2512    *Paul Dale*
2513
2514  * The last traces of Netware support, first removed in 1.1.0, have
2515    now been removed.
2516
2517    *Rich Salz*
2518
2519  * Get rid of Makefile.shared, and in the process, make the processing
2520    of certain files (rc.obj, or the .def/.map/.opt files produced from
2521    the ordinal files) more visible and hopefully easier to trace and
2522    debug (or make silent).
2523
2524    *Richard Levitte*
2525
2526  * Make it possible to have environment variable assignments as
2527    arguments to config / Configure.
2528
2529    *Richard Levitte*
2530
2531  * Add multi-prime RSA (RFC 8017) support.
2532
2533    *Paul Yang*
2534
2535  * Add SM3 implemented according to GB/T 32905-2016
2536    *Jack Lloyd <jack.lloyd@ribose.com>,*
2537    *Ronald Tse <ronald.tse@ribose.com>,*
2538    *Erick Borsboom <erick.borsboom@ribose.com>*
2539
2540  * Add 'Maximum Fragment Length' TLS extension negotiation and support
2541    as documented in RFC6066.
2542    Based on a patch from Tomasz Moń
2543
2544    *Filipe Raimundo da Silva*
2545
2546  * Add SM4 implemented according to GB/T 32907-2016.
2547    *Jack Lloyd <jack.lloyd@ribose.com>,*
2548    *Ronald Tse <ronald.tse@ribose.com>,*
2549    *Erick Borsboom <erick.borsboom@ribose.com>*
2550
2551  * Reimplement -newreq-nodes and ERR_error_string_n; the
2552    original author does not agree with the license change.
2553
2554    *Rich Salz*
2555
2556  * Add ARIA AEAD TLS support.
2557
2558    *Jon Spillett*
2559
2560  * Some macro definitions to support VS6 have been removed.  Visual
2561    Studio 6 has not worked since 1.1.0
2562
2563    *Rich Salz*
2564
2565  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
2566    without clearing the errors.
2567
2568    *Richard Levitte*
2569
2570  * Add "atfork" functions.  If building on a system that without
2571    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
2572    requirements.  The RAND facility now uses/requires this.
2573
2574    *Rich Salz*
2575
2576  * Add SHA3.
2577
2578    *Andy Polyakov*
2579
2580  * The UI API becomes a permanent and integral part of libcrypto, i.e.
2581    not possible to disable entirely.  However, it's still possible to
2582    disable the console reading UI method, UI_OpenSSL() (use UI_null()
2583    as a fallback).
2584
2585    To disable, configure with 'no-ui-console'.  'no-ui' is still
2586    possible to use as an alias.  Check at compile time with the
2587    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
2588    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
2589
2590    *Richard Levitte*
2591
2592  * Add a STORE module, which implements a uniform and URI based reader of
2593    stores that can contain keys, certificates, CRLs and numerous other
2594    objects.  The main API is loosely based on a few stdio functions,
2595    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
2596    OSSL_STORE_error and OSSL_STORE_close.
2597    The implementation uses backends called "loaders" to implement arbitrary
2598    URI schemes.  There is one built in "loader" for the 'file' scheme.
2599
2600    *Richard Levitte*
2601
2602  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
2603    then adjusted to work on FreeBSD 8.4 as well.
2604    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
2605    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
2606
2607    *Richard Levitte*
2608
2609  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
2610    util/mkerr.pl, which is adapted to allow those prefixes, leading to
2611    error code calls like this:
2612
2613            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
2614
2615    With this change, we claim the namespaces OSSL and OPENSSL in a manner
2616    that can be encoded in C.  For the foreseeable future, this will only
2617    affect new modules.
2618
2619    *Richard Levitte and Tim Hudson*
2620
2621  * Removed BSD cryptodev engine.
2622
2623    *Rich Salz*
2624
2625  * Add a build target 'build_all_generated', to build all generated files
2626    and only that.  This can be used to prepare everything that requires
2627    things like perl for a system that lacks perl and then move everything
2628    to that system and do the rest of the build there.
2629
2630    *Richard Levitte*
2631
2632  * In the UI interface, make it possible to duplicate the user data.  This
2633    can be used by engines that need to retain the data for a longer time
2634    than just the call where this user data is passed.
2635
2636    *Richard Levitte*
2637
2638  * Ignore the '-named_curve auto' value for compatibility of applications
2639    with OpenSSL 1.0.2.
2640
2641    *Tomáš Mráz <tmraz@fedoraproject.org>*
2642
2643  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
2644    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
2645    alerts across multiple records (some of which could be empty). In practice
2646    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
2647    prohibits this altogether and other libraries (BoringSSL, NSS) do not
2648    support this at all. Supporting it adds significant complexity to the
2649    record layer, and its removal is unlikely to cause interoperability
2650    issues.
2651
2652    *Matt Caswell*
2653
2654  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
2655    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
2656    The use of LONG and ZLONG is discouraged and scheduled for deprecation
2657    in OpenSSL 1.2.0.
2658
2659    *Richard Levitte*
2660
2661  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
2662    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
2663
2664    *Richard Levitte, Andy Polyakov*
2665
2666  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
2667    does for RSA, etc.
2668
2669    *Richard Levitte*
2670
2671  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2672    platform rather than 'mingw'.
2673
2674    *Richard Levitte*
2675
2676  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
2677    success if they are asked to add an object which already exists
2678    in the store. This change cascades to other functions which load
2679    certificates and CRLs.
2680
2681    *Paul Dale*
2682
2683  * x86_64 assembly pack: annotate code with DWARF CFI directives to
2684    facilitate stack unwinding even from assembly subroutines.
2685
2686    *Andy Polyakov*
2687
2688  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
2689    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
2690
2691    *Richard Levitte*
2692
2693  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2694    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2695    which is the minimum version we support.
2696
2697    *Richard Levitte*
2698
2699  * Certificate time validation (X509_cmp_time) enforces stricter
2700    compliance with RFC 5280. Fractional seconds and timezone offsets
2701    are no longer allowed.
2702
2703    *Emilia Käsper*
2704
2705  * Add support for ARIA
2706
2707    *Paul Dale*
2708
2709  * s_client will now send the Server Name Indication (SNI) extension by
2710    default unless the new "-noservername" option is used. The server name is
2711    based on the host provided to the "-connect" option unless overridden by
2712    using "-servername".
2713
2714    *Matt Caswell*
2715
2716  * Add support for SipHash
2717
2718    *Todd Short*
2719
2720  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
2721    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
2722    prevent issues where no progress is being made and the peer continually
2723    sends unrecognised record types, using up resources processing them.
2724
2725    *Matt Caswell*
2726
2727  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
2728    using the algorithm defined in
2729    <https://www.akkadia.org/drepper/SHA-crypt.txt>
2730
2731    *Richard Levitte*
2732
2733  * Heartbeat support has been removed; the ABI is changed for now.
2734
2735    *Richard Levitte, Rich Salz*
2736
2737  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
2738
2739    *Emilia Käsper*
2740
2741  * The RSA "null" method, which was partially supported to avoid patent
2742    issues, has been replaced to always returns NULL.
2743
2744    *Rich Salz*
2745
2746 OpenSSL 1.1.0
2747 -------------
2748
2749 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019]
2750
2751  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
2752    used even when parsing explicit parameters, when loading a encoded key
2753    or calling `EC_GROUP_new_from_ecpkparameters()`/
2754    `EC_GROUP_new_from_ecparameters()`.
2755    This prevents bypass of security hardening and performance gains,
2756    especially for curves with specialized EC_METHODs.
2757    By default, if a key encoded with explicit parameters is loaded and later
2758    encoded, the output is still encoded with explicit parameters, even if
2759    internally a "named" EC_GROUP is used for computation.
2760
2761    *Nicola Tuveri*
2762
2763  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
2764    this change, EC_GROUP_set_generator would accept order and/or cofactor as
2765    NULL. After this change, only the cofactor parameter can be NULL. It also
2766    does some minimal sanity checks on the passed order.
2767    ([CVE-2019-1547])
2768
2769    *Billy Bob Brumley*
2770
2771  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
2772    An attack is simple, if the first CMS_recipientInfo is valid but the
2773    second CMS_recipientInfo is chosen ciphertext. If the second
2774    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
2775    encryption key will be replaced by garbage, and the message cannot be
2776    decoded, but if the RSA decryption fails, the correct encryption key is
2777    used and the recipient will not notice the attack.
2778    As a work around for this potential attack the length of the decrypted
2779    key must be equal to the cipher default key length, in case the
2780    certifiate is not given and all recipientInfo are tried out.
2781    The old behaviour can be re-enabled in the CMS code by setting the
2782    CMS_DEBUG_DECRYPT flag.
2783    ([CVE-2019-1563])
2784
2785    *Bernd Edlinger*
2786
2787  * Use Windows installation paths in the mingw builds
2788
2789    Mingw isn't a POSIX environment per se, which means that Windows
2790    paths should be used for installation.
2791    ([CVE-2019-1552])
2792
2793    *Richard Levitte*
2794
2795 ### Changes between 1.1.0j and 1.1.0k [28 May 2019]
2796
2797  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
2798    This changes the size when using the `genpkey` command when no size is given.
2799    It fixes an omission in earlier changes that changed all RSA, DSA and DH
2800    generation commands to use 2048 bits by default.
2801
2802    *Kurt Roeckx*
2803
2804  * Prevent over long nonces in ChaCha20-Poly1305.
2805
2806    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
2807    for every encryption operation. RFC 7539 specifies that the nonce value
2808    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
2809    and front pads the nonce with 0 bytes if it is less than 12
2810    bytes. However it also incorrectly allows a nonce to be set of up to 16
2811    bytes. In this case only the last 12 bytes are significant and any
2812    additional leading bytes are ignored.
2813
2814    It is a requirement of using this cipher that nonce values are
2815    unique. Messages encrypted using a reused nonce value are susceptible to
2816    serious confidentiality and integrity attacks. If an application changes
2817    the default nonce length to be longer than 12 bytes and then makes a
2818    change to the leading bytes of the nonce expecting the new value to be a
2819    new unique nonce then such an application could inadvertently encrypt
2820    messages with a reused nonce.
2821
2822    Additionally the ignored bytes in a long nonce are not covered by the
2823    integrity guarantee of this cipher. Any application that relies on the
2824    integrity of these ignored leading bytes of a long nonce may be further
2825    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
2826    is safe because no such use sets such a long nonce value. However user
2827    applications that use this cipher directly and set a non-default nonce
2828    length to be longer than 12 bytes may be vulnerable.
2829
2830    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
2831    Greef of Ronomon.
2832    ([CVE-2019-1543])
2833
2834    *Matt Caswell*
2835
2836  * Added SCA hardening for modular field inversion in EC_GROUP through
2837    a new dedicated field_inv() pointer in EC_METHOD.
2838    This also addresses a leakage affecting conversions from projective
2839    to affine coordinates.
2840
2841    *Billy Bob Brumley, Nicola Tuveri*
2842
2843  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
2844    re-used X509_PUBKEY object if the second PUBKEY is malformed.
2845
2846    *Bernd Edlinger*
2847
2848  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
2849
2850    *Richard Levitte*
2851
2852  * Remove the 'dist' target and add a tarball building script.  The
2853    'dist' target has fallen out of use, and it shouldn't be
2854    necessary to configure just to create a source distribution.
2855
2856    *Richard Levitte*
2857
2858 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018]
2859
2860  * Timing vulnerability in DSA signature generation
2861
2862    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
2863    timing side channel attack. An attacker could use variations in the signing
2864    algorithm to recover the private key.
2865
2866    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
2867    ([CVE-2018-0734])
2868
2869    *Paul Dale*
2870
2871  * Timing vulnerability in ECDSA signature generation
2872
2873    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
2874    timing side channel attack. An attacker could use variations in the signing
2875    algorithm to recover the private key.
2876
2877    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
2878    ([CVE-2018-0735])
2879
2880    *Paul Dale*
2881
2882  * Add coordinate blinding for EC_POINT and implement projective
2883    coordinate blinding for generic prime curves as a countermeasure to
2884    chosen point SCA attacks.
2885
2886    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
2887
2888 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018]
2889
2890  * Client DoS due to large DH parameter
2891
2892    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
2893    malicious server can send a very large prime value to the client. This will
2894    cause the client to spend an unreasonably long period of time generating a
2895    key for this prime resulting in a hang until the client has finished. This
2896    could be exploited in a Denial Of Service attack.
2897
2898    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
2899    ([CVE-2018-0732])
2900
2901    *Guido Vranken*
2902
2903  * Cache timing vulnerability in RSA Key Generation
2904
2905    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
2906    a cache timing side channel attack. An attacker with sufficient access to
2907    mount cache timing attacks during the RSA key generation process could
2908    recover the private key.
2909
2910    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
2911    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
2912    ([CVE-2018-0737])
2913
2914    *Billy Brumley*
2915
2916  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2917    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2918    pem_str is reserved for alias entries only.
2919
2920    *Richard Levitte*
2921
2922  * Revert blinding in ECDSA sign and instead make problematic addition
2923    length-invariant. Switch even to fixed-length Montgomery multiplication.
2924
2925    *Andy Polyakov*
2926
2927  * Change generating and checking of primes so that the error rate of not
2928    being prime depends on the intended use based on the size of the input.
2929    For larger primes this will result in more rounds of Miller-Rabin.
2930    The maximal error rate for primes with more than 1080 bits is lowered
2931    to 2^-128.
2932
2933    *Kurt Roeckx, Annie Yousar*
2934
2935  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2936
2937    *Kurt Roeckx*
2938
2939  * Add blinding to ECDSA and DSA signatures to protect against side channel
2940    attacks discovered by Keegan Ryan (NCC Group).
2941
2942    *Matt Caswell*
2943
2944  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2945    now allow empty (zero character) pass phrases.
2946
2947    *Richard Levitte*
2948
2949  * Certificate time validation (X509_cmp_time) enforces stricter
2950    compliance with RFC 5280. Fractional seconds and timezone offsets
2951    are no longer allowed.
2952
2953    *Emilia Käsper*
2954
2955  * Fixed a text canonicalisation bug in CMS
2956
2957    Where a CMS detached signature is used with text content the text goes
2958    through a canonicalisation process first prior to signing or verifying a
2959    signature. This process strips trailing space at the end of lines, converts
2960    line terminators to CRLF and removes additional trailing line terminators
2961    at the end of a file. A bug in the canonicalisation process meant that
2962    some characters, such as form-feed, were incorrectly treated as whitespace
2963    and removed. This is contrary to the specification (RFC5485). This fix
2964    could mean that detached text data signed with an earlier version of
2965    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2966    signed with a fixed OpenSSL may fail to verify with an earlier version of
2967    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2968    and use the "-binary" flag (for the "cms" command line application) or set
2969    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2970
2971    *Matt Caswell*
2972
2973 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018]
2974
2975  * Constructed ASN.1 types with a recursive definition could exceed the stack
2976
2977    Constructed ASN.1 types with a recursive definition (such as can be found
2978    in PKCS7) could eventually exceed the stack given malicious input with
2979    excessive recursion. This could result in a Denial Of Service attack. There
2980    are no such structures used within SSL/TLS that come from untrusted sources
2981    so this is considered safe.
2982
2983    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2984    project.
2985    ([CVE-2018-0739])
2986
2987    *Matt Caswell*
2988
2989  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2990
2991    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2992    effectively reduced to only comparing the least significant bit of each
2993    byte. This allows an attacker to forge messages that would be considered as
2994    authenticated in an amount of tries lower than that guaranteed by the
2995    security claims of the scheme. The module can only be compiled by the
2996    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2997
2998    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2999    (IBM).
3000    ([CVE-2018-0733])
3001
3002    *Andy Polyakov*
3003
3004  * Add a build target 'build_all_generated', to build all generated files
3005    and only that.  This can be used to prepare everything that requires
3006    things like perl for a system that lacks perl and then move everything
3007    to that system and do the rest of the build there.
3008
3009    *Richard Levitte*
3010
3011  * Backport SSL_OP_NO_RENGOTIATION
3012
3013    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
3014    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
3015    changes this is no longer possible in 1.1.0. Therefore the new
3016    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
3017    1.1.0 to provide equivalent functionality.
3018
3019    Note that if an application built against 1.1.0h headers (or above) is run
3020    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
3021    accepted but nothing will happen, i.e. renegotiation will not be prevented.
3022
3023    *Matt Caswell*
3024
3025  * Removed the OS390-Unix config target.  It relied on a script that doesn't
3026    exist.
3027
3028    *Rich Salz*
3029
3030  * rsaz_1024_mul_avx2 overflow bug on x86_64
3031
3032    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3033    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3034    Analysis suggests that attacks against RSA and DSA as a result of this
3035    defect would be very difficult to perform and are not believed likely.
3036    Attacks against DH1024 are considered just feasible, because most of the
3037    work necessary to deduce information about a private key may be performed
3038    offline. The amount of resources required for such an attack would be
3039    significant. However, for an attack on TLS to be meaningful, the server
3040    would have to share the DH1024 private key among multiple clients, which is
3041    no longer an option since CVE-2016-0701.
3042
3043    This only affects processors that support the AVX2 but not ADX extensions
3044    like Intel Haswell (4th generation).
3045
3046    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3047    was originally found via the OSS-Fuzz project.
3048    ([CVE-2017-3738])
3049
3050    *Andy Polyakov*
3051
3052 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017]
3053
3054  * bn_sqrx8x_internal carry bug on x86_64
3055
3056    There is a carry propagating bug in the x86_64 Montgomery squaring
3057    procedure. No EC algorithms are affected. Analysis suggests that attacks
3058    against RSA and DSA as a result of this defect would be very difficult to
3059    perform and are not believed likely. Attacks against DH are considered just
3060    feasible (although very difficult) because most of the work necessary to
3061    deduce information about a private key may be performed offline. The amount
3062    of resources required for such an attack would be very significant and
3063    likely only accessible to a limited number of attackers. An attacker would
3064    additionally need online access to an unpatched system using the target
3065    private key in a scenario with persistent DH parameters and a private
3066    key that is shared between multiple clients.
3067
3068    This only affects processors that support the BMI1, BMI2 and ADX extensions
3069    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3070
3071    This issue was reported to OpenSSL by the OSS-Fuzz project.
3072    ([CVE-2017-3736])
3073
3074    *Andy Polyakov*
3075
3076  * Malformed X.509 IPAddressFamily could cause OOB read
3077
3078    If an X.509 certificate has a malformed IPAddressFamily extension,
3079    OpenSSL could do a one-byte buffer overread. The most likely result
3080    would be an erroneous display of the certificate in text format.
3081
3082    This issue was reported to OpenSSL by the OSS-Fuzz project.
3083    ([CVE-2017-3735])
3084
3085    *Rich Salz*
3086
3087 ### Changes between 1.1.0e and 1.1.0f [25 May 2017]
3088
3089  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3090    platform rather than 'mingw'.
3091
3092    *Richard Levitte*
3093
3094  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
3095    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
3096    which is the minimum version we support.
3097
3098    *Richard Levitte*
3099
3100 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017]
3101
3102  * Encrypt-Then-Mac renegotiation crash
3103
3104    During a renegotiation handshake if the Encrypt-Then-Mac extension is
3105    negotiated where it was not in the original handshake (or vice-versa) then
3106    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
3107    and servers are affected.
3108
3109    This issue was reported to OpenSSL by Joe Orton (Red Hat).
3110    ([CVE-2017-3733])
3111
3112    *Matt Caswell*
3113
3114 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017]
3115
3116  * Truncated packet could crash via OOB read
3117
3118    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3119    cipher is being used, then a truncated packet can cause that host to
3120    perform an out-of-bounds read, usually resulting in a crash.
3121
3122    This issue was reported to OpenSSL by Robert Święcki of Google.
3123    ([CVE-2017-3731])
3124
3125    *Andy Polyakov*
3126
3127  * Bad (EC)DHE parameters cause a client crash
3128
3129    If a malicious server supplies bad parameters for a DHE or ECDHE key
3130    exchange then this can result in the client attempting to dereference a
3131    NULL pointer leading to a client crash. This could be exploited in a Denial
3132    of Service attack.
3133
3134    This issue was reported to OpenSSL by Guido Vranken.
3135    ([CVE-2017-3730])
3136
3137    *Matt Caswell*
3138
3139  * BN_mod_exp may produce incorrect results on x86_64
3140
3141    There is a carry propagating bug in the x86_64 Montgomery squaring
3142    procedure. No EC algorithms are affected. Analysis suggests that attacks
3143    against RSA and DSA as a result of this defect would be very difficult to
3144    perform and are not believed likely. Attacks against DH are considered just
3145    feasible (although very difficult) because most of the work necessary to
3146    deduce information about a private key may be performed offline. The amount
3147    of resources required for such an attack would be very significant and
3148    likely only accessible to a limited number of attackers. An attacker would
3149    additionally need online access to an unpatched system using the target
3150    private key in a scenario with persistent DH parameters and a private
3151    key that is shared between multiple clients. For example this can occur by
3152    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3153    similar to CVE-2015-3193 but must be treated as a separate problem.
3154
3155    This issue was reported to OpenSSL by the OSS-Fuzz project.
3156    ([CVE-2017-3732])
3157
3158    *Andy Polyakov*
3159
3160 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016]
3161
3162  * ChaCha20/Poly1305 heap-buffer-overflow
3163
3164    TLS connections using `*-CHACHA20-POLY1305` ciphersuites are susceptible to
3165    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
3166    crash. This issue is not considered to be exploitable beyond a DoS.
3167
3168    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
3169    ([CVE-2016-7054])
3170
3171    *Richard Levitte*
3172
3173  * CMS Null dereference
3174
3175    Applications parsing invalid CMS structures can crash with a NULL pointer
3176    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
3177    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
3178    structure callback if an attempt is made to free certain invalid encodings.
3179    Only CHOICE structures using a callback which do not handle NULL value are
3180    affected.
3181
3182    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
3183    ([CVE-2016-7053])
3184
3185    *Stephen Henson*
3186
3187  * Montgomery multiplication may produce incorrect results
3188
3189    There is a carry propagating bug in the Broadwell-specific Montgomery
3190    multiplication procedure that handles input lengths divisible by, but
3191    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
3192    and DH private keys are impossible. This is because the subroutine in
3193    question is not used in operations with the private key itself and an input
3194    of the attacker's direct choice. Otherwise the bug can manifest itself as
3195    transient authentication and key negotiation failures or reproducible
3196    erroneous outcome of public-key operations with specially crafted input.
3197    Among EC algorithms only Brainpool P-512 curves are affected and one
3198    presumably can attack ECDH key negotiation. Impact was not analyzed in
3199    detail, because pre-requisites for attack are considered unlikely. Namely
3200    multiple clients have to choose the curve in question and the server has to
3201    share the private key among them, neither of which is default behaviour.
3202    Even then only clients that chose the curve will be affected.
3203
3204    This issue was publicly reported as transient failures and was not
3205    initially recognized as a security issue. Thanks to Richard Morgan for
3206    providing reproducible case.
3207    ([CVE-2016-7055])
3208
3209    *Andy Polyakov*
3210
3211  * Removed automatic addition of RPATH in shared libraries and executables,
3212    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
3213
3214    *Richard Levitte*
3215
3216 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016]
3217
3218  * Fix Use After Free for large message sizes
3219
3220    The patch applied to address CVE-2016-6307 resulted in an issue where if a
3221    message larger than approx 16k is received then the underlying buffer to
3222    store the incoming message is reallocated and moved. Unfortunately a
3223    dangling pointer to the old location is left which results in an attempt to
3224    write to the previously freed location. This is likely to result in a
3225    crash, however it could potentially lead to execution of arbitrary code.
3226
3227    This issue only affects OpenSSL 1.1.0a.
3228
3229    This issue was reported to OpenSSL by Robert Święcki.
3230    ([CVE-2016-6309])
3231
3232    *Matt Caswell*
3233
3234 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016]
3235
3236  * OCSP Status Request extension unbounded memory growth
3237
3238    A malicious client can send an excessively large OCSP Status Request
3239    extension. If that client continually requests renegotiation, sending a
3240    large OCSP Status Request extension each time, then there will be unbounded
3241    memory growth on the server. This will eventually lead to a Denial Of
3242    Service attack through memory exhaustion. Servers with a default
3243    configuration are vulnerable even if they do not support OCSP. Builds using
3244    the "no-ocsp" build time option are not affected.
3245
3246    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3247    ([CVE-2016-6304])
3248
3249    *Matt Caswell*
3250
3251  * SSL_peek() hang on empty record
3252
3253    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
3254    sends an empty record. This could be exploited by a malicious peer in a
3255    Denial Of Service attack.
3256
3257    This issue was reported to OpenSSL by Alex Gaynor.
3258    ([CVE-2016-6305])
3259
3260    *Matt Caswell*
3261
3262  * Excessive allocation of memory in tls_get_message_header() and
3263    dtls1_preprocess_fragment()
3264
3265    A (D)TLS message includes 3 bytes for its length in the header for the
3266    message. This would allow for messages up to 16Mb in length. Messages of
3267    this length are excessive and OpenSSL includes a check to ensure that a
3268    peer is sending reasonably sized messages in order to avoid too much memory
3269    being consumed to service a connection. A flaw in the logic of version
3270    1.1.0 means that memory for the message is allocated too early, prior to
3271    the excessive message length check. Due to way memory is allocated in
3272    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
3273    to service a connection. This could lead to a Denial of Service through
3274    memory exhaustion. However, the excessive message length check still takes
3275    place, and this would cause the connection to immediately fail. Assuming
3276    that the application calls SSL_free() on the failed connection in a timely
3277    manner then the 21Mb of allocated memory will then be immediately freed
3278    again. Therefore the excessive memory allocation will be transitory in
3279    nature. This then means that there is only a security impact if:
3280
3281    1) The application does not call SSL_free() in a timely manner in the event
3282    that the connection fails
3283    or
3284    2) The application is working in a constrained environment where there is
3285    very little free memory
3286    or
3287    3) The attacker initiates multiple connection attempts such that there are
3288    multiple connections in a state where memory has been allocated for the
3289    connection; SSL_free() has not yet been called; and there is insufficient
3290    memory to service the multiple requests.
3291
3292    Except in the instance of (1) above any Denial Of Service is likely to be
3293    transitory because as soon as the connection fails the memory is
3294    subsequently freed again in the SSL_free() call. However there is an
3295    increased risk during this period of application crashes due to the lack of
3296    memory - which would then mean a more serious Denial of Service.
3297
3298    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3299    (CVE-2016-6307 and CVE-2016-6308)
3300
3301    *Matt Caswell*
3302
3303  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
3304    had to be removed. Primary reason is that vendor assembler can't
3305    assemble our modules with -KPIC flag. As result it, assembly
3306    support, was not even available as option. But its lack means
3307    lack of side-channel resistant code, which is incompatible with
3308    security by todays standards. Fortunately gcc is readily available
3309    prepackaged option, which we firmly point at...
3310
3311    *Andy Polyakov*
3312
3313 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016]
3314
3315  * Windows command-line tool supports UTF-8 opt-in option for arguments
3316    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
3317    (to any value) allows Windows user to access PKCS#12 file generated
3318    with Windows CryptoAPI and protected with non-ASCII password, as well
3319    as files generated under UTF-8 locale on Linux also protected with
3320    non-ASCII password.
3321
3322    *Andy Polyakov*
3323
3324  * To mitigate the SWEET32 attack ([CVE-2016-2183]), 3DES cipher suites
3325    have been disabled by default and removed from DEFAULT, just like RC4.
3326    See the RC4 item below to re-enable both.
3327
3328    *Rich Salz*
3329
3330  * The method for finding the storage location for the Windows RAND seed file
3331    has changed. First we check %RANDFILE%. If that is not set then we check
3332    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
3333    all else fails we fall back to C:\.
3334
3335    *Matt Caswell*
3336
3337  * The EVP_EncryptUpdate() function has had its return type changed from void
3338    to int. A return of 0 indicates and error while a return of 1 indicates
3339    success.
3340
3341    *Matt Caswell*
3342
3343  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
3344    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
3345    off the constant time implementation for RSA, DSA and DH have been made
3346    no-ops and deprecated.
3347
3348    *Matt Caswell*
3349
3350  * Windows RAND implementation was simplified to only get entropy by
3351    calling CryptGenRandom(). Various other RAND-related tickets
3352    were also closed.
3353
3354    *Joseph Wylie Yandle, Rich Salz*
3355
3356  * The stack and lhash API's were renamed to start with `OPENSSL_SK_`
3357    and `OPENSSL_LH_`, respectively.  The old names are available
3358    with API compatibility.  They new names are now completely documented.
3359
3360    *Rich Salz*
3361
3362  * Unify TYPE_up_ref(obj) methods signature.
3363    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
3364    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
3365    int (instead of void) like all others TYPE_up_ref() methods.
3366    So now these methods also check the return value of CRYPTO_atomic_add(),
3367    and the validity of object reference counter.
3368
3369    *fdasilvayy@gmail.com*
3370
3371  * With Windows Visual Studio builds, the .pdb files are installed
3372    alongside the installed libraries and executables.  For a static
3373    library installation, ossl_static.pdb is the associate compiler
3374    generated .pdb file to be used when linking programs.
3375
3376    *Richard Levitte*
3377
3378  * Remove openssl.spec.  Packaging files belong with the packagers.
3379
3380    *Richard Levitte*
3381
3382  * Automatic Darwin/OSX configuration has had a refresh, it will now
3383    recognise x86_64 architectures automatically.  You can still decide
3384    to build for a different bitness with the environment variable
3385    KERNEL_BITS (can be 32 or 64), for example:
3386
3387            KERNEL_BITS=32 ./config
3388
3389    *Richard Levitte*
3390
3391  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
3392    256 bit AES and HMAC with SHA256.
3393
3394    *Steve Henson*
3395
3396  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
3397
3398    *Andy Polyakov*
3399
3400  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
3401
3402    *Rich Salz*
3403
3404  * To enable users to have their own config files and build file templates,
3405    Configure looks in the directory indicated by the environment variable
3406    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
3407    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
3408    name and is used as is.
3409
3410    *Richard Levitte*
3411
3412  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
3413    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
3414    X509_CERT_FILE_CTX was removed.
3415
3416    *Rich Salz*
3417
3418  * "shared" builds are now the default. To create only static libraries use
3419    the "no-shared" Configure option.
3420
3421    *Matt Caswell*
3422
3423  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
3424    All of these option have not worked for some while and are fundamental
3425    algorithms.
3426
3427    *Matt Caswell*
3428
3429  * Make various cleanup routines no-ops and mark them as deprecated. Most
3430    global cleanup functions are no longer required because they are handled
3431    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
3432    Explicitly de-initing can cause problems (e.g. where a library that uses
3433    OpenSSL de-inits, but an application is still using it). The affected
3434    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
3435    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
3436    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
3437    COMP_zlib_cleanup().
3438
3439    *Matt Caswell*
3440
3441  * --strict-warnings no longer enables runtime debugging options
3442    such as REF_DEBUG. Instead, debug options are automatically
3443    enabled with '--debug' builds.
3444
3445    *Andy Polyakov, Emilia Käsper*
3446
3447  * Made DH and DH_METHOD opaque. The structures for managing DH objects
3448    have been moved out of the public header files. New functions for managing
3449    these have been added.
3450
3451    *Matt Caswell*
3452
3453  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
3454    objects have been moved out of the public header files. New
3455    functions for managing these have been added.
3456
3457    *Richard Levitte*
3458
3459  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
3460    have been moved out of the public header files. New functions for managing
3461    these have been added.
3462
3463    *Matt Caswell*
3464
3465  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
3466    moved out of the public header files. New functions for managing these
3467    have been added.
3468
3469    *Matt Caswell*
3470
3471  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
3472
3473    *Matt Caswell*
3474
3475  * Removed the mk1mf build scripts.
3476
3477    *Richard Levitte*
3478
3479  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
3480    it is always safe to #include a header now.
3481
3482    *Rich Salz*
3483
3484  * Removed the aged BC-32 config and all its supporting scripts
3485
3486    *Richard Levitte*
3487
3488  * Removed support for Ultrix, Netware, and OS/2.
3489
3490    *Rich Salz*
3491
3492  * Add support for HKDF.
3493
3494    *Alessandro Ghedini*
3495
3496  * Add support for blake2b and blake2s
3497
3498    *Bill Cox*
3499
3500  * Added support for "pipelining". Ciphers that have the
3501    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
3502    encryptions/decryptions simultaneously. There are currently no built-in
3503    ciphers with this property but the expectation is that engines will be able
3504    to offer it to significantly improve throughput. Support has been extended
3505    into libssl so that multiple records for a single connection can be
3506    processed in one go (for >=TLS 1.1).
3507
3508    *Matt Caswell*
3509
3510  * Added the AFALG engine. This is an async capable engine which is able to
3511    offload work to the Linux kernel. In this initial version it only supports
3512    AES128-CBC. The kernel must be version 4.1.0 or greater.
3513
3514    *Catriona Lucey*
3515
3516  * OpenSSL now uses a new threading API. It is no longer necessary to
3517    set locking callbacks to use OpenSSL in a multi-threaded environment. There
3518    are two supported threading models: pthreads and windows threads. It is
3519    also possible to configure OpenSSL at compile time for "no-threads". The
3520    old threading API should no longer be used. The functions have been
3521    replaced with "no-op" compatibility macros.
3522
3523    *Alessandro Ghedini, Matt Caswell*
3524
3525  * Modify behavior of ALPN to invoke callback after SNI/servername
3526    callback, such that updates to the SSL_CTX affect ALPN.
3527
3528    *Todd Short*
3529
3530  * Add SSL_CIPHER queries for authentication and key-exchange.
3531
3532    *Todd Short*
3533
3534  * Changes to the DEFAULT cipherlist:
3535    - Prefer (EC)DHE handshakes over plain RSA.
3536    - Prefer AEAD ciphers over legacy ciphers.
3537    - Prefer ECDSA over RSA when both certificates are available.
3538    - Prefer TLSv1.2 ciphers/PRF.
3539    - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
3540      default cipherlist.
3541
3542    *Emilia Käsper*
3543
3544  * Change the ECC default curve list to be this, in order: x25519,
3545    secp256r1, secp521r1, secp384r1.
3546
3547    *Rich Salz*
3548
3549  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
3550    disabled by default. They can be re-enabled using the
3551    enable-weak-ssl-ciphers option to Configure.
3552
3553    *Matt Caswell*
3554
3555  * If the server has ALPN configured, but supports no protocols that the
3556    client advertises, send a fatal "no_application_protocol" alert.
3557    This behaviour is SHALL in RFC 7301, though it isn't universally
3558    implemented by other servers.
3559
3560    *Emilia Käsper*
3561
3562  * Add X25519 support.
3563    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
3564    for public and private key encoding using the format documented in
3565    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
3566    key generation and key derivation.
3567
3568    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
3569    X25519(29).
3570
3571    *Steve Henson*
3572
3573  * Deprecate SRP_VBASE_get_by_user.
3574    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
3575    In order to fix an unavoidable memory leak ([CVE-2016-0798]),
3576    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
3577    seed, even if the seed is configured.
3578
3579    Users should use SRP_VBASE_get1_by_user instead. Note that in
3580    SRP_VBASE_get1_by_user, caller must free the returned value. Note
3581    also that even though configuring the SRP seed attempts to hide
3582    invalid usernames by continuing the handshake with fake
3583    credentials, this behaviour is not constant time and no strong
3584    guarantees are made that the handshake is indistinguishable from
3585    that of a valid user.
3586
3587    *Emilia Käsper*
3588
3589  * Configuration change; it's now possible to build dynamic engines
3590    without having to build shared libraries and vice versa.  This
3591    only applies to the engines in `engines/`, those in `crypto/engine/`
3592    will always be built into libcrypto (i.e. "static").
3593
3594    Building dynamic engines is enabled by default; to disable, use
3595    the configuration option "disable-dynamic-engine".
3596
3597    The only requirements for building dynamic engines are the
3598    presence of the DSO module and building with position independent
3599    code, so they will also automatically be disabled if configuring
3600    with "disable-dso" or "disable-pic".
3601
3602    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
3603    are also taken away from openssl/opensslconf.h, as they are
3604    irrelevant.
3605
3606    *Richard Levitte*
3607
3608  * Configuration change; if there is a known flag to compile
3609    position independent code, it will always be applied on the
3610    libcrypto and libssl object files, and never on the application
3611    object files.  This means other libraries that use routines from
3612    libcrypto / libssl can be made into shared libraries regardless
3613    of how OpenSSL was configured.
3614
3615    If this isn't desirable, the configuration options "disable-pic"
3616    or "no-pic" can be used to disable the use of PIC.  This will
3617    also disable building shared libraries and dynamic engines.
3618
3619    *Richard Levitte*
3620
3621  * Removed JPAKE code.  It was experimental and has no wide use.
3622
3623    *Rich Salz*
3624
3625  * The INSTALL_PREFIX Makefile variable has been renamed to
3626    DESTDIR.  That makes for less confusion on what this variable
3627    is for.  Also, the configuration option --install_prefix is
3628    removed.
3629
3630    *Richard Levitte*
3631
3632  * Heartbeat for TLS has been removed and is disabled by default
3633    for DTLS; configure with enable-heartbeats.  Code that uses the
3634    old #define's might need to be updated.
3635
3636    *Emilia Käsper, Rich Salz*
3637
3638  * Rename REF_CHECK to REF_DEBUG.
3639
3640    *Rich Salz*
3641
3642  * New "unified" build system
3643
3644    The "unified" build system is aimed to be a common system for all
3645    platforms we support.  With it comes new support for VMS.
3646
3647    This system builds supports building in a different directory tree
3648    than the source tree.  It produces one Makefile (for unix family
3649    or lookalikes), or one descrip.mms (for VMS).
3650
3651    The source of information to make the Makefile / descrip.mms is
3652    small files called 'build.info', holding the necessary
3653    information for each directory with source to compile, and a
3654    template in Configurations, like unix-Makefile.tmpl or
3655    descrip.mms.tmpl.
3656
3657    With this change, the library names were also renamed on Windows
3658    and on VMS.  They now have names that are closer to the standard
3659    on Unix, and include the major version number, and in certain
3660    cases, the architecture they are built for.  See "Notes on shared
3661    libraries" in INSTALL.
3662
3663    We rely heavily on the perl module Text::Template.
3664
3665    *Richard Levitte*
3666
3667  * Added support for auto-initialisation and de-initialisation of the library.
3668    OpenSSL no longer requires explicit init or deinit routines to be called,
3669    except in certain circumstances. See the OPENSSL_init_crypto() and
3670    OPENSSL_init_ssl() man pages for further information.
3671
3672    *Matt Caswell*
3673
3674  * The arguments to the DTLSv1_listen function have changed. Specifically the
3675    "peer" argument is now expected to be a BIO_ADDR object.
3676
3677  * Rewrite of BIO networking library. The BIO library lacked consistent
3678    support of IPv6, and adding it required some more extensive
3679    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
3680    which hold all types of addresses and chains of address information.
3681    It also introduces a new API, with functions like BIO_socket,
3682    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
3683    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
3684    have been adapted accordingly.
3685
3686    *Richard Levitte*
3687
3688  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
3689    the leading 0-byte.
3690
3691    *Emilia Käsper*
3692
3693  * CRIME protection: disable compression by default, even if OpenSSL is
3694    compiled with zlib enabled. Applications can still enable compression
3695    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
3696    using the SSL_CONF library to configure compression.
3697
3698    *Emilia Käsper*
3699
3700  * The signature of the session callback configured with
3701    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
3702    was explicitly marked as `const unsigned char*` instead of
3703    `unsigned char*`.
3704
3705    *Emilia Käsper*
3706
3707  * Always DPURIFY. Remove the use of uninitialized memory in the
3708    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
3709
3710    *Emilia Käsper*
3711
3712  * Removed many obsolete configuration items, including
3713       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
3714       MD2_CHAR, MD2_INT, MD2_LONG
3715       BF_PTR, BF_PTR2
3716       IDEA_SHORT, IDEA_LONG
3717       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
3718
3719    *Rich Salz, with advice from Andy Polyakov*
3720
3721  * Many BN internals have been moved to an internal header file.
3722
3723    *Rich Salz with help from Andy Polyakov*
3724
3725  * Configuration and writing out the results from it has changed.
3726    Files such as Makefile include/openssl/opensslconf.h and are now
3727    produced through general templates, such as Makefile.in and
3728    crypto/opensslconf.h.in and some help from the perl module
3729    Text::Template.
3730
3731    Also, the center of configuration information is no longer
3732    Makefile.  Instead, Configure produces a perl module in
3733    configdata.pm which holds most of the config data (in the hash
3734    table %config), the target data that comes from the target
3735    configuration in one of the `Configurations/*.conf` files (in
3736    %target).
3737
3738    *Richard Levitte*
3739
3740  * To clarify their intended purposes, the Configure options
3741    --prefix and --openssldir change their semantics, and become more
3742    straightforward and less interdependent.
3743
3744    --prefix shall be used exclusively to give the location INSTALLTOP
3745    where programs, scripts, libraries, include files and manuals are
3746    going to be installed.  The default is now /usr/local.
3747
3748    --openssldir shall be used exclusively to give the default
3749    location OPENSSLDIR where certificates, private keys, CRLs are
3750    managed.  This is also where the default openssl.cnf gets
3751    installed.
3752    If the directory given with this option is a relative path, the
3753    values of both the --prefix value and the --openssldir value will
3754    be combined to become OPENSSLDIR.
3755    The default for --openssldir is INSTALLTOP/ssl.
3756
3757    Anyone who uses --openssldir to specify where OpenSSL is to be
3758    installed MUST change to use --prefix instead.
3759
3760    *Richard Levitte*
3761
3762  * The GOST engine was out of date and therefore it has been removed. An up
3763    to date GOST engine is now being maintained in an external repository.
3764    See: <https://wiki.openssl.org/index.php/Binaries>. Libssl still retains
3765    support for GOST ciphersuites (these are only activated if a GOST engine
3766    is present).
3767
3768    *Matt Caswell*
3769
3770  * EGD is no longer supported by default; use enable-egd when
3771    configuring.
3772
3773    *Ben Kaduk and Rich Salz*
3774
3775  * The distribution now has Makefile.in files, which are used to
3776    create Makefile's when Configure is run.  *Configure must be run
3777    before trying to build now.*
3778
3779    *Rich Salz*
3780
3781  * The return value for SSL_CIPHER_description() for error conditions
3782    has changed.
3783
3784    *Rich Salz*
3785
3786  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
3787
3788    Obtaining and performing DNSSEC validation of TLSA records is
3789    the application's responsibility.  The application provides
3790    the TLSA records of its choice to OpenSSL, and these are then
3791    used to authenticate the peer.
3792
3793    The TLSA records need not even come from DNS.  They can, for
3794    example, be used to implement local end-entity certificate or
3795    trust-anchor "pinning", where the "pin" data takes the form
3796    of TLSA records, which can augment or replace verification
3797    based on the usual WebPKI public certification authorities.
3798
3799    *Viktor Dukhovni*
3800
3801  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
3802    continues to support deprecated interfaces in default builds.
3803    However, applications are strongly advised to compile their
3804    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
3805    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
3806    or the 1.1.0 releases.
3807
3808    In environments in which all applications have been ported to
3809    not use any deprecated interfaces OpenSSL's Configure script
3810    should be used with the --api=1.1.0 option to entirely remove
3811    support for the deprecated features from the library and
3812    unconditionally disable them in the installed headers.
3813    Essentially the same effect can be achieved with the "no-deprecated"
3814    argument to Configure, except that this will always restrict
3815    the build to just the latest API, rather than a fixed API
3816    version.
3817
3818    As applications are ported to future revisions of the API,
3819    they should update their compile-time OPENSSL_API_COMPAT define
3820    accordingly, but in most cases should be able to continue to
3821    compile with later releases.
3822
3823    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
3824    0x10000000L and 0x00908000L, respectively.  However those
3825    versions did not support the OPENSSL_API_COMPAT feature, and
3826    so applications are not typically tested for explicit support
3827    of just the undeprecated features of either release.
3828
3829    *Viktor Dukhovni*
3830
3831  * Add support for setting the minimum and maximum supported protocol.
3832    It can bet set via the SSL_set_min_proto_version() and
3833    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
3834    MaxProtocol.  It's recommended to use the new APIs to disable
3835    protocols instead of disabling individual protocols using
3836    SSL_set_options() or SSL_CONF's Protocol.  This change also
3837    removes support for disabling TLS 1.2 in the OpenSSL TLS
3838    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
3839
3840    *Kurt Roeckx*
3841
3842  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
3843
3844    *Andy Polyakov*
3845
3846  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
3847    and integrates ECDSA and ECDH functionality into EC. Implementations can
3848    now redirect key generation and no longer need to convert to or from
3849    ECDSA_SIG format.
3850
3851    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
3852    include the ec.h header file instead.
3853
3854    *Steve Henson*
3855
3856  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
3857    ciphers who are no longer supported and drops support the ephemeral RSA key
3858    exchange. The LOW ciphers currently doesn't have any ciphers in it.
3859
3860    *Kurt Roeckx*
3861
3862  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
3863    opaque.  For HMAC_CTX, the following constructors and destructors
3864    were added:
3865
3866        HMAC_CTX *HMAC_CTX_new(void);
3867        void HMAC_CTX_free(HMAC_CTX *ctx);
3868
3869    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
3870    destroy such methods has been added.  See EVP_MD_meth_new(3) and
3871    EVP_CIPHER_meth_new(3) for documentation.
3872
3873    Additional changes:
3874    1) `EVP_MD_CTX_cleanup()`, `EVP_CIPHER_CTX_cleanup()` and
3875       `HMAC_CTX_cleanup()` were removed. `HMAC_CTX_reset()` and
3876       `EVP_MD_CTX_reset()` should be called instead to reinitialise
3877       an already created structure.
3878    2) For consistency with the majority of our object creators and
3879       destructors, `EVP_MD_CTX_(create|destroy)` were renamed to
3880       `EVP_MD_CTX_(new|free)`.  The old names are retained as macros
3881       for deprecated builds.
3882
3883    *Richard Levitte*
3884
3885  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
3886    cryptographic operations to be performed asynchronously as long as an
3887    asynchronous capable engine is used. See the ASYNC_start_job() man page for
3888    further details. Libssl has also had this capability integrated with the
3889    introduction of the new mode SSL_MODE_ASYNC and associated error
3890    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
3891    pages. This work was developed in partnership with Intel Corp.
3892
3893    *Matt Caswell*
3894
3895  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
3896    always enabled now.  If you want to disable the support you should
3897    exclude it using the list of supported ciphers. This also means that the
3898    "-no_ecdhe" option has been removed from s_server.
3899
3900    *Kurt Roeckx*
3901
3902  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
3903    SSL_{CTX_}set1_curves() which can set a list.
3904
3905    *Kurt Roeckx*
3906
3907  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
3908    curve you want to support using SSL_{CTX_}set1_curves().
3909
3910    *Kurt Roeckx*
3911
3912  * State machine rewrite. The state machine code has been significantly
3913    refactored in order to remove much duplication of code and solve issues
3914    with the old code (see [ssl/statem/README.md](ssl/statem/README.md) for
3915    further details). This change does have some associated API changes.
3916    Notably the SSL_state() function has been removed and replaced by
3917    SSL_get_state which now returns an "OSSL_HANDSHAKE_STATE" instead of an int.
3918    SSL_set_state() has been removed altogether. The previous handshake states
3919    defined in ssl.h and ssl3.h have also been removed.
3920
3921    *Matt Caswell*
3922
3923  * All instances of the string "ssleay" in the public API were replaced
3924    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
3925    Some error codes related to internal RSA_eay API's were renamed.
3926
3927    *Rich Salz*
3928
3929  * The demo files in crypto/threads were moved to demo/threads.
3930
3931    *Rich Salz*
3932
3933  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
3934    sureware and ubsec.
3935
3936    *Matt Caswell, Rich Salz*
3937
3938  * New ASN.1 embed macro.
3939
3940    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
3941    structure is not allocated: it is part of the parent. That is instead of
3942
3943            FOO *x;
3944
3945    it must be:
3946
3947            FOO x;
3948
3949    This reduces memory fragmentation and make it impossible to accidentally
3950    set a mandatory field to NULL.
3951
3952    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3953    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3954    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3955    SEQUENCE OF.
3956
3957    *Steve Henson*
3958
3959  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3960
3961    *Emilia Käsper*
3962
3963  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3964    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3965    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3966    DES and RC4 ciphersuites.
3967
3968    *Matt Caswell*
3969
3970  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3971    This changes the decoding behaviour for some invalid messages,
3972    though the change is mostly in the more lenient direction, and
3973    legacy behaviour is preserved as much as possible.
3974
3975    *Emilia Käsper*
3976
3977  * Fix no-stdio build.
3978    *David Woodhouse <David.Woodhouse@intel.com> and also*
3979    *Ivan Nestlerode <ivan.nestlerode@sonos.com>*
3980
3981  * New testing framework
3982    The testing framework has been largely rewritten and is now using
3983    perl and the perl modules Test::Harness and an extended variant of
3984    Test::More called OpenSSL::Test to do its work.  All test scripts in
3985    test/ have been rewritten into test recipes, and all direct calls to
3986    executables in test/Makefile have become individual recipes using the
3987    simplified testing OpenSSL::Test::Simple.
3988
3989    For documentation on our testing modules, do:
3990
3991            perldoc test/testlib/OpenSSL/Test/Simple.pm
3992            perldoc test/testlib/OpenSSL/Test.pm
3993
3994    *Richard Levitte*
3995
3996  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3997    are used; the latter aborts on memory leaks (usually checked on exit).
3998    Some undocumented "set malloc, etc., hooks" functions were removed
3999    and others were changed.  All are now documented.
4000
4001    *Rich Salz*
4002
4003  * In DSA_generate_parameters_ex, if the provided seed is too short,
4004    return an error
4005
4006    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
4007
4008  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
4009    from RFC4279, RFC4785, RFC5487, RFC5489.
4010
4011    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
4012    original RSA_PSK patch.
4013
4014    *Steve Henson*
4015
4016  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
4017    era flag was never set throughout the codebase (only read). Also removed
4018    SSL3_FLAGS_POP_BUFFER which was only used if
4019    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
4020
4021    *Matt Caswell*
4022
4023  * Changed the default name options in the "ca", "crl", "req" and "x509"
4024    to be "oneline" instead of "compat".
4025
4026    *Richard Levitte*
4027
4028  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
4029    not aware of clients that still exhibit this bug, and the workaround
4030    hasn't been working properly for a while.
4031
4032    *Emilia Käsper*
4033
4034  * The return type of BIO_number_read() and BIO_number_written() as well as
4035    the corresponding num_read and num_write members in the BIO structure has
4036    changed from unsigned long to uint64_t. On platforms where an unsigned
4037    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
4038    transferred.
4039
4040    *Matt Caswell*
4041
4042  * Given the pervasive nature of TLS extensions it is inadvisable to run
4043    OpenSSL without support for them. It also means that maintaining
4044    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
4045    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
4046
4047    *Matt Caswell*
4048
4049  * Removed support for the two export grade static DH ciphersuites
4050    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
4051    were newly added (along with a number of other static DH ciphersuites) to
4052    1.0.2. However the two export ones have *never* worked since they were
4053    introduced. It seems strange in any case to be adding new export
4054    ciphersuites, and given "logjam" it also does not seem correct to fix them.
4055
4056    *Matt Caswell*
4057
4058  * Version negotiation has been rewritten. In particular SSLv23_method(),
4059    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
4060    and turned into macros which simply call the new preferred function names
4061    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
4062    should use the new names instead. Also as part of this change the ssl23.h
4063    header file has been removed.
4064
4065    *Matt Caswell*
4066
4067  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
4068    code and the associated standard is no longer considered fit-for-purpose.
4069
4070    *Matt Caswell*
4071
4072  * RT2547 was closed.  When generating a private key, try to make the
4073    output file readable only by the owner.  This behavior change might
4074    be noticeable when interacting with other software.
4075
4076  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
4077    Added a test.
4078
4079    *Rich Salz*
4080
4081  * Added HTTP GET support to the ocsp command.
4082
4083    *Rich Salz*
4084
4085  * Changed default digest for the dgst and enc commands from MD5 to
4086    sha256
4087
4088    *Rich Salz*
4089
4090  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
4091
4092    *Matt Caswell*
4093
4094  * Added support for TLS extended master secret from
4095    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
4096    initial patch which was a great help during development.
4097
4098    *Steve Henson*
4099
4100  * All libssl internal structures have been removed from the public header
4101    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
4102    now redundant). Users should not attempt to access internal structures
4103    directly. Instead they should use the provided API functions.
4104
4105    *Matt Caswell*
4106
4107  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
4108    Access to deprecated functions can be re-enabled by running config with
4109    "enable-deprecated". In addition applications wishing to use deprecated
4110    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
4111    will, by default, disable some transitive includes that previously existed
4112    in the header files (e.g. ec.h will no longer, by default, include bn.h)
4113
4114    *Matt Caswell*
4115
4116  * Added support for OCB mode. OpenSSL has been granted a patent license
4117    compatible with the OpenSSL license for use of OCB. Details are available
4118    at <https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf>. Support
4119    for OCB can be removed by calling config with no-ocb.
4120
4121    *Matt Caswell*
4122
4123  * SSLv2 support has been removed.  It still supports receiving a SSLv2
4124    compatible client hello.
4125
4126    *Kurt Roeckx*
4127
4128  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
4129    done while fixing the error code for the key-too-small case.
4130
4131    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
4132
4133  * CA.sh has been removed; use CA.pl instead.
4134
4135    *Rich Salz*
4136
4137  * Removed old DES API.
4138
4139    *Rich Salz*
4140
4141  * Remove various unsupported platforms:
4142       Sony NEWS4
4143       BEOS and BEOS_R5
4144       NeXT
4145       SUNOS
4146       MPE/iX
4147       Sinix/ReliantUNIX RM400
4148       DGUX
4149       NCR
4150       Tandem
4151       Cray
4152       16-bit platforms such as WIN16
4153
4154    *Rich Salz*
4155
4156  * Clean up OPENSSL_NO_xxx #define's
4157    - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
4158    - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
4159    - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
4160    - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
4161    - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
4162    - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
4163      OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
4164      OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
4165      OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
4166    - Remove MS_STATIC; it's a relic from platforms <32 bits.
4167
4168    *Rich Salz*
4169
4170  * Cleaned up dead code
4171      Remove all but one '#ifdef undef' which is to be looked at.
4172
4173    *Rich Salz*
4174
4175  * Clean up calling of xxx_free routines.
4176       Just like free(), fix most of the xxx_free routines to accept
4177       NULL.  Remove the non-null checks from callers.  Save much code.
4178
4179    *Rich Salz*
4180
4181  * Add secure heap for storage of private keys (when possible).
4182    Add BIO_s_secmem(), CBIGNUM, etc.
4183    Contributed by Akamai Technologies under our Corporate CLA.
4184
4185    *Rich Salz*
4186
4187  * Experimental support for a new, fast, unbiased prime candidate generator,
4188    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
4189
4190    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
4191
4192  * New output format NSS in the sess_id command line tool. This allows
4193    exporting the session id and the master key in NSS keylog format.
4194
4195    *Martin Kaiser <martin@kaiser.cx>*
4196
4197  * Harmonize version and its documentation. -f flag is used to display
4198    compilation flags.
4199
4200    *mancha <mancha1@zoho.com>*
4201
4202  * Fix eckey_priv_encode so it immediately returns an error upon a failure
4203    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
4204
4205    *mancha <mancha1@zoho.com>*
4206
4207  * Fix some double frees. These are not thought to be exploitable.
4208
4209    *mancha <mancha1@zoho.com>*
4210
4211  * A missing bounds check in the handling of the TLS heartbeat extension
4212    can be used to reveal up to 64k of memory to a connected client or
4213    server.
4214
4215    Thanks for Neel Mehta of Google Security for discovering this bug and to
4216    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
4217    preparing the fix ([CVE-2014-0160])
4218
4219    *Adam Langley, Bodo Moeller*
4220
4221  * Fix for the attack described in the paper "Recovering OpenSSL
4222    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
4223    by Yuval Yarom and Naomi Benger. Details can be obtained from:
4224    <http://eprint.iacr.org/2014/140>
4225
4226    Thanks to Yuval Yarom and Naomi Benger for discovering this
4227    flaw and to Yuval Yarom for supplying a fix ([CVE-2014-0076])
4228
4229    *Yuval Yarom and Naomi Benger*
4230
4231  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
4232    this fixes a limitation in previous versions of OpenSSL.
4233
4234    *Steve Henson*
4235
4236  * Experimental encrypt-then-mac support.
4237
4238    Experimental support for encrypt then mac from
4239    draft-gutmann-tls-encrypt-then-mac-02.txt
4240
4241    To enable it set the appropriate extension number (0x42 for the test
4242    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
4243
4244    For non-compliant peers (i.e. just about everything) this should have no
4245    effect.
4246
4247    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
4248
4249    *Steve Henson*
4250
4251  * Add EVP support for key wrapping algorithms, to avoid problems with
4252    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
4253    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
4254    algorithms and include tests cases.
4255
4256    *Steve Henson*
4257
4258  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
4259    enveloped data.
4260
4261    *Steve Henson*
4262
4263  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
4264    MGF1 digest and OAEP label.
4265
4266    *Steve Henson*
4267
4268  * Make openssl verify return errors.
4269
4270    *Chris Palmer <palmer@google.com> and Ben Laurie*
4271
4272  * New function ASN1_TIME_diff to calculate the difference between two
4273    ASN1_TIME structures or one structure and the current time.
4274
4275    *Steve Henson*
4276
4277  * Update fips_test_suite to support multiple command line options. New
4278    test to induce all self test errors in sequence and check expected
4279    failures.
4280
4281    *Steve Henson*
4282
4283  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
4284    sign or verify all in one operation.
4285
4286    *Steve Henson*
4287
4288  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
4289    test programs and fips_test_suite. Includes functionality to parse
4290    the minimal script output of fipsalgest.pl directly.
4291
4292    *Steve Henson*
4293
4294  * Add authorisation parameter to FIPS_module_mode_set().
4295
4296    *Steve Henson*
4297
4298  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
4299
4300    *Steve Henson*
4301
4302  * Use separate DRBG fields for internal and external flags. New function
4303    FIPS_drbg_health_check() to perform on demand health checking. Add
4304    generation tests to fips_test_suite with reduced health check interval to
4305    demonstrate periodic health checking. Add "nodh" option to
4306    fips_test_suite to skip very slow DH test.
4307
4308    *Steve Henson*
4309
4310  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
4311    based on NID.
4312
4313    *Steve Henson*
4314
4315  * More extensive health check for DRBG checking many more failure modes.
4316    New function FIPS_selftest_drbg_all() to handle every possible DRBG
4317    combination: call this in fips_test_suite.
4318
4319    *Steve Henson*
4320
4321  * Add support for canonical generation of DSA parameter 'g'. See
4322    FIPS 186-3 A.2.3.
4323
4324  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
4325    POST to handle HMAC cases.
4326
4327    *Steve Henson*
4328
4329  * Add functions FIPS_module_version() and FIPS_module_version_text()
4330    to return numerical and string versions of the FIPS module number.
4331
4332    *Steve Henson*
4333
4334  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
4335    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
4336    outside the validated module in the FIPS capable OpenSSL.
4337
4338    *Steve Henson*
4339
4340  * Minor change to DRBG entropy callback semantics. In some cases
4341    there is no multiple of the block length between min_len and
4342    max_len. Allow the callback to return more than max_len bytes
4343    of entropy but discard any extra: it is the callback's responsibility
4344    to ensure that the extra data discarded does not impact the
4345    requested amount of entropy.
4346
4347    *Steve Henson*
4348
4349  * Add PRNG security strength checks to RSA, DSA and ECDSA using
4350    information in FIPS186-3, SP800-57 and SP800-131A.
4351
4352    *Steve Henson*
4353
4354  * CCM support via EVP. Interface is very similar to GCM case except we
4355    must supply all data in one chunk (i.e. no update, final) and the
4356    message length must be supplied if AAD is used. Add algorithm test
4357    support.
4358
4359    *Steve Henson*
4360
4361  * Initial version of POST overhaul. Add POST callback to allow the status
4362    of POST to be monitored and/or failures induced. Modify fips_test_suite
4363    to use callback. Always run all selftests even if one fails.
4364
4365    *Steve Henson*
4366
4367  * XTS support including algorithm test driver in the fips_gcmtest program.
4368    Note: this does increase the maximum key length from 32 to 64 bytes but
4369    there should be no binary compatibility issues as existing applications
4370    will never use XTS mode.
4371
4372    *Steve Henson*
4373
4374  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
4375    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
4376    performs algorithm blocking for unapproved PRNG types. Also do not
4377    set PRNG type in FIPS_mode_set(): leave this to the application.
4378    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
4379    the standard OpenSSL PRNG: set additional data to a date time vector.
4380
4381    *Steve Henson*
4382
4383  * Rename old X9.31 PRNG functions of the form `FIPS_rand*` to `FIPS_x931*`.
4384    This shouldn't present any incompatibility problems because applications
4385    shouldn't be using these directly and any that are will need to rethink
4386    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
4387
4388    *Steve Henson*
4389
4390  * Extensive self tests and health checking required by SP800-90 DRBG.
4391    Remove strength parameter from FIPS_drbg_instantiate and always
4392    instantiate at maximum supported strength.
4393
4394    *Steve Henson*
4395
4396  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
4397
4398    *Steve Henson*
4399
4400  * New algorithm test program fips_dhvs to handle DH primitives only testing.
4401
4402    *Steve Henson*
4403
4404  * New function DH_compute_key_padded() to compute a DH key and pad with
4405    leading zeroes if needed: this complies with SP800-56A et al.
4406
4407    *Steve Henson*
4408
4409  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
4410    anything, incomplete, subject to change and largely untested at present.
4411
4412    *Steve Henson*
4413
4414  * Modify fipscanisteronly build option to only build the necessary object
4415    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
4416
4417    *Steve Henson*
4418
4419  * Add experimental option FIPSSYMS to give all symbols in
4420    fipscanister.o and FIPS or fips prefix. This will avoid
4421    conflicts with future versions of OpenSSL. Add perl script
4422    util/fipsas.pl to preprocess assembly language source files
4423    and rename any affected symbols.
4424
4425    *Steve Henson*
4426
4427  * Add selftest checks and algorithm block of non-fips algorithms in
4428    FIPS mode. Remove DES2 from selftests.
4429
4430    *Steve Henson*
4431
4432  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
4433    return internal method without any ENGINE dependencies. Add new
4434    tiny fips sign and verify functions.
4435
4436    *Steve Henson*
4437
4438  * New build option no-ec2m to disable characteristic 2 code.
4439
4440    *Steve Henson*
4441
4442  * New build option "fipscanisteronly". This only builds fipscanister.o
4443    and (currently) associated fips utilities. Uses the file Makefile.fips
4444    instead of Makefile.org as the prototype.
4445
4446    *Steve Henson*
4447
4448  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
4449    Update fips_gcmtest to use IV generator.
4450
4451    *Steve Henson*
4452
4453  * Initial, experimental EVP support for AES-GCM. AAD can be input by
4454    setting output buffer to NULL. The `*Final` function must be
4455    called although it will not retrieve any additional data. The tag
4456    can be set or retrieved with a ctrl. The IV length is by default 12
4457    bytes (96 bits) but can be set to an alternative value. If the IV
4458    length exceeds the maximum IV length (currently 16 bytes) it cannot be
4459    set before the key.
4460
4461    *Steve Henson*
4462
4463  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
4464    underlying do_cipher function handles all cipher semantics itself
4465    including padding and finalisation. This is useful if (for example)
4466    an ENGINE cipher handles block padding itself. The behaviour of
4467    do_cipher is subtly changed if this flag is set: the return value
4468    is the number of characters written to the output buffer (zero is
4469    no longer an error code) or a negative error code. Also if the
4470    input buffer is NULL and length 0 finalisation should be performed.
4471
4472    *Steve Henson*
4473
4474  * If a candidate issuer certificate is already part of the constructed
4475    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
4476
4477    *Steve Henson*
4478
4479  * Improve forward-security support: add functions
4480
4481            void SSL_CTX_set_not_resumable_session_callback(
4482                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
4483            void SSL_set_not_resumable_session_callback(
4484                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
4485
4486    for use by SSL/TLS servers; the callback function will be called whenever a
4487    new session is created, and gets to decide whether the session may be
4488    cached to make it resumable (return 0) or not (return 1).  (As by the
4489    SSL/TLS protocol specifications, the session_id sent by the server will be
4490    empty to indicate that the session is not resumable; also, the server will
4491    not generate RFC 4507 (RFC 5077) session tickets.)
4492
4493    A simple reasonable callback implementation is to return is_forward_secure.
4494    This parameter will be set to 1 or 0 depending on the ciphersuite selected
4495    by the SSL/TLS server library, indicating whether it can provide forward
4496    security.
4497
4498    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
4499
4500  * New -verify_name option in command line utilities to set verification
4501    parameters by name.
4502
4503    *Steve Henson*
4504
4505  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
4506    Add CMAC pkey methods.
4507
4508    *Steve Henson*
4509
4510  * Experimental renegotiation in s_server -www mode. If the client
4511    browses /reneg connection is renegotiated. If /renegcert it is
4512    renegotiated requesting a certificate.
4513
4514    *Steve Henson*
4515
4516  * Add an "external" session cache for debugging purposes to s_server. This
4517    should help trace issues which normally are only apparent in deployed
4518    multi-process servers.
4519
4520    *Steve Henson*
4521
4522  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
4523    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
4524    BIO_set_cipher() and some obscure PEM functions were changed so they
4525    can now return an error. The RAND changes required a change to the
4526    RAND_METHOD structure.
4527
4528    *Steve Henson*
4529
4530  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
4531    a gcc attribute to warn if the result of a function is ignored. This
4532    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
4533    whose return value is often ignored.
4534
4535    *Steve Henson*
4536
4537  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
4538    These allow SCTs (signed certificate timestamps) to be requested and
4539    validated when establishing a connection.
4540
4541    *Rob Percival <robpercival@google.com>*
4542
4543 OpenSSL 1.0.2
4544 -------------
4545
4546 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019]
4547
4548  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
4549    used even when parsing explicit parameters, when loading a encoded key
4550    or calling `EC_GROUP_new_from_ecpkparameters()`/
4551    `EC_GROUP_new_from_ecparameters()`.
4552    This prevents bypass of security hardening and performance gains,
4553    especially for curves with specialized EC_METHODs.
4554    By default, if a key encoded with explicit parameters is loaded and later
4555    encoded, the output is still encoded with explicit parameters, even if
4556    internally a "named" EC_GROUP is used for computation.
4557
4558    *Nicola Tuveri*
4559
4560  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
4561    this change, EC_GROUP_set_generator would accept order and/or cofactor as
4562    NULL. After this change, only the cofactor parameter can be NULL. It also
4563    does some minimal sanity checks on the passed order.
4564    ([CVE-2019-1547])
4565
4566    *Billy Bob Brumley*
4567
4568  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
4569    An attack is simple, if the first CMS_recipientInfo is valid but the
4570    second CMS_recipientInfo is chosen ciphertext. If the second
4571    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
4572    encryption key will be replaced by garbage, and the message cannot be
4573    decoded, but if the RSA decryption fails, the correct encryption key is
4574    used and the recipient will not notice the attack.
4575    As a work around for this potential attack the length of the decrypted
4576    key must be equal to the cipher default key length, in case the
4577    certifiate is not given and all recipientInfo are tried out.
4578    The old behaviour can be re-enabled in the CMS code by setting the
4579    CMS_DEBUG_DECRYPT flag.
4580    ([CVE-2019-1563])
4581
4582    *Bernd Edlinger*
4583
4584  * Document issue with installation paths in diverse Windows builds
4585
4586    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
4587    binaries and run-time config file.
4588    ([CVE-2019-1552])
4589
4590    *Richard Levitte*
4591
4592 ### Changes between 1.0.2r and 1.0.2s [28 May 2019]
4593
4594  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
4595    This changes the size when using the `genpkey` command when no size is given.
4596    It fixes an omission in earlier changes that changed all RSA, DSA and DH
4597    generation commands to use 2048 bits by default.
4598
4599    *Kurt Roeckx*
4600
4601  * Add FIPS support for Android Arm 64-bit
4602
4603    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
4604    Module in Version 2.0.10. For some reason, the corresponding target
4605    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
4606    built with FIPS support on Android Arm 64-bit. This omission has been
4607    fixed.
4608
4609    *Matthias St. Pierre*
4610
4611 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019]
4612
4613  * 0-byte record padding oracle
4614
4615    If an application encounters a fatal protocol error and then calls
4616    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
4617    then OpenSSL can respond differently to the calling application if a 0 byte
4618    record is received with invalid padding compared to if a 0 byte record is
4619    received with an invalid MAC. If the application then behaves differently
4620    based on that in a way that is detectable to the remote peer, then this
4621    amounts to a padding oracle that could be used to decrypt data.
4622
4623    In order for this to be exploitable "non-stitched" ciphersuites must be in
4624    use. Stitched ciphersuites are optimised implementations of certain
4625    commonly used ciphersuites. Also the application must call SSL_shutdown()
4626    twice even if a protocol error has occurred (applications should not do
4627    this but some do anyway).
4628
4629    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
4630    Aviram, with additional investigation by Steven Collison and Andrew
4631    Hourselt. It was reported to OpenSSL on 10th December 2018.
4632    ([CVE-2019-1559])
4633
4634    *Matt Caswell*
4635
4636  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
4637
4638    *Richard Levitte*
4639
4640 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018]
4641
4642  * Microarchitecture timing vulnerability in ECC scalar multiplication
4643
4644    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
4645    shown to be vulnerable to a microarchitecture timing side channel attack.
4646    An attacker with sufficient access to mount local timing attacks during
4647    ECDSA signature generation could recover the private key.
4648
4649    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
4650    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
4651    Nicola Tuveri.
4652    ([CVE-2018-5407])
4653
4654    *Billy Brumley*
4655
4656  * Timing vulnerability in DSA signature generation
4657
4658    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
4659    timing side channel attack. An attacker could use variations in the signing
4660    algorithm to recover the private key.
4661
4662    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
4663    ([CVE-2018-0734])
4664
4665    *Paul Dale*
4666
4667  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
4668    Module, accidentally introduced while backporting security fixes from the
4669    development branch and hindering the use of ECC in FIPS mode.
4670
4671    *Nicola Tuveri*
4672
4673 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018]
4674
4675  * Client DoS due to large DH parameter
4676
4677    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
4678    malicious server can send a very large prime value to the client. This will
4679    cause the client to spend an unreasonably long period of time generating a
4680    key for this prime resulting in a hang until the client has finished. This
4681    could be exploited in a Denial Of Service attack.
4682
4683    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
4684    ([CVE-2018-0732])
4685
4686    *Guido Vranken*
4687
4688  * Cache timing vulnerability in RSA Key Generation
4689
4690    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
4691    a cache timing side channel attack. An attacker with sufficient access to
4692    mount cache timing attacks during the RSA key generation process could
4693    recover the private key.
4694
4695    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
4696    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
4697    ([CVE-2018-0737])
4698
4699    *Billy Brumley*
4700
4701  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
4702    parameter is no longer accepted, as it leads to a corrupt table.  NULL
4703    pem_str is reserved for alias entries only.
4704
4705    *Richard Levitte*
4706
4707  * Revert blinding in ECDSA sign and instead make problematic addition
4708    length-invariant. Switch even to fixed-length Montgomery multiplication.
4709
4710    *Andy Polyakov*
4711
4712  * Change generating and checking of primes so that the error rate of not
4713    being prime depends on the intended use based on the size of the input.
4714    For larger primes this will result in more rounds of Miller-Rabin.
4715    The maximal error rate for primes with more than 1080 bits is lowered
4716    to 2^-128.
4717
4718    *Kurt Roeckx, Annie Yousar*
4719
4720  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
4721
4722    *Kurt Roeckx*
4723
4724  * Add blinding to ECDSA and DSA signatures to protect against side channel
4725    attacks discovered by Keegan Ryan (NCC Group).
4726
4727    *Matt Caswell*
4728
4729  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
4730    now allow empty (zero character) pass phrases.
4731
4732    *Richard Levitte*
4733
4734  * Certificate time validation (X509_cmp_time) enforces stricter
4735    compliance with RFC 5280. Fractional seconds and timezone offsets
4736    are no longer allowed.
4737
4738    *Emilia Käsper*
4739
4740 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018]
4741
4742  * Constructed ASN.1 types with a recursive definition could exceed the stack
4743
4744    Constructed ASN.1 types with a recursive definition (such as can be found
4745    in PKCS7) could eventually exceed the stack given malicious input with
4746    excessive recursion. This could result in a Denial Of Service attack. There
4747    are no such structures used within SSL/TLS that come from untrusted sources
4748    so this is considered safe.
4749
4750    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
4751    project.
4752    ([CVE-2018-0739])
4753
4754    *Matt Caswell*
4755
4756 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017]
4757
4758  * Read/write after SSL object in error state
4759
4760    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
4761    mechanism. The intent was that if a fatal error occurred during a handshake
4762    then OpenSSL would move into the error state and would immediately fail if
4763    you attempted to continue the handshake. This works as designed for the
4764    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
4765    SSL_connect()), however due to a bug it does not work correctly if
4766    SSL_read() or SSL_write() is called directly. In that scenario, if the
4767    handshake fails then a fatal error will be returned in the initial function
4768    call. If SSL_read()/SSL_write() is subsequently called by the application
4769    for the same SSL object then it will succeed and the data is passed without
4770    being decrypted/encrypted directly from the SSL/TLS record layer.
4771
4772    In order to exploit this issue an application bug would have to be present
4773    that resulted in a call to SSL_read()/SSL_write() being issued after having
4774    already received a fatal error.
4775
4776    This issue was reported to OpenSSL by David Benjamin (Google).
4777    ([CVE-2017-3737])
4778
4779    *Matt Caswell*
4780
4781  * rsaz_1024_mul_avx2 overflow bug on x86_64
4782
4783    There is an overflow bug in the AVX2 Montgomery multiplication procedure
4784    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
4785    Analysis suggests that attacks against RSA and DSA as a result of this
4786    defect would be very difficult to perform and are not believed likely.
4787    Attacks against DH1024 are considered just feasible, because most of the
4788    work necessary to deduce information about a private key may be performed
4789    offline. The amount of resources required for such an attack would be
4790    significant. However, for an attack on TLS to be meaningful, the server
4791    would have to share the DH1024 private key among multiple clients, which is
4792    no longer an option since CVE-2016-0701.
4793
4794    This only affects processors that support the AVX2 but not ADX extensions
4795    like Intel Haswell (4th generation).
4796
4797    This issue was reported to OpenSSL by David Benjamin (Google). The issue
4798    was originally found via the OSS-Fuzz project.
4799    ([CVE-2017-3738])
4800
4801    *Andy Polyakov*
4802
4803 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017]
4804
4805  * bn_sqrx8x_internal carry bug on x86_64
4806
4807    There is a carry propagating bug in the x86_64 Montgomery squaring
4808    procedure. No EC algorithms are affected. Analysis suggests that attacks
4809    against RSA and DSA as a result of this defect would be very difficult to
4810    perform and are not believed likely. Attacks against DH are considered just
4811    feasible (although very difficult) because most of the work necessary to
4812    deduce information about a private key may be performed offline. The amount
4813    of resources required for such an attack would be very significant and
4814    likely only accessible to a limited number of attackers. An attacker would
4815    additionally need online access to an unpatched system using the target
4816    private key in a scenario with persistent DH parameters and a private
4817    key that is shared between multiple clients.
4818
4819    This only affects processors that support the BMI1, BMI2 and ADX extensions
4820    like Intel Broadwell (5th generation) and later or AMD Ryzen.
4821
4822    This issue was reported to OpenSSL by the OSS-Fuzz project.
4823    ([CVE-2017-3736])
4824
4825    *Andy Polyakov*
4826
4827  * Malformed X.509 IPAddressFamily could cause OOB read
4828
4829    If an X.509 certificate has a malformed IPAddressFamily extension,
4830    OpenSSL could do a one-byte buffer overread. The most likely result
4831    would be an erroneous display of the certificate in text format.
4832
4833    This issue was reported to OpenSSL by the OSS-Fuzz project.
4834    ([CVE-2017-3735])
4835
4836    *Rich Salz*
4837
4838 ### Changes between 1.0.2k and 1.0.2l [25 May 2017]
4839
4840  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
4841    platform rather than 'mingw'.
4842
4843    *Richard Levitte*
4844
4845 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017]
4846
4847  * Truncated packet could crash via OOB read
4848
4849    If one side of an SSL/TLS path is running on a 32-bit host and a specific
4850    cipher is being used, then a truncated packet can cause that host to
4851    perform an out-of-bounds read, usually resulting in a crash.
4852
4853    This issue was reported to OpenSSL by Robert Święcki of Google.
4854    ([CVE-2017-3731])
4855
4856    *Andy Polyakov*
4857
4858  * BN_mod_exp may produce incorrect results on x86_64
4859
4860    There is a carry propagating bug in the x86_64 Montgomery squaring
4861    procedure. No EC algorithms are affected. Analysis suggests that attacks
4862    against RSA and DSA as a result of this defect would be very difficult to
4863    perform and are not believed likely. Attacks against DH are considered just
4864    feasible (although very difficult) because most of the work necessary to
4865    deduce information about a private key may be performed offline. The amount
4866    of resources required for such an attack would be very significant and
4867    likely only accessible to a limited number of attackers. An attacker would
4868    additionally need online access to an unpatched system using the target
4869    private key in a scenario with persistent DH parameters and a private
4870    key that is shared between multiple clients. For example this can occur by
4871    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
4872    similar to CVE-2015-3193 but must be treated as a separate problem.
4873
4874    This issue was reported to OpenSSL by the OSS-Fuzz project.
4875    ([CVE-2017-3732])
4876
4877    *Andy Polyakov*
4878
4879  * Montgomery multiplication may produce incorrect results
4880
4881    There is a carry propagating bug in the Broadwell-specific Montgomery
4882    multiplication procedure that handles input lengths divisible by, but
4883    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
4884    and DH private keys are impossible. This is because the subroutine in
4885    question is not used in operations with the private key itself and an input
4886    of the attacker's direct choice. Otherwise the bug can manifest itself as
4887    transient authentication and key negotiation failures or reproducible
4888    erroneous outcome of public-key operations with specially crafted input.
4889    Among EC algorithms only Brainpool P-512 curves are affected and one
4890    presumably can attack ECDH key negotiation. Impact was not analyzed in
4891    detail, because pre-requisites for attack are considered unlikely. Namely
4892    multiple clients have to choose the curve in question and the server has to
4893    share the private key among them, neither of which is default behaviour.
4894    Even then only clients that chose the curve will be affected.
4895
4896    This issue was publicly reported as transient failures and was not
4897    initially recognized as a security issue. Thanks to Richard Morgan for
4898    providing reproducible case.
4899    ([CVE-2016-7055])
4900
4901    *Andy Polyakov*
4902
4903  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
4904    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
4905    prevent issues where no progress is being made and the peer continually
4906    sends unrecognised record types, using up resources processing them.
4907
4908    *Matt Caswell*
4909
4910 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016]
4911
4912  * Missing CRL sanity check
4913
4914    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
4915    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
4916    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
4917
4918    This issue only affects the OpenSSL 1.0.2i
4919    ([CVE-2016-7052])
4920
4921    *Matt Caswell*
4922
4923 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016]
4924
4925  * OCSP Status Request extension unbounded memory growth
4926
4927    A malicious client can send an excessively large OCSP Status Request
4928    extension. If that client continually requests renegotiation, sending a
4929    large OCSP Status Request extension each time, then there will be unbounded
4930    memory growth on the server. This will eventually lead to a Denial Of
4931    Service attack through memory exhaustion. Servers with a default
4932    configuration are vulnerable even if they do not support OCSP. Builds using
4933    the "no-ocsp" build time option are not affected.
4934
4935    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4936    ([CVE-2016-6304])
4937
4938    *Matt Caswell*
4939
4940  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
4941    HIGH to MEDIUM.
4942
4943    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
4944    Leurent (INRIA)
4945    ([CVE-2016-2183])
4946
4947    *Rich Salz*
4948
4949  * OOB write in MDC2_Update()
4950
4951    An overflow can occur in MDC2_Update() either if called directly or
4952    through the EVP_DigestUpdate() function using MDC2. If an attacker
4953    is able to supply very large amounts of input data after a previous
4954    call to EVP_EncryptUpdate() with a partial block then a length check
4955    can overflow resulting in a heap corruption.
4956
4957    The amount of data needed is comparable to SIZE_MAX which is impractical
4958    on most platforms.
4959
4960    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4961    ([CVE-2016-6303])
4962
4963    *Stephen Henson*
4964
4965  * Malformed SHA512 ticket DoS
4966
4967    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4968    DoS attack where a malformed ticket will result in an OOB read which will
4969    ultimately crash.
4970
4971    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4972    a custom server callback and ticket lookup mechanism.
4973
4974    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4975    ([CVE-2016-6302])
4976
4977    *Stephen Henson*
4978
4979  * OOB write in BN_bn2dec()
4980
4981    The function BN_bn2dec() does not check the return value of BN_div_word().
4982    This can cause an OOB write if an application uses this function with an
4983    overly large BIGNUM. This could be a problem if an overly large certificate
4984    or CRL is printed out from an untrusted source. TLS is not affected because
4985    record limits will reject an oversized certificate before it is parsed.
4986
4987    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4988    ([CVE-2016-2182])
4989
4990    *Stephen Henson*
4991
4992  * OOB read in TS_OBJ_print_bio()
4993
4994    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4995    the total length the OID text representation would use and not the amount
4996    of data written. This will result in OOB reads when large OIDs are
4997    presented.
4998
4999    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
5000    ([CVE-2016-2180])
5001
5002    *Stephen Henson*
5003
5004  * Pointer arithmetic undefined behaviour
5005
5006    Avoid some undefined pointer arithmetic
5007
5008    A common idiom in the codebase is to check limits in the following manner:
5009    "p + len > limit"
5010
5011    Where "p" points to some malloc'd data of SIZE bytes and
5012    limit == p + SIZE
5013
5014    "len" here could be from some externally supplied data (e.g. from a TLS
5015    message).
5016
5017    The rules of C pointer arithmetic are such that "p + len" is only well
5018    defined where len <= SIZE. Therefore the above idiom is actually
5019    undefined behaviour.
5020
5021    For example this could cause problems if some malloc implementation
5022    provides an address for "p" such that "p + len" actually overflows for
5023    values of len that are too big and therefore p + len < limit.
5024
5025    This issue was reported to OpenSSL by Guido Vranken
5026    ([CVE-2016-2177])
5027
5028    *Matt Caswell*
5029
5030  * Constant time flag not preserved in DSA signing
5031
5032    Operations in the DSA signing algorithm should run in constant time in
5033    order to avoid side channel attacks. A flaw in the OpenSSL DSA
5034    implementation means that a non-constant time codepath is followed for
5035    certain operations. This has been demonstrated through a cache-timing
5036    attack to be sufficient for an attacker to recover the private DSA key.
5037
5038    This issue was reported by César Pereida (Aalto University), Billy Brumley
5039    (Tampere University of Technology), and Yuval Yarom (The University of
5040    Adelaide and NICTA).
5041    ([CVE-2016-2178])
5042
5043    *César Pereida*
5044
5045  * DTLS buffered message DoS
5046
5047    In a DTLS connection where handshake messages are delivered out-of-order
5048    those messages that OpenSSL is not yet ready to process will be buffered
5049    for later use. Under certain circumstances, a flaw in the logic means that
5050    those messages do not get removed from the buffer even though the handshake
5051    has been completed. An attacker could force up to approx. 15 messages to
5052    remain in the buffer when they are no longer required. These messages will
5053    be cleared when the DTLS connection is closed. The default maximum size for
5054    a message is 100k. Therefore the attacker could force an additional 1500k
5055    to be consumed per connection. By opening many simulataneous connections an
5056    attacker could cause a DoS attack through memory exhaustion.
5057
5058    This issue was reported to OpenSSL by Quan Luo.
5059    ([CVE-2016-2179])
5060
5061    *Matt Caswell*
5062
5063  * DTLS replay protection DoS
5064
5065    A flaw in the DTLS replay attack protection mechanism means that records
5066    that arrive for future epochs update the replay protection "window" before
5067    the MAC for the record has been validated. This could be exploited by an
5068    attacker by sending a record for the next epoch (which does not have to
5069    decrypt or have a valid MAC), with a very large sequence number. This means
5070    that all subsequent legitimate packets are dropped causing a denial of
5071    service for a specific DTLS connection.
5072
5073    This issue was reported to OpenSSL by the OCAP audit team.
5074    ([CVE-2016-2181])
5075
5076    *Matt Caswell*
5077
5078  * Certificate message OOB reads
5079
5080    In OpenSSL 1.0.2 and earlier some missing message length checks can result
5081    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
5082    theoretical DoS risk but this has not been observed in practice on common
5083    platforms.
5084
5085    The messages affected are client certificate, client certificate request
5086    and server certificate. As a result the attack can only be performed
5087    against a client or a server which enables client authentication.
5088
5089    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
5090    ([CVE-2016-6306])
5091
5092    *Stephen Henson*
5093
5094 ### Changes between 1.0.2g and 1.0.2h [3 May 2016]
5095
5096  * Prevent padding oracle in AES-NI CBC MAC check
5097
5098    A MITM attacker can use a padding oracle attack to decrypt traffic
5099    when the connection uses an AES CBC cipher and the server support
5100    AES-NI.
5101
5102    This issue was introduced as part of the fix for Lucky 13 padding
5103    attack ([CVE-2013-0169]). The padding check was rewritten to be in
5104    constant time by making sure that always the same bytes are read and
5105    compared against either the MAC or padding bytes. But it no longer
5106    checked that there was enough data to have both the MAC and padding
5107    bytes.
5108
5109    This issue was reported by Juraj Somorovsky using TLS-Attacker.
5110    ([CVE-2016-2107])
5111
5112    *Kurt Roeckx*
5113
5114  * Fix EVP_EncodeUpdate overflow
5115
5116    An overflow can occur in the EVP_EncodeUpdate() function which is used for
5117    Base64 encoding of binary data. If an attacker is able to supply very large
5118    amounts of input data then a length check can overflow resulting in a heap
5119    corruption.
5120
5121    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
5122    the `PEM_write_bio*` family of functions. These are mainly used within the
5123    OpenSSL command line applications, so any application which processes data
5124    from an untrusted source and outputs it as a PEM file should be considered
5125    vulnerable to this issue. User applications that call these APIs directly
5126    with large amounts of untrusted data may also be vulnerable.
5127
5128    This issue was reported by Guido Vranken.
5129    ([CVE-2016-2105])
5130
5131    *Matt Caswell*
5132
5133  * Fix EVP_EncryptUpdate overflow
5134
5135    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
5136    is able to supply very large amounts of input data after a previous call to
5137    EVP_EncryptUpdate() with a partial block then a length check can overflow
5138    resulting in a heap corruption. Following an analysis of all OpenSSL
5139    internal usage of the EVP_EncryptUpdate() function all usage is one of two
5140    forms. The first form is where the EVP_EncryptUpdate() call is known to be
5141    the first called function after an EVP_EncryptInit(), and therefore that
5142    specific call must be safe. The second form is where the length passed to
5143    EVP_EncryptUpdate() can be seen from the code to be some small value and
5144    therefore there is no possibility of an overflow. Since all instances are
5145    one of these two forms, it is believed that there can be no overflows in
5146    internal code due to this problem. It should be noted that
5147    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
5148    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
5149    of these calls have also been analysed too and it is believed there are no
5150    instances in internal usage where an overflow could occur.
5151
5152    This issue was reported by Guido Vranken.
5153    ([CVE-2016-2106])
5154
5155    *Matt Caswell*
5156
5157  * Prevent ASN.1 BIO excessive memory allocation
5158
5159    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
5160    a short invalid encoding can cause allocation of large amounts of memory
5161    potentially consuming excessive resources or exhausting memory.
5162
5163    Any application parsing untrusted data through d2i BIO functions is
5164    affected. The memory based functions such as d2i_X509() are *not* affected.
5165    Since the memory based functions are used by the TLS library, TLS
5166    applications are not affected.
5167
5168    This issue was reported by Brian Carpenter.
5169    ([CVE-2016-2109])
5170
5171    *Stephen Henson*
5172
5173  * EBCDIC overread
5174
5175    ASN1 Strings that are over 1024 bytes can cause an overread in applications
5176    using the X509_NAME_oneline() function on EBCDIC systems. This could result
5177    in arbitrary stack data being returned in the buffer.
5178
5179    This issue was reported by Guido Vranken.
5180    ([CVE-2016-2176])
5181
5182    *Matt Caswell*
5183
5184  * Modify behavior of ALPN to invoke callback after SNI/servername
5185    callback, such that updates to the SSL_CTX affect ALPN.
5186
5187    *Todd Short*
5188
5189  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
5190    default.
5191
5192    *Kurt Roeckx*
5193
5194  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
5195    methods are enabled and ssl2 is disabled the methods return NULL.
5196
5197    *Kurt Roeckx*
5198
5199 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016]
5200
5201 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
5202   Builds that are not configured with "enable-weak-ssl-ciphers" will not
5203   provide any "EXPORT" or "LOW" strength ciphers.
5204
5205   *Viktor Dukhovni*
5206
5207 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
5208   is by default disabled at build-time.  Builds that are not configured with
5209   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
5210   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
5211   will need to explicitly call either of:
5212
5213       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
5214   or
5215       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
5216
5217   as appropriate.  Even if either of those is used, or the application
5218   explicitly uses the version-specific SSLv2_method() or its client and
5219   server variants, SSLv2 ciphers vulnerable to exhaustive search key
5220   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
5221   ciphers, and SSLv2 56-bit DES are no longer available.
5222   ([CVE-2016-0800])
5223
5224    *Viktor Dukhovni*
5225
5226  * Fix a double-free in DSA code
5227
5228    A double free bug was discovered when OpenSSL parses malformed DSA private
5229    keys and could lead to a DoS attack or memory corruption for applications
5230    that receive DSA private keys from untrusted sources.  This scenario is
5231    considered rare.
5232
5233    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
5234    libFuzzer.
5235    ([CVE-2016-0705])
5236
5237    *Stephen Henson*
5238
5239  * Disable SRP fake user seed to address a server memory leak.
5240
5241    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
5242
5243    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
5244    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
5245    was changed to ignore the "fake user" SRP seed, even if the seed
5246    is configured.
5247
5248    Users should use SRP_VBASE_get1_by_user instead. Note that in
5249    SRP_VBASE_get1_by_user, caller must free the returned value. Note
5250    also that even though configuring the SRP seed attempts to hide
5251    invalid usernames by continuing the handshake with fake
5252    credentials, this behaviour is not constant time and no strong
5253    guarantees are made that the handshake is indistinguishable from
5254    that of a valid user.
5255    ([CVE-2016-0798])
5256
5257    *Emilia Käsper*
5258
5259  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
5260
5261    In the BN_hex2bn function the number of hex digits is calculated using an
5262    int value `i`. Later `bn_expand` is called with a value of `i * 4`. For
5263    large values of `i` this can result in `bn_expand` not allocating any
5264    memory because `i * 4` is negative. This can leave the internal BIGNUM data
5265    field as NULL leading to a subsequent NULL ptr deref. For very large values
5266    of `i`, the calculation `i * 4` could be a positive value smaller than `i`.
5267    In this case memory is allocated to the internal BIGNUM data field, but it
5268    is insufficiently sized leading to heap corruption. A similar issue exists
5269    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
5270    is ever called by user applications with very large untrusted hex/dec data.
5271    This is anticipated to be a rare occurrence.
5272
5273    All OpenSSL internal usage of these functions use data that is not expected
5274    to be untrusted, e.g. config file data or application command line
5275    arguments. If user developed applications generate config file data based
5276    on untrusted data then it is possible that this could also lead to security
5277    consequences. This is also anticipated to be rare.
5278
5279    This issue was reported to OpenSSL by Guido Vranken.
5280    ([CVE-2016-0797])
5281
5282    *Matt Caswell*
5283
5284  * Fix memory issues in `BIO_*printf` functions
5285
5286    The internal `fmtstr` function used in processing a "%s" format string in
5287    the `BIO_*printf` functions could overflow while calculating the length of a
5288    string and cause an OOB read when printing very long strings.
5289
5290    Additionally the internal `doapr_outch` function can attempt to write to an
5291    OOB memory location (at an offset from the NULL pointer) in the event of a
5292    memory allocation failure. In 1.0.2 and below this could be caused where
5293    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
5294    could be in processing a very long "%s" format string. Memory leaks can
5295    also occur.
5296
5297    The first issue may mask the second issue dependent on compiler behaviour.
5298    These problems could enable attacks where large amounts of untrusted data
5299    is passed to the `BIO_*printf` functions. If applications use these functions
5300    in this way then they could be vulnerable. OpenSSL itself uses these
5301    functions when printing out human-readable dumps of ASN.1 data. Therefore
5302    applications that print this data could be vulnerable if the data is from
5303    untrusted sources. OpenSSL command line applications could also be
5304    vulnerable where they print out ASN.1 data, or if untrusted data is passed
5305    as command line arguments.
5306
5307    Libssl is not considered directly vulnerable. Additionally certificates etc
5308    received via remote connections via libssl are also unlikely to be able to
5309    trigger these issues because of message size limits enforced within libssl.
5310
5311    This issue was reported to OpenSSL Guido Vranken.
5312    ([CVE-2016-0799])
5313
5314    *Matt Caswell*
5315
5316  * Side channel attack on modular exponentiation
5317
5318    A side-channel attack was found which makes use of cache-bank conflicts on
5319    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
5320    of RSA keys.  The ability to exploit this issue is limited as it relies on
5321    an attacker who has control of code in a thread running on the same
5322    hyper-threaded core as the victim thread which is performing decryptions.
5323
5324    This issue was reported to OpenSSL by Yuval Yarom, The University of
5325    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
5326    Nadia Heninger, University of Pennsylvania with more information at
5327    <http://cachebleed.info>.
5328    ([CVE-2016-0702])
5329
5330    *Andy Polyakov*
5331
5332  * Change the `req` command to generate a 2048-bit RSA/DSA key by default,
5333    if no keysize is specified with default_bits. This fixes an
5334    omission in an earlier change that changed all RSA/DSA key generation
5335    commands to use 2048 bits by default.
5336
5337    *Emilia Käsper*
5338
5339 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016]
5340
5341  * DH small subgroups
5342
5343    Historically OpenSSL only ever generated DH parameters based on "safe"
5344    primes. More recently (in version 1.0.2) support was provided for
5345    generating X9.42 style parameter files such as those required for RFC 5114
5346    support. The primes used in such files may not be "safe". Where an
5347    application is using DH configured with parameters based on primes that are
5348    not "safe" then an attacker could use this fact to find a peer's private
5349    DH exponent. This attack requires that the attacker complete multiple
5350    handshakes in which the peer uses the same private DH exponent. For example
5351    this could be used to discover a TLS server's private DH exponent if it's
5352    reusing the private DH exponent or it's using a static DH ciphersuite.
5353
5354    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
5355    TLS. It is not on by default. If the option is not set then the server
5356    reuses the same private DH exponent for the life of the server process and
5357    would be vulnerable to this attack. It is believed that many popular
5358    applications do set this option and would therefore not be at risk.
5359
5360    The fix for this issue adds an additional check where a "q" parameter is
5361    available (as is the case in X9.42 based parameters). This detects the
5362    only known attack, and is the only possible defense for static DH
5363    ciphersuites. This could have some performance impact.
5364
5365    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
5366    default and cannot be disabled. This could have some performance impact.
5367
5368    This issue was reported to OpenSSL by Antonio Sanso (Adobe).
5369    ([CVE-2016-0701])
5370
5371    *Matt Caswell*
5372
5373  * SSLv2 doesn't block disabled ciphers
5374
5375    A malicious client can negotiate SSLv2 ciphers that have been disabled on
5376    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
5377    been disabled, provided that the SSLv2 protocol was not also disabled via
5378    SSL_OP_NO_SSLv2.
5379
5380    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
5381    and Sebastian Schinzel.
5382    ([CVE-2015-3197])
5383
5384    *Viktor Dukhovni*
5385
5386 ### Changes between 1.0.2d and 1.0.2e [3 Dec 2015]
5387
5388  * BN_mod_exp may produce incorrect results on x86_64
5389
5390    There is a carry propagating bug in the x86_64 Montgomery squaring
5391    procedure. No EC algorithms are affected. Analysis suggests that attacks
5392    against RSA and DSA as a result of this defect would be very difficult to
5393    perform and are not believed likely. Attacks against DH are considered just
5394    feasible (although very difficult) because most of the work necessary to
5395    deduce information about a private key may be performed offline. The amount
5396    of resources required for such an attack would be very significant and
5397    likely only accessible to a limited number of attackers. An attacker would
5398    additionally need online access to an unpatched system using the target
5399    private key in a scenario with persistent DH parameters and a private
5400    key that is shared between multiple clients. For example this can occur by
5401    default in OpenSSL DHE based SSL/TLS ciphersuites.
5402
5403    This issue was reported to OpenSSL by Hanno Böck.
5404    ([CVE-2015-3193])
5405
5406    *Andy Polyakov*
5407
5408  * Certificate verify crash with missing PSS parameter
5409
5410    The signature verification routines will crash with a NULL pointer
5411    dereference if presented with an ASN.1 signature using the RSA PSS
5412    algorithm and absent mask generation function parameter. Since these
5413    routines are used to verify certificate signature algorithms this can be
5414    used to crash any certificate verification operation and exploited in a
5415    DoS attack. Any application which performs certificate verification is
5416    vulnerable including OpenSSL clients and servers which enable client
5417    authentication.
5418
5419    This issue was reported to OpenSSL by Loïc Jonas Etienne (Qnective AG).
5420    ([CVE-2015-3194])
5421
5422    *Stephen Henson*
5423
5424  * X509_ATTRIBUTE memory leak
5425
5426    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
5427    memory. This structure is used by the PKCS#7 and CMS routines so any
5428    application which reads PKCS#7 or CMS data from untrusted sources is
5429    affected. SSL/TLS is not affected.
5430
5431    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
5432    libFuzzer.
5433    ([CVE-2015-3195])
5434
5435    *Stephen Henson*
5436
5437  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
5438    This changes the decoding behaviour for some invalid messages,
5439    though the change is mostly in the more lenient direction, and
5440    legacy behaviour is preserved as much as possible.
5441
5442    *Emilia Käsper*
5443
5444  * In DSA_generate_parameters_ex, if the provided seed is too short,
5445    return an error
5446
5447    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
5448
5449 ### Changes between 1.0.2c and 1.0.2d [9 Jul 2015]
5450
5451  * Alternate chains certificate forgery
5452
5453    During certificate verification, OpenSSL will attempt to find an
5454    alternative certificate chain if the first attempt to build such a chain
5455    fails. An error in the implementation of this logic can mean that an
5456    attacker could cause certain checks on untrusted certificates to be
5457    bypassed, such as the CA flag, enabling them to use a valid leaf
5458    certificate to act as a CA and "issue" an invalid certificate.
5459
5460    This issue was reported to OpenSSL by Adam Langley/David Benjamin
5461    (Google/BoringSSL).
5462
5463    *Matt Caswell*
5464
5465 ### Changes between 1.0.2b and 1.0.2c [12 Jun 2015]
5466
5467  * Fix HMAC ABI incompatibility. The previous version introduced an ABI
5468    incompatibility in the handling of HMAC. The previous ABI has now been
5469    restored.
5470
5471    *Matt Caswell*
5472
5473 ### Changes between 1.0.2a and 1.0.2b [11 Jun 2015]
5474
5475  * Malformed ECParameters causes infinite loop
5476
5477    When processing an ECParameters structure OpenSSL enters an infinite loop
5478    if the curve specified is over a specially malformed binary polynomial
5479    field.
5480
5481    This can be used to perform denial of service against any
5482    system which processes public keys, certificate requests or
5483    certificates.  This includes TLS clients and TLS servers with
5484    client authentication enabled.
5485
5486    This issue was reported to OpenSSL by Joseph Barr-Pixton.
5487    ([CVE-2015-1788])
5488
5489    *Andy Polyakov*
5490
5491  * Exploitable out-of-bounds read in X509_cmp_time
5492
5493    X509_cmp_time does not properly check the length of the ASN1_TIME
5494    string and can read a few bytes out of bounds. In addition,
5495    X509_cmp_time accepts an arbitrary number of fractional seconds in the
5496    time string.
5497
5498    An attacker can use this to craft malformed certificates and CRLs of
5499    various sizes and potentially cause a segmentation fault, resulting in
5500    a DoS on applications that verify certificates or CRLs. TLS clients
5501    that verify CRLs are affected. TLS clients and servers with client
5502    authentication enabled may be affected if they use custom verification
5503    callbacks.
5504
5505    This issue was reported to OpenSSL by Robert Swiecki (Google), and
5506    independently by Hanno Böck.
5507    ([CVE-2015-1789])
5508
5509    *Emilia Käsper*
5510
5511  * PKCS7 crash with missing EnvelopedContent
5512
5513    The PKCS#7 parsing code does not handle missing inner EncryptedContent
5514    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs
5515    with missing content and trigger a NULL pointer dereference on parsing.
5516
5517    Applications that decrypt PKCS#7 data or otherwise parse PKCS#7
5518    structures from untrusted sources are affected. OpenSSL clients and
5519    servers are not affected.
5520
5521    This issue was reported to OpenSSL by Michal Zalewski (Google).
5522    ([CVE-2015-1790])
5523
5524    *Emilia Käsper*
5525
5526  * CMS verify infinite loop with unknown hash function
5527
5528    When verifying a signedData message the CMS code can enter an infinite loop
5529    if presented with an unknown hash function OID. This can be used to perform
5530    denial of service against any system which verifies signedData messages using
5531    the CMS code.
5532    This issue was reported to OpenSSL by Johannes Bauer.
5533    ([CVE-2015-1792])
5534
5535    *Stephen Henson*
5536
5537  * Race condition handling NewSessionTicket
5538
5539    If a NewSessionTicket is received by a multi-threaded client when attempting to
5540    reuse a previous ticket then a race condition can occur potentially leading to
5541    a double free of the ticket data.
5542    ([CVE-2015-1791])
5543
5544    *Matt Caswell*
5545
5546  * Only support 256-bit or stronger elliptic curves with the
5547    'ecdh_auto' setting (server) or by default (client). Of supported
5548    curves, prefer P-256 (both).
5549
5550    *Emilia Kasper*
5551
5552 ### Changes between 1.0.2 and 1.0.2a [19 Mar 2015]
5553
5554  * ClientHello sigalgs DoS fix
5555
5556    If a client connects to an OpenSSL 1.0.2 server and renegotiates with an
5557    invalid signature algorithms extension a NULL pointer dereference will
5558    occur. This can be exploited in a DoS attack against the server.
5559
5560    This issue was was reported to OpenSSL by David Ramos of Stanford
5561    University.
5562    ([CVE-2015-0291])
5563
5564    *Stephen Henson and Matt Caswell*
5565
5566  * Multiblock corrupted pointer fix
5567
5568    OpenSSL 1.0.2 introduced the "multiblock" performance improvement. This
5569    feature only applies on 64 bit x86 architecture platforms that support AES
5570    NI instructions. A defect in the implementation of "multiblock" can cause
5571    OpenSSL's internal write buffer to become incorrectly set to NULL when
5572    using non-blocking IO. Typically, when the user application is using a
5573    socket BIO for writing, this will only result in a failed connection.
5574    However if some other BIO is used then it is likely that a segmentation
5575    fault will be triggered, thus enabling a potential DoS attack.
5576
5577    This issue was reported to OpenSSL by Daniel Danner and Rainer Mueller.
5578    ([CVE-2015-0290])
5579
5580    *Matt Caswell*
5581
5582  * Segmentation fault in DTLSv1_listen fix
5583
5584    The DTLSv1_listen function is intended to be stateless and processes the
5585    initial ClientHello from many peers. It is common for user code to loop
5586    over the call to DTLSv1_listen until a valid ClientHello is received with
5587    an associated cookie. A defect in the implementation of DTLSv1_listen means
5588    that state is preserved in the SSL object from one invocation to the next
5589    that can lead to a segmentation fault. Errors processing the initial
5590    ClientHello can trigger this scenario. An example of such an error could be
5591    that a DTLS1.0 only client is attempting to connect to a DTLS1.2 only
5592    server.
5593
5594    This issue was reported to OpenSSL by Per Allansson.
5595    ([CVE-2015-0207])
5596
5597    *Matt Caswell*
5598
5599  * Segmentation fault in ASN1_TYPE_cmp fix
5600
5601    The function ASN1_TYPE_cmp will crash with an invalid read if an attempt is
5602    made to compare ASN.1 boolean types. Since ASN1_TYPE_cmp is used to check
5603    certificate signature algorithm consistency this can be used to crash any
5604    certificate verification operation and exploited in a DoS attack. Any
5605    application which performs certificate verification is vulnerable including
5606    OpenSSL clients and servers which enable client authentication.
5607    ([CVE-2015-0286])
5608
5609    *Stephen Henson*
5610
5611  * Segmentation fault for invalid PSS parameters fix
5612
5613    The signature verification routines will crash with a NULL pointer
5614    dereference if presented with an ASN.1 signature using the RSA PSS
5615    algorithm and invalid parameters. Since these routines are used to verify
5616    certificate signature algorithms this can be used to crash any
5617    certificate verification operation and exploited in a DoS attack. Any
5618    application which performs certificate verification is vulnerable including
5619    OpenSSL clients and servers which enable client authentication.
5620
5621    This issue was was reported to OpenSSL by Brian Carpenter.
5622    ([CVE-2015-0208])
5623
5624    *Stephen Henson*
5625
5626  * ASN.1 structure reuse memory corruption fix
5627
5628    Reusing a structure in ASN.1 parsing may allow an attacker to cause
5629    memory corruption via an invalid write. Such reuse is and has been
5630    strongly discouraged and is believed to be rare.
5631
5632    Applications that parse structures containing CHOICE or ANY DEFINED BY
5633    components may be affected. Certificate parsing (d2i_X509 and related
5634    functions) are however not affected. OpenSSL clients and servers are
5635    not affected.
5636    ([CVE-2015-0287])
5637
5638    *Stephen Henson*
5639
5640  * PKCS7 NULL pointer dereferences fix
5641
5642    The PKCS#7 parsing code does not handle missing outer ContentInfo
5643    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs with
5644    missing content and trigger a NULL pointer dereference on parsing.
5645
5646    Applications that verify PKCS#7 signatures, decrypt PKCS#7 data or
5647    otherwise parse PKCS#7 structures from untrusted sources are
5648    affected. OpenSSL clients and servers are not affected.
5649
5650    This issue was reported to OpenSSL by Michal Zalewski (Google).
5651    ([CVE-2015-0289])
5652
5653    *Emilia Käsper*
5654
5655  * DoS via reachable assert in SSLv2 servers fix
5656
5657    A malicious client can trigger an OPENSSL_assert (i.e., an abort) in
5658    servers that both support SSLv2 and enable export cipher suites by sending
5659    a specially crafted SSLv2 CLIENT-MASTER-KEY message.
5660
5661    This issue was discovered by Sean Burford (Google) and Emilia Käsper
5662    (OpenSSL development team).
5663    ([CVE-2015-0293])
5664
5665    *Emilia Käsper*
5666
5667  * Empty CKE with client auth and DHE fix
5668
5669    If client auth is used then a server can seg fault in the event of a DHE
5670    ciphersuite being selected and a zero length ClientKeyExchange message
5671    being sent by the client. This could be exploited in a DoS attack.
5672    ([CVE-2015-1787])
5673
5674    *Matt Caswell*
5675
5676  * Handshake with unseeded PRNG fix
5677
5678    Under certain conditions an OpenSSL 1.0.2 client can complete a handshake
5679    with an unseeded PRNG. The conditions are:
5680    - The client is on a platform where the PRNG has not been seeded
5681    automatically, and the user has not seeded manually
5682    - A protocol specific client method version has been used (i.e. not
5683    SSL_client_methodv23)
5684    - A ciphersuite is used that does not require additional random data from
5685    the PRNG beyond the initial ClientHello client random (e.g. PSK-RC4-SHA).
5686
5687    If the handshake succeeds then the client random that has been used will
5688    have been generated from a PRNG with insufficient entropy and therefore the
5689    output may be predictable.
5690
5691    For example using the following command with an unseeded openssl will
5692    succeed on an unpatched platform:
5693
5694    openssl s_client -psk 1a2b3c4d -tls1_2 -cipher PSK-RC4-SHA
5695    ([CVE-2015-0285])
5696
5697    *Matt Caswell*
5698
5699  * Use After Free following d2i_ECPrivatekey error fix
5700
5701    A malformed EC private key file consumed via the d2i_ECPrivateKey function
5702    could cause a use after free condition. This, in turn, could cause a double
5703    free in several private key parsing functions (such as d2i_PrivateKey
5704    or EVP_PKCS82PKEY) and could lead to a DoS attack or memory corruption
5705    for applications that receive EC private keys from untrusted
5706    sources. This scenario is considered rare.
5707
5708    This issue was discovered by the BoringSSL project and fixed in their
5709    commit 517073cd4b.
5710    ([CVE-2015-0209])
5711
5712    *Matt Caswell*
5713
5714  * X509_to_X509_REQ NULL pointer deref fix
5715
5716    The function X509_to_X509_REQ will crash with a NULL pointer dereference if
5717    the certificate key is invalid. This function is rarely used in practice.
5718
5719    This issue was discovered by Brian Carpenter.
5720    ([CVE-2015-0288])
5721
5722    *Stephen Henson*
5723
5724  * Removed the export ciphers from the DEFAULT ciphers
5725
5726    *Kurt Roeckx*
5727
5728 ### Changes between 1.0.1l and 1.0.2 [22 Jan 2015]
5729
5730  * Facilitate "universal" ARM builds targeting range of ARM ISAs, e.g.
5731    ARMv5 through ARMv8, as opposite to "locking" it to single one.
5732    So far those who have to target multiple platforms would compromise
5733    and argue that binary targeting say ARMv5 would still execute on
5734    ARMv8. "Universal" build resolves this compromise by providing
5735    near-optimal performance even on newer platforms.
5736
5737    *Andy Polyakov*
5738
5739  * Accelerated NIST P-256 elliptic curve implementation for x86_64
5740    (other platforms pending).
5741
5742    *Shay Gueron & Vlad Krasnov (Intel Corp), Andy Polyakov*
5743
5744  * Add support for the SignedCertificateTimestampList certificate and
5745    OCSP response extensions from RFC6962.
5746
5747    *Rob Stradling*
5748
5749  * Fix ec_GFp_simple_points_make_affine (thus, EC_POINTs_mul etc.)
5750    for corner cases. (Certain input points at infinity could lead to
5751    bogus results, with non-infinity inputs mapped to infinity too.)
5752
5753    *Bodo Moeller*
5754
5755  * Initial support for PowerISA 2.0.7, first implemented in POWER8.
5756    This covers AES, SHA256/512 and GHASH. "Initial" means that most
5757    common cases are optimized and there still is room for further
5758    improvements. Vector Permutation AES for Altivec is also added.
5759
5760    *Andy Polyakov*
5761
5762  * Add support for little-endian ppc64 Linux target.
5763
5764    *Marcelo Cerri (IBM)*
5765
5766  * Initial support for AMRv8 ISA crypto extensions. This covers AES,
5767    SHA1, SHA256 and GHASH. "Initial" means that most common cases
5768    are optimized and there still is room for further improvements.
5769    Both 32- and 64-bit modes are supported.
5770
5771    *Andy Polyakov, Ard Biesheuvel (Linaro)*
5772
5773  * Improved ARMv7 NEON support.
5774
5775    *Andy Polyakov*
5776
5777  * Support for SPARC Architecture 2011 crypto extensions, first
5778    implemented in SPARC T4. This covers AES, DES, Camellia, SHA1,
5779    SHA256/512, MD5, GHASH and modular exponentiation.
5780
5781    *Andy Polyakov, David Miller*
5782
5783  * Accelerated modular exponentiation for Intel processors, a.k.a.
5784    RSAZ.
5785
5786    *Shay Gueron & Vlad Krasnov (Intel Corp)*
5787
5788  * Support for new and upcoming Intel processors, including AVX2,
5789    BMI and SHA ISA extensions. This includes additional "stitched"
5790    implementations, AESNI-SHA256 and GCM, and multi-buffer support
5791    for TLS encrypt.
5792
5793    This work was sponsored by Intel Corp.
5794
5795    *Andy Polyakov*
5796
5797  * Support for DTLS 1.2. This adds two sets of DTLS methods: DTLS_*_method()
5798    supports both DTLS 1.2 and 1.0 and should use whatever version the peer
5799    supports and DTLSv1_2_*_method() which supports DTLS 1.2 only.
5800
5801    *Steve Henson*
5802
5803  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
5804    this fixes a limitation in previous versions of OpenSSL.
5805
5806    *Steve Henson*
5807
5808  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
5809    MGF1 digest and OAEP label.
5810
5811    *Steve Henson*
5812
5813  * Add EVP support for key wrapping algorithms, to avoid problems with
5814    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
5815    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
5816    algorithms and include tests cases.
5817
5818    *Steve Henson*
5819
5820  * Add functions to allocate and set the fields of an ECDSA_METHOD
5821    structure.
5822
5823    *Douglas E. Engert, Steve Henson*
5824
5825  * New functions OPENSSL_gmtime_diff and ASN1_TIME_diff to find the
5826    difference in days and seconds between two tm or ASN1_TIME structures.
5827
5828    *Steve Henson*
5829
5830  * Add -rev test option to s_server to just reverse order of characters
5831    received by client and send back to server. Also prints an abbreviated
5832    summary of the connection parameters.
5833
5834    *Steve Henson*
5835
5836  * New option -brief for s_client and s_server to print out a brief summary
5837    of connection parameters.
5838
5839    *Steve Henson*
5840
5841  * Add callbacks for arbitrary TLS extensions.
5842
5843    *Trevor Perrin <trevp@trevp.net> and Ben Laurie*
5844
5845  * New option -crl_download in several openssl utilities to download CRLs
5846    from CRLDP extension in certificates.
5847
5848    *Steve Henson*
5849
5850  * New options -CRL and -CRLform for s_client and s_server for CRLs.
5851
5852    *Steve Henson*
5853
5854  * New function X509_CRL_diff to generate a delta CRL from the difference
5855    of two full CRLs. Add support to "crl" utility.
5856
5857    *Steve Henson*
5858
5859  * New functions to set lookup_crls function and to retrieve
5860    X509_STORE from X509_STORE_CTX.
5861
5862    *Steve Henson*
5863
5864  * Print out deprecated issuer and subject unique ID fields in
5865    certificates.
5866
5867    *Steve Henson*
5868
5869  * Extend OCSP I/O functions so they can be used for simple general purpose
5870    HTTP as well as OCSP. New wrapper function which can be used to download
5871    CRLs using the OCSP API.
5872
5873    *Steve Henson*
5874
5875  * Delegate command line handling in s_client/s_server to SSL_CONF APIs.
5876
5877    *Steve Henson*
5878
5879  * `SSL_CONF*` functions. These provide a common framework for application
5880    configuration using configuration files or command lines.
5881
5882    *Steve Henson*
5883
5884  * SSL/TLS tracing code. This parses out SSL/TLS records using the
5885    message callback and prints the results. Needs compile time option
5886    "enable-ssl-trace". New options to s_client and s_server to enable
5887    tracing.
5888
5889    *Steve Henson*
5890
5891  * New ctrl and macro to retrieve supported points extensions.
5892    Print out extension in s_server and s_client.
5893
5894    *Steve Henson*
5895
5896  * New functions to retrieve certificate signature and signature
5897    OID NID.
5898
5899    *Steve Henson*
5900
5901  * Add functions to retrieve and manipulate the raw cipherlist sent by a
5902    client to OpenSSL.
5903
5904    *Steve Henson*
5905
5906  * New Suite B modes for TLS code. These use and enforce the requirements
5907    of RFC6460: restrict ciphersuites, only permit Suite B algorithms and
5908    only use Suite B curves. The Suite B modes can be set by using the
5909    strings "SUITEB128", "SUITEB192" or "SUITEB128ONLY" for the cipherstring.
5910
5911    *Steve Henson*
5912
5913  * New chain verification flags for Suite B levels of security. Check
5914    algorithms are acceptable when flags are set in X509_verify_cert.
5915
5916    *Steve Henson*
5917
5918  * Make tls1_check_chain return a set of flags indicating checks passed
5919    by a certificate chain. Add additional tests to handle client
5920    certificates: checks for matching certificate type and issuer name
5921    comparison.
5922
5923    *Steve Henson*
5924
5925  * If an attempt is made to use a signature algorithm not in the peer
5926    preference list abort the handshake. If client has no suitable
5927    signature algorithms in response to a certificate request do not
5928    use the certificate.
5929
5930    *Steve Henson*
5931
5932  * If server EC tmp key is not in client preference list abort handshake.
5933
5934    *Steve Henson*
5935
5936  * Add support for certificate stores in CERT structure. This makes it
5937    possible to have different stores per SSL structure or one store in
5938    the parent SSL_CTX. Include distinct stores for certificate chain
5939    verification and chain building. New ctrl SSL_CTRL_BUILD_CERT_CHAIN
5940    to build and store a certificate chain in CERT structure: returning
5941    an error if the chain cannot be built: this will allow applications
5942    to test if a chain is correctly configured.
5943
5944    Note: if the CERT based stores are not set then the parent SSL_CTX
5945    store is used to retain compatibility with existing behaviour.
5946
5947    *Steve Henson*
5948
5949  * New function ssl_set_client_disabled to set a ciphersuite disabled
5950    mask based on the current session, check mask when sending client
5951    hello and checking the requested ciphersuite.
5952
5953    *Steve Henson*
5954
5955  * New ctrls to retrieve and set certificate types in a certificate
5956    request message. Print out received values in s_client. If certificate
5957    types is not set with custom values set sensible values based on
5958    supported signature algorithms.
5959
5960    *Steve Henson*
5961
5962  * Support for distinct client and server supported signature algorithms.
5963
5964    *Steve Henson*
5965
5966  * Add certificate callback. If set this is called whenever a certificate
5967    is required by client or server. An application can decide which
5968    certificate chain to present based on arbitrary criteria: for example
5969    supported signature algorithms. Add very simple example to s_server.
5970    This fixes many of the problems and restrictions of the existing client
5971    certificate callback: for example you can now clear an existing
5972    certificate and specify the whole chain.
5973
5974    *Steve Henson*
5975
5976  * Add new "valid_flags" field to CERT_PKEY structure which determines what
5977    the certificate can be used for (if anything). Set valid_flags field
5978    in new tls1_check_chain function. Simplify ssl_set_cert_masks which used
5979    to have similar checks in it.
5980
5981    Add new "cert_flags" field to CERT structure and include a "strict mode".
5982    This enforces some TLS certificate requirements (such as only permitting
5983    certificate signature algorithms contained in the supported algorithms
5984    extension) which some implementations ignore: this option should be used
5985    with caution as it could cause interoperability issues.
5986
5987    *Steve Henson*
5988
5989  * Update and tidy signature algorithm extension processing. Work out
5990    shared signature algorithms based on preferences and peer algorithms
5991    and print them out in s_client and s_server. Abort handshake if no
5992    shared signature algorithms.
5993
5994    *Steve Henson*
5995
5996  * Add new functions to allow customised supported signature algorithms
5997    for SSL and SSL_CTX structures. Add options to s_client and s_server
5998    to support them.
5999
6000    *Steve Henson*
6001
6002  * New function SSL_certs_clear() to delete all references to certificates
6003    from an SSL structure. Before this once a certificate had been added
6004    it couldn't be removed.
6005
6006    *Steve Henson*
6007
6008  * Integrate hostname, email address and IP address checking with certificate
6009    verification. New verify options supporting checking in openssl utility.
6010
6011    *Steve Henson*
6012
6013  * Fixes and wildcard matching support to hostname and email checking
6014    functions. Add manual page.
6015
6016    *Florian Weimer (Red Hat Product Security Team)*
6017
6018  * New functions to check a hostname email or IP address against a
6019    certificate. Add options x509 utility to print results of checks against
6020    a certificate.
6021
6022    *Steve Henson*
6023
6024  * Fix OCSP checking.
6025
6026    *Rob Stradling <rob.stradling@comodo.com> and Ben Laurie*
6027
6028  * Initial experimental support for explicitly trusted non-root CAs.
6029    OpenSSL still tries to build a complete chain to a root but if an
6030    intermediate CA has a trust setting included that is used. The first
6031    setting is used: whether to trust (e.g., -addtrust option to the x509
6032    utility) or reject.
6033
6034    *Steve Henson*
6035
6036  * Add -trusted_first option which attempts to find certificates in the
6037    trusted store even if an untrusted chain is also supplied.
6038
6039    *Steve Henson*
6040
6041  * MIPS assembly pack updates: support for MIPS32r2 and SmartMIPS ASE,
6042    platform support for Linux and Android.
6043
6044    *Andy Polyakov*
6045
6046  * Support for linux-x32, ILP32 environment in x86_64 framework.
6047
6048    *Andy Polyakov*
6049
6050  * Experimental multi-implementation support for FIPS capable OpenSSL.
6051    When in FIPS mode the approved implementations are used as normal,
6052    when not in FIPS mode the internal unapproved versions are used instead.
6053    This means that the FIPS capable OpenSSL isn't forced to use the
6054    (often lower performance) FIPS implementations outside FIPS mode.
6055
6056    *Steve Henson*
6057
6058  * Transparently support X9.42 DH parameters when calling
6059    PEM_read_bio_DHparameters. This means existing applications can handle
6060    the new parameter format automatically.
6061
6062    *Steve Henson*
6063
6064  * Initial experimental support for X9.42 DH parameter format: mainly
6065    to support use of 'q' parameter for RFC5114 parameters.
6066
6067    *Steve Henson*
6068
6069  * Add DH parameters from RFC5114 including test data to dhtest.
6070
6071    *Steve Henson*
6072
6073  * Support for automatic EC temporary key parameter selection. If enabled
6074    the most preferred EC parameters are automatically used instead of
6075    hardcoded fixed parameters. Now a server just has to call:
6076    SSL_CTX_set_ecdh_auto(ctx, 1) and the server will automatically
6077    support ECDH and use the most appropriate parameters.
6078
6079    *Steve Henson*
6080
6081  * Enhance and tidy EC curve and point format TLS extension code. Use
6082    static structures instead of allocation if default values are used.
6083    New ctrls to set curves we wish to support and to retrieve shared curves.
6084    Print out shared curves in s_server. New options to s_server and s_client
6085    to set list of supported curves.
6086
6087    *Steve Henson*
6088
6089  * New ctrls to retrieve supported signature algorithms and
6090    supported curve values as an array of NIDs. Extend openssl utility
6091    to print out received values.
6092
6093    *Steve Henson*
6094
6095  * Add new APIs EC_curve_nist2nid and EC_curve_nid2nist which convert
6096    between NIDs and the more common NIST names such as "P-256". Enhance
6097    ecparam utility and ECC method to recognise the NIST names for curves.
6098
6099    *Steve Henson*
6100
6101  * Enhance SSL/TLS certificate chain handling to support different
6102    chains for each certificate instead of one chain in the parent SSL_CTX.
6103
6104    *Steve Henson*
6105
6106  * Support for fixed DH ciphersuite client authentication: where both
6107    server and client use DH certificates with common parameters.
6108
6109    *Steve Henson*
6110
6111  * Support for fixed DH ciphersuites: those requiring DH server
6112    certificates.
6113
6114    *Steve Henson*
6115
6116  * New function i2d_re_X509_tbs for re-encoding the TBS portion of
6117    the certificate.
6118    Note: Related 1.0.2-beta specific macros X509_get_cert_info,
6119    X509_CINF_set_modified, X509_CINF_get_issuer, X509_CINF_get_extensions and
6120    X509_CINF_get_signature were reverted post internal team review.
6121
6122 OpenSSL 1.0.1
6123 -------------
6124
6125 ### Changes between 1.0.1t and 1.0.1u [22 Sep 2016]
6126
6127  * OCSP Status Request extension unbounded memory growth
6128
6129    A malicious client can send an excessively large OCSP Status Request
6130    extension. If that client continually requests renegotiation, sending a
6131    large OCSP Status Request extension each time, then there will be unbounded
6132    memory growth on the server. This will eventually lead to a Denial Of
6133    Service attack through memory exhaustion. Servers with a default
6134    configuration are vulnerable even if they do not support OCSP. Builds using
6135    the "no-ocsp" build time option are not affected.
6136
6137    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
6138    ([CVE-2016-6304])
6139
6140    *Matt Caswell*
6141
6142  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
6143    HIGH to MEDIUM.
6144
6145    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
6146    Leurent (INRIA)
6147    ([CVE-2016-2183])
6148
6149    *Rich Salz*
6150
6151  * OOB write in MDC2_Update()
6152
6153    An overflow can occur in MDC2_Update() either if called directly or
6154    through the EVP_DigestUpdate() function using MDC2. If an attacker
6155    is able to supply very large amounts of input data after a previous
6156    call to EVP_EncryptUpdate() with a partial block then a length check
6157    can overflow resulting in a heap corruption.
6158
6159    The amount of data needed is comparable to SIZE_MAX which is impractical
6160    on most platforms.
6161
6162    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
6163    ([CVE-2016-6303])
6164
6165    *Stephen Henson*
6166
6167  * Malformed SHA512 ticket DoS
6168
6169    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
6170    DoS attack where a malformed ticket will result in an OOB read which will
6171    ultimately crash.
6172
6173    The use of SHA512 in TLS session tickets is comparatively rare as it requires
6174    a custom server callback and ticket lookup mechanism.
6175
6176    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
6177    ([CVE-2016-6302])
6178
6179    *Stephen Henson*
6180
6181  * OOB write in BN_bn2dec()
6182
6183    The function BN_bn2dec() does not check the return value of BN_div_word().
6184    This can cause an OOB write if an application uses this function with an
6185    overly large BIGNUM. This could be a problem if an overly large certificate
6186    or CRL is printed out from an untrusted source. TLS is not affected because
6187    record limits will reject an oversized certificate before it is parsed.
6188
6189    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
6190    ([CVE-2016-2182])
6191
6192    *Stephen Henson*
6193
6194  * OOB read in TS_OBJ_print_bio()
6195
6196    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
6197    the total length the OID text representation would use and not the amount
6198    of data written. This will result in OOB reads when large OIDs are
6199    presented.
6200
6201    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
6202    ([CVE-2016-2180])
6203
6204    *Stephen Henson*
6205
6206  * Pointer arithmetic undefined behaviour
6207
6208    Avoid some undefined pointer arithmetic
6209
6210    A common idiom in the codebase is to check limits in the following manner:
6211    "p + len > limit"
6212
6213    Where "p" points to some malloc'd data of SIZE bytes and
6214    limit == p + SIZE
6215
6216    "len" here could be from some externally supplied data (e.g. from a TLS
6217    message).
6218
6219    The rules of C pointer arithmetic are such that "p + len" is only well
6220    defined where len <= SIZE. Therefore the above idiom is actually
6221    undefined behaviour.
6222
6223    For example this could cause problems if some malloc implementation
6224    provides an address for "p" such that "p + len" actually overflows for
6225    values of len that are too big and therefore p + len < limit.
6226
6227    This issue was reported to OpenSSL by Guido Vranken
6228    ([CVE-2016-2177])
6229
6230    *Matt Caswell*
6231
6232  * Constant time flag not preserved in DSA signing
6233
6234    Operations in the DSA signing algorithm should run in constant time in
6235    order to avoid side channel attacks. A flaw in the OpenSSL DSA
6236    implementation means that a non-constant time codepath is followed for
6237    certain operations. This has been demonstrated through a cache-timing
6238    attack to be sufficient for an attacker to recover the private DSA key.
6239
6240    This issue was reported by César Pereida (Aalto University), Billy Brumley
6241    (Tampere University of Technology), and Yuval Yarom (The University of
6242    Adelaide and NICTA).
6243    ([CVE-2016-2178])
6244
6245    *César Pereida*
6246
6247  * DTLS buffered message DoS
6248
6249    In a DTLS connection where handshake messages are delivered out-of-order
6250    those messages that OpenSSL is not yet ready to process will be buffered
6251    for later use. Under certain circumstances, a flaw in the logic means that
6252    those messages do not get removed from the buffer even though the handshake
6253    has been completed. An attacker could force up to approx. 15 messages to
6254    remain in the buffer when they are no longer required. These messages will
6255    be cleared when the DTLS connection is closed. The default maximum size for
6256    a message is 100k. Therefore the attacker could force an additional 1500k
6257    to be consumed per connection. By opening many simulataneous connections an
6258    attacker could cause a DoS attack through memory exhaustion.
6259
6260    This issue was reported to OpenSSL by Quan Luo.
6261    ([CVE-2016-2179])
6262
6263    *Matt Caswell*
6264
6265  * DTLS replay protection DoS
6266
6267    A flaw in the DTLS replay attack protection mechanism means that records
6268    that arrive for future epochs update the replay protection "window" before
6269    the MAC for the record has been validated. This could be exploited by an
6270    attacker by sending a record for the next epoch (which does not have to
6271    decrypt or have a valid MAC), with a very large sequence number. This means
6272    that all subsequent legitimate packets are dropped causing a denial of
6273    service for a specific DTLS connection.
6274
6275    This issue was reported to OpenSSL by the OCAP audit team.
6276    ([CVE-2016-2181])
6277
6278    *Matt Caswell*
6279
6280  * Certificate message OOB reads
6281
6282    In OpenSSL 1.0.2 and earlier some missing message length checks can result
6283    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
6284    theoretical DoS risk but this has not been observed in practice on common
6285    platforms.
6286
6287    The messages affected are client certificate, client certificate request
6288    and server certificate. As a result the attack can only be performed
6289    against a client or a server which enables client authentication.
6290
6291    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
6292    ([CVE-2016-6306])
6293
6294    *Stephen Henson*
6295
6296 ### Changes between 1.0.1s and 1.0.1t [3 May 2016]
6297
6298  * Prevent padding oracle in AES-NI CBC MAC check
6299
6300    A MITM attacker can use a padding oracle attack to decrypt traffic
6301    when the connection uses an AES CBC cipher and the server support
6302    AES-NI.
6303
6304    This issue was introduced as part of the fix for Lucky 13 padding
6305    attack ([CVE-2013-0169]). The padding check was rewritten to be in
6306    constant time by making sure that always the same bytes are read and
6307    compared against either the MAC or padding bytes. But it no longer
6308    checked that there was enough data to have both the MAC and padding
6309    bytes.
6310
6311    This issue was reported by Juraj Somorovsky using TLS-Attacker.
6312    ([CVE-2016-2107])
6313
6314    *Kurt Roeckx*
6315
6316  * Fix EVP_EncodeUpdate overflow
6317
6318    An overflow can occur in the EVP_EncodeUpdate() function which is used for
6319    Base64 encoding of binary data. If an attacker is able to supply very large
6320    amounts of input data then a length check can overflow resulting in a heap
6321    corruption.
6322
6323    Internally to OpenSSL the EVP_EncodeUpdate() function is primarly used by
6324    the `PEM_write_bio*` family of functions. These are mainly used within the
6325    OpenSSL command line applications, so any application which processes data
6326    from an untrusted source and outputs it as a PEM file should be considered
6327    vulnerable to this issue. User applications that call these APIs directly
6328    with large amounts of untrusted data may also be vulnerable.
6329
6330    This issue was reported by Guido Vranken.
6331    ([CVE-2016-2105])
6332
6333    *Matt Caswell*
6334
6335  * Fix EVP_EncryptUpdate overflow
6336
6337    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
6338    is able to supply very large amounts of input data after a previous call to
6339    EVP_EncryptUpdate() with a partial block then a length check can overflow
6340    resulting in a heap corruption. Following an analysis of all OpenSSL
6341    internal usage of the EVP_EncryptUpdate() function all usage is one of two
6342    forms. The first form is where the EVP_EncryptUpdate() call is known to be
6343    the first called function after an EVP_EncryptInit(), and therefore that
6344    specific call must be safe. The second form is where the length passed to
6345    EVP_EncryptUpdate() can be seen from the code to be some small value and
6346    therefore there is no possibility of an overflow. Since all instances are
6347    one of these two forms, it is believed that there can be no overflows in
6348    internal code due to this problem. It should be noted that
6349    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
6350    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
6351    of these calls have also been analysed too and it is believed there are no
6352    instances in internal usage where an overflow could occur.
6353
6354    This issue was reported by Guido Vranken.
6355    ([CVE-2016-2106])
6356
6357    *Matt Caswell*
6358
6359  * Prevent ASN.1 BIO excessive memory allocation
6360
6361    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
6362    a short invalid encoding can casuse allocation of large amounts of memory
6363    potentially consuming excessive resources or exhausting memory.
6364
6365    Any application parsing untrusted data through d2i BIO functions is
6366    affected. The memory based functions such as d2i_X509() are *not* affected.
6367    Since the memory based functions are used by the TLS library, TLS
6368    applications are not affected.
6369
6370    This issue was reported by Brian Carpenter.
6371    ([CVE-2016-2109])
6372
6373    *Stephen Henson*
6374
6375  * EBCDIC overread
6376
6377    ASN1 Strings that are over 1024 bytes can cause an overread in applications
6378    using the X509_NAME_oneline() function on EBCDIC systems. This could result
6379    in arbitrary stack data being returned in the buffer.
6380
6381    This issue was reported by Guido Vranken.
6382    ([CVE-2016-2176])
6383
6384    *Matt Caswell*
6385
6386  * Modify behavior of ALPN to invoke callback after SNI/servername
6387    callback, such that updates to the SSL_CTX affect ALPN.
6388
6389    *Todd Short*
6390
6391  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
6392    default.
6393
6394    *Kurt Roeckx*
6395
6396  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
6397    methods are enabled and ssl2 is disabled the methods return NULL.
6398
6399    *Kurt Roeckx*
6400
6401 ### Changes between 1.0.1r and 1.0.1s [1 Mar 2016]
6402
6403 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
6404   Builds that are not configured with "enable-weak-ssl-ciphers" will not
6405   provide any "EXPORT" or "LOW" strength ciphers.
6406
6407   *Viktor Dukhovni*
6408
6409 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
6410   is by default disabled at build-time.  Builds that are not configured with
6411   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
6412   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
6413   will need to explicitly call either of:
6414
6415       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
6416   or
6417       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
6418
6419   as appropriate.  Even if either of those is used, or the application
6420   explicitly uses the version-specific SSLv2_method() or its client and
6421   server variants, SSLv2 ciphers vulnerable to exhaustive search key
6422   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
6423   ciphers, and SSLv2 56-bit DES are no longer available.
6424   ([CVE-2016-0800])
6425
6426   *Viktor Dukhovni*
6427
6428  * Fix a double-free in DSA code
6429
6430    A double free bug was discovered when OpenSSL parses malformed DSA private
6431    keys and could lead to a DoS attack or memory corruption for applications
6432    that receive DSA private keys from untrusted sources.  This scenario is
6433    considered rare.
6434
6435    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
6436    libFuzzer.
6437    ([CVE-2016-0705])
6438
6439    *Stephen Henson*
6440
6441  * Disable SRP fake user seed to address a server memory leak.
6442
6443    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
6444
6445    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
6446    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
6447    was changed to ignore the "fake user" SRP seed, even if the seed
6448    is configured.
6449
6450    Users should use SRP_VBASE_get1_by_user instead. Note that in
6451    SRP_VBASE_get1_by_user, caller must free the returned value. Note
6452    also that even though configuring the SRP seed attempts to hide
6453    invalid usernames by continuing the handshake with fake
6454    credentials, this behaviour is not constant time and no strong
6455    guarantees are made that the handshake is indistinguishable from
6456    that of a valid user.
6457    ([CVE-2016-0798])
6458
6459    *Emilia Käsper*
6460
6461  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
6462
6463    In the BN_hex2bn function the number of hex digits is calculated using an
6464    int value `i`. Later `bn_expand` is called with a value of `i * 4`. For
6465    large values of `i` this can result in `bn_expand` not allocating any
6466    memory because `i * 4` is negative. This can leave the internal BIGNUM data
6467    field as NULL leading to a subsequent NULL ptr deref. For very large values
6468    of `i`, the calculation `i * 4` could be a positive value smaller than `i`.
6469    In this case memory is allocated to the internal BIGNUM data field, but it
6470    is insufficiently sized leading to heap corruption. A similar issue exists
6471    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
6472    is ever called by user applications with very large untrusted hex/dec data.
6473    This is anticipated to be a rare occurrence.
6474
6475    All OpenSSL internal usage of these functions use data that is not expected
6476    to be untrusted, e.g. config file data or application command line
6477    arguments. If user developed applications generate config file data based
6478    on untrusted data then it is possible that this could also lead to security
6479    consequences. This is also anticipated to be rare.
6480
6481    This issue was reported to OpenSSL by Guido Vranken.
6482    ([CVE-2016-0797])
6483
6484    *Matt Caswell*
6485
6486  * Fix memory issues in `BIO_*printf` functions
6487
6488    The internal `fmtstr` function used in processing a "%s" format string in
6489    the `BIO_*printf` functions could overflow while calculating the length of a
6490    string and cause an OOB read when printing very long strings.
6491
6492    Additionally the internal `doapr_outch` function can attempt to write to an
6493    OOB memory location (at an offset from the NULL pointer) in the event of a
6494    memory allocation failure. In 1.0.2 and below this could be caused where
6495    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
6496    could be in processing a very long "%s" format string. Memory leaks can
6497    also occur.
6498
6499    The first issue may mask the second issue dependent on compiler behaviour.
6500    These problems could enable attacks where large amounts of untrusted data
6501    is passed to the `BIO_*printf` functions. If applications use these functions
6502    in this way then they could be vulnerable. OpenSSL itself uses these
6503    functions when printing out human-readable dumps of ASN.1 data. Therefore
6504    applications that print this data could be vulnerable if the data is from
6505    untrusted sources. OpenSSL command line applications could also be
6506    vulnerable where they print out ASN.1 data, or if untrusted data is passed
6507    as command line arguments.
6508
6509    Libssl is not considered directly vulnerable. Additionally certificates etc
6510    received via remote connections via libssl are also unlikely to be able to
6511    trigger these issues because of message size limits enforced within libssl.
6512
6513    This issue was reported to OpenSSL Guido Vranken.
6514    ([CVE-2016-0799])
6515
6516    *Matt Caswell*
6517
6518  * Side channel attack on modular exponentiation
6519
6520    A side-channel attack was found which makes use of cache-bank conflicts on
6521    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
6522    of RSA keys.  The ability to exploit this issue is limited as it relies on
6523    an attacker who has control of code in a thread running on the same
6524    hyper-threaded core as the victim thread which is performing decryptions.
6525
6526    This issue was reported to OpenSSL by Yuval Yarom, The University of
6527    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
6528    Nadia Heninger, University of Pennsylvania with more information at
6529    <http://cachebleed.info>.
6530    ([CVE-2016-0702])
6531
6532    *Andy Polyakov*
6533
6534  * Change the req command to generate a 2048-bit RSA/DSA key by default,
6535    if no keysize is specified with default_bits. This fixes an
6536    omission in an earlier change that changed all RSA/DSA key generation
6537    commands to use 2048 bits by default.
6538
6539    *Emilia Käsper*
6540
6541 ### Changes between 1.0.1q and 1.0.1r [28 Jan 2016]
6542
6543  * Protection for DH small subgroup attacks
6544
6545    As a precautionary measure the SSL_OP_SINGLE_DH_USE option has been
6546    switched on by default and cannot be disabled. This could have some
6547    performance impact.
6548
6549    *Matt Caswell*
6550
6551  * SSLv2 doesn't block disabled ciphers
6552
6553    A malicious client can negotiate SSLv2 ciphers that have been disabled on
6554    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
6555    been disabled, provided that the SSLv2 protocol was not also disabled via
6556    SSL_OP_NO_SSLv2.
6557
6558    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
6559    and Sebastian Schinzel.
6560    ([CVE-2015-3197])
6561
6562    *Viktor Dukhovni*
6563
6564  * Reject DH handshakes with parameters shorter than 1024 bits.
6565
6566    *Kurt Roeckx*
6567
6568 ### Changes between 1.0.1p and 1.0.1q [3 Dec 2015]
6569
6570  * Certificate verify crash with missing PSS parameter
6571
6572    The signature verification routines will crash with a NULL pointer
6573    dereference if presented with an ASN.1 signature using the RSA PSS
6574    algorithm and absent mask generation function parameter. Since these
6575    routines are used to verify certificate signature algorithms this can be
6576    used to crash any certificate verification operation and exploited in a
6577    DoS attack. Any application which performs certificate verification is
6578    vulnerable including OpenSSL clients and servers which enable client
6579    authentication.
6580
6581    This issue was reported to OpenSSL by Loïc Jonas Etienne (Qnective AG).
6582    ([CVE-2015-3194])
6583
6584    *Stephen Henson*
6585
6586  * X509_ATTRIBUTE memory leak
6587
6588    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
6589    memory. This structure is used by the PKCS#7 and CMS routines so any
6590    application which reads PKCS#7 or CMS data from untrusted sources is
6591    affected. SSL/TLS is not affected.
6592
6593    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
6594    libFuzzer.
6595    ([CVE-2015-3195])
6596
6597    *Stephen Henson*
6598
6599  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
6600    This changes the decoding behaviour for some invalid messages,
6601    though the change is mostly in the more lenient direction, and
6602    legacy behaviour is preserved as much as possible.
6603
6604    *Emilia Käsper*
6605
6606  * In DSA_generate_parameters_ex, if the provided seed is too short,
6607    use a random seed, as already documented.
6608
6609    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
6610
6611 ### Changes between 1.0.1o and 1.0.1p [9 Jul 2015]
6612
6613  * Alternate chains certificate forgery
6614
6615    During certificate verfification, OpenSSL will attempt to find an
6616    alternative certificate chain if the first attempt to build such a chain
6617    fails. An error in the implementation of this logic can mean that an
6618    attacker could cause certain checks on untrusted certificates to be
6619    bypassed, such as the CA flag, enabling them to use a valid leaf
6620    certificate to act as a CA and "issue" an invalid certificate.
6621
6622    This issue was reported to OpenSSL by Adam Langley/David Benjamin
6623    (Google/BoringSSL).
6624    ([CVE-2015-1793])
6625
6626    *Matt Caswell*
6627
6628  * Race condition handling PSK identify hint
6629
6630    If PSK identity hints are received by a multi-threaded client then
6631    the values are wrongly updated in the parent SSL_CTX structure. This can
6632    result in a race condition potentially leading to a double free of the
6633    identify hint data.
6634    ([CVE-2015-3196])
6635
6636    *Stephen Henson*
6637
6638 ### Changes between 1.0.1n and 1.0.1o [12 Jun 2015]
6639
6640  * Fix HMAC ABI incompatibility. The previous version introduced an ABI
6641    incompatibility in the handling of HMAC. The previous ABI has now been
6642    restored.
6643
6644 ### Changes between 1.0.1m and 1.0.1n [11 Jun 2015]
6645
6646  * Malformed ECParameters causes infinite loop
6647
6648    When processing an ECParameters structure OpenSSL enters an infinite loop
6649    if the curve specified is over a specially malformed binary polynomial
6650    field.
6651
6652    This can be used to perform denial of service against any
6653    system which processes public keys, certificate requests or
6654    certificates.  This includes TLS clients and TLS servers with
6655    client authentication enabled.
6656
6657    This issue was reported to OpenSSL by Joseph Barr-Pixton.
6658    ([CVE-2015-1788])
6659
6660    *Andy Polyakov*
6661
6662  * Exploitable out-of-bounds read in X509_cmp_time
6663
6664    X509_cmp_time does not properly check the length of the ASN1_TIME
6665    string and can read a few bytes out of bounds. In addition,
6666    X509_cmp_time accepts an arbitrary number of fractional seconds in the
6667    time string.
6668
6669    An attacker can use this to craft malformed certificates and CRLs of
6670    various sizes and potentially cause a segmentation fault, resulting in
6671    a DoS on applications that verify certificates or CRLs. TLS clients
6672    that verify CRLs are affected. TLS clients and servers with client
6673    authentication enabled may be affected if they use custom verification
6674    callbacks.
6675
6676    This issue was reported to OpenSSL by Robert Swiecki (Google), and
6677    independently by Hanno Böck.
6678    ([CVE-2015-1789])
6679
6680    *Emilia Käsper*
6681
6682  * PKCS7 crash with missing EnvelopedContent
6683
6684    The PKCS#7 parsing code does not handle missing inner EncryptedContent
6685    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs
6686    with missing content and trigger a NULL pointer dereference on parsing.
6687
6688    Applications that decrypt PKCS#7 data or otherwise parse PKCS#7
6689    structures from untrusted sources are affected. OpenSSL clients and
6690    servers are not affected.
6691
6692    This issue was reported to OpenSSL by Michal Zalewski (Google).
6693    ([CVE-2015-1790])
6694
6695    *Emilia Käsper*
6696
6697  * CMS verify infinite loop with unknown hash function
6698
6699    When verifying a signedData message the CMS code can enter an infinite loop
6700    if presented with an unknown hash function OID. This can be used to perform
6701    denial of service against any system which verifies signedData messages using
6702    the CMS code.
6703    This issue was reported to OpenSSL by Johannes Bauer.
6704    ([CVE-2015-1792])
6705
6706    *Stephen Henson*
6707
6708  * Race condition handling NewSessionTicket
6709
6710    If a NewSessionTicket is received by a multi-threaded client when attempting to
6711    reuse a previous ticket then a race condition can occur potentially leading to
6712    a double free of the ticket data.
6713    ([CVE-2015-1791])
6714
6715    *Matt Caswell*
6716
6717  * Reject DH handshakes with parameters shorter than 768 bits.
6718
6719    *Kurt Roeckx and Emilia Kasper*
6720
6721  * dhparam: generate 2048-bit parameters by default.
6722
6723    *Kurt Roeckx and Emilia Kasper*
6724
6725 ### Changes between 1.0.1l and 1.0.1m [19 Mar 2015]
6726
6727  * Segmentation fault in ASN1_TYPE_cmp fix
6728
6729    The function ASN1_TYPE_cmp will crash with an invalid read if an attempt is
6730    made to compare ASN.1 boolean types. Since ASN1_TYPE_cmp is used to check
6731    certificate signature algorithm consistency this can be used to crash any
6732    certificate verification operation and exploited in a DoS attack. Any
6733    application which performs certificate verification is vulnerable including
6734    OpenSSL clients and servers which enable client authentication.
6735    ([CVE-2015-0286])
6736
6737    *Stephen Henson*
6738
6739  * ASN.1 structure reuse memory corruption fix
6740
6741    Reusing a structure in ASN.1 parsing may allow an attacker to cause
6742    memory corruption via an invalid write. Such reuse is and has been
6743    strongly discouraged and is believed to be rare.
6744
6745    Applications that parse structures containing CHOICE or ANY DEFINED BY
6746    components may be affected. Certificate parsing (d2i_X509 and related
6747    functions) are however not affected. OpenSSL clients and servers are
6748    not affected.
6749    ([CVE-2015-0287])
6750
6751    *Stephen Henson*
6752
6753  * PKCS7 NULL pointer dereferences fix
6754
6755    The PKCS#7 parsing code does not handle missing outer ContentInfo
6756    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs with
6757    missing content and trigger a NULL pointer dereference on parsing.
6758
6759    Applications that verify PKCS#7 signatures, decrypt PKCS#7 data or
6760    otherwise parse PKCS#7 structures from untrusted sources are
6761    affected. OpenSSL clients and servers are not affected.
6762
6763    This issue was reported to OpenSSL by Michal Zalewski (Google).
6764    ([CVE-2015-0289])
6765
6766    *Emilia Käsper*
6767
6768  * DoS via reachable assert in SSLv2 servers fix
6769
6770    A malicious client can trigger an OPENSSL_assert (i.e., an abort) in
6771    servers that both support SSLv2 and enable export cipher suites by sending
6772    a specially crafted SSLv2 CLIENT-MASTER-KEY message.
6773
6774    This issue was discovered by Sean Burford (Google) and Emilia Käsper
6775    (OpenSSL development team).
6776    ([CVE-2015-0293])
6777
6778    *Emilia Käsper*
6779
6780  * Use After Free following d2i_ECPrivatekey error fix
6781
6782    A malformed EC private key file consumed via the d2i_ECPrivateKey function
6783    could cause a use after free condition. This, in turn, could cause a double
6784    free in several private key parsing functions (such as d2i_PrivateKey
6785    or EVP_PKCS82PKEY) and could lead to a DoS attack or memory corruption
6786    for applications that receive EC private keys from untrusted
6787    sources. This scenario is considered rare.
6788
6789    This issue was discovered by the BoringSSL project and fixed in their
6790    commit 517073cd4b.
6791    ([CVE-2015-0209])
6792
6793    *Matt Caswell*
6794
6795  * X509_to_X509_REQ NULL pointer deref fix
6796
6797    The function X509_to_X509_REQ will crash with a NULL pointer dereference if
6798    the certificate key is invalid. This function is rarely used in practice.
6799
6800    This issue was discovered by Brian Carpenter.
6801    ([CVE-2015-0288])
6802
6803    *Stephen Henson*
6804
6805  * Removed the export ciphers from the DEFAULT ciphers
6806
6807    *Kurt Roeckx*
6808
6809 ### Changes between 1.0.1k and 1.0.1l [15 Jan 2015]
6810
6811  * Build fixes for the Windows and OpenVMS platforms
6812
6813    *Matt Caswell and Richard Levitte*
6814
6815 ### Changes between 1.0.1j and 1.0.1k [8 Jan 2015]
6816
6817  * Fix DTLS segmentation fault in dtls1_get_record. A carefully crafted DTLS
6818    message can cause a segmentation fault in OpenSSL due to a NULL pointer
6819    dereference. This could lead to a Denial Of Service attack. Thanks to
6820    Markus Stenberg of Cisco Systems, Inc. for reporting this issue.
6821    ([CVE-2014-3571])
6822
6823    *Steve Henson*
6824
6825  * Fix DTLS memory leak in dtls1_buffer_record. A memory leak can occur in the
6826    dtls1_buffer_record function under certain conditions. In particular this
6827    could occur if an attacker sent repeated DTLS records with the same
6828    sequence number but for the next epoch. The memory leak could be exploited
6829    by an attacker in a Denial of Service attack through memory exhaustion.
6830    Thanks to Chris Mueller for reporting this issue.
6831    ([CVE-2015-0206])
6832
6833    *Matt Caswell*
6834
6835  * Fix issue where no-ssl3 configuration sets method to NULL. When openssl is
6836    built with the no-ssl3 option and a SSL v3 ClientHello is received the ssl
6837    method would be set to NULL which could later result in a NULL pointer
6838    dereference. Thanks to Frank Schmirler for reporting this issue.
6839    ([CVE-2014-3569])
6840
6841    *Kurt Roeckx*
6842
6843  * Abort handshake if server key exchange message is omitted for ephemeral
6844    ECDH ciphersuites.
6845
6846    Thanks to Karthikeyan Bhargavan of the PROSECCO team at INRIA for
6847    reporting this issue.
6848    ([CVE-2014-3572])
6849
6850    *Steve Henson*
6851
6852  * Remove non-export ephemeral RSA code on client and server. This code
6853    violated the TLS standard by allowing the use of temporary RSA keys in
6854    non-export ciphersuites and could be used by a server to effectively
6855    downgrade the RSA key length used to a value smaller than the server
6856    certificate. Thanks for Karthikeyan Bhargavan of the PROSECCO team at
6857    INRIA or reporting this issue.
6858    ([CVE-2015-0204])
6859
6860    *Steve Henson*
6861
6862  * Fixed issue where DH client certificates are accepted without verification.
6863    An OpenSSL server will accept a DH certificate for client authentication
6864    without the certificate verify message. This effectively allows a client to
6865    authenticate without the use of a private key. This only affects servers
6866    which trust a client certificate authority which issues certificates
6867    containing DH keys: these are extremely rare and hardly ever encountered.
6868    Thanks for Karthikeyan Bhargavan of the PROSECCO team at INRIA or reporting
6869    this issue.
6870    ([CVE-2015-0205])
6871
6872    *Steve Henson*
6873
6874  * Ensure that the session ID context of an SSL is updated when its
6875    SSL_CTX is updated via SSL_set_SSL_CTX.
6876
6877    The session ID context is typically set from the parent SSL_CTX,
6878    and can vary with the CTX.
6879
6880    *Adam Langley*
6881
6882  * Fix various certificate fingerprint issues.
6883
6884    By using non-DER or invalid encodings outside the signed portion of a
6885    certificate the fingerprint can be changed without breaking the signature.
6886    Although no details of the signed portion of the certificate can be changed
6887    this can cause problems with some applications: e.g. those using the
6888    certificate fingerprint for blacklists.
6889
6890    1. Reject signatures with non zero unused bits.
6891
6892    If the BIT STRING containing the signature has non zero unused bits reject
6893    the signature. All current signature algorithms require zero unused bits.
6894
6895    2. Check certificate algorithm consistency.
6896
6897    Check the AlgorithmIdentifier inside TBS matches the one in the
6898    certificate signature. NB: this will result in signature failure
6899    errors for some broken certificates.
6900
6901    Thanks to Konrad Kraszewski from Google for reporting this issue.
6902
6903    3. Check DSA/ECDSA signatures use DER.
6904
6905    Re-encode DSA/ECDSA signatures and compare with the original received
6906    signature. Return an error if there is a mismatch.
6907
6908    This will reject various cases including garbage after signature
6909    (thanks to Antti Karjalainen and Tuomo Untinen from the Codenomicon CROSS
6910    program for discovering this case) and use of BER or invalid ASN.1 INTEGERs
6911    (negative or with leading zeroes).
6912
6913    Further analysis was conducted and fixes were developed by Stephen Henson
6914    of the OpenSSL core team.
6915
6916    ([CVE-2014-8275])
6917
6918    *Steve Henson*
6919
6920  * Correct Bignum squaring. Bignum squaring (BN_sqr) may produce incorrect
6921    results on some platforms, including x86_64. This bug occurs at random
6922    with a very low probability, and is not known to be exploitable in any
6923    way, though its exact impact is difficult to determine. Thanks to Pieter
6924    Wuille (Blockstream) who reported this issue and also suggested an initial
6925    fix. Further analysis was conducted by the OpenSSL development team and
6926    Adam Langley of Google. The final fix was developed by Andy Polyakov of
6927    the OpenSSL core team.
6928    ([CVE-2014-3570])
6929
6930    *Andy Polyakov*
6931
6932  * Do not resume sessions on the server if the negotiated protocol
6933    version does not match the session's version. Resuming with a different
6934    version, while not strictly forbidden by the RFC, is of questionable
6935    sanity and breaks all known clients.
6936
6937    *David Benjamin, Emilia Käsper*
6938
6939  * Tighten handling of the ChangeCipherSpec (CCS) message: reject
6940    early CCS messages during renegotiation. (Note that because
6941    renegotiation is encrypted, this early CCS was not exploitable.)
6942
6943    *Emilia Käsper*
6944
6945  * Tighten client-side session ticket handling during renegotiation:
6946    ensure that the client only accepts a session ticket if the server sends
6947    the extension anew in the ServerHello. Previously, a TLS client would
6948    reuse the old extension state and thus accept a session ticket if one was
6949    announced in the initial ServerHello.
6950
6951    Similarly, ensure that the client requires a session ticket if one
6952    was advertised in the ServerHello. Previously, a TLS client would
6953    ignore a missing NewSessionTicket message.
6954
6955    *Emilia Käsper*
6956
6957 ### Changes between 1.0.1i and 1.0.1j [15 Oct 2014]
6958
6959  * SRTP Memory Leak.
6960
6961    A flaw in the DTLS SRTP extension parsing code allows an attacker, who
6962    sends a carefully crafted handshake message, to cause OpenSSL to fail
6963    to free up to 64k of memory causing a memory leak. This could be
6964    exploited in a Denial Of Service attack. This issue affects OpenSSL
6965    1.0.1 server implementations for both SSL/TLS and DTLS regardless of
6966    whether SRTP is used or configured. Implementations of OpenSSL that
6967    have been compiled with OPENSSL_NO_SRTP defined are not affected.
6968
6969    The fix was developed by the OpenSSL team.
6970    ([CVE-2014-3513])
6971
6972    *OpenSSL team*
6973
6974  * Session Ticket Memory Leak.
6975
6976    When an OpenSSL SSL/TLS/DTLS server receives a session ticket the
6977    integrity of that ticket is first verified. In the event of a session
6978    ticket integrity check failing, OpenSSL will fail to free memory
6979    causing a memory leak. By sending a large number of invalid session
6980    tickets an attacker could exploit this issue in a Denial Of Service
6981    attack.
6982    ([CVE-2014-3567])
6983
6984    *Steve Henson*
6985
6986  * Build option no-ssl3 is incomplete.
6987
6988    When OpenSSL is configured with "no-ssl3" as a build option, servers
6989    could accept and complete a SSL 3.0 handshake, and clients could be
6990    configured to send them.
6991    ([CVE-2014-3568])
6992
6993    *Akamai and the OpenSSL team*
6994
6995  * Add support for TLS_FALLBACK_SCSV.
6996    Client applications doing fallback retries should call
6997    SSL_set_mode(s, SSL_MODE_SEND_FALLBACK_SCSV).
6998    ([CVE-2014-3566])
6999
7000    *Adam Langley, Bodo Moeller*
7001
7002  * Add additional DigestInfo checks.
7003
7004    Re-encode DigestInto in DER and check against the original when
7005    verifying RSA signature: this will reject any improperly encoded
7006    DigestInfo structures.
7007
7008    Note: this is a precautionary measure and no attacks are currently known.
7009
7010    *Steve Henson*
7011
7012 ### Changes between 1.0.1h and 1.0.1i [6 Aug 2014]
7013
7014  * Fix SRP buffer overrun vulnerability. Invalid parameters passed to the
7015    SRP code can be overrun an internal buffer. Add sanity check that
7016    g, A, B < N to SRP code.
7017
7018    Thanks to Sean Devlin and Watson Ladd of Cryptography Services, NCC
7019    Group for discovering this issue.
7020    ([CVE-2014-3512])
7021
7022    *Steve Henson*
7023
7024  * A flaw in the OpenSSL SSL/TLS server code causes the server to negotiate
7025    TLS 1.0 instead of higher protocol versions when the ClientHello message
7026    is badly fragmented. This allows a man-in-the-middle attacker to force a
7027    downgrade to TLS 1.0 even if both the server and the client support a
7028    higher protocol version, by modifying the client's TLS records.
7029
7030    Thanks to David Benjamin and Adam Langley (Google) for discovering and
7031    researching this issue.
7032    ([CVE-2014-3511])
7033
7034    *David Benjamin*
7035
7036  * OpenSSL DTLS clients enabling anonymous (EC)DH ciphersuites are subject
7037    to a denial of service attack. A malicious server can crash the client
7038    with a null pointer dereference (read) by specifying an anonymous (EC)DH
7039    ciphersuite and sending carefully crafted handshake messages.
7040
7041    Thanks to Felix Gröbert (Google) for discovering and researching this
7042    issue.
7043    ([CVE-2014-3510])
7044
7045    *Emilia Käsper*
7046
7047  * By sending carefully crafted DTLS packets an attacker could cause openssl
7048    to leak memory. This can be exploited through a Denial of Service attack.
7049    Thanks to Adam Langley for discovering and researching this issue.
7050    ([CVE-2014-3507])
7051
7052    *Adam Langley*
7053
7054  * An attacker can force openssl to consume large amounts of memory whilst
7055    processing DTLS handshake messages. This can be exploited through a
7056    Denial of Service attack.
7057    Thanks to Adam Langley for discovering and researching this issue.
7058    ([CVE-2014-3506])
7059
7060    *Adam Langley*
7061
7062  * An attacker can force an error condition which causes openssl to crash
7063    whilst processing DTLS packets due to memory being freed twice. This
7064    can be exploited through a Denial of Service attack.
7065    Thanks to Adam Langley and Wan-Teh Chang for discovering and researching
7066    this issue.
7067    ([CVE-2014-3505])
7068
7069    *Adam Langley*
7070
7071  * If a multithreaded client connects to a malicious server using a resumed
7072    session and the server sends an ec point format extension it could write
7073    up to 255 bytes to freed memory.
7074
7075    Thanks to Gabor Tyukasz (LogMeIn Inc) for discovering and researching this
7076    issue.
7077    ([CVE-2014-3509])
7078
7079    *Gabor Tyukasz*
7080
7081  * A malicious server can crash an OpenSSL client with a null pointer
7082    dereference (read) by specifying an SRP ciphersuite even though it was not
7083    properly negotiated with the client. This can be exploited through a
7084    Denial of Service attack.
7085
7086    Thanks to Joonas Kuorilehto and Riku Hietamäki (Codenomicon) for
7087    discovering and researching this issue.
7088    ([CVE-2014-5139])
7089
7090    *Steve Henson*
7091
7092  * A flaw in OBJ_obj2txt may cause pretty printing functions such as
7093    X509_name_oneline, X509_name_print_ex et al. to leak some information
7094    from the stack. Applications may be affected if they echo pretty printing
7095    output to the attacker.
7096
7097    Thanks to Ivan Fratric (Google) for discovering this issue.
7098    ([CVE-2014-3508])
7099
7100    *Emilia Käsper, and Steve Henson*
7101
7102  * Fix ec_GFp_simple_points_make_affine (thus, EC_POINTs_mul etc.)
7103    for corner cases. (Certain input points at infinity could lead to
7104    bogus results, with non-infinity inputs mapped to infinity too.)
7105
7106    *Bodo Moeller*
7107
7108 ### Changes between 1.0.1g and 1.0.1h [5 Jun 2014]
7109
7110  * Fix for SSL/TLS MITM flaw. An attacker using a carefully crafted
7111    handshake can force the use of weak keying material in OpenSSL
7112    SSL/TLS clients and servers.
7113
7114    Thanks to KIKUCHI Masashi (Lepidum Co. Ltd.) for discovering and
7115    researching this issue. ([CVE-2014-0224])
7116
7117    *KIKUCHI Masashi, Steve Henson*
7118
7119  * Fix DTLS recursion flaw. By sending an invalid DTLS handshake to an
7120    OpenSSL DTLS client the code can be made to recurse eventually crashing
7121    in a DoS attack.
7122
7123    Thanks to Imre Rad (Search-Lab Ltd.) for discovering this issue.
7124    ([CVE-2014-0221])
7125
7126    *Imre Rad, Steve Henson*
7127
7128  * Fix DTLS invalid fragment vulnerability. A buffer overrun attack can
7129    be triggered by sending invalid DTLS fragments to an OpenSSL DTLS
7130    client or server. This is potentially exploitable to run arbitrary
7131    code on a vulnerable client or server.
7132
7133    Thanks to Jüri Aedla for reporting this issue. ([CVE-2014-0195])
7134
7135    *Jüri Aedla, Steve Henson*
7136
7137  * Fix bug in TLS code where clients enable anonymous ECDH ciphersuites
7138    are subject to a denial of service attack.
7139
7140    Thanks to Felix Gröbert and Ivan Fratric at Google for discovering
7141    this issue. ([CVE-2014-3470])
7142
7143    *Felix Gröbert, Ivan Fratric, Steve Henson*
7144
7145  * Harmonize version and its documentation. -f flag is used to display
7146    compilation flags.
7147
7148    *mancha <mancha1@zoho.com>*
7149
7150  * Fix eckey_priv_encode so it immediately returns an error upon a failure
7151    in i2d_ECPrivateKey.
7152
7153    *mancha <mancha1@zoho.com>*
7154
7155  * Fix some double frees. These are not thought to be exploitable.
7156
7157    *mancha <mancha1@zoho.com>*
7158
7159 ### Changes between 1.0.1f and 1.0.1g [7 Apr 2014]
7160
7161  * A missing bounds check in the handling of the TLS heartbeat extension
7162    can be used to reveal up to 64k of memory to a connected client or
7163    server.
7164
7165    Thanks for Neel Mehta of Google Security for discovering this bug and to
7166    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
7167    preparing the fix ([CVE-2014-0160])
7168
7169    *Adam Langley, Bodo Moeller*
7170
7171  * Fix for the attack described in the paper "Recovering OpenSSL
7172    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
7173    by Yuval Yarom and Naomi Benger. Details can be obtained from:
7174    <http://eprint.iacr.org/2014/140>
7175
7176    Thanks to Yuval Yarom and Naomi Benger for discovering this
7177    flaw and to Yuval Yarom for supplying a fix ([CVE-2014-0076])
7178
7179    *Yuval Yarom and Naomi Benger*
7180
7181  * TLS pad extension: draft-agl-tls-padding-03
7182
7183    Workaround for the "TLS hang bug" (see FAQ and PR#2771): if the
7184    TLS client Hello record length value would otherwise be > 255 and
7185    less that 512 pad with a dummy extension containing zeroes so it
7186    is at least 512 bytes long.
7187
7188    *Adam Langley, Steve Henson*
7189
7190 ### Changes between 1.0.1e and 1.0.1f [6 Jan 2014]
7191
7192  * Fix for TLS record tampering bug. A carefully crafted invalid
7193    handshake could crash OpenSSL with a NULL pointer exception.
7194    Thanks to Anton Johansson for reporting this issues.
7195    ([CVE-2013-4353])
7196
7197  * Keep original DTLS digest and encryption contexts in retransmission
7198    structures so we can use the previous session parameters if they need
7199    to be resent. ([CVE-2013-6450])
7200
7201    *Steve Henson*
7202
7203  * Add option SSL_OP_SAFARI_ECDHE_ECDSA_BUG (part of SSL_OP_ALL) which
7204    avoids preferring ECDHE-ECDSA ciphers when the client appears to be
7205    Safari on OS X.  Safari on OS X 10.8..10.8.3 advertises support for
7206    several ECDHE-ECDSA ciphers, but fails to negotiate them.  The bug
7207    is fixed in OS X 10.8.4, but Apple have ruled out both hot fixing
7208    10.8..10.8.3 and forcing users to upgrade to 10.8.4 or newer.
7209
7210    *Rob Stradling, Adam Langley*
7211
7212 ### Changes between 1.0.1d and 1.0.1e [11 Feb 2013]
7213
7214  * Correct fix for CVE-2013-0169. The original didn't work on AES-NI
7215    supporting platforms or when small records were transferred.
7216
7217    *Andy Polyakov, Steve Henson*
7218
7219 ### Changes between 1.0.1c and 1.0.1d [5 Feb 2013]
7220
7221  * Make the decoding of SSLv3, TLS and DTLS CBC records constant time.
7222
7223    This addresses the flaw in CBC record processing discovered by
7224    Nadhem Alfardan and Kenny Paterson. Details of this attack can be found
7225    at: <http://www.isg.rhul.ac.uk/tls/>
7226
7227    Thanks go to Nadhem Alfardan and Kenny Paterson of the Information
7228    Security Group at Royal Holloway, University of London
7229    (www.isg.rhul.ac.uk) for discovering this flaw and Adam Langley and
7230    Emilia Käsper for the initial patch.
7231    ([CVE-2013-0169])
7232
7233    *Emilia Käsper, Adam Langley, Ben Laurie, Andy Polyakov, Steve Henson*
7234
7235  * Fix flaw in AESNI handling of TLS 1.2 and 1.1 records for CBC mode
7236    ciphersuites which can be exploited in a denial of service attack.
7237    Thanks go to and to Adam Langley <agl@chromium.org> for discovering
7238    and detecting this bug and to Wolfgang Ettlinger
7239    <wolfgang.ettlinger@gmail.com> for independently discovering this issue.
7240    ([CVE-2012-2686])
7241
7242    *Adam Langley*
7243
7244  * Return an error when checking OCSP signatures when key is NULL.
7245    This fixes a DoS attack. ([CVE-2013-0166])
7246
7247    *Steve Henson*
7248
7249  * Make openssl verify return errors.
7250
7251    *Chris Palmer <palmer@google.com> and Ben Laurie*
7252
7253  * Call OCSP Stapling callback after ciphersuite has been chosen, so
7254    the right response is stapled. Also change SSL_get_certificate()
7255    so it returns the certificate actually sent.
7256    See <http://rt.openssl.org/Ticket/Display.html?id=2836>.
7257
7258    *Rob Stradling <rob.stradling@comodo.com>*
7259
7260  * Fix possible deadlock when decoding public keys.
7261
7262    *Steve Henson*
7263
7264  * Don't use TLS 1.0 record version number in initial client hello
7265    if renegotiating.
7266
7267    *Steve Henson*
7268
7269 ### Changes between 1.0.1b and 1.0.1c [10 May 2012]
7270
7271  * Sanity check record length before skipping explicit IV in TLS
7272    1.2, 1.1 and DTLS to fix DoS attack.
7273
7274    Thanks to Codenomicon for discovering this issue using Fuzz-o-Matic
7275    fuzzing as a service testing platform.
7276    ([CVE-2012-2333])
7277
7278    *Steve Henson*
7279
7280  * Initialise tkeylen properly when encrypting CMS messages.
7281    Thanks to Solar Designer of Openwall for reporting this issue.
7282
7283    *Steve Henson*
7284
7285  * In FIPS mode don't try to use composite ciphers as they are not
7286    approved.
7287
7288    *Steve Henson*
7289
7290 ### Changes between 1.0.1a and 1.0.1b [26 Apr 2012]
7291
7292  * OpenSSL 1.0.0 sets SSL_OP_ALL to 0x80000FFFL and OpenSSL 1.0.1 and
7293    1.0.1a set SSL_OP_NO_TLSv1_1 to 0x00000400L which would unfortunately
7294    mean any application compiled against OpenSSL 1.0.0 headers setting
7295    SSL_OP_ALL would also set SSL_OP_NO_TLSv1_1, unintentionally disabling
7296    TLS 1.1 also. Fix this by changing the value of SSL_OP_NO_TLSv1_1 to
7297    0x10000000L Any application which was previously compiled against
7298    OpenSSL 1.0.1 or 1.0.1a headers and which cares about SSL_OP_NO_TLSv1_1
7299    will need to be recompiled as a result. Letting be results in
7300    inability to disable specifically TLS 1.1 and in client context,
7301    in unlike event, limit maximum offered version to TLS 1.0 [see below].
7302
7303    *Steve Henson*
7304
7305  * In order to ensure interoperability SSL_OP_NO_protocolX does not
7306    disable just protocol X, but all protocols above X *if* there are
7307    protocols *below* X still enabled. In more practical terms it means
7308    that if application wants to disable TLS1.0 in favor of TLS1.1 and
7309    above, it's not sufficient to pass `SSL_OP_NO_TLSv1`, one has to pass
7310    `SSL_OP_NO_TLSv1|SSL_OP_NO_SSLv3|SSL_OP_NO_SSLv2`. This applies to
7311    client side.
7312
7313    *Andy Polyakov*
7314
7315 ### Changes between 1.0.1 and 1.0.1a [19 Apr 2012]
7316
7317  * Check for potentially exploitable overflows in asn1_d2i_read_bio
7318    BUF_mem_grow and BUF_mem_grow_clean. Refuse attempts to shrink buffer
7319    in CRYPTO_realloc_clean.
7320
7321    Thanks to Tavis Ormandy, Google Security Team, for discovering this
7322    issue and to Adam Langley <agl@chromium.org> for fixing it.
7323    ([CVE-2012-2110])
7324
7325    *Adam Langley (Google), Tavis Ormandy, Google Security Team*
7326
7327  * Don't allow TLS 1.2 SHA-256 ciphersuites in TLS 1.0, 1.1 connections.
7328
7329    *Adam Langley*
7330
7331  * Workarounds for some broken servers that "hang" if a client hello
7332    record length exceeds 255 bytes.
7333
7334    1. Do not use record version number > TLS 1.0 in initial client
7335       hello: some (but not all) hanging servers will now work.
7336    2. If we set OPENSSL_MAX_TLS1_2_CIPHER_LENGTH this will truncate
7337       the number of ciphers sent in the client hello. This should be
7338       set to an even number, such as 50, for example by passing:
7339       -DOPENSSL_MAX_TLS1_2_CIPHER_LENGTH=50 to config or Configure.
7340       Most broken servers should now work.
7341    3. If all else fails setting OPENSSL_NO_TLS1_2_CLIENT will disable
7342       TLS 1.2 client support entirely.
7343
7344    *Steve Henson*
7345
7346  * Fix SEGV in Vector Permutation AES module observed in OpenSSH.
7347
7348    *Andy Polyakov*
7349
7350 ### Changes between 1.0.0h and 1.0.1  [14 Mar 2012]
7351
7352  * Add compatibility with old MDC2 signatures which use an ASN1 OCTET
7353    STRING form instead of a DigestInfo.
7354
7355    *Steve Henson*
7356
7357  * The format used for MDC2 RSA signatures is inconsistent between EVP
7358    and the RSA_sign/RSA_verify functions. This was made more apparent when
7359    OpenSSL used RSA_sign/RSA_verify for some RSA signatures in particular
7360    those which went through EVP_PKEY_METHOD in 1.0.0 and later. Detect
7361    the correct format in RSA_verify so both forms transparently work.
7362
7363    *Steve Henson*
7364
7365  * Some servers which support TLS 1.0 can choke if we initially indicate
7366    support for TLS 1.2 and later renegotiate using TLS 1.0 in the RSA
7367    encrypted premaster secret. As a workaround use the maximum permitted
7368    client version in client hello, this should keep such servers happy
7369    and still work with previous versions of OpenSSL.
7370
7371    *Steve Henson*
7372
7373  * Add support for TLS/DTLS heartbeats.
7374
7375    *Robin Seggelmann <seggelmann@fh-muenster.de>*
7376
7377  * Add support for SCTP.
7378
7379    *Robin Seggelmann <seggelmann@fh-muenster.de>*
7380
7381  * Improved PRNG seeding for VOS.
7382
7383    *Paul Green <Paul.Green@stratus.com>*
7384
7385  * Extensive assembler packs updates, most notably:
7386
7387    - x86[_64]:     AES-NI, PCLMULQDQ, RDRAND support;
7388    - x86[_64]:     SSSE3 support (SHA1, vector-permutation AES);
7389    - x86_64:       bit-sliced AES implementation;
7390    - ARM:          NEON support, contemporary platforms optimizations;
7391    - s390x:        z196 support;
7392    - `*`:            GHASH and GF(2^m) multiplication implementations;
7393
7394    *Andy Polyakov*
7395
7396  * Make TLS-SRP code conformant with RFC 5054 API cleanup
7397    (removal of unnecessary code)
7398
7399    *Peter Sylvester <peter.sylvester@edelweb.fr>*
7400
7401  * Add TLS key material exporter from RFC 5705.
7402
7403    *Eric Rescorla*
7404
7405  * Add DTLS-SRTP negotiation from RFC 5764.
7406
7407    *Eric Rescorla*
7408
7409  * Add Next Protocol Negotiation,
7410    <http://tools.ietf.org/html/draft-agl-tls-nextprotoneg-00>. Can be
7411    disabled with a no-npn flag to config or Configure. Code donated
7412    by Google.
7413
7414    *Adam Langley <agl@google.com> and Ben Laurie*
7415
7416  * Add optional 64-bit optimized implementations of elliptic curves NIST-P224,
7417    NIST-P256, NIST-P521, with constant-time single point multiplication on
7418    typical inputs. Compiler support for the nonstandard type `__uint128_t` is
7419    required to use this (present in gcc 4.4 and later, for 64-bit builds).
7420    Code made available under Apache License version 2.0.
7421
7422    Specify "enable-ec_nistp_64_gcc_128" on the Configure (or config) command
7423    line to include this in your build of OpenSSL, and run "make depend" (or
7424    "make update"). This enables the following EC_METHODs:
7425
7426            EC_GFp_nistp224_method()
7427            EC_GFp_nistp256_method()
7428            EC_GFp_nistp521_method()
7429
7430    EC_GROUP_new_by_curve_name() will automatically use these (while
7431    EC_GROUP_new_curve_GFp() currently prefers the more flexible
7432    implementations).
7433
7434    *Emilia Käsper, Adam Langley, Bodo Moeller (Google)*
7435
7436  * Use type ossl_ssize_t instead of ssize_t which isn't available on
7437    all platforms. Move ssize_t definition from e_os.h to the public
7438    header file e_os2.h as it now appears in public header file cms.h
7439
7440    *Steve Henson*
7441
7442  * New -sigopt option to the ca, req and x509 utilities. Additional
7443    signature parameters can be passed using this option and in
7444    particular PSS.
7445
7446    *Steve Henson*
7447
7448  * Add RSA PSS signing function. This will generate and set the
7449    appropriate AlgorithmIdentifiers for PSS based on those in the
7450    corresponding EVP_MD_CTX structure. No application support yet.
7451
7452    *Steve Henson*
7453
7454  * Support for companion algorithm specific ASN1 signing routines.
7455    New function ASN1_item_sign_ctx() signs a pre-initialised
7456    EVP_MD_CTX structure and sets AlgorithmIdentifiers based on
7457    the appropriate parameters.
7458
7459    *Steve Henson*
7460
7461  * Add new algorithm specific ASN1 verification initialisation function
7462    to EVP_PKEY_ASN1_METHOD: this is not in EVP_PKEY_METHOD since the ASN1
7463    handling will be the same no matter what EVP_PKEY_METHOD is used.
7464    Add a PSS handler to support verification of PSS signatures: checked
7465    against a number of sample certificates.
7466
7467    *Steve Henson*
7468
7469  * Add signature printing for PSS. Add PSS OIDs.
7470
7471    *Steve Henson, Martin Kaiser <lists@kaiser.cx>*
7472
7473  * Add algorithm specific signature printing. An individual ASN1 method
7474    can now print out signatures instead of the standard hex dump.
7475
7476    More complex signatures (e.g. PSS) can print out more meaningful
7477    information. Include DSA version that prints out the signature
7478    parameters r, s.
7479
7480    *Steve Henson*
7481
7482  * Password based recipient info support for CMS library: implementing
7483    RFC3211.
7484
7485    *Steve Henson*
7486
7487  * Split password based encryption into PBES2 and PBKDF2 functions. This
7488    neatly separates the code into cipher and PBE sections and is required
7489    for some algorithms that split PBES2 into separate pieces (such as
7490    password based CMS).
7491
7492    *Steve Henson*
7493
7494  * Session-handling fixes:
7495    - Fix handling of connections that are resuming with a session ID,
7496      but also support Session Tickets.
7497    - Fix a bug that suppressed issuing of a new ticket if the client
7498      presented a ticket with an expired session.
7499    - Try to set the ticket lifetime hint to something reasonable.
7500    - Make tickets shorter by excluding irrelevant information.
7501    - On the client side, don't ignore renewed tickets.
7502
7503    *Adam Langley, Bodo Moeller (Google)*
7504
7505  * Fix PSK session representation.
7506
7507    *Bodo Moeller*
7508
7509  * Add RC4-MD5 and AESNI-SHA1 "stitched" implementations.
7510
7511    This work was sponsored by Intel.
7512
7513    *Andy Polyakov*
7514
7515  * Add GCM support to TLS library. Some custom code is needed to split
7516    the IV between the fixed (from PRF) and explicit (from TLS record)
7517    portions. This adds all GCM ciphersuites supported by RFC5288 and
7518    RFC5289. Generalise some `AES*` cipherstrings to include GCM and
7519    add a special AESGCM string for GCM only.
7520
7521    *Steve Henson*
7522
7523  * Expand range of ctrls for AES GCM. Permit setting invocation
7524    field on decrypt and retrieval of invocation field only on encrypt.
7525
7526    *Steve Henson*
7527
7528  * Add HMAC ECC ciphersuites from RFC5289. Include SHA384 PRF support.
7529    As required by RFC5289 these ciphersuites cannot be used if for
7530    versions of TLS earlier than 1.2.
7531
7532    *Steve Henson*
7533
7534  * For FIPS capable OpenSSL interpret a NULL default public key method
7535    as unset and return the appropriate default but do *not* set the default.
7536    This means we can return the appropriate method in applications that
7537    switch between FIPS and non-FIPS modes.
7538
7539    *Steve Henson*
7540
7541  * Redirect HMAC and CMAC operations to FIPS module in FIPS mode. If an
7542    ENGINE is used then we cannot handle that in the FIPS module so we
7543    keep original code iff non-FIPS operations are allowed.
7544
7545    *Steve Henson*
7546
7547  * Add -attime option to openssl utilities.
7548
7549    *Peter Eckersley <pde@eff.org>, Ben Laurie and Steve Henson*
7550
7551  * Redirect DSA and DH operations to FIPS module in FIPS mode.
7552
7553    *Steve Henson*
7554
7555  * Redirect ECDSA and ECDH operations to FIPS module in FIPS mode. Also use
7556    FIPS EC methods unconditionally for now.
7557
7558    *Steve Henson*
7559
7560  * New build option no-ec2m to disable characteristic 2 code.
7561
7562    *Steve Henson*
7563
7564  * Backport libcrypto audit of return value checking from 1.1.0-dev; not
7565    all cases can be covered as some introduce binary incompatibilities.
7566
7567    *Steve Henson*
7568
7569  * Redirect RSA operations to FIPS module including keygen,
7570    encrypt, decrypt, sign and verify. Block use of non FIPS RSA methods.
7571
7572    *Steve Henson*
7573
7574  * Add similar low level API blocking to ciphers.
7575
7576    *Steve Henson*
7577
7578  * Low level digest APIs are not approved in FIPS mode: any attempt
7579    to use these will cause a fatal error. Applications that *really* want
7580    to use them can use the `private_*` version instead.
7581
7582    *Steve Henson*
7583
7584  * Redirect cipher operations to FIPS module for FIPS builds.
7585
7586    *Steve Henson*
7587
7588  * Redirect digest operations to FIPS module for FIPS builds.
7589
7590    *Steve Henson*
7591
7592  * Update build system to add "fips" flag which will link in fipscanister.o
7593    for static and shared library builds embedding a signature if needed.
7594
7595    *Steve Henson*
7596
7597  * Output TLS supported curves in preference order instead of numerical
7598    order. This is currently hardcoded for the highest order curves first.
7599    This should be configurable so applications can judge speed vs strength.
7600
7601    *Steve Henson*
7602
7603  * Add TLS v1.2 server support for client authentication.
7604
7605    *Steve Henson*
7606
7607  * Add support for FIPS mode in ssl library: disable SSLv3, non-FIPS ciphers
7608    and enable MD5.
7609
7610    *Steve Henson*
7611
7612  * Functions FIPS_mode_set() and FIPS_mode() which call the underlying
7613    FIPS modules versions.
7614
7615    *Steve Henson*
7616
7617  * Add TLS v1.2 client side support for client authentication. Keep cache
7618    of handshake records longer as we don't know the hash algorithm to use
7619    until after the certificate request message is received.
7620
7621    *Steve Henson*
7622
7623  * Initial TLS v1.2 client support. Add a default signature algorithms
7624    extension including all the algorithms we support. Parse new signature
7625    format in client key exchange. Relax some ECC signing restrictions for
7626    TLS v1.2 as indicated in RFC5246.
7627
7628    *Steve Henson*
7629
7630  * Add server support for TLS v1.2 signature algorithms extension. Switch
7631    to new signature format when needed using client digest preference.
7632    All server ciphersuites should now work correctly in TLS v1.2. No client
7633    support yet and no support for client certificates.
7634
7635    *Steve Henson*
7636
7637  * Initial TLS v1.2 support. Add new SHA256 digest to ssl code, switch
7638    to SHA256 for PRF when using TLS v1.2 and later. Add new SHA256 based
7639    ciphersuites. At present only RSA key exchange ciphersuites work with
7640    TLS v1.2. Add new option for TLS v1.2 replacing the old and obsolete
7641    SSL_OP_PKCS1_CHECK flags with SSL_OP_NO_TLSv1_2. New TLSv1.2 methods
7642    and version checking.
7643
7644    *Steve Henson*
7645
7646  * New option OPENSSL_NO_SSL_INTERN. If an application can be compiled
7647    with this defined it will not be affected by any changes to ssl internal
7648    structures. Add several utility functions to allow openssl application
7649    to work with OPENSSL_NO_SSL_INTERN defined.
7650
7651    *Steve Henson*
7652
7653  * A long standing patch to add support for SRP from EdelWeb (Peter
7654    Sylvester and Christophe Renou) was integrated.
7655    *Christophe Renou <christophe.renou@edelweb.fr>, Peter Sylvester
7656    <peter.sylvester@edelweb.fr>, Tom Wu <tjw@cs.stanford.edu>, and
7657    Ben Laurie*
7658
7659  * Add functions to copy EVP_PKEY_METHOD and retrieve flags and id.
7660
7661    *Steve Henson*
7662
7663  * Permit abbreviated handshakes when renegotiating using the function
7664    SSL_renegotiate_abbreviated().
7665
7666    *Robin Seggelmann <seggelmann@fh-muenster.de>*
7667
7668  * Add call to ENGINE_register_all_complete() to
7669    ENGINE_load_builtin_engines(), so some implementations get used
7670    automatically instead of needing explicit application support.
7671
7672    *Steve Henson*
7673
7674  * Add support for TLS key exporter as described in RFC5705.
7675
7676    *Robin Seggelmann <seggelmann@fh-muenster.de>, Steve Henson*
7677
7678  * Initial TLSv1.1 support. Since TLSv1.1 is very similar to TLS v1.0 only
7679    a few changes are required:
7680
7681      Add SSL_OP_NO_TLSv1_1 flag.
7682      Add TLSv1_1 methods.
7683      Update version checking logic to handle version 1.1.
7684      Add explicit IV handling (ported from DTLS code).
7685      Add command line options to s_client/s_server.
7686
7687    *Steve Henson*
7688
7689 OpenSSL 1.0.0
7690 -------------
7691
7692 ### Changes between 1.0.0s and 1.0.0t [3 Dec 2015]
7693
7694  * X509_ATTRIBUTE memory leak
7695
7696    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
7697    memory. This structure is used by the PKCS#7 and CMS routines so any
7698    application which reads PKCS#7 or CMS data from untrusted sources is
7699    affected. SSL/TLS is not affected.
7700
7701    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
7702    libFuzzer.
7703    ([CVE-2015-3195])
7704
7705    *Stephen Henson*
7706
7707  * Race condition handling PSK identify hint
7708
7709    If PSK identity hints are received by a multi-threaded client then
7710    the values are wrongly updated in the parent SSL_CTX structure. This can
7711    result in a race condition potentially leading to a double free of the
7712    identify hint data.
7713    ([CVE-2015-3196])
7714
7715    *Stephen Henson*
7716
7717 ### Changes between 1.0.0r and 1.0.0s [11 Jun 2015]
7718
7719  * Malformed ECParameters causes infinite loop
7720
7721    When processing an ECParameters structure OpenSSL enters an infinite loop
7722    if the curve specified is over a specially malformed binary polynomial
7723    field.
7724
7725    This can be used to perform denial of service against any
7726    system which processes public keys, certificate requests or
7727    certificates.  This includes TLS clients and TLS servers with
7728    client authentication enabled.
7729
7730    This issue was reported to OpenSSL by Joseph Barr-Pixton.
7731    ([CVE-2015-1788])
7732
7733    *Andy Polyakov*
7734
7735  * Exploitable out-of-bounds read in X509_cmp_time
7736
7737    X509_cmp_time does not properly check the length of the ASN1_TIME
7738    string and can read a few bytes out of bounds. In addition,
7739    X509_cmp_time accepts an arbitrary number of fractional seconds in the
7740    time string.
7741
7742    An attacker can use this to craft malformed certificates and CRLs of
7743    various sizes and potentially cause a segmentation fault, resulting in
7744    a DoS on applications that verify certificates or CRLs. TLS clients
7745    that verify CRLs are affected. TLS clients and servers with client
7746    authentication enabled may be affected if they use custom verification
7747    callbacks.
7748
7749    This issue was reported to OpenSSL by Robert Swiecki (Google), and
7750    independently by Hanno Böck.
7751    ([CVE-2015-1789])
7752
7753    *Emilia Käsper*
7754
7755  * PKCS7 crash with missing EnvelopedContent
7756
7757    The PKCS#7 parsing code does not handle missing inner EncryptedContent
7758    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs
7759    with missing content and trigger a NULL pointer dereference on parsing.
7760
7761    Applications that decrypt PKCS#7 data or otherwise parse PKCS#7
7762    structures from untrusted sources are affected. OpenSSL clients and
7763    servers are not affected.
7764
7765    This issue was reported to OpenSSL by Michal Zalewski (Google).
7766    ([CVE-2015-1790])
7767
7768    *Emilia Käsper*
7769
7770  * CMS verify infinite loop with unknown hash function
7771
7772    When verifying a signedData message the CMS code can enter an infinite loop
7773    if presented with an unknown hash function OID. This can be used to perform
7774    denial of service against any system which verifies signedData messages using
7775    the CMS code.
7776    This issue was reported to OpenSSL by Johannes Bauer.
7777    ([CVE-2015-1792])
7778
7779    *Stephen Henson*
7780
7781  * Race condition handling NewSessionTicket
7782
7783    If a NewSessionTicket is received by a multi-threaded client when attempting to
7784    reuse a previous ticket then a race condition can occur potentially leading to
7785    a double free of the ticket data.
7786    ([CVE-2015-1791])
7787
7788    *Matt Caswell*
7789
7790 ### Changes between 1.0.0q and 1.0.0r [19 Mar 2015]
7791
7792  * Segmentation fault in ASN1_TYPE_cmp fix
7793
7794    The function ASN1_TYPE_cmp will crash with an invalid read if an attempt is
7795    made to compare ASN.1 boolean types. Since ASN1_TYPE_cmp is used to check
7796    certificate signature algorithm consistency this can be used to crash any
7797    certificate verification operation and exploited in a DoS attack. Any
7798    application which performs certificate verification is vulnerable including
7799    OpenSSL clients and servers which enable client authentication.
7800    ([CVE-2015-0286])
7801
7802    *Stephen Henson*
7803
7804  * ASN.1 structure reuse memory corruption fix
7805
7806    Reusing a structure in ASN.1 parsing may allow an attacker to cause
7807    memory corruption via an invalid write. Such reuse is and has been
7808    strongly discouraged and is believed to be rare.
7809
7810    Applications that parse structures containing CHOICE or ANY DEFINED BY
7811    components may be affected. Certificate parsing (d2i_X509 and related
7812    functions) are however not affected. OpenSSL clients and servers are
7813    not affected.
7814    ([CVE-2015-0287])
7815
7816    *Stephen Henson*
7817
7818  * PKCS7 NULL pointer dereferences fix
7819
7820    The PKCS#7 parsing code does not handle missing outer ContentInfo
7821    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs with
7822    missing content and trigger a NULL pointer dereference on parsing.
7823
7824    Applications that verify PKCS#7 signatures, decrypt PKCS#7 data or
7825    otherwise parse PKCS#7 structures from untrusted sources are
7826    affected. OpenSSL clients and servers are not affected.
7827
7828    This issue was reported to OpenSSL by Michal Zalewski (Google).
7829    ([CVE-2015-0289])
7830
7831    *Emilia Käsper*
7832
7833  * DoS via reachable assert in SSLv2 servers fix
7834
7835    A malicious client can trigger an OPENSSL_assert (i.e., an abort) in
7836    servers that both support SSLv2 and enable export cipher suites by sending
7837    a specially crafted SSLv2 CLIENT-MASTER-KEY message.
7838
7839    This issue was discovered by Sean Burford (Google) and Emilia Käsper
7840    (OpenSSL development team).
7841    ([CVE-2015-0293])
7842
7843    *Emilia Käsper*
7844
7845  * Use After Free following d2i_ECPrivatekey error fix
7846
7847    A malformed EC private key file consumed via the d2i_ECPrivateKey function
7848    could cause a use after free condition. This, in turn, could cause a double
7849    free in several private key parsing functions (such as d2i_PrivateKey
7850    or EVP_PKCS82PKEY) and could lead to a DoS attack or memory corruption
7851    for applications that receive EC private keys from untrusted
7852    sources. This scenario is considered rare.
7853
7854    This issue was discovered by the BoringSSL project and fixed in their
7855    commit 517073cd4b.
7856    ([CVE-2015-0209])
7857
7858    *Matt Caswell*
7859
7860  * X509_to_X509_REQ NULL pointer deref fix
7861
7862    The function X509_to_X509_REQ will crash with a NULL pointer dereference if
7863    the certificate key is invalid. This function is rarely used in practice.
7864
7865    This issue was discovered by Brian Carpenter.
7866    ([CVE-2015-0288])
7867
7868    *Stephen Henson*
7869
7870  * Removed the export ciphers from the DEFAULT ciphers
7871
7872    *Kurt Roeckx*
7873
7874 ### Changes between 1.0.0p and 1.0.0q [15 Jan 2015]
7875
7876  * Build fixes for the Windows and OpenVMS platforms
7877
7878    *Matt Caswell and Richard Levitte*
7879
7880 ### Changes between 1.0.0o and 1.0.0p [8 Jan 2015]
7881
7882  * Fix DTLS segmentation fault in dtls1_get_record. A carefully crafted DTLS
7883    message can cause a segmentation fault in OpenSSL due to a NULL pointer
7884    dereference. This could lead to a Denial Of Service attack. Thanks to
7885    Markus Stenberg of Cisco Systems, Inc. for reporting this issue.
7886    ([CVE-2014-3571])
7887
7888    *Steve Henson*
7889
7890  * Fix DTLS memory leak in dtls1_buffer_record. A memory leak can occur in the
7891    dtls1_buffer_record function under certain conditions. In particular this
7892    could occur if an attacker sent repeated DTLS records with the same
7893    sequence number but for the next epoch. The memory leak could be exploited
7894    by an attacker in a Denial of Service attack through memory exhaustion.
7895    Thanks to Chris Mueller for reporting this issue.
7896    ([CVE-2015-0206])
7897
7898    *Matt Caswell*
7899
7900  * Fix issue where no-ssl3 configuration sets method to NULL. When openssl is
7901    built with the no-ssl3 option and a SSL v3 ClientHello is received the ssl
7902    method would be set to NULL which could later result in a NULL pointer
7903    dereference. Thanks to Frank Schmirler for reporting this issue.
7904    ([CVE-2014-3569])
7905
7906    *Kurt Roeckx*
7907
7908  * Abort handshake if server key exchange message is omitted for ephemeral
7909    ECDH ciphersuites.
7910
7911    Thanks to Karthikeyan Bhargavan of the PROSECCO team at INRIA for
7912    reporting this issue.
7913    ([CVE-2014-3572])
7914
7915    *Steve Henson*
7916
7917  * Remove non-export ephemeral RSA code on client and server. This code
7918    violated the TLS standard by allowing the use of temporary RSA keys in
7919    non-export ciphersuites and could be used by a server to effectively
7920    downgrade the RSA key length used to a value smaller than the server
7921    certificate. Thanks for Karthikeyan Bhargavan of the PROSECCO team at
7922    INRIA or reporting this issue.
7923    ([CVE-2015-0204])
7924
7925    *Steve Henson*
7926
7927  * Fixed issue where DH client certificates are accepted without verification.
7928    An OpenSSL server will accept a DH certificate for client authentication
7929    without the certificate verify message. This effectively allows a client to
7930    authenticate without the use of a private key. This only affects servers
7931    which trust a client certificate authority which issues certificates
7932    containing DH keys: these are extremely rare and hardly ever encountered.
7933    Thanks for Karthikeyan Bhargavan of the PROSECCO team at INRIA or reporting
7934    this issue.
7935    ([CVE-2015-0205])
7936
7937    *Steve Henson*
7938
7939  * Correct Bignum squaring. Bignum squaring (BN_sqr) may produce incorrect
7940    results on some platforms, including x86_64. This bug occurs at random
7941    with a very low probability, and is not known to be exploitable in any
7942    way, though its exact impact is difficult to determine. Thanks to Pieter
7943    Wuille (Blockstream) who reported this issue and also suggested an initial
7944    fix. Further analysis was conducted by the OpenSSL development team and
7945    Adam Langley of Google. The final fix was developed by Andy Polyakov of
7946    the OpenSSL core team.
7947    ([CVE-2014-3570])
7948
7949    *Andy Polyakov*
7950
7951  * Fix various certificate fingerprint issues.
7952
7953    By using non-DER or invalid encodings outside the signed portion of a
7954    certificate the fingerprint can be changed without breaking the signature.
7955    Although no details of the signed portion of the certificate can be changed
7956    this can cause problems with some applications: e.g. those using the
7957    certificate fingerprint for blacklists.
7958
7959    1. Reject signatures with non zero unused bits.
7960
7961    If the BIT STRING containing the signature has non zero unused bits reject
7962    the signature. All current signature algorithms require zero unused bits.
7963
7964    2. Check certificate algorithm consistency.
7965
7966    Check the AlgorithmIdentifier inside TBS matches the one in the
7967    certificate signature. NB: this will result in signature failure
7968    errors for some broken certificates.
7969
7970    Thanks to Konrad Kraszewski from Google for reporting this issue.
7971
7972    3. Check DSA/ECDSA signatures use DER.
7973
7974    Reencode DSA/ECDSA signatures and compare with the original received
7975    signature. Return an error if there is a mismatch.
7976
7977    This will reject various cases including garbage after signature
7978    (thanks to Antti Karjalainen and Tuomo Untinen from the Codenomicon CROSS
7979    program for discovering this case) and use of BER or invalid ASN.1 INTEGERs
7980    (negative or with leading zeroes).
7981
7982    Further analysis was conducted and fixes were developed by Stephen Henson
7983    of the OpenSSL core team.
7984
7985    ([CVE-2014-8275])
7986
7987    *Steve Henson*
7988
7989 ### Changes between 1.0.0n and 1.0.0o [15 Oct 2014]
7990
7991  * Session Ticket Memory Leak.
7992
7993    When an OpenSSL SSL/TLS/DTLS server receives a session ticket the
7994    integrity of that ticket is first verified. In the event of a session
7995    ticket integrity check failing, OpenSSL will fail to free memory
7996    causing a memory leak. By sending a large number of invalid session
7997    tickets an attacker could exploit this issue in a Denial Of Service
7998    attack.
7999    ([CVE-2014-3567])
8000
8001    *Steve Henson*
8002
8003  * Build option no-ssl3 is incomplete.
8004
8005    When OpenSSL is configured with "no-ssl3" as a build option, servers
8006    could accept and complete a SSL 3.0 handshake, and clients could be
8007    configured to send them.
8008    ([CVE-2014-3568])
8009
8010    *Akamai and the OpenSSL team*
8011
8012  * Add support for TLS_FALLBACK_SCSV.
8013    Client applications doing fallback retries should call
8014    SSL_set_mode(s, SSL_MODE_SEND_FALLBACK_SCSV).
8015    ([CVE-2014-3566])
8016
8017    *Adam Langley, Bodo Moeller*
8018
8019  * Add additional DigestInfo checks.
8020
8021    Reencode DigestInto in DER and check against the original when
8022    verifying RSA signature: this will reject any improperly encoded
8023    DigestInfo structures.
8024
8025    Note: this is a precautionary measure and no attacks are currently known.
8026
8027    *Steve Henson*
8028
8029 ### Changes between 1.0.0m and 1.0.0n [6 Aug 2014]
8030
8031  * OpenSSL DTLS clients enabling anonymous (EC)DH ciphersuites are subject
8032    to a denial of service attack. A malicious server can crash the client
8033    with a null pointer dereference (read) by specifying an anonymous (EC)DH
8034    ciphersuite and sending carefully crafted handshake messages.
8035
8036    Thanks to Felix Gröbert (Google) for discovering and researching this
8037    issue.
8038    ([CVE-2014-3510])
8039
8040    *Emilia Käsper*
8041
8042  * By sending carefully crafted DTLS packets an attacker could cause openssl
8043    to leak memory. This can be exploited through a Denial of Service attack.
8044    Thanks to Adam Langley for discovering and researching this issue.
8045    ([CVE-2014-3507])
8046
8047    *Adam Langley*
8048
8049  * An attacker can force openssl to consume large amounts of memory whilst
8050    processing DTLS handshake messages. This can be exploited through a
8051    Denial of Service attack.
8052    Thanks to Adam Langley for discovering and researching this issue.
8053    ([CVE-2014-3506])
8054
8055    *Adam Langley*
8056
8057  * An attacker can force an error condition which causes openssl to crash
8058    whilst processing DTLS packets due to memory being freed twice. This
8059    can be exploited through a Denial of Service attack.
8060    Thanks to Adam Langley and Wan-Teh Chang for discovering and researching
8061    this issue.
8062    ([CVE-2014-3505])
8063
8064    *Adam Langley*
8065
8066  * If a multithreaded client connects to a malicious server using a resumed
8067    session and the server sends an ec point format extension it could write
8068    up to 255 bytes to freed memory.
8069
8070    Thanks to Gabor Tyukasz (LogMeIn Inc) for discovering and researching this
8071    issue.
8072    ([CVE-2014-3509])
8073
8074    *Gabor Tyukasz*
8075
8076  * A flaw in OBJ_obj2txt may cause pretty printing functions such as
8077    X509_name_oneline, X509_name_print_ex et al. to leak some information
8078    from the stack. Applications may be affected if they echo pretty printing
8079    output to the attacker.
8080
8081    Thanks to Ivan Fratric (Google) for discovering this issue.
8082    ([CVE-2014-3508])
8083
8084    *Emilia Käsper, and Steve Henson*
8085
8086  * Fix ec_GFp_simple_points_make_affine (thus, EC_POINTs_mul etc.)
8087    for corner cases. (Certain input points at infinity could lead to
8088    bogus results, with non-infinity inputs mapped to infinity too.)
8089
8090    *Bodo Moeller*
8091
8092 ### Changes between 1.0.0l and 1.0.0m [5 Jun 2014]
8093
8094  * Fix for SSL/TLS MITM flaw. An attacker using a carefully crafted
8095    handshake can force the use of weak keying material in OpenSSL
8096    SSL/TLS clients and servers.
8097
8098    Thanks to KIKUCHI Masashi (Lepidum Co. Ltd.) for discovering and
8099    researching this issue. ([CVE-2014-0224])
8100
8101    *KIKUCHI Masashi, Steve Henson*
8102
8103  * Fix DTLS recursion flaw. By sending an invalid DTLS handshake to an
8104    OpenSSL DTLS client the code can be made to recurse eventually crashing
8105    in a DoS attack.
8106
8107    Thanks to Imre Rad (Search-Lab Ltd.) for discovering this issue.
8108    ([CVE-2014-0221])
8109
8110    *Imre Rad, Steve Henson*
8111
8112  * Fix DTLS invalid fragment vulnerability. A buffer overrun attack can
8113    be triggered by sending invalid DTLS fragments to an OpenSSL DTLS
8114    client or server. This is potentially exploitable to run arbitrary
8115    code on a vulnerable client or server.
8116
8117    Thanks to Jüri Aedla for reporting this issue. ([CVE-2014-0195])
8118
8119    *Jüri Aedla, Steve Henson*
8120
8121  * Fix bug in TLS code where clients enable anonymous ECDH ciphersuites
8122    are subject to a denial of service attack.
8123
8124    Thanks to Felix Gröbert and Ivan Fratric at Google for discovering
8125    this issue. ([CVE-2014-3470])
8126
8127    *Felix Gröbert, Ivan Fratric, Steve Henson*
8128
8129  * Harmonize version and its documentation. -f flag is used to display
8130    compilation flags.
8131
8132    *mancha <mancha1@zoho.com>*
8133
8134  * Fix eckey_priv_encode so it immediately returns an error upon a failure
8135    in i2d_ECPrivateKey.
8136
8137    *mancha <mancha1@zoho.com>*
8138
8139  * Fix some double frees. These are not thought to be exploitable.
8140
8141    *mancha <mancha1@zoho.com>*
8142
8143  * Fix for the attack described in the paper "Recovering OpenSSL
8144    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
8145    by Yuval Yarom and Naomi Benger. Details can be obtained from:
8146    <http://eprint.iacr.org/2014/140>
8147
8148    Thanks to Yuval Yarom and Naomi Benger for discovering this
8149    flaw and to Yuval Yarom for supplying a fix ([CVE-2014-0076])
8150
8151    *Yuval Yarom and Naomi Benger*
8152
8153 ### Changes between 1.0.0k and 1.0.0l [6 Jan 2014]
8154
8155  * Keep original DTLS digest and encryption contexts in retransmission
8156    structures so we can use the previous session parameters if they need
8157    to be resent. ([CVE-2013-6450])
8158
8159    *Steve Henson*
8160
8161  * Add option SSL_OP_SAFARI_ECDHE_ECDSA_BUG (part of SSL_OP_ALL) which
8162    avoids preferring ECDHE-ECDSA ciphers when the client appears to be
8163    Safari on OS X.  Safari on OS X 10.8..10.8.3 advertises support for
8164    several ECDHE-ECDSA ciphers, but fails to negotiate them.  The bug
8165    is fixed in OS X 10.8.4, but Apple have ruled out both hot fixing
8166    10.8..10.8.3 and forcing users to upgrade to 10.8.4 or newer.
8167
8168    *Rob Stradling, Adam Langley*
8169
8170 ### Changes between 1.0.0j and 1.0.0k [5 Feb 2013]
8171
8172  * Make the decoding of SSLv3, TLS and DTLS CBC records constant time.
8173
8174    This addresses the flaw in CBC record processing discovered by
8175    Nadhem Alfardan and Kenny Paterson. Details of this attack can be found
8176    at: <http://www.isg.rhul.ac.uk/tls/>
8177
8178    Thanks go to Nadhem Alfardan and Kenny Paterson of the Information
8179    Security Group at Royal Holloway, University of London
8180    (www.isg.rhul.ac.uk) for discovering this flaw and Adam Langley and
8181    Emilia Käsper for the initial patch.
8182    ([CVE-2013-0169])
8183
8184    *Emilia Käsper, Adam Langley, Ben Laurie, Andy Polyakov, Steve Henson*
8185
8186  * Return an error when checking OCSP signatures when key is NULL.
8187    This fixes a DoS attack. ([CVE-2013-0166])
8188
8189    *Steve Henson*
8190
8191  * Call OCSP Stapling callback after ciphersuite has been chosen, so
8192    the right response is stapled. Also change SSL_get_certificate()
8193    so it returns the certificate actually sent.
8194    See <http://rt.openssl.org/Ticket/Display.html?id=2836>.
8195    (This is a backport)
8196
8197    *Rob Stradling <rob.stradling@comodo.com>*
8198
8199  * Fix possible deadlock when decoding public keys.
8200
8201    *Steve Henson*
8202
8203 ### Changes between 1.0.0i and 1.0.0j [10 May 2012]
8204
8205 [NB: OpenSSL 1.0.0i and later 1.0.0 patch levels were released after
8206 OpenSSL 1.0.1.]
8207
8208  * Sanity check record length before skipping explicit IV in DTLS
8209    to fix DoS attack.
8210
8211    Thanks to Codenomicon for discovering this issue using Fuzz-o-Matic
8212    fuzzing as a service testing platform.
8213    ([CVE-2012-2333])
8214
8215    *Steve Henson*
8216
8217  * Initialise tkeylen properly when encrypting CMS messages.
8218    Thanks to Solar Designer of Openwall for reporting this issue.
8219
8220    *Steve Henson*
8221
8222 ### Changes between 1.0.0h and 1.0.0i [19 Apr 2012]
8223
8224  * Check for potentially exploitable overflows in asn1_d2i_read_bio
8225    BUF_mem_grow and BUF_mem_grow_clean. Refuse attempts to shrink buffer
8226    in CRYPTO_realloc_clean.
8227
8228    Thanks to Tavis Ormandy, Google Security Team, for discovering this
8229    issue and to Adam Langley <agl@chromium.org> for fixing it.
8230    ([CVE-2012-2110])
8231
8232    *Adam Langley (Google), Tavis Ormandy, Google Security Team*
8233
8234 ### Changes between 1.0.0g and 1.0.0h [12 Mar 2012]
8235
8236  * Fix MMA (Bleichenbacher's attack on PKCS #1 v1.5 RSA padding) weakness
8237    in CMS and PKCS7 code. When RSA decryption fails use a random key for
8238    content decryption and always return the same error. Note: this attack
8239    needs on average 2^20 messages so it only affects automated senders. The
8240    old behaviour can be re-enabled in the CMS code by setting the
8241    CMS_DEBUG_DECRYPT flag: this is useful for debugging and testing where
8242    an MMA defence is not necessary.
8243    Thanks to Ivan Nestlerode <inestlerode@us.ibm.com> for discovering
8244    this issue. ([CVE-2012-0884])
8245
8246    *Steve Henson*
8247
8248  * Fix CVE-2011-4619: make sure we really are receiving a
8249    client hello before rejecting multiple SGC restarts. Thanks to
8250    Ivan Nestlerode <inestlerode@us.ibm.com> for discovering this bug.
8251
8252    *Steve Henson*
8253
8254 ### Changes between 1.0.0f and 1.0.0g [18 Jan 2012]
8255
8256  * Fix for DTLS DoS issue introduced by fix for CVE-2011-4109.
8257    Thanks to Antonio Martin, Enterprise Secure Access Research and
8258    Development, Cisco Systems, Inc. for discovering this bug and
8259    preparing a fix. ([CVE-2012-0050])
8260
8261    *Antonio Martin*
8262
8263 ### Changes between 1.0.0e and 1.0.0f [4 Jan 2012]
8264
8265  * Nadhem Alfardan and Kenny Paterson have discovered an extension
8266    of the Vaudenay padding oracle attack on CBC mode encryption
8267    which enables an efficient plaintext recovery attack against
8268    the OpenSSL implementation of DTLS. Their attack exploits timing
8269    differences arising during decryption processing. A research
8270    paper describing this attack can be found at:
8271    <http://www.isg.rhul.ac.uk/~kp/dtls.pdf>
8272    Thanks go to Nadhem Alfardan and Kenny Paterson of the Information
8273    Security Group at Royal Holloway, University of London
8274    (www.isg.rhul.ac.uk) for discovering this flaw and to Robin Seggelmann
8275    <seggelmann@fh-muenster.de> and Michael Tuexen <tuexen@fh-muenster.de>
8276    for preparing the fix. ([CVE-2011-4108])
8277
8278    *Robin Seggelmann, Michael Tuexen*
8279
8280  * Clear bytes used for block padding of SSL 3.0 records.
8281    ([CVE-2011-4576])
8282
8283    *Adam Langley (Google)*
8284
8285  * Only allow one SGC handshake restart for SSL/TLS. Thanks to George
8286    Kadianakis <desnacked@gmail.com> for discovering this issue and
8287    Adam Langley for preparing the fix. ([CVE-2011-4619])
8288
8289    *Adam Langley (Google)*
8290
8291  * Check parameters are not NULL in GOST ENGINE. ([CVE-2012-0027])
8292
8293    *Andrey Kulikov <amdeich@gmail.com>*
8294
8295  * Prevent malformed RFC3779 data triggering an assertion failure.
8296    Thanks to Andrew Chi, BBN Technologies, for discovering the flaw
8297    and Rob Austein <sra@hactrn.net> for fixing it. ([CVE-2011-4577])
8298
8299    *Rob Austein <sra@hactrn.net>*
8300
8301  * Improved PRNG seeding for VOS.
8302
8303    *Paul Green <Paul.Green@stratus.com>*
8304
8305  * Fix ssl_ciph.c set-up race.
8306
8307    *Adam Langley (Google)*
8308
8309  * Fix spurious failures in ecdsatest.c.
8310
8311    *Emilia Käsper (Google)*
8312
8313  * Fix the BIO_f_buffer() implementation (which was mixing different
8314    interpretations of the `..._len` fields).
8315
8316    *Adam Langley (Google)*
8317
8318  * Fix handling of BN_BLINDING: now BN_BLINDING_invert_ex (rather than
8319    BN_BLINDING_invert_ex) calls BN_BLINDING_update, ensuring that concurrent
8320    threads won't reuse the same blinding coefficients.
8321
8322    This also avoids the need to obtain the CRYPTO_LOCK_RSA_BLINDING
8323    lock to call BN_BLINDING_invert_ex, and avoids one use of
8324    BN_BLINDING_update for each BN_BLINDING structure (previously,
8325    the last update always remained unused).
8326
8327    *Emilia Käsper (Google)*
8328
8329  * In ssl3_clear, preserve s3->init_extra along with s3->rbuf.
8330
8331    *Bob Buckholz (Google)*
8332
8333 ### Changes between 1.0.0d and 1.0.0e [6 Sep 2011]
8334
8335  * Fix bug where CRLs with nextUpdate in the past are sometimes accepted
8336    by initialising X509_STORE_CTX properly. ([CVE-2011-3207])
8337
8338    *Kaspar Brand <ossl@velox.ch>*
8339
8340  * Fix SSL memory handling for (EC)DH ciphersuites, in particular
8341    for multi-threaded use of ECDH. ([CVE-2011-3210])
8342
8343    *Adam Langley (Google)*
8344
8345  * Fix x509_name_ex_d2i memory leak on bad inputs.
8346
8347    *Bodo Moeller*
8348
8349  * Remove hard coded ecdsaWithSHA1 signature tests in ssl code and check
8350    signature public key algorithm by using OID xref utilities instead.
8351    Before this you could only use some ECC ciphersuites with SHA1 only.
8352
8353    *Steve Henson*
8354
8355  * Add protection against ECDSA timing attacks as mentioned in the paper
8356    by Billy Bob Brumley and Nicola Tuveri, see:
8357    <http://eprint.iacr.org/2011/232.pdf>
8358
8359    *Billy Bob Brumley and Nicola Tuveri*
8360
8361 ### Changes between 1.0.0c and 1.0.0d [8 Feb 2011]
8362
8363  * Fix parsing of OCSP stapling ClientHello extension. CVE-2011-0014
8364
8365    *Neel Mehta, Adam Langley, Bodo Moeller (Google)*
8366
8367  * Fix bug in string printing code: if *any* escaping is enabled we must
8368    escape the escape character (backslash) or the resulting string is
8369    ambiguous.
8370
8371    *Steve Henson*
8372
8373 ### Changes between 1.0.0b and 1.0.0c  [2 Dec 2010]
8374
8375  * Disable code workaround for ancient and obsolete Netscape browsers
8376    and servers: an attacker can use it in a ciphersuite downgrade attack.
8377    Thanks to Martin Rex for discovering this bug. CVE-2010-4180
8378
8379    *Steve Henson*
8380
8381  * Fixed J-PAKE implementation error, originally discovered by
8382    Sebastien Martini, further info and confirmation from Stefan
8383    Arentz and Feng Hao. Note that this fix is a security fix. CVE-2010-4252
8384
8385    *Ben Laurie*
8386
8387 ### Changes between 1.0.0a and 1.0.0b  [16 Nov 2010]
8388
8389  * Fix extension code to avoid race conditions which can result in a buffer
8390    overrun vulnerability: resumed sessions must not be modified as they can
8391    be shared by multiple threads. CVE-2010-3864
8392
8393    *Steve Henson*
8394
8395  * Fix WIN32 build system to correctly link an ENGINE directory into
8396    a DLL.
8397
8398    *Steve Henson*
8399
8400 ### Changes between 1.0.0 and 1.0.0a  [01 Jun 2010]
8401
8402  * Check return value of int_rsa_verify in pkey_rsa_verifyrecover
8403    ([CVE-2010-1633])
8404
8405    *Steve Henson, Peter-Michael Hager <hager@dortmund.net>*
8406
8407 ### Changes between 0.9.8n and 1.0.0  [29 Mar 2010]
8408
8409  * Add "missing" function EVP_CIPHER_CTX_copy(). This copies a cipher
8410    context. The operation can be customised via the ctrl mechanism in
8411    case ENGINEs want to include additional functionality.
8412
8413    *Steve Henson*
8414
8415  * Tolerate yet another broken PKCS#8 key format: private key value negative.
8416
8417    *Steve Henson*
8418
8419  * Add new -subject_hash_old and -issuer_hash_old options to x509 utility to
8420    output hashes compatible with older versions of OpenSSL.
8421
8422    *Willy Weisz <weisz@vcpc.univie.ac.at>*
8423
8424  * Fix compression algorithm handling: if resuming a session use the
8425    compression algorithm of the resumed session instead of determining
8426    it from client hello again. Don't allow server to change algorithm.
8427
8428    *Steve Henson*
8429
8430  * Add load_crls() function to commands tidying load_certs() too. Add option
8431    to verify utility to allow additional CRLs to be included.
8432
8433    *Steve Henson*
8434
8435  * Update OCSP request code to permit adding custom headers to the request:
8436    some responders need this.
8437
8438    *Steve Henson*
8439
8440  * The function EVP_PKEY_sign() returns <=0 on error: check return code
8441    correctly.
8442
8443    *Julia Lawall <julia@diku.dk>*
8444
8445  * Update verify callback code in `apps/s_cb.c` and `apps/verify.c`, it
8446    needlessly dereferenced structures, used obsolete functions and
8447    didn't handle all updated verify codes correctly.
8448
8449    *Steve Henson*
8450
8451  * Disable MD2 in the default configuration.
8452
8453    *Steve Henson*
8454
8455  * In BIO_pop() and BIO_push() use the ctrl argument (which was NULL) to
8456    indicate the initial BIO being pushed or popped. This makes it possible
8457    to determine whether the BIO is the one explicitly called or as a result
8458    of the ctrl being passed down the chain. Fix BIO_pop() and SSL BIOs so
8459    it handles reference counts correctly and doesn't zero out the I/O bio
8460    when it is not being explicitly popped. WARNING: applications which
8461    included workarounds for the old buggy behaviour will need to be modified
8462    or they could free up already freed BIOs.
8463
8464    *Steve Henson*
8465
8466  * Extend the uni2asc/asc2uni => OPENSSL_uni2asc/OPENSSL_asc2uni
8467    renaming to all platforms (within the 0.9.8 branch, this was
8468    done conditionally on Netware platforms to avoid a name clash).
8469
8470    *Guenter <lists@gknw.net>*
8471
8472  * Add ECDHE and PSK support to DTLS.
8473
8474    *Michael Tuexen <tuexen@fh-muenster.de>*
8475
8476  * Add CHECKED_STACK_OF macro to safestack.h, otherwise safestack can't
8477    be used on C++.
8478
8479    *Steve Henson*
8480
8481  * Add "missing" function EVP_MD_flags() (without this the only way to
8482    retrieve a digest flags is by accessing the structure directly. Update
8483    `EVP_MD_do_all*()` and `EVP_CIPHER_do_all*()` to include the name a digest
8484    or cipher is registered as in the "from" argument. Print out all
8485    registered digests in the dgst usage message instead of manually
8486    attempting to work them out.
8487
8488    *Steve Henson*
8489
8490  * If no SSLv2 ciphers are used don't use an SSLv2 compatible client hello:
8491    this allows the use of compression and extensions. Change default cipher
8492    string to remove SSLv2 ciphersuites. This effectively avoids ancient SSLv2
8493    by default unless an application cipher string requests it.
8494
8495    *Steve Henson*
8496
8497  * Alter match criteria in PKCS12_parse(). It used to try to use local
8498    key ids to find matching certificates and keys but some PKCS#12 files
8499    don't follow the (somewhat unwritten) rules and this strategy fails.
8500    Now just gather all certificates together and the first private key
8501    then look for the first certificate that matches the key.
8502
8503    *Steve Henson*
8504
8505  * Support use of registered digest and cipher names for dgst and cipher
8506    commands instead of having to add each one as a special case. So now
8507    you can do:
8508
8509            openssl sha256 foo
8510
8511    as well as:
8512
8513            openssl dgst -sha256 foo
8514
8515    and this works for ENGINE based algorithms too.
8516
8517    *Steve Henson*
8518
8519  * Update Gost ENGINE to support parameter files.
8520
8521    *Victor B. Wagner <vitus@cryptocom.ru>*
8522
8523  * Support GeneralizedTime in ca utility.
8524
8525    *Oliver Martin <oliver@volatilevoid.net>, Steve Henson*
8526
8527  * Enhance the hash format used for certificate directory links. The new
8528    form uses the canonical encoding (meaning equivalent names will work
8529    even if they aren't identical) and uses SHA1 instead of MD5. This form
8530    is incompatible with the older format and as a result c_rehash should
8531    be used to rebuild symbolic links.
8532
8533    *Steve Henson*
8534
8535  * Make PKCS#8 the default write format for private keys, replacing the
8536    traditional format. This form is standardised, more secure and doesn't
8537    include an implicit MD5 dependency.
8538
8539    *Steve Henson*
8540
8541  * Add a $gcc_devteam_warn option to Configure. The idea is that any code
8542    committed to OpenSSL should pass this lot as a minimum.
8543
8544    *Steve Henson*
8545
8546  * Add session ticket override functionality for use by EAP-FAST.
8547
8548    *Jouni Malinen <j@w1.fi>*
8549
8550  * Modify HMAC functions to return a value. Since these can be implemented
8551    in an ENGINE errors can occur.
8552
8553    *Steve Henson*
8554
8555  * Type-checked OBJ_bsearch_ex.
8556
8557    *Ben Laurie*
8558
8559  * Type-checked OBJ_bsearch. Also some constification necessitated
8560    by type-checking.  Still to come: TXT_DB, bsearch(?),
8561    OBJ_bsearch_ex, qsort, CRYPTO_EX_DATA, ASN1_VALUE, ASN1_STRING,
8562    CONF_VALUE.
8563
8564    *Ben Laurie*
8565
8566  * New function OPENSSL_gmtime_adj() to add a specific number of days and
8567    seconds to a tm structure directly, instead of going through OS
8568    specific date routines. This avoids any issues with OS routines such
8569    as the year 2038 bug. New `*_adj()` functions for ASN1 time structures
8570    and X509_time_adj_ex() to cover the extended range. The existing
8571    X509_time_adj() is still usable and will no longer have any date issues.
8572
8573    *Steve Henson*
8574
8575  * Delta CRL support. New use deltas option which will attempt to locate
8576    and search any appropriate delta CRLs available.
8577
8578    This work was sponsored by Google.
8579
8580    *Steve Henson*
8581
8582  * Support for CRLs partitioned by reason code. Reorganise CRL processing
8583    code and add additional score elements. Validate alternate CRL paths
8584    as part of the CRL checking and indicate a new error "CRL path validation
8585    error" in this case. Applications wanting additional details can use
8586    the verify callback and check the new "parent" field. If this is not
8587    NULL CRL path validation is taking place. Existing applications won't
8588    see this because it requires extended CRL support which is off by
8589    default.
8590
8591    This work was sponsored by Google.
8592
8593    *Steve Henson*
8594
8595  * Support for freshest CRL extension.
8596
8597    This work was sponsored by Google.
8598
8599    *Steve Henson*
8600
8601  * Initial indirect CRL support. Currently only supported in the CRLs
8602    passed directly and not via lookup. Process certificate issuer
8603    CRL entry extension and lookup CRL entries by bother issuer name
8604    and serial number. Check and process CRL issuer entry in IDP extension.
8605
8606    This work was sponsored by Google.
8607
8608    *Steve Henson*
8609
8610  * Add support for distinct certificate and CRL paths. The CRL issuer
8611    certificate is validated separately in this case. Only enabled if
8612    an extended CRL support flag is set: this flag will enable additional
8613    CRL functionality in future.
8614
8615    This work was sponsored by Google.
8616
8617    *Steve Henson*
8618
8619  * Add support for policy mappings extension.
8620
8621    This work was sponsored by Google.
8622
8623    *Steve Henson*
8624
8625  * Fixes to pathlength constraint, self issued certificate handling,
8626    policy processing to align with RFC3280 and PKITS tests.
8627
8628    This work was sponsored by Google.
8629
8630    *Steve Henson*
8631
8632  * Support for name constraints certificate extension. DN, email, DNS
8633    and URI types are currently supported.
8634
8635    This work was sponsored by Google.
8636
8637    *Steve Henson*
8638
8639  * To cater for systems that provide a pointer-based thread ID rather
8640    than numeric, deprecate the current numeric thread ID mechanism and
8641    replace it with a structure and associated callback type. This
8642    mechanism allows a numeric "hash" to be extracted from a thread ID in
8643    either case, and on platforms where pointers are larger than 'long',
8644    mixing is done to help ensure the numeric 'hash' is usable even if it
8645    can't be guaranteed unique. The default mechanism is to use "&errno"
8646    as a pointer-based thread ID to distinguish between threads.
8647
8648    Applications that want to provide their own thread IDs should now use
8649    CRYPTO_THREADID_set_callback() to register a callback that will call
8650    either CRYPTO_THREADID_set_numeric() or CRYPTO_THREADID_set_pointer().
8651
8652    Note that ERR_remove_state() is now deprecated, because it is tied
8653    to the assumption that thread IDs are numeric.  ERR_remove_state(0)
8654    to free the current thread's error state should be replaced by
8655    ERR_remove_thread_state(NULL).
8656
8657    (This new approach replaces the functions CRYPTO_set_idptr_callback(),
8658    CRYPTO_get_idptr_callback(), and CRYPTO_thread_idptr() that existed in
8659    OpenSSL 0.9.9-dev between June 2006 and August 2008. Also, if an
8660    application was previously providing a numeric thread callback that
8661    was inappropriate for distinguishing threads, then uniqueness might
8662    have been obtained with &errno that happened immediately in the
8663    intermediate development versions of OpenSSL; this is no longer the
8664    case, the numeric thread callback will now override the automatic use
8665    of &errno.)
8666
8667    *Geoff Thorpe, with help from Bodo Moeller*
8668
8669  * Initial support for different CRL issuing certificates. This covers a
8670    simple case where the self issued certificates in the chain exist and
8671    the real CRL issuer is higher in the existing chain.
8672
8673    This work was sponsored by Google.
8674
8675    *Steve Henson*
8676
8677  * Removed effectively defunct crypto/store from the build.
8678
8679    *Ben Laurie*
8680
8681  * Revamp of STACK to provide stronger type-checking. Still to come:
8682    TXT_DB, bsearch(?), OBJ_bsearch, qsort, CRYPTO_EX_DATA, ASN1_VALUE,
8683    ASN1_STRING, CONF_VALUE.
8684
8685    *Ben Laurie*
8686
8687  * Add a new SSL_MODE_RELEASE_BUFFERS mode flag to release unused buffer
8688    RAM on SSL connections.  This option can save about 34k per idle SSL.
8689
8690    *Nick Mathewson*
8691
8692  * Revamp of LHASH to provide stronger type-checking. Still to come:
8693    STACK, TXT_DB, bsearch, qsort.
8694
8695    *Ben Laurie*
8696
8697  * Initial support for Cryptographic Message Syntax (aka CMS) based
8698    on RFC3850, RFC3851 and RFC3852. New cms directory and cms utility,
8699    support for data, signedData, compressedData, digestedData and
8700    encryptedData, envelopedData types included. Scripts to check against
8701    RFC4134 examples draft and interop and consistency checks of many
8702    content types and variants.
8703
8704    *Steve Henson*
8705
8706  * Add options to enc utility to support use of zlib compression BIO.
8707
8708    *Steve Henson*
8709
8710  * Extend mk1mf to support importing of options and assembly language
8711    files from Configure script, currently only included in VC-WIN32.
8712    The assembly language rules can now optionally generate the source
8713    files from the associated perl scripts.
8714
8715    *Steve Henson*
8716
8717  * Implement remaining functionality needed to support GOST ciphersuites.
8718    Interop testing has been performed using CryptoPro implementations.
8719
8720    *Victor B. Wagner <vitus@cryptocom.ru>*
8721
8722  * s390x assembler pack.
8723
8724    *Andy Polyakov*
8725
8726  * ARMv4 assembler pack. ARMv4 refers to v4 and later ISA, not CPU
8727    "family."
8728
8729    *Andy Polyakov*
8730
8731  * Implement Opaque PRF Input TLS extension as specified in
8732    draft-rescorla-tls-opaque-prf-input-00.txt.  Since this is not an
8733    official specification yet and no extension type assignment by
8734    IANA exists, this extension (for now) will have to be explicitly
8735    enabled when building OpenSSL by providing the extension number
8736    to use.  For example, specify an option
8737
8738            -DTLSEXT_TYPE_opaque_prf_input=0x9527
8739
8740    to the "config" or "Configure" script to enable the extension,
8741    assuming extension number 0x9527 (which is a completely arbitrary
8742    and unofficial assignment based on the MD5 hash of the Internet
8743    Draft).  Note that by doing so, you potentially lose
8744    interoperability with other TLS implementations since these might
8745    be using the same extension number for other purposes.
8746
8747    SSL_set_tlsext_opaque_prf_input(ssl, src, len) is used to set the
8748    opaque PRF input value to use in the handshake.  This will create
8749    an internal copy of the length-'len' string at 'src', and will
8750    return non-zero for success.
8751
8752    To get more control and flexibility, provide a callback function
8753    by using
8754
8755            SSL_CTX_set_tlsext_opaque_prf_input_callback(ctx, cb)
8756            SSL_CTX_set_tlsext_opaque_prf_input_callback_arg(ctx, arg)
8757
8758    where
8759
8760            int (*cb)(SSL *, void *peerinput, size_t len, void *arg);
8761            void *arg;
8762
8763    Callback function 'cb' will be called in handshakes, and is
8764    expected to use SSL_set_tlsext_opaque_prf_input() as appropriate.
8765    Argument 'arg' is for application purposes (the value as given to
8766    SSL_CTX_set_tlsext_opaque_prf_input_callback_arg() will directly
8767    be provided to the callback function).  The callback function
8768    has to return non-zero to report success: usually 1 to use opaque
8769    PRF input just if possible, or 2 to enforce use of the opaque PRF
8770    input.  In the latter case, the library will abort the handshake
8771    if opaque PRF input is not successfully negotiated.
8772
8773    Arguments 'peerinput' and 'len' given to the callback function
8774    will always be NULL and 0 in the case of a client.  A server will
8775    see the client's opaque PRF input through these variables if
8776    available (NULL and 0 otherwise).  Note that if the server
8777    provides an opaque PRF input, the length must be the same as the
8778    length of the client's opaque PRF input.
8779
8780    Note that the callback function will only be called when creating
8781    a new session (session resumption can resume whatever was
8782    previously negotiated), and will not be called in SSL 2.0
8783    handshakes; thus, SSL_CTX_set_options(ctx, SSL_OP_NO_SSLv2) or
8784    SSL_set_options(ssl, SSL_OP_NO_SSLv2) is especially recommended
8785    for applications that need to enforce opaque PRF input.
8786
8787    *Bodo Moeller*
8788
8789  * Update ssl code to support digests other than SHA1+MD5 for handshake
8790    MAC.
8791
8792    *Victor B. Wagner <vitus@cryptocom.ru>*
8793
8794  * Add RFC4507 support to OpenSSL. This includes the corrections in
8795    RFC4507bis. The encrypted ticket format is an encrypted encoded
8796    SSL_SESSION structure, that way new session features are automatically
8797    supported.
8798
8799    If a client application caches session in an SSL_SESSION structure
8800    support is transparent because tickets are now stored in the encoded
8801    SSL_SESSION.
8802
8803    The SSL_CTX structure automatically generates keys for ticket
8804    protection in servers so again support should be possible
8805    with no application modification.
8806
8807    If a client or server wishes to disable RFC4507 support then the option
8808    SSL_OP_NO_TICKET can be set.
8809
8810    Add a TLS extension debugging callback to allow the contents of any client
8811    or server extensions to be examined.
8812
8813    This work was sponsored by Google.
8814
8815    *Steve Henson*
8816
8817  * Final changes to avoid use of pointer pointer casts in OpenSSL.
8818    OpenSSL should now compile cleanly on gcc 4.2
8819
8820    *Peter Hartley <pdh@utter.chaos.org.uk>, Steve Henson*
8821
8822  * Update SSL library to use new EVP_PKEY MAC API. Include generic MAC
8823    support including streaming MAC support: this is required for GOST
8824    ciphersuite support.
8825
8826    *Victor B. Wagner <vitus@cryptocom.ru>, Steve Henson*
8827
8828  * Add option -stream to use PKCS#7 streaming in smime utility. New
8829    function i2d_PKCS7_bio_stream() and PEM_write_PKCS7_bio_stream()
8830    to output in BER and PEM format.
8831
8832    *Steve Henson*
8833
8834  * Experimental support for use of HMAC via EVP_PKEY interface. This
8835    allows HMAC to be handled via the `EVP_DigestSign*()` interface. The
8836    EVP_PKEY "key" in this case is the HMAC key, potentially allowing
8837    ENGINE support for HMAC keys which are unextractable. New -mac and
8838    -macopt options to dgst utility.
8839
8840    *Steve Henson*
8841
8842  * New option -sigopt to dgst utility. Update dgst to use
8843    `EVP_Digest{Sign,Verify}*`. These two changes make it possible to use
8844    alternative signing parameters such as X9.31 or PSS in the dgst
8845    utility.
8846
8847    *Steve Henson*
8848
8849  * Change ssl_cipher_apply_rule(), the internal function that does
8850    the work each time a ciphersuite string requests enabling
8851    ("foo+bar"), moving ("+foo+bar"), disabling ("-foo+bar", or
8852    removing ("!foo+bar") a class of ciphersuites: Now it maintains
8853    the order of disabled ciphersuites such that those ciphersuites
8854    that most recently went from enabled to disabled not only stay
8855    in order with respect to each other, but also have higher priority
8856    than other disabled ciphersuites the next time ciphersuites are
8857    enabled again.
8858
8859    This means that you can now say, e.g., "PSK:-PSK:HIGH" to enable
8860    the same ciphersuites as with "HIGH" alone, but in a specific
8861    order where the PSK ciphersuites come first (since they are the
8862    most recently disabled ciphersuites when "HIGH" is parsed).
8863
8864    Also, change ssl_create_cipher_list() (using this new
8865    functionality) such that between otherwise identical
8866    ciphersuites, ephemeral ECDH is preferred over ephemeral DH in
8867    the default order.
8868
8869    *Bodo Moeller*
8870
8871  * Change ssl_create_cipher_list() so that it automatically
8872    arranges the ciphersuites in reasonable order before starting
8873    to process the rule string.  Thus, the definition for "DEFAULT"
8874    (SSL_DEFAULT_CIPHER_LIST) now is just "ALL:!aNULL:!eNULL", but
8875    remains equivalent to `"AES:ALL:!aNULL:!eNULL:+aECDH:+kRSA:+RC4:@STRENGTH"`.
8876    This makes it much easier to arrive at a reasonable default order
8877    in applications for which anonymous ciphers are OK (meaning
8878    that you can't actually use DEFAULT).
8879
8880    *Bodo Moeller; suggested by Victor Duchovni*
8881
8882  * Split the SSL/TLS algorithm mask (as used for ciphersuite string
8883    processing) into multiple integers instead of setting
8884    "SSL_MKEY_MASK" bits, "SSL_AUTH_MASK" bits, "SSL_ENC_MASK",
8885    "SSL_MAC_MASK", and "SSL_SSL_MASK" bits all in a single integer.
8886    (These masks as well as the individual bit definitions are hidden
8887    away into the non-exported interface ssl/ssl_locl.h, so this
8888    change to the definition of the SSL_CIPHER structure shouldn't
8889    affect applications.)  This give us more bits for each of these
8890    categories, so there is no longer a need to coagulate AES128 and
8891    AES256 into a single algorithm bit, and to coagulate Camellia128
8892    and Camellia256 into a single algorithm bit, which has led to all
8893    kinds of kludges.
8894
8895    Thus, among other things, the kludge introduced in 0.9.7m and
8896    0.9.8e for masking out AES256 independently of AES128 or masking
8897    out Camellia256 independently of AES256 is not needed here in 0.9.9.
8898
8899    With the change, we also introduce new ciphersuite aliases that
8900    so far were missing: "AES128", "AES256", "CAMELLIA128", and
8901    "CAMELLIA256".
8902
8903    *Bodo Moeller*
8904
8905  * Add support for dsa-with-SHA224 and dsa-with-SHA256.
8906    Use the leftmost N bytes of the signature input if the input is
8907    larger than the prime q (with N being the size in bytes of q).
8908
8909    *Nils Larsch*
8910
8911  * Very *very* experimental PKCS#7 streaming encoder support. Nothing uses
8912    it yet and it is largely untested.
8913
8914    *Steve Henson*
8915
8916  * Add support for the ecdsa-with-SHA224/256/384/512 signature types.
8917
8918    *Nils Larsch*
8919
8920  * Initial incomplete changes to avoid need for function casts in OpenSSL
8921    some compilers (gcc 4.2 and later) reject their use. Safestack is
8922    reimplemented.  Update ASN1 to avoid use of legacy functions.
8923
8924    *Steve Henson*
8925
8926  * Win32/64 targets are linked with Winsock2.
8927
8928    *Andy Polyakov*
8929
8930  * Add an X509_CRL_METHOD structure to allow CRL processing to be redirected
8931    to external functions. This can be used to increase CRL handling
8932    efficiency especially when CRLs are very large by (for example) storing
8933    the CRL revoked certificates in a database.
8934
8935    *Steve Henson*
8936
8937  * Overhaul of by_dir code. Add support for dynamic loading of CRLs so
8938    new CRLs added to a directory can be used. New command line option
8939    -verify_return_error to s_client and s_server. This causes real errors
8940    to be returned by the verify callback instead of carrying on no matter
8941    what. This reflects the way a "real world" verify callback would behave.
8942
8943    *Steve Henson*
8944
8945  * GOST engine, supporting several GOST algorithms and public key formats.
8946    Kindly donated by Cryptocom.
8947
8948    *Cryptocom*
8949
8950  * Partial support for Issuing Distribution Point CRL extension. CRLs
8951    partitioned by DP are handled but no indirect CRL or reason partitioning
8952    (yet). Complete overhaul of CRL handling: now the most suitable CRL is
8953    selected via a scoring technique which handles IDP and AKID in CRLs.
8954
8955    *Steve Henson*
8956
8957  * New X509_STORE_CTX callbacks lookup_crls() and lookup_certs() which
8958    will ultimately be used for all verify operations: this will remove the
8959    X509_STORE dependency on certificate verification and allow alternative
8960    lookup methods.  X509_STORE based implementations of these two callbacks.
8961
8962    *Steve Henson*
8963
8964  * Allow multiple CRLs to exist in an X509_STORE with matching issuer names.
8965    Modify get_crl() to find a valid (unexpired) CRL if possible.
8966
8967    *Steve Henson*
8968
8969  * New function X509_CRL_match() to check if two CRLs are identical. Normally
8970    this would be called X509_CRL_cmp() but that name is already used by
8971    a function that just compares CRL issuer names. Cache several CRL
8972    extensions in X509_CRL structure and cache CRLDP in X509.
8973
8974    *Steve Henson*
8975
8976  * Store a "canonical" representation of X509_NAME structure (ASN1 Name)
8977    this maps equivalent X509_NAME structures into a consistent structure.
8978    Name comparison can then be performed rapidly using memcmp().
8979
8980    *Steve Henson*
8981
8982  * Non-blocking OCSP request processing. Add -timeout option to ocsp
8983    utility.
8984
8985    *Steve Henson*
8986
8987  * Allow digests to supply their own micalg string for S/MIME type using
8988    the ctrl EVP_MD_CTRL_MICALG.
8989
8990    *Steve Henson*
8991
8992  * During PKCS7 signing pass the PKCS7 SignerInfo structure to the
8993    EVP_PKEY_METHOD before and after signing via the EVP_PKEY_CTRL_PKCS7_SIGN
8994    ctrl. It can then customise the structure before and/or after signing
8995    if necessary.
8996
8997    *Steve Henson*
8998
8999  * New function OBJ_add_sigid() to allow application defined signature OIDs
9000    to be added to OpenSSLs internal tables. New function OBJ_sigid_free()
9001    to free up any added signature OIDs.
9002
9003    *Steve Henson*
9004
9005  * New functions EVP_CIPHER_do_all(), EVP_CIPHER_do_all_sorted(),
9006    EVP_MD_do_all() and EVP_MD_do_all_sorted() to enumerate internal
9007    digest and cipher tables. New options added to openssl utility:
9008    list-message-digest-algorithms and list-cipher-algorithms.
9009
9010    *Steve Henson*
9011
9012  * Change the array representation of binary polynomials: the list
9013    of degrees of non-zero coefficients is now terminated with -1.
9014    Previously it was terminated with 0, which was also part of the
9015    value; thus, the array representation was not applicable to
9016    polynomials where t^0 has coefficient zero.  This change makes
9017    the array representation useful in a more general context.
9018
9019    *Douglas Stebila*
9020
9021  * Various modifications and fixes to SSL/TLS cipher string
9022    handling.  For ECC, the code now distinguishes between fixed ECDH
9023    with RSA certificates on the one hand and with ECDSA certificates
9024    on the other hand, since these are separate ciphersuites.  The
9025    unused code for Fortezza ciphersuites has been removed.
9026
9027    For consistency with EDH, ephemeral ECDH is now called "EECDH"
9028    (not "ECDHE").  For consistency with the code for DH
9029    certificates, use of ECDH certificates is now considered ECDH
9030    authentication, not RSA or ECDSA authentication (the latter is
9031    merely the CA's signing algorithm and not actively used in the
9032    protocol).
9033
9034    The temporary ciphersuite alias "ECCdraft" is no longer
9035    available, and ECC ciphersuites are no longer excluded from "ALL"
9036    and "DEFAULT".  The following aliases now exist for RFC 4492
9037    ciphersuites, most of these by analogy with the DH case:
9038
9039            kECDHr   - ECDH cert, signed with RSA
9040            kECDHe   - ECDH cert, signed with ECDSA
9041            kECDH    - ECDH cert (signed with either RSA or ECDSA)
9042            kEECDH   - ephemeral ECDH
9043            ECDH     - ECDH cert or ephemeral ECDH
9044
9045            aECDH    - ECDH cert
9046            aECDSA   - ECDSA cert
9047            ECDSA    - ECDSA cert
9048
9049            AECDH    - anonymous ECDH
9050            EECDH    - non-anonymous ephemeral ECDH (equivalent to "kEECDH:-AECDH")
9051
9052    *Bodo Moeller*
9053
9054  * Add additional S/MIME capabilities for AES and GOST ciphers if supported.
9055    Use correct micalg parameters depending on digest(s) in signed message.
9056
9057    *Steve Henson*
9058
9059  * Add engine support for EVP_PKEY_ASN1_METHOD. Add functions to process
9060    an ENGINE asn1 method. Support ENGINE lookups in the ASN1 code.
9061
9062    *Steve Henson*
9063
9064  * Initial engine support for EVP_PKEY_METHOD. New functions to permit
9065    an engine to register a method. Add ENGINE lookups for methods and
9066    functional reference processing.
9067
9068    *Steve Henson*
9069
9070  * New functions `EVP_Digest{Sign,Verify)*`. These are enhanced versions of
9071    `EVP_{Sign,Verify}*` which allow an application to customise the signature
9072    process.
9073
9074    *Steve Henson*
9075
9076  * New -resign option to smime utility. This adds one or more signers
9077    to an existing PKCS#7 signedData structure. Also -md option to use an
9078    alternative message digest algorithm for signing.
9079
9080    *Steve Henson*
9081
9082  * Tidy up PKCS#7 routines and add new functions to make it easier to
9083    create PKCS7 structures containing multiple signers. Update smime
9084    application to support multiple signers.
9085
9086    *Steve Henson*
9087
9088  * New -macalg option to pkcs12 utility to allow setting of an alternative
9089    digest MAC.
9090
9091    *Steve Henson*
9092
9093  * Initial support for PKCS#5 v2.0 PRFs other than default SHA1 HMAC.
9094    Reorganize PBE internals to lookup from a static table using NIDs,
9095    add support for HMAC PBE OID translation. Add a EVP_CIPHER ctrl:
9096    EVP_CTRL_PBE_PRF_NID this allows a cipher to specify an alternative
9097    PRF which will be automatically used with PBES2.
9098
9099    *Steve Henson*
9100
9101  * Replace the algorithm specific calls to generate keys in "req" with the
9102    new API.
9103
9104    *Steve Henson*
9105
9106  * Update PKCS#7 enveloped data routines to use new API. This is now
9107    supported by any public key method supporting the encrypt operation. A
9108    ctrl is added to allow the public key algorithm to examine or modify
9109    the PKCS#7 RecipientInfo structure if it needs to: for RSA this is
9110    a no op.
9111
9112    *Steve Henson*
9113
9114  * Add a ctrl to asn1 method to allow a public key algorithm to express
9115    a default digest type to use. In most cases this will be SHA1 but some
9116    algorithms (such as GOST) need to specify an alternative digest. The
9117    return value indicates how strong the preference is 1 means optional and
9118    2 is mandatory (that is it is the only supported type). Modify
9119    ASN1_item_sign() to accept a NULL digest argument to indicate it should
9120    use the default md. Update openssl utilities to use the default digest
9121    type for signing if it is not explicitly indicated.
9122
9123    *Steve Henson*
9124
9125  * Use OID cross reference table in ASN1_sign() and ASN1_verify(). New
9126    EVP_MD flag EVP_MD_FLAG_PKEY_METHOD_SIGNATURE. This uses the relevant
9127    signing method from the key type. This effectively removes the link
9128    between digests and public key types.
9129
9130    *Steve Henson*
9131
9132  * Add an OID cross reference table and utility functions. Its purpose is to
9133    translate between signature OIDs such as SHA1WithrsaEncryption and SHA1,
9134    rsaEncryption. This will allow some of the algorithm specific hackery
9135    needed to use the correct OID to be removed.
9136
9137    *Steve Henson*
9138
9139  * Remove algorithm specific dependencies when setting PKCS7_SIGNER_INFO
9140    structures for PKCS7_sign(). They are now set up by the relevant public
9141    key ASN1 method.
9142
9143    *Steve Henson*
9144
9145  * Add provisional EC pkey method with support for ECDSA and ECDH.
9146
9147    *Steve Henson*
9148
9149  * Add support for key derivation (agreement) in the API, DH method and
9150    pkeyutl.
9151
9152    *Steve Henson*
9153
9154  * Add DSA pkey method and DH pkey methods, extend DH ASN1 method to support
9155    public and private key formats. As a side effect these add additional
9156    command line functionality not previously available: DSA signatures can be
9157    generated and verified using pkeyutl and DH key support and generation in
9158    pkey, genpkey.
9159
9160    *Steve Henson*
9161
9162  * BeOS support.
9163
9164    *Oliver Tappe <zooey@hirschkaefer.de>*
9165
9166  * New make target "install_html_docs" installs HTML renditions of the
9167    manual pages.
9168
9169    *Oliver Tappe <zooey@hirschkaefer.de>*
9170
9171  * New utility "genpkey" this is analogous to "genrsa" etc except it can
9172    generate keys for any algorithm. Extend and update EVP_PKEY_METHOD to
9173    support key and parameter generation and add initial key generation
9174    functionality for RSA.
9175
9176    *Steve Henson*
9177
9178  * Add functions for main EVP_PKEY_method operations. The undocumented
9179    functions `EVP_PKEY_{encrypt,decrypt}` have been renamed to
9180    `EVP_PKEY_{encrypt,decrypt}_old`.
9181
9182    *Steve Henson*
9183
9184  * Initial definitions for EVP_PKEY_METHOD. This will be a high level public
9185    key API, doesn't do much yet.
9186
9187    *Steve Henson*
9188
9189  * New function EVP_PKEY_asn1_get0_info() to retrieve information about
9190    public key algorithms. New option to openssl utility:
9191    "list-public-key-algorithms" to print out info.
9192
9193    *Steve Henson*
9194
9195  * Implement the Supported Elliptic Curves Extension for
9196    ECC ciphersuites from draft-ietf-tls-ecc-12.txt.
9197
9198    *Douglas Stebila*
9199
9200  * Don't free up OIDs in OBJ_cleanup() if they are in use by EVP_MD or
9201    EVP_CIPHER structures to avoid later problems in EVP_cleanup().
9202
9203    *Steve Henson*
9204
9205  * New utilities pkey and pkeyparam. These are similar to algorithm specific
9206    utilities such as rsa, dsa, dsaparam etc except they process any key
9207    type.
9208
9209    *Steve Henson*
9210
9211  * Transfer public key printing routines to EVP_PKEY_ASN1_METHOD. New
9212    functions EVP_PKEY_print_public(), EVP_PKEY_print_private(),
9213    EVP_PKEY_print_param() to print public key data from an EVP_PKEY
9214    structure.
9215
9216    *Steve Henson*
9217
9218  * Initial support for pluggable public key ASN1.
9219    De-spaghettify the public key ASN1 handling. Move public and private
9220    key ASN1 handling to a new EVP_PKEY_ASN1_METHOD structure. Relocate
9221    algorithm specific handling to a single module within the relevant
9222    algorithm directory. Add functions to allow (near) opaque processing
9223    of public and private key structures.
9224
9225    *Steve Henson*
9226
9227  * Implement the Supported Point Formats Extension for
9228    ECC ciphersuites from draft-ietf-tls-ecc-12.txt.
9229
9230    *Douglas Stebila*
9231
9232  * Add initial support for RFC 4279 PSK TLS ciphersuites. Add members
9233    for the psk identity [hint] and the psk callback functions to the
9234    SSL_SESSION, SSL and SSL_CTX structure.
9235
9236    New ciphersuites:
9237            PSK-RC4-SHA, PSK-3DES-EDE-CBC-SHA, PSK-AES128-CBC-SHA,
9238            PSK-AES256-CBC-SHA
9239
9240    New functions:
9241            SSL_CTX_use_psk_identity_hint
9242            SSL_get_psk_identity_hint
9243            SSL_get_psk_identity
9244            SSL_use_psk_identity_hint
9245
9246    *Mika Kousa and Pasi Eronen of Nokia Corporation*
9247
9248  * Add RFC 3161 compliant time stamp request creation, response generation
9249    and response verification functionality.
9250
9251    *Zoltán Glózik <zglozik@opentsa.org>, The OpenTSA Project*
9252
9253  * Add initial support for TLS extensions, specifically for the server_name
9254    extension so far.  The SSL_SESSION, SSL_CTX, and SSL data structures now
9255    have new members for a host name.  The SSL data structure has an
9256    additional member `SSL_CTX *initial_ctx` so that new sessions can be
9257    stored in that context to allow for session resumption, even after the
9258    SSL has been switched to a new SSL_CTX in reaction to a client's
9259    server_name extension.
9260
9261    New functions (subject to change):
9262
9263            SSL_get_servername()
9264            SSL_get_servername_type()
9265            SSL_set_SSL_CTX()
9266
9267    New CTRL codes and macros (subject to change):
9268
9269            SSL_CTRL_SET_TLSEXT_SERVERNAME_CB
9270                                - SSL_CTX_set_tlsext_servername_callback()
9271            SSL_CTRL_SET_TLSEXT_SERVERNAME_ARG
9272                                     - SSL_CTX_set_tlsext_servername_arg()
9273            SSL_CTRL_SET_TLSEXT_HOSTNAME           - SSL_set_tlsext_host_name()
9274
9275    openssl s_client has a new '-servername ...' option.
9276
9277    openssl s_server has new options '-servername_host ...', '-cert2 ...',
9278    '-key2 ...', '-servername_fatal' (subject to change).  This allows
9279    testing the HostName extension for a specific single host name ('-cert'
9280    and '-key' remain fallbacks for handshakes without HostName
9281    negotiation).  If the unrecognized_name alert has to be sent, this by
9282    default is a warning; it becomes fatal with the '-servername_fatal'
9283    option.
9284
9285    *Peter Sylvester,  Remy Allais, Christophe Renou*
9286
9287  * Whirlpool hash implementation is added.
9288
9289    *Andy Polyakov*
9290
9291  * BIGNUM code on 64-bit SPARCv9 targets is switched from bn(64,64) to
9292    bn(64,32). Because of instruction set limitations it doesn't have
9293    any negative impact on performance. This was done mostly in order
9294    to make it possible to share assembler modules, such as bn_mul_mont
9295    implementations, between 32- and 64-bit builds without hassle.
9296
9297    *Andy Polyakov*
9298
9299  * Move code previously exiled into file crypto/ec/ec2_smpt.c
9300    to ec2_smpl.c, and no longer require the OPENSSL_EC_BIN_PT_COMP
9301    macro.
9302
9303    *Bodo Moeller*
9304
9305  * New candidate for BIGNUM assembler implementation, bn_mul_mont,
9306    dedicated Montgomery multiplication procedure, is introduced.
9307    BN_MONT_CTX is modified to allow bn_mul_mont to reach for higher
9308    "64-bit" performance on certain 32-bit targets.
9309
9310    *Andy Polyakov*
9311
9312  * New option SSL_OP_NO_COMP to disable use of compression selectively
9313    in SSL structures. New SSL ctrl to set maximum send fragment size.
9314    Save memory by setting the I/O buffer sizes dynamically instead of
9315    using the maximum available value.
9316
9317    *Steve Henson*
9318
9319  * New option -V for 'openssl ciphers'. This prints the ciphersuite code
9320    in addition to the text details.
9321
9322    *Bodo Moeller*
9323
9324  * Very, very preliminary EXPERIMENTAL support for printing of general
9325    ASN1 structures. This currently produces rather ugly output and doesn't
9326    handle several customised structures at all.
9327
9328    *Steve Henson*
9329
9330  * Integrated support for PVK file format and some related formats such
9331    as MS PUBLICKEYBLOB and PRIVATEKEYBLOB. Command line switches to support
9332    these in the 'rsa' and 'dsa' utilities.
9333
9334    *Steve Henson*
9335
9336  * Support for PKCS#1 RSAPublicKey format on rsa utility command line.
9337
9338    *Steve Henson*
9339
9340  * Remove the ancient ASN1_METHOD code. This was only ever used in one
9341    place for the (very old) "NETSCAPE" format certificates which are now
9342    handled using new ASN1 code equivalents.
9343
9344    *Steve Henson*
9345
9346  * Let the TLSv1_method() etc. functions return a 'const' SSL_METHOD
9347    pointer and make the SSL_METHOD parameter in SSL_CTX_new,
9348    SSL_CTX_set_ssl_version and SSL_set_ssl_method 'const'.
9349
9350    *Nils Larsch*
9351
9352  * Modify CRL distribution points extension code to print out previously
9353    unsupported fields. Enhance extension setting code to allow setting of
9354    all fields.
9355
9356    *Steve Henson*
9357
9358  * Add print and set support for Issuing Distribution Point CRL extension.
9359
9360    *Steve Henson*
9361
9362  * Change 'Configure' script to enable Camellia by default.
9363
9364    *NTT*
9365
9366 OpenSSL 0.9.x
9367 -------------
9368
9369 ### Changes between 0.9.8m and 0.9.8n [24 Mar 2010]
9370
9371  * When rejecting SSL/TLS records due to an incorrect version number, never
9372    update s->server with a new major version number.  As of
9373    - OpenSSL 0.9.8m if 'short' is a 16-bit type,
9374    - OpenSSL 0.9.8f if 'short' is longer than 16 bits,
9375    the previous behavior could result in a read attempt at NULL when
9376    receiving specific incorrect SSL/TLS records once record payload
9377    protection is active.  ([CVE-2010-0740])
9378
9379    *Bodo Moeller, Adam Langley <agl@chromium.org>*
9380
9381  * Fix for CVE-2010-0433 where some kerberos enabled versions of OpenSSL
9382    could be crashed if the relevant tables were not present (e.g. chrooted).
9383
9384    *Tomas Hoger <thoger@redhat.com>*
9385
9386 ### Changes between 0.9.8l and 0.9.8m [25 Feb 2010]
9387
9388  * Always check bn_wexpand() return values for failure.  ([CVE-2009-3245])
9389
9390    *Martin Olsson, Neel Mehta*
9391
9392  * Fix X509_STORE locking: Every 'objs' access requires a lock (to
9393    accommodate for stack sorting, always a write lock!).
9394
9395    *Bodo Moeller*
9396
9397  * On some versions of WIN32 Heap32Next is very slow. This can cause
9398    excessive delays in the RAND_poll(): over a minute. As a workaround
9399    include a time check in the inner Heap32Next loop too.
9400
9401    *Steve Henson*
9402
9403  * The code that handled flushing of data in SSL/TLS originally used the
9404    BIO_CTRL_INFO ctrl to see if any data was pending first. This caused
9405    the problem outlined in PR#1949. The fix suggested there however can
9406    trigger problems with buggy BIO_CTRL_WPENDING (e.g. some versions
9407    of Apache). So instead simplify the code to flush unconditionally.
9408    This should be fine since flushing with no data to flush is a no op.
9409
9410    *Steve Henson*
9411
9412  * Handle TLS versions 2.0 and later properly and correctly use the
9413    highest version of TLS/SSL supported. Although TLS >= 2.0 is some way
9414    off ancient servers have a habit of sticking around for a while...
9415
9416    *Steve Henson*
9417
9418  * Modify compression code so it frees up structures without using the
9419    ex_data callbacks. This works around a problem where some applications
9420    call CRYPTO_cleanup_all_ex_data() before application exit (e.g. when
9421    restarting) then use compression (e.g. SSL with compression) later.
9422    This results in significant per-connection memory leaks and
9423    has caused some security issues including CVE-2008-1678 and
9424    CVE-2009-4355.
9425
9426    *Steve Henson*
9427
9428  * Constify crypto/cast (i.e., <openssl/cast.h>): a CAST_KEY doesn't
9429    change when encrypting or decrypting.
9430
9431    *Bodo Moeller*
9432
9433  * Add option SSL_OP_LEGACY_SERVER_CONNECT which will allow clients to
9434    connect and renegotiate with servers which do not support RI.
9435    Until RI is more widely deployed this option is enabled by default.
9436
9437    *Steve Henson*
9438
9439  * Add "missing" ssl ctrls to clear options and mode.
9440
9441    *Steve Henson*
9442
9443  * If client attempts to renegotiate and doesn't support RI respond with
9444    a no_renegotiation alert as required by RFC5746.  Some renegotiating
9445    TLS clients will continue a connection gracefully when they receive
9446    the alert. Unfortunately OpenSSL mishandled this alert and would hang
9447    waiting for a server hello which it will never receive. Now we treat a
9448    received no_renegotiation alert as a fatal error. This is because
9449    applications requesting a renegotiation might well expect it to succeed
9450    and would have no code in place to handle the server denying it so the
9451    only safe thing to do is to terminate the connection.
9452
9453    *Steve Henson*
9454
9455  * Add ctrl macro SSL_get_secure_renegotiation_support() which returns 1 if
9456    peer supports secure renegotiation and 0 otherwise. Print out peer
9457    renegotiation support in s_client/s_server.
9458
9459    *Steve Henson*
9460
9461  * Replace the highly broken and deprecated SPKAC certification method with
9462    the updated NID creation version. This should correctly handle UTF8.
9463
9464    *Steve Henson*
9465
9466  * Implement RFC5746. Re-enable renegotiation but require the extension
9467    as needed. Unfortunately, SSL3_FLAGS_ALLOW_UNSAFE_LEGACY_RENEGOTIATION
9468    turns out to be a bad idea. It has been replaced by
9469    SSL_OP_ALLOW_UNSAFE_LEGACY_RENEGOTIATION which can be set with
9470    SSL_CTX_set_options(). This is really not recommended unless you
9471    know what you are doing.
9472
9473    *Eric Rescorla <ekr@networkresonance.com>, Ben Laurie, Steve Henson*
9474
9475  * Fixes to stateless session resumption handling. Use initial_ctx when
9476    issuing and attempting to decrypt tickets in case it has changed during
9477    servername handling. Use a non-zero length session ID when attempting
9478    stateless session resumption: this makes it possible to determine if
9479    a resumption has occurred immediately after receiving server hello
9480    (several places in OpenSSL subtly assume this) instead of later in
9481    the handshake.
9482
9483    *Steve Henson*
9484
9485  * The functions ENGINE_ctrl(), OPENSSL_isservice(),
9486    CMS_get1_RecipientRequest() and RAND_bytes() can return <=0 on error
9487    fixes for a few places where the return code is not checked
9488    correctly.
9489
9490    *Julia Lawall <julia@diku.dk>*
9491
9492  * Add --strict-warnings option to Configure script to include devteam
9493    warnings in other configurations.
9494
9495    *Steve Henson*
9496
9497  * Add support for --libdir option and LIBDIR variable in makefiles. This
9498    makes it possible to install openssl libraries in locations which
9499    have names other than "lib", for example "/usr/lib64" which some
9500    systems need.
9501
9502    *Steve Henson, based on patch from Jeremy Utley*
9503
9504  * Don't allow the use of leading 0x80 in OIDs. This is a violation of
9505    X690 8.9.12 and can produce some misleading textual output of OIDs.
9506
9507    *Steve Henson, reported by Dan Kaminsky*
9508
9509  * Delete MD2 from algorithm tables. This follows the recommendation in
9510    several standards that it is not used in new applications due to
9511    several cryptographic weaknesses. For binary compatibility reasons
9512    the MD2 API is still compiled in by default.
9513
9514    *Steve Henson*
9515
9516  * Add compression id to {d2i,i2d}_SSL_SESSION so it is correctly saved
9517    and restored.
9518
9519    *Steve Henson*
9520
9521  * Rename uni2asc and asc2uni functions to OPENSSL_uni2asc and
9522    OPENSSL_asc2uni conditionally on Netware platforms to avoid a name
9523    clash.
9524
9525    *Guenter <lists@gknw.net>*
9526
9527  * Fix the server certificate chain building code to use X509_verify_cert(),
9528    it used to have an ad-hoc builder which was unable to cope with anything
9529    other than a simple chain.
9530
9531    *David Woodhouse <dwmw2@infradead.org>, Steve Henson*
9532
9533  * Don't check self signed certificate signatures in X509_verify_cert()
9534    by default (a flag can override this): it just wastes time without
9535    adding any security. As a useful side effect self signed root CAs
9536    with non-FIPS digests are now usable in FIPS mode.
9537
9538    *Steve Henson*
9539
9540  * In dtls1_process_out_of_seq_message() the check if the current message
9541    is already buffered was missing. For every new message was memory
9542    allocated, allowing an attacker to perform an denial of service attack
9543    with sending out of seq handshake messages until there is no memory
9544    left. Additionally every future message was buffered, even if the
9545    sequence number made no sense and would be part of another handshake.
9546    So only messages with sequence numbers less than 10 in advance will be
9547    buffered.  ([CVE-2009-1378])
9548
9549    *Robin Seggelmann, discovered by Daniel Mentz*
9550
9551  * Records are buffered if they arrive with a future epoch to be
9552    processed after finishing the corresponding handshake. There is
9553    currently no limitation to this buffer allowing an attacker to perform
9554    a DOS attack with sending records with future epochs until there is no
9555    memory left. This patch adds the pqueue_size() function to determine
9556    the size of a buffer and limits the record buffer to 100 entries.
9557    ([CVE-2009-1377])
9558
9559    *Robin Seggelmann, discovered by Daniel Mentz*
9560
9561  * Keep a copy of frag->msg_header.frag_len so it can be used after the
9562    parent structure is freed.  ([CVE-2009-1379])
9563
9564    *Daniel Mentz*
9565
9566  * Handle non-blocking I/O properly in SSL_shutdown() call.
9567
9568    *Darryl Miles <darryl-mailinglists@netbauds.net>*
9569
9570  * Add `2.5.4.*` OIDs
9571
9572    *Ilya O. <vrghost@gmail.com>*
9573
9574 ### Changes between 0.9.8k and 0.9.8l  [5 Nov 2009]
9575
9576  * Disable renegotiation completely - this fixes a severe security
9577    problem ([CVE-2009-3555]) at the cost of breaking all
9578    renegotiation. Renegotiation can be re-enabled by setting
9579    SSL3_FLAGS_ALLOW_UNSAFE_LEGACY_RENEGOTIATION in s3->flags at
9580    run-time. This is really not recommended unless you know what
9581    you're doing.
9582
9583    *Ben Laurie*
9584
9585 ### Changes between 0.9.8j and 0.9.8k  [25 Mar 2009]
9586
9587  * Don't set val to NULL when freeing up structures, it is freed up by
9588    underlying code. If `sizeof(void *) > sizeof(long)` this can result in
9589    zeroing past the valid field. ([CVE-2009-0789])
9590
9591    *Paolo Ganci <Paolo.Ganci@AdNovum.CH>*
9592
9593  * Fix bug where return value of CMS_SignerInfo_verify_content() was not
9594    checked correctly. This would allow some invalid signed attributes to
9595    appear to verify correctly. ([CVE-2009-0591])
9596
9597    *Ivan Nestlerode <inestlerode@us.ibm.com>*
9598
9599  * Reject UniversalString and BMPString types with invalid lengths. This
9600    prevents a crash in ASN1_STRING_print_ex() which assumes the strings have
9601    a legal length. ([CVE-2009-0590])
9602
9603    *Steve Henson*
9604
9605  * Set S/MIME signing as the default purpose rather than setting it
9606    unconditionally. This allows applications to override it at the store
9607    level.
9608
9609    *Steve Henson*
9610
9611  * Permit restricted recursion of ASN1 strings. This is needed in practice
9612    to handle some structures.
9613
9614    *Steve Henson*
9615
9616  * Improve efficiency of mem_gets: don't search whole buffer each time
9617    for a '\n'
9618
9619    *Jeremy Shapiro <jnshapir@us.ibm.com>*
9620
9621  * New -hex option for openssl rand.
9622
9623    *Matthieu Herrb*
9624
9625  * Print out UTF8String and NumericString when parsing ASN1.
9626
9627    *Steve Henson*
9628
9629  * Support NumericString type for name components.
9630
9631    *Steve Henson*
9632
9633  * Allow CC in the environment to override the automatically chosen
9634    compiler. Note that nothing is done to ensure flags work with the
9635    chosen compiler.
9636
9637    *Ben Laurie*
9638
9639 ### Changes between 0.9.8i and 0.9.8j  [07 Jan 2009]
9640
9641  * Properly check EVP_VerifyFinal() and similar return values
9642    ([CVE-2008-5077]).
9643
9644    *Ben Laurie, Bodo Moeller, Google Security Team*
9645
9646  * Enable TLS extensions by default.
9647
9648    *Ben Laurie*
9649
9650  * Allow the CHIL engine to be loaded, whether the application is
9651    multithreaded or not. (This does not release the developer from the
9652    obligation to set up the dynamic locking callbacks.)
9653
9654    *Sander Temme <sander@temme.net>*
9655
9656  * Use correct exit code if there is an error in dgst command.
9657
9658    *Steve Henson; problem pointed out by Roland Dirlewanger*
9659
9660  * Tweak Configure so that you need to say "experimental-jpake" to enable
9661    JPAKE, and need to use -DOPENSSL_EXPERIMENTAL_JPAKE in applications.
9662
9663    *Bodo Moeller*
9664
9665  * Add experimental JPAKE support, including demo authentication in
9666    s_client and s_server.
9667
9668    *Ben Laurie*
9669
9670  * Set the comparison function in v3_addr_canonize().
9671
9672    *Rob Austein <sra@hactrn.net>*
9673
9674  * Add support for XMPP STARTTLS in s_client.
9675
9676    *Philip Paeps <philip@freebsd.org>*
9677
9678  * Change the server-side SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG behavior
9679    to ensure that even with this option, only ciphersuites in the
9680    server's preference list will be accepted.  (Note that the option
9681    applies only when resuming a session, so the earlier behavior was
9682    just about the algorithm choice for symmetric cryptography.)
9683
9684    *Bodo Moeller*
9685
9686 ### Changes between 0.9.8h and 0.9.8i  [15 Sep 2008]
9687
9688  * Fix NULL pointer dereference if a DTLS server received
9689    ChangeCipherSpec as first record ([CVE-2009-1386]).
9690
9691    *PR #1679*
9692
9693  * Fix a state transition in s3_srvr.c and d1_srvr.c
9694    (was using SSL3_ST_CW_CLNT_HELLO_B, should be `..._ST_SW_SRVR_...`).
9695
9696    *Nagendra Modadugu*
9697
9698  * The fix in 0.9.8c that supposedly got rid of unsafe
9699    double-checked locking was incomplete for RSA blinding,
9700    addressing just one layer of what turns out to have been
9701    doubly unsafe triple-checked locking.
9702
9703    So now fix this for real by retiring the MONT_HELPER macro
9704    in crypto/rsa/rsa_eay.c.
9705
9706    *Bodo Moeller; problem pointed out by Marius Schilder*
9707
9708  * Various precautionary measures:
9709
9710    - Avoid size_t integer overflow in HASH_UPDATE (md32_common.h).
9711
9712    - Avoid a buffer overflow in d2i_SSL_SESSION() (ssl_asn1.c).
9713      (NB: This would require knowledge of the secret session ticket key
9714      to exploit, in which case you'd be SOL either way.)
9715
9716    - Change bn_nist.c so that it will properly handle input BIGNUMs
9717      outside the expected range.
9718
9719    - Enforce the 'num' check in BN_div() (bn_div.c) for non-BN_DEBUG
9720      builds.
9721
9722    *Neel Mehta, Bodo Moeller*
9723
9724  * Allow engines to be "soft loaded" - i.e. optionally don't die if
9725    the load fails. Useful for distros.
9726
9727    *Ben Laurie and the FreeBSD team*
9728
9729  * Add support for Local Machine Keyset attribute in PKCS#12 files.
9730
9731    *Steve Henson*
9732
9733  * Fix BN_GF2m_mod_arr() top-bit cleanup code.
9734
9735    *Huang Ying*
9736
9737  * Expand ENGINE to support engine supplied SSL client certificate functions.
9738
9739    This work was sponsored by Logica.
9740
9741    *Steve Henson*
9742
9743  * Add CryptoAPI ENGINE to support use of RSA and DSA keys held in Windows
9744    keystores. Support for SSL/TLS client authentication too.
9745    Not compiled unless enable-capieng specified to Configure.
9746
9747    This work was sponsored by Logica.
9748
9749    *Steve Henson*
9750
9751  * Fix bug in X509_ATTRIBUTE creation: don't set attribute using
9752    ASN1_TYPE_set1 if MBSTRING flag set. This bug would crash certain
9753    attribute creation routines such as certificate requests and PKCS#12
9754    files.
9755
9756    *Steve Henson*
9757
9758 ### Changes between 0.9.8g and 0.9.8h  [28 May 2008]
9759
9760  * Fix flaw if 'Server Key exchange message' is omitted from a TLS
9761    handshake which could lead to a client crash as found using the
9762    Codenomicon TLS test suite ([CVE-2008-1672])
9763
9764    *Steve Henson, Mark Cox*
9765
9766  * Fix double free in TLS server name extensions which could lead to
9767    a remote crash found by Codenomicon TLS test suite ([CVE-2008-0891])
9768
9769    *Joe Orton*
9770
9771  * Clear error queue in SSL_CTX_use_certificate_chain_file()
9772
9773    Clear the error queue to ensure that error entries left from
9774    older function calls do not interfere with the correct operation.
9775
9776    *Lutz Jaenicke, Erik de Castro Lopo*
9777
9778  * Remove root CA certificates of commercial CAs:
9779
9780    The OpenSSL project does not recommend any specific CA and does not
9781    have any policy with respect to including or excluding any CA.
9782    Therefore it does not make any sense to ship an arbitrary selection
9783    of root CA certificates with the OpenSSL software.
9784
9785    *Lutz Jaenicke*
9786
9787  * RSA OAEP patches to fix two separate invalid memory reads.
9788    The first one involves inputs when 'lzero' is greater than
9789    'SHA_DIGEST_LENGTH' (it would read about SHA_DIGEST_LENGTH bytes
9790    before the beginning of from). The second one involves inputs where
9791    the 'db' section contains nothing but zeroes (there is a one-byte
9792    invalid read after the end of 'db').
9793
9794    *Ivan Nestlerode <inestlerode@us.ibm.com>*
9795
9796  * Partial backport from 0.9.9-dev:
9797
9798    Introduce bn_mul_mont (dedicated Montgomery multiplication
9799    procedure) as a candidate for BIGNUM assembler implementation.
9800    While 0.9.9-dev uses assembler for various architectures, only
9801    x86_64 is available by default here in the 0.9.8 branch, and
9802    32-bit x86 is available through a compile-time setting.
9803
9804    To try the 32-bit x86 assembler implementation, use Configure
9805    option "enable-montasm" (which exists only for this backport).
9806
9807    As "enable-montasm" for 32-bit x86 disclaims code stability
9808    anyway, in this constellation we activate additional code
9809    backported from 0.9.9-dev for further performance improvements,
9810    namely BN_from_montgomery_word.  (To enable this otherwise,
9811    e.g. x86_64, try `-DMONT_FROM_WORD___NON_DEFAULT_0_9_8_BUILD`.)
9812
9813    *Andy Polyakov (backport partially by Bodo Moeller)*
9814
9815  * Add TLS session ticket callback. This allows an application to set
9816    TLS ticket cipher and HMAC keys rather than relying on hardcoded fixed
9817    values. This is useful for key rollover for example where several key
9818    sets may exist with different names.
9819
9820    *Steve Henson*
9821
9822  * Reverse ENGINE-internal logic for caching default ENGINE handles.
9823    This was broken until now in 0.9.8 releases, such that the only way
9824    a registered ENGINE could be used (assuming it initialises
9825    successfully on the host) was to explicitly set it as the default
9826    for the relevant algorithms. This is in contradiction with 0.9.7
9827    behaviour and the documentation. With this fix, when an ENGINE is
9828    registered into a given algorithm's table of implementations, the
9829    'uptodate' flag is reset so that auto-discovery will be used next
9830    time a new context for that algorithm attempts to select an
9831    implementation.
9832
9833    *Ian Lister (tweaked by Geoff Thorpe)*
9834
9835  * Backport of CMS code to OpenSSL 0.9.8. This differs from the 0.9.9
9836    implementation in the following ways:
9837
9838    Lack of EVP_PKEY_ASN1_METHOD means algorithm parameters have to be
9839    hard coded.
9840
9841    Lack of BER streaming support means one pass streaming processing is
9842    only supported if data is detached: setting the streaming flag is
9843    ignored for embedded content.
9844
9845    CMS support is disabled by default and must be explicitly enabled
9846    with the enable-cms configuration option.
9847
9848    *Steve Henson*
9849
9850  * Update the GMP engine glue to do direct copies between BIGNUM and
9851    mpz_t when openssl and GMP use the same limb size. Otherwise the
9852    existing "conversion via a text string export" trick is still used.
9853
9854    *Paul Sheer <paulsheer@gmail.com>*
9855
9856  * Zlib compression BIO. This is a filter BIO which compressed and
9857    uncompresses any data passed through it.
9858
9859    *Steve Henson*
9860
9861  * Add AES_wrap_key() and AES_unwrap_key() functions to implement
9862    RFC3394 compatible AES key wrapping.
9863
9864    *Steve Henson*
9865
9866  * Add utility functions to handle ASN1 structures. ASN1_STRING_set0():
9867    sets string data without copying. X509_ALGOR_set0() and
9868    X509_ALGOR_get0(): set and retrieve X509_ALGOR (AlgorithmIdentifier)
9869    data. Attribute function X509at_get0_data_by_OBJ(): retrieves data
9870    from an X509_ATTRIBUTE structure optionally checking it occurs only
9871    once. ASN1_TYPE_set1(): set and ASN1_TYPE structure copying supplied
9872    data.
9873
9874    *Steve Henson*
9875
9876  * Fix BN flag handling in RSA_eay_mod_exp() and BN_MONT_CTX_set()
9877    to get the expected BN_FLG_CONSTTIME behavior.
9878
9879    *Bodo Moeller (Google)*
9880
9881  * Netware support:
9882
9883    - fixed wrong usage of ioctlsocket() when build for LIBC BSD sockets
9884    - fixed do_tests.pl to run the test suite with CLIB builds too (CLIB_OPT)
9885    - added some more tests to do_tests.pl
9886    - fixed RunningProcess usage so that it works with newer LIBC NDKs too
9887    - removed usage of BN_LLONG for CLIB builds to avoid runtime dependency
9888    - added new Configure targets netware-clib-bsdsock, netware-clib-gcc,
9889      netware-clib-bsdsock-gcc, netware-libc-bsdsock-gcc
9890    - various changes to netware.pl to enable gcc-cross builds on Win32
9891      platform
9892    - changed crypto/bio/b_sock.c to work with macro functions (CLIB BSD)
9893    - various changes to fix missing prototype warnings
9894    - fixed x86nasm.pl to create correct asm files for NASM COFF output
9895    - added AES, WHIRLPOOL and CPUID assembler code to build files
9896    - added missing AES assembler make rules to mk1mf.pl
9897    - fixed order of includes in `apps/ocsp.c` so that `e_os.h` settings apply
9898
9899    *Guenter Knauf <eflash@gmx.net>*
9900
9901  * Implement certificate status request TLS extension defined in RFC3546.
9902    A client can set the appropriate parameters and receive the encoded
9903    OCSP response via a callback. A server can query the supplied parameters
9904    and set the encoded OCSP response in the callback. Add simplified examples
9905    to s_client and s_server.
9906
9907    *Steve Henson*
9908
9909 ### Changes between 0.9.8f and 0.9.8g  [19 Oct 2007]
9910
9911  * Fix various bugs:
9912    + Binary incompatibility of ssl_ctx_st structure
9913    + DTLS interoperation with non-compliant servers
9914    + Don't call get_session_cb() without proposed session
9915    + Fix ia64 assembler code
9916
9917    *Andy Polyakov, Steve Henson*
9918
9919 ### Changes between 0.9.8e and 0.9.8f  [11 Oct 2007]
9920
9921  * DTLS Handshake overhaul. There were longstanding issues with
9922    OpenSSL DTLS implementation, which were making it impossible for
9923    RFC 4347 compliant client to communicate with OpenSSL server.
9924    Unfortunately just fixing these incompatibilities would "cut off"
9925    pre-0.9.8f clients. To allow for hassle free upgrade post-0.9.8e
9926    server keeps tolerating non RFC compliant syntax. The opposite is
9927    not true, 0.9.8f client can not communicate with earlier server.
9928    This update even addresses CVE-2007-4995.
9929
9930    *Andy Polyakov*
9931
9932  * Changes to avoid need for function casts in OpenSSL: some compilers
9933    (gcc 4.2 and later) reject their use.
9934    *Kurt Roeckx <kurt@roeckx.be>, Peter Hartley <pdh@utter.chaos.org.uk>,
9935     Steve Henson*
9936
9937  * Add RFC4507 support to OpenSSL. This includes the corrections in
9938    RFC4507bis. The encrypted ticket format is an encrypted encoded
9939    SSL_SESSION structure, that way new session features are automatically
9940    supported.
9941
9942    If a client application caches session in an SSL_SESSION structure
9943    support is transparent because tickets are now stored in the encoded
9944    SSL_SESSION.
9945
9946    The SSL_CTX structure automatically generates keys for ticket
9947    protection in servers so again support should be possible
9948    with no application modification.
9949
9950    If a client or server wishes to disable RFC4507 support then the option
9951    SSL_OP_NO_TICKET can be set.
9952
9953    Add a TLS extension debugging callback to allow the contents of any client
9954    or server extensions to be examined.
9955
9956    This work was sponsored by Google.
9957
9958    *Steve Henson*
9959
9960  * Add initial support for TLS extensions, specifically for the server_name
9961    extension so far.  The SSL_SESSION, SSL_CTX, and SSL data structures now
9962    have new members for a host name.  The SSL data structure has an
9963    additional member `SSL_CTX *initial_ctx` so that new sessions can be
9964    stored in that context to allow for session resumption, even after the
9965    SSL has been switched to a new SSL_CTX in reaction to a client's
9966    server_name extension.
9967
9968    New functions (subject to change):
9969
9970            SSL_get_servername()
9971            SSL_get_servername_type()
9972            SSL_set_SSL_CTX()
9973
9974    New CTRL codes and macros (subject to change):
9975
9976            SSL_CTRL_SET_TLSEXT_SERVERNAME_CB
9977                                - SSL_CTX_set_tlsext_servername_callback()
9978            SSL_CTRL_SET_TLSEXT_SERVERNAME_ARG
9979                                     - SSL_CTX_set_tlsext_servername_arg()
9980            SSL_CTRL_SET_TLSEXT_HOSTNAME           - SSL_set_tlsext_host_name()
9981
9982    openssl s_client has a new '-servername ...' option.
9983
9984    openssl s_server has new options '-servername_host ...', '-cert2 ...',
9985    '-key2 ...', '-servername_fatal' (subject to change).  This allows
9986    testing the HostName extension for a specific single host name ('-cert'
9987    and '-key' remain fallbacks for handshakes without HostName
9988    negotiation).  If the unrecognized_name alert has to be sent, this by
9989    default is a warning; it becomes fatal with the '-servername_fatal'
9990    option.
9991
9992    *Peter Sylvester,  Remy Allais, Christophe Renou, Steve Henson*
9993
9994  * Add AES and SSE2 assembly language support to VC++ build.
9995
9996    *Steve Henson*
9997
9998  * Mitigate attack on final subtraction in Montgomery reduction.
9999
10000    *Andy Polyakov*
10001
10002  * Fix crypto/ec/ec_mult.c to work properly with scalars of value 0
10003    (which previously caused an internal error).
10004
10005    *Bodo Moeller*
10006
10007  * Squeeze another 10% out of IGE mode when in != out.
10008
10009    *Ben Laurie*
10010
10011  * AES IGE mode speedup.
10012
10013    *Dean Gaudet (Google)*
10014
10015  * Add the Korean symmetric 128-bit cipher SEED (see
10016    <http://www.kisa.or.kr/kisa/seed/jsp/seed_eng.jsp>) and
10017    add SEED ciphersuites from RFC 4162:
10018
10019            TLS_RSA_WITH_SEED_CBC_SHA      =  "SEED-SHA"
10020            TLS_DHE_DSS_WITH_SEED_CBC_SHA  =  "DHE-DSS-SEED-SHA"
10021            TLS_DHE_RSA_WITH_SEED_CBC_SHA  =  "DHE-RSA-SEED-SHA"
10022            TLS_DH_anon_WITH_SEED_CBC_SHA  =  "ADH-SEED-SHA"
10023
10024    To minimize changes between patchlevels in the OpenSSL 0.9.8
10025    series, SEED remains excluded from compilation unless OpenSSL
10026    is configured with 'enable-seed'.
10027
10028    *KISA, Bodo Moeller*
10029
10030  * Mitigate branch prediction attacks, which can be practical if a
10031    single processor is shared, allowing a spy process to extract
10032    information.  For detailed background information, see
10033    <http://eprint.iacr.org/2007/039> (O. Aciicmez, S. Gueron,
10034    J.-P. Seifert, "New Branch Prediction Vulnerabilities in OpenSSL
10035    and Necessary Software Countermeasures").  The core of the change
10036    are new versions BN_div_no_branch() and
10037    BN_mod_inverse_no_branch() of BN_div() and BN_mod_inverse(),
10038    respectively, which are slower, but avoid the security-relevant
10039    conditional branches.  These are automatically called by BN_div()
10040    and BN_mod_inverse() if the flag BN_FLG_CONSTTIME is set for one
10041    of the input BIGNUMs.  Also, BN_is_bit_set() has been changed to
10042    remove a conditional branch.
10043
10044    BN_FLG_CONSTTIME is the new name for the previous
10045    BN_FLG_EXP_CONSTTIME flag, since it now affects more than just
10046    modular exponentiation.  (Since OpenSSL 0.9.7h, setting this flag
10047    in the exponent causes BN_mod_exp_mont() to use the alternative
10048    implementation in BN_mod_exp_mont_consttime().)  The old name
10049    remains as a deprecated alias.
10050
10051    Similarly, RSA_FLAG_NO_EXP_CONSTTIME is replaced by a more general
10052    RSA_FLAG_NO_CONSTTIME flag since the RSA implementation now uses
10053    constant-time implementations for more than just exponentiation.
10054    Here too the old name is kept as a deprecated alias.
10055
10056    BN_BLINDING_new() will now use BN_dup() for the modulus so that
10057    the BN_BLINDING structure gets an independent copy of the
10058    modulus.  This means that the previous `BIGNUM *m` argument to
10059    BN_BLINDING_new() and to BN_BLINDING_create_param() now
10060    essentially becomes `const BIGNUM *m`, although we can't actually
10061    change this in the header file before 0.9.9.  It allows
10062    RSA_setup_blinding() to use BN_with_flags() on the modulus to
10063    enable BN_FLG_CONSTTIME.
10064
10065    *Matthew D Wood (Intel Corp)*
10066
10067  * In the SSL/TLS server implementation, be strict about session ID
10068    context matching (which matters if an application uses a single
10069    external cache for different purposes).  Previously,
10070    out-of-context reuse was forbidden only if SSL_VERIFY_PEER was
10071    set.  This did ensure strict client verification, but meant that,
10072    with applications using a single external cache for quite
10073    different requirements, clients could circumvent ciphersuite
10074    restrictions for a given session ID context by starting a session
10075    in a different context.
10076
10077    *Bodo Moeller*
10078
10079  * Include "!eNULL" in SSL_DEFAULT_CIPHER_LIST to make sure that
10080    a ciphersuite string such as "DEFAULT:RSA" cannot enable
10081    authentication-only ciphersuites.
10082
10083    *Bodo Moeller*
10084
10085  * Update the SSL_get_shared_ciphers() fix CVE-2006-3738 which was
10086    not complete and could lead to a possible single byte overflow
10087    ([CVE-2007-5135]) [Ben Laurie]
10088
10089 ### Changes between 0.9.8d and 0.9.8e  [23 Feb 2007]
10090
10091  * Since AES128 and AES256 (and similarly Camellia128 and
10092    Camellia256) share a single mask bit in the logic of
10093    ssl/ssl_ciph.c, the code for masking out disabled ciphers needs a
10094    kludge to work properly if AES128 is available and AES256 isn't
10095    (or if Camellia128 is available and Camellia256 isn't).
10096
10097    *Victor Duchovni*
10098
10099  * Fix the BIT STRING encoding generated by crypto/ec/ec_asn1.c
10100    (within i2d_ECPrivateKey, i2d_ECPKParameters, i2d_ECParameters):
10101    When a point or a seed is encoded in a BIT STRING, we need to
10102    prevent the removal of trailing zero bits to get the proper DER
10103    encoding.  (By default, crypto/asn1/a_bitstr.c assumes the case
10104    of a NamedBitList, for which trailing 0 bits need to be removed.)
10105
10106    *Bodo Moeller*
10107
10108  * Have SSL/TLS server implementation tolerate "mismatched" record
10109    protocol version while receiving ClientHello even if the
10110    ClientHello is fragmented.  (The server can't insist on the
10111    particular protocol version it has chosen before the ServerHello
10112    message has informed the client about his choice.)
10113
10114    *Bodo Moeller*
10115
10116  * Add RFC 3779 support.
10117
10118    *Rob Austein for ARIN, Ben Laurie*
10119
10120  * Load error codes if they are not already present instead of using a
10121    static variable. This allows them to be cleanly unloaded and reloaded.
10122    Improve header file function name parsing.
10123
10124    *Steve Henson*
10125
10126  * extend SMTP and IMAP protocol emulation in s_client to use EHLO
10127    or CAPABILITY handshake as required by RFCs.
10128
10129    *Goetz Babin-Ebell*
10130
10131 ### Changes between 0.9.8c and 0.9.8d  [28 Sep 2006]
10132
10133  * Introduce limits to prevent malicious keys being able to
10134    cause a denial of service.  ([CVE-2006-2940])
10135
10136    *Steve Henson, Bodo Moeller*
10137
10138  * Fix ASN.1 parsing of certain invalid structures that can result
10139    in a denial of service.  ([CVE-2006-2937])  [Steve Henson]
10140
10141  * Fix buffer overflow in SSL_get_shared_ciphers() function.
10142    ([CVE-2006-3738]) [Tavis Ormandy and Will Drewry, Google Security Team]
10143
10144  * Fix SSL client code which could crash if connecting to a
10145    malicious SSLv2 server.  ([CVE-2006-4343])
10146
10147    *Tavis Ormandy and Will Drewry, Google Security Team*
10148
10149  * Since 0.9.8b, ciphersuite strings naming explicit ciphersuites
10150    match only those.  Before that, "AES256-SHA" would be interpreted
10151    as a pattern and match "AES128-SHA" too (since AES128-SHA got
10152    the same strength classification in 0.9.7h) as we currently only
10153    have a single AES bit in the ciphersuite description bitmap.
10154    That change, however, also applied to ciphersuite strings such as
10155    "RC4-MD5" that intentionally matched multiple ciphersuites --
10156    namely, SSL 2.0 ciphersuites in addition to the more common ones
10157    from SSL 3.0/TLS 1.0.
10158
10159    So we change the selection algorithm again: Naming an explicit
10160    ciphersuite selects this one ciphersuite, and any other similar
10161    ciphersuite (same bitmap) from *other* protocol versions.
10162    Thus, "RC4-MD5" again will properly select both the SSL 2.0
10163    ciphersuite and the SSL 3.0/TLS 1.0 ciphersuite.
10164
10165    Since SSL 2.0 does not have any ciphersuites for which the
10166    128/256 bit distinction would be relevant, this works for now.
10167    The proper fix will be to use different bits for AES128 and
10168    AES256, which would have avoided the problems from the beginning;
10169    however, bits are scarce, so we can only do this in a new release
10170    (not just a patchlevel) when we can change the SSL_CIPHER
10171    definition to split the single 'unsigned long mask' bitmap into
10172    multiple values to extend the available space.
10173
10174    *Bodo Moeller*
10175
10176 ### Changes between 0.9.8b and 0.9.8c  [05 Sep 2006]
10177
10178  * Avoid PKCS #1 v1.5 signature attack discovered by Daniel Bleichenbacher
10179    ([CVE-2006-4339])  [Ben Laurie and Google Security Team]
10180
10181  * Add AES IGE and biIGE modes.
10182
10183    *Ben Laurie*
10184
10185  * Change the Unix randomness entropy gathering to use poll() when
10186    possible instead of select(), since the latter has some
10187    undesirable limitations.
10188
10189    *Darryl Miles via Richard Levitte and Bodo Moeller*
10190
10191  * Disable "ECCdraft" ciphersuites more thoroughly.  Now special
10192    treatment in ssl/ssl_ciph.s makes sure that these ciphersuites
10193    cannot be implicitly activated as part of, e.g., the "AES" alias.
10194    However, please upgrade to OpenSSL 0.9.9[-dev] for
10195    non-experimental use of the ECC ciphersuites to get TLS extension
10196    support, which is required for curve and point format negotiation
10197    to avoid potential handshake problems.
10198
10199    *Bodo Moeller*
10200
10201  * Disable rogue ciphersuites:
10202
10203    - SSLv2 0x08 0x00 0x80 ("RC4-64-MD5")
10204    - SSLv3/TLSv1 0x00 0x61 ("EXP1024-RC2-CBC-MD5")
10205    - SSLv3/TLSv1 0x00 0x60 ("EXP1024-RC4-MD5")
10206
10207    The latter two were purportedly from
10208    draft-ietf-tls-56-bit-ciphersuites-0[01].txt, but do not really
10209    appear there.
10210
10211    Also deactivate the remaining ciphersuites from
10212    draft-ietf-tls-56-bit-ciphersuites-01.txt.  These are just as
10213    unofficial, and the ID has long expired.
10214
10215    *Bodo Moeller*
10216
10217  * Fix RSA blinding Heisenbug (problems sometimes occurred on
10218    dual-core machines) and other potential thread-safety issues.
10219
10220    *Bodo Moeller*
10221
10222  * Add the symmetric cipher Camellia (128-bit, 192-bit, 256-bit key
10223    versions), which is now available for royalty-free use
10224    (see <http://info.isl.ntt.co.jp/crypt/eng/info/chiteki.html>).
10225    Also, add Camellia TLS ciphersuites from RFC 4132.
10226
10227    To minimize changes between patchlevels in the OpenSSL 0.9.8
10228    series, Camellia remains excluded from compilation unless OpenSSL
10229    is configured with 'enable-camellia'.
10230
10231    *NTT*
10232
10233  * Disable the padding bug check when compression is in use. The padding
10234    bug check assumes the first packet is of even length, this is not
10235    necessarily true if compression is enabled and can result in false
10236    positives causing handshake failure. The actual bug test is ancient
10237    code so it is hoped that implementations will either have fixed it by
10238    now or any which still have the bug do not support compression.
10239
10240    *Steve Henson*
10241
10242 ### Changes between 0.9.8a and 0.9.8b  [04 May 2006]
10243
10244  * When applying a cipher rule check to see if string match is an explicit
10245    cipher suite and only match that one cipher suite if it is.
10246
10247    *Steve Henson*
10248
10249  * Link in manifests for VC++ if needed.
10250
10251    *Austin Ziegler <halostatue@gmail.com>*
10252
10253  * Update support for ECC-based TLS ciphersuites according to
10254    draft-ietf-tls-ecc-12.txt with proposed changes (but without
10255    TLS extensions, which are supported starting with the 0.9.9
10256    branch, not in the OpenSSL 0.9.8 branch).
10257
10258    *Douglas Stebila*
10259
10260  * New functions EVP_CIPHER_CTX_new() and EVP_CIPHER_CTX_free() to support
10261    opaque EVP_CIPHER_CTX handling.
10262
10263    *Steve Henson*
10264
10265  * Fixes and enhancements to zlib compression code. We now only use
10266    "zlib1.dll" and use the default `__cdecl` calling convention on Win32
10267    to conform with the standards mentioned here:
10268    <http://www.zlib.net/DLL_FAQ.txt>
10269    Static zlib linking now works on Windows and the new --with-zlib-include
10270    --with-zlib-lib options to Configure can be used to supply the location
10271    of the headers and library. Gracefully handle case where zlib library
10272    can't be loaded.
10273
10274    *Steve Henson*
10275
10276  * Several fixes and enhancements to the OID generation code. The old code
10277    sometimes allowed invalid OIDs (1.X for X >= 40 for example), couldn't
10278    handle numbers larger than ULONG_MAX, truncated printing and had a
10279    non standard OBJ_obj2txt() behaviour.
10280
10281    *Steve Henson*
10282
10283  * Add support for building of engines under engine/ as shared libraries
10284    under VC++ build system.
10285
10286    *Steve Henson*
10287
10288  * Corrected the numerous bugs in the Win32 path splitter in DSO.
10289    Hopefully, we will not see any false combination of paths any more.
10290
10291    *Richard Levitte*
10292
10293 ### Changes between 0.9.8 and 0.9.8a  [11 Oct 2005]
10294
10295  * Remove the functionality of SSL_OP_MSIE_SSLV2_RSA_PADDING
10296    (part of SSL_OP_ALL).  This option used to disable the
10297    countermeasure against man-in-the-middle protocol-version
10298    rollback in the SSL 2.0 server implementation, which is a bad
10299    idea.  ([CVE-2005-2969])
10300
10301    *Bodo Moeller; problem pointed out by Yutaka Oiwa (Research Center
10302    for Information Security, National Institute of Advanced Industrial
10303    Science and Technology [AIST], Japan)*
10304
10305  * Add two function to clear and return the verify parameter flags.
10306
10307    *Steve Henson*
10308
10309  * Keep cipherlists sorted in the source instead of sorting them at
10310    runtime, thus removing the need for a lock.
10311
10312    *Nils Larsch*
10313
10314  * Avoid some small subgroup attacks in Diffie-Hellman.
10315
10316    *Nick Mathewson and Ben Laurie*
10317
10318  * Add functions for well-known primes.
10319
10320    *Nick Mathewson*
10321
10322  * Extended Windows CE support.
10323
10324    *Satoshi Nakamura and Andy Polyakov*
10325
10326  * Initialize SSL_METHOD structures at compile time instead of during
10327    runtime, thus removing the need for a lock.
10328
10329    *Steve Henson*
10330
10331  * Make PKCS7_decrypt() work even if no certificate is supplied by
10332    attempting to decrypt each encrypted key in turn. Add support to
10333    smime utility.
10334
10335    *Steve Henson*
10336
10337 ### Changes between 0.9.7h and 0.9.8  [05 Jul 2005]
10338
10339 [NB: OpenSSL 0.9.7i and later 0.9.7 patch levels were released after
10340 OpenSSL 0.9.8.]
10341
10342  * Add libcrypto.pc and libssl.pc for those who feel they need them.
10343
10344    *Richard Levitte*
10345
10346  * Change CA.sh and CA.pl so they don't bundle the CSR and the private
10347    key into the same file any more.
10348
10349    *Richard Levitte*
10350
10351  * Add initial support for Win64, both IA64 and AMD64/x64 flavors.
10352
10353    *Andy Polyakov*
10354
10355  * Add -utf8 command line and config file option to 'ca'.
10356
10357    *Stefan <stf@udoma.org*
10358
10359  * Removed the macro des_crypt(), as it seems to conflict with some
10360    libraries.  Use DES_crypt().
10361
10362    *Richard Levitte*
10363
10364  * Correct naming of the 'chil' and '4758cca' ENGINEs. This
10365    involves renaming the source and generated shared-libs for
10366    both. The engines will accept the corrected or legacy ids
10367    ('ncipher' and '4758_cca' respectively) when binding. NB,
10368    this only applies when building 'shared'.
10369
10370    *Corinna Vinschen <vinschen@redhat.com> and Geoff Thorpe*
10371
10372  * Add attribute functions to EVP_PKEY structure. Modify
10373    PKCS12_create() to recognize a CSP name attribute and
10374    use it. Make -CSP option work again in pkcs12 utility.
10375
10376    *Steve Henson*
10377
10378  * Add new functionality to the bn blinding code:
10379    - automatic re-creation of the BN_BLINDING parameters after
10380      a fixed number of uses (currently 32)
10381    - add new function for parameter creation
10382    - introduce flags to control the update behaviour of the
10383      BN_BLINDING parameters
10384    - hide BN_BLINDING structure
10385    Add a second BN_BLINDING slot to the RSA structure to improve
10386    performance when a single RSA object is shared among several
10387    threads.
10388
10389    *Nils Larsch*
10390
10391  * Add support for DTLS.
10392
10393    *Nagendra Modadugu <nagendra@cs.stanford.edu> and Ben Laurie*
10394
10395  * Add support for DER encoded private keys (SSL_FILETYPE_ASN1)
10396    to SSL_CTX_use_PrivateKey_file() and SSL_use_PrivateKey_file()
10397
10398    *Walter Goulet*
10399
10400  * Remove buggy and incomplete DH cert support from
10401    ssl/ssl_rsa.c and ssl/s3_both.c
10402
10403    *Nils Larsch*
10404
10405  * Use SHA-1 instead of MD5 as the default digest algorithm for
10406    the `apps/openssl` commands.
10407
10408    *Nils Larsch*
10409
10410  * Compile clean with "-Wall -Wmissing-prototypes
10411    -Wstrict-prototypes -Wmissing-declarations -Werror". Currently
10412    DEBUG_SAFESTACK must also be set.
10413
10414    *Ben Laurie*
10415
10416  * Change ./Configure so that certain algorithms can be disabled by default.
10417    The new counterpiece to "no-xxx" is "enable-xxx".
10418
10419    The patented RC5 and MDC2 algorithms will now be disabled unless
10420    "enable-rc5" and "enable-mdc2", respectively, are specified.
10421
10422    (IDEA remains enabled despite being patented.  This is because IDEA
10423    is frequently required for interoperability, and there is no license
10424    fee for non-commercial use.  As before, "no-idea" can be used to
10425    avoid this algorithm.)
10426
10427    *Bodo Moeller*
10428
10429  * Add processing of proxy certificates (see RFC 3820).  This work was
10430    sponsored by KTH (The Royal Institute of Technology in Stockholm) and
10431    EGEE (Enabling Grids for E-science in Europe).
10432
10433    *Richard Levitte*
10434
10435  * RC4 performance overhaul on modern architectures/implementations, such
10436    as Intel P4, IA-64 and AMD64.
10437
10438    *Andy Polyakov*
10439
10440  * New utility extract-section.pl. This can be used specify an alternative
10441    section number in a pod file instead of having to treat each file as
10442    a separate case in Makefile. This can be done by adding two lines to the
10443    pod file:
10444
10445    =for comment openssl_section:XXX
10446
10447    The blank line is mandatory.
10448
10449    *Steve Henson*
10450
10451  * New arguments -certform, -keyform and -pass for s_client and s_server
10452    to allow alternative format key and certificate files and passphrase
10453    sources.
10454
10455    *Steve Henson*
10456
10457  * New structure X509_VERIFY_PARAM which combines current verify parameters,
10458    update associated structures and add various utility functions.
10459
10460    Add new policy related verify parameters, include policy checking in
10461    standard verify code. Enhance 'smime' application with extra parameters
10462    to support policy checking and print out.
10463
10464    *Steve Henson*
10465
10466  * Add a new engine to support VIA PadLock ACE extensions in the VIA C3
10467    Nehemiah processors. These extensions support AES encryption in hardware
10468    as well as RNG (though RNG support is currently disabled).
10469
10470    *Michal Ludvig <michal@logix.cz>, with help from Andy Polyakov*
10471
10472  * Deprecate `BN_[get|set]_params()` functions (they were ignored internally).
10473
10474    *Geoff Thorpe*
10475
10476  * New FIPS 180-2 algorithms, SHA-224/-256/-384/-512 are implemented.
10477
10478    *Andy Polyakov and a number of other people*
10479
10480  * Improved PowerPC platform support. Most notably BIGNUM assembler
10481    implementation contributed by IBM.
10482
10483    *Suresh Chari, Peter Waltenberg, Andy Polyakov*
10484
10485  * The new 'RSA_generate_key_ex' function now takes a BIGNUM for the public
10486    exponent rather than 'unsigned long'. There is a corresponding change to
10487    the new 'rsa_keygen' element of the RSA_METHOD structure.
10488
10489    *Jelte Jansen, Geoff Thorpe*
10490
10491  * Functionality for creating the initial serial number file is now
10492    moved from CA.pl to the 'ca' utility with a new option -create_serial.
10493
10494    (Before OpenSSL 0.9.7e, CA.pl used to initialize the serial
10495    number file to 1, which is bound to cause problems.  To avoid
10496    the problems while respecting compatibility between different 0.9.7
10497    patchlevels, 0.9.7e  employed 'openssl x509 -next_serial' in
10498    CA.pl for serial number initialization.  With the new release 0.9.8,
10499    we can fix the problem directly in the 'ca' utility.)
10500
10501    *Steve Henson*
10502
10503  * Reduced header interdependencies by declaring more opaque objects in
10504    ossl_typ.h. As a consequence, including some headers (eg. engine.h) will
10505    give fewer recursive includes, which could break lazy source code - so
10506    this change is covered by the OPENSSL_NO_DEPRECATED symbol. As always,
10507    developers should define this symbol when building and using openssl to
10508    ensure they track the recommended behaviour, interfaces, [etc], but
10509    backwards-compatible behaviour prevails when this isn't defined.
10510
10511    *Geoff Thorpe*
10512
10513  * New function X509_POLICY_NODE_print() which prints out policy nodes.
10514
10515    *Steve Henson*
10516
10517  * Add new EVP function EVP_CIPHER_CTX_rand_key and associated functionality.
10518    This will generate a random key of the appropriate length based on the
10519    cipher context. The EVP_CIPHER can provide its own random key generation
10520    routine to support keys of a specific form. This is used in the des and
10521    3des routines to generate a key of the correct parity. Update S/MIME
10522    code to use new functions and hence generate correct parity DES keys.
10523    Add EVP_CHECK_DES_KEY #define to return an error if the key is not
10524    valid (weak or incorrect parity).
10525
10526    *Steve Henson*
10527
10528  * Add a local set of CRLs that can be used by X509_verify_cert() as well
10529    as looking them up. This is useful when the verified structure may contain
10530    CRLs, for example PKCS#7 signedData. Modify PKCS7_verify() to use any CRLs
10531    present unless the new PKCS7_NO_CRL flag is asserted.
10532
10533    *Steve Henson*
10534
10535  * Extend ASN1 oid configuration module. It now additionally accepts the
10536    syntax:
10537
10538    shortName = some long name, 1.2.3.4
10539
10540    *Steve Henson*
10541
10542  * Reimplemented the BN_CTX implementation. There is now no more static
10543    limitation on the number of variables it can handle nor the depth of the
10544    "stack" handling for BN_CTX_start()/BN_CTX_end() pairs. The stack
10545    information can now expand as required, and rather than having a single
10546    static array of bignums, BN_CTX now uses a linked-list of such arrays
10547    allowing it to expand on demand whilst maintaining the usefulness of
10548    BN_CTX's "bundling".
10549
10550    *Geoff Thorpe*
10551
10552  * Add a missing BN_CTX parameter to the 'rsa_mod_exp' callback in RSA_METHOD
10553    to allow all RSA operations to function using a single BN_CTX.
10554
10555    *Geoff Thorpe*
10556
10557  * Preliminary support for certificate policy evaluation and checking. This
10558    is initially intended to pass the tests outlined in "Conformance Testing
10559    of Relying Party Client Certificate Path Processing Logic" v1.07.
10560
10561    *Steve Henson*
10562
10563  * bn_dup_expand() has been deprecated, it was introduced in 0.9.7 and
10564    remained unused and not that useful. A variety of other little bignum
10565    tweaks and fixes have also been made continuing on from the audit (see
10566    below).
10567
10568    *Geoff Thorpe*
10569
10570  * Constify all or almost all d2i, c2i, s2i and r2i functions, along with
10571    associated ASN1, EVP and SSL functions and old ASN1 macros.
10572
10573    *Richard Levitte*
10574
10575  * BN_zero() only needs to set 'top' and 'neg' to zero for correct results,
10576    and this should never fail. So the return value from the use of
10577    BN_set_word() (which can fail due to needless expansion) is now deprecated;
10578    if OPENSSL_NO_DEPRECATED is defined, BN_zero() is a void macro.
10579
10580    *Geoff Thorpe*
10581
10582  * BN_CTX_get() should return zero-valued bignums, providing the same
10583    initialised value as BN_new().
10584
10585    *Geoff Thorpe, suggested by Ulf Möller*
10586
10587  * Support for inhibitAnyPolicy certificate extension.
10588
10589    *Steve Henson*
10590
10591  * An audit of the BIGNUM code is underway, for which debugging code is
10592    enabled when BN_DEBUG is defined. This makes stricter enforcements on what
10593    is considered valid when processing BIGNUMs, and causes execution to
10594    assert() when a problem is discovered. If BN_DEBUG_RAND is defined,
10595    further steps are taken to deliberately pollute unused data in BIGNUM
10596    structures to try and expose faulty code further on. For now, openssl will
10597    (in its default mode of operation) continue to tolerate the inconsistent
10598    forms that it has tolerated in the past, but authors and packagers should
10599    consider trying openssl and their own applications when compiled with
10600    these debugging symbols defined. It will help highlight potential bugs in
10601    their own code, and will improve the test coverage for OpenSSL itself. At
10602    some point, these tighter rules will become openssl's default to improve
10603    maintainability, though the assert()s and other overheads will remain only
10604    in debugging configurations. See bn.h for more details.
10605
10606    *Geoff Thorpe, Nils Larsch, Ulf Möller*
10607
10608  * BN_CTX_init() has been deprecated, as BN_CTX is an opaque structure
10609    that can only be obtained through BN_CTX_new() (which implicitly
10610    initialises it). The presence of this function only made it possible
10611    to overwrite an existing structure (and cause memory leaks).
10612
10613    *Geoff Thorpe*
10614
10615  * Because of the callback-based approach for implementing LHASH as a
10616    template type, lh_insert() adds opaque objects to hash-tables and
10617    lh_doall() or lh_doall_arg() are typically used with a destructor callback
10618    to clean up those corresponding objects before destroying the hash table
10619    (and losing the object pointers). So some over-zealous constifications in
10620    LHASH have been relaxed so that lh_insert() does not take (nor store) the
10621    objects as "const" and the `lh_doall[_arg]` callback wrappers are not
10622    prototyped to have "const" restrictions on the object pointers they are
10623    given (and so aren't required to cast them away any more).
10624
10625    *Geoff Thorpe*
10626
10627  * The tmdiff.h API was so ugly and minimal that our own timing utility
10628    (speed) prefers to use its own implementation. The two implementations
10629    haven't been consolidated as yet (volunteers?) but the tmdiff API has had
10630    its object type properly exposed (MS_TM) instead of casting to/from
10631    `char *`. This may still change yet if someone realises MS_TM and
10632    `ms_time_***`
10633    aren't necessarily the greatest nomenclatures - but this is what was used
10634    internally to the implementation so I've used that for now.
10635
10636    *Geoff Thorpe*
10637
10638  * Ensure that deprecated functions do not get compiled when
10639    OPENSSL_NO_DEPRECATED is defined. Some "openssl" subcommands and a few of
10640    the self-tests were still using deprecated key-generation functions so
10641    these have been updated also.
10642
10643    *Geoff Thorpe*
10644
10645  * Reorganise PKCS#7 code to separate the digest location functionality
10646    into PKCS7_find_digest(), digest addition into PKCS7_bio_add_digest().
10647    New function PKCS7_set_digest() to set the digest type for PKCS#7
10648    digestedData type. Add additional code to correctly generate the
10649    digestedData type and add support for this type in PKCS7 initialization
10650    functions.
10651
10652    *Steve Henson*
10653
10654  * New function PKCS7_set0_type_other() this initializes a PKCS7
10655    structure of type "other".
10656
10657    *Steve Henson*
10658
10659  * Fix prime generation loop in crypto/bn/bn_prime.pl by making
10660    sure the loop does correctly stop and breaking ("division by zero")
10661    modulus operations are not performed. The (pre-generated) prime
10662    table crypto/bn/bn_prime.h was already correct, but it could not be
10663    re-generated on some platforms because of the "division by zero"
10664    situation in the script.
10665
10666    *Ralf S. Engelschall*
10667
10668  * Update support for ECC-based TLS ciphersuites according to
10669    draft-ietf-tls-ecc-03.txt: the KDF1 key derivation function with
10670    SHA-1 now is only used for "small" curves (where the
10671    representation of a field element takes up to 24 bytes); for
10672    larger curves, the field element resulting from ECDH is directly
10673    used as premaster secret.
10674
10675    *Douglas Stebila (Sun Microsystems Laboratories)*
10676
10677  * Add code for kP+lQ timings to crypto/ec/ectest.c, and add SEC2
10678    curve secp160r1 to the tests.
10679
10680    *Douglas Stebila (Sun Microsystems Laboratories)*
10681
10682  * Add the possibility to load symbols globally with DSO.
10683
10684    *Götz Babin-Ebell <babin-ebell@trustcenter.de> via Richard Levitte*
10685
10686  * Add the functions ERR_set_mark() and ERR_pop_to_mark() for better
10687    control of the error stack.
10688
10689    *Richard Levitte*
10690
10691  * Add support for STORE in ENGINE.
10692
10693    *Richard Levitte*
10694
10695  * Add the STORE type.  The intention is to provide a common interface
10696    to certificate and key stores, be they simple file-based stores, or
10697    HSM-type store, or LDAP stores, or...
10698    NOTE: The code is currently UNTESTED and isn't really used anywhere.
10699
10700    *Richard Levitte*
10701
10702  * Add a generic structure called OPENSSL_ITEM.  This can be used to
10703    pass a list of arguments to any function as well as provide a way
10704    for a function to pass data back to the caller.
10705
10706    *Richard Levitte*
10707
10708  * Add the functions BUF_strndup() and BUF_memdup().  BUF_strndup()
10709    works like BUF_strdup() but can be used to duplicate a portion of
10710    a string.  The copy gets NUL-terminated.  BUF_memdup() duplicates
10711    a memory area.
10712
10713    *Richard Levitte*
10714
10715  * Add the function sk_find_ex() which works like sk_find(), but will
10716    return an index to an element even if an exact match couldn't be
10717    found.  The index is guaranteed to point at the element where the
10718    searched-for key would be inserted to preserve sorting order.
10719
10720    *Richard Levitte*
10721
10722  * Add the function OBJ_bsearch_ex() which works like OBJ_bsearch() but
10723    takes an extra flags argument for optional functionality.  Currently,
10724    the following flags are defined:
10725
10726       OBJ_BSEARCH_VALUE_ON_NOMATCH
10727       This one gets OBJ_bsearch_ex() to return a pointer to the first
10728       element where the comparing function returns a negative or zero
10729       number.
10730
10731       OBJ_BSEARCH_FIRST_VALUE_ON_MATCH
10732       This one gets OBJ_bsearch_ex() to return a pointer to the first
10733       element where the comparing function returns zero.  This is useful
10734       if there are more than one element where the comparing function
10735       returns zero.
10736
10737    *Richard Levitte*
10738
10739  * Make it possible to create self-signed certificates with 'openssl ca'
10740    in such a way that the self-signed certificate becomes part of the
10741    CA database and uses the same mechanisms for serial number generation
10742    as all other certificate signing.  The new flag '-selfsign' enables
10743    this functionality.  Adapt CA.sh and CA.pl.in.
10744
10745    *Richard Levitte*
10746
10747  * Add functionality to check the public key of a certificate request
10748    against a given private.  This is useful to check that a certificate
10749    request can be signed by that key (self-signing).
10750
10751    *Richard Levitte*
10752
10753  * Make it possible to have multiple active certificates with the same
10754    subject in the CA index file.  This is done only if the keyword
10755    'unique_subject' is set to 'no' in the main CA section (default
10756    if 'CA_default') of the configuration file.  The value is saved
10757    with the database itself in a separate index attribute file,
10758    named like the index file with '.attr' appended to the name.
10759
10760    *Richard Levitte*
10761
10762  * Generate multi-valued AVAs using '+' notation in config files for
10763    req and dirName.
10764
10765    *Steve Henson*
10766
10767  * Support for nameConstraints certificate extension.
10768
10769    *Steve Henson*
10770
10771  * Support for policyConstraints certificate extension.
10772
10773    *Steve Henson*
10774
10775  * Support for policyMappings certificate extension.
10776
10777    *Steve Henson*
10778
10779  * Make sure the default DSA_METHOD implementation only uses its
10780    dsa_mod_exp() and/or bn_mod_exp() handlers if they are non-NULL,
10781    and change its own handlers to be NULL so as to remove unnecessary
10782    indirection. This lets alternative implementations fallback to the
10783    default implementation more easily.
10784
10785    *Geoff Thorpe*
10786
10787  * Support for directoryName in GeneralName related extensions
10788    in config files.
10789
10790    *Steve Henson*
10791
10792  * Make it possible to link applications using Makefile.shared.
10793    Make that possible even when linking against static libraries!
10794
10795    *Richard Levitte*
10796
10797  * Support for single pass processing for S/MIME signing. This now
10798    means that S/MIME signing can be done from a pipe, in addition
10799    cleartext signing (multipart/signed type) is effectively streaming
10800    and the signed data does not need to be all held in memory.
10801
10802    This is done with a new flag PKCS7_STREAM. When this flag is set
10803    PKCS7_sign() only initializes the PKCS7 structure and the actual signing
10804    is done after the data is output (and digests calculated) in
10805    SMIME_write_PKCS7().
10806
10807    *Steve Henson*
10808
10809  * Add full support for -rpath/-R, both in shared libraries and
10810    applications, at least on the platforms where it's known how
10811    to do it.
10812
10813    *Richard Levitte*
10814
10815  * In crypto/ec/ec_mult.c, implement fast point multiplication with
10816    precomputation, based on wNAF splitting: EC_GROUP_precompute_mult()
10817    will now compute a table of multiples of the generator that
10818    makes subsequent invocations of EC_POINTs_mul() or EC_POINT_mul()
10819    faster (notably in the case of a single point multiplication,
10820    scalar * generator).
10821
10822    *Nils Larsch, Bodo Moeller*
10823
10824  * IPv6 support for certificate extensions. The various extensions
10825    which use the IP:a.b.c.d can now take IPv6 addresses using the
10826    formats of RFC1884 2.2 . IPv6 addresses are now also displayed
10827    correctly.
10828
10829    *Steve Henson*
10830
10831  * Added an ENGINE that implements RSA by performing private key
10832    exponentiations with the GMP library. The conversions to and from
10833    GMP's mpz_t format aren't optimised nor are any montgomery forms
10834    cached, and on x86 it appears OpenSSL's own performance has caught up.
10835    However there are likely to be other architectures where GMP could
10836    provide a boost. This ENGINE is not built in by default, but it can be
10837    specified at Configure time and should be accompanied by the necessary
10838    linker additions, eg;
10839            ./config -DOPENSSL_USE_GMP -lgmp
10840
10841    *Geoff Thorpe*
10842
10843  * "openssl engine" will not display ENGINE/DSO load failure errors when
10844    testing availability of engines with "-t" - the old behaviour is
10845    produced by increasing the feature's verbosity with "-tt".
10846
10847    *Geoff Thorpe*
10848
10849  * ECDSA routines: under certain error conditions uninitialized BN objects
10850    could be freed. Solution: make sure initialization is performed early
10851    enough. (Reported and fix supplied by Nils Larsch <nla@trustcenter.de>
10852    via PR#459)
10853
10854    *Lutz Jaenicke*
10855
10856  * Key-generation can now be implemented in RSA_METHOD, DSA_METHOD
10857    and DH_METHOD (eg. by ENGINE implementations) to override the normal
10858    software implementations. For DSA and DH, parameter generation can
10859    also be overridden by providing the appropriate method callbacks.
10860
10861    *Geoff Thorpe*
10862
10863  * Change the "progress" mechanism used in key-generation and
10864    primality testing to functions that take a new BN_GENCB pointer in
10865    place of callback/argument pairs. The new API functions have `_ex`
10866    postfixes and the older functions are reimplemented as wrappers for
10867    the new ones. The OPENSSL_NO_DEPRECATED symbol can be used to hide
10868    declarations of the old functions to help (graceful) attempts to
10869    migrate to the new functions. Also, the new key-generation API
10870    functions operate on a caller-supplied key-structure and return
10871    success/failure rather than returning a key or NULL - this is to
10872    help make "keygen" another member function of RSA_METHOD etc.
10873
10874    Example for using the new callback interface:
10875
10876            int (*my_callback)(int a, int b, BN_GENCB *cb) = ...;
10877            void *my_arg = ...;
10878            BN_GENCB my_cb;
10879
10880            BN_GENCB_set(&my_cb, my_callback, my_arg);
10881
10882            return BN_is_prime_ex(some_bignum, BN_prime_checks, NULL, &cb);
10883            /* For the meaning of a, b in calls to my_callback(), see the
10884             * documentation of the function that calls the callback.
10885             * cb will point to my_cb; my_arg can be retrieved as cb->arg.
10886             * my_callback should return 1 if it wants BN_is_prime_ex()
10887             * to continue, or 0 to stop.
10888             */
10889
10890    *Geoff Thorpe*
10891
10892  * Change the ZLIB compression method to be stateful, and make it
10893    available to TLS with the number defined in
10894    draft-ietf-tls-compression-04.txt.
10895
10896    *Richard Levitte*
10897
10898  * Add the ASN.1 structures and functions for CertificatePair, which
10899    is defined as follows (according to X.509_4thEditionDraftV6.pdf):
10900
10901            CertificatePair ::= SEQUENCE {
10902               forward         [0]     Certificate OPTIONAL,
10903               reverse         [1]     Certificate OPTIONAL,
10904               -- at least one of the pair shall be present -- }
10905
10906    Also implement the PEM functions to read and write certificate
10907    pairs, and defined the PEM tag as "CERTIFICATE PAIR".
10908
10909    This needed to be defined, mostly for the sake of the LDAP
10910    attribute crossCertificatePair, but may prove useful elsewhere as
10911    well.
10912
10913    *Richard Levitte*
10914
10915  * Make it possible to inhibit symlinking of shared libraries in
10916    Makefile.shared, for Cygwin's sake.
10917
10918    *Richard Levitte*
10919
10920  * Extend the BIGNUM API by creating a function
10921            void BN_set_negative(BIGNUM *a, int neg);
10922    and a macro that behave like
10923            int  BN_is_negative(const BIGNUM *a);
10924
10925    to avoid the need to access 'a->neg' directly in applications.
10926
10927    *Nils Larsch*
10928
10929  * Implement fast modular reduction for pseudo-Mersenne primes
10930    used in NIST curves (crypto/bn/bn_nist.c, crypto/ec/ecp_nist.c).
10931    EC_GROUP_new_curve_GFp() will now automatically use this
10932    if applicable.
10933
10934    *Nils Larsch <nla@trustcenter.de>*
10935
10936  * Add new lock type (CRYPTO_LOCK_BN).
10937
10938    *Bodo Moeller*
10939
10940  * Change the ENGINE framework to automatically load engines
10941    dynamically from specific directories unless they could be
10942    found to already be built in or loaded.  Move all the
10943    current engines except for the cryptodev one to a new
10944    directory engines/.
10945    The engines in engines/ are built as shared libraries if
10946    the "shared" options was given to ./Configure or ./config.
10947    Otherwise, they are inserted in libcrypto.a.
10948    /usr/local/ssl/engines is the default directory for dynamic
10949    engines, but that can be overridden at configure time through
10950    the usual use of --prefix and/or --openssldir, and at run
10951    time with the environment variable OPENSSL_ENGINES.
10952
10953    *Geoff Thorpe and Richard Levitte*
10954
10955  * Add Makefile.shared, a helper makefile to build shared
10956    libraries.  Adapt Makefile.org.
10957
10958    *Richard Levitte*
10959
10960  * Add version info to Win32 DLLs.
10961
10962    *Peter 'Luna' Runestig" <peter@runestig.com>*
10963
10964  * Add new 'medium level' PKCS#12 API. Certificates and keys
10965    can be added using this API to created arbitrary PKCS#12
10966    files while avoiding the low level API.
10967
10968    New options to PKCS12_create(), key or cert can be NULL and
10969    will then be omitted from the output file. The encryption
10970    algorithm NIDs can be set to -1 for no encryption, the mac
10971    iteration count can be set to 0 to omit the mac.
10972
10973    Enhance pkcs12 utility by making the -nokeys and -nocerts
10974    options work when creating a PKCS#12 file. New option -nomac
10975    to omit the mac, NONE can be set for an encryption algorithm.
10976    New code is modified to use the enhanced PKCS12_create()
10977    instead of the low level API.
10978
10979    *Steve Henson*
10980
10981  * Extend ASN1 encoder to support indefinite length constructed
10982    encoding. This can output sequences tags and octet strings in
10983    this form. Modify pk7_asn1.c to support indefinite length
10984    encoding. This is experimental and needs additional code to
10985    be useful, such as an ASN1 bio and some enhanced streaming
10986    PKCS#7 code.
10987
10988    Extend template encode functionality so that tagging is passed
10989    down to the template encoder.
10990
10991    *Steve Henson*
10992
10993  * Let 'openssl req' fail if an argument to '-newkey' is not
10994    recognized instead of using RSA as a default.
10995
10996    *Bodo Moeller*
10997
10998  * Add support for ECC-based ciphersuites from draft-ietf-tls-ecc-01.txt.
10999    As these are not official, they are not included in "ALL";
11000    the "ECCdraft" ciphersuite group alias can be used to select them.
11001
11002    *Vipul Gupta and Sumit Gupta (Sun Microsystems Laboratories)*
11003
11004  * Add ECDH engine support.
11005
11006    *Nils Gura and Douglas Stebila (Sun Microsystems Laboratories)*
11007
11008  * Add ECDH in new directory crypto/ecdh/.
11009
11010    *Douglas Stebila (Sun Microsystems Laboratories)*
11011
11012  * Let BN_rand_range() abort with an error after 100 iterations
11013    without success (which indicates a broken PRNG).
11014
11015    *Bodo Moeller*
11016
11017  * Change BN_mod_sqrt() so that it verifies that the input value
11018    is really the square of the return value.  (Previously,
11019    BN_mod_sqrt would show GIGO behaviour.)
11020
11021    *Bodo Moeller*
11022
11023  * Add named elliptic curves over binary fields from X9.62, SECG,
11024    and WAP/WTLS; add OIDs that were still missing.
11025
11026    *Sheueling Chang Shantz and Douglas Stebila (Sun Microsystems Laboratories)*
11027
11028  * Extend the EC library for elliptic curves over binary fields
11029    (new files ec2_smpl.c, ec2_smpt.c, ec2_mult.c in crypto/ec/).
11030    New EC_METHOD:
11031
11032            EC_GF2m_simple_method
11033
11034    New API functions:
11035
11036            EC_GROUP_new_curve_GF2m
11037            EC_GROUP_set_curve_GF2m
11038            EC_GROUP_get_curve_GF2m
11039            EC_POINT_set_affine_coordinates_GF2m
11040            EC_POINT_get_affine_coordinates_GF2m
11041            EC_POINT_set_compressed_coordinates_GF2m
11042
11043    Point compression for binary fields is disabled by default for
11044    patent reasons (compile with OPENSSL_EC_BIN_PT_COMP defined to
11045    enable it).
11046
11047    As binary polynomials are represented as BIGNUMs, various members
11048    of the EC_GROUP and EC_POINT data structures can be shared
11049    between the implementations for prime fields and binary fields;
11050    the above `..._GF2m functions` (except for EX_GROUP_new_curve_GF2m)
11051    are essentially identical to their `..._GFp` counterparts.
11052    (For simplicity, the `..._GFp` prefix has been dropped from
11053    various internal method names.)
11054
11055    An internal 'field_div' method (similar to 'field_mul' and
11056    'field_sqr') has been added; this is used only for binary fields.
11057
11058    *Sheueling Chang Shantz and Douglas Stebila (Sun Microsystems Laboratories)*
11059
11060  * Optionally dispatch EC_POINT_mul(), EC_POINT_precompute_mult()
11061    through methods ('mul', 'precompute_mult').
11062
11063    The generic implementations (now internally called 'ec_wNAF_mul'
11064    and 'ec_wNAF_precomputed_mult') remain the default if these
11065    methods are undefined.
11066
11067    *Sheueling Chang Shantz and Douglas Stebila (Sun Microsystems Laboratories)*
11068
11069  * New function EC_GROUP_get_degree, which is defined through
11070    EC_METHOD.  For curves over prime fields, this returns the bit
11071    length of the modulus.
11072
11073    *Sheueling Chang Shantz and Douglas Stebila (Sun Microsystems Laboratories)*
11074
11075  * New functions EC_GROUP_dup, EC_POINT_dup.
11076    (These simply call ..._new  and ..._copy).
11077
11078    *Sheueling Chang Shantz and Douglas Stebila (Sun Microsystems Laboratories)*
11079
11080  * Add binary polynomial arithmetic software in crypto/bn/bn_gf2m.c.
11081    Polynomials are represented as BIGNUMs (where the sign bit is not
11082    used) in the following functions [macros]:
11083
11084            BN_GF2m_add
11085            BN_GF2m_sub             [= BN_GF2m_add]
11086            BN_GF2m_mod             [wrapper for BN_GF2m_mod_arr]
11087            BN_GF2m_mod_mul         [wrapper for BN_GF2m_mod_mul_arr]
11088            BN_GF2m_mod_sqr         [wrapper for BN_GF2m_mod_sqr_arr]
11089            BN_GF2m_mod_inv
11090            BN_GF2m_mod_exp         [wrapper for BN_GF2m_mod_exp_arr]
11091            BN_GF2m_mod_sqrt        [wrapper for BN_GF2m_mod_sqrt_arr]
11092            BN_GF2m_mod_solve_quad  [wrapper for BN_GF2m_mod_solve_quad_arr]
11093            BN_GF2m_cmp             [= BN_ucmp]
11094
11095    (Note that only the 'mod' functions are actually for fields GF(2^m).
11096    BN_GF2m_add() is misnomer, but this is for the sake of consistency.)
11097
11098    For some functions, an the irreducible polynomial defining a
11099    field can be given as an 'unsigned int[]' with strictly
11100    decreasing elements giving the indices of those bits that are set;
11101    i.e., p[] represents the polynomial
11102            f(t) = t^p[0] + t^p[1] + ... + t^p[k]
11103    where
11104            p[0] > p[1] > ... > p[k] = 0.
11105    This applies to the following functions:
11106
11107            BN_GF2m_mod_arr
11108            BN_GF2m_mod_mul_arr
11109            BN_GF2m_mod_sqr_arr
11110            BN_GF2m_mod_inv_arr        [wrapper for BN_GF2m_mod_inv]
11111            BN_GF2m_mod_div_arr        [wrapper for BN_GF2m_mod_div]
11112            BN_GF2m_mod_exp_arr
11113            BN_GF2m_mod_sqrt_arr
11114            BN_GF2m_mod_solve_quad_arr
11115            BN_GF2m_poly2arr
11116            BN_GF2m_arr2poly
11117
11118    Conversion can be performed by the following functions:
11119
11120            BN_GF2m_poly2arr
11121            BN_GF2m_arr2poly
11122
11123    bntest.c has additional tests for binary polynomial arithmetic.
11124
11125    Two implementations for BN_GF2m_mod_div() are available.
11126    The default algorithm simply uses BN_GF2m_mod_inv() and
11127    BN_GF2m_mod_mul().  The alternative algorithm is compiled in only
11128    if OPENSSL_SUN_GF2M_DIV is defined (patent pending; read the
11129    copyright notice in crypto/bn/bn_gf2m.c before enabling it).
11130
11131    *Sheueling Chang Shantz and Douglas Stebila (Sun Microsystems Laboratories)*
11132
11133  * Add new error code 'ERR_R_DISABLED' that can be used when some
11134    functionality is disabled at compile-time.
11135
11136    *Douglas Stebila <douglas.stebila@sun.com>*
11137
11138  * Change default behaviour of 'openssl asn1parse' so that more
11139    information is visible when viewing, e.g., a certificate:
11140
11141    Modify asn1_parse2 (crypto/asn1/asn1_par.c) so that in non-'dump'
11142    mode the content of non-printable OCTET STRINGs is output in a
11143    style similar to INTEGERs, but with '[HEX DUMP]' prepended to
11144    avoid the appearance of a printable string.
11145
11146    *Nils Larsch <nla@trustcenter.de>*
11147
11148  * Add 'asn1_flag' and 'asn1_form' member to EC_GROUP with access
11149    functions
11150            EC_GROUP_set_asn1_flag()
11151            EC_GROUP_get_asn1_flag()
11152            EC_GROUP_set_point_conversion_form()
11153            EC_GROUP_get_point_conversion_form()
11154    These control ASN1 encoding details:
11155    - Curves (i.e., groups) are encoded explicitly unless asn1_flag
11156      has been set to OPENSSL_EC_NAMED_CURVE.
11157    - Points are encoded in uncompressed form by default; options for
11158      asn1_for are as for point2oct, namely
11159            POINT_CONVERSION_COMPRESSED
11160            POINT_CONVERSION_UNCOMPRESSED
11161            POINT_CONVERSION_HYBRID
11162
11163    Also add 'seed' and 'seed_len' members to EC_GROUP with access
11164    functions
11165            EC_GROUP_set_seed()
11166            EC_GROUP_get0_seed()
11167            EC_GROUP_get_seed_len()
11168    This is used only for ASN1 purposes (so far).
11169
11170    *Nils Larsch <nla@trustcenter.de>*
11171
11172  * Add 'field_type' member to EC_METHOD, which holds the NID
11173    of the appropriate field type OID.  The new function
11174    EC_METHOD_get_field_type() returns this value.
11175
11176    *Nils Larsch <nla@trustcenter.de>*
11177
11178  * Add functions
11179            EC_POINT_point2bn()
11180            EC_POINT_bn2point()
11181            EC_POINT_point2hex()
11182            EC_POINT_hex2point()
11183    providing useful interfaces to EC_POINT_point2oct() and
11184    EC_POINT_oct2point().
11185
11186    *Nils Larsch <nla@trustcenter.de>*
11187
11188  * Change internals of the EC library so that the functions
11189            EC_GROUP_set_generator()
11190            EC_GROUP_get_generator()
11191            EC_GROUP_get_order()
11192            EC_GROUP_get_cofactor()
11193    are implemented directly in crypto/ec/ec_lib.c and not dispatched
11194    to methods, which would lead to unnecessary code duplication when
11195    adding different types of curves.
11196
11197    *Nils Larsch <nla@trustcenter.de> with input by Bodo Moeller*
11198
11199  * Implement compute_wNAF (crypto/ec/ec_mult.c) without BIGNUM
11200    arithmetic, and such that modified wNAFs are generated
11201    (which avoid length expansion in many cases).
11202
11203    *Bodo Moeller*
11204
11205  * Add a function EC_GROUP_check_discriminant() (defined via
11206    EC_METHOD) that verifies that the curve discriminant is non-zero.
11207
11208    Add a function EC_GROUP_check() that makes some sanity tests
11209    on a EC_GROUP, its generator and order.  This includes
11210    EC_GROUP_check_discriminant().
11211
11212    *Nils Larsch <nla@trustcenter.de>*
11213
11214  * Add ECDSA in new directory crypto/ecdsa/.
11215
11216    Add applications 'openssl ecparam' and 'openssl ecdsa'
11217    (these are based on 'openssl dsaparam' and 'openssl dsa').
11218
11219    ECDSA support is also included in various other files across the
11220    library.  Most notably,
11221    - 'openssl req' now has a '-newkey ecdsa:file' option;
11222    - EVP_PKCS82PKEY (crypto/evp/evp_pkey.c) now can handle ECDSA;
11223    - X509_PUBKEY_get (crypto/asn1/x_pubkey.c) and
11224      d2i_PublicKey (crypto/asn1/d2i_pu.c) have been modified to make
11225      them suitable for ECDSA where domain parameters must be
11226      extracted before the specific public key;
11227    - ECDSA engine support has been added.
11228
11229    *Nils Larsch <nla@trustcenter.de>*
11230
11231  * Include some named elliptic curves, and add OIDs from X9.62,
11232    SECG, and WAP/WTLS.  Each curve can be obtained from the new
11233    function
11234            EC_GROUP_new_by_curve_name(),
11235    and the list of available named curves can be obtained with
11236            EC_get_builtin_curves().
11237    Also add a 'curve_name' member to EC_GROUP objects, which can be
11238    accessed via
11239            EC_GROUP_set_curve_name()
11240            EC_GROUP_get_curve_name()
11241
11242    *Nils Larsch <larsch@trustcenter.de, Bodo Moeller*
11243
11244  * Remove a few calls to bn_wexpand() in BN_sqr() (the one in there
11245    was actually never needed) and in BN_mul().  The removal in BN_mul()
11246    required a small change in bn_mul_part_recursive() and the addition
11247    of the functions bn_cmp_part_words(), bn_sub_part_words() and
11248    bn_add_part_words(), which do the same thing as bn_cmp_words(),
11249    bn_sub_words() and bn_add_words() except they take arrays with
11250    differing sizes.
11251
11252    *Richard Levitte*
11253
11254 ### Changes between 0.9.7l and 0.9.7m  [23 Feb 2007]
11255
11256  * Cleanse PEM buffers before freeing them since they may contain
11257    sensitive data.
11258
11259    *Benjamin Bennett <ben@psc.edu>*
11260
11261  * Include "!eNULL" in SSL_DEFAULT_CIPHER_LIST to make sure that
11262    a ciphersuite string such as "DEFAULT:RSA" cannot enable
11263    authentication-only ciphersuites.
11264
11265    *Bodo Moeller*
11266
11267  * Since AES128 and AES256 share a single mask bit in the logic of
11268    ssl/ssl_ciph.c, the code for masking out disabled ciphers needs a
11269    kludge to work properly if AES128 is available and AES256 isn't.
11270
11271    *Victor Duchovni*
11272
11273  * Expand security boundary to match 1.1.1 module.
11274
11275    *Steve Henson*
11276
11277  * Remove redundant features: hash file source, editing of test vectors
11278    modify fipsld to use external fips_premain.c signature.
11279
11280    *Steve Henson*
11281
11282  * New perl script mkfipsscr.pl to create shell scripts or batch files to
11283    run algorithm test programs.
11284
11285    *Steve Henson*
11286
11287  * Make algorithm test programs more tolerant of whitespace.
11288
11289    *Steve Henson*
11290
11291  * Have SSL/TLS server implementation tolerate "mismatched" record
11292    protocol version while receiving ClientHello even if the
11293    ClientHello is fragmented.  (The server can't insist on the
11294    particular protocol version it has chosen before the ServerHello
11295    message has informed the client about his choice.)
11296
11297    *Bodo Moeller*
11298
11299  * Load error codes if they are not already present instead of using a
11300    static variable. This allows them to be cleanly unloaded and reloaded.
11301
11302    *Steve Henson*
11303
11304 ### Changes between 0.9.7k and 0.9.7l  [28 Sep 2006]
11305
11306  * Introduce limits to prevent malicious keys being able to
11307    cause a denial of service.  ([CVE-2006-2940])
11308
11309    *Steve Henson, Bodo Moeller*
11310
11311  * Fix ASN.1 parsing of certain invalid structures that can result
11312    in a denial of service.  ([CVE-2006-2937])  [Steve Henson]
11313
11314  * Fix buffer overflow in SSL_get_shared_ciphers() function.
11315    ([CVE-2006-3738]) [Tavis Ormandy and Will Drewry, Google Security Team]
11316
11317  * Fix SSL client code which could crash if connecting to a
11318    malicious SSLv2 server.  ([CVE-2006-4343])
11319
11320    *Tavis Ormandy and Will Drewry, Google Security Team*
11321
11322  * Change ciphersuite string processing so that an explicit
11323    ciphersuite selects this one ciphersuite (so that "AES256-SHA"
11324    will no longer include "AES128-SHA"), and any other similar
11325    ciphersuite (same bitmap) from *other* protocol versions (so that
11326    "RC4-MD5" will still include both the SSL 2.0 ciphersuite and the
11327    SSL 3.0/TLS 1.0 ciphersuite).  This is a backport combining
11328    changes from 0.9.8b and 0.9.8d.
11329
11330    *Bodo Moeller*
11331
11332 ### Changes between 0.9.7j and 0.9.7k  [05 Sep 2006]
11333
11334  * Avoid PKCS #1 v1.5 signature attack discovered by Daniel Bleichenbacher
11335    ([CVE-2006-4339])  [Ben Laurie and Google Security Team]
11336
11337  * Change the Unix randomness entropy gathering to use poll() when
11338    possible instead of select(), since the latter has some
11339    undesirable limitations.
11340
11341    *Darryl Miles via Richard Levitte and Bodo Moeller*
11342
11343  * Disable rogue ciphersuites:
11344
11345    - SSLv2 0x08 0x00 0x80 ("RC4-64-MD5")
11346    - SSLv3/TLSv1 0x00 0x61 ("EXP1024-RC2-CBC-MD5")
11347    - SSLv3/TLSv1 0x00 0x60 ("EXP1024-RC4-MD5")
11348
11349    The latter two were purportedly from
11350    draft-ietf-tls-56-bit-ciphersuites-0[01].txt, but do not really
11351    appear there.
11352
11353    Also deactivate the remaining ciphersuites from
11354    draft-ietf-tls-56-bit-ciphersuites-01.txt.  These are just as
11355    unofficial, and the ID has long expired.
11356
11357    *Bodo Moeller*
11358
11359  * Fix RSA blinding Heisenbug (problems sometimes occurred on
11360    dual-core machines) and other potential thread-safety issues.
11361
11362    *Bodo Moeller*
11363
11364 ### Changes between 0.9.7i and 0.9.7j  [04 May 2006]
11365
11366  * Adapt fipsld and the build system to link against the validated FIPS
11367    module in FIPS mode.
11368
11369    *Steve Henson*
11370
11371  * Fixes for VC++ 2005 build under Windows.
11372
11373    *Steve Henson*
11374
11375  * Add new Windows build target VC-32-GMAKE for VC++. This uses GNU make
11376    from a Windows bash shell such as MSYS. It is autodetected from the
11377    "config" script when run from a VC++ environment. Modify standard VC++
11378    build to use fipscanister.o from the GNU make build.
11379
11380    *Steve Henson*
11381
11382 ### Changes between 0.9.7h and 0.9.7i  [14 Oct 2005]
11383
11384  * Wrapped the definition of EVP_MAX_MD_SIZE in a #ifdef OPENSSL_FIPS.
11385    The value now differs depending on if you build for FIPS or not.
11386    BEWARE!  A program linked with a shared FIPSed libcrypto can't be
11387    safely run with a non-FIPSed libcrypto, as it may crash because of
11388    the difference induced by this change.
11389
11390    *Andy Polyakov*
11391
11392 ### Changes between 0.9.7g and 0.9.7h  [11 Oct 2005]
11393
11394  * Remove the functionality of SSL_OP_MSIE_SSLV2_RSA_PADDING
11395    (part of SSL_OP_ALL).  This option used to disable the
11396    countermeasure against man-in-the-middle protocol-version
11397    rollback in the SSL 2.0 server implementation, which is a bad
11398    idea.  ([CVE-2005-2969])
11399
11400    *Bodo Moeller; problem pointed out by Yutaka Oiwa (Research Center
11401    for Information Security, National Institute of Advanced Industrial
11402    Science and Technology [AIST, Japan)]*
11403
11404  * Minimal support for X9.31 signatures and PSS padding modes. This is
11405    mainly for FIPS compliance and not fully integrated at this stage.
11406
11407    *Steve Henson*
11408
11409  * For DSA signing, unless DSA_FLAG_NO_EXP_CONSTTIME is set, perform
11410    the exponentiation using a fixed-length exponent.  (Otherwise,
11411    the information leaked through timing could expose the secret key
11412    after many signatures; cf. Bleichenbacher's attack on DSA with
11413    biased k.)
11414
11415    *Bodo Moeller*
11416
11417  * Make a new fixed-window mod_exp implementation the default for
11418    RSA, DSA, and DH private-key operations so that the sequence of
11419    squares and multiplies and the memory access pattern are
11420    independent of the particular secret key.  This will mitigate
11421    cache-timing and potential related attacks.
11422
11423    BN_mod_exp_mont_consttime() is the new exponentiation implementation,
11424    and this is automatically used by BN_mod_exp_mont() if the new flag
11425    BN_FLG_EXP_CONSTTIME is set for the exponent.  RSA, DSA, and DH
11426    will use this BN flag for private exponents unless the flag
11427    RSA_FLAG_NO_EXP_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME, or
11428    DH_FLAG_NO_EXP_CONSTTIME, respectively, is set.
11429
11430    *Matthew D Wood (Intel Corp), with some changes by Bodo Moeller*
11431
11432  * Change the client implementation for SSLv23_method() and
11433    SSLv23_client_method() so that is uses the SSL 3.0/TLS 1.0
11434    Client Hello message format if the SSL_OP_NO_SSLv2 option is set.
11435    (Previously, the SSL 2.0 backwards compatible Client Hello
11436    message format would be used even with SSL_OP_NO_SSLv2.)
11437
11438    *Bodo Moeller*
11439
11440  * Add support for smime-type MIME parameter in S/MIME messages which some
11441    clients need.
11442
11443    *Steve Henson*
11444
11445  * New function BN_MONT_CTX_set_locked() to set montgomery parameters in
11446    a threadsafe manner. Modify rsa code to use new function and add calls
11447    to dsa and dh code (which had race conditions before).
11448
11449    *Steve Henson*
11450
11451  * Include the fixed error library code in the C error file definitions
11452    instead of fixing them up at runtime. This keeps the error code
11453    structures constant.
11454
11455    *Steve Henson*
11456
11457 ### Changes between 0.9.7f and 0.9.7g  [11 Apr 2005]
11458
11459 [NB: OpenSSL 0.9.7h and later 0.9.7 patch levels were released after
11460 OpenSSL 0.9.8.]
11461
11462  * Fixes for newer kerberos headers. NB: the casts are needed because
11463    the 'length' field is signed on one version and unsigned on another
11464    with no (?) obvious way to tell the difference, without these VC++
11465    complains. Also the "definition" of FAR (blank) is no longer included
11466    nor is the error ENOMEM. KRB5_PRIVATE has to be set to 1 to pick up
11467    some needed definitions.
11468
11469    *Steve Henson*
11470
11471  * Undo Cygwin change.
11472
11473    *Ulf Möller*
11474
11475  * Added support for proxy certificates according to RFC 3820.
11476    Because they may be a security thread to unaware applications,
11477    they must be explicitly allowed in run-time.  See
11478    docs/HOWTO/proxy_certificates.txt for further information.
11479
11480    *Richard Levitte*
11481
11482 ### Changes between 0.9.7e and 0.9.7f  [22 Mar 2005]
11483
11484  * Use (SSL_RANDOM_VALUE - 4) bytes of pseudo random data when generating
11485    server and client random values. Previously
11486    (SSL_RANDOM_VALUE - sizeof(time_t)) would be used which would result in
11487    less random data when sizeof(time_t) > 4 (some 64 bit platforms).
11488
11489    This change has negligible security impact because:
11490
11491    1. Server and client random values still have 24 bytes of pseudo random
11492       data.
11493
11494    2. Server and client random values are sent in the clear in the initial
11495       handshake.
11496
11497    3. The master secret is derived using the premaster secret (48 bytes in
11498       size for static RSA ciphersuites) as well as client server and random
11499       values.
11500
11501    The OpenSSL team would like to thank the UK NISCC for bringing this issue
11502    to our attention.
11503
11504    *Stephen Henson, reported by UK NISCC*
11505
11506  * Use Windows randomness collection on Cygwin.
11507
11508    *Ulf Möller*
11509
11510  * Fix hang in EGD/PRNGD query when communication socket is closed
11511    prematurely by EGD/PRNGD.
11512
11513    *Darren Tucker <dtucker@zip.com.au> via Lutz Jänicke, resolves #1014*
11514
11515  * Prompt for pass phrases when appropriate for PKCS12 input format.
11516
11517    *Steve Henson*
11518
11519  * Back-port of selected performance improvements from development
11520    branch, as well as improved support for PowerPC platforms.
11521
11522    *Andy Polyakov*
11523
11524  * Add lots of checks for memory allocation failure, error codes to indicate
11525    failure and freeing up memory if a failure occurs.
11526
11527    *Nauticus Networks SSL Team <openssl@nauticusnet.com>, Steve Henson*
11528
11529  * Add new -passin argument to dgst.
11530
11531    *Steve Henson*
11532
11533  * Perform some character comparisons of different types in X509_NAME_cmp:
11534    this is needed for some certificates that re-encode DNs into UTF8Strings
11535    (in violation of RFC3280) and can't or won't issue name rollover
11536    certificates.
11537
11538    *Steve Henson*
11539
11540  * Make an explicit check during certificate validation to see that
11541    the CA setting in each certificate on the chain is correct.  As a
11542    side effect always do the following basic checks on extensions,
11543    not just when there's an associated purpose to the check:
11544
11545    - if there is an unhandled critical extension (unless the user
11546      has chosen to ignore this fault)
11547    - if the path length has been exceeded (if one is set at all)
11548    - that certain extensions fit the associated purpose (if one has
11549      been given)
11550
11551    *Richard Levitte*
11552
11553 ### Changes between 0.9.7d and 0.9.7e  [25 Oct 2004]
11554
11555  * Avoid a race condition when CRLs are checked in a multi threaded
11556    environment. This would happen due to the reordering of the revoked
11557    entries during signature checking and serial number lookup. Now the
11558    encoding is cached and the serial number sort performed under a lock.
11559    Add new STACK function sk_is_sorted().
11560
11561    *Steve Henson*
11562
11563  * Add Delta CRL to the extension code.
11564
11565    *Steve Henson*
11566
11567  * Various fixes to s3_pkt.c so alerts are sent properly.
11568
11569    *David Holmes <d.holmes@f5.com>*
11570
11571  * Reduce the chances of duplicate issuer name and serial numbers (in
11572    violation of RFC3280) using the OpenSSL certificate creation utilities.
11573    This is done by creating a random 64 bit value for the initial serial
11574    number when a serial number file is created or when a self signed
11575    certificate is created using 'openssl req -x509'. The initial serial
11576    number file is created using 'openssl x509 -next_serial' in CA.pl
11577    rather than being initialized to 1.
11578
11579    *Steve Henson*
11580
11581 ### Changes between 0.9.7c and 0.9.7d  [17 Mar 2004]
11582
11583  * Fix null-pointer assignment in do_change_cipher_spec() revealed
11584    by using the Codenomicon TLS Test Tool ([CVE-2004-0079])
11585
11586    *Joe Orton, Steve Henson*
11587
11588  * Fix flaw in SSL/TLS handshaking when using Kerberos ciphersuites
11589    ([CVE-2004-0112])
11590
11591    *Joe Orton, Steve Henson*
11592
11593  * Make it possible to have multiple active certificates with the same
11594    subject in the CA index file.  This is done only if the keyword
11595    'unique_subject' is set to 'no' in the main CA section (default
11596    if 'CA_default') of the configuration file.  The value is saved
11597    with the database itself in a separate index attribute file,
11598    named like the index file with '.attr' appended to the name.
11599
11600    *Richard Levitte*
11601
11602  * X509 verify fixes. Disable broken certificate workarounds when
11603    X509_V_FLAGS_X509_STRICT is set. Check CRL issuer has cRLSign set if
11604    keyUsage extension present. Don't accept CRLs with unhandled critical
11605    extensions: since verify currently doesn't process CRL extensions this
11606    rejects a CRL with *any* critical extensions. Add new verify error codes
11607    for these cases.
11608
11609    *Steve Henson*
11610
11611  * When creating an OCSP nonce use an OCTET STRING inside the extnValue.
11612    A clarification of RFC2560 will require the use of OCTET STRINGs and
11613    some implementations cannot handle the current raw format. Since OpenSSL
11614    copies and compares OCSP nonces as opaque blobs without any attempt at
11615    parsing them this should not create any compatibility issues.
11616
11617    *Steve Henson*
11618
11619  * New md flag EVP_MD_CTX_FLAG_REUSE this allows md_data to be reused when
11620    calling EVP_MD_CTX_copy_ex() to avoid calling OPENSSL_malloc(). Without
11621    this HMAC (and other) operations are several times slower than OpenSSL
11622    < 0.9.7.
11623
11624    *Steve Henson*
11625
11626  * Print out GeneralizedTime and UTCTime in ASN1_STRING_print_ex().
11627
11628    *Peter Sylvester <Peter.Sylvester@EdelWeb.fr>*
11629
11630  * Use the correct content when signing type "other".
11631
11632    *Steve Henson*
11633
11634 ### Changes between 0.9.7b and 0.9.7c  [30 Sep 2003]
11635
11636  * Fix various bugs revealed by running the NISCC test suite:
11637
11638    Stop out of bounds reads in the ASN1 code when presented with
11639    invalid tags (CVE-2003-0543 and CVE-2003-0544).
11640
11641    Free up ASN1_TYPE correctly if ANY type is invalid ([CVE-2003-0545]).
11642
11643    If verify callback ignores invalid public key errors don't try to check
11644    certificate signature with the NULL public key.
11645
11646    *Steve Henson*
11647
11648  * New -ignore_err option in ocsp application to stop the server
11649    exiting on the first error in a request.
11650
11651    *Steve Henson*
11652
11653  * In ssl3_accept() (ssl/s3_srvr.c) only accept a client certificate
11654    if the server requested one: as stated in TLS 1.0 and SSL 3.0
11655    specifications.
11656
11657    *Steve Henson*
11658
11659  * In ssl3_get_client_hello() (ssl/s3_srvr.c), tolerate additional
11660    extra data after the compression methods not only for TLS 1.0
11661    but also for SSL 3.0 (as required by the specification).
11662
11663    *Bodo Moeller; problem pointed out by Matthias Loepfe*
11664
11665  * Change X509_certificate_type() to mark the key as exported/exportable
11666    when it's 512 *bits* long, not 512 bytes.
11667
11668    *Richard Levitte*
11669
11670  * Change AES_cbc_encrypt() so it outputs exact multiple of
11671    blocks during encryption.
11672
11673    *Richard Levitte*
11674
11675  * Various fixes to base64 BIO and non blocking I/O. On write
11676    flushes were not handled properly if the BIO retried. On read
11677    data was not being buffered properly and had various logic bugs.
11678    This also affects blocking I/O when the data being decoded is a
11679    certain size.
11680
11681    *Steve Henson*
11682
11683  * Various S/MIME bugfixes and compatibility changes:
11684    output correct application/pkcs7 MIME type if
11685    PKCS7_NOOLDMIMETYPE is set. Tolerate some broken signatures.
11686    Output CR+LF for EOL if PKCS7_CRLFEOL is set (this makes opening
11687    of files as .eml work). Correctly handle very long lines in MIME
11688    parser.
11689
11690    *Steve Henson*
11691
11692 ### Changes between 0.9.7a and 0.9.7b  [10 Apr 2003]
11693
11694  * Countermeasure against the Klima-Pokorny-Rosa extension of
11695    Bleichbacher's attack on PKCS #1 v1.5 padding: treat
11696    a protocol version number mismatch like a decryption error
11697    in ssl3_get_client_key_exchange (ssl/s3_srvr.c).
11698
11699    *Bodo Moeller*
11700
11701  * Turn on RSA blinding by default in the default implementation
11702    to avoid a timing attack. Applications that don't want it can call
11703    RSA_blinding_off() or use the new flag RSA_FLAG_NO_BLINDING.
11704    They would be ill-advised to do so in most cases.
11705
11706    *Ben Laurie, Steve Henson, Geoff Thorpe, Bodo Moeller*
11707
11708  * Change RSA blinding code so that it works when the PRNG is not
11709    seeded (in this case, the secret RSA exponent is abused as
11710    an unpredictable seed -- if it is not unpredictable, there
11711    is no point in blinding anyway).  Make RSA blinding thread-safe
11712    by remembering the creator's thread ID in rsa->blinding and
11713    having all other threads use local one-time blinding factors
11714    (this requires more computation than sharing rsa->blinding, but
11715    avoids excessive locking; and if an RSA object is not shared
11716    between threads, blinding will still be very fast).
11717
11718    *Bodo Moeller*
11719
11720  * Fixed a typo bug that would cause ENGINE_set_default() to set an
11721    ENGINE as defaults for all supported algorithms irrespective of
11722    the 'flags' parameter. 'flags' is now honoured, so applications
11723    should make sure they are passing it correctly.
11724
11725    *Geoff Thorpe*
11726
11727  * Target "mingw" now allows native Windows code to be generated in
11728    the Cygwin environment as well as with the MinGW compiler.
11729
11730    *Ulf Moeller*
11731
11732 ### Changes between 0.9.7 and 0.9.7a  [19 Feb 2003]
11733
11734  * In ssl3_get_record (ssl/s3_pkt.c), minimize information leaked
11735    via timing by performing a MAC computation even if incorrect
11736    block cipher padding has been found.  This is a countermeasure
11737    against active attacks where the attacker has to distinguish
11738    between bad padding and a MAC verification error. ([CVE-2003-0078])
11739
11740    *Bodo Moeller; problem pointed out by Brice Canvel (EPFL),
11741    Alain Hiltgen (UBS), Serge Vaudenay (EPFL), and
11742    Martin Vuagnoux (EPFL, Ilion)*
11743
11744  * Make the no-err option work as intended.  The intention with no-err
11745    is not to have the whole error stack handling routines removed from
11746    libcrypto, it's only intended to remove all the function name and
11747    reason texts, thereby removing some of the footprint that may not
11748    be interesting if those errors aren't displayed anyway.
11749
11750    NOTE: it's still possible for any application or module to have its
11751    own set of error texts inserted.  The routines are there, just not
11752    used by default when no-err is given.
11753
11754    *Richard Levitte*
11755
11756  * Add support for FreeBSD on IA64.
11757
11758    *dirk.meyer@dinoex.sub.org via Richard Levitte, resolves #454*
11759
11760  * Adjust DES_cbc_cksum() so it returns the same value as the MIT
11761    Kerberos function mit_des_cbc_cksum().  Before this change,
11762    the value returned by DES_cbc_cksum() was like the one from
11763    mit_des_cbc_cksum(), except the bytes were swapped.
11764
11765    *Kevin Greaney <Kevin.Greaney@hp.com> and Richard Levitte*
11766
11767  * Allow an application to disable the automatic SSL chain building.
11768    Before this a rather primitive chain build was always performed in
11769    ssl3_output_cert_chain(): an application had no way to send the
11770    correct chain if the automatic operation produced an incorrect result.
11771
11772    Now the chain builder is disabled if either:
11773
11774    1. Extra certificates are added via SSL_CTX_add_extra_chain_cert().
11775
11776    2. The mode flag SSL_MODE_NO_AUTO_CHAIN is set.
11777
11778    The reasoning behind this is that an application would not want the
11779    auto chain building to take place if extra chain certificates are
11780    present and it might also want a means of sending no additional
11781    certificates (for example the chain has two certificates and the
11782    root is omitted).
11783
11784    *Steve Henson*
11785
11786  * Add the possibility to build without the ENGINE framework.
11787
11788    *Steven Reddie <smr@essemer.com.au> via Richard Levitte*
11789
11790  * Under Win32 gmtime() can return NULL: check return value in
11791    OPENSSL_gmtime(). Add error code for case where gmtime() fails.
11792
11793    *Steve Henson*
11794
11795  * DSA routines: under certain error conditions uninitialized BN objects
11796    could be freed. Solution: make sure initialization is performed early
11797    enough. (Reported and fix supplied by Ivan D Nestlerode <nestler@MIT.EDU>,
11798    Nils Larsch <nla@trustcenter.de> via PR#459)
11799
11800    *Lutz Jaenicke*
11801
11802  * Another fix for SSLv2 session ID handling: the session ID was incorrectly
11803    checked on reconnect on the client side, therefore session resumption
11804    could still fail with a "ssl session id is different" error. This
11805    behaviour is masked when SSL_OP_ALL is used due to
11806    SSL_OP_MICROSOFT_SESS_ID_BUG being set.
11807    Behaviour observed by Crispin Flowerday <crispin@flowerday.cx> as
11808    followup to PR #377.
11809
11810    *Lutz Jaenicke*
11811
11812  * IA-32 assembler support enhancements: unified ELF targets, support
11813    for SCO/Caldera platforms, fix for Cygwin shared build.
11814
11815    *Andy Polyakov*
11816
11817  * Add support for FreeBSD on sparc64.  As a consequence, support for
11818    FreeBSD on non-x86 processors is separate from x86 processors on
11819    the config script, much like the NetBSD support.
11820
11821    *Richard Levitte & Kris Kennaway <kris@obsecurity.org>*
11822
11823 ### Changes between 0.9.6h and 0.9.7  [31 Dec 2002]
11824
11825 [NB: OpenSSL 0.9.6i and later 0.9.6 patch levels were released after
11826 OpenSSL 0.9.7.]
11827
11828  * Fix session ID handling in SSLv2 client code: the SERVER FINISHED
11829    code (06) was taken as the first octet of the session ID and the last
11830    octet was ignored consequently. As a result SSLv2 client side session
11831    caching could not have worked due to the session ID mismatch between
11832    client and server.
11833    Behaviour observed by Crispin Flowerday <crispin@flowerday.cx> as
11834    PR #377.
11835
11836    *Lutz Jaenicke*
11837
11838  * Change the declaration of needed Kerberos libraries to use EX_LIBS
11839    instead of the special (and badly supported) LIBKRB5.  LIBKRB5 is
11840    removed entirely.
11841
11842    *Richard Levitte*
11843
11844  * The hw_ncipher.c engine requires dynamic locks.  Unfortunately, it
11845    seems that in spite of existing for more than a year, many application
11846    author have done nothing to provide the necessary callbacks, which
11847    means that this particular engine will not work properly anywhere.
11848    This is a very unfortunate situation which forces us, in the name
11849    of usability, to give the hw_ncipher.c a static lock, which is part
11850    of libcrypto.
11851    NOTE: This is for the 0.9.7 series ONLY.  This hack will never
11852    appear in 0.9.8 or later.  We EXPECT application authors to have
11853    dealt properly with this when 0.9.8 is released (unless we actually
11854    make such changes in the libcrypto locking code that changes will
11855    have to be made anyway).
11856
11857    *Richard Levitte*
11858
11859  * In asn1_d2i_read_bio() repeatedly call BIO_read() until all content
11860    octets have been read, EOF or an error occurs. Without this change
11861    some truncated ASN1 structures will not produce an error.
11862
11863    *Steve Henson*
11864
11865  * Disable Heimdal support, since it hasn't been fully implemented.
11866    Still give the possibility to force the use of Heimdal, but with
11867    warnings and a request that patches get sent to openssl-dev.
11868
11869    *Richard Levitte*
11870
11871  * Add the VC-CE target, introduce the WINCE sysname, and add
11872    INSTALL.WCE and appropriate conditionals to make it build.
11873
11874    *Steven Reddie <smr@essemer.com.au> via Richard Levitte*
11875
11876  * Change the DLL names for Cygwin to cygcrypto-x.y.z.dll and
11877    cygssl-x.y.z.dll, where x, y and z are the major, minor and
11878    edit numbers of the version.
11879
11880    *Corinna Vinschen <vinschen@redhat.com> and Richard Levitte*
11881
11882  * Introduce safe string copy and catenation functions
11883    (BUF_strlcpy() and BUF_strlcat()).
11884
11885    *Ben Laurie (CHATS) and Richard Levitte*
11886
11887  * Avoid using fixed-size buffers for one-line DNs.
11888
11889    *Ben Laurie (CHATS)*
11890
11891  * Add BUF_MEM_grow_clean() to avoid information leakage when
11892    resizing buffers containing secrets, and use where appropriate.
11893
11894    *Ben Laurie (CHATS)*
11895
11896  * Avoid using fixed size buffers for configuration file location.
11897
11898    *Ben Laurie (CHATS)*
11899
11900  * Avoid filename truncation for various CA files.
11901
11902    *Ben Laurie (CHATS)*
11903
11904  * Use sizeof in preference to magic numbers.
11905
11906    *Ben Laurie (CHATS)*
11907
11908  * Avoid filename truncation in cert requests.
11909
11910    *Ben Laurie (CHATS)*
11911
11912  * Add assertions to check for (supposedly impossible) buffer
11913    overflows.
11914
11915    *Ben Laurie (CHATS)*
11916
11917  * Don't cache truncated DNS entries in the local cache (this could
11918    potentially lead to a spoofing attack).
11919
11920    *Ben Laurie (CHATS)*
11921
11922  * Fix various buffers to be large enough for hex/decimal
11923    representations in a platform independent manner.
11924
11925    *Ben Laurie (CHATS)*
11926
11927  * Add CRYPTO_realloc_clean() to avoid information leakage when
11928    resizing buffers containing secrets, and use where appropriate.
11929
11930    *Ben Laurie (CHATS)*
11931
11932  * Add BIO_indent() to avoid much slightly worrying code to do
11933    indents.
11934
11935    *Ben Laurie (CHATS)*
11936
11937  * Convert sprintf()/BIO_puts() to BIO_printf().
11938
11939    *Ben Laurie (CHATS)*
11940
11941  * buffer_gets() could terminate with the buffer only half
11942    full. Fixed.
11943
11944    *Ben Laurie (CHATS)*
11945
11946  * Add assertions to prevent user-supplied crypto functions from
11947    overflowing internal buffers by having large block sizes, etc.
11948
11949    *Ben Laurie (CHATS)*
11950
11951  * New OPENSSL_assert() macro (similar to assert(), but enabled
11952    unconditionally).
11953
11954    *Ben Laurie (CHATS)*
11955
11956  * Eliminate unused copy of key in RC4.
11957
11958    *Ben Laurie (CHATS)*
11959
11960  * Eliminate unused and incorrectly sized buffers for IV in pem.h.
11961
11962    *Ben Laurie (CHATS)*
11963
11964  * Fix off-by-one error in EGD path.
11965
11966    *Ben Laurie (CHATS)*
11967
11968  * If RANDFILE path is too long, ignore instead of truncating.
11969
11970    *Ben Laurie (CHATS)*
11971
11972  * Eliminate unused and incorrectly sized X.509 structure
11973    CBCParameter.
11974
11975    *Ben Laurie (CHATS)*
11976
11977  * Eliminate unused and dangerous function knumber().
11978
11979    *Ben Laurie (CHATS)*
11980
11981  * Eliminate unused and dangerous structure, KSSL_ERR.
11982
11983    *Ben Laurie (CHATS)*
11984
11985  * Protect against overlong session ID context length in an encoded
11986    session object. Since these are local, this does not appear to be
11987    exploitable.
11988
11989    *Ben Laurie (CHATS)*
11990
11991  * Change from security patch (see 0.9.6e below) that did not affect
11992    the 0.9.6 release series:
11993
11994    Remote buffer overflow in SSL3 protocol - an attacker could
11995    supply an oversized master key in Kerberos-enabled versions.
11996    ([CVE-2002-0657])
11997
11998    *Ben Laurie (CHATS)*
11999
12000  * Change the SSL kerb5 codes to match RFC 2712.
12001
12002    *Richard Levitte*
12003
12004  * Make -nameopt work fully for req and add -reqopt switch.
12005
12006    *Michael Bell <michael.bell@rz.hu-berlin.de>, Steve Henson*
12007
12008  * The "block size" for block ciphers in CFB and OFB mode should be 1.
12009
12010    *Steve Henson, reported by Yngve Nysaeter Pettersen <yngve@opera.com>*
12011
12012  * Make sure tests can be performed even if the corresponding algorithms
12013    have been removed entirely.  This was also the last step to make
12014    OpenSSL compilable with DJGPP under all reasonable conditions.
12015
12016    *Richard Levitte, Doug Kaufman <dkaufman@rahul.net>*
12017
12018  * Add cipher selection rules COMPLEMENTOFALL and COMPLEMENTOFDEFAULT
12019    to allow version independent disabling of normally unselected ciphers,
12020    which may be activated as a side-effect of selecting a single cipher.
12021
12022    (E.g., cipher list string "RSA" enables ciphersuites that are left
12023    out of "ALL" because they do not provide symmetric encryption.
12024    "RSA:!COMPLEMEMENTOFALL" avoids these unsafe ciphersuites.)
12025
12026    *Lutz Jaenicke, Bodo Moeller*
12027
12028  * Add appropriate support for separate platform-dependent build
12029    directories.  The recommended way to make a platform-dependent
12030    build directory is the following (tested on Linux), maybe with
12031    some local tweaks:
12032
12033            # Place yourself outside of the OpenSSL source tree.  In
12034            # this example, the environment variable OPENSSL_SOURCE
12035            # is assumed to contain the absolute OpenSSL source directory.
12036            mkdir -p objtree/"`uname -s`-`uname -r`-`uname -m`"
12037            cd objtree/"`uname -s`-`uname -r`-`uname -m`"
12038            (cd $OPENSSL_SOURCE; find . -type f) | while read F; do
12039                    mkdir -p `dirname $F`
12040                    ln -s $OPENSSL_SOURCE/$F $F
12041            done
12042
12043    To be absolutely sure not to disturb the source tree, a "make clean"
12044    is a good thing.  If it isn't successful, don't worry about it,
12045    it probably means the source directory is very clean.
12046
12047    *Richard Levitte*
12048
12049  * Make sure any ENGINE control commands make local copies of string
12050    pointers passed to them whenever necessary. Otherwise it is possible
12051    the caller may have overwritten (or deallocated) the original string
12052    data when a later ENGINE operation tries to use the stored values.
12053
12054    *Götz Babin-Ebell <babinebell@trustcenter.de>*
12055
12056  * Improve diagnostics in file reading and command-line digests.
12057
12058    *Ben Laurie aided and abetted by Solar Designer <solar@openwall.com>*
12059
12060  * Add AES modes CFB and OFB to the object database.  Correct an
12061    error in AES-CFB decryption.
12062
12063    *Richard Levitte*
12064
12065  * Remove most calls to EVP_CIPHER_CTX_cleanup() in evp_enc.c, this
12066    allows existing EVP_CIPHER_CTX structures to be reused after
12067    calling `EVP_*Final()`. This behaviour is used by encryption
12068    BIOs and some applications. This has the side effect that
12069    applications must explicitly clean up cipher contexts with
12070    EVP_CIPHER_CTX_cleanup() or they will leak memory.
12071
12072    *Steve Henson*
12073
12074  * Check the values of dna and dnb in bn_mul_recursive before calling
12075    bn_mul_comba (a non zero value means the a or b arrays do not contain
12076    n2 elements) and fallback to bn_mul_normal if either is not zero.
12077
12078    *Steve Henson*
12079
12080  * Fix escaping of non-ASCII characters when using the -subj option
12081    of the "openssl req" command line tool. (Robert Joop <joop@fokus.gmd.de>)
12082
12083    *Lutz Jaenicke*
12084
12085  * Make object definitions compliant to LDAP (RFC2256): SN is the short
12086    form for "surname", serialNumber has no short form.
12087    Use "mail" as the short name for "rfc822Mailbox" according to RFC2798;
12088    therefore remove "mail" short name for "internet 7".
12089    The OID for unique identifiers in X509 certificates is
12090    x500UniqueIdentifier, not uniqueIdentifier.
12091    Some more OID additions. (Michael Bell <michael.bell@rz.hu-berlin.de>)
12092
12093    *Lutz Jaenicke*
12094
12095  * Add an "init" command to the ENGINE config module and auto initialize
12096    ENGINEs. Without any "init" command the ENGINE will be initialized
12097    after all ctrl commands have been executed on it. If init=1 the
12098    ENGINE is initialized at that point (ctrls before that point are run
12099    on the uninitialized ENGINE and after on the initialized one). If
12100    init=0 then the ENGINE will not be initialized at all.
12101
12102    *Steve Henson*
12103
12104  * Fix the 'app_verify_callback' interface so that the user-defined
12105    argument is actually passed to the callback: In the
12106    SSL_CTX_set_cert_verify_callback() prototype, the callback
12107    declaration has been changed from
12108            int (*cb)()
12109    into
12110            int (*cb)(X509_STORE_CTX *,void *);
12111    in ssl_verify_cert_chain (ssl/ssl_cert.c), the call
12112            i=s->ctx->app_verify_callback(&ctx)
12113    has been changed into
12114            i=s->ctx->app_verify_callback(&ctx, s->ctx->app_verify_arg).
12115
12116    To update applications using SSL_CTX_set_cert_verify_callback(),
12117    a dummy argument can be added to their callback functions.
12118
12119    *D. K. Smetters <smetters@parc.xerox.com>*
12120
12121  * Added the '4758cca' ENGINE to support IBM 4758 cards.
12122
12123    *Maurice Gittens <maurice@gittens.nl>, touchups by Geoff Thorpe*
12124
12125  * Add and OPENSSL_LOAD_CONF define which will cause
12126    OpenSSL_add_all_algorithms() to load the openssl.cnf config file.
12127    This allows older applications to transparently support certain
12128    OpenSSL features: such as crypto acceleration and dynamic ENGINE loading.
12129    Two new functions OPENSSL_add_all_algorithms_noconf() which will never
12130    load the config file and OPENSSL_add_all_algorithms_conf() which will
12131    always load it have also been added.
12132
12133    *Steve Henson*
12134
12135  * Add the OFB, CFB and CTR (all with 128 bit feedback) to AES.
12136    Adjust NIDs and EVP layer.
12137
12138    *Stephen Sprunk <stephen@sprunk.org> and Richard Levitte*
12139
12140  * Config modules support in openssl utility.
12141
12142    Most commands now load modules from the config file,
12143    though in a few (such as version) this isn't done
12144    because it couldn't be used for anything.
12145
12146    In the case of ca and req the config file used is
12147    the same as the utility itself: that is the -config
12148    command line option can be used to specify an
12149    alternative file.
12150
12151    *Steve Henson*
12152
12153  * Move default behaviour from OPENSSL_config(). If appname is NULL
12154    use "openssl_conf" if filename is NULL use default openssl config file.
12155
12156    *Steve Henson*
12157
12158  * Add an argument to OPENSSL_config() to allow the use of an alternative
12159    config section name. Add a new flag to tolerate a missing config file
12160    and move code to CONF_modules_load_file().
12161
12162    *Steve Henson*
12163
12164  * Support for crypto accelerator cards from Accelerated Encryption
12165    Processing, www.aep.ie.  (Use engine 'aep')
12166    The support was copied from 0.9.6c [engine] and adapted/corrected
12167    to work with the new engine framework.
12168
12169    *AEP Inc. and Richard Levitte*
12170
12171  * Support for SureWare crypto accelerator cards from Baltimore
12172    Technologies.  (Use engine 'sureware')
12173    The support was copied from 0.9.6c [engine] and adapted
12174    to work with the new engine framework.
12175
12176    *Richard Levitte*
12177
12178  * Have the CHIL engine fork-safe (as defined by nCipher) and actually
12179    make the newer ENGINE framework commands for the CHIL engine work.
12180
12181    *Toomas Kiisk <vix@cyber.ee> and Richard Levitte*
12182
12183  * Make it possible to produce shared libraries on ReliantUNIX.
12184
12185    *Robert Dahlem <Robert.Dahlem@ffm2.siemens.de> via Richard Levitte*
12186
12187  * Add the configuration target debug-linux-ppro.
12188    Make 'openssl rsa' use the general key loading routines
12189    implemented in `apps.c`, and make those routines able to
12190    handle the key format FORMAT_NETSCAPE and the variant
12191    FORMAT_IISSGC.
12192
12193    *Toomas Kiisk <vix@cyber.ee> via Richard Levitte*
12194
12195  * Fix a crashbug and a logic bug in hwcrhk_load_pubkey().
12196
12197    *Toomas Kiisk <vix@cyber.ee> via Richard Levitte*
12198
12199  * Add -keyform to rsautl, and document -engine.
12200
12201    *Richard Levitte, inspired by Toomas Kiisk <vix@cyber.ee>*
12202
12203  * Change BIO_new_file (crypto/bio/bss_file.c) to use new
12204    BIO_R_NO_SUCH_FILE error code rather than the generic
12205    ERR_R_SYS_LIB error code if fopen() fails with ENOENT.
12206
12207    *Ben Laurie*
12208
12209  * Add new functions
12210            ERR_peek_last_error
12211            ERR_peek_last_error_line
12212            ERR_peek_last_error_line_data.
12213    These are similar to
12214            ERR_peek_error
12215            ERR_peek_error_line
12216            ERR_peek_error_line_data,
12217    but report on the latest error recorded rather than the first one
12218    still in the error queue.
12219
12220    *Ben Laurie, Bodo Moeller*
12221
12222  * default_algorithms option in ENGINE config module. This allows things
12223    like:
12224    default_algorithms = ALL
12225    default_algorithms = RSA, DSA, RAND, CIPHERS, DIGESTS
12226
12227    *Steve Henson*
12228
12229  * Preliminary ENGINE config module.
12230
12231    *Steve Henson*
12232
12233  * New experimental application configuration code.
12234
12235    *Steve Henson*
12236
12237  * Change the AES code to follow the same name structure as all other
12238    symmetric ciphers, and behave the same way.  Move everything to
12239    the directory crypto/aes, thereby obsoleting crypto/rijndael.
12240
12241    *Stephen Sprunk <stephen@sprunk.org> and Richard Levitte*
12242
12243  * SECURITY: remove unsafe setjmp/signal interaction from ui_openssl.c.
12244
12245    *Ben Laurie and Theo de Raadt*
12246
12247  * Add option to output public keys in req command.
12248
12249    *Massimiliano Pala madwolf@openca.org*
12250
12251  * Use wNAFs in EC_POINTs_mul() for improved efficiency
12252    (up to about 10% better than before for P-192 and P-224).
12253
12254    *Bodo Moeller*
12255
12256  * New functions/macros
12257
12258            SSL_CTX_set_msg_callback(ctx, cb)
12259            SSL_CTX_set_msg_callback_arg(ctx, arg)
12260            SSL_set_msg_callback(ssl, cb)
12261            SSL_set_msg_callback_arg(ssl, arg)
12262
12263    to request calling a callback function
12264
12265            void cb(int write_p, int version, int content_type,
12266                    const void *buf, size_t len, SSL *ssl, void *arg)
12267
12268    whenever a protocol message has been completely received
12269    (write_p == 0) or sent (write_p == 1).  Here 'version' is the
12270    protocol version  according to which the SSL library interprets
12271    the current protocol message (SSL2_VERSION, SSL3_VERSION, or
12272    TLS1_VERSION).  'content_type' is 0 in the case of SSL 2.0, or
12273    the content type as defined in the SSL 3.0/TLS 1.0 protocol
12274    specification (change_cipher_spec(20), alert(21), handshake(22)).
12275    'buf' and 'len' point to the actual message, 'ssl' to the
12276    SSL object, and 'arg' is the application-defined value set by
12277    SSL[_CTX]_set_msg_callback_arg().
12278
12279    'openssl s_client' and 'openssl s_server' have new '-msg' options
12280    to enable a callback that displays all protocol messages.
12281
12282    *Bodo Moeller*
12283
12284  * Change the shared library support so shared libraries are built as
12285    soon as the corresponding static library is finished, and thereby get
12286    openssl and the test programs linked against the shared library.
12287    This still only happens when the keyword "shard" has been given to
12288    the configuration scripts.
12289
12290    NOTE: shared library support is still an experimental thing, and
12291    backward binary compatibility is still not guaranteed.
12292
12293    *"Maciej W. Rozycki" <macro@ds2.pg.gda.pl> and Richard Levitte*
12294
12295  * Add support for Subject Information Access extension.
12296
12297    *Peter Sylvester <Peter.Sylvester@EdelWeb.fr>*
12298
12299  * Make BUF_MEM_grow() behaviour more consistent: Initialise to zero
12300    additional bytes when new memory had to be allocated, not just
12301    when reusing an existing buffer.
12302
12303    *Bodo Moeller*
12304
12305  * New command line and configuration option 'utf8' for the req command.
12306    This allows field values to be specified as UTF8 strings.
12307
12308    *Steve Henson*
12309
12310  * Add -multi and -mr options to "openssl speed" - giving multiple parallel
12311    runs for the former and machine-readable output for the latter.
12312
12313    *Ben Laurie*
12314
12315  * Add '-noemailDN' option to 'openssl ca'.  This prevents inclusion
12316    of the e-mail address in the DN (i.e., it will go into a certificate
12317    extension only).  The new configuration file option 'email_in_dn = no'
12318    has the same effect.
12319
12320    *Massimiliano Pala madwolf@openca.org*
12321
12322  * Change all functions with names starting with `des_` to be starting
12323    with `DES_` instead.  Add wrappers that are compatible with libdes,
12324    but are named `_ossl_old_des_*`.  Finally, add macros that map the
12325    `des_*` symbols to the corresponding `_ossl_old_des_*` if libdes
12326    compatibility is desired.  If OpenSSL 0.9.6c compatibility is
12327    desired, the `des_*` symbols will be mapped to `DES_*`, with one
12328    exception.
12329
12330    Since we provide two compatibility mappings, the user needs to
12331    define the macro OPENSSL_DES_LIBDES_COMPATIBILITY if libdes
12332    compatibility is desired.  The default (i.e., when that macro
12333    isn't defined) is OpenSSL 0.9.6c compatibility.
12334
12335    There are also macros that enable and disable the support of old
12336    des functions altogether.  Those are OPENSSL_ENABLE_OLD_DES_SUPPORT
12337    and OPENSSL_DISABLE_OLD_DES_SUPPORT.  If none or both of those
12338    are defined, the default will apply: to support the old des routines.
12339
12340    In either case, one must include openssl/des.h to get the correct
12341    definitions.  Do not try to just include openssl/des_old.h, that
12342    won't work.
12343
12344    NOTE: This is a major break of an old API into a new one.  Software
12345    authors are encouraged to switch to the `DES_` style functions.  Some
12346    time in the future, des_old.h and the libdes compatibility functions
12347    will be disable (i.e. OPENSSL_DISABLE_OLD_DES_SUPPORT will be the
12348    default), and then completely removed.
12349
12350    *Richard Levitte*
12351
12352  * Test for certificates which contain unsupported critical extensions.
12353    If such a certificate is found during a verify operation it is
12354    rejected by default: this behaviour can be overridden by either
12355    handling the new error X509_V_ERR_UNHANDLED_CRITICAL_EXTENSION or
12356    by setting the verify flag X509_V_FLAG_IGNORE_CRITICAL. A new function
12357    X509_supported_extension() has also been added which returns 1 if a
12358    particular extension is supported.
12359
12360    *Steve Henson*
12361
12362  * Modify the behaviour of EVP cipher functions in similar way to digests
12363    to retain compatibility with existing code.
12364
12365    *Steve Henson*
12366
12367  * Modify the behaviour of EVP_DigestInit() and EVP_DigestFinal() to retain
12368    compatibility with existing code. In particular the 'ctx' parameter does
12369    not have to be to be initialized before the call to EVP_DigestInit() and
12370    it is tidied up after a call to EVP_DigestFinal(). New function
12371    EVP_DigestFinal_ex() which does not tidy up the ctx. Similarly function
12372    EVP_MD_CTX_copy() changed to not require the destination to be
12373    initialized valid and new function EVP_MD_CTX_copy_ex() added which
12374    requires the destination to be valid.
12375
12376    Modify all the OpenSSL digest calls to use EVP_DigestInit_ex(),
12377    EVP_DigestFinal_ex() and EVP_MD_CTX_copy_ex().
12378
12379    *Steve Henson*
12380
12381  * Change ssl3_get_message (ssl/s3_both.c) and the functions using it
12382    so that complete 'Handshake' protocol structures are kept in memory
12383    instead of overwriting 'msg_type' and 'length' with 'body' data.
12384
12385    *Bodo Moeller*
12386
12387  * Add an implementation of SSL_add_dir_cert_subjects_to_stack for Win32.
12388
12389    *Massimo Santin via Richard Levitte*
12390
12391  * Major restructuring to the underlying ENGINE code. This includes
12392    reduction of linker bloat, separation of pure "ENGINE" manipulation
12393    (initialisation, etc) from functionality dealing with implementations
12394    of specific crypto interfaces. This change also introduces integrated
12395    support for symmetric ciphers and digest implementations - so ENGINEs
12396    can now accelerate these by providing EVP_CIPHER and EVP_MD
12397    implementations of their own. This is detailed in
12398    [crypto/engine/README.md](crypto/engine/README.md)
12399    as it couldn't be adequately described here. However, there are a few
12400    API changes worth noting - some RSA, DSA, DH, and RAND functions that
12401    were changed in the original introduction of ENGINE code have now
12402    reverted back - the hooking from this code to ENGINE is now a good
12403    deal more passive and at run-time, operations deal directly with
12404    RSA_METHODs, DSA_METHODs (etc) as they did before, rather than
12405    dereferencing through an ENGINE pointer any more. Also, the ENGINE
12406    functions dealing with `BN_MOD_EXP[_CRT]` handlers have been removed -
12407    they were not being used by the framework as there is no concept of a
12408    BIGNUM_METHOD and they could not be generalised to the new
12409    'ENGINE_TABLE' mechanism that underlies the new code. Similarly,
12410    ENGINE_cpy() has been removed as it cannot be consistently defined in
12411    the new code.
12412
12413    *Geoff Thorpe*
12414
12415  * Change ASN1_GENERALIZEDTIME_check() to allow fractional seconds.
12416
12417    *Steve Henson*
12418
12419  * Change mkdef.pl to sort symbols that get the same entry number,
12420    and make sure the automatically generated functions `ERR_load_*`
12421    become part of libeay.num as well.
12422
12423    *Richard Levitte*
12424
12425  * New function SSL_renegotiate_pending().  This returns true once
12426    renegotiation has been requested (either SSL_renegotiate() call
12427    or HelloRequest/ClientHello received from the peer) and becomes
12428    false once a handshake has been completed.
12429    (For servers, SSL_renegotiate() followed by SSL_do_handshake()
12430    sends a HelloRequest, but does not ensure that a handshake takes
12431    place.  SSL_renegotiate_pending() is useful for checking if the
12432    client has followed the request.)
12433
12434    *Bodo Moeller*
12435
12436  * New SSL option SSL_OP_NO_SESSION_RESUMPTION_ON_RENEGOTIATION.
12437    By default, clients may request session resumption even during
12438    renegotiation (if session ID contexts permit); with this option,
12439    session resumption is possible only in the first handshake.
12440
12441    SSL_OP_ALL is now 0x00000FFFL instead of 0x000FFFFFL.  This makes
12442    more bits available for options that should not be part of
12443    SSL_OP_ALL (such as SSL_OP_NO_SESSION_RESUMPTION_ON_RENEGOTIATION).
12444
12445    *Bodo Moeller*
12446
12447  * Add some demos for certificate and certificate request creation.
12448
12449    *Steve Henson*
12450
12451  * Make maximum certificate chain size accepted from the peer application
12452    settable (`SSL*_get/set_max_cert_list()`), as proposed by
12453    "Douglas E. Engert" <deengert@anl.gov>.
12454
12455    *Lutz Jaenicke*
12456
12457  * Add support for shared libraries for Unixware-7
12458    (Boyd Lynn Gerber <gerberb@zenez.com>).
12459
12460    *Lutz Jaenicke*
12461
12462  * Add a "destroy" handler to ENGINEs that allows structural cleanup to
12463    be done prior to destruction. Use this to unload error strings from
12464    ENGINEs that load their own error strings. NB: This adds two new API
12465    functions to "get" and "set" this destroy handler in an ENGINE.
12466
12467    *Geoff Thorpe*
12468
12469  * Alter all existing ENGINE implementations (except "openssl" and
12470    "openbsd") to dynamically instantiate their own error strings. This
12471    makes them more flexible to be built both as statically-linked ENGINEs
12472    and self-contained shared-libraries loadable via the "dynamic" ENGINE.
12473    Also, add stub code to each that makes building them as self-contained
12474    shared-libraries easier (see [README-Engine.md](README-Engine.md)).
12475
12476    *Geoff Thorpe*
12477
12478  * Add a "dynamic" ENGINE that provides a mechanism for binding ENGINE
12479    implementations into applications that are completely implemented in
12480    self-contained shared-libraries. The "dynamic" ENGINE exposes control
12481    commands that can be used to configure what shared-library to load and
12482    to control aspects of the way it is handled. Also, made an update to
12483    the [README-Engine.md](README-Engine.md) file
12484    that brings its information up-to-date and
12485    provides some information and instructions on the "dynamic" ENGINE
12486    (ie. how to use it, how to build "dynamic"-loadable ENGINEs, etc).
12487
12488    *Geoff Thorpe*
12489
12490  * Make it possible to unload ranges of ERR strings with a new
12491    "ERR_unload_strings" function.
12492
12493    *Geoff Thorpe*
12494
12495  * Add a copy() function to EVP_MD.
12496
12497    *Ben Laurie*
12498
12499  * Make EVP_MD routines take a context pointer instead of just the
12500    md_data void pointer.
12501
12502    *Ben Laurie*
12503
12504  * Add flags to EVP_MD and EVP_MD_CTX. EVP_MD_FLAG_ONESHOT indicates
12505    that the digest can only process a single chunk of data
12506    (typically because it is provided by a piece of
12507    hardware). EVP_MD_CTX_FLAG_ONESHOT indicates that the application
12508    is only going to provide a single chunk of data, and hence the
12509    framework needn't accumulate the data for oneshot drivers.
12510
12511    *Ben Laurie*
12512
12513  * As with "ERR", make it possible to replace the underlying "ex_data"
12514    functions. This change also alters the storage and management of global
12515    ex_data state - it's now all inside ex_data.c and all "class" code (eg.
12516    RSA, BIO, SSL_CTX, etc) no longer stores its own STACKS and per-class
12517    index counters. The API functions that use this state have been changed
12518    to take a "class_index" rather than pointers to the class's local STACK
12519    and counter, and there is now an API function to dynamically create new
12520    classes. This centralisation allows us to (a) plug a lot of the
12521    thread-safety problems that existed, and (b) makes it possible to clean
12522    up all allocated state using "CRYPTO_cleanup_all_ex_data()". W.r.t. (b)
12523    such data would previously have always leaked in application code and
12524    workarounds were in place to make the memory debugging turn a blind eye
12525    to it. Application code that doesn't use this new function will still
12526    leak as before, but their memory debugging output will announce it now
12527    rather than letting it slide.
12528
12529    Besides the addition of CRYPTO_cleanup_all_ex_data(), another API change
12530    induced by the "ex_data" overhaul is that X509_STORE_CTX_init() now
12531    has a return value to indicate success or failure.
12532
12533    *Geoff Thorpe*
12534
12535  * Make it possible to replace the underlying "ERR" functions such that the
12536    global state (2 LHASH tables and 2 locks) is only used by the "default"
12537    implementation. This change also adds two functions to "get" and "set"
12538    the implementation prior to it being automatically set the first time
12539    any other ERR function takes place. Ie. an application can call "get",
12540    pass the return value to a module it has just loaded, and that module
12541    can call its own "set" function using that value. This means the
12542    module's "ERR" operations will use (and modify) the error state in the
12543    application and not in its own statically linked copy of OpenSSL code.
12544
12545    *Geoff Thorpe*
12546
12547  * Give DH, DSA, and RSA types their own `*_up_ref()` function to increment
12548    reference counts. This performs normal REF_PRINT/REF_CHECK macros on
12549    the operation, and provides a more encapsulated way for external code
12550    (crypto/evp/ and ssl/) to do this. Also changed the evp and ssl code
12551    to use these functions rather than manually incrementing the counts.
12552
12553    Also rename "DSO_up()" function to more descriptive "DSO_up_ref()".
12554
12555    *Geoff Thorpe*
12556
12557  * Add EVP test program.
12558
12559    *Ben Laurie*
12560
12561  * Add symmetric cipher support to ENGINE. Expect the API to change!
12562
12563    *Ben Laurie*
12564
12565  * New CRL functions: X509_CRL_set_version(), X509_CRL_set_issuer_name()
12566    X509_CRL_set_lastUpdate(), X509_CRL_set_nextUpdate(), X509_CRL_sort(),
12567    X509_REVOKED_set_serialNumber(), and X509_REVOKED_set_revocationDate().
12568    These allow a CRL to be built without having to access X509_CRL fields
12569    directly. Modify 'ca' application to use new functions.
12570
12571    *Steve Henson*
12572
12573  * Move SSL_OP_TLS_ROLLBACK_BUG out of the SSL_OP_ALL list of recommended
12574    bug workarounds. Rollback attack detection is a security feature.
12575    The problem will only arise on OpenSSL servers when TLSv1 is not
12576    available (sslv3_server_method() or SSL_OP_NO_TLSv1).
12577    Software authors not wanting to support TLSv1 will have special reasons
12578    for their choice and can explicitly enable this option.
12579
12580    *Bodo Moeller, Lutz Jaenicke*
12581
12582  * Rationalise EVP so it can be extended: don't include a union of
12583    cipher/digest structures, add init/cleanup functions for EVP_MD_CTX
12584    (similar to those existing for EVP_CIPHER_CTX).
12585    Usage example:
12586
12587            EVP_MD_CTX md;
12588
12589            EVP_MD_CTX_init(&md);             /* new function call */
12590            EVP_DigestInit(&md, EVP_sha1());
12591            EVP_DigestUpdate(&md, in, len);
12592            EVP_DigestFinal(&md, out, NULL);
12593            EVP_MD_CTX_cleanup(&md);          /* new function call */
12594
12595    *Ben Laurie*
12596
12597  * Make DES key schedule conform to the usual scheme, as well as
12598    correcting its structure. This means that calls to DES functions
12599    now have to pass a pointer to a des_key_schedule instead of a
12600    plain des_key_schedule (which was actually always a pointer
12601    anyway): E.g.,
12602
12603            des_key_schedule ks;
12604
12605            des_set_key_checked(..., &ks);
12606            des_ncbc_encrypt(..., &ks, ...);
12607
12608    (Note that a later change renames 'des_...' into 'DES_...'.)
12609
12610    *Ben Laurie*
12611
12612  * Initial reduction of linker bloat: the use of some functions, such as
12613    PEM causes large amounts of unused functions to be linked in due to
12614    poor organisation. For example pem_all.c contains every PEM function
12615    which has a knock on effect of linking in large amounts of (unused)
12616    ASN1 code. Grouping together similar functions and splitting unrelated
12617    functions prevents this.
12618
12619    *Steve Henson*
12620
12621  * Cleanup of EVP macros.
12622
12623    *Ben Laurie*
12624
12625  * Change historical references to `{NID,SN,LN}_des_ede` and ede3 to add the
12626    correct `_ecb suffix`.
12627
12628    *Ben Laurie*
12629
12630  * Add initial OCSP responder support to ocsp application. The
12631    revocation information is handled using the text based index
12632    use by the ca application. The responder can either handle
12633    requests generated internally, supplied in files (for example
12634    via a CGI script) or using an internal minimal server.
12635
12636    *Steve Henson*
12637
12638  * Add configuration choices to get zlib compression for TLS.
12639
12640    *Richard Levitte*
12641
12642  * Changes to Kerberos SSL for RFC 2712 compliance:
12643    1. Implemented real KerberosWrapper, instead of just using
12644       KRB5 AP_REQ message.  [Thanks to Simon Wilkinson <sxw@sxw.org.uk>]
12645    2. Implemented optional authenticator field of KerberosWrapper.
12646
12647    Added openssl-style ASN.1 macros for Kerberos ticket, ap_req,
12648    and authenticator structs; see crypto/krb5/.
12649
12650    Generalized Kerberos calls to support multiple Kerberos libraries.
12651    *Vern Staats <staatsvr@asc.hpc.mil>, Jeffrey Altman <jaltman@columbia.edu>
12652    via Richard Levitte*
12653
12654  * Cause 'openssl speed' to use fully hard-coded DSA keys as it
12655    already does with RSA. testdsa.h now has 'priv_key/pub_key'
12656    values for each of the key sizes rather than having just
12657    parameters (and 'speed' generating keys each time).
12658
12659    *Geoff Thorpe*
12660
12661  * Speed up EVP routines.
12662    Before:
12663 crypt
12664 pe              8 bytes     64 bytes    256 bytes   1024 bytes   8192 bytes
12665 s-cbc           4408.85k     5560.51k     5778.46k     5862.20k     5825.16k
12666 s-cbc           4389.55k     5571.17k     5792.23k     5846.91k     5832.11k
12667 s-cbc           4394.32k     5575.92k     5807.44k     5848.37k     5841.30k
12668 crypt
12669 s-cbc           3482.66k     5069.49k     5496.39k     5614.16k     5639.28k
12670 s-cbc           3480.74k     5068.76k     5510.34k     5609.87k     5635.52k
12671 s-cbc           3483.72k     5067.62k     5504.60k     5708.01k     5724.80k
12672    After:
12673 crypt
12674 s-cbc           4660.16k     5650.19k     5807.19k     5827.13k     5783.32k
12675 crypt
12676 s-cbc           3624.96k     5258.21k     5530.91k     5624.30k     5628.26k
12677
12678    *Ben Laurie*
12679
12680  * Added the OS2-EMX target.
12681
12682    *"Brian Havard" <brianh@kheldar.apana.org.au> and Richard Levitte*
12683
12684  * Rewrite commands to use `NCONF` routines instead of the old `CONF`.
12685    New functions to support `NCONF `routines in extension code.
12686    New function `CONF_set_nconf()`
12687    to allow functions which take an `NCONF` to also handle the old `LHASH`
12688    structure: this means that the old `CONF` compatible routines can be
12689    retained (in particular w.rt. extensions) without having to duplicate the
12690    code. New function `X509V3_add_ext_nconf_sk()` to add extensions to a stack.
12691
12692    *Steve Henson*
12693
12694  * Enhance the general user interface with mechanisms for inner control
12695    and with possibilities to have yes/no kind of prompts.
12696
12697    *Richard Levitte*
12698
12699  * Change all calls to low level digest routines in the library and
12700    applications to use EVP. Add missing calls to HMAC_cleanup() and
12701    don't assume HMAC_CTX can be copied using memcpy().
12702
12703    *Verdon Walker <VWalker@novell.com>, Steve Henson*
12704
12705  * Add the possibility to control engines through control names but with
12706    arbitrary arguments instead of just a string.
12707    Change the key loaders to take a UI_METHOD instead of a callback
12708    function pointer.  NOTE: this breaks binary compatibility with earlier
12709    versions of OpenSSL [engine].
12710    Adapt the nCipher code for these new conditions and add a card insertion
12711    callback.
12712
12713    *Richard Levitte*
12714
12715  * Enhance the general user interface with mechanisms to better support
12716    dialog box interfaces, application-defined prompts, the possibility
12717    to use defaults (for example default passwords from somewhere else)
12718    and interrupts/cancellations.
12719
12720    *Richard Levitte*
12721
12722  * Tidy up PKCS#12 attribute handling. Add support for the CSP name
12723    attribute in PKCS#12 files, add new -CSP option to pkcs12 utility.
12724
12725    *Steve Henson*
12726
12727  * Fix a memory leak in 'sk_dup()' in the case reallocation fails. (Also
12728    tidy up some unnecessarily weird code in 'sk_new()').
12729
12730    *Geoff, reported by Diego Tartara <dtartara@novamens.com>*
12731
12732  * Change the key loading routines for ENGINEs to use the same kind
12733    callback (pem_password_cb) as all other routines that need this
12734    kind of callback.
12735
12736    *Richard Levitte*
12737
12738  * Increase ENTROPY_NEEDED to 32 bytes, as Rijndael can operate with
12739    256 bit (=32 byte) keys. Of course seeding with more entropy bytes
12740    than this minimum value is recommended.
12741
12742    *Lutz Jaenicke*
12743
12744  * New random seeder for OpenVMS, using the system process statistics
12745    that are easily reachable.
12746
12747    *Richard Levitte*
12748
12749  * Windows apparently can't transparently handle global
12750    variables defined in DLLs. Initialisations such as:
12751
12752            const ASN1_ITEM *it = &ASN1_INTEGER_it;
12753
12754    won't compile. This is used by the any applications that need to
12755    declare their own ASN1 modules. This was fixed by adding the option
12756    EXPORT_VAR_AS_FN to all Win32 platforms, although this isn't strictly
12757    needed for static libraries under Win32.
12758
12759    *Steve Henson*
12760
12761  * New functions X509_PURPOSE_set() and X509_TRUST_set() to handle
12762    setting of purpose and trust fields. New X509_STORE trust and
12763    purpose functions and tidy up setting in other SSL functions.
12764
12765    *Steve Henson*
12766
12767  * Add copies of X509_STORE_CTX fields and callbacks to X509_STORE
12768    structure. These are inherited by X509_STORE_CTX when it is
12769    initialised. This allows various defaults to be set in the
12770    X509_STORE structure (such as flags for CRL checking and custom
12771    purpose or trust settings) for functions which only use X509_STORE_CTX
12772    internally such as S/MIME.
12773
12774    Modify X509_STORE_CTX_purpose_inherit() so it only sets purposes and
12775    trust settings if they are not set in X509_STORE. This allows X509_STORE
12776    purposes and trust (in S/MIME for example) to override any set by default.
12777
12778    Add command line options for CRL checking to smime, s_client and s_server
12779    applications.
12780
12781    *Steve Henson*
12782
12783  * Initial CRL based revocation checking. If the CRL checking flag(s)
12784    are set then the CRL is looked up in the X509_STORE structure and
12785    its validity and signature checked, then if the certificate is found
12786    in the CRL the verify fails with a revoked error.
12787
12788    Various new CRL related callbacks added to X509_STORE_CTX structure.
12789
12790    Command line options added to 'verify' application to support this.
12791
12792    This needs some additional work, such as being able to handle multiple
12793    CRLs with different times, extension based lookup (rather than just
12794    by subject name) and ultimately more complete V2 CRL extension
12795    handling.
12796
12797    *Steve Henson*
12798
12799  * Add a general user interface API (crypto/ui/).  This is designed
12800    to replace things like des_read_password and friends (backward
12801    compatibility functions using this new API are provided).
12802    The purpose is to remove prompting functions from the DES code
12803    section as well as provide for prompting through dialog boxes in
12804    a window system and the like.
12805
12806    *Richard Levitte*
12807
12808  * Add "ex_data" support to ENGINE so implementations can add state at a
12809    per-structure level rather than having to store it globally.
12810
12811    *Geoff*
12812
12813  * Make it possible for ENGINE structures to be copied when retrieved by
12814    ENGINE_by_id() if the ENGINE specifies a new flag: ENGINE_FLAGS_BY_ID_COPY.
12815    This causes the "original" ENGINE structure to act like a template,
12816    analogous to the RSA vs. RSA_METHOD type of separation. Because of this
12817    operational state can be localised to each ENGINE structure, despite the
12818    fact they all share the same "methods". New ENGINE structures returned in
12819    this case have no functional references and the return value is the single
12820    structural reference. This matches the single structural reference returned
12821    by ENGINE_by_id() normally, when it is incremented on the pre-existing
12822    ENGINE structure.
12823
12824    *Geoff*
12825
12826  * Fix ASN1 decoder when decoding type ANY and V_ASN1_OTHER: since this
12827    needs to match any other type at all we need to manually clear the
12828    tag cache.
12829
12830    *Steve Henson*
12831
12832  * Changes to the "openssl engine" utility to include;
12833    - verbosity levels ('-v', '-vv', and '-vvv') that provide information
12834      about an ENGINE's available control commands.
12835    - executing control commands from command line arguments using the
12836      '-pre' and '-post' switches. '-post' is only used if '-t' is
12837      specified and the ENGINE is successfully initialised. The syntax for
12838      the individual commands are colon-separated, for example;
12839            openssl engine chil -pre FORK_CHECK:0 -pre SO_PATH:/lib/test.so
12840
12841    *Geoff*
12842
12843  * New dynamic control command support for ENGINEs. ENGINEs can now
12844    declare their own commands (numbers), names (strings), descriptions,
12845    and input types for run-time discovery by calling applications. A
12846    subset of these commands are implicitly classed as "executable"
12847    depending on their input type, and only these can be invoked through
12848    the new string-based API function ENGINE_ctrl_cmd_string(). (Eg. this
12849    can be based on user input, config files, etc). The distinction is
12850    that "executable" commands cannot return anything other than a boolean
12851    result and can only support numeric or string input, whereas some
12852    discoverable commands may only be for direct use through
12853    ENGINE_ctrl(), eg. supporting the exchange of binary data, function
12854    pointers, or other custom uses. The "executable" commands are to
12855    support parameterisations of ENGINE behaviour that can be
12856    unambiguously defined by ENGINEs and used consistently across any
12857    OpenSSL-based application. Commands have been added to all the
12858    existing hardware-supporting ENGINEs, noticeably "SO_PATH" to allow
12859    control over shared-library paths without source code alterations.
12860
12861    *Geoff*
12862
12863  * Changed all ENGINE implementations to dynamically allocate their
12864    ENGINEs rather than declaring them statically. Apart from this being
12865    necessary with the removal of the ENGINE_FLAGS_MALLOCED distinction,
12866    this also allows the implementations to compile without using the
12867    internal engine_int.h header.
12868
12869    *Geoff*
12870
12871  * Minor adjustment to "rand" code. RAND_get_rand_method() now returns a
12872    'const' value. Any code that should be able to modify a RAND_METHOD
12873    should already have non-const pointers to it (ie. they should only
12874    modify their own ones).
12875
12876    *Geoff*
12877
12878  * Made a variety of little tweaks to the ENGINE code.
12879    - "atalla" and "ubsec" string definitions were moved from header files
12880      to C code. "nuron" string definitions were placed in variables
12881      rather than hard-coded - allowing parameterisation of these values
12882      later on via ctrl() commands.
12883    - Removed unused "#if 0"'d code.
12884    - Fixed engine list iteration code so it uses ENGINE_free() to release
12885      structural references.
12886    - Constified the RAND_METHOD element of ENGINE structures.
12887    - Constified various get/set functions as appropriate and added
12888      missing functions (including a catch-all ENGINE_cpy that duplicates
12889      all ENGINE values onto a new ENGINE except reference counts/state).
12890    - Removed NULL parameter checks in get/set functions. Setting a method
12891      or function to NULL is a way of cancelling out a previously set
12892      value.  Passing a NULL ENGINE parameter is just plain stupid anyway
12893      and doesn't justify the extra error symbols and code.
12894    - Deprecate the ENGINE_FLAGS_MALLOCED define and move the area for
12895      flags from engine_int.h to engine.h.
12896    - Changed prototypes for ENGINE handler functions (init(), finish(),
12897      ctrl(), key-load functions, etc) to take an (ENGINE*) parameter.
12898
12899    *Geoff*
12900
12901  * Implement binary inversion algorithm for BN_mod_inverse in addition
12902    to the algorithm using long division.  The binary algorithm can be
12903    used only if the modulus is odd.  On 32-bit systems, it is faster
12904    only for relatively small moduli (roughly 20-30% for 128-bit moduli,
12905    roughly 5-15% for 256-bit moduli), so we use it only for moduli
12906    up to 450 bits.  In 64-bit environments, the binary algorithm
12907    appears to be advantageous for much longer moduli; here we use it
12908    for moduli up to 2048 bits.
12909
12910    *Bodo Moeller*
12911
12912  * Rewrite CHOICE field setting in ASN1_item_ex_d2i(). The old code
12913    could not support the combine flag in choice fields.
12914
12915    *Steve Henson*
12916
12917  * Add a 'copy_extensions' option to the 'ca' utility. This copies
12918    extensions from a certificate request to the certificate.
12919
12920    *Steve Henson*
12921
12922  * Allow multiple 'certopt' and 'nameopt' options to be separated
12923    by commas. Add 'namopt' and 'certopt' options to the 'ca' config
12924    file: this allows the display of the certificate about to be
12925    signed to be customised, to allow certain fields to be included
12926    or excluded and extension details. The old system didn't display
12927    multicharacter strings properly, omitted fields not in the policy
12928    and couldn't display additional details such as extensions.
12929
12930    *Steve Henson*
12931
12932  * Function EC_POINTs_mul for multiple scalar multiplication
12933    of an arbitrary number of elliptic curve points
12934            \sum scalars[i]*points[i],
12935    optionally including the generator defined for the EC_GROUP:
12936            scalar*generator +  \sum scalars[i]*points[i].
12937
12938    EC_POINT_mul is a simple wrapper function for the typical case
12939    that the point list has just one item (besides the optional
12940    generator).
12941
12942    *Bodo Moeller*
12943
12944  * First EC_METHODs for curves over GF(p):
12945
12946    EC_GFp_simple_method() uses the basic BN_mod_mul and BN_mod_sqr
12947    operations and provides various method functions that can also
12948    operate with faster implementations of modular arithmetic.
12949
12950    EC_GFp_mont_method() reuses most functions that are part of
12951    EC_GFp_simple_method, but uses Montgomery arithmetic.
12952
12953    *Bodo Moeller; point addition and point doubling
12954    implementation directly derived from source code provided by
12955    Lenka Fibikova <fibikova@exp-math.uni-essen.de>*
12956
12957  * Framework for elliptic curves (crypto/ec/ec.h, crypto/ec/ec_lcl.h,
12958    crypto/ec/ec_lib.c):
12959
12960    Curves are EC_GROUP objects (with an optional group generator)
12961    based on EC_METHODs that are built into the library.
12962
12963    Points are EC_POINT objects based on EC_GROUP objects.
12964
12965    Most of the framework would be able to handle curves over arbitrary
12966    finite fields, but as there are no obvious types for fields other
12967    than GF(p), some functions are limited to that for now.
12968
12969    *Bodo Moeller*
12970
12971  * Add the -HTTP option to s_server.  It is similar to -WWW, but requires
12972    that the file contains a complete HTTP response.
12973
12974    *Richard Levitte*
12975
12976  * Add the ec directory to mkdef.pl and mkfiles.pl. In mkdef.pl
12977    change the def and num file printf format specifier from "%-40sXXX"
12978    to "%-39s XXX". The latter will always guarantee a space after the
12979    field while the former will cause them to run together if the field
12980    is 40 of more characters long.
12981
12982    *Steve Henson*
12983
12984  * Constify the cipher and digest 'method' functions and structures
12985    and modify related functions to take constant EVP_MD and EVP_CIPHER
12986    pointers.
12987
12988    *Steve Henson*
12989
12990  * Hide BN_CTX structure details in bn_lcl.h instead of publishing them
12991    in <openssl/bn.h>.  Also further increase BN_CTX_NUM to 32.
12992
12993    *Bodo Moeller*
12994
12995  * Modify `EVP_Digest*()` routines so they now return values. Although the
12996    internal software routines can never fail additional hardware versions
12997    might.
12998
12999    *Steve Henson*
13000
13001  * Clean up crypto/err/err.h and change some error codes to avoid conflicts:
13002
13003    Previously ERR_R_FATAL was too small and coincided with ERR_LIB_PKCS7
13004    (= ERR_R_PKCS7_LIB); it is now 64 instead of 32.
13005
13006    ASN1 error codes
13007            ERR_R_NESTED_ASN1_ERROR
13008            ...
13009            ERR_R_MISSING_ASN1_EOS
13010    were 4 .. 9, conflicting with
13011            ERR_LIB_RSA (= ERR_R_RSA_LIB)
13012            ...
13013            ERR_LIB_PEM (= ERR_R_PEM_LIB).
13014    They are now 58 .. 63 (i.e., just below ERR_R_FATAL).
13015
13016    Add new error code 'ERR_R_INTERNAL_ERROR'.
13017
13018    *Bodo Moeller*
13019
13020  * Don't overuse locks in crypto/err/err.c: For data retrieval, CRYPTO_r_lock
13021    suffices.
13022
13023    *Bodo Moeller*
13024
13025  * New option '-subj arg' for 'openssl req' and 'openssl ca'.  This
13026    sets the subject name for a new request or supersedes the
13027    subject name in a given request. Formats that can be parsed are
13028            'CN=Some Name, OU=myOU, C=IT'
13029    and
13030            'CN=Some Name/OU=myOU/C=IT'.
13031
13032    Add options '-batch' and '-verbose' to 'openssl req'.
13033
13034    *Massimiliano Pala <madwolf@hackmasters.net>*
13035
13036  * Introduce the possibility to access global variables through
13037    functions on platform were that's the best way to handle exporting
13038    global variables in shared libraries.  To enable this functionality,
13039    one must configure with "EXPORT_VAR_AS_FN" or defined the C macro
13040    "OPENSSL_EXPORT_VAR_AS_FUNCTION" in crypto/opensslconf.h (the latter
13041    is normally done by Configure or something similar).
13042
13043    To implement a global variable, use the macro OPENSSL_IMPLEMENT_GLOBAL
13044    in the source file (foo.c) like this:
13045
13046            OPENSSL_IMPLEMENT_GLOBAL(int,foo)=1;
13047            OPENSSL_IMPLEMENT_GLOBAL(double,bar);
13048
13049    To declare a global variable, use the macros OPENSSL_DECLARE_GLOBAL
13050    and OPENSSL_GLOBAL_REF in the header file (foo.h) like this:
13051
13052            OPENSSL_DECLARE_GLOBAL(int,foo);
13053            #define foo OPENSSL_GLOBAL_REF(foo)
13054            OPENSSL_DECLARE_GLOBAL(double,bar);
13055            #define bar OPENSSL_GLOBAL_REF(bar)
13056
13057    The #defines are very important, and therefore so is including the
13058    header file everywhere where the defined globals are used.
13059
13060    The macro OPENSSL_EXPORT_VAR_AS_FUNCTION also affects the definition
13061    of ASN.1 items, but that structure is a bit different.
13062
13063    The largest change is in util/mkdef.pl which has been enhanced with
13064    better and easier to understand logic to choose which symbols should
13065    go into the Windows .def files as well as a number of fixes and code
13066    cleanup (among others, algorithm keywords are now sorted
13067    lexicographically to avoid constant rewrites).
13068
13069    *Richard Levitte*
13070
13071  * In BN_div() keep a copy of the sign of 'num' before writing the
13072    result to 'rm' because if rm==num the value will be overwritten
13073    and produce the wrong result if 'num' is negative: this caused
13074    problems with BN_mod() and BN_nnmod().
13075
13076    *Steve Henson*
13077
13078  * Function OCSP_request_verify(). This checks the signature on an
13079    OCSP request and verifies the signer certificate. The signer
13080    certificate is just checked for a generic purpose and OCSP request
13081    trust settings.
13082
13083    *Steve Henson*
13084
13085  * Add OCSP_check_validity() function to check the validity of OCSP
13086    responses. OCSP responses are prepared in real time and may only
13087    be a few seconds old. Simply checking that the current time lies
13088    between thisUpdate and nextUpdate max reject otherwise valid responses
13089    caused by either OCSP responder or client clock inaccuracy. Instead
13090    we allow thisUpdate and nextUpdate to fall within a certain period of
13091    the current time. The age of the response can also optionally be
13092    checked. Two new options -validity_period and -status_age added to
13093    ocsp utility.
13094
13095    *Steve Henson*
13096
13097  * If signature or public key algorithm is unrecognized print out its
13098    OID rather that just UNKNOWN.
13099
13100    *Steve Henson*
13101
13102  * Change OCSP_cert_to_id() to tolerate a NULL subject certificate and
13103    OCSP_cert_id_new() a NULL serialNumber. This allows a partial certificate
13104    ID to be generated from the issuer certificate alone which can then be
13105    passed to OCSP_id_issuer_cmp().
13106
13107    *Steve Henson*
13108
13109  * New compilation option ASN1_ITEM_FUNCTIONS. This causes the new
13110    ASN1 modules to export functions returning ASN1_ITEM pointers
13111    instead of the ASN1_ITEM structures themselves. This adds several
13112    new macros which allow the underlying ASN1 function/structure to
13113    be accessed transparently. As a result code should not use ASN1_ITEM
13114    references directly (such as &X509_it) but instead use the relevant
13115    macros (such as ASN1_ITEM_rptr(X509)). This option is to allow
13116    use of the new ASN1 code on platforms where exporting structures
13117    is problematical (for example in shared libraries) but exporting
13118    functions returning pointers to structures is not.
13119
13120    *Steve Henson*
13121
13122  * Add support for overriding the generation of SSL/TLS session IDs.
13123    These callbacks can be registered either in an SSL_CTX or per SSL.
13124    The purpose of this is to allow applications to control, if they wish,
13125    the arbitrary values chosen for use as session IDs, particularly as it
13126    can be useful for session caching in multiple-server environments. A
13127    command-line switch for testing this (and any client code that wishes
13128    to use such a feature) has been added to "s_server".
13129
13130    *Geoff Thorpe, Lutz Jaenicke*
13131
13132  * Modify mkdef.pl to recognise and parse preprocessor conditionals
13133    of the form `#if defined(...) || defined(...) || ...` and
13134    `#if !defined(...) && !defined(...) && ...`.  This also avoids
13135    the growing number of special cases it was previously handling.
13136
13137    *Richard Levitte*
13138
13139  * Make all configuration macros available for application by making
13140    sure they are available in opensslconf.h, by giving them names starting
13141    with `OPENSSL_` to avoid conflicts with other packages and by making
13142    sure e_os2.h will cover all platform-specific cases together with
13143    opensslconf.h.
13144    Additionally, it is now possible to define configuration/platform-
13145    specific names (called "system identities").  In the C code, these
13146    are prefixed with `OPENSSL_SYSNAME_`.  e_os2.h will create another
13147    macro with the name beginning with `OPENSSL_SYS_`, which is determined
13148    from `OPENSSL_SYSNAME_*` or compiler-specific macros depending on
13149    what is available.
13150
13151    *Richard Levitte*
13152
13153  * New option -set_serial to 'req' and 'x509' this allows the serial
13154    number to use to be specified on the command line. Previously self
13155    signed certificates were hard coded with serial number 0 and the
13156    CA options of 'x509' had to use a serial number in a file which was
13157    auto incremented.
13158
13159    *Steve Henson*
13160
13161  * New options to 'ca' utility to support V2 CRL entry extensions.
13162    Currently CRL reason, invalidity date and hold instruction are
13163    supported. Add new CRL extensions to V3 code and some new objects.
13164
13165    *Steve Henson*
13166
13167  * New function EVP_CIPHER_CTX_set_padding() this is used to
13168    disable standard block padding (aka PKCS#5 padding) in the EVP
13169    API, which was previously mandatory. This means that the data is
13170    not padded in any way and so the total length much be a multiple
13171    of the block size, otherwise an error occurs.
13172
13173    *Steve Henson*
13174
13175  * Initial (incomplete) OCSP SSL support.
13176
13177    *Steve Henson*
13178
13179  * New function OCSP_parse_url(). This splits up a URL into its host,
13180    port and path components: primarily to parse OCSP URLs. New -url
13181    option to ocsp utility.
13182
13183    *Steve Henson*
13184
13185  * New nonce behavior. The return value of OCSP_check_nonce() now
13186    reflects the various checks performed. Applications can decide
13187    whether to tolerate certain situations such as an absent nonce
13188    in a response when one was present in a request: the ocsp application
13189    just prints out a warning. New function OCSP_add1_basic_nonce()
13190    this is to allow responders to include a nonce in a response even if
13191    the request is nonce-less.
13192
13193    *Steve Henson*
13194
13195  * Disable stdin buffering in `load_cert()` (`apps/apps.c`) so that no certs are
13196    skipped when using openssl x509 multiple times on a single input file,
13197    e.g. `(openssl x509 -out cert1; openssl x509 -out cert2) <certs`.
13198
13199    *Bodo Moeller*
13200
13201  * Make ASN1_UTCTIME_set_string() and ASN1_GENERALIZEDTIME_set_string()
13202    set string type: to handle setting ASN1_TIME structures. Fix ca
13203    utility to correctly initialize revocation date of CRLs.
13204
13205    *Steve Henson*
13206
13207  * New option SSL_OP_CIPHER_SERVER_PREFERENCE allows the server to override
13208    the clients preferred ciphersuites and rather use its own preferences.
13209    Should help to work around M$ SGC (Server Gated Cryptography) bug in
13210    Internet Explorer by ensuring unchanged hash method during stepup.
13211    (Also replaces the broken/deactivated SSL_OP_NON_EXPORT_FIRST option.)
13212
13213    *Lutz Jaenicke*
13214
13215  * Make mkdef.pl recognise all DECLARE_ASN1 macros, change rijndael
13216    to aes and add a new 'exist' option to print out symbols that don't
13217    appear to exist.
13218
13219    *Steve Henson*
13220
13221  * Additional options to ocsp utility to allow flags to be set and
13222    additional certificates supplied.
13223
13224    *Steve Henson*
13225
13226  * Add the option -VAfile to 'openssl ocsp', so the user can give the
13227    OCSP client a number of certificate to only verify the response
13228    signature against.
13229
13230    *Richard Levitte*
13231
13232  * Update Rijndael code to version 3.0 and change EVP AES ciphers to
13233    handle the new API. Currently only ECB, CBC modes supported. Add new
13234    AES OIDs.
13235
13236    Add TLS AES ciphersuites as described in RFC3268, "Advanced
13237    Encryption Standard (AES) Ciphersuites for Transport Layer
13238    Security (TLS)".  (In beta versions of OpenSSL 0.9.7, these were
13239    not enabled by default and were not part of the "ALL" ciphersuite
13240    alias because they were not yet official; they could be
13241    explicitly requested by specifying the "AESdraft" ciphersuite
13242    group alias.  In the final release of OpenSSL 0.9.7, the group
13243    alias is called "AES" and is part of "ALL".)
13244
13245    *Ben Laurie, Steve  Henson, Bodo Moeller*
13246
13247  * New function OCSP_copy_nonce() to copy nonce value (if present) from
13248    request to response.
13249
13250    *Steve Henson*
13251
13252  * Functions for OCSP responders. OCSP_request_onereq_count(),
13253    OCSP_request_onereq_get0(), OCSP_onereq_get0_id() and OCSP_id_get0_info()
13254    extract information from a certificate request. OCSP_response_create()
13255    creates a response and optionally adds a basic response structure.
13256    OCSP_basic_add1_status() adds a complete single response to a basic
13257    response and returns the OCSP_SINGLERESP structure just added (to allow
13258    extensions to be included for example). OCSP_basic_add1_cert() adds a
13259    certificate to a basic response and OCSP_basic_sign() signs a basic
13260    response with various flags. New helper functions ASN1_TIME_check()
13261    (checks validity of ASN1_TIME structure) and ASN1_TIME_to_generalizedtime()
13262    (converts ASN1_TIME to GeneralizedTime).
13263
13264    *Steve Henson*
13265
13266  * Various new functions. EVP_Digest() combines EVP_Digest{Init,Update,Final}()
13267    in a single operation. X509_get0_pubkey_bitstr() extracts the public_key
13268    structure from a certificate. X509_pubkey_digest() digests the public_key
13269    contents: this is used in various key identifiers.
13270
13271    *Steve Henson*
13272
13273  * Make sk_sort() tolerate a NULL argument.
13274
13275    *Steve Henson reported by Massimiliano Pala <madwolf@comune.modena.it>*
13276
13277  * New OCSP verify flag OCSP_TRUSTOTHER. When set the "other" certificates
13278    passed by the function are trusted implicitly. If any of them signed the
13279    response then it is assumed to be valid and is not verified.
13280
13281    *Steve Henson*
13282
13283  * In PKCS7_set_type() initialise content_type in PKCS7_ENC_CONTENT
13284    to data. This was previously part of the PKCS7 ASN1 code. This
13285    was causing problems with OpenSSL created PKCS#12 and PKCS#7 structures.
13286    *Steve Henson, reported by Kenneth R. Robinette
13287                               <support@securenetterm.com>*
13288
13289  * Add CRYPTO_push_info() and CRYPTO_pop_info() calls to new ASN1
13290    routines: without these tracing memory leaks is very painful.
13291    Fix leaks in PKCS12 and PKCS7 routines.
13292
13293    *Steve Henson*
13294
13295  * Make X509_time_adj() cope with the new behaviour of ASN1_TIME_new().
13296    Previously it initialised the 'type' argument to V_ASN1_UTCTIME which
13297    effectively meant GeneralizedTime would never be used. Now it
13298    is initialised to -1 but X509_time_adj() now has to check the value
13299    and use ASN1_TIME_set() if the value is not V_ASN1_UTCTIME or
13300    V_ASN1_GENERALIZEDTIME, without this it always uses GeneralizedTime.
13301    *Steve Henson, reported by Kenneth R. Robinette
13302                               <support@securenetterm.com>*
13303
13304  * Fixes to BN_to_ASN1_INTEGER when bn is zero. This would previously
13305    result in a zero length in the ASN1_INTEGER structure which was
13306    not consistent with the structure when d2i_ASN1_INTEGER() was used
13307    and would cause ASN1_INTEGER_cmp() to fail. Enhance s2i_ASN1_INTEGER()
13308    to cope with hex and negative integers. Fix bug in i2a_ASN1_INTEGER()
13309    where it did not print out a minus for negative ASN1_INTEGER.
13310
13311    *Steve Henson*
13312
13313  * Add summary printout to ocsp utility. The various functions which
13314    convert status values to strings have been renamed to:
13315    OCSP_response_status_str(), OCSP_cert_status_str() and
13316    OCSP_crl_reason_str() and are no longer static. New options
13317    to verify nonce values and to disable verification. OCSP response
13318    printout format cleaned up.
13319
13320    *Steve Henson*
13321
13322  * Add additional OCSP certificate checks. These are those specified
13323    in RFC2560. This consists of two separate checks: the CA of the
13324    certificate being checked must either be the OCSP signer certificate
13325    or the issuer of the OCSP signer certificate. In the latter case the
13326    OCSP signer certificate must contain the OCSP signing extended key
13327    usage. This check is performed by attempting to match the OCSP
13328    signer or the OCSP signer CA to the issuerNameHash and issuerKeyHash
13329    in the OCSP_CERTID structures of the response.
13330
13331    *Steve Henson*
13332
13333  * Initial OCSP certificate verification added to OCSP_basic_verify()
13334    and related routines. This uses the standard OpenSSL certificate
13335    verify routines to perform initial checks (just CA validity) and
13336    to obtain the certificate chain. Then additional checks will be
13337    performed on the chain. Currently the root CA is checked to see
13338    if it is explicitly trusted for OCSP signing. This is used to set
13339    a root CA as a global signing root: that is any certificate that
13340    chains to that CA is an acceptable OCSP signing certificate.
13341
13342    *Steve Henson*
13343
13344  * New '-extfile ...' option to 'openssl ca' for reading X.509v3
13345    extensions from a separate configuration file.
13346    As when reading extensions from the main configuration file,
13347    the '-extensions ...' option may be used for specifying the
13348    section to use.
13349
13350    *Massimiliano Pala <madwolf@comune.modena.it>*
13351
13352  * New OCSP utility. Allows OCSP requests to be generated or
13353    read. The request can be sent to a responder and the output
13354    parsed, outputted or printed in text form. Not complete yet:
13355    still needs to check the OCSP response validity.
13356
13357    *Steve Henson*
13358
13359  * New subcommands for 'openssl ca':
13360    `openssl ca -status <serial>` prints the status of the cert with
13361    the given serial number (according to the index file).
13362    `openssl ca -updatedb` updates the expiry status of certificates
13363    in the index file.
13364
13365    *Massimiliano Pala <madwolf@comune.modena.it>*
13366
13367  * New '-newreq-nodes' command option to CA.pl.  This is like
13368    '-newreq', but calls 'openssl req' with the '-nodes' option
13369    so that the resulting key is not encrypted.
13370
13371    *Damien Miller <djm@mindrot.org>*
13372
13373  * New configuration for the GNU Hurd.
13374
13375    *Jonathan Bartlett <johnnyb@wolfram.com> via Richard Levitte*
13376
13377  * Initial code to implement OCSP basic response verify. This
13378    is currently incomplete. Currently just finds the signer's
13379    certificate and verifies the signature on the response.
13380
13381    *Steve Henson*
13382
13383  * New SSLeay_version code SSLEAY_DIR to determine the compiled-in
13384    value of OPENSSLDIR.  This is available via the new '-d' option
13385    to 'openssl version', and is also included in 'openssl version -a'.
13386
13387    *Bodo Moeller*
13388
13389  * Allowing defining memory allocation callbacks that will be given
13390    file name and line number information in additional arguments
13391    (a `const char*` and an int).  The basic functionality remains, as
13392    well as the original possibility to just replace malloc(),
13393    realloc() and free() by functions that do not know about these
13394    additional arguments.  To register and find out the current
13395    settings for extended allocation functions, the following
13396    functions are provided:
13397
13398            CRYPTO_set_mem_ex_functions
13399            CRYPTO_set_locked_mem_ex_functions
13400            CRYPTO_get_mem_ex_functions
13401            CRYPTO_get_locked_mem_ex_functions
13402
13403    These work the same way as CRYPTO_set_mem_functions and friends.
13404    `CRYPTO_get_[locked_]mem_functions` now writes 0 where such an
13405    extended allocation function is enabled.
13406    Similarly, `CRYPTO_get_[locked_]mem_ex_functions` writes 0 where
13407    a conventional allocation function is enabled.
13408
13409    *Richard Levitte, Bodo Moeller*
13410
13411  * Finish off removing the remaining LHASH function pointer casts.
13412    There should no longer be any prototype-casting required when using
13413    the LHASH abstraction, and any casts that remain are "bugs". See
13414    the callback types and macros at the head of lhash.h for details
13415    (and "OBJ_cleanup" in crypto/objects/obj_dat.c as an example).
13416
13417    *Geoff Thorpe*
13418
13419  * Add automatic query of EGD sockets in RAND_poll() for the unix variant.
13420    If /dev/[u]random devices are not available or do not return enough
13421    entropy, EGD style sockets (served by EGD or PRNGD) will automatically
13422    be queried.
13423    The locations /var/run/egd-pool, /dev/egd-pool, /etc/egd-pool, and
13424    /etc/entropy will be queried once each in this sequence, querying stops
13425    when enough entropy was collected without querying more sockets.
13426
13427    *Lutz Jaenicke*
13428
13429  * Change the Unix RAND_poll() variant to be able to poll several
13430    random devices, as specified by DEVRANDOM, until a sufficient amount
13431    of data has been collected.   We spend at most 10 ms on each file
13432    (select timeout) and read in non-blocking mode.  DEVRANDOM now
13433    defaults to the list "/dev/urandom", "/dev/random", "/dev/srandom"
13434    (previously it was just the string "/dev/urandom"), so on typical
13435    platforms the 10 ms delay will never occur.
13436    Also separate out the Unix variant to its own file, rand_unix.c.
13437    For VMS, there's a currently-empty rand_vms.c.
13438
13439    *Richard Levitte*
13440
13441  * Move OCSP client related routines to ocsp_cl.c. These
13442    provide utility functions which an application needing
13443    to issue a request to an OCSP responder and analyse the
13444    response will typically need: as opposed to those which an
13445    OCSP responder itself would need which will be added later.
13446
13447    OCSP_request_sign() signs an OCSP request with an API similar
13448    to PKCS7_sign(). OCSP_response_status() returns status of OCSP
13449    response. OCSP_response_get1_basic() extracts basic response
13450    from response. OCSP_resp_find_status(): finds and extracts status
13451    information from an OCSP_CERTID structure (which will be created
13452    when the request structure is built). These are built from lower
13453    level functions which work on OCSP_SINGLERESP structures but
13454    won't normally be used unless the application wishes to examine
13455    extensions in the OCSP response for example.
13456
13457    Replace nonce routines with a pair of functions.
13458    OCSP_request_add1_nonce() adds a nonce value and optionally
13459    generates a random value. OCSP_check_nonce() checks the
13460    validity of the nonce in an OCSP response.
13461
13462    *Steve Henson*
13463
13464  * Change function OCSP_request_add() to OCSP_request_add0_id().
13465    This doesn't copy the supplied OCSP_CERTID and avoids the
13466    need to free up the newly created id. Change return type
13467    to OCSP_ONEREQ to return the internal OCSP_ONEREQ structure.
13468    This can then be used to add extensions to the request.
13469    Deleted OCSP_request_new(), since most of its functionality
13470    is now in OCSP_REQUEST_new() (and the case insensitive name
13471    clash) apart from the ability to set the request name which
13472    will be added elsewhere.
13473
13474    *Steve Henson*
13475
13476  * Update OCSP API. Remove obsolete extensions argument from
13477    various functions. Extensions are now handled using the new
13478    OCSP extension code. New simple OCSP HTTP function which
13479    can be used to send requests and parse the response.
13480
13481    *Steve Henson*
13482
13483  * Fix the PKCS#7 (S/MIME) code to work with new ASN1. Two new
13484    ASN1_ITEM structures help with sign and verify. PKCS7_ATTR_SIGN
13485    uses the special reorder version of SET OF to sort the attributes
13486    and reorder them to match the encoded order. This resolves a long
13487    standing problem: a verify on a PKCS7 structure just after signing
13488    it used to fail because the attribute order did not match the
13489    encoded order. PKCS7_ATTR_VERIFY does not reorder the attributes:
13490    it uses the received order. This is necessary to tolerate some broken
13491    software that does not order SET OF. This is handled by encoding
13492    as a SEQUENCE OF but using implicit tagging (with UNIVERSAL class)
13493    to produce the required SET OF.
13494
13495    *Steve Henson*
13496
13497  * Have mk1mf.pl generate the macros OPENSSL_BUILD_SHLIBCRYPTO and
13498    OPENSSL_BUILD_SHLIBSSL and use them appropriately in the header
13499    files to get correct declarations of the ASN.1 item variables.
13500
13501    *Richard Levitte*
13502
13503  * Rewrite of PKCS#12 code to use new ASN1 functionality. Replace many
13504    PKCS#12 macros with real functions. Fix two unrelated ASN1 bugs:
13505    asn1_check_tlen() would sometimes attempt to use 'ctx' when it was
13506    NULL and ASN1_TYPE was not dereferenced properly in asn1_ex_c2i().
13507    New ASN1 macro: DECLARE_ASN1_ITEM() which just declares the relevant
13508    ASN1_ITEM and no wrapper functions.
13509
13510    *Steve Henson*
13511
13512  * New functions or ASN1_item_d2i_fp() and ASN1_item_d2i_bio(). These
13513    replace the old function pointer based I/O routines. Change most of
13514    the `*_d2i_bio()` and `*_d2i_fp()` functions to use these.
13515
13516    *Steve Henson*
13517
13518  * Enhance mkdef.pl to be more accepting about spacing in C preprocessor
13519    lines, recognize more "algorithms" that can be deselected, and make
13520    it complain about algorithm deselection that isn't recognised.
13521
13522    *Richard Levitte*
13523
13524  * New ASN1 functions to handle dup, sign, verify, digest, pack and
13525    unpack operations in terms of ASN1_ITEM. Modify existing wrappers
13526    to use new functions. Add NO_ASN1_OLD which can be set to remove
13527    some old style ASN1 functions: this can be used to determine if old
13528    code will still work when these eventually go away.
13529
13530    *Steve Henson*
13531
13532  * New extension functions for OCSP structures, these follow the
13533    same conventions as certificates and CRLs.
13534
13535    *Steve Henson*
13536
13537  * New function X509V3_add1_i2d(). This automatically encodes and
13538    adds an extension. Its behaviour can be customised with various
13539    flags to append, replace or delete. Various wrappers added for
13540    certificates and CRLs.
13541
13542    *Steve Henson*
13543
13544  * Fix to avoid calling the underlying ASN1 print routine when
13545    an extension cannot be parsed. Correct a typo in the
13546    OCSP_SERVICELOC extension. Tidy up print OCSP format.
13547
13548    *Steve Henson*
13549
13550  * Make mkdef.pl parse some of the ASN1 macros and add appropriate
13551    entries for variables.
13552
13553    *Steve Henson*
13554
13555  * Add functionality to `apps/openssl.c` for detecting locking
13556    problems: As the program is single-threaded, all we have
13557    to do is register a locking callback using an array for
13558    storing which locks are currently held by the program.
13559
13560    *Bodo Moeller*
13561
13562  * Use a lock around the call to CRYPTO_get_ex_new_index() in
13563    SSL_get_ex_data_X509_STORE_idx(), which is used in
13564    ssl_verify_cert_chain() and thus can be called at any time
13565    during TLS/SSL handshakes so that thread-safety is essential.
13566    Unfortunately, the ex_data design is not at all suited
13567    for multi-threaded use, so it probably should be abolished.
13568
13569    *Bodo Moeller*
13570
13571  * Added Broadcom "ubsec" ENGINE to OpenSSL.
13572
13573    *Broadcom, tweaked and integrated by Geoff Thorpe*
13574
13575  * Move common extension printing code to new function
13576    X509V3_print_extensions(). Reorganise OCSP print routines and
13577    implement some needed OCSP ASN1 functions. Add OCSP extensions.
13578
13579    *Steve Henson*
13580
13581  * New function X509_signature_print() to remove duplication in some
13582    print routines.
13583
13584    *Steve Henson*
13585
13586  * Add a special meaning when SET OF and SEQUENCE OF flags are both
13587    set (this was treated exactly the same as SET OF previously). This
13588    is used to reorder the STACK representing the structure to match the
13589    encoding. This will be used to get round a problem where a PKCS7
13590    structure which was signed could not be verified because the STACK
13591    order did not reflect the encoded order.
13592
13593    *Steve Henson*
13594
13595  * Reimplement the OCSP ASN1 module using the new code.
13596
13597    *Steve Henson*
13598
13599  * Update the X509V3 code to permit the use of an ASN1_ITEM structure
13600    for its ASN1 operations. The old style function pointers still exist
13601    for now but they will eventually go away.
13602
13603    *Steve Henson*
13604
13605  * Merge in replacement ASN1 code from the ASN1 branch. This almost
13606    completely replaces the old ASN1 functionality with a table driven
13607    encoder and decoder which interprets an ASN1_ITEM structure describing
13608    the ASN1 module. Compatibility with the existing ASN1 API (i2d,d2i) is
13609    largely maintained. Almost all of the old asn1_mac.h macro based ASN1
13610    has also been converted to the new form.
13611
13612    *Steve Henson*
13613
13614  * Change BN_mod_exp_recp so that negative moduli are tolerated
13615    (the sign is ignored).  Similarly, ignore the sign in BN_MONT_CTX_set
13616    so that BN_mod_exp_mont and BN_mod_exp_mont_word work
13617    for negative moduli.
13618
13619    *Bodo Moeller*
13620
13621  * Fix BN_uadd and BN_usub: Always return non-negative results instead
13622    of not touching the result's sign bit.
13623
13624    *Bodo Moeller*
13625
13626  * BN_div bugfix: If the result is 0, the sign (res->neg) must not be
13627    set.
13628
13629    *Bodo Moeller*
13630
13631  * Changed the LHASH code to use prototypes for callbacks, and created
13632    macros to declare and implement thin (optionally static) functions
13633    that provide type-safety and avoid function pointer casting for the
13634    type-specific callbacks.
13635
13636    *Geoff Thorpe*
13637
13638  * Added Kerberos Cipher Suites to be used with TLS, as written in
13639    RFC 2712.
13640    *Veers Staats <staatsvr@asc.hpc.mil>,
13641    Jeffrey Altman <jaltman@columbia.edu>, via Richard Levitte*
13642
13643  * Reformat the FAQ so the different questions and answers can be divided
13644    in sections depending on the subject.
13645
13646    *Richard Levitte*
13647
13648  * Have the zlib compression code load ZLIB.DLL dynamically under
13649    Windows.
13650
13651    *Richard Levitte*
13652
13653  * New function BN_mod_sqrt for computing square roots modulo a prime
13654    (using the probabilistic Tonelli-Shanks algorithm unless
13655    p == 3 (mod 4)  or  p == 5 (mod 8),  which are cases that can
13656    be handled deterministically).
13657
13658    *Lenka Fibikova <fibikova@exp-math.uni-essen.de>, Bodo Moeller*
13659
13660  * Make BN_mod_inverse faster by explicitly handling small quotients
13661    in the Euclid loop. (Speed gain about 20% for small moduli [256 or
13662    512 bits], about 30% for larger ones [1024 or 2048 bits].)
13663
13664    *Bodo Moeller*
13665
13666  * New function BN_kronecker.
13667
13668    *Bodo Moeller*
13669
13670  * Fix BN_gcd so that it works on negative inputs; the result is
13671    positive unless both parameters are zero.
13672    Previously something reasonably close to an infinite loop was
13673    possible because numbers could be growing instead of shrinking
13674    in the implementation of Euclid's algorithm.
13675
13676    *Bodo Moeller*
13677
13678  * Fix BN_is_word() and BN_is_one() macros to take into account the
13679    sign of the number in question.
13680
13681    Fix BN_is_word(a,w) to work correctly for w == 0.
13682
13683    The old BN_is_word(a,w) macro is now called BN_abs_is_word(a,w)
13684    because its test if the absolute value of 'a' equals 'w'.
13685    Note that BN_abs_is_word does *not* handle w == 0 reliably;
13686    it exists mostly for use in the implementations of BN_is_zero(),
13687    BN_is_one(), and BN_is_word().
13688
13689    *Bodo Moeller*
13690
13691  * New function BN_swap.
13692
13693    *Bodo Moeller*
13694
13695  * Use BN_nnmod instead of BN_mod in crypto/bn/bn_exp.c so that
13696    the exponentiation functions are more likely to produce reasonable
13697    results on negative inputs.
13698
13699    *Bodo Moeller*
13700
13701  * Change BN_mod_mul so that the result is always non-negative.
13702    Previously, it could be negative if one of the factors was negative;
13703    I don't think anyone really wanted that behaviour.
13704
13705    *Bodo Moeller*
13706
13707  * Move `BN_mod_...` functions into new file `crypto/bn/bn_mod.c`
13708    (except for exponentiation, which stays in `crypto/bn/bn_exp.c`,
13709    and `BN_mod_mul_reciprocal`, which stays in `crypto/bn/bn_recp.c`)
13710    and add new functions:
13711
13712            BN_nnmod
13713            BN_mod_sqr
13714            BN_mod_add
13715            BN_mod_add_quick
13716            BN_mod_sub
13717            BN_mod_sub_quick
13718            BN_mod_lshift1
13719            BN_mod_lshift1_quick
13720            BN_mod_lshift
13721            BN_mod_lshift_quick
13722
13723    These functions always generate non-negative results.
13724
13725    `BN_nnmod` otherwise is `like BN_mod` (if `BN_mod` computes a remainder `r`
13726    such that `|m| < r < 0`, `BN_nnmod` will output `rem + |m|` instead).
13727
13728    `BN_mod_XXX_quick(r, a, [b,] m)` generates the same result as
13729    `BN_mod_XXX(r, a, [b,] m, ctx)`, but requires that `a` [and  `b`]
13730    be reduced modulo `m`.
13731
13732    *Lenka Fibikova <fibikova@exp-math.uni-essen.de>, Bodo Moeller*
13733
13734 <!--
13735    The following entry accidentally appeared in the CHANGES file
13736    distributed with OpenSSL 0.9.7.  The modifications described in
13737    it do *not* apply to OpenSSL 0.9.7.
13738
13739  * Remove a few calls to bn_wexpand() in BN_sqr() (the one in there
13740    was actually never needed) and in BN_mul().  The removal in BN_mul()
13741    required a small change in bn_mul_part_recursive() and the addition
13742    of the functions bn_cmp_part_words(), bn_sub_part_words() and
13743    bn_add_part_words(), which do the same thing as bn_cmp_words(),
13744    bn_sub_words() and bn_add_words() except they take arrays with
13745    differing sizes.
13746
13747    *Richard Levitte*
13748 -->
13749
13750  * In 'openssl passwd', verify passwords read from the terminal
13751    unless the '-salt' option is used (which usually means that
13752    verification would just waste user's time since the resulting
13753    hash is going to be compared with some given password hash)
13754    or the new '-noverify' option is used.
13755
13756    This is an incompatible change, but it does not affect
13757    non-interactive use of 'openssl passwd' (passwords on the command
13758    line, '-stdin' option, '-in ...' option) and thus should not
13759    cause any problems.
13760
13761    *Bodo Moeller*
13762
13763  * Remove all references to RSAref, since there's no more need for it.
13764
13765    *Richard Levitte*
13766
13767  * Make DSO load along a path given through an environment variable
13768    (SHLIB_PATH) with shl_load().
13769
13770    *Richard Levitte*
13771
13772  * Constify the ENGINE code as a result of BIGNUM constification.
13773    Also constify the RSA code and most things related to it.  In a
13774    few places, most notable in the depth of the ASN.1 code, ugly
13775    casts back to non-const were required (to be solved at a later
13776    time)
13777
13778    *Richard Levitte*
13779
13780  * Make it so the openssl application has all engines loaded by default.
13781
13782    *Richard Levitte*
13783
13784  * Constify the BIGNUM routines a little more.
13785
13786    *Richard Levitte*
13787
13788  * Add the following functions:
13789
13790            ENGINE_load_cswift()
13791            ENGINE_load_chil()
13792            ENGINE_load_atalla()
13793            ENGINE_load_nuron()
13794            ENGINE_load_builtin_engines()
13795
13796    That way, an application can itself choose if external engines that
13797    are built-in in OpenSSL shall ever be used or not.  The benefit is
13798    that applications won't have to be linked with libdl or other dso
13799    libraries unless it's really needed.
13800
13801    Changed 'openssl engine' to load all engines on demand.
13802    Changed the engine header files to avoid the duplication of some
13803    declarations (they differed!).
13804
13805    *Richard Levitte*
13806
13807  * 'openssl engine' can now list capabilities.
13808
13809    *Richard Levitte*
13810
13811  * Better error reporting in 'openssl engine'.
13812
13813    *Richard Levitte*
13814
13815  * Never call load_dh_param(NULL) in s_server.
13816
13817    *Bodo Moeller*
13818
13819  * Add engine application.  It can currently list engines by name and
13820    identity, and test if they are actually available.
13821
13822    *Richard Levitte*
13823
13824  * Improve RPM specification file by forcing symbolic linking and making
13825    sure the installed documentation is also owned by root.root.
13826
13827    *Damien Miller <djm@mindrot.org>*
13828
13829  * Give the OpenSSL applications more possibilities to make use of
13830    keys (public as well as private) handled by engines.
13831
13832    *Richard Levitte*
13833
13834  * Add OCSP code that comes from CertCo.
13835
13836    *Richard Levitte*
13837
13838  * Add VMS support for the Rijndael code.
13839
13840    *Richard Levitte*
13841
13842  * Added untested support for Nuron crypto accelerator.
13843
13844    *Ben Laurie*
13845
13846  * Add support for external cryptographic devices.  This code was
13847    previously distributed separately as the "engine" branch.
13848
13849    *Geoff Thorpe, Richard Levitte*
13850
13851  * Rework the filename-translation in the DSO code. It is now possible to
13852    have far greater control over how a "name" is turned into a filename
13853    depending on the operating environment and any oddities about the
13854    different shared library filenames on each system.
13855
13856    *Geoff Thorpe*
13857
13858  * Support threads on FreeBSD-elf in Configure.
13859
13860    *Richard Levitte*
13861
13862  * Fix for SHA1 assembly problem with MASM: it produces
13863    warnings about corrupt line number information when assembling
13864    with debugging information. This is caused by the overlapping
13865    of two sections.
13866
13867    *Bernd Matthes <mainbug@celocom.de>, Steve Henson*
13868
13869  * NCONF changes.
13870    NCONF_get_number() has no error checking at all.  As a replacement,
13871    NCONF_get_number_e() is defined (`_e` for "error checking") and is
13872    promoted strongly.  The old NCONF_get_number is kept around for
13873    binary backward compatibility.
13874    Make it possible for methods to load from something other than a BIO,
13875    by providing a function pointer that is given a name instead of a BIO.
13876    For example, this could be used to load configuration data from an
13877    LDAP server.
13878
13879    *Richard Levitte*
13880
13881  * Fix for non blocking accept BIOs. Added new I/O special reason
13882    BIO_RR_ACCEPT to cover this case. Previously use of accept BIOs
13883    with non blocking I/O was not possible because no retry code was
13884    implemented. Also added new SSL code SSL_WANT_ACCEPT to cover
13885    this case.
13886
13887    *Steve Henson*
13888
13889  * Added the beginnings of Rijndael support.
13890
13891    *Ben Laurie*
13892
13893  * Fix for bug in DirectoryString mask setting. Add support for
13894    X509_NAME_print_ex() in 'req' and X509_print_ex() function
13895    to allow certificate printing to more controllable, additional
13896    'certopt' option to 'x509' to allow new printing options to be
13897    set.
13898
13899    *Steve Henson*
13900
13901  * Clean old EAY MD5 hack from e_os.h.
13902
13903    *Richard Levitte*
13904
13905 ### Changes between 0.9.6l and 0.9.6m  [17 Mar 2004]
13906
13907  * Fix null-pointer assignment in do_change_cipher_spec() revealed
13908    by using the Codenomicon TLS Test Tool ([CVE-2004-0079])
13909
13910    *Joe Orton, Steve Henson*
13911
13912 ### Changes between 0.9.6k and 0.9.6l  [04 Nov 2003]
13913
13914  * Fix additional bug revealed by the NISCC test suite:
13915
13916    Stop bug triggering large recursion when presented with
13917    certain ASN.1 tags ([CVE-2003-0851])
13918
13919    *Steve Henson*
13920
13921 ### Changes between 0.9.6j and 0.9.6k  [30 Sep 2003]
13922
13923  * Fix various bugs revealed by running the NISCC test suite:
13924
13925    Stop out of bounds reads in the ASN1 code when presented with
13926    invalid tags (CVE-2003-0543 and CVE-2003-0544).
13927
13928    If verify callback ignores invalid public key errors don't try to check
13929    certificate signature with the NULL public key.
13930
13931    *Steve Henson*
13932
13933  * In ssl3_accept() (ssl/s3_srvr.c) only accept a client certificate
13934    if the server requested one: as stated in TLS 1.0 and SSL 3.0
13935    specifications.
13936
13937    *Steve Henson*
13938
13939  * In ssl3_get_client_hello() (ssl/s3_srvr.c), tolerate additional
13940    extra data after the compression methods not only for TLS 1.0
13941    but also for SSL 3.0 (as required by the specification).
13942
13943    *Bodo Moeller; problem pointed out by Matthias Loepfe*
13944
13945  * Change X509_certificate_type() to mark the key as exported/exportable
13946    when it's 512 *bits* long, not 512 bytes.
13947
13948    *Richard Levitte*
13949
13950 ### Changes between 0.9.6i and 0.9.6j  [10 Apr 2003]
13951
13952  * Countermeasure against the Klima-Pokorny-Rosa extension of
13953    Bleichbacher's attack on PKCS #1 v1.5 padding: treat
13954    a protocol version number mismatch like a decryption error
13955    in ssl3_get_client_key_exchange (ssl/s3_srvr.c).
13956
13957    *Bodo Moeller*
13958
13959  * Turn on RSA blinding by default in the default implementation
13960    to avoid a timing attack. Applications that don't want it can call
13961    RSA_blinding_off() or use the new flag RSA_FLAG_NO_BLINDING.
13962    They would be ill-advised to do so in most cases.
13963
13964    *Ben Laurie, Steve Henson, Geoff Thorpe, Bodo Moeller*
13965
13966  * Change RSA blinding code so that it works when the PRNG is not
13967    seeded (in this case, the secret RSA exponent is abused as
13968    an unpredictable seed -- if it is not unpredictable, there
13969    is no point in blinding anyway).  Make RSA blinding thread-safe
13970    by remembering the creator's thread ID in rsa->blinding and
13971    having all other threads use local one-time blinding factors
13972    (this requires more computation than sharing rsa->blinding, but
13973    avoids excessive locking; and if an RSA object is not shared
13974    between threads, blinding will still be very fast).
13975
13976    *Bodo Moeller*
13977
13978 ### Changes between 0.9.6h and 0.9.6i  [19 Feb 2003]
13979
13980  * In ssl3_get_record (ssl/s3_pkt.c), minimize information leaked
13981    via timing by performing a MAC computation even if incorrect
13982    block cipher padding has been found.  This is a countermeasure
13983    against active attacks where the attacker has to distinguish
13984    between bad padding and a MAC verification error. ([CVE-2003-0078])
13985
13986    *Bodo Moeller; problem pointed out by Brice Canvel (EPFL),
13987    Alain Hiltgen (UBS), Serge Vaudenay (EPFL), and
13988    Martin Vuagnoux (EPFL, Ilion)*
13989
13990 ### Changes between 0.9.6g and 0.9.6h  [5 Dec 2002]
13991
13992  * New function OPENSSL_cleanse(), which is used to cleanse a section of
13993    memory from its contents.  This is done with a counter that will
13994    place alternating values in each byte.  This can be used to solve
13995    two issues: 1) the removal of calls to memset() by highly optimizing
13996    compilers, and 2) cleansing with other values than 0, since those can
13997    be read through on certain media, for example a swap space on disk.
13998
13999    *Geoff Thorpe*
14000
14001  * Bugfix: client side session caching did not work with external caching,
14002    because the session->cipher setting was not restored when reloading
14003    from the external cache. This problem was masked, when
14004    SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG (part of SSL_OP_ALL) was set.
14005    (Found by Steve Haslam <steve@araqnid.ddts.net>.)
14006
14007    *Lutz Jaenicke*
14008
14009  * Fix client_certificate (ssl/s2_clnt.c): The permissible total
14010    length of the REQUEST-CERTIFICATE message is 18 .. 34, not 17 .. 33.
14011
14012    *Zeev Lieber <zeev-l@yahoo.com>*
14013
14014  * Undo an undocumented change introduced in 0.9.6e which caused
14015    repeated calls to OpenSSL_add_all_ciphers() and
14016    OpenSSL_add_all_digests() to be ignored, even after calling
14017    EVP_cleanup().
14018
14019    *Richard Levitte*
14020
14021  * Change the default configuration reader to deal with last line not
14022    being properly terminated.
14023
14024    *Richard Levitte*
14025
14026  * Change X509_NAME_cmp() so it applies the special rules on handling
14027    DN values that are of type PrintableString, as well as RDNs of type
14028    emailAddress where the value has the type ia5String.
14029
14030    *stefank@valicert.com via Richard Levitte*
14031
14032  * Add a SSL_SESS_CACHE_NO_INTERNAL_STORE flag to take over half
14033    the job SSL_SESS_CACHE_NO_INTERNAL_LOOKUP was inconsistently
14034    doing, define a new flag (SSL_SESS_CACHE_NO_INTERNAL) to be
14035    the bitwise-OR of the two for use by the majority of applications
14036    wanting this behaviour, and update the docs. The documented
14037    behaviour and actual behaviour were inconsistent and had been
14038    changing anyway, so this is more a bug-fix than a behavioural
14039    change.
14040
14041    *Geoff Thorpe, diagnosed by Nadav Har'El*
14042
14043  * Don't impose a 16-byte length minimum on session IDs in ssl/s3_clnt.c
14044    (the SSL 3.0 and TLS 1.0 specifications allow any length up to 32 bytes).
14045
14046    *Bodo Moeller*
14047
14048  * Fix initialization code race conditions in
14049            SSLv23_method(),  SSLv23_client_method(),   SSLv23_server_method(),
14050            SSLv2_method(),   SSLv2_client_method(),    SSLv2_server_method(),
14051            SSLv3_method(),   SSLv3_client_method(),    SSLv3_server_method(),
14052            TLSv1_method(),   TLSv1_client_method(),    TLSv1_server_method(),
14053            ssl2_get_cipher_by_char(),
14054            ssl3_get_cipher_by_char().
14055
14056    *Patrick McCormick <patrick@tellme.com>, Bodo Moeller*
14057
14058  * Reorder cleanup sequence in SSL_CTX_free(): only remove the ex_data after
14059    the cached sessions are flushed, as the remove_cb() might use ex_data
14060    contents. Bug found by Sam Varshavchik <mrsam@courier-mta.com>
14061    (see [openssl.org #212]).
14062
14063    *Geoff Thorpe, Lutz Jaenicke*
14064
14065  * Fix typo in OBJ_txt2obj which incorrectly passed the content
14066    length, instead of the encoding length to d2i_ASN1_OBJECT.
14067
14068    *Steve Henson*
14069
14070 ### Changes between 0.9.6f and 0.9.6g  [9 Aug 2002]
14071
14072  * [In 0.9.6g-engine release:]
14073    Fix crypto/engine/vendor_defns/cswift.h for WIN32 (use `_stdcall`).
14074
14075    *Lynn Gazis <lgazis@rainbow.com>*
14076
14077 ### Changes between 0.9.6e and 0.9.6f  [8 Aug 2002]
14078
14079  * Fix ASN1 checks. Check for overflow by comparing with LONG_MAX
14080    and get fix the header length calculation.
14081    *Florian Weimer <Weimer@CERT.Uni-Stuttgart.DE>,
14082    Alon Kantor <alonk@checkpoint.com> (and others), Steve Henson*
14083
14084  * Use proper error handling instead of 'assertions' in buffer
14085    overflow checks added in 0.9.6e.  This prevents DoS (the
14086    assertions could call abort()).
14087
14088    *Arne Ansper <arne@ats.cyber.ee>, Bodo Moeller*
14089
14090 ### Changes between 0.9.6d and 0.9.6e  [30 Jul 2002]
14091
14092  * Add various sanity checks to asn1_get_length() to reject
14093    the ASN1 length bytes if they exceed sizeof(long), will appear
14094    negative or the content length exceeds the length of the
14095    supplied buffer.
14096
14097    *Steve Henson, Adi Stav <stav@mercury.co.il>, James Yonan <jim@ntlp.com>*
14098
14099  * Fix cipher selection routines: ciphers without encryption had no flags
14100    for the cipher strength set and where therefore not handled correctly
14101    by the selection routines (PR #130).
14102
14103    *Lutz Jaenicke*
14104
14105  * Fix EVP_dsa_sha macro.
14106
14107    *Nils Larsch*
14108
14109  * New option
14110         SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS
14111    for disabling the SSL 3.0/TLS 1.0 CBC vulnerability countermeasure
14112    that was added in OpenSSL 0.9.6d.
14113
14114    As the countermeasure turned out to be incompatible with some
14115    broken SSL implementations, the new option is part of SSL_OP_ALL.
14116    SSL_OP_ALL is usually employed when compatibility with weird SSL
14117    implementations is desired (e.g. '-bugs' option to 's_client' and
14118    's_server'), so the new option is automatically set in many
14119    applications.
14120
14121    *Bodo Moeller*
14122
14123  * Changes in security patch:
14124
14125    Changes marked "(CHATS)" were sponsored by the Defense Advanced
14126    Research Projects Agency (DARPA) and Air Force Research Laboratory,
14127    Air Force Materiel Command, USAF, under agreement number
14128    F30602-01-2-0537.
14129
14130  * Add various sanity checks to asn1_get_length() to reject
14131    the ASN1 length bytes if they exceed sizeof(long), will appear
14132    negative or the content length exceeds the length of the
14133    supplied buffer. ([CVE-2002-0659])
14134
14135    *Steve Henson, Adi Stav <stav@mercury.co.il>, James Yonan <jim@ntlp.com>*
14136
14137  * Assertions for various potential buffer overflows, not known to
14138    happen in practice.
14139
14140    *Ben Laurie (CHATS)*
14141
14142  * Various temporary buffers to hold ASCII versions of integers were
14143    too small for 64 bit platforms. ([CVE-2002-0655])
14144    *Matthew Byng-Maddick <mbm@aldigital.co.uk> and Ben Laurie (CHATS)>*
14145
14146  * Remote buffer overflow in SSL3 protocol - an attacker could
14147    supply an oversized session ID to a client. ([CVE-2002-0656])
14148
14149    *Ben Laurie (CHATS)*
14150
14151  * Remote buffer overflow in SSL2 protocol - an attacker could
14152    supply an oversized client master key. ([CVE-2002-0656])
14153
14154    *Ben Laurie (CHATS)*
14155
14156 ### Changes between 0.9.6c and 0.9.6d  [9 May 2002]
14157
14158  * Fix crypto/asn1/a_sign.c so that 'parameters' is omitted (not
14159    encoded as NULL) with id-dsa-with-sha1.
14160
14161    *Nils Larsch <nla@trustcenter.de>; problem pointed out by Bodo Moeller*
14162
14163  * Check various `X509_...()` return values in `apps/req.c`.
14164
14165    *Nils Larsch <nla@trustcenter.de>*
14166
14167  * Fix BASE64 decode (EVP_DecodeUpdate) for data with CR/LF ended lines:
14168    an end-of-file condition would erroneously be flagged, when the CRLF
14169    was just at the end of a processed block. The bug was discovered when
14170    processing data through a buffering memory BIO handing the data to a
14171    BASE64-decoding BIO. Bug fund and patch submitted by Pavel Tsekov
14172    <ptsekov@syntrex.com> and Nedelcho Stanev.
14173
14174    *Lutz Jaenicke*
14175
14176  * Implement a countermeasure against a vulnerability recently found
14177    in CBC ciphersuites in SSL 3.0/TLS 1.0: Send an empty fragment
14178    before application data chunks to avoid the use of known IVs
14179    with data potentially chosen by the attacker.
14180
14181    *Bodo Moeller*
14182
14183  * Fix length checks in ssl3_get_client_hello().
14184
14185    *Bodo Moeller*
14186
14187  * TLS/SSL library bugfix: use s->s3->in_read_app_data differently
14188    to prevent ssl3_read_internal() from incorrectly assuming that
14189    ssl3_read_bytes() found application data while handshake
14190    processing was enabled when in fact s->s3->in_read_app_data was
14191    merely automatically cleared during the initial handshake.
14192
14193    *Bodo Moeller; problem pointed out by Arne Ansper <arne@ats.cyber.ee>*
14194
14195  * Fix object definitions for Private and Enterprise: they were not
14196    recognized in their shortname (=lowercase) representation. Extend
14197    obj_dat.pl to issue an error when using undefined keywords instead
14198    of silently ignoring the problem (Svenning Sorensen
14199    <sss@sss.dnsalias.net>).
14200
14201    *Lutz Jaenicke*
14202
14203  * Fix DH_generate_parameters() so that it works for 'non-standard'
14204    generators, i.e. generators other than 2 and 5.  (Previously, the
14205    code did not properly initialise the 'add' and 'rem' values to
14206    BN_generate_prime().)
14207
14208    In the new general case, we do not insist that 'generator' is
14209    actually a primitive root: This requirement is rather pointless;
14210    a generator of the order-q subgroup is just as good, if not
14211    better.
14212
14213    *Bodo Moeller*
14214
14215  * Map new X509 verification errors to alerts. Discovered and submitted by
14216    Tom Wu <tom@arcot.com>.
14217
14218    *Lutz Jaenicke*
14219
14220  * Fix ssl3_pending() (ssl/s3_lib.c) to prevent SSL_pending() from
14221    returning non-zero before the data has been completely received
14222    when using non-blocking I/O.
14223
14224    *Bodo Moeller; problem pointed out by John Hughes*
14225
14226  * Some of the ciphers missed the strength entry (SSL_LOW etc).
14227
14228    *Ben Laurie, Lutz Jaenicke*
14229
14230  * Fix bug in SSL_clear(): bad sessions were not removed (found by
14231    Yoram Zahavi <YoramZ@gilian.com>).
14232
14233    *Lutz Jaenicke*
14234
14235  * Add information about CygWin 1.3 and on, and preserve proper
14236    configuration for the versions before that.
14237
14238    *Corinna Vinschen <vinschen@redhat.com> and Richard Levitte*
14239
14240  * Make removal from session cache (SSL_CTX_remove_session()) more robust:
14241    check whether we deal with a copy of a session and do not delete from
14242    the cache in this case. Problem reported by "Izhar Shoshani Levi"
14243    <izhar@checkpoint.com>.
14244
14245    *Lutz Jaenicke*
14246
14247  * Do not store session data into the internal session cache, if it
14248    is never intended to be looked up (SSL_SESS_CACHE_NO_INTERNAL_LOOKUP
14249    flag is set). Proposed by Aslam <aslam@funk.com>.
14250
14251    *Lutz Jaenicke*
14252
14253  * Have ASN1_BIT_STRING_set_bit() really clear a bit when the requested
14254    value is 0.
14255
14256    *Richard Levitte*
14257
14258  * [In 0.9.6d-engine release:]
14259    Fix a crashbug and a logic bug in hwcrhk_load_pubkey().
14260
14261    *Toomas Kiisk <vix@cyber.ee> via Richard Levitte*
14262
14263  * Add the configuration target linux-s390x.
14264
14265    *Neale Ferguson <Neale.Ferguson@SoftwareAG-USA.com> via Richard Levitte*
14266
14267  * The earlier bugfix for the SSL3_ST_SW_HELLO_REQ_C case of
14268    ssl3_accept (ssl/s3_srvr.c) incorrectly used a local flag
14269    variable as an indication that a ClientHello message has been
14270    received.  As the flag value will be lost between multiple
14271    invocations of ssl3_accept when using non-blocking I/O, the
14272    function may not be aware that a handshake has actually taken
14273    place, thus preventing a new session from being added to the
14274    session cache.
14275
14276    To avoid this problem, we now set s->new_session to 2 instead of
14277    using a local variable.
14278
14279    *Lutz Jaenicke, Bodo Moeller*
14280
14281  * Bugfix: Return -1 from ssl3_get_server_done (ssl3/s3_clnt.c)
14282    if the SSL_R_LENGTH_MISMATCH error is detected.
14283
14284    *Geoff Thorpe, Bodo Moeller*
14285
14286  * New 'shared_ldflag' column in Configure platform table.
14287
14288    *Richard Levitte*
14289
14290  * Fix EVP_CIPHER_mode macro.
14291
14292    *"Dan S. Camper" <dan@bti.net>*
14293
14294  * Fix ssl3_read_bytes (ssl/s3_pkt.c): To ignore messages of unknown
14295    type, we must throw them away by setting rr->length to 0.
14296
14297    *D P Chang <dpc@qualys.com>*
14298
14299 ### Changes between 0.9.6b and 0.9.6c  [21 dec 2001]
14300
14301  * Fix BN_rand_range bug pointed out by Dominikus Scherkl
14302    <Dominikus.Scherkl@biodata.com>.  (The previous implementation
14303    worked incorrectly for those cases where range = `10..._2`  and
14304    `3*range`  is two bits longer than  range.)
14305
14306    *Bodo Moeller*
14307
14308  * Only add signing time to PKCS7 structures if it is not already
14309    present.
14310
14311    *Steve Henson*
14312
14313  * Fix crypto/objects/objects.h: "ld-ce" should be "id-ce",
14314    OBJ_ld_ce should be OBJ_id_ce.
14315    Also some ip-pda OIDs in crypto/objects/objects.txt were
14316    incorrect (cf. RFC 3039).
14317
14318    *Matt Cooper, Frederic Giudicelli, Bodo Moeller*
14319
14320  * Release CRYPTO_LOCK_DYNLOCK when CRYPTO_destroy_dynlockid()
14321    returns early because it has nothing to do.
14322
14323    *Andy Schneider <andy.schneider@bjss.co.uk>*
14324
14325  * [In 0.9.6c-engine release:]
14326    Fix mutex callback return values in crypto/engine/hw_ncipher.c.
14327
14328    *Andy Schneider <andy.schneider@bjss.co.uk>*
14329
14330  * [In 0.9.6c-engine release:]
14331    Add support for Cryptographic Appliance's keyserver technology.
14332    (Use engine 'keyclient')
14333
14334    *Cryptographic Appliances and Geoff Thorpe*
14335
14336  * Add a configuration entry for OS/390 Unix.  The C compiler 'c89'
14337    is called via tools/c89.sh because arguments have to be
14338    rearranged (all '-L' options must appear before the first object
14339    modules).
14340
14341    *Richard Shapiro <rshapiro@abinitio.com>*
14342
14343  * [In 0.9.6c-engine release:]
14344    Add support for Broadcom crypto accelerator cards, backported
14345    from 0.9.7.
14346
14347    *Broadcom, Nalin Dahyabhai <nalin@redhat.com>, Mark Cox*
14348
14349  * [In 0.9.6c-engine release:]
14350    Add support for SureWare crypto accelerator cards from
14351    Baltimore Technologies.  (Use engine 'sureware')
14352
14353    *Baltimore Technologies and Mark Cox*
14354
14355  * [In 0.9.6c-engine release:]
14356    Add support for crypto accelerator cards from Accelerated
14357    Encryption Processing, www.aep.ie.  (Use engine 'aep')
14358
14359    *AEP Inc. and Mark Cox*
14360
14361  * Add a configuration entry for gcc on UnixWare.
14362
14363    *Gary Benson <gbenson@redhat.com>*
14364
14365  * Change ssl/s2_clnt.c and ssl/s2_srvr.c so that received handshake
14366    messages are stored in a single piece (fixed-length part and
14367    variable-length part combined) and fix various bugs found on the way.
14368
14369    *Bodo Moeller*
14370
14371  * Disable caching in BIO_gethostbyname(), directly use gethostbyname()
14372    instead.  BIO_gethostbyname() does not know what timeouts are
14373    appropriate, so entries would stay in cache even when they have
14374    become invalid.
14375    *Bodo Moeller; problem pointed out by Rich Salz <rsalz@zolera.com>*
14376
14377  * Change ssl23_get_client_hello (ssl/s23_srvr.c) behaviour when
14378    faced with a pathologically small ClientHello fragment that does
14379    not contain client_version: Instead of aborting with an error,
14380    simply choose the highest available protocol version (i.e.,
14381    TLS 1.0 unless it is disabled).  In practice, ClientHello
14382    messages are never sent like this, but this change gives us
14383    strictly correct behaviour at least for TLS.
14384
14385    *Bodo Moeller*
14386
14387  * Fix SSL handshake functions and SSL_clear() such that SSL_clear()
14388    never resets s->method to s->ctx->method when called from within
14389    one of the SSL handshake functions.
14390
14391    *Bodo Moeller; problem pointed out by Niko Baric*
14392
14393  * In ssl3_get_client_hello (ssl/s3_srvr.c), generate a fatal alert
14394    (sent using the client's version number) if client_version is
14395    smaller than the protocol version in use.  Also change
14396    ssl23_get_client_hello (ssl/s23_srvr.c) to select TLS 1.0 if
14397    the client demanded SSL 3.0 but only TLS 1.0 is enabled; then
14398    the client will at least see that alert.
14399
14400    *Bodo Moeller*
14401
14402  * Fix ssl3_get_message (ssl/s3_both.c) to handle message fragmentation
14403    correctly.
14404
14405    *Bodo Moeller*
14406
14407  * Avoid infinite loop in ssl3_get_message (ssl/s3_both.c) if a
14408    client receives HelloRequest while in a handshake.
14409
14410    *Bodo Moeller; bug noticed by Andy Schneider <andy.schneider@bjss.co.uk>*
14411
14412  * Bugfix in ssl3_accept (ssl/s3_srvr.c): Case SSL3_ST_SW_HELLO_REQ_C
14413    should end in 'break', not 'goto end' which circumvents various
14414    cleanups done in state SSL_ST_OK.   But session related stuff
14415    must be disabled for SSL_ST_OK in the case that we just sent a
14416    HelloRequest.
14417
14418    Also avoid some overhead by not calling ssl_init_wbio_buffer()
14419    before just sending a HelloRequest.
14420
14421    *Bodo Moeller, Eric Rescorla <ekr@rtfm.com>*
14422
14423  * Fix ssl/s3_enc.c, ssl/t1_enc.c and ssl/s3_pkt.c so that we don't
14424    reveal whether illegal block cipher padding was found or a MAC
14425    verification error occurred.  (Neither SSLerr() codes nor alerts
14426    are directly visible to potential attackers, but the information
14427    may leak via logfiles.)
14428
14429    Similar changes are not required for the SSL 2.0 implementation
14430    because the number of padding bytes is sent in clear for SSL 2.0,
14431    and the extra bytes are just ignored.  However ssl/s2_pkt.c
14432    failed to verify that the purported number of padding bytes is in
14433    the legal range.
14434
14435    *Bodo Moeller*
14436
14437  * Add OpenUNIX-8 support including shared libraries
14438    (Boyd Lynn Gerber <gerberb@zenez.com>).
14439
14440    *Lutz Jaenicke*
14441
14442  * Improve RSA_padding_check_PKCS1_OAEP() check again to avoid
14443    'wristwatch attack' using huge encoding parameters (cf.
14444    James H. Manger's CRYPTO 2001 paper).  Note that the
14445    RSA_PKCS1_OAEP_PADDING case of RSA_private_decrypt() does not use
14446    encoding parameters and hence was not vulnerable.
14447
14448    *Bodo Moeller*
14449
14450  * BN_sqr() bug fix.
14451
14452    *Ulf Möller, reported by Jim Ellis <jim.ellis@cavium.com>*
14453
14454  * Rabin-Miller test analyses assume uniformly distributed witnesses,
14455    so use BN_pseudo_rand_range() instead of using BN_pseudo_rand()
14456    followed by modular reduction.
14457
14458    *Bodo Moeller; pointed out by Adam Young <AYoung1@NCSUS.JNJ.COM>*
14459
14460  * Add BN_pseudo_rand_range() with obvious functionality: BN_rand_range()
14461    equivalent based on BN_pseudo_rand() instead of BN_rand().
14462
14463    *Bodo Moeller*
14464
14465  * s3_srvr.c: allow sending of large client certificate lists (> 16 kB).
14466    This function was broken, as the check for a new client hello message
14467    to handle SGC did not allow these large messages.
14468    (Tracked down by "Douglas E. Engert" <deengert@anl.gov>.)
14469
14470    *Lutz Jaenicke*
14471
14472  * Add alert descriptions for TLSv1 to `SSL_alert_desc_string[_long]()`.
14473
14474    *Lutz Jaenicke*
14475
14476  * Fix buggy behaviour of BIO_get_num_renegotiates() and BIO_ctrl()
14477    for BIO_C_GET_WRITE_BUF_SIZE ("Stephen Hinton" <shinton@netopia.com>).
14478
14479    *Lutz Jaenicke*
14480
14481  * Rework the configuration and shared library support for Tru64 Unix.
14482    The configuration part makes use of modern compiler features and
14483    still retains old compiler behavior for those that run older versions
14484    of the OS.  The shared library support part includes a variant that
14485    uses the RPATH feature, and is available through the special
14486    configuration target "alpha-cc-rpath", which will never be selected
14487    automatically.
14488
14489    *Tim Mooney <mooney@dogbert.cc.ndsu.NoDak.edu> via Richard Levitte*
14490
14491  * In ssl3_get_key_exchange (ssl/s3_clnt.c), call ssl3_get_message()
14492    with the same message size as in ssl3_get_certificate_request().
14493    Otherwise, if no ServerKeyExchange message occurs, CertificateRequest
14494    messages might inadvertently be reject as too long.
14495
14496    *Petr Lampa <lampa@fee.vutbr.cz>*
14497
14498  * Enhanced support for IA-64 Unix platforms (well, Linux and HP-UX).
14499
14500    *Andy Polyakov*
14501
14502  * Modified SSL library such that the verify_callback that has been set
14503    specifically for an SSL object with SSL_set_verify() is actually being
14504    used. Before the change, a verify_callback set with this function was
14505    ignored and the verify_callback() set in the SSL_CTX at the time of
14506    the call was used. New function X509_STORE_CTX_set_verify_cb() introduced
14507    to allow the necessary settings.
14508
14509    *Lutz Jaenicke*
14510
14511  * Initialize static variable in crypto/dsa/dsa_lib.c and crypto/dh/dh_lib.c
14512    explicitly to NULL, as at least on Solaris 8 this seems not always to be
14513    done automatically (in contradiction to the requirements of the C
14514    standard). This made problems when used from OpenSSH.
14515
14516    *Lutz Jaenicke*
14517
14518  * In OpenSSL 0.9.6a and 0.9.6b, crypto/dh/dh_key.c ignored
14519    dh->length and always used
14520
14521            BN_rand_range(priv_key, dh->p).
14522
14523    BN_rand_range() is not necessary for Diffie-Hellman, and this
14524    specific range makes Diffie-Hellman unnecessarily inefficient if
14525    dh->length (recommended exponent length) is much smaller than the
14526    length of dh->p.  We could use BN_rand_range() if the order of
14527    the subgroup was stored in the DH structure, but we only have
14528    dh->length.
14529
14530    So switch back to
14531
14532            BN_rand(priv_key, l, ...)
14533
14534    where 'l' is dh->length if this is defined, or BN_num_bits(dh->p)-1
14535    otherwise.
14536
14537    *Bodo Moeller*
14538
14539  * In
14540
14541            RSA_eay_public_encrypt
14542            RSA_eay_private_decrypt
14543            RSA_eay_private_encrypt (signing)
14544            RSA_eay_public_decrypt (signature verification)
14545
14546    (default implementations for RSA_public_encrypt,
14547    RSA_private_decrypt, RSA_private_encrypt, RSA_public_decrypt),
14548    always reject numbers >= n.
14549
14550    *Bodo Moeller*
14551
14552  * In crypto/rand/md_rand.c, use a new short-time lock CRYPTO_LOCK_RAND2
14553    to synchronize access to 'locking_thread'.  This is necessary on
14554    systems where access to 'locking_thread' (an 'unsigned long'
14555    variable) is not atomic.
14556
14557    *Bodo Moeller*
14558
14559  * In crypto/rand/md_rand.c, set 'locking_thread' to current thread's ID
14560    *before* setting the 'crypto_lock_rand' flag.  The previous code had
14561    a race condition if 0 is a valid thread ID.
14562
14563    *Travis Vitek <vitek@roguewave.com>*
14564
14565  * Add support for shared libraries under Irix.
14566
14567    *Albert Chin-A-Young <china@thewrittenword.com>*
14568
14569  * Add configuration option to build on Linux on both big-endian and
14570    little-endian MIPS.
14571
14572    *Ralf Baechle <ralf@uni-koblenz.de>*
14573
14574  * Add the possibility to create shared libraries on HP-UX.
14575
14576    *Richard Levitte*
14577
14578 ### Changes between 0.9.6a and 0.9.6b  [9 Jul 2001]
14579
14580  * Change ssleay_rand_bytes (crypto/rand/md_rand.c)
14581    to avoid a SSLeay/OpenSSL PRNG weakness pointed out by
14582    Markku-Juhani O. Saarinen <markku-juhani.saarinen@nokia.com>:
14583    PRNG state recovery was possible based on the output of
14584    one PRNG request appropriately sized to gain knowledge on
14585    'md' followed by enough consecutive 1-byte PRNG requests
14586    to traverse all of 'state'.
14587
14588    1. When updating 'md_local' (the current thread's copy of 'md')
14589       during PRNG output generation, hash all of the previous
14590       'md_local' value, not just the half used for PRNG output.
14591
14592    2. Make the number of bytes from 'state' included into the hash
14593       independent from the number of PRNG bytes requested.
14594
14595    The first measure alone would be sufficient to avoid
14596    Markku-Juhani's attack.  (Actually it had never occurred
14597    to me that the half of 'md_local' used for chaining was the
14598    half from which PRNG output bytes were taken -- I had always
14599    assumed that the secret half would be used.)  The second
14600    measure makes sure that additional data from 'state' is never
14601    mixed into 'md_local' in small portions; this heuristically
14602    further strengthens the PRNG.
14603
14604    *Bodo Moeller*
14605
14606  * Fix crypto/bn/asm/mips3.s.
14607
14608    *Andy Polyakov*
14609
14610  * When only the key is given to "enc", the IV is undefined. Print out
14611    an error message in this case.
14612
14613    *Lutz Jaenicke*
14614
14615  * Handle special case when X509_NAME is empty in X509 printing routines.
14616
14617    *Steve Henson*
14618
14619  * In dsa_do_verify (crypto/dsa/dsa_ossl.c), verify that r and s are
14620    positive and less than q.
14621
14622    *Bodo Moeller*
14623
14624  * Don't change `*pointer` in CRYPTO_add_lock() is add_lock_callback is
14625    used: it isn't thread safe and the add_lock_callback should handle
14626    that itself.
14627
14628    *Paul Rose <Paul.Rose@bridge.com>*
14629
14630  * Verify that incoming data obeys the block size in
14631    ssl3_enc (ssl/s3_enc.c) and tls1_enc (ssl/t1_enc.c).
14632
14633    *Bodo Moeller*
14634
14635  * Fix OAEP check.
14636
14637    *Ulf Möller, Bodo Möller*
14638
14639  * The countermeasure against Bleichbacher's attack on PKCS #1 v1.5
14640    RSA encryption was accidentally removed in s3_srvr.c in OpenSSL 0.9.5
14641    when fixing the server behaviour for backwards-compatible 'client
14642    hello' messages.  (Note that the attack is impractical against
14643    SSL 3.0 and TLS 1.0 anyway because length and version checking
14644    means that the probability of guessing a valid ciphertext is
14645    around 2^-40; see section 5 in Bleichenbacher's CRYPTO '98
14646    paper.)
14647
14648    Before 0.9.5, the countermeasure (hide the error by generating a
14649    random 'decryption result') did not work properly because
14650    ERR_clear_error() was missing, meaning that SSL_get_error() would
14651    detect the supposedly ignored error.
14652
14653    Both problems are now fixed.
14654
14655    *Bodo Moeller*
14656
14657  * In crypto/bio/bf_buff.c, increase DEFAULT_BUFFER_SIZE to 4096
14658    (previously it was 1024).
14659
14660    *Bodo Moeller*
14661
14662  * Fix for compatibility mode trust settings: ignore trust settings
14663    unless some valid trust or reject settings are present.
14664
14665    *Steve Henson*
14666
14667  * Fix for blowfish EVP: its a variable length cipher.
14668
14669    *Steve Henson*
14670
14671  * Fix various bugs related to DSA S/MIME verification. Handle missing
14672    parameters in DSA public key structures and return an error in the
14673    DSA routines if parameters are absent.
14674
14675    *Steve Henson*
14676
14677  * In versions up to 0.9.6, RAND_file_name() resorted to file ".rnd"
14678    in the current directory if neither $RANDFILE nor $HOME was set.
14679    RAND_file_name() in 0.9.6a returned NULL in this case.  This has
14680    caused some confusion to Windows users who haven't defined $HOME.
14681    Thus RAND_file_name() is changed again: e_os.h can define a
14682    DEFAULT_HOME, which will be used if $HOME is not set.
14683    For Windows, we use "C:"; on other platforms, we still require
14684    environment variables.
14685
14686  * Move 'if (!initialized) RAND_poll()' into regions protected by
14687    CRYPTO_LOCK_RAND.  This is not strictly necessary, but avoids
14688    having multiple threads call RAND_poll() concurrently.
14689
14690    *Bodo Moeller*
14691
14692  * In crypto/rand/md_rand.c, replace 'add_do_not_lock' flag by a
14693    combination of a flag and a thread ID variable.
14694    Otherwise while one thread is in ssleay_rand_bytes (which sets the
14695    flag), *other* threads can enter ssleay_add_bytes without obeying
14696    the CRYPTO_LOCK_RAND lock (and may even illegally release the lock
14697    that they do not hold after the first thread unsets add_do_not_lock).
14698
14699    *Bodo Moeller*
14700
14701  * Change bctest again: '-x' expressions are not available in all
14702    versions of 'test'.
14703
14704    *Bodo Moeller*
14705
14706 ### Changes between 0.9.6 and 0.9.6a  [5 Apr 2001]
14707
14708  * Fix a couple of memory leaks in PKCS7_dataDecode()
14709
14710    *Steve Henson, reported by Heyun Zheng <hzheng@atdsprint.com>*
14711
14712  * Change Configure and Makefiles to provide EXE_EXT, which will contain
14713    the default extension for executables, if any.  Also, make the perl
14714    scripts that use symlink() to test if it really exists and use "cp"
14715    if it doesn't.  All this made OpenSSL compilable and installable in
14716    CygWin.
14717
14718    *Richard Levitte*
14719
14720  * Fix for asn1_GetSequence() for indefinite length constructed data.
14721    If SEQUENCE is length is indefinite just set c->slen to the total
14722    amount of data available.
14723
14724    *Steve Henson, reported by shige@FreeBSD.org*
14725
14726    *This change does not apply to 0.9.7.*
14727
14728  * Change bctest to avoid here-documents inside command substitution
14729    (workaround for FreeBSD /bin/sh bug).
14730    For compatibility with Ultrix, avoid shell functions (introduced
14731    in the bctest version that searches along $PATH).
14732
14733    *Bodo Moeller*
14734
14735  * Rename 'des_encrypt' to 'des_encrypt1'.  This avoids the clashes
14736    with des_encrypt() defined on some operating systems, like Solaris
14737    and UnixWare.
14738
14739    *Richard Levitte*
14740
14741  * Check the result of RSA-CRT (see D. Boneh, R. DeMillo, R. Lipton:
14742    On the Importance of Eliminating Errors in Cryptographic
14743    Computations, J. Cryptology 14 (2001) 2, 101-119,
14744    <http://theory.stanford.edu/~dabo/papers/faults.ps.gz>).
14745
14746    *Ulf Moeller*
14747
14748  * MIPS assembler BIGNUM division bug fix.
14749
14750    *Andy Polyakov*
14751
14752  * Disabled incorrect Alpha assembler code.
14753
14754    *Richard Levitte*
14755
14756  * Fix PKCS#7 decode routines so they correctly update the length
14757    after reading an EOC for the EXPLICIT tag.
14758
14759    *Steve Henson*
14760
14761    *This change does not apply to 0.9.7.*
14762
14763  * Fix bug in PKCS#12 key generation routines. This was triggered
14764    if a 3DES key was generated with a 0 initial byte. Include
14765    PKCS12_BROKEN_KEYGEN compilation option to retain the old
14766    (but broken) behaviour.
14767
14768    *Steve Henson*
14769
14770  * Enhance bctest to search for a working bc along $PATH and print
14771    it when found.
14772
14773    *Tim Rice <tim@multitalents.net> via Richard Levitte*
14774
14775  * Fix memory leaks in err.c: free err_data string if necessary;
14776    don't write to the wrong index in ERR_set_error_data.
14777
14778    *Bodo Moeller*
14779
14780  * Implement ssl23_peek (analogous to ssl23_read), which previously
14781    did not exist.
14782
14783    *Bodo Moeller*
14784
14785  * Replace rdtsc with `_emit` statements for VC++ version 5.
14786
14787    *Jeremy Cooper <jeremy@baymoo.org>*
14788
14789  * Make it possible to reuse SSLv2 sessions.
14790
14791    *Richard Levitte*
14792
14793  * In copy_email() check for >= 0 as a return value for
14794    X509_NAME_get_index_by_NID() since 0 is a valid index.
14795
14796    *Steve Henson reported by Massimiliano Pala <madwolf@opensca.org>*
14797
14798  * Avoid coredump with unsupported or invalid public keys by checking if
14799    X509_get_pubkey() fails in PKCS7_verify(). Fix memory leak when
14800    PKCS7_verify() fails with non detached data.
14801
14802    *Steve Henson*
14803
14804  * Don't use getenv in library functions when run as setuid/setgid.
14805    New function OPENSSL_issetugid().
14806
14807    *Ulf Moeller*
14808
14809  * Avoid false positives in memory leak detection code (crypto/mem_dbg.c)
14810    due to incorrect handling of multi-threading:
14811
14812    1. Fix timing glitch in the MemCheck_off() portion of CRYPTO_mem_ctrl().
14813
14814    2. Fix logical glitch in is_MemCheck_on() aka CRYPTO_is_mem_check_on().
14815
14816    3. Count how many times MemCheck_off() has been called so that
14817       nested use can be treated correctly.  This also avoids
14818       inband-signalling in the previous code (which relied on the
14819       assumption that thread ID 0 is impossible).
14820
14821    *Bodo Moeller*
14822
14823  * Add "-rand" option also to s_client and s_server.
14824
14825    *Lutz Jaenicke*
14826
14827  * Fix CPU detection on Irix 6.x.
14828    *Kurt Hockenbury <khockenb@stevens-tech.edu> and
14829    "Bruce W. Forsberg" <bruce.forsberg@baesystems.com>*
14830
14831  * Fix X509_NAME bug which produced incorrect encoding if X509_NAME
14832    was empty.
14833
14834    *Steve Henson*
14835
14836    *This change does not apply to 0.9.7.*
14837
14838  * Use the cached encoding of an X509_NAME structure rather than
14839    copying it. This is apparently the reason for the libsafe "errors"
14840    but the code is actually correct.
14841
14842    *Steve Henson*
14843
14844  * Add new function BN_rand_range(), and fix DSA_sign_setup() to prevent
14845    Bleichenbacher's DSA attack.
14846    Extend BN_[pseudo_]rand: As before, top=1 forces the highest two bits
14847    to be set and top=0 forces the highest bit to be set; top=-1 is new
14848    and leaves the highest bit random.
14849
14850    *Ulf Moeller, Bodo Moeller*
14851
14852  * In the `NCONF_...`-based implementations for `CONF_...` queries
14853    (crypto/conf/conf_lib.c), if the input LHASH is NULL, avoid using
14854    a temporary CONF structure with the data component set to NULL
14855    (which gives segmentation faults in lh_retrieve).
14856    Instead, use NULL for the CONF pointer in CONF_get_string and
14857    CONF_get_number (which may use environment variables) and directly
14858    return NULL from CONF_get_section.
14859
14860    *Bodo Moeller*
14861
14862  * Fix potential buffer overrun for EBCDIC.
14863
14864    *Ulf Moeller*
14865
14866  * Tolerate nonRepudiation as being valid for S/MIME signing and certSign
14867    keyUsage if basicConstraints absent for a CA.
14868
14869    *Steve Henson*
14870
14871  * Make SMIME_write_PKCS7() write mail header values with a format that
14872    is more generally accepted (no spaces before the semicolon), since
14873    some programs can't parse those values properly otherwise.  Also make
14874    sure BIO's that break lines after each write do not create invalid
14875    headers.
14876
14877    *Richard Levitte*
14878
14879  * Make the CRL encoding routines work with empty SEQUENCE OF. The
14880    macros previously used would not encode an empty SEQUENCE OF
14881    and break the signature.
14882
14883    *Steve Henson*
14884
14885    *This change does not apply to 0.9.7.*
14886
14887  * Zero the premaster secret after deriving the master secret in
14888    DH ciphersuites.
14889
14890    *Steve Henson*
14891
14892  * Add some EVP_add_digest_alias registrations (as found in
14893    OpenSSL_add_all_digests()) to SSL_library_init()
14894    aka OpenSSL_add_ssl_algorithms().  This provides improved
14895    compatibility with peers using X.509 certificates
14896    with unconventional AlgorithmIdentifier OIDs.
14897
14898    *Bodo Moeller*
14899
14900  * Fix for Irix with NO_ASM.
14901
14902    *"Bruce W. Forsberg" <bruce.forsberg@baesystems.com>*
14903
14904  * ./config script fixes.
14905
14906    *Ulf Moeller, Richard Levitte*
14907
14908  * Fix 'openssl passwd -1'.
14909
14910    *Bodo Moeller*
14911
14912  * Change PKCS12_key_gen_asc() so it can cope with non null
14913    terminated strings whose length is passed in the passlen
14914    parameter, for example from PEM callbacks. This was done
14915    by adding an extra length parameter to asc2uni().
14916
14917    *Steve Henson, reported by <oddissey@samsung.co.kr>*
14918
14919  * Fix C code generated by 'openssl dsaparam -C': If a BN_bin2bn
14920    call failed, free the DSA structure.
14921
14922    *Bodo Moeller*
14923
14924  * Fix to uni2asc() to cope with zero length Unicode strings.
14925    These are present in some PKCS#12 files.
14926
14927    *Steve Henson*
14928
14929  * Increase s2->wbuf allocation by one byte in ssl2_new (ssl/s2_lib.c).
14930    Otherwise do_ssl_write (ssl/s2_pkt.c) will write beyond buffer limits
14931    when writing a 32767 byte record.
14932
14933    *Bodo Moeller; problem reported by Eric Day <eday@concentric.net>*
14934
14935  * In `RSA_eay_public_{en,ed}crypt` and RSA_eay_mod_exp (rsa_eay.c),
14936    obtain lock CRYPTO_LOCK_RSA before setting `rsa->_method_mod_{n,p,q}`.
14937
14938    (RSA objects have a reference count access to which is protected
14939    by CRYPTO_LOCK_RSA [see rsa_lib.c, s3_srvr.c, ssl_cert.c, ssl_rsa.c],
14940    so they are meant to be shared between threads.)
14941    *Bodo Moeller, Geoff Thorpe; original patch submitted by
14942    "Reddie, Steven" <Steven.Reddie@ca.com>*
14943
14944  * Fix a deadlock in CRYPTO_mem_leaks().
14945
14946    *Bodo Moeller*
14947
14948  * Use better test patterns in bntest.
14949
14950    *Ulf Möller*
14951
14952  * rand_win.c fix for Borland C.
14953
14954    *Ulf Möller*
14955
14956  * BN_rshift bugfix for n == 0.
14957
14958    *Bodo Moeller*
14959
14960  * Add a 'bctest' script that checks for some known 'bc' bugs
14961    so that 'make test' does not abort just because 'bc' is broken.
14962
14963    *Bodo Moeller*
14964
14965  * Store verify_result within SSL_SESSION also for client side to
14966    avoid potential security hole. (Re-used sessions on the client side
14967    always resulted in verify_result==X509_V_OK, not using the original
14968    result of the server certificate verification.)
14969
14970    *Lutz Jaenicke*
14971
14972  * Fix ssl3_pending: If the record in s->s3->rrec is not of type
14973    SSL3_RT_APPLICATION_DATA, return 0.
14974    Similarly, change ssl2_pending to return 0 if SSL_in_init(s) is true.
14975
14976    *Bodo Moeller*
14977
14978  * Fix SSL_peek:
14979    Both ssl2_peek and ssl3_peek, which were totally broken in earlier
14980    releases, have been re-implemented by renaming the previous
14981    implementations of ssl2_read and ssl3_read to ssl2_read_internal
14982    and ssl3_read_internal, respectively, and adding 'peek' parameters
14983    to them.  The new ssl[23]_{read,peek} functions are calls to
14984    ssl[23]_read_internal with the 'peek' flag set appropriately.
14985    A 'peek' parameter has also been added to ssl3_read_bytes, which
14986    does the actual work for ssl3_read_internal.
14987
14988    *Bodo Moeller*
14989
14990  * Initialise "ex_data" member of RSA/DSA/DH structures prior to calling
14991    the method-specific "init()" handler. Also clean up ex_data after
14992    calling the method-specific "finish()" handler. Previously, this was
14993    happening the other way round.
14994
14995    *Geoff Thorpe*
14996
14997  * Increase BN_CTX_NUM (the number of BIGNUMs in a BN_CTX) to 16.
14998    The previous value, 12, was not always sufficient for BN_mod_exp().
14999
15000    *Bodo Moeller*
15001
15002  * Make sure that shared libraries get the internal name engine with
15003    the full version number and not just 0.  This should mark the
15004    shared libraries as not backward compatible.  Of course, this should
15005    be changed again when we can guarantee backward binary compatibility.
15006
15007    *Richard Levitte*
15008
15009  * Fix typo in get_cert_by_subject() in by_dir.c
15010
15011    *Jean-Marc Desperrier <jean-marc.desperrier@certplus.com>*
15012
15013  * Rework the system to generate shared libraries:
15014
15015    - Make note of the expected extension for the shared libraries and
15016      if there is a need for symbolic links from for example libcrypto.so.0
15017      to libcrypto.so.0.9.7.  There is extended info in Configure for
15018      that.
15019
15020    - Make as few rebuilds of the shared libraries as possible.
15021
15022    - Still avoid linking the OpenSSL programs with the shared libraries.
15023
15024    - When installing, install the shared libraries separately from the
15025      static ones.
15026
15027    *Richard Levitte*
15028
15029  * Fix SSL_CTX_set_read_ahead macro to actually use its argument.
15030
15031    Copy SSL_CTX's read_ahead flag to SSL object directly in SSL_new
15032    and not in SSL_clear because the latter is also used by the
15033    accept/connect functions; previously, the settings made by
15034    SSL_set_read_ahead would be lost during the handshake.
15035
15036    *Bodo Moeller; problems reported by Anders Gertz <gertz@epact.se>*
15037
15038  * Correct util/mkdef.pl to be selective about disabled algorithms.
15039    Previously, it would create entries for disabled algorithms no
15040    matter what.
15041
15042    *Richard Levitte*
15043
15044  * Added several new manual pages for SSL_* function.
15045
15046    *Lutz Jaenicke*
15047
15048 ### Changes between 0.9.5a and 0.9.6  [24 Sep 2000]
15049
15050  * In ssl23_get_client_hello, generate an error message when faced
15051    with an initial SSL 3.0/TLS record that is too small to contain the
15052    first two bytes of the ClientHello message, i.e. client_version.
15053    (Note that this is a pathologic case that probably has never happened
15054    in real life.)  The previous approach was to use the version number
15055    from the record header as a substitute; but our protocol choice
15056    should not depend on that one because it is not authenticated
15057    by the Finished messages.
15058
15059    *Bodo Moeller*
15060
15061  * More robust randomness gathering functions for Windows.
15062
15063    *Jeffrey Altman <jaltman@columbia.edu>*
15064
15065  * For compatibility reasons if the flag X509_V_FLAG_ISSUER_CHECK is
15066    not set then we don't setup the error code for issuer check errors
15067    to avoid possibly overwriting other errors which the callback does
15068    handle. If an application does set the flag then we assume it knows
15069    what it is doing and can handle the new informational codes
15070    appropriately.
15071
15072    *Steve Henson*
15073
15074  * Fix for a nasty bug in ASN1_TYPE handling. ASN1_TYPE is used for
15075    a general "ANY" type, as such it should be able to decode anything
15076    including tagged types. However it didn't check the class so it would
15077    wrongly interpret tagged types in the same way as their universal
15078    counterpart and unknown types were just rejected. Changed so that the
15079    tagged and unknown types are handled in the same way as a SEQUENCE:
15080    that is the encoding is stored intact. There is also a new type
15081    "V_ASN1_OTHER" which is used when the class is not universal, in this
15082    case we have no idea what the actual type is so we just lump them all
15083    together.
15084
15085    *Steve Henson*
15086
15087  * On VMS, stdout may very well lead to a file that is written to
15088    in a record-oriented fashion.  That means that every write() will
15089    write a separate record, which will be read separately by the
15090    programs trying to read from it.  This can be very confusing.
15091
15092    The solution is to put a BIO filter in the way that will buffer
15093    text until a linefeed is reached, and then write everything a
15094    line at a time, so every record written will be an actual line,
15095    not chunks of lines and not (usually doesn't happen, but I've
15096    seen it once) several lines in one record.  BIO_f_linebuffer() is
15097    the answer.
15098
15099    Currently, it's a VMS-only method, because that's where it has
15100    been tested well enough.
15101
15102    *Richard Levitte*
15103
15104  * Remove 'optimized' squaring variant in BN_mod_mul_montgomery,
15105    it can return incorrect results.
15106    (Note: The buggy variant was not enabled in OpenSSL 0.9.5a,
15107    but it was in 0.9.6-beta[12].)
15108
15109    *Bodo Moeller*
15110
15111  * Disable the check for content being present when verifying detached
15112    signatures in pk7_smime.c. Some versions of Netscape (wrongly)
15113    include zero length content when signing messages.
15114
15115    *Steve Henson*
15116
15117  * New BIO_shutdown_wr macro, which invokes the BIO_C_SHUTDOWN_WR
15118    BIO_ctrl (for BIO pairs).
15119
15120    *Bodo Möller*
15121
15122  * Add DSO method for VMS.
15123
15124    *Richard Levitte*
15125
15126  * Bug fix: Montgomery multiplication could produce results with the
15127    wrong sign.
15128
15129    *Ulf Möller*
15130
15131  * Add RPM specification openssl.spec and modify it to build three
15132    packages.  The default package contains applications, application
15133    documentation and run-time libraries.  The devel package contains
15134    include files, static libraries and function documentation.  The
15135    doc package contains the contents of the doc directory.  The original
15136    openssl.spec was provided by Damien Miller <djm@mindrot.org>.
15137
15138    *Richard Levitte*
15139
15140  * Add a large number of documentation files for many SSL routines.
15141
15142    *Lutz Jaenicke <Lutz.Jaenicke@aet.TU-Cottbus.DE>*
15143
15144  * Add a configuration entry for Sony News 4.
15145
15146    *NAKAJI Hiroyuki <nakaji@tutrp.tut.ac.jp>*
15147
15148  * Don't set the two most significant bits to one when generating a
15149    random number < q in the DSA library.
15150
15151    *Ulf Möller*
15152
15153  * New SSL API mode 'SSL_MODE_AUTO_RETRY'.  This disables the default
15154    behaviour that SSL_read may result in SSL_ERROR_WANT_READ (even if
15155    the underlying transport is blocking) if a handshake took place.
15156    (The default behaviour is needed by applications such as s_client
15157    and s_server that use select() to determine when to use SSL_read;
15158    but for applications that know in advance when to expect data, it
15159    just makes things more complicated.)
15160
15161    *Bodo Moeller*
15162
15163  * Add RAND_egd_bytes(), which gives control over the number of bytes read
15164    from EGD.
15165
15166    *Ben Laurie*
15167
15168  * Add a few more EBCDIC conditionals that make `req` and `x509`
15169    work better on such systems.
15170
15171    *Martin Kraemer <Martin.Kraemer@MchP.Siemens.De>*
15172
15173  * Add two demo programs for PKCS12_parse() and PKCS12_create().
15174    Update PKCS12_parse() so it copies the friendlyName and the
15175    keyid to the certificates aux info.
15176
15177    *Steve Henson*
15178
15179  * Fix bug in PKCS7_verify() which caused an infinite loop
15180    if there was more than one signature.
15181
15182    *Sven Uszpelkat <su@celocom.de>*
15183
15184  * Major change in util/mkdef.pl to include extra information
15185    about each symbol, as well as presenting variables as well
15186    as functions.  This change means that there's n more need
15187    to rebuild the .num files when some algorithms are excluded.
15188
15189    *Richard Levitte*
15190
15191  * Allow the verify time to be set by an application,
15192    rather than always using the current time.
15193
15194    *Steve Henson*
15195
15196  * Phase 2 verify code reorganisation. The certificate
15197    verify code now looks up an issuer certificate by a
15198    number of criteria: subject name, authority key id
15199    and key usage. It also verifies self signed certificates
15200    by the same criteria. The main comparison function is
15201    X509_check_issued() which performs these checks.
15202
15203    Lot of changes were necessary in order to support this
15204    without completely rewriting the lookup code.
15205
15206    Authority and subject key identifier are now cached.
15207
15208    The LHASH 'certs' is X509_STORE has now been replaced
15209    by a STACK_OF(X509_OBJECT). This is mainly because an
15210    LHASH can't store or retrieve multiple objects with
15211    the same hash value.
15212
15213    As a result various functions (which were all internal
15214    use only) have changed to handle the new X509_STORE
15215    structure. This will break anything that messed round
15216    with X509_STORE internally.
15217
15218    The functions X509_STORE_add_cert() now checks for an
15219    exact match, rather than just subject name.
15220
15221    The X509_STORE API doesn't directly support the retrieval
15222    of multiple certificates matching a given criteria, however
15223    this can be worked round by performing a lookup first
15224    (which will fill the cache with candidate certificates)
15225    and then examining the cache for matches. This is probably
15226    the best we can do without throwing out X509_LOOKUP
15227    entirely (maybe later...).
15228
15229    The X509_VERIFY_CTX structure has been enhanced considerably.
15230
15231    All certificate lookup operations now go via a get_issuer()
15232    callback. Although this currently uses an X509_STORE it
15233    can be replaced by custom lookups. This is a simple way
15234    to bypass the X509_STORE hackery necessary to make this
15235    work and makes it possible to use more efficient techniques
15236    in future. A very simple version which uses a simple
15237    STACK for its trusted certificate store is also provided
15238    using X509_STORE_CTX_trusted_stack().
15239
15240    The verify_cb() and verify() callbacks now have equivalents
15241    in the X509_STORE_CTX structure.
15242
15243    X509_STORE_CTX also has a 'flags' field which can be used
15244    to customise the verify behaviour.
15245
15246    *Steve Henson*
15247
15248  * Add new PKCS#7 signing option PKCS7_NOSMIMECAP which
15249    excludes S/MIME capabilities.
15250
15251    *Steve Henson*
15252
15253  * When a certificate request is read in keep a copy of the
15254    original encoding of the signed data and use it when outputting
15255    again. Signatures then use the original encoding rather than
15256    a decoded, encoded version which may cause problems if the
15257    request is improperly encoded.
15258
15259    *Steve Henson*
15260
15261  * For consistency with other BIO_puts implementations, call
15262    buffer_write(b, ...) directly in buffer_puts instead of calling
15263    BIO_write(b, ...).
15264
15265    In BIO_puts, increment b->num_write as in BIO_write.
15266
15267    *Peter.Sylvester@EdelWeb.fr*
15268
15269  * Fix BN_mul_word for the case where the word is 0. (We have to use
15270    BN_zero, we may not return a BIGNUM with an array consisting of
15271    words set to zero.)
15272
15273    *Bodo Moeller*
15274
15275  * Avoid calling abort() from within the library when problems are
15276    detected, except if preprocessor symbols have been defined
15277    (such as REF_CHECK, BN_DEBUG etc.).
15278
15279    *Bodo Moeller*
15280
15281  * New openssl application 'rsautl'. This utility can be
15282    used for low level RSA operations. DER public key
15283    BIO/fp routines also added.
15284
15285    *Steve Henson*
15286
15287  * New Configure entry and patches for compiling on QNX 4.
15288
15289    *Andreas Schneider <andreas@ds3.etech.fh-hamburg.de>*
15290
15291  * A demo state-machine implementation was sponsored by
15292    Nuron (<http://www.nuron.com/>) and is now available in
15293    demos/state_machine.
15294
15295    *Ben Laurie*
15296
15297  * New options added to the 'dgst' utility for signature
15298    generation and verification.
15299
15300    *Steve Henson*
15301
15302  * Unrecognized PKCS#7 content types are now handled via a
15303    catch all ASN1_TYPE structure. This allows unsupported
15304    types to be stored as a "blob" and an application can
15305    encode and decode it manually.
15306
15307    *Steve Henson*
15308
15309  * Fix various signed/unsigned issues to make a_strex.c
15310    compile under VC++.
15311
15312    *Oscar Jacobsson <oscar.jacobsson@celocom.com>*
15313
15314  * ASN1 fixes. i2d_ASN1_OBJECT was not returning the correct
15315    length if passed a buffer. ASN1_INTEGER_to_BN failed
15316    if passed a NULL BN and its argument was negative.
15317
15318    *Steve Henson, pointed out by Sven Heiberg <sven@tartu.cyber.ee>*
15319
15320  * Modification to PKCS#7 encoding routines to output definite
15321    length encoding. Since currently the whole structures are in
15322    memory there's not real point in using indefinite length
15323    constructed encoding. However if OpenSSL is compiled with
15324    the flag PKCS7_INDEFINITE_ENCODING the old form is used.
15325
15326    *Steve Henson*
15327
15328  * Added BIO_vprintf() and BIO_vsnprintf().
15329
15330    *Richard Levitte*
15331
15332  * Added more prefixes to parse for in the strings written
15333    through a logging bio, to cover all the levels that are available
15334    through syslog.  The prefixes are now:
15335
15336            PANIC, EMERG, EMR       =>      LOG_EMERG
15337            ALERT, ALR              =>      LOG_ALERT
15338            CRIT, CRI               =>      LOG_CRIT
15339            ERROR, ERR              =>      LOG_ERR
15340            WARNING, WARN, WAR      =>      LOG_WARNING
15341            NOTICE, NOTE, NOT       =>      LOG_NOTICE
15342            INFO, INF               =>      LOG_INFO
15343            DEBUG, DBG              =>      LOG_DEBUG
15344
15345    and as before, if none of those prefixes are present at the
15346    beginning of the string, LOG_ERR is chosen.
15347
15348    On Win32, the `LOG_*` levels are mapped according to this:
15349
15350            LOG_EMERG, LOG_ALERT, LOG_CRIT, LOG_ERR => EVENTLOG_ERROR_TYPE
15351            LOG_WARNING                             => EVENTLOG_WARNING_TYPE
15352            LOG_NOTICE, LOG_INFO, LOG_DEBUG         => EVENTLOG_INFORMATION_TYPE
15353
15354    *Richard Levitte*
15355
15356  * Made it possible to reconfigure with just the configuration
15357    argument "reconf" or "reconfigure".  The command line arguments
15358    are stored in Makefile.ssl in the variable CONFIGURE_ARGS,
15359    and are retrieved from there when reconfiguring.
15360
15361    *Richard Levitte*
15362
15363  * MD4 implemented.
15364
15365    *Assar Westerlund <assar@sics.se>, Richard Levitte*
15366
15367  * Add the arguments -CAfile and -CApath to the pkcs12 utility.
15368
15369    *Richard Levitte*
15370
15371  * The obj_dat.pl script was messing up the sorting of object
15372    names. The reason was that it compared the quoted version
15373    of strings as a result "OCSP" > "OCSP Signing" because
15374    " > SPACE. Changed script to store unquoted versions of
15375    names and add quotes on output. It was also omitting some
15376    names from the lookup table if they were given a default
15377    value (that is if SN is missing it is given the same
15378    value as LN and vice versa), these are now added on the
15379    grounds that if an object has a name we should be able to
15380    look it up. Finally added warning output when duplicate
15381    short or long names are found.
15382
15383    *Steve Henson*
15384
15385  * Changes needed for Tandem NSK.
15386
15387    *Scott Uroff <scott@xypro.com>*
15388
15389  * Fix SSL 2.0 rollback checking: Due to an off-by-one error in
15390    RSA_padding_check_SSLv23(), special padding was never detected
15391    and thus the SSL 3.0/TLS 1.0 countermeasure against protocol
15392    version rollback attacks was not effective.
15393
15394    In s23_clnt.c, don't use special rollback-attack detection padding
15395    (RSA_SSLV23_PADDING) if SSL 2.0 is the only protocol enabled in the
15396    client; similarly, in s23_srvr.c, don't do the rollback check if
15397    SSL 2.0 is the only protocol enabled in the server.
15398
15399    *Bodo Moeller*
15400
15401  * Make it possible to get hexdumps of unprintable data with 'openssl
15402    asn1parse'.  By implication, the functions ASN1_parse_dump() and
15403    BIO_dump_indent() are added.
15404
15405    *Richard Levitte*
15406
15407  * New functions ASN1_STRING_print_ex() and X509_NAME_print_ex()
15408    these print out strings and name structures based on various
15409    flags including RFC2253 support and proper handling of
15410    multibyte characters. Added options to the 'x509' utility
15411    to allow the various flags to be set.
15412
15413    *Steve Henson*
15414
15415  * Various fixes to use ASN1_TIME instead of ASN1_UTCTIME.
15416    Also change the functions X509_cmp_current_time() and
15417    X509_gmtime_adj() work with an ASN1_TIME structure,
15418    this will enable certificates using GeneralizedTime in validity
15419    dates to be checked.
15420
15421    *Steve Henson*
15422
15423  * Make the NEG_PUBKEY_BUG code (which tolerates invalid
15424    negative public key encodings) on by default,
15425    NO_NEG_PUBKEY_BUG can be set to disable it.
15426
15427    *Steve Henson*
15428
15429  * New function c2i_ASN1_OBJECT() which acts on ASN1_OBJECT
15430    content octets. An i2c_ASN1_OBJECT is unnecessary because
15431    the encoding can be trivially obtained from the structure.
15432
15433    *Steve Henson*
15434
15435  * crypto/err.c locking bugfix: Use write locks (`CRYPTO_w_[un]lock`),
15436    not read locks (`CRYPTO_r_[un]lock`).
15437
15438    *Bodo Moeller*
15439
15440  * A first attempt at creating official support for shared
15441    libraries through configuration.  I've kept it so the
15442    default is static libraries only, and the OpenSSL programs
15443    are always statically linked for now, but there are
15444    preparations for dynamic linking in place.
15445    This has been tested on Linux and Tru64.
15446
15447    *Richard Levitte*
15448
15449  * Randomness polling function for Win9x, as described in:
15450    Peter Gutmann, Software Generation of Practically Strong
15451    Random Numbers.
15452
15453    *Ulf Möller*
15454
15455  * Fix so PRNG is seeded in req if using an already existing
15456    DSA key.
15457
15458    *Steve Henson*
15459
15460  * New options to smime application. -inform and -outform
15461    allow alternative formats for the S/MIME message including
15462    PEM and DER. The -content option allows the content to be
15463    specified separately. This should allow things like Netscape
15464    form signing output easier to verify.
15465
15466    *Steve Henson*
15467
15468  * Fix the ASN1 encoding of tags using the 'long form'.
15469
15470    *Steve Henson*
15471
15472  * New ASN1 functions, `i2c_*` and `c2i_*` for INTEGER and BIT
15473    STRING types. These convert content octets to and from the
15474    underlying type. The actual tag and length octets are
15475    already assumed to have been read in and checked. These
15476    are needed because all other string types have virtually
15477    identical handling apart from the tag. By having versions
15478    of the ASN1 functions that just operate on content octets
15479    IMPLICIT tagging can be handled properly. It also allows
15480    the ASN1_ENUMERATED code to be cut down because ASN1_ENUMERATED
15481    and ASN1_INTEGER are identical apart from the tag.
15482
15483    *Steve Henson*
15484
15485  * Change the handling of OID objects as follows:
15486
15487    - New object identifiers are inserted in objects.txt, following
15488      the syntax given in [crypto/objects/README.md](crypto/objects/README.md).
15489    - objects.pl is used to process obj_mac.num and create a new
15490      obj_mac.h.
15491    - obj_dat.pl is used to create a new obj_dat.h, using the data in
15492      obj_mac.h.
15493
15494    This is currently kind of a hack, and the perl code in objects.pl
15495    isn't very elegant, but it works as I intended.  The simplest way
15496    to check that it worked correctly is to look in obj_dat.h and
15497    check the array nid_objs and make sure the objects haven't moved
15498    around (this is important!).  Additions are OK, as well as
15499    consistent name changes.
15500
15501    *Richard Levitte*
15502
15503  * Add BSD-style MD5-based passwords to 'openssl passwd' (option '-1').
15504
15505    *Bodo Moeller*
15506
15507  * Addition of the command line parameter '-rand file' to 'openssl req'.
15508    The given file adds to whatever has already been seeded into the
15509    random pool through the RANDFILE configuration file option or
15510    environment variable, or the default random state file.
15511
15512    *Richard Levitte*
15513
15514  * mkstack.pl now sorts each macro group into lexical order.
15515    Previously the output order depended on the order the files
15516    appeared in the directory, resulting in needless rewriting
15517    of safestack.h .
15518
15519    *Steve Henson*
15520
15521  * Patches to make OpenSSL compile under Win32 again. Mostly
15522    work arounds for the VC++ problem that it treats func() as
15523    func(void). Also stripped out the parts of mkdef.pl that
15524    added extra typesafe functions: these no longer exist.
15525
15526    *Steve Henson*
15527
15528  * Reorganisation of the stack code. The macros are now all
15529    collected in safestack.h . Each macro is defined in terms of
15530    a "stack macro" of the form `SKM_<name>(type, a, b)`. The
15531    DEBUG_SAFESTACK is now handled in terms of function casts,
15532    this has the advantage of retaining type safety without the
15533    use of additional functions. If DEBUG_SAFESTACK is not defined
15534    then the non typesafe macros are used instead. Also modified the
15535    mkstack.pl script to handle the new form. Needs testing to see
15536    if which (if any) compilers it chokes and maybe make DEBUG_SAFESTACK
15537    the default if no major problems. Similar behaviour for ASN1_SET_OF
15538    and PKCS12_STACK_OF.
15539
15540    *Steve Henson*
15541
15542  * When some versions of IIS use the 'NET' form of private key the
15543    key derivation algorithm is different. Normally MD5(password) is
15544    used as a 128 bit RC4 key. In the modified case
15545    MD5(MD5(password) + "SGCKEYSALT")  is used instead. Added some
15546    new functions i2d_RSA_NET(), d2i_RSA_NET() etc which are the same
15547    as the old Netscape_RSA functions except they have an additional
15548    'sgckey' parameter which uses the modified algorithm. Also added
15549    an -sgckey command line option to the rsa utility. Thanks to
15550    Adrian Peck <bertie@ncipher.com> for posting details of the modified
15551    algorithm to openssl-dev.
15552
15553    *Steve Henson*
15554
15555  * The evp_local.h macros were using 'c.##kname' which resulted in
15556    invalid expansion on some systems (SCO 5.0.5 for example).
15557    Corrected to 'c.kname'.
15558
15559    *Phillip Porch <root@theporch.com>*
15560
15561  * New X509_get1_email() and X509_REQ_get1_email() functions that return
15562    a STACK of email addresses from a certificate or request, these look
15563    in the subject name and the subject alternative name extensions and
15564    omit any duplicate addresses.
15565
15566    *Steve Henson*
15567
15568  * Re-implement BN_mod_exp2_mont using independent (and larger) windows.
15569    This makes DSA verification about 2 % faster.
15570
15571    *Bodo Moeller*
15572
15573  * Increase maximum window size in `BN_mod_exp_...` to 6 bits instead of 5
15574    (meaning that now 2^5 values will be precomputed, which is only 4 KB
15575    plus overhead for 1024 bit moduli).
15576    This makes exponentiations about 0.5 % faster for 1024 bit
15577    exponents (as measured by "openssl speed rsa2048").
15578
15579    *Bodo Moeller*
15580
15581  * Rename memory handling macros to avoid conflicts with other
15582    software:
15583            Malloc         =>  OPENSSL_malloc
15584            Malloc_locked  =>  OPENSSL_malloc_locked
15585            Realloc        =>  OPENSSL_realloc
15586            Free           =>  OPENSSL_free
15587
15588    *Richard Levitte*
15589
15590  * New function BN_mod_exp_mont_word for small bases (roughly 15%
15591    faster than BN_mod_exp_mont, i.e. 7% for a full DH exchange).
15592
15593    *Bodo Moeller*
15594
15595  * CygWin32 support.
15596
15597    *John Jarvie <jjarvie@newsguy.com>*
15598
15599  * The type-safe stack code has been rejigged. It is now only compiled
15600    in when OpenSSL is configured with the DEBUG_SAFESTACK option and
15601    by default all type-specific stack functions are "#define"d back to
15602    standard stack functions. This results in more streamlined output
15603    but retains the type-safety checking possibilities of the original
15604    approach.
15605
15606    *Geoff Thorpe*
15607
15608  * The STACK code has been cleaned up, and certain type declarations
15609    that didn't make a lot of sense have been brought in line. This has
15610    also involved a cleanup of sorts in safestack.h to more correctly
15611    map type-safe stack functions onto their plain stack counterparts.
15612    This work has also resulted in a variety of "const"ifications of
15613    lots of the code, especially `_cmp` operations which should normally
15614    be prototyped with "const" parameters anyway.
15615
15616    *Geoff Thorpe*
15617
15618  * When generating bytes for the first time in md_rand.c, 'stir the pool'
15619    by seeding with STATE_SIZE dummy bytes (with zero entropy count).
15620    (The PRNG state consists of two parts, the large pool 'state' and 'md',
15621    where all of 'md' is used each time the PRNG is used, but 'state'
15622    is used only indexed by a cyclic counter. As entropy may not be
15623    well distributed from the beginning, 'md' is important as a
15624    chaining variable. However, the output function chains only half
15625    of 'md', i.e. 80 bits.  ssleay_rand_add, on the other hand, chains
15626    all of 'md', and seeding with STATE_SIZE dummy bytes will result
15627    in all of 'state' being rewritten, with the new values depending
15628    on virtually all of 'md'.  This overcomes the 80 bit limitation.)
15629
15630    *Bodo Moeller*
15631
15632  * In ssl/s2_clnt.c and ssl/s3_clnt.c, call ERR_clear_error() when
15633    the handshake is continued after ssl_verify_cert_chain();
15634    otherwise, if SSL_VERIFY_NONE is set, remaining error codes
15635    can lead to 'unexplainable' connection aborts later.
15636
15637    *Bodo Moeller; problem tracked down by Lutz Jaenicke*
15638
15639  * Major EVP API cipher revision.
15640    Add hooks for extra EVP features. This allows various cipher
15641    parameters to be set in the EVP interface. Support added for variable
15642    key length ciphers via the EVP_CIPHER_CTX_set_key_length() function and
15643    setting of RC2 and RC5 parameters.
15644
15645    Modify EVP_OpenInit() and EVP_SealInit() to cope with variable key length
15646    ciphers.
15647
15648    Remove lots of duplicated code from the EVP library. For example *every*
15649    cipher init() function handles the 'iv' in the same way according to the
15650    cipher mode. They also all do nothing if the 'key' parameter is NULL and
15651    for CFB and OFB modes they zero ctx->num.
15652
15653    New functionality allows removal of S/MIME code RC2 hack.
15654
15655    Most of the routines have the same form and so can be declared in terms
15656    of macros.
15657
15658    By shifting this to the top level EVP_CipherInit() it can be removed from
15659    all individual ciphers. If the cipher wants to handle IVs or keys
15660    differently it can set the EVP_CIPH_CUSTOM_IV or EVP_CIPH_ALWAYS_CALL_INIT
15661    flags.
15662
15663    Change lots of functions like EVP_EncryptUpdate() to now return a
15664    value: although software versions of the algorithms cannot fail
15665    any installed hardware versions can.
15666
15667    *Steve Henson*
15668
15669  * Implement SSL_OP_TLS_ROLLBACK_BUG: In ssl3_get_client_key_exchange, if
15670    this option is set, tolerate broken clients that send the negotiated
15671    protocol version number instead of the requested protocol version
15672    number.
15673
15674    *Bodo Moeller*
15675
15676  * Call dh_tmp_cb (set by `..._TMP_DH_CB`) with correct 'is_export' flag;
15677    i.e. non-zero for export ciphersuites, zero otherwise.
15678    Previous versions had this flag inverted, inconsistent with
15679    rsa_tmp_cb (..._TMP_RSA_CB).
15680
15681    *Bodo Moeller; problem reported by Amit Chopra*
15682
15683  * Add missing DSA library text string. Work around for some IIS
15684    key files with invalid SEQUENCE encoding.
15685
15686    *Steve Henson*
15687
15688  * Add a document (doc/standards.txt) that list all kinds of standards
15689    and so on that are implemented in OpenSSL.
15690
15691    *Richard Levitte*
15692
15693  * Enhance c_rehash script. Old version would mishandle certificates
15694    with the same subject name hash and wouldn't handle CRLs at all.
15695    Added -fingerprint option to crl utility, to support new c_rehash
15696    features.
15697
15698    *Steve Henson*
15699
15700  * Eliminate non-ANSI declarations in crypto.h and stack.h.
15701
15702    *Ulf Möller*
15703
15704  * Fix for SSL server purpose checking. Server checking was
15705    rejecting certificates which had extended key usage present
15706    but no ssl client purpose.
15707
15708    *Steve Henson, reported by Rene Grosser <grosser@hisolutions.com>*
15709
15710  * Make PKCS#12 code work with no password. The PKCS#12 spec
15711    is a little unclear about how a blank password is handled.
15712    Since the password in encoded as a BMPString with terminating
15713    double NULL a zero length password would end up as just the
15714    double NULL. However no password at all is different and is
15715    handled differently in the PKCS#12 key generation code. NS
15716    treats a blank password as zero length. MSIE treats it as no
15717    password on export: but it will try both on import. We now do
15718    the same: PKCS12_parse() tries zero length and no password if
15719    the password is set to "" or NULL (NULL is now a valid password:
15720    it wasn't before) as does the pkcs12 application.
15721
15722    *Steve Henson*
15723
15724  * Bugfixes in `apps/x509.c`: Avoid a memory leak; and don't use
15725    perror when PEM_read_bio_X509_REQ fails, the error message must
15726    be obtained from the error queue.
15727
15728    *Bodo Moeller*
15729
15730  * Avoid 'thread_hash' memory leak in crypto/err/err.c by freeing
15731    it in ERR_remove_state if appropriate, and change ERR_get_state
15732    accordingly to avoid race conditions (this is necessary because
15733    thread_hash is no longer constant once set).
15734
15735    *Bodo Moeller*
15736
15737  * Bugfix for linux-elf makefile.one.
15738
15739    *Ulf Möller*
15740
15741  * RSA_get_default_method() will now cause a default
15742    RSA_METHOD to be chosen if one doesn't exist already.
15743    Previously this was only set during a call to RSA_new()
15744    or RSA_new_method(NULL) meaning it was possible for
15745    RSA_get_default_method() to return NULL.
15746
15747    *Geoff Thorpe*
15748
15749  * Added native name translation to the existing DSO code
15750    that will convert (if the flag to do so is set) filenames
15751    that are sufficiently small and have no path information
15752    into a canonical native form. Eg. "blah" converted to
15753    "libblah.so" or "blah.dll" etc.
15754
15755    *Geoff Thorpe*
15756
15757  * New function ERR_error_string_n(e, buf, len) which is like
15758    ERR_error_string(e, buf), but writes at most 'len' bytes
15759    including the 0 terminator.  For ERR_error_string_n, 'buf'
15760    may not be NULL.
15761
15762    *Damien Miller <djm@mindrot.org>, Bodo Moeller*
15763
15764  * CONF library reworked to become more general.  A new CONF
15765    configuration file reader "class" is implemented as well as a
15766    new functions (`NCONF_*`, for "New CONF") to handle it.  The now
15767    old `CONF_*` functions are still there, but are reimplemented to
15768    work in terms of the new functions.  Also, a set of functions
15769    to handle the internal storage of the configuration data is
15770    provided to make it easier to write new configuration file
15771    reader "classes" (I can definitely see something reading a
15772    configuration file in XML format, for example), called `_CONF_*`,
15773    or "the configuration storage API"...
15774
15775    The new configuration file reading functions are:
15776
15777            NCONF_new, NCONF_free, NCONF_load, NCONF_load_fp, NCONF_load_bio,
15778            NCONF_get_section, NCONF_get_string, NCONF_get_numbre
15779
15780            NCONF_default, NCONF_WIN32
15781
15782            NCONF_dump_fp, NCONF_dump_bio
15783
15784    NCONF_default and NCONF_WIN32 are method (or "class") choosers,
15785    NCONF_new creates a new CONF object.  This works in the same way
15786    as other interfaces in OpenSSL, like the BIO interface.
15787    `NCONF_dump_*` dump the internal storage of the configuration file,
15788    which is useful for debugging.  All other functions take the same
15789    arguments as the old `CONF_*` functions with the exception of the
15790    first that must be a `CONF *` instead of a `LHASH *`.
15791
15792    To make it easier to use the new classes with the old `CONF_*` functions,
15793    the function CONF_set_default_method is provided.
15794
15795    *Richard Levitte*
15796
15797  * Add '-tls1' option to 'openssl ciphers', which was already
15798    mentioned in the documentation but had not been implemented.
15799    (This option is not yet really useful because even the additional
15800    experimental TLS 1.0 ciphers are currently treated as SSL 3.0 ciphers.)
15801
15802    *Bodo Moeller*
15803
15804  * Initial DSO code added into libcrypto for letting OpenSSL (and
15805    OpenSSL-based applications) load shared libraries and bind to
15806    them in a portable way.
15807
15808    *Geoff Thorpe, with contributions from Richard Levitte*
15809
15810 ### Changes between 0.9.5 and 0.9.5a  [1 Apr 2000]
15811
15812  * Make sure _lrotl and _lrotr are only used with MSVC.
15813
15814  * Use lock CRYPTO_LOCK_RAND correctly in ssleay_rand_status
15815    (the default implementation of RAND_status).
15816
15817  * Rename openssl x509 option '-crlext', which was added in 0.9.5,
15818    to '-clrext' (= clear extensions), as intended and documented.
15819    *Bodo Moeller; inconsistency pointed out by Michael Attili
15820    <attili@amaxo.com>*
15821
15822  * Fix for HMAC. It wasn't zeroing the rest of the block if the key length
15823    was larger than the MD block size.
15824
15825    *Steve Henson, pointed out by Yost William <YostW@tce.com>*
15826
15827  * Modernise PKCS12_parse() so it uses STACK_OF(X509) for its ca argument
15828    fix a leak when the ca argument was passed as NULL. Stop X509_PUBKEY_set()
15829    using the passed key: if the passed key was a private key the result
15830    of X509_print(), for example, would be to print out all the private key
15831    components.
15832
15833    *Steve Henson*
15834
15835  * des_quad_cksum() byte order bug fix.
15836    *Ulf Möller, using the problem description in krb4-0.9.7, where
15837    the solution is attributed to Derrick J Brashear <shadow@DEMENTIA.ORG>*
15838
15839  * Fix so V_ASN1_APP_CHOOSE works again: however its use is strongly
15840    discouraged.
15841
15842    *Steve Henson, pointed out by Brian Korver <briank@cs.stanford.edu>*
15843
15844  * For easily testing in shell scripts whether some command
15845    'openssl XXX' exists, the new pseudo-command 'openssl no-XXX'
15846    returns with exit code 0 iff no command of the given name is available.
15847    'no-XXX' is printed in this case, 'XXX' otherwise.  In both cases,
15848    the output goes to stdout and nothing is printed to stderr.
15849    Additional arguments are always ignored.
15850
15851    Since for each cipher there is a command of the same name,
15852    the 'no-cipher' compilation switches can be tested this way.
15853
15854    ('openssl no-XXX' is not able to detect pseudo-commands such
15855    as 'quit', 'list-XXX-commands', or 'no-XXX' itself.)
15856
15857    *Bodo Moeller*
15858
15859  * Update test suite so that 'make test' succeeds in 'no-rsa' configuration.
15860
15861    *Bodo Moeller*
15862
15863  * For SSL_[CTX_]set_tmp_dh, don't create a DH key if SSL_OP_SINGLE_DH_USE
15864    is set; it will be thrown away anyway because each handshake creates
15865    its own key.
15866    ssl_cert_dup, which is used by SSL_new, now copies DH keys in addition
15867    to parameters -- in previous versions (since OpenSSL 0.9.3) the
15868    'default key' from SSL_CTX_set_tmp_dh would always be lost, meaning
15869    you effectively got SSL_OP_SINGLE_DH_USE when using this macro.
15870
15871    *Bodo Moeller*
15872
15873  * New s_client option -ign_eof: EOF at stdin is ignored, and
15874    'Q' and 'R' lose their special meanings (quit/renegotiate).
15875    This is part of what -quiet does; unlike -quiet, -ign_eof
15876    does not suppress any output.
15877
15878    *Richard Levitte*
15879
15880  * Add compatibility options to the purpose and trust code. The
15881    purpose X509_PURPOSE_ANY is "any purpose" which automatically
15882    accepts a certificate or CA, this was the previous behaviour,
15883    with all the associated security issues.
15884
15885    X509_TRUST_COMPAT is the old trust behaviour: only and
15886    automatically trust self signed roots in certificate store. A
15887    new trust setting X509_TRUST_DEFAULT is used to specify that
15888    a purpose has no associated trust setting and it should instead
15889    use the value in the default purpose.
15890
15891    *Steve Henson*
15892
15893  * Fix the PKCS#8 DSA private key code so it decodes keys again
15894    and fix a memory leak.
15895
15896    *Steve Henson*
15897
15898  * In util/mkerr.pl (which implements 'make errors'), preserve
15899    reason strings from the previous version of the .c file, as
15900    the default to have only downcase letters (and digits) in
15901    automatically generated reasons codes is not always appropriate.
15902
15903    *Bodo Moeller*
15904
15905  * In ERR_load_ERR_strings(), build an ERR_LIB_SYS error reason table
15906    using strerror.  Previously, ERR_reason_error_string() returned
15907    library names as reason strings for SYSerr; but SYSerr is a special
15908    case where small numbers are errno values, not library numbers.
15909
15910    *Bodo Moeller*
15911
15912  * Add '-dsaparam' option to 'openssl dhparam' application.  This
15913    converts DSA parameters into DH parameters. (When creating parameters,
15914    DSA_generate_parameters is used.)
15915
15916    *Bodo Moeller*
15917
15918  * Include 'length' (recommended exponent length) in C code generated
15919    by 'openssl dhparam -C'.
15920
15921    *Bodo Moeller*
15922
15923  * The second argument to set_label in perlasm was already being used
15924    so couldn't be used as a "file scope" flag. Moved to third argument
15925    which was free.
15926
15927    *Steve Henson*
15928
15929  * In PEM_ASN1_write_bio and some other functions, use RAND_pseudo_bytes
15930    instead of RAND_bytes for encryption IVs and salts.
15931
15932    *Bodo Moeller*
15933
15934  * Include RAND_status() into RAND_METHOD instead of implementing
15935    it only for md_rand.c  Otherwise replacing the PRNG by calling
15936    RAND_set_rand_method would be impossible.
15937
15938    *Bodo Moeller*
15939
15940  * Don't let DSA_generate_key() enter an infinite loop if the random
15941    number generation fails.
15942
15943    *Bodo Moeller*
15944
15945  * New 'rand' application for creating pseudo-random output.
15946
15947    *Bodo Moeller*
15948
15949  * Added configuration support for Linux/IA64
15950
15951    *Rolf Haberrecker <rolf@suse.de>*
15952
15953  * Assembler module support for Mingw32.
15954
15955    *Ulf Möller*
15956
15957  * Shared library support for HPUX (in shlib/).
15958
15959    *Lutz Jaenicke <Lutz.Jaenicke@aet.TU-Cottbus.DE> and Anonymous*
15960
15961  * Shared library support for Solaris gcc.
15962
15963    *Lutz Behnke <behnke@trustcenter.de>*
15964
15965 ### Changes between 0.9.4 and 0.9.5  [28 Feb 2000]
15966
15967  * PKCS7_encrypt() was adding text MIME headers twice because they
15968    were added manually and by SMIME_crlf_copy().
15969
15970    *Steve Henson*
15971
15972  * In bntest.c don't call BN_rand with zero bits argument.
15973
15974    *Steve Henson, pointed out by Andrew W. Gray <agray@iconsinc.com>*
15975
15976  * BN_mul bugfix: In bn_mul_part_recursion() only the a>a[n] && b>b[n]
15977    case was implemented. This caused BN_div_recp() to fail occasionally.
15978
15979    *Ulf Möller*
15980
15981  * Add an optional second argument to the set_label() in the perl
15982    assembly language builder. If this argument exists and is set
15983    to 1 it signals that the assembler should use a symbol whose
15984    scope is the entire file, not just the current function. This
15985    is needed with MASM which uses the format label:: for this scope.
15986
15987    *Steve Henson, pointed out by Peter Runestig <peter@runestig.com>*
15988
15989  * Change the ASN1 types so they are typedefs by default. Before
15990    almost all types were #define'd to ASN1_STRING which was causing
15991    STACK_OF() problems: you couldn't declare STACK_OF(ASN1_UTF8STRING)
15992    for example.
15993
15994    *Steve Henson*
15995
15996  * Change names of new functions to the new get1/get0 naming
15997    convention: After 'get1', the caller owns a reference count
15998    and has to call `..._free`; 'get0' returns a pointer to some
15999    data structure without incrementing reference counters.
16000    (Some of the existing 'get' functions increment a reference
16001    counter, some don't.)
16002    Similarly, 'set1' and 'add1' functions increase reference
16003    counters or duplicate objects.
16004
16005    *Steve Henson*
16006
16007  * Allow for the possibility of temp RSA key generation failure:
16008    the code used to assume it always worked and crashed on failure.
16009
16010    *Steve Henson*
16011
16012  * Fix potential buffer overrun problem in BIO_printf().
16013    *Ulf Möller, using public domain code by Patrick Powell; problem
16014    pointed out by David Sacerdote <das33@cornell.edu>*
16015
16016  * Support EGD <http://www.lothar.com/tech/crypto/>.  New functions
16017    RAND_egd() and RAND_status().  In the command line application,
16018    the EGD socket can be specified like a seed file using RANDFILE
16019    or -rand.
16020
16021    *Ulf Möller*
16022
16023  * Allow the string CERTIFICATE to be tolerated in PKCS#7 structures.
16024    Some CAs (e.g. Verisign) distribute certificates in this form.
16025
16026    *Steve Henson*
16027
16028  * Remove the SSL_ALLOW_ADH compile option and set the default cipher
16029    list to exclude them. This means that no special compilation option
16030    is needed to use anonymous DH: it just needs to be included in the
16031    cipher list.
16032
16033    *Steve Henson*
16034
16035  * Change the EVP_MD_CTX_type macro so its meaning consistent with
16036    EVP_MD_type. The old functionality is available in a new macro called
16037    EVP_MD_md(). Change code that uses it and update docs.
16038
16039    *Steve Henson*
16040
16041  * `..._ctrl` functions now have corresponding `..._callback_ctrl` functions
16042    where the `void *` argument is replaced by a function pointer argument.
16043    Previously `void *` was abused to point to functions, which works on
16044    many platforms, but is not correct.  As these functions are usually
16045    called by macros defined in OpenSSL header files, most source code
16046    should work without changes.
16047
16048    *Richard Levitte*
16049
16050  * `<openssl/opensslconf.h>` (which is created by Configure) now contains
16051    sections with information on -D... compiler switches used for
16052    compiling the library so that applications can see them.  To enable
16053    one of these sections, a pre-processor symbol `OPENSSL_..._DEFINES`
16054    must be defined.  E.g.,
16055            #define OPENSSL_ALGORITHM_DEFINES
16056            #include <openssl/opensslconf.h>
16057    defines all pertinent `NO_<algo>` symbols, such as NO_IDEA, NO_RSA, etc.
16058
16059    *Richard Levitte, Ulf and Bodo Möller*
16060
16061  * Bugfix: Tolerate fragmentation and interleaving in the SSL 3/TLS
16062    record layer.
16063
16064    *Bodo Moeller*
16065
16066  * Change the 'other' type in certificate aux info to a STACK_OF
16067    X509_ALGOR. Although not an AlgorithmIdentifier as such it has
16068    the required ASN1 format: arbitrary types determined by an OID.
16069
16070    *Steve Henson*
16071
16072  * Add some PEM_write_X509_REQ_NEW() functions and a command line
16073    argument to 'req'. This is not because the function is newer or
16074    better than others it just uses the work 'NEW' in the certificate
16075    request header lines. Some software needs this.
16076
16077    *Steve Henson*
16078
16079  * Reorganise password command line arguments: now passwords can be
16080    obtained from various sources. Delete the PEM_cb function and make
16081    it the default behaviour: i.e. if the callback is NULL and the
16082    usrdata argument is not NULL interpret it as a null terminated pass
16083    phrase. If usrdata and the callback are NULL then the pass phrase
16084    is prompted for as usual.
16085
16086    *Steve Henson*
16087
16088  * Add support for the Compaq Atalla crypto accelerator. If it is installed,
16089    the support is automatically enabled. The resulting binaries will
16090    autodetect the card and use it if present.
16091
16092    *Ben Laurie and Compaq Inc.*
16093
16094  * Work around for Netscape hang bug. This sends certificate request
16095    and server done in one record. Since this is perfectly legal in the
16096    SSL/TLS protocol it isn't a "bug" option and is on by default. See
16097    the bugs/SSLv3 entry for more info.
16098
16099    *Steve Henson*
16100
16101  * HP-UX tune-up: new unified configs, HP C compiler bug workaround.
16102
16103    *Andy Polyakov*
16104
16105  * Add -rand argument to smime and pkcs12 applications and read/write
16106    of seed file.
16107
16108    *Steve Henson*
16109
16110  * New 'passwd' tool for crypt(3) and apr1 password hashes.
16111
16112    *Bodo Moeller*
16113
16114  * Add command line password options to the remaining applications.
16115
16116    *Steve Henson*
16117
16118  * Bug fix for BN_div_recp() for numerators with an even number of
16119    bits.
16120
16121    *Ulf Möller*
16122
16123  * More tests in bntest.c, and changed test_bn output.
16124
16125    *Ulf Möller*
16126
16127  * ./config recognizes MacOS X now.
16128
16129    *Andy Polyakov*
16130
16131  * Bug fix for BN_div() when the first words of num and divisor are
16132    equal (it gave wrong results if `(rem=(n1-q*d0)&BN_MASK2) < d0)`.
16133
16134    *Ulf Möller*
16135
16136  * Add support for various broken PKCS#8 formats, and command line
16137    options to produce them.
16138
16139    *Steve Henson*
16140
16141  * New functions BN_CTX_start(), BN_CTX_get() and BT_CTX_end() to
16142    get temporary BIGNUMs from a BN_CTX.
16143
16144    *Ulf Möller*
16145
16146  * Correct return values in BN_mod_exp_mont() and BN_mod_exp2_mont()
16147    for p == 0.
16148
16149    *Ulf Möller*
16150
16151  * Change the `SSLeay_add_all_*()` functions to `OpenSSL_add_all_*()` and
16152    include a #define from the old name to the new. The original intent
16153    was that statically linked binaries could for example just call
16154    SSLeay_add_all_ciphers() to just add ciphers to the table and not
16155    link with digests. This never worked because SSLeay_add_all_digests()
16156    and SSLeay_add_all_ciphers() were in the same source file so calling
16157    one would link with the other. They are now in separate source files.
16158
16159    *Steve Henson*
16160
16161  * Add a new -notext option to 'ca' and a -pubkey option to 'spkac'.
16162
16163    *Steve Henson*
16164
16165  * Use a less unusual form of the Miller-Rabin primality test (it used
16166    a binary algorithm for exponentiation integrated into the Miller-Rabin
16167    loop, our standard modexp algorithms are faster).
16168
16169    *Bodo Moeller*
16170
16171  * Support for the EBCDIC character set completed.
16172
16173    *Martin Kraemer <Martin.Kraemer@Mch.SNI.De>*
16174
16175  * Source code cleanups: use const where appropriate, eliminate casts,
16176    use `void *` instead of `char *` in lhash.
16177
16178    *Ulf Möller*
16179
16180  * Bugfix: ssl3_send_server_key_exchange was not restartable
16181    (the state was not changed to SSL3_ST_SW_KEY_EXCH_B, and because of
16182    this the server could overwrite ephemeral keys that the client
16183    has already seen).
16184
16185    *Bodo Moeller*
16186
16187  * Turn DSA_is_prime into a macro that calls BN_is_prime,
16188    using 50 iterations of the Rabin-Miller test.
16189
16190    DSA_generate_parameters now uses BN_is_prime_fasttest (with 50
16191    iterations of the Rabin-Miller test as required by the appendix
16192    to FIPS PUB 186[-1]) instead of DSA_is_prime.
16193    As BN_is_prime_fasttest includes trial division, DSA parameter
16194    generation becomes much faster.
16195
16196    This implies a change for the callback functions in DSA_is_prime
16197    and DSA_generate_parameters: The callback function is called once
16198    for each positive witness in the Rabin-Miller test, not just
16199    occasionally in the inner loop; and the parameters to the
16200    callback function now provide an iteration count for the outer
16201    loop rather than for the current invocation of the inner loop.
16202    DSA_generate_parameters additionally can call the callback
16203    function with an 'iteration count' of -1, meaning that a
16204    candidate has passed the trial division test (when q is generated
16205    from an application-provided seed, trial division is skipped).
16206
16207    *Bodo Moeller*
16208
16209  * New function BN_is_prime_fasttest that optionally does trial
16210    division before starting the Rabin-Miller test and has
16211    an additional BN_CTX * argument (whereas BN_is_prime always
16212    has to allocate at least one BN_CTX).
16213    'callback(1, -1, cb_arg)' is called when a number has passed the
16214    trial division stage.
16215
16216    *Bodo Moeller*
16217
16218  * Fix for bug in CRL encoding. The validity dates weren't being handled
16219    as ASN1_TIME.
16220
16221    *Steve Henson*
16222
16223  * New -pkcs12 option to CA.pl script to write out a PKCS#12 file.
16224
16225    *Steve Henson*
16226
16227  * New function BN_pseudo_rand().
16228
16229    *Ulf Möller*
16230
16231  * Clean up BN_mod_mul_montgomery(): replace the broken (and unreadable)
16232    bignum version of BN_from_montgomery() with the working code from
16233    SSLeay 0.9.0 (the word based version is faster anyway), and clean up
16234    the comments.
16235
16236    *Ulf Möller*
16237
16238  * Avoid a race condition in s2_clnt.c (function get_server_hello) that
16239    made it impossible to use the same SSL_SESSION data structure in
16240    SSL2 clients in multiple threads.
16241
16242    *Bodo Moeller*
16243
16244  * The return value of RAND_load_file() no longer counts bytes obtained
16245    by stat().  RAND_load_file(..., -1) is new and uses the complete file
16246    to seed the PRNG (previously an explicit byte count was required).
16247
16248    *Ulf Möller, Bodo Möller*
16249
16250  * Clean up CRYPTO_EX_DATA functions, some of these didn't have prototypes
16251    used `char *` instead of `void *` and had casts all over the place.
16252
16253    *Steve Henson*
16254
16255  * Make BN_generate_prime() return NULL on error if ret!=NULL.
16256
16257    *Ulf Möller*
16258
16259  * Retain source code compatibility for BN_prime_checks macro:
16260    BN_is_prime(..., BN_prime_checks, ...) now uses
16261    BN_prime_checks_for_size to determine the appropriate number of
16262    Rabin-Miller iterations.
16263
16264    *Ulf Möller*
16265
16266  * Diffie-Hellman uses "safe" primes: DH_check() return code renamed to
16267    DH_CHECK_P_NOT_SAFE_PRIME.
16268    (Check if this is true? OpenPGP calls them "strong".)
16269
16270    *Ulf Möller*
16271
16272  * Merge the functionality of "dh" and "gendh" programs into a new program
16273    "dhparam". The old programs are retained for now but will handle DH keys
16274    (instead of parameters) in future.
16275
16276    *Steve Henson*
16277
16278  * Make the ciphers, s_server and s_client programs check the return values
16279    when a new cipher list is set.
16280
16281    *Steve Henson*
16282
16283  * Enhance the SSL/TLS cipher mechanism to correctly handle the TLS 56bit
16284    ciphers. Before when the 56bit ciphers were enabled the sorting was
16285    wrong.
16286
16287    The syntax for the cipher sorting has been extended to support sorting by
16288    cipher-strength (using the strength_bits hard coded in the tables).
16289    The new command is `@STRENGTH` (see also `doc/apps/ciphers.pod`).
16290
16291    Fix a bug in the cipher-command parser: when supplying a cipher command
16292    string with an "undefined" symbol (neither command nor alphanumeric
16293    *A-Za-z0-9*, ssl_set_cipher_list used to hang in an endless loop. Now
16294    an error is flagged.
16295
16296    Due to the strength-sorting extension, the code of the
16297    ssl_create_cipher_list() function was completely rearranged. I hope that
16298    the readability was also increased :-)
16299
16300    *Lutz Jaenicke <Lutz.Jaenicke@aet.TU-Cottbus.DE>*
16301
16302  * Minor change to 'x509' utility. The -CAcreateserial option now uses 1
16303    for the first serial number and places 2 in the serial number file. This
16304    avoids problems when the root CA is created with serial number zero and
16305    the first user certificate has the same issuer name and serial number
16306    as the root CA.
16307
16308    *Steve Henson*
16309
16310  * Fixes to X509_ATTRIBUTE utilities, change the 'req' program so it uses
16311    the new code. Add documentation for this stuff.
16312
16313    *Steve Henson*
16314
16315  * Changes to X509_ATTRIBUTE utilities. These have been renamed from
16316    `X509_*()` to `X509at_*()` on the grounds that they don't handle X509
16317    structures and behave in an analogous way to the X509v3 functions:
16318    they shouldn't be called directly but wrapper functions should be used
16319    instead.
16320
16321    So we also now have some wrapper functions that call the X509at functions
16322    when passed certificate requests. (TO DO: similar things can be done with
16323    PKCS#7 signed and unsigned attributes, PKCS#12 attributes and a few other
16324    things. Some of these need some d2i or i2d and print functionality
16325    because they handle more complex structures.)
16326
16327    *Steve Henson*
16328
16329  * Add missing #ifndefs that caused missing symbols when building libssl
16330    as a shared library without RSA.  Use #ifndef NO_SSL2 instead of
16331    NO_RSA in `ssl/s2*.c`.
16332
16333    *Kris Kennaway <kris@hub.freebsd.org>, modified by Ulf Möller*
16334
16335  * Precautions against using the PRNG uninitialized: RAND_bytes() now
16336    has a return value which indicates the quality of the random data
16337    (1 = ok, 0 = not seeded).  Also an error is recorded on the thread's
16338    error queue. New function RAND_pseudo_bytes() generates output that is
16339    guaranteed to be unique but not unpredictable. RAND_add is like
16340    RAND_seed, but takes an extra argument for an entropy estimate
16341    (RAND_seed always assumes full entropy).
16342
16343    *Ulf Möller*
16344
16345  * Do more iterations of Rabin-Miller probable prime test (specifically,
16346    3 for 1024-bit primes, 6 for 512-bit primes, 12 for 256-bit primes
16347    instead of only 2 for all lengths; see BN_prime_checks_for_size definition
16348    in crypto/bn/bn_prime.c for the complete table).  This guarantees a
16349    false-positive rate of at most 2^-80 for random input.
16350
16351    *Bodo Moeller*
16352
16353  * Rewrite ssl3_read_n (ssl/s3_pkt.c) avoiding a couple of bugs.
16354
16355    *Bodo Moeller*
16356
16357  * New function X509_CTX_rget_chain() (renamed to X509_CTX_get1_chain
16358    in the 0.9.5 release), this returns the chain
16359    from an X509_CTX structure with a dup of the stack and all
16360    the X509 reference counts upped: so the stack will exist
16361    after X509_CTX_cleanup() has been called. Modify pkcs12.c
16362    to use this.
16363
16364    Also make SSL_SESSION_print() print out the verify return
16365    code.
16366
16367    *Steve Henson*
16368
16369  * Add manpage for the pkcs12 command. Also change the default
16370    behaviour so MAC iteration counts are used unless the new
16371    -nomaciter option is used. This improves file security and
16372    only older versions of MSIE (4.0 for example) need it.
16373
16374    *Steve Henson*
16375
16376  * Honor the no-xxx Configure options when creating .DEF files.
16377
16378    *Ulf Möller*
16379
16380  * Add PKCS#10 attributes to field table: challengePassword,
16381    unstructuredName and unstructuredAddress. These are taken from
16382    draft PKCS#9 v2.0 but are compatible with v1.2 provided no
16383    international characters are used.
16384
16385    More changes to X509_ATTRIBUTE code: allow the setting of types
16386    based on strings. Remove the 'loc' parameter when adding
16387    attributes because these will be a SET OF encoding which is sorted
16388    in ASN1 order.
16389
16390    *Steve Henson*
16391
16392  * Initial changes to the 'req' utility to allow request generation
16393    automation. This will allow an application to just generate a template
16394    file containing all the field values and have req construct the
16395    request.
16396
16397    Initial support for X509_ATTRIBUTE handling. Stacks of these are
16398    used all over the place including certificate requests and PKCS#7
16399    structures. They are currently handled manually where necessary with
16400    some primitive wrappers for PKCS#7. The new functions behave in a
16401    manner analogous to the X509 extension functions: they allow
16402    attributes to be looked up by NID and added.
16403
16404    Later something similar to the X509V3 code would be desirable to
16405    automatically handle the encoding, decoding and printing of the
16406    more complex types. The string types like challengePassword can
16407    be handled by the string table functions.
16408
16409    Also modified the multi byte string table handling. Now there is
16410    a 'global mask' which masks out certain types. The table itself
16411    can use the flag STABLE_NO_MASK to ignore the mask setting: this
16412    is useful when for example there is only one permissible type
16413    (as in countryName) and using the mask might result in no valid
16414    types at all.
16415
16416    *Steve Henson*
16417
16418  * Clean up 'Finished' handling, and add functions SSL_get_finished and
16419    SSL_get_peer_finished to allow applications to obtain the latest
16420    Finished messages sent to the peer or expected from the peer,
16421    respectively.  (SSL_get_peer_finished is usually the Finished message
16422    actually received from the peer, otherwise the protocol will be aborted.)
16423
16424    As the Finished message are message digests of the complete handshake
16425    (with a total of 192 bits for TLS 1.0 and more for SSL 3.0), they can
16426    be used for external authentication procedures when the authentication
16427    provided by SSL/TLS is not desired or is not enough.
16428
16429    *Bodo Moeller*
16430
16431  * Enhanced support for Alpha Linux is added. Now ./config checks if
16432    the host supports BWX extension and if Compaq C is present on the
16433    $PATH. Just exploiting of the BWX extension results in 20-30%
16434    performance kick for some algorithms, e.g. DES and RC4 to mention
16435    a couple. Compaq C in turn generates ~20% faster code for MD5 and
16436    SHA1.
16437
16438    *Andy Polyakov*
16439
16440  * Add support for MS "fast SGC". This is arguably a violation of the
16441    SSL3/TLS protocol. Netscape SGC does two handshakes: the first with
16442    weak crypto and after checking the certificate is SGC a second one
16443    with strong crypto. MS SGC stops the first handshake after receiving
16444    the server certificate message and sends a second client hello. Since
16445    a server will typically do all the time consuming operations before
16446    expecting any further messages from the client (server key exchange
16447    is the most expensive) there is little difference between the two.
16448
16449    To get OpenSSL to support MS SGC we have to permit a second client
16450    hello message after we have sent server done. In addition we have to
16451    reset the MAC if we do get this second client hello.
16452
16453    *Steve Henson*
16454
16455  * Add a function 'd2i_AutoPrivateKey()' this will automatically decide
16456    if a DER encoded private key is RSA or DSA traditional format. Changed
16457    d2i_PrivateKey_bio() to use it. This is only needed for the "traditional"
16458    format DER encoded private key. Newer code should use PKCS#8 format which
16459    has the key type encoded in the ASN1 structure. Added DER private key
16460    support to pkcs8 application.
16461
16462    *Steve Henson*
16463
16464  * SSL 3/TLS 1 servers now don't request certificates when an anonymous
16465    ciphersuites has been selected (as required by the SSL 3/TLS 1
16466    specifications).  Exception: When SSL_VERIFY_FAIL_IF_NO_PEER_CERT
16467    is set, we interpret this as a request to violate the specification
16468    (the worst that can happen is a handshake failure, and 'correct'
16469    behaviour would result in a handshake failure anyway).
16470
16471    *Bodo Moeller*
16472
16473  * In SSL_CTX_add_session, take into account that there might be multiple
16474    SSL_SESSION structures with the same session ID (e.g. when two threads
16475    concurrently obtain them from an external cache).
16476    The internal cache can handle only one SSL_SESSION with a given ID,
16477    so if there's a conflict, we now throw out the old one to achieve
16478    consistency.
16479
16480    *Bodo Moeller*
16481
16482  * Add OIDs for idea and blowfish in CBC mode. This will allow both
16483    to be used in PKCS#5 v2.0 and S/MIME.  Also add checking to
16484    some routines that use cipher OIDs: some ciphers do not have OIDs
16485    defined and so they cannot be used for S/MIME and PKCS#5 v2.0 for
16486    example.
16487
16488    *Steve Henson*
16489
16490  * Simplify the trust setting structure and code. Now we just have
16491    two sequences of OIDs for trusted and rejected settings. These will
16492    typically have values the same as the extended key usage extension
16493    and any application specific purposes.
16494
16495    The trust checking code now has a default behaviour: it will just
16496    check for an object with the same NID as the passed id. Functions can
16497    be provided to override either the default behaviour or the behaviour
16498    for a given id. SSL client, server and email already have functions
16499    in place for compatibility: they check the NID and also return "trusted"
16500    if the certificate is self signed.
16501
16502    *Steve Henson*
16503
16504  * Add d2i,i2d bio/fp functions for PrivateKey: these convert the
16505    traditional format into an EVP_PKEY structure.
16506
16507    *Steve Henson*
16508
16509  * Add a password callback function PEM_cb() which either prompts for
16510    a password if usr_data is NULL or otherwise assumes it is a null
16511    terminated password. Allow passwords to be passed on command line
16512    environment or config files in a few more utilities.
16513
16514    *Steve Henson*
16515
16516  * Add a bunch of DER and PEM functions to handle PKCS#8 format private
16517    keys. Add some short names for PKCS#8 PBE algorithms and allow them
16518    to be specified on the command line for the pkcs8 and pkcs12 utilities.
16519    Update documentation.
16520
16521    *Steve Henson*
16522
16523  * Support for ASN1 "NULL" type. This could be handled before by using
16524    ASN1_TYPE but there wasn't any function that would try to read a NULL
16525    and produce an error if it couldn't. For compatibility we also have
16526    ASN1_NULL_new() and ASN1_NULL_free() functions but these are faked and
16527    don't allocate anything because they don't need to.
16528
16529    *Steve Henson*
16530
16531  * Initial support for MacOS is now provided. Examine INSTALL.MacOS
16532    for details.
16533
16534    *Andy Polyakov, Roy Woods <roy@centicsystems.ca>*
16535
16536  * Rebuild of the memory allocation routines used by OpenSSL code and
16537    possibly others as well.  The purpose is to make an interface that
16538    provide hooks so anyone can build a separate set of allocation and
16539    deallocation routines to be used by OpenSSL, for example memory
16540    pool implementations, or something else, which was previously hard
16541    since Malloc(), Realloc() and Free() were defined as macros having
16542    the values malloc, realloc and free, respectively (except for Win32
16543    compilations).  The same is provided for memory debugging code.
16544    OpenSSL already comes with functionality to find memory leaks, but
16545    this gives people a chance to debug other memory problems.
16546
16547    With these changes, a new set of functions and macros have appeared:
16548
16549      CRYPTO_set_mem_debug_functions()         [F]
16550      CRYPTO_get_mem_debug_functions()         [F]
16551      CRYPTO_dbg_set_options()                 [F]
16552      CRYPTO_dbg_get_options()                 [F]
16553      CRYPTO_malloc_debug_init()               [M]
16554
16555    The memory debug functions are NULL by default, unless the library
16556    is compiled with CRYPTO_MDEBUG or friends is defined.  If someone
16557    wants to debug memory anyway, CRYPTO_malloc_debug_init() (which
16558    gives the standard debugging functions that come with OpenSSL) or
16559    CRYPTO_set_mem_debug_functions() (tells OpenSSL to use functions
16560    provided by the library user) must be used.  When the standard
16561    debugging functions are used, CRYPTO_dbg_set_options can be used to
16562    request additional information:
16563    CRYPTO_dbg_set_options(V_CYRPTO_MDEBUG_xxx) corresponds to setting
16564    the CRYPTO_MDEBUG_xxx macro when compiling the library.
16565
16566    Also, things like CRYPTO_set_mem_functions will always give the
16567    expected result (the new set of functions is used for allocation
16568    and deallocation) at all times, regardless of platform and compiler
16569    options.
16570
16571    To finish it up, some functions that were never use in any other
16572    way than through macros have a new API and new semantic:
16573
16574      CRYPTO_dbg_malloc()
16575      CRYPTO_dbg_realloc()
16576      CRYPTO_dbg_free()
16577
16578    All macros of value have retained their old syntax.
16579
16580    *Richard Levitte and Bodo Moeller*
16581
16582  * Some S/MIME fixes. The OID for SMIMECapabilities was wrong, the
16583    ordering of SMIMECapabilities wasn't in "strength order" and there
16584    was a missing NULL in the AlgorithmIdentifier for the SHA1 signature
16585    algorithm.
16586
16587    *Steve Henson*
16588
16589  * Some ASN1 types with illegal zero length encoding (INTEGER,
16590    ENUMERATED and OBJECT IDENTIFIER) choked the ASN1 routines.
16591
16592    *Frans Heymans <fheymans@isaserver.be>, modified by Steve Henson*
16593
16594  * Merge in my S/MIME library for OpenSSL. This provides a simple
16595    S/MIME API on top of the PKCS#7 code, a MIME parser (with enough
16596    functionality to handle multipart/signed properly) and a utility
16597    called 'smime' to call all this stuff. This is based on code I
16598    originally wrote for Celo who have kindly allowed it to be
16599    included in OpenSSL.
16600
16601    *Steve Henson*
16602
16603  * Add variants des_set_key_checked and des_set_key_unchecked of
16604    des_set_key (aka des_key_sched).  Global variable des_check_key
16605    decides which of these is called by des_set_key; this way
16606    des_check_key behaves as it always did, but applications and
16607    the library itself, which was buggy for des_check_key == 1,
16608    have a cleaner way to pick the version they need.
16609
16610    *Bodo Moeller*
16611
16612  * New function PKCS12_newpass() which changes the password of a
16613    PKCS12 structure.
16614
16615    *Steve Henson*
16616
16617  * Modify X509_TRUST and X509_PURPOSE so it also uses a static and
16618    dynamic mix. In both cases the ids can be used as an index into the
16619    table. Also modified the X509_TRUST_add() and X509_PURPOSE_add()
16620    functions so they accept a list of the field values and the
16621    application doesn't need to directly manipulate the X509_TRUST
16622    structure.
16623
16624    *Steve Henson*
16625
16626  * Modify the ASN1_STRING_TABLE stuff so it also uses bsearch and doesn't
16627    need initialising.
16628
16629    *Steve Henson*
16630
16631  * Modify the way the V3 extension code looks up extensions. This now
16632    works in a similar way to the object code: we have some "standard"
16633    extensions in a static table which is searched with OBJ_bsearch()
16634    and the application can add dynamic ones if needed. The file
16635    crypto/x509v3/ext_dat.h now has the info: this file needs to be
16636    updated whenever a new extension is added to the core code and kept
16637    in ext_nid order. There is a simple program 'tabtest.c' which checks
16638    this. New extensions are not added too often so this file can readily
16639    be maintained manually.
16640
16641    There are two big advantages in doing things this way. The extensions
16642    can be looked up immediately and no longer need to be "added" using
16643    X509V3_add_standard_extensions(): this function now does nothing.
16644    Side note: I get *lots* of email saying the extension code doesn't
16645    work because people forget to call this function.
16646    Also no dynamic allocation is done unless new extensions are added:
16647    so if we don't add custom extensions there is no need to call
16648    X509V3_EXT_cleanup().
16649
16650    *Steve Henson*
16651
16652  * Modify enc utility's salting as follows: make salting the default. Add a
16653    magic header, so unsalted files fail gracefully instead of just decrypting
16654    to garbage. This is because not salting is a big security hole, so people
16655    should be discouraged from doing it.
16656
16657    *Ben Laurie*
16658
16659  * Fixes and enhancements to the 'x509' utility. It allowed a message
16660    digest to be passed on the command line but it only used this
16661    parameter when signing a certificate. Modified so all relevant
16662    operations are affected by the digest parameter including the
16663    -fingerprint and -x509toreq options. Also -x509toreq choked if a
16664    DSA key was used because it didn't fix the digest.
16665
16666    *Steve Henson*
16667
16668  * Initial certificate chain verify code. Currently tests the untrusted
16669    certificates for consistency with the verify purpose (which is set
16670    when the X509_STORE_CTX structure is set up) and checks the pathlength.
16671
16672    There is a NO_CHAIN_VERIFY compilation option to keep the old behaviour:
16673    this is because it will reject chains with invalid extensions whereas
16674    every previous version of OpenSSL and SSLeay made no checks at all.
16675
16676    Trust code: checks the root CA for the relevant trust settings. Trust
16677    settings have an initial value consistent with the verify purpose: e.g.
16678    if the verify purpose is for SSL client use it expects the CA to be
16679    trusted for SSL client use. However the default value can be changed to
16680    permit custom trust settings: one example of this would be to only trust
16681    certificates from a specific "secure" set of CAs.
16682
16683    Also added X509_STORE_CTX_new() and X509_STORE_CTX_free() functions
16684    which should be used for version portability: especially since the
16685    verify structure is likely to change more often now.
16686
16687    SSL integration. Add purpose and trust to SSL_CTX and SSL and functions
16688    to set them. If not set then assume SSL clients will verify SSL servers
16689    and vice versa.
16690
16691    Two new options to the verify program: -untrusted allows a set of
16692    untrusted certificates to be passed in and -purpose which sets the
16693    intended purpose of the certificate. If a purpose is set then the
16694    new chain verify code is used to check extension consistency.
16695
16696    *Steve Henson*
16697
16698  * Support for the authority information access extension.
16699
16700    *Steve Henson*
16701
16702  * Modify RSA and DSA PEM read routines to transparently handle
16703    PKCS#8 format private keys. New *_PUBKEY_* functions that handle
16704    public keys in a format compatible with certificate
16705    SubjectPublicKeyInfo structures. Unfortunately there were already
16706    functions called *_PublicKey_* which used various odd formats so
16707    these are retained for compatibility: however the DSA variants were
16708    never in a public release so they have been deleted. Changed dsa/rsa
16709    utilities to handle the new format: note no releases ever handled public
16710    keys so we should be OK.
16711
16712    The primary motivation for this change is to avoid the same fiasco
16713    that dogs private keys: there are several incompatible private key
16714    formats some of which are standard and some OpenSSL specific and
16715    require various evil hacks to allow partial transparent handling and
16716    even then it doesn't work with DER formats. Given the option anything
16717    other than PKCS#8 should be dumped: but the other formats have to
16718    stay in the name of compatibility.
16719
16720    With public keys and the benefit of hindsight one standard format
16721    is used which works with EVP_PKEY, RSA or DSA structures: though
16722    it clearly returns an error if you try to read the wrong kind of key.
16723
16724    Added a -pubkey option to the 'x509' utility to output the public key.
16725    Also rename the `EVP_PKEY_get_*()` to `EVP_PKEY_rget_*()`
16726    (renamed to `EVP_PKEY_get1_*()` in the OpenSSL 0.9.5 release) and add
16727    `EVP_PKEY_rset_*()` functions (renamed to `EVP_PKEY_set1_*()`)
16728    that do the same as the `EVP_PKEY_assign_*()` except they up the
16729    reference count of the added key (they don't "swallow" the
16730    supplied key).
16731
16732    *Steve Henson*
16733
16734  * Fixes to crypto/x509/by_file.c the code to read in certificates and
16735    CRLs would fail if the file contained no certificates or no CRLs:
16736    added a new function to read in both types and return the number
16737    read: this means that if none are read it will be an error. The
16738    DER versions of the certificate and CRL reader would always fail
16739    because it isn't possible to mix certificates and CRLs in DER format
16740    without choking one or the other routine. Changed this to just read
16741    a certificate: this is the best we can do. Also modified the code
16742    in `apps/verify.c` to take notice of return codes: it was previously
16743    attempting to read in certificates from NULL pointers and ignoring
16744    any errors: this is one reason why the cert and CRL reader seemed
16745    to work. It doesn't check return codes from the default certificate
16746    routines: these may well fail if the certificates aren't installed.
16747
16748    *Steve Henson*
16749
16750  * Code to support otherName option in GeneralName.
16751
16752    *Steve Henson*
16753
16754  * First update to verify code. Change the verify utility
16755    so it warns if it is passed a self signed certificate:
16756    for consistency with the normal behaviour. X509_verify
16757    has been modified to it will now verify a self signed
16758    certificate if *exactly* the same certificate appears
16759    in the store: it was previously impossible to trust a
16760    single self signed certificate. This means that:
16761    openssl verify ss.pem
16762    now gives a warning about a self signed certificate but
16763    openssl verify -CAfile ss.pem ss.pem
16764    is OK.
16765
16766    *Steve Henson*
16767
16768  * For servers, store verify_result in SSL_SESSION data structure
16769    (and add it to external session representation).
16770    This is needed when client certificate verifications fails,
16771    but an application-provided verification callback (set by
16772    SSL_CTX_set_cert_verify_callback) allows accepting the session
16773    anyway (i.e. leaves x509_store_ctx->error != X509_V_OK
16774    but returns 1): When the session is reused, we have to set
16775    ssl->verify_result to the appropriate error code to avoid
16776    security holes.
16777
16778    *Bodo Moeller, problem pointed out by Lutz Jaenicke*
16779
16780  * Fix a bug in the new PKCS#7 code: it didn't consider the
16781    case in PKCS7_dataInit() where the signed PKCS7 structure
16782    didn't contain any existing data because it was being created.
16783
16784    *Po-Cheng Chen <pocheng@nst.com.tw>, slightly modified by Steve Henson*
16785
16786  * Add a salt to the key derivation routines in enc.c. This
16787    forms the first 8 bytes of the encrypted file. Also add a
16788    -S option to allow a salt to be input on the command line.
16789
16790    *Steve Henson*
16791
16792  * New function X509_cmp(). Oddly enough there wasn't a function
16793    to compare two certificates. We do this by working out the SHA1
16794    hash and comparing that. X509_cmp() will be needed by the trust
16795    code.
16796
16797    *Steve Henson*
16798
16799  * SSL_get1_session() is like SSL_get_session(), but increments
16800    the reference count in the SSL_SESSION returned.
16801
16802    *Geoff Thorpe <geoff@eu.c2.net>*
16803
16804  * Fix for 'req': it was adding a null to request attributes.
16805    Also change the X509_LOOKUP and X509_INFO code to handle
16806    certificate auxiliary information.
16807
16808    *Steve Henson*
16809
16810  * Add support for 40 and 64 bit RC2 and RC4 algorithms: document
16811    the 'enc' command.
16812
16813    *Steve Henson*
16814
16815  * Add the possibility to add extra information to the memory leak
16816    detecting output, to form tracebacks, showing from where each
16817    allocation was originated: CRYPTO_push_info("constant string") adds
16818    the string plus current file name and line number to a per-thread
16819    stack, CRYPTO_pop_info() does the obvious, CRYPTO_remove_all_info()
16820    is like calling CYRPTO_pop_info() until the stack is empty.
16821    Also updated memory leak detection code to be multi-thread-safe.
16822
16823    *Richard Levitte*
16824
16825  * Add options -text and -noout to pkcs7 utility and delete the
16826    encryption options which never did anything. Update docs.
16827
16828    *Steve Henson*
16829
16830  * Add options to some of the utilities to allow the pass phrase
16831    to be included on either the command line (not recommended on
16832    OSes like Unix) or read from the environment. Update the
16833    manpages and fix a few bugs.
16834
16835    *Steve Henson*
16836
16837  * Add a few manpages for some of the openssl commands.
16838
16839    *Steve Henson*
16840
16841  * Fix the -revoke option in ca. It was freeing up memory twice,
16842    leaking and not finding already revoked certificates.
16843
16844    *Steve Henson*
16845
16846  * Extensive changes to support certificate auxiliary information.
16847    This involves the use of X509_CERT_AUX structure and X509_AUX
16848    functions. An X509_AUX function such as PEM_read_X509_AUX()
16849    can still read in a certificate file in the usual way but it
16850    will also read in any additional "auxiliary information". By
16851    doing things this way a fair degree of compatibility can be
16852    retained: existing certificates can have this information added
16853    using the new 'x509' options.
16854
16855    Current auxiliary information includes an "alias" and some trust
16856    settings. The trust settings will ultimately be used in enhanced
16857    certificate chain verification routines: currently a certificate
16858    can only be trusted if it is self signed and then it is trusted
16859    for all purposes.
16860
16861    *Steve Henson*
16862
16863  * Fix assembler for Alpha (tested only on DEC OSF not Linux or `*BSD`).
16864    The problem was that one of the replacement routines had not been working
16865    since SSLeay releases.  For now the offending routine has been replaced
16866    with non-optimised assembler.  Even so, this now gives around 95%
16867    performance improvement for 1024 bit RSA signs.
16868
16869    *Mark Cox*
16870
16871  * Hack to fix PKCS#7 decryption when used with some unorthodox RC2
16872    handling. Most clients have the effective key size in bits equal to
16873    the key length in bits: so a 40 bit RC2 key uses a 40 bit (5 byte) key.
16874    A few however don't do this and instead use the size of the decrypted key
16875    to determine the RC2 key length and the AlgorithmIdentifier to determine
16876    the effective key length. In this case the effective key length can still
16877    be 40 bits but the key length can be 168 bits for example. This is fixed
16878    by manually forcing an RC2 key into the EVP_PKEY structure because the
16879    EVP code can't currently handle unusual RC2 key sizes: it always assumes
16880    the key length and effective key length are equal.
16881
16882    *Steve Henson*
16883
16884  * Add a bunch of functions that should simplify the creation of
16885    X509_NAME structures. Now you should be able to do:
16886    X509_NAME_add_entry_by_txt(nm, "CN", MBSTRING_ASC, "Steve", -1, -1, 0);
16887    and have it automatically work out the correct field type and fill in
16888    the structures. The more adventurous can try:
16889    X509_NAME_add_entry_by_txt(nm, field, MBSTRING_UTF8, str, -1, -1, 0);
16890    and it will (hopefully) work out the correct multibyte encoding.
16891
16892    *Steve Henson*
16893
16894  * Change the 'req' utility to use the new field handling and multibyte
16895    copy routines. Before the DN field creation was handled in an ad hoc
16896    way in req, ca, and x509 which was rather broken and didn't support
16897    BMPStrings or UTF8Strings. Since some software doesn't implement
16898    BMPStrings or UTF8Strings yet, they can be enabled using the config file
16899    using the dirstring_type option. See the new comment in the default
16900    openssl.cnf for more info.
16901
16902    *Steve Henson*
16903
16904  * Make crypto/rand/md_rand.c more robust:
16905    - Assure unique random numbers after fork().
16906    - Make sure that concurrent threads access the global counter and
16907      md serializably so that we never lose entropy in them
16908      or use exactly the same state in multiple threads.
16909      Access to the large state is not always serializable because
16910      the additional locking could be a performance killer, and
16911      md should be large enough anyway.
16912
16913    *Bodo Moeller*
16914
16915  * New file `apps/app_rand.c` with commonly needed functionality
16916    for handling the random seed file.
16917
16918    Use the random seed file in some applications that previously did not:
16919            ca,
16920            dsaparam -genkey (which also ignored its '-rand' option),
16921            s_client,
16922            s_server,
16923            x509 (when signing).
16924    Except on systems with /dev/urandom, it is crucial to have a random
16925    seed file at least for key creation, DSA signing, and for DH exchanges;
16926    for RSA signatures we could do without one.
16927
16928    gendh and gendsa (unlike genrsa) used to read only the first byte
16929    of each file listed in the '-rand' option.  The function as previously
16930    found in genrsa is now in app_rand.c and is used by all programs
16931    that support '-rand'.
16932
16933    *Bodo Moeller*
16934
16935  * In RAND_write_file, use mode 0600 for creating files;
16936    don't just chmod when it may be too late.
16937
16938    *Bodo Moeller*
16939
16940  * Report an error from X509_STORE_load_locations
16941    when X509_LOOKUP_load_file or X509_LOOKUP_add_dir failed.
16942
16943    *Bill Perry*
16944
16945  * New function ASN1_mbstring_copy() this copies a string in either
16946    ASCII, Unicode, Universal (4 bytes per character) or UTF8 format
16947    into an ASN1_STRING type. A mask of permissible types is passed
16948    and it chooses the "minimal" type to use or an error if not type
16949    is suitable.
16950
16951    *Steve Henson*
16952
16953  * Add function equivalents to the various macros in asn1.h. The old
16954    macros are retained with an `M_` prefix. Code inside the library can
16955    use the `M_` macros. External code (including the openssl utility)
16956    should *NOT* in order to be "shared library friendly".
16957
16958    *Steve Henson*
16959
16960  * Add various functions that can check a certificate's extensions
16961    to see if it usable for various purposes such as SSL client,
16962    server or S/MIME and CAs of these types. This is currently
16963    VERY EXPERIMENTAL but will ultimately be used for certificate chain
16964    verification. Also added a -purpose flag to x509 utility to
16965    print out all the purposes.
16966
16967    *Steve Henson*
16968
16969  * Add a CRYPTO_EX_DATA to X509 certificate structure and associated
16970    functions.
16971
16972    *Steve Henson*
16973
16974  * New `X509V3_{X509,CRL,REVOKED}_get_d2i()` functions. These will search
16975    for, obtain and decode and extension and obtain its critical flag.
16976    This allows all the necessary extension code to be handled in a
16977    single function call.
16978
16979    *Steve Henson*
16980
16981  * RC4 tune-up featuring 30-40% performance improvement on most RISC
16982    platforms. See crypto/rc4/rc4_enc.c for further details.
16983
16984    *Andy Polyakov*
16985
16986  * New -noout option to asn1parse. This causes no output to be produced
16987    its main use is when combined with -strparse and -out to extract data
16988    from a file (which may not be in ASN.1 format).
16989
16990    *Steve Henson*
16991
16992  * Fix for pkcs12 program. It was hashing an invalid certificate pointer
16993    when producing the local key id.
16994
16995    *Richard Levitte <levitte@stacken.kth.se>*
16996
16997  * New option -dhparam in s_server. This allows a DH parameter file to be
16998    stated explicitly. If it is not stated then it tries the first server
16999    certificate file. The previous behaviour hard coded the filename
17000    "server.pem".
17001
17002    *Steve Henson*
17003
17004  * Add -pubin and -pubout options to the rsa and dsa commands. These allow
17005    a public key to be input or output. For example:
17006    openssl rsa -in key.pem -pubout -out pubkey.pem
17007    Also added necessary DSA public key functions to handle this.
17008
17009    *Steve Henson*
17010
17011  * Fix so PKCS7_dataVerify() doesn't crash if no certificates are contained
17012    in the message. This was handled by allowing
17013    X509_find_by_issuer_and_serial() to tolerate a NULL passed to it.
17014
17015    *Steve Henson, reported by Sampo Kellomaki <sampo@mail.neuronio.pt>*
17016
17017  * Fix for bug in d2i_ASN1_bytes(): other ASN1 functions add an extra null
17018    to the end of the strings whereas this didn't. This would cause problems
17019    if strings read with d2i_ASN1_bytes() were later modified.
17020
17021    *Steve Henson, reported by Arne Ansper <arne@ats.cyber.ee>*
17022
17023  * Fix for base64 decode bug. When a base64 bio reads only one line of
17024    data and it contains EOF it will end up returning an error. This is
17025    caused by input 46 bytes long. The cause is due to the way base64
17026    BIOs find the start of base64 encoded data. They do this by trying a
17027    trial decode on each line until they find one that works. When they
17028    do a flag is set and it starts again knowing it can pass all the
17029    data directly through the decoder. Unfortunately it doesn't reset
17030    the context it uses. This means that if EOF is reached an attempt
17031    is made to pass two EOFs through the context and this causes the
17032    resulting error. This can also cause other problems as well. As is
17033    usual with these problems it takes *ages* to find and the fix is
17034    trivial: move one line.
17035
17036    *Steve Henson, reported by ian@uns.ns.ac.yu (Ivan Nejgebauer)*
17037
17038  * Ugly workaround to get s_client and s_server working under Windows. The
17039    old code wouldn't work because it needed to select() on sockets and the
17040    tty (for keypresses and to see if data could be written). Win32 only
17041    supports select() on sockets so we select() with a 1s timeout on the
17042    sockets and then see if any characters are waiting to be read, if none
17043    are present then we retry, we also assume we can always write data to
17044    the tty. This isn't nice because the code then blocks until we've
17045    received a complete line of data and it is effectively polling the
17046    keyboard at 1s intervals: however it's quite a bit better than not
17047    working at all :-) A dedicated Windows application might handle this
17048    with an event loop for example.
17049
17050    *Steve Henson*
17051
17052  * Enhance RSA_METHOD structure. Now there are two extra methods, rsa_sign
17053    and rsa_verify. When the RSA_FLAGS_SIGN_VER option is set these functions
17054    will be called when RSA_sign() and RSA_verify() are used. This is useful
17055    if rsa_pub_dec() and rsa_priv_enc() equivalents are not available.
17056    For this to work properly RSA_public_decrypt() and RSA_private_encrypt()
17057    should *not* be used: RSA_sign() and RSA_verify() must be used instead.
17058    This necessitated the support of an extra signature type NID_md5_sha1
17059    for SSL signatures and modifications to the SSL library to use it instead
17060    of calling RSA_public_decrypt() and RSA_private_encrypt().
17061
17062    *Steve Henson*
17063
17064  * Add new -verify -CAfile and -CApath options to the crl program, these
17065    will lookup a CRL issuers certificate and verify the signature in a
17066    similar way to the verify program. Tidy up the crl program so it
17067    no longer accesses structures directly. Make the ASN1 CRL parsing a bit
17068    less strict. It will now permit CRL extensions even if it is not
17069    a V2 CRL: this will allow it to tolerate some broken CRLs.
17070
17071    *Steve Henson*
17072
17073  * Initialize all non-automatic variables each time one of the openssl
17074    sub-programs is started (this is necessary as they may be started
17075    multiple times from the "OpenSSL>" prompt).
17076
17077    *Lennart Bang, Bodo Moeller*
17078
17079  * Preliminary compilation option RSA_NULL which disables RSA crypto without
17080    removing all other RSA functionality (this is what NO_RSA does). This
17081    is so (for example) those in the US can disable those operations covered
17082    by the RSA patent while allowing storage and parsing of RSA keys and RSA
17083    key generation.
17084
17085    *Steve Henson*
17086
17087  * Non-copying interface to BIO pairs.
17088    (still largely untested)
17089
17090    *Bodo Moeller*
17091
17092  * New function ASN1_tag2str() to convert an ASN1 tag to a descriptive
17093    ASCII string. This was handled independently in various places before.
17094
17095    *Steve Henson*
17096
17097  * New functions UTF8_getc() and UTF8_putc() that parse and generate
17098    UTF8 strings a character at a time.
17099
17100    *Steve Henson*
17101
17102  * Use client_version from client hello to select the protocol
17103    (s23_srvr.c) and for RSA client key exchange verification
17104    (s3_srvr.c), as required by the SSL 3.0/TLS 1.0 specifications.
17105
17106    *Bodo Moeller*
17107
17108  * Add various utility functions to handle SPKACs, these were previously
17109    handled by poking round in the structure internals. Added new function
17110    NETSCAPE_SPKI_print() to print out SPKAC and a new utility 'spkac' to
17111    print, verify and generate SPKACs. Based on an original idea from
17112    Massimiliano Pala <madwolf@comune.modena.it> but extensively modified.
17113
17114    *Steve Henson*
17115
17116  * RIPEMD160 is operational on all platforms and is back in 'make test'.
17117
17118    *Andy Polyakov*
17119
17120  * Allow the config file extension section to be overwritten on the
17121    command line. Based on an original idea from Massimiliano Pala
17122    <madwolf@comune.modena.it>. The new option is called -extensions
17123    and can be applied to ca, req and x509. Also -reqexts to override
17124    the request extensions in req and -crlexts to override the crl extensions
17125    in ca.
17126
17127    *Steve Henson*
17128
17129  * Add new feature to the SPKAC handling in ca.  Now you can include
17130    the same field multiple times by preceding it by "XXXX." for example:
17131    1.OU="Unit name 1"
17132    2.OU="Unit name 2"
17133    this is the same syntax as used in the req config file.
17134
17135    *Steve Henson*
17136
17137  * Allow certificate extensions to be added to certificate requests. These
17138    are specified in a 'req_extensions' option of the req section of the
17139    config file. They can be printed out with the -text option to req but
17140    are otherwise ignored at present.
17141
17142    *Steve Henson*
17143
17144  * Fix a horrible bug in enc_read() in crypto/evp/bio_enc.c: if the first
17145    data read consists of only the final block it would not decrypted because
17146    EVP_CipherUpdate() would correctly report zero bytes had been decrypted.
17147    A misplaced 'break' also meant the decrypted final block might not be
17148    copied until the next read.
17149
17150    *Steve Henson*
17151
17152  * Initial support for DH_METHOD. Again based on RSA_METHOD. Also added
17153    a few extra parameters to the DH structure: these will be useful if
17154    for example we want the value of 'q' or implement X9.42 DH.
17155
17156    *Steve Henson*
17157
17158  * Initial support for DSA_METHOD. This is based on the RSA_METHOD and
17159    provides hooks that allow the default DSA functions or functions on a
17160    "per key" basis to be replaced. This allows hardware acceleration and
17161    hardware key storage to be handled without major modification to the
17162    library. Also added low level modexp hooks and CRYPTO_EX structure and
17163    associated functions.
17164
17165    *Steve Henson*
17166
17167  * Add a new flag to memory BIOs, BIO_FLAG_MEM_RDONLY. This marks the BIO
17168    as "read only": it can't be written to and the buffer it points to will
17169    not be freed. Reading from a read only BIO is much more efficient than
17170    a normal memory BIO. This was added because there are several times when
17171    an area of memory needs to be read from a BIO. The previous method was
17172    to create a memory BIO and write the data to it, this results in two
17173    copies of the data and an O(n^2) reading algorithm. There is a new
17174    function BIO_new_mem_buf() which creates a read only memory BIO from
17175    an area of memory. Also modified the PKCS#7 routines to use read only
17176    memory BIOs.
17177
17178    *Steve Henson*
17179
17180  * Bugfix: ssl23_get_client_hello did not work properly when called in
17181    state SSL23_ST_SR_CLNT_HELLO_B, i.e. when the first 7 bytes of
17182    a SSLv2-compatible client hello for SSLv3 or TLSv1 could be read,
17183    but a retry condition occurred while trying to read the rest.
17184
17185    *Bodo Moeller*
17186
17187  * The PKCS7_ENC_CONTENT_new() function was setting the content type as
17188    NID_pkcs7_encrypted by default: this was wrong since this should almost
17189    always be NID_pkcs7_data. Also modified the PKCS7_set_type() to handle
17190    the encrypted data type: this is a more sensible place to put it and it
17191    allows the PKCS#12 code to be tidied up that duplicated this
17192    functionality.
17193
17194    *Steve Henson*
17195
17196  * Changed obj_dat.pl script so it takes its input and output files on
17197    the command line. This should avoid shell escape redirection problems
17198    under Win32.
17199
17200    *Steve Henson*
17201
17202  * Initial support for certificate extension requests, these are included
17203    in things like Xenroll certificate requests. Included functions to allow
17204    extensions to be obtained and added.
17205
17206    *Steve Henson*
17207
17208  * -crlf option to s_client and s_server for sending newlines as
17209    CRLF (as required by many protocols).
17210
17211    *Bodo Moeller*
17212
17213 ### Changes between 0.9.3a and 0.9.4  [09 Aug 1999]
17214
17215  * Install libRSAglue.a when OpenSSL is built with RSAref.
17216
17217    *Ralf S. Engelschall*
17218
17219  * A few more `#ifndef NO_FP_API / #endif` pairs for consistency.
17220
17221    *Andrija Antonijevic <TheAntony2@bigfoot.com>*
17222
17223  * Fix -startdate and -enddate (which was missing) arguments to 'ca'
17224    program.
17225
17226    *Steve Henson*
17227
17228  * New function DSA_dup_DH, which duplicates DSA parameters/keys as
17229    DH parameters/keys (q is lost during that conversion, but the resulting
17230    DH parameters contain its length).
17231
17232    For 1024-bit p, DSA_generate_parameters followed by DSA_dup_DH is
17233    much faster than DH_generate_parameters (which creates parameters
17234    where `p = 2*q + 1`), and also the smaller q makes DH computations
17235    much more efficient (160-bit exponentiation instead of 1024-bit
17236    exponentiation); so this provides a convenient way to support DHE
17237    ciphersuites in SSL/TLS servers (see ssl/ssltest.c).  It is of
17238    utter importance to use
17239            SSL_CTX_set_options(s_ctx, SSL_OP_SINGLE_DH_USE);
17240    or
17241            SSL_set_options(s_ctx, SSL_OP_SINGLE_DH_USE);
17242    when such DH parameters are used, because otherwise small subgroup
17243    attacks may become possible!
17244
17245    *Bodo Moeller*
17246
17247  * Avoid memory leak in i2d_DHparams.
17248
17249    *Bodo Moeller*
17250
17251  * Allow the -k option to be used more than once in the enc program:
17252    this allows the same encrypted message to be read by multiple recipients.
17253
17254    *Steve Henson*
17255
17256  * New function OBJ_obj2txt(buf, buf_len, a, no_name), this converts
17257    an ASN1_OBJECT to a text string. If the "no_name" parameter is set then
17258    it will always use the numerical form of the OID, even if it has a short
17259    or long name.
17260
17261    *Steve Henson*
17262
17263  * Added an extra RSA flag: RSA_FLAG_EXT_PKEY. Previously the rsa_mod_exp
17264    method only got called if p,q,dmp1,dmq1,iqmp components were present,
17265    otherwise bn_mod_exp was called. In the case of hardware keys for example
17266    no private key components need be present and it might store extra data
17267    in the RSA structure, which cannot be accessed from bn_mod_exp.
17268    By setting RSA_FLAG_EXT_PKEY rsa_mod_exp will always be called for
17269    private key operations.
17270
17271    *Steve Henson*
17272
17273  * Added support for SPARC Linux.
17274
17275    *Andy Polyakov*
17276
17277  * pem_password_cb function type incompatibly changed from
17278            typedef int pem_password_cb(char *buf, int size, int rwflag);
17279    to
17280            ....(char *buf, int size, int rwflag, void *userdata);
17281    so that applications can pass data to their callbacks:
17282    The `PEM[_ASN1]_{read,write}...` functions and macros now take an
17283    additional void * argument, which is just handed through whenever
17284    the password callback is called.
17285
17286    *Damien Miller <dmiller@ilogic.com.au>; tiny changes by Bodo Moeller*
17287
17288    New function SSL_CTX_set_default_passwd_cb_userdata.
17289
17290    Compatibility note: As many C implementations push function arguments
17291    onto the stack in reverse order, the new library version is likely to
17292    interoperate with programs that have been compiled with the old
17293    pem_password_cb definition (PEM_whatever takes some data that
17294    happens to be on the stack as its last argument, and the callback
17295    just ignores this garbage); but there is no guarantee whatsoever that
17296    this will work.
17297
17298  * The -DPLATFORM="\"$(PLATFORM)\"" definition and the similar -DCFLAGS=...
17299    (both in crypto/Makefile.ssl for use by crypto/cversion.c) caused
17300    problems not only on Windows, but also on some Unix platforms.
17301    To avoid problematic command lines, these definitions are now in an
17302    auto-generated file crypto/buildinf.h (created by crypto/Makefile.ssl
17303    for standard "make" builds, by util/mk1mf.pl for "mk1mf" builds).
17304
17305    *Bodo Moeller*
17306
17307  * MIPS III/IV assembler module is reimplemented.
17308
17309    *Andy Polyakov*
17310
17311  * More DES library cleanups: remove references to srand/rand and
17312    delete an unused file.
17313
17314    *Ulf Möller*
17315
17316  * Add support for the free Netwide assembler (NASM) under Win32,
17317    since not many people have MASM (ml) and it can be hard to obtain.
17318    This is currently experimental but it seems to work OK and pass all
17319    the tests. Check out INSTALL.W32 for info.
17320
17321    *Steve Henson*
17322
17323  * Fix memory leaks in s3_clnt.c: All non-anonymous SSL3/TLS1 connections
17324    without temporary keys kept an extra copy of the server key,
17325    and connections with temporary keys did not free everything in case
17326    of an error.
17327
17328    *Bodo Moeller*
17329
17330  * New function RSA_check_key and new openssl rsa option -check
17331    for verifying the consistency of RSA keys.
17332
17333    *Ulf Moeller, Bodo Moeller*
17334
17335  * Various changes to make Win32 compile work:
17336    1. Casts to avoid "loss of data" warnings in p5_crpt2.c
17337    2. Change unsigned int to int in b_dump.c to avoid "signed/unsigned
17338       comparison" warnings.
17339    3. Add `sk_<TYPE>_sort` to DEF file generator and do make update.
17340
17341    *Steve Henson*
17342
17343  * Add a debugging option to PKCS#5 v2 key generation function: when
17344    you #define DEBUG_PKCS5V2 passwords, salts, iteration counts and
17345    derived keys are printed to stderr.
17346
17347    *Steve Henson*
17348
17349  * Copy the flags in ASN1_STRING_dup().
17350
17351    *Roman E. Pavlov <pre@mo.msk.ru>*
17352
17353  * The x509 application mishandled signing requests containing DSA
17354    keys when the signing key was also DSA and the parameters didn't match.
17355
17356    It was supposed to omit the parameters when they matched the signing key:
17357    the verifying software was then supposed to automatically use the CA's
17358    parameters if they were absent from the end user certificate.
17359
17360    Omitting parameters is no longer recommended. The test was also
17361    the wrong way round! This was probably due to unusual behaviour in
17362    EVP_cmp_parameters() which returns 1 if the parameters match.
17363    This meant that parameters were omitted when they *didn't* match and
17364    the certificate was useless. Certificates signed with 'ca' didn't have
17365    this bug.
17366
17367    *Steve Henson, reported by Doug Erickson <Doug.Erickson@Part.NET>*
17368
17369  * Memory leak checking (-DCRYPTO_MDEBUG) had some problems.
17370    The interface is as follows:
17371    Applications can use
17372            CRYPTO_mem_ctrl(CRYPTO_MEM_CHECK_ON) aka MemCheck_start(),
17373            CRYPTO_mem_ctrl(CRYPTO_MEM_CHECK_OFF) aka MemCheck_stop();
17374    "off" is now the default.
17375    The library internally uses
17376            CRYPTO_mem_ctrl(CRYPTO_MEM_CHECK_DISABLE) aka MemCheck_off(),
17377            CRYPTO_mem_ctrl(CRYPTO_MEM_CHECK_ENABLE) aka MemCheck_on()
17378    to disable memory-checking temporarily.
17379
17380    Some inconsistent states that previously were possible (and were
17381    even the default) are now avoided.
17382
17383    -DCRYPTO_MDEBUG_TIME is new and additionally stores the current time
17384    with each memory chunk allocated; this is occasionally more helpful
17385    than just having a counter.
17386
17387    -DCRYPTO_MDEBUG_THREAD is also new and adds the thread ID.
17388
17389    -DCRYPTO_MDEBUG_ALL enables all of the above, plus any future
17390    extensions.
17391
17392    *Bodo Moeller*
17393
17394  * Introduce "mode" for SSL structures (with defaults in SSL_CTX),
17395    which largely parallels "options", but is for changing API behaviour,
17396    whereas "options" are about protocol behaviour.
17397    Initial "mode" flags are:
17398
17399    SSL_MODE_ENABLE_PARTIAL_WRITE   Allow SSL_write to report success when
17400                                    a single record has been written.
17401    SSL_MODE_ACCEPT_MOVING_WRITE_BUFFER  Don't insist that SSL_write
17402                                    retries use the same buffer location.
17403                                    (But all of the contents must be
17404                                    copied!)
17405
17406    *Bodo Moeller*
17407
17408  * Bugfix: SSL_set_options ignored its parameter, only SSL_CTX_set_options
17409    worked.
17410
17411  * Fix problems with no-hmac etc.
17412
17413    *Ulf Möller, pointed out by Brian Wellington <bwelling@tislabs.com>*
17414
17415  * New functions RSA_get_default_method(), RSA_set_method() and
17416    RSA_get_method(). These allows replacement of RSA_METHODs without having
17417    to mess around with the internals of an RSA structure.
17418
17419    *Steve Henson*
17420
17421  * Fix memory leaks in DSA_do_sign and DSA_is_prime.
17422    Also really enable memory leak checks in openssl.c and in some
17423    test programs.
17424
17425    *Chad C. Mulligan, Bodo Moeller*
17426
17427  * Fix a bug in d2i_ASN1_INTEGER() and i2d_ASN1_INTEGER() which can mess
17428    up the length of negative integers. This has now been simplified to just
17429    store the length when it is first determined and use it later, rather
17430    than trying to keep track of where data is copied and updating it to
17431    point to the end.
17432    *Steve Henson, reported by Brien Wheeler <bwheeler@authentica-security.com>*
17433
17434  * Add a new function PKCS7_signatureVerify. This allows the verification
17435    of a PKCS#7 signature but with the signing certificate passed to the
17436    function itself. This contrasts with PKCS7_dataVerify which assumes the
17437    certificate is present in the PKCS#7 structure. This isn't always the
17438    case: certificates can be omitted from a PKCS#7 structure and be
17439    distributed by "out of band" means (such as a certificate database).
17440
17441    *Steve Henson*
17442
17443  * Complete the `PEM_*` macros with DECLARE_PEM versions to replace the
17444    function prototypes in pem.h, also change util/mkdef.pl to add the
17445    necessary function names.
17446
17447    *Steve Henson*
17448
17449  * mk1mf.pl (used by Windows builds) did not properly read the
17450    options set by Configure in the top level Makefile, and Configure
17451    was not even able to write more than one option correctly.
17452    Fixed, now "no-idea no-rc5 -DCRYPTO_MDEBUG" etc. works as intended.
17453
17454    *Bodo Moeller*
17455
17456  * New functions CONF_load_bio() and CONF_load_fp() to allow a config
17457    file to be loaded from a BIO or FILE pointer. The BIO version will
17458    for example allow memory BIOs to contain config info.
17459
17460    *Steve Henson*
17461
17462  * New function "CRYPTO_num_locks" that returns CRYPTO_NUM_LOCKS.
17463    Whoever hopes to achieve shared-library compatibility across versions
17464    must use this, not the compile-time macro.
17465    (Exercise 0.9.4: Which is the minimum library version required by
17466    such programs?)
17467    Note: All this applies only to multi-threaded programs, others don't
17468    need locks.
17469
17470    *Bodo Moeller*
17471
17472  * Add missing case to s3_clnt.c state machine -- one of the new SSL tests
17473    through a BIO pair triggered the default case, i.e.
17474    SSLerr(...,SSL_R_UNKNOWN_STATE).
17475
17476    *Bodo Moeller*
17477
17478  * New "BIO pair" concept (crypto/bio/bss_bio.c) so that applications
17479    can use the SSL library even if none of the specific BIOs is
17480    appropriate.
17481
17482    *Bodo Moeller*
17483
17484  * Fix a bug in i2d_DSAPublicKey() which meant it returned the wrong value
17485    for the encoded length.
17486
17487    *Jeon KyoungHo <khjeon@sds.samsung.co.kr>*
17488
17489  * Add initial documentation of the X509V3 functions.
17490
17491    *Steve Henson*
17492
17493  * Add a new pair of functions PEM_write_PKCS8PrivateKey() and
17494    PEM_write_bio_PKCS8PrivateKey() that are equivalent to
17495    PEM_write_PrivateKey() and PEM_write_bio_PrivateKey() but use the more
17496    secure PKCS#8 private key format with a high iteration count.
17497
17498    *Steve Henson*
17499
17500  * Fix determination of Perl interpreter: A perl or perl5
17501    *directory* in $PATH was also accepted as the interpreter.
17502
17503    *Ralf S. Engelschall*
17504
17505  * Fix demos/sign/sign.c: well there wasn't anything strictly speaking
17506    wrong with it but it was very old and did things like calling
17507    PEM_ASN1_read() directly and used MD5 for the hash not to mention some
17508    unusual formatting.
17509
17510    *Steve Henson*
17511
17512  * Fix demos/selfsign.c: it used obsolete and deleted functions, changed
17513    to use the new extension code.
17514
17515    *Steve Henson*
17516
17517  * Implement the PEM_read/PEM_write functions in crypto/pem/pem_all.c
17518    with macros. This should make it easier to change their form, add extra
17519    arguments etc. Fix a few PEM prototypes which didn't have cipher as a
17520    constant.
17521
17522    *Steve Henson*
17523
17524  * Add to configuration table a new entry that can specify an alternative
17525    name for unistd.h (for pre-POSIX systems); we need this for NeXTstep,
17526    according to Mark Crispin <MRC@Panda.COM>.
17527
17528    *Bodo Moeller*
17529
17530  * DES CBC did not update the IV. Weird.
17531
17532    *Ben Laurie*
17533 lse
17534    des_cbc_encrypt does not update the IV, but des_ncbc_encrypt does.
17535    Changing the behaviour of the former might break existing programs --
17536    where IV updating is needed, des_ncbc_encrypt can be used.
17537 ndif
17538
17539  * When bntest is run from "make test" it drives bc to check its
17540    calculations, as well as internally checking them. If an internal check
17541    fails, it needs to cause bc to give a non-zero result or make test carries
17542    on without noticing the failure. Fixed.
17543
17544    *Ben Laurie*
17545
17546  * DES library cleanups.
17547
17548    *Ulf Möller*
17549
17550  * Add support for PKCS#5 v2.0 PBE algorithms. This will permit PKCS#8 to be
17551    used with any cipher unlike PKCS#5 v1.5 which can at most handle 64 bit
17552    ciphers. NOTE: although the key derivation function has been verified
17553    against some published test vectors it has not been extensively tested
17554    yet. Added a -v2 "cipher" option to pkcs8 application to allow the use
17555    of v2.0.
17556
17557    *Steve Henson*
17558
17559  * Instead of "mkdir -p", which is not fully portable, use new
17560    Perl script "util/mkdir-p.pl".
17561
17562    *Bodo Moeller*
17563
17564  * Rewrite the way password based encryption (PBE) is handled. It used to
17565    assume that the ASN1 AlgorithmIdentifier parameter was a PBEParameter
17566    structure. This was true for the PKCS#5 v1.5 and PKCS#12 PBE algorithms
17567    but doesn't apply to PKCS#5 v2.0 where it can be something else. Now
17568    the 'parameter' field of the AlgorithmIdentifier is passed to the
17569    underlying key generation function so it must do its own ASN1 parsing.
17570    This has also changed the EVP_PBE_CipherInit() function which now has a
17571    'parameter' argument instead of literal salt and iteration count values
17572    and the function EVP_PBE_ALGOR_CipherInit() has been deleted.
17573
17574    *Steve Henson*
17575
17576  * Support for PKCS#5 v1.5 compatible password based encryption algorithms
17577    and PKCS#8 functionality. New 'pkcs8' application linked to openssl.
17578    Needed to change the PEM_STRING_EVP_PKEY value which was just "PRIVATE
17579    KEY" because this clashed with PKCS#8 unencrypted string. Since this
17580    value was just used as a "magic string" and not used directly its
17581    value doesn't matter.
17582
17583    *Steve Henson*
17584
17585  * Introduce some semblance of const correctness to BN. Shame C doesn't
17586    support mutable.
17587
17588    *Ben Laurie*
17589
17590  * "linux-sparc64" configuration (ultrapenguin).
17591
17592    *Ray Miller <ray.miller@oucs.ox.ac.uk>*
17593    "linux-sparc" configuration.
17594
17595    *Christian Forster <fo@hawo.stw.uni-erlangen.de>*
17596
17597  * config now generates no-xxx options for missing ciphers.
17598
17599    *Ulf Möller*
17600
17601  * Support the EBCDIC character set (work in progress).
17602    File ebcdic.c not yet included because it has a different license.
17603
17604    *Martin Kraemer <Martin.Kraemer@MchP.Siemens.De>*
17605
17606  * Support BS2000/OSD-POSIX.
17607
17608    *Martin Kraemer <Martin.Kraemer@MchP.Siemens.De>*
17609
17610  * Make callbacks for key generation use `void *` instead of `char *`.
17611
17612    *Ben Laurie*
17613
17614  * Make S/MIME samples compile (not yet tested).
17615
17616    *Ben Laurie*
17617
17618  * Additional typesafe stacks.
17619
17620    *Ben Laurie*
17621
17622  * New configuration variants "bsdi-elf-gcc" (BSD/OS 4.x).
17623
17624    *Bodo Moeller*
17625
17626 ### Changes between 0.9.3 and 0.9.3a  [29 May 1999]
17627
17628  * New configuration variant "sco5-gcc".
17629
17630  * Updated some demos.
17631
17632    *Sean O Riordain, Wade Scholine*
17633
17634  * Add missing BIO_free at exit of pkcs12 application.
17635
17636    *Wu Zhigang*
17637
17638  * Fix memory leak in conf.c.
17639
17640    *Steve Henson*
17641
17642  * Updates for Win32 to assembler version of MD5.
17643
17644    *Steve Henson*
17645
17646  * Set #! path to perl in `apps/der_chop` to where we found it
17647    instead of using a fixed path.
17648
17649    *Bodo Moeller*
17650
17651  * SHA library changes for irix64-mips4-cc.
17652
17653    *Andy Polyakov*
17654
17655  * Improvements for VMS support.
17656
17657    *Richard Levitte*
17658
17659 ### Changes between 0.9.2b and 0.9.3  [24 May 1999]
17660
17661  * Bignum library bug fix. IRIX 6 passes "make test" now!
17662    This also avoids the problems with SC4.2 and unpatched SC5.
17663
17664    *Andy Polyakov <appro@fy.chalmers.se>*
17665
17666  * New functions sk_num, sk_value and sk_set to replace the previous macros.
17667    These are required because of the typesafe stack would otherwise break
17668    existing code. If old code used a structure member which used to be STACK
17669    and is now STACK_OF (for example cert in a PKCS7_SIGNED structure) with
17670    sk_num or sk_value it would produce an error because the num, data members
17671    are not present in STACK_OF. Now it just produces a warning. sk_set
17672    replaces the old method of assigning a value to sk_value
17673    (e.g. sk_value(x, i) = y) which the library used in a few cases. Any code
17674    that does this will no longer work (and should use sk_set instead) but
17675    this could be regarded as a "questionable" behaviour anyway.
17676
17677    *Steve Henson*
17678
17679  * Fix most of the other PKCS#7 bugs. The "experimental" code can now
17680    correctly handle encrypted S/MIME data.
17681
17682    *Steve Henson*
17683
17684  * Change type of various DES function arguments from des_cblock
17685    (which means, in function argument declarations, pointer to char)
17686    to des_cblock * (meaning pointer to array with 8 char elements),
17687    which allows the compiler to do more typechecking; it was like
17688    that back in SSLeay, but with lots of ugly casts.
17689
17690    Introduce new type const_des_cblock.
17691
17692    *Bodo Moeller*
17693
17694  * Reorganise the PKCS#7 library and get rid of some of the more obvious
17695    problems: find RecipientInfo structure that matches recipient certificate
17696    and initialise the ASN1 structures properly based on passed cipher.
17697
17698    *Steve Henson*
17699
17700  * Belatedly make the BN tests actually check the results.
17701
17702    *Ben Laurie*
17703
17704  * Fix the encoding and decoding of negative ASN1 INTEGERS and conversion
17705    to and from BNs: it was completely broken. New compilation option
17706    NEG_PUBKEY_BUG to allow for some broken certificates that encode public
17707    key elements as negative integers.
17708
17709    *Steve Henson*
17710
17711  * Reorganize and speed up MD5.
17712
17713    *Andy Polyakov <appro@fy.chalmers.se>*
17714
17715  * VMS support.
17716
17717    *Richard Levitte <richard@levitte.org>*
17718
17719  * New option -out to asn1parse to allow the parsed structure to be
17720    output to a file. This is most useful when combined with the -strparse
17721    option to examine the output of things like OCTET STRINGS.
17722
17723    *Steve Henson*
17724
17725  * Make SSL library a little more fool-proof by not requiring any longer
17726    that `SSL_set_{accept,connect}_state` be called before
17727    `SSL_{accept,connect}` may be used (`SSL_set_..._state` is omitted
17728    in many applications because usually everything *appeared* to work as
17729    intended anyway -- now it really works as intended).
17730
17731    *Bodo Moeller*
17732
17733  * Move openssl.cnf out of lib/.
17734
17735    *Ulf Möller*
17736
17737  * Fix various things to let OpenSSL even pass "egcc -pipe -O2 -Wall
17738    -Wshadow -Wpointer-arith -Wcast-align -Wmissing-prototypes
17739    -Wmissing-declarations -Wnested-externs -Winline" with EGCS 1.1.2+
17740
17741    *Ralf S. Engelschall*
17742
17743  * Various fixes to the EVP and PKCS#7 code. It may now be able to
17744    handle PKCS#7 enveloped data properly.
17745
17746    *Sebastian Akerman <sak@parallelconsulting.com>, modified by Steve*
17747
17748  * Create a duplicate of the SSL_CTX's CERT in SSL_new instead of
17749    copying pointers.  The cert_st handling is changed by this in
17750    various ways (and thus what used to be known as ctx->default_cert
17751    is now called ctx->cert, since we don't resort to `s->ctx->[default_]cert`
17752    any longer when s->cert does not give us what we need).
17753    ssl_cert_instantiate becomes obsolete by this change.
17754    As soon as we've got the new code right (possibly it already is?),
17755    we have solved a couple of bugs of the earlier code where s->cert
17756    was used as if it could not have been shared with other SSL structures.
17757
17758    Note that using the SSL API in certain dirty ways now will result
17759    in different behaviour than observed with earlier library versions:
17760    Changing settings for an `SSL_CTX *ctx` after having done s = SSL_new(ctx)
17761    does not influence s as it used to.
17762
17763    In order to clean up things more thoroughly, inside SSL_SESSION
17764    we don't use CERT any longer, but a new structure SESS_CERT
17765    that holds per-session data (if available); currently, this is
17766    the peer's certificate chain and, for clients, the server's certificate
17767    and temporary key.  CERT holds only those values that can have
17768    meaningful defaults in an SSL_CTX.
17769
17770    *Bodo Moeller*
17771
17772  * New function X509V3_EXT_i2d() to create an X509_EXTENSION structure
17773    from the internal representation. Various PKCS#7 fixes: remove some
17774    evil casts and set the enc_dig_alg field properly based on the signing
17775    key type.
17776
17777    *Steve Henson*
17778
17779  * Allow PKCS#12 password to be set from the command line or the
17780    environment. Let 'ca' get its config file name from the environment
17781    variables "OPENSSL_CONF" or "SSLEAY_CONF" (for consistency with 'req'
17782    and 'x509').
17783
17784    *Steve Henson*
17785
17786  * Allow certificate policies extension to use an IA5STRING for the
17787    organization field. This is contrary to the PKIX definition but
17788    VeriSign uses it and IE5 only recognises this form. Document 'x509'
17789    extension option.
17790
17791    *Steve Henson*
17792
17793  * Add PEDANTIC compiler flag to allow compilation with gcc -pedantic,
17794    without disallowing inline assembler and the like for non-pedantic builds.
17795
17796    *Ben Laurie*
17797
17798  * Support Borland C++ builder.
17799
17800    *Janez Jere <jj@void.si>, modified by Ulf Möller*
17801
17802  * Support Mingw32.
17803
17804    *Ulf Möller*
17805
17806  * SHA-1 cleanups and performance enhancements.
17807
17808    *Andy Polyakov <appro@fy.chalmers.se>*
17809
17810  * Sparc v8plus assembler for the bignum library.
17811
17812    *Andy Polyakov <appro@fy.chalmers.se>*
17813
17814  * Accept any -xxx and +xxx compiler options in Configure.
17815
17816    *Ulf Möller*
17817
17818  * Update HPUX configuration.
17819
17820    *Anonymous*
17821
17822  * Add missing `sk_<type>_unshift()` function to safestack.h
17823
17824    *Ralf S. Engelschall*
17825
17826  * New function SSL_CTX_use_certificate_chain_file that sets the
17827    "extra_cert"s in addition to the certificate.  (This makes sense
17828    only for "PEM" format files, as chains as a whole are not
17829    DER-encoded.)
17830
17831    *Bodo Moeller*
17832
17833  * Support verify_depth from the SSL API.
17834    x509_vfy.c had what can be considered an off-by-one-error:
17835    Its depth (which was not part of the external interface)
17836    was actually counting the number of certificates in a chain;
17837    now it really counts the depth.
17838
17839    *Bodo Moeller*
17840
17841  * Bugfix in crypto/x509/x509_cmp.c: The SSLerr macro was used
17842    instead of X509err, which often resulted in confusing error
17843    messages since the error codes are not globally unique
17844    (e.g. an alleged error in ssl3_accept when a certificate
17845    didn't match the private key).
17846
17847  * New function SSL_CTX_set_session_id_context that allows to set a default
17848    value (so that you don't need SSL_set_session_id_context for each
17849    connection using the SSL_CTX).
17850
17851    *Bodo Moeller*
17852
17853  * OAEP decoding bug fix.
17854
17855    *Ulf Möller*
17856
17857  * Support INSTALL_PREFIX for package builders, as proposed by
17858    David Harris.
17859
17860    *Bodo Moeller*
17861
17862  * New Configure options "threads" and "no-threads".  For systems
17863    where the proper compiler options are known (currently Solaris
17864    and Linux), "threads" is the default.
17865
17866    *Bodo Moeller*
17867
17868  * New script util/mklink.pl as a faster substitute for util/mklink.sh.
17869
17870    *Bodo Moeller*
17871
17872  * Install various scripts to $(OPENSSLDIR)/misc, not to
17873    $(INSTALLTOP)/bin -- they shouldn't clutter directories
17874    such as /usr/local/bin.
17875
17876    *Bodo Moeller*
17877
17878  * "make linux-shared" to build shared libraries.
17879
17880    *Niels Poppe <niels@netbox.org>*
17881
17882  * New Configure option `no-<cipher>` (rsa, idea, rc5, ...).
17883
17884    *Ulf Möller*
17885
17886  * Add the PKCS#12 API documentation to openssl.txt. Preliminary support for
17887    extension adding in x509 utility.
17888
17889    *Steve Henson*
17890
17891  * Remove NOPROTO sections and error code comments.
17892
17893    *Ulf Möller*
17894
17895  * Partial rewrite of the DEF file generator to now parse the ANSI
17896    prototypes.
17897
17898    *Steve Henson*
17899
17900  * New Configure options --prefix=DIR and --openssldir=DIR.
17901
17902    *Ulf Möller*
17903
17904  * Complete rewrite of the error code script(s). It is all now handled
17905    by one script at the top level which handles error code gathering,
17906    header rewriting and C source file generation. It should be much better
17907    than the old method: it now uses a modified version of Ulf's parser to
17908    read the ANSI prototypes in all header files (thus the old K&R definitions
17909    aren't needed for error creation any more) and do a better job of
17910    translating function codes into names. The old 'ASN1 error code embedded
17911    in a comment' is no longer necessary and it doesn't use .err files which
17912    have now been deleted. Also the error code call doesn't have to appear all
17913    on one line (which resulted in some large lines...).
17914
17915    *Steve Henson*
17916
17917  * Change #include filenames from `<foo.h>` to `<openssl/foo.h>`.
17918
17919    *Bodo Moeller*
17920
17921  * Change behaviour of ssl2_read when facing length-0 packets: Don't return
17922    0 (which usually indicates a closed connection), but continue reading.
17923
17924    *Bodo Moeller*
17925
17926  * Fix some race conditions.
17927
17928    *Bodo Moeller*
17929
17930  * Add support for CRL distribution points extension. Add Certificate
17931    Policies and CRL distribution points documentation.
17932
17933    *Steve Henson*
17934
17935  * Move the autogenerated header file parts to crypto/opensslconf.h.
17936
17937    *Ulf Möller*
17938
17939  * Fix new 56-bit DES export ciphersuites: they were using 7 bytes instead of
17940    8 of keying material. Merlin has also confirmed interop with this fix
17941    between OpenSSL and Baltimore C/SSL 2.0 and J/SSL 2.0.
17942
17943    *Merlin Hughes <merlin@baltimore.ie>*
17944
17945  * Fix lots of warnings.
17946
17947    *Richard Levitte <levitte@stacken.kth.se>*
17948
17949  * In add_cert_dir() in crypto/x509/by_dir.c, break out of the loop if
17950    the directory spec didn't end with a LIST_SEPARATOR_CHAR.
17951
17952    *Richard Levitte <levitte@stacken.kth.se>*
17953
17954  * Fix problems with sizeof(long) == 8.
17955
17956    *Andy Polyakov <appro@fy.chalmers.se>*
17957
17958  * Change functions to ANSI C.
17959
17960    *Ulf Möller*
17961
17962  * Fix typos in error codes.
17963
17964    *Martin Kraemer <Martin.Kraemer@MchP.Siemens.De>, Ulf Möller*
17965
17966  * Remove defunct assembler files from Configure.
17967
17968    *Ulf Möller*
17969
17970  * SPARC v8 assembler BIGNUM implementation.
17971
17972    *Andy Polyakov <appro@fy.chalmers.se>*
17973
17974  * Support for Certificate Policies extension: both print and set.
17975    Various additions to support the r2i method this uses.
17976
17977    *Steve Henson*
17978
17979  * A lot of constification, and fix a bug in X509_NAME_oneline() that could
17980    return a const string when you are expecting an allocated buffer.
17981
17982    *Ben Laurie*
17983
17984  * Add support for ASN1 types UTF8String and VISIBLESTRING, also the CHOICE
17985    types DirectoryString and DisplayText.
17986
17987    *Steve Henson*
17988
17989  * Add code to allow r2i extensions to access the configuration database,
17990    add an LHASH database driver and add several ctx helper functions.
17991
17992    *Steve Henson*
17993
17994  * Fix an evil bug in bn_expand2() which caused various BN functions to
17995    fail when they extended the size of a BIGNUM.
17996
17997    *Steve Henson*
17998
17999  * Various utility functions to handle SXNet extension. Modify mkdef.pl to
18000    support typesafe stack.
18001
18002    *Steve Henson*
18003
18004  * Fix typo in SSL_[gs]et_options().
18005
18006    *Nils Frostberg <nils@medcom.se>*
18007
18008  * Delete various functions and files that belonged to the (now obsolete)
18009    old X509V3 handling code.
18010
18011    *Steve Henson*
18012
18013  * New Configure option "rsaref".
18014
18015    *Ulf Möller*
18016
18017  * Don't auto-generate pem.h.
18018
18019    *Bodo Moeller*
18020
18021  * Introduce type-safe ASN.1 SETs.
18022
18023    *Ben Laurie*
18024
18025  * Convert various additional casted stacks to type-safe STACK_OF() variants.
18026
18027    *Ben Laurie, Ralf S. Engelschall, Steve Henson*
18028
18029  * Introduce type-safe STACKs. This will almost certainly break lots of code
18030    that links with OpenSSL (well at least cause lots of warnings), but fear
18031    not: the conversion is trivial, and it eliminates loads of evil casts. A
18032    few STACKed things have been converted already. Feel free to convert more.
18033    In the fullness of time, I'll do away with the STACK type altogether.
18034
18035    *Ben Laurie*
18036
18037  * Add `openssl ca -revoke <certfile>` facility which revokes a certificate
18038    specified in `<certfile>` by updating the entry in the index.txt file.
18039    This way one no longer has to edit the index.txt file manually for
18040    revoking a certificate. The -revoke option does the gory details now.
18041
18042    *Massimiliano Pala <madwolf@openca.org>, Ralf S. Engelschall*
18043
18044  * Fix `openssl crl -noout -text` combination where `-noout` killed the
18045    `-text` option at all and this way the `-noout -text` combination was
18046    inconsistent in `openssl crl` with the friends in `openssl x509|rsa|dsa`.
18047
18048    *Ralf S. Engelschall*
18049
18050  * Make sure a corresponding plain text error message exists for the
18051    X509_V_ERR_CERT_REVOKED/23 error number which can occur when a
18052    verify callback function determined that a certificate was revoked.
18053
18054    *Ralf S. Engelschall*
18055
18056  * Bugfix: In test/testenc, don't test `openssl <cipher>` for
18057    ciphers that were excluded, e.g. by -DNO_IDEA.  Also, test
18058    all available ciphers including rc5, which was forgotten until now.
18059    In order to let the testing shell script know which algorithms
18060    are available, a new (up to now undocumented) command
18061    `openssl list-cipher-commands` is used.
18062
18063    *Bodo Moeller*
18064
18065  * Bugfix: s_client occasionally would sleep in select() when
18066    it should have checked SSL_pending() first.
18067
18068    *Bodo Moeller*
18069
18070  * New functions DSA_do_sign and DSA_do_verify to provide access to
18071    the raw DSA values prior to ASN.1 encoding.
18072
18073    *Ulf Möller*
18074
18075  * Tweaks to Configure
18076
18077    *Niels Poppe <niels@netbox.org>*
18078
18079  * Add support for PKCS#5 v2.0 ASN1 PBES2 structures. No other support,
18080    yet...
18081
18082    *Steve Henson*
18083
18084  * New variables $(RANLIB) and $(PERL) in the Makefiles.
18085
18086    *Ulf Möller*
18087
18088  * New config option to avoid instructions that are illegal on the 80386.
18089    The default code is faster, but requires at least a 486.
18090
18091    *Ulf Möller*
18092
18093  * Got rid of old SSL2_CLIENT_VERSION (inconsistently used) and
18094    SSL2_SERVER_VERSION (not used at all) macros, which are now the
18095    same as SSL2_VERSION anyway.
18096
18097    *Bodo Moeller*
18098
18099  * New "-showcerts" option for s_client.
18100
18101    *Bodo Moeller*
18102
18103  * Still more PKCS#12 integration. Add pkcs12 application to openssl
18104    application. Various cleanups and fixes.
18105
18106    *Steve Henson*
18107
18108  * More PKCS#12 integration. Add new pkcs12 directory with Makefile.ssl and
18109    modify error routines to work internally. Add error codes and PBE init
18110    to library startup routines.
18111
18112    *Steve Henson*
18113
18114  * Further PKCS#12 integration. Added password based encryption, PKCS#8 and
18115    packing functions to asn1 and evp. Changed function names and error
18116    codes along the way.
18117
18118    *Steve Henson*
18119
18120  * PKCS12 integration: and so it begins... First of several patches to
18121    slowly integrate PKCS#12 functionality into OpenSSL. Add PKCS#12
18122    objects to objects.h
18123
18124    *Steve Henson*
18125
18126  * Add a new 'indent' option to some X509V3 extension code. Initial ASN1
18127    and display support for Thawte strong extranet extension.
18128
18129    *Steve Henson*
18130
18131  * Add LinuxPPC support.
18132
18133    *Jeff Dubrule <igor@pobox.org>*
18134
18135  * Get rid of redundant BN file bn_mulw.c, and rename bn_div64 to
18136    bn_div_words in alpha.s.
18137
18138    *Hannes Reinecke <H.Reinecke@hw.ac.uk> and Ben Laurie*
18139
18140  * Make sure the RSA OAEP test is skipped under -DRSAref because
18141    OAEP isn't supported when OpenSSL is built with RSAref.
18142
18143    *Ulf Moeller <ulf@fitug.de>*
18144
18145  * Move definitions of IS_SET/IS_SEQUENCE inside crypto/asn1/asn1.h
18146    so they no longer are missing under -DNOPROTO.
18147
18148    *Soren S. Jorvang <soren@t.dk>*
18149
18150 ### Changes between 0.9.1c and 0.9.2b  [22 Mar 1999]
18151
18152  * Make SSL_get_peer_cert_chain() work in servers. Unfortunately, it still
18153    doesn't work when the session is reused. Coming soon!
18154
18155    *Ben Laurie*
18156
18157  * Fix a security hole, that allows sessions to be reused in the wrong
18158    context thus bypassing client cert protection! All software that uses
18159    client certs and session caches in multiple contexts NEEDS PATCHING to
18160    allow session reuse! A fuller solution is in the works.
18161
18162    *Ben Laurie, problem pointed out by Holger Reif, Bodo Moeller (and ???)*
18163
18164  * Some more source tree cleanups (removed obsolete files
18165    crypto/bf/asm/bf586.pl, test/test.txt and crypto/sha/asm/f.s; changed
18166    permission on "config" script to be executable) and a fix for the INSTALL
18167    document.
18168
18169    *Ulf Moeller <ulf@fitug.de>*
18170
18171  * Remove some legacy and erroneous uses of malloc, free instead of
18172    Malloc, Free.
18173
18174    *Lennart Bang <lob@netstream.se>, with minor changes by Steve*
18175
18176  * Make rsa_oaep_test return non-zero on error.
18177
18178    *Ulf Moeller <ulf@fitug.de>*
18179
18180  * Add support for native Solaris shared libraries. Configure
18181    solaris-sparc-sc4-pic, make, then run shlib/solaris-sc4.sh. It'd be nice
18182    if someone would make that last step automatic.
18183
18184    *Matthias Loepfe <Matthias.Loepfe@AdNovum.CH>*
18185
18186  * ctx_size was not built with the right compiler during "make links". Fixed.
18187
18188    *Ben Laurie*
18189
18190  * Change the meaning of 'ALL' in the cipher list. It now means "everything
18191    except NULL ciphers". This means the default cipher list will no longer
18192    enable NULL ciphers. They need to be specifically enabled e.g. with
18193    the string "DEFAULT:eNULL".
18194
18195    *Steve Henson*
18196
18197  * Fix to RSA private encryption routines: if p < q then it would
18198    occasionally produce an invalid result. This will only happen with
18199    externally generated keys because OpenSSL (and SSLeay) ensure p > q.
18200
18201    *Steve Henson*
18202
18203  * Be less restrictive and allow also `perl util/perlpath.pl
18204    /path/to/bin/perl` in addition to `perl util/perlpath.pl /path/to/bin`,
18205    because this way one can also use an interpreter named `perl5` (which is
18206    usually the name of Perl 5.xxx on platforms where an Perl 4.x is still
18207    installed as `perl`).
18208
18209    *Matthias Loepfe <Matthias.Loepfe@adnovum.ch>*
18210
18211  * Let util/clean-depend.pl work also with older Perl 5.00x versions.
18212
18213    *Matthias Loepfe <Matthias.Loepfe@adnovum.ch>*
18214
18215  * Fix Makefile.org so CC,CFLAG etc are passed to 'make links' add
18216    advapi32.lib to Win32 build and change the pem test comparison
18217    to fc.exe (thanks to Ulrich Kroener <kroneru@yahoo.com> for the
18218    suggestion). Fix misplaced ASNI prototypes and declarations in evp.h
18219    and crypto/des/ede_cbcm_enc.c.
18220
18221    *Steve Henson*
18222
18223  * DES quad checksum was broken on big-endian architectures. Fixed.
18224
18225    *Ben Laurie*
18226
18227  * Comment out two functions in bio.h that aren't implemented. Fix up the
18228    Win32 test batch file so it (might) work again. The Win32 test batch file
18229    is horrible: I feel ill....
18230
18231    *Steve Henson*
18232
18233  * Move various #ifdefs around so NO_SYSLOG, NO_DIRENT etc are now selected
18234    in e_os.h. Audit of header files to check ANSI and non ANSI
18235    sections: 10 functions were absent from non ANSI section and not exported
18236    from Windows DLLs. Fixed up libeay.num for new functions.
18237
18238    *Steve Henson*
18239
18240  * Make `openssl version` output lines consistent.
18241
18242    *Ralf S. Engelschall*
18243
18244  * Fix Win32 symbol export lists for BIO functions: Added
18245    BIO_get_ex_new_index, BIO_get_ex_num, BIO_get_ex_data and BIO_set_ex_data
18246    to ms/libeay{16,32}.def.
18247
18248    *Ralf S. Engelschall*
18249
18250  * Second round of fixing the OpenSSL perl/ stuff. It now at least compiled
18251    fine under Unix and passes some trivial tests I've now added. But the
18252    whole stuff is horribly incomplete, so a README.1ST with a disclaimer was
18253    added to make sure no one expects that this stuff really works in the
18254    OpenSSL 0.9.2 release.  Additionally I've started to clean the XS sources
18255    up and fixed a few little bugs and inconsistencies in OpenSSL.{pm,xs} and
18256    openssl_bio.xs.
18257
18258    *Ralf S. Engelschall*
18259
18260  * Fix the generation of two part addresses in perl.
18261
18262    *Kenji Miyake <kenji@miyake.org>, integrated by Ben Laurie*
18263
18264  * Add config entry for Linux on MIPS.
18265
18266    *John Tobey <jtobey@channel1.com>*
18267
18268  * Make links whenever Configure is run, unless we are on Windoze.
18269
18270    *Ben Laurie*
18271
18272  * Permit extensions to be added to CRLs using crl_section in openssl.cnf.
18273    Currently only issuerAltName and AuthorityKeyIdentifier make any sense
18274    in CRLs.
18275
18276    *Steve Henson*
18277
18278  * Add a useful kludge to allow package maintainers to specify compiler and
18279    other platforms details on the command line without having to patch the
18280    Configure script every time: One now can use
18281    `perl Configure <id>:<details>`,
18282    i.e. platform ids are allowed to have details appended
18283    to them (separated by colons). This is treated as there would be a static
18284    pre-configured entry in Configure's %table under key `<id>` with value
18285    `<details>` and `perl Configure <id>` is called.  So, when you want to
18286    perform a quick test-compile under FreeBSD 3.1 with pgcc and without
18287    assembler stuff you can use `perl Configure "FreeBSD-elf:pgcc:-O6:::"`
18288    now, which overrides the FreeBSD-elf entry on-the-fly.
18289
18290    *Ralf S. Engelschall*
18291
18292  * Disable new TLS1 ciphersuites by default: they aren't official yet.
18293
18294    *Ben Laurie*
18295
18296  * Allow DSO flags like -fpic, -fPIC, -KPIC etc. to be specified
18297    on the `perl Configure ...` command line. This way one can compile
18298    OpenSSL libraries with Position Independent Code (PIC) which is needed
18299    for linking it into DSOs.
18300
18301    *Ralf S. Engelschall*
18302
18303  * Remarkably, export ciphers were totally broken and no-one had noticed!
18304    Fixed.
18305
18306    *Ben Laurie*
18307
18308  * Cleaned up the LICENSE document: The official contact for any license
18309    questions now is the OpenSSL core team under openssl-core@openssl.org.
18310    And add a paragraph about the dual-license situation to make sure people
18311    recognize that _BOTH_ the OpenSSL license _AND_ the SSLeay license apply
18312    to the OpenSSL toolkit.
18313
18314    *Ralf S. Engelschall*
18315
18316  * General source tree makefile cleanups: Made `making xxx in yyy...`
18317    display consistent in the source tree and replaced `/bin/rm` by `rm`.
18318    Additionally cleaned up the `make links` target: Remove unnecessary
18319    semicolons, subsequent redundant removes, inline point.sh into mklink.sh
18320    to speed processing and no longer clutter the display with confusing
18321    stuff. Instead only the actually done links are displayed.
18322
18323    *Ralf S. Engelschall*
18324
18325  * Permit null encryption ciphersuites, used for authentication only. It used
18326    to be necessary to set the preprocessor define SSL_ALLOW_ENULL to do this.
18327    It is now necessary to set SSL_FORBID_ENULL to prevent the use of null
18328    encryption.
18329
18330    *Ben Laurie*
18331
18332  * Add a bunch of fixes to the PKCS#7 stuff. It used to sometimes reorder
18333    signed attributes when verifying signatures (this would break them),
18334    the detached data encoding was wrong and public keys obtained using
18335    X509_get_pubkey() weren't freed.
18336
18337    *Steve Henson*
18338
18339  * Add text documentation for the BUFFER functions. Also added a work around
18340    to a Win95 console bug. This was triggered by the password read stuff: the
18341    last character typed gets carried over to the next fread(). If you were
18342    generating a new cert request using 'req' for example then the last
18343    character of the passphrase would be CR which would then enter the first
18344    field as blank.
18345
18346    *Steve Henson*
18347
18348  * Added the new 'Includes OpenSSL Cryptography Software' button as
18349    doc/openssl_button.{gif,html} which is similar in style to the old SSLeay
18350    button and can be used by applications based on OpenSSL to show the
18351    relationship to the OpenSSL project.
18352
18353    *Ralf S. Engelschall*
18354
18355  * Remove confusing variables in function signatures in files
18356    ssl/ssl_lib.c and ssl/ssl.h.
18357
18358    *Lennart Bong <lob@kulthea.stacken.kth.se>*
18359
18360  * Don't install bss_file.c under PREFIX/include/
18361
18362    *Lennart Bong <lob@kulthea.stacken.kth.se>*
18363
18364  * Get the Win32 compile working again. Modify mkdef.pl so it can handle
18365    functions that return function pointers and has support for NT specific
18366    stuff. Fix mk1mf.pl and VC-32.pl to support NT differences also. Various
18367    #ifdef WIN32 and WINNTs sprinkled about the place and some changes from
18368    unsigned to signed types: this was killing the Win32 compile.
18369
18370    *Steve Henson*
18371
18372  * Add new certificate file to stack functions,
18373    SSL_add_dir_cert_subjects_to_stack() and
18374    SSL_add_file_cert_subjects_to_stack().  These largely supplant
18375    SSL_load_client_CA_file(), and can be used to add multiple certs easily
18376    to a stack (usually this is then handed to SSL_CTX_set_client_CA_list()).
18377    This means that Apache-SSL and similar packages don't have to mess around
18378    to add as many CAs as they want to the preferred list.
18379
18380    *Ben Laurie*
18381
18382  * Experiment with doxygen documentation. Currently only partially applied to
18383    ssl/ssl_lib.c.
18384    See <http://www.stack.nl/~dimitri/doxygen/index.html>, and run doxygen with
18385    openssl.doxy as the configuration file.
18386
18387    *Ben Laurie*
18388
18389  * Get rid of remaining C++-style comments which strict C compilers hate.
18390
18391    *Ralf S. Engelschall, pointed out by Carlos Amengual*
18392
18393  * Changed BN_RECURSION in bn_mont.c to BN_RECURSION_MONT so it is not
18394    compiled in by default: it has problems with large keys.
18395
18396    *Steve Henson*
18397
18398  * Add a bunch of SSL_xxx() functions for configuring the temporary RSA and
18399    DH private keys and/or callback functions which directly correspond to
18400    their SSL_CTX_xxx() counterparts but work on a per-connection basis. This
18401    is needed for applications which have to configure certificates on a
18402    per-connection basis (e.g. Apache+mod_ssl) instead of a per-context basis
18403    (e.g. s_server).
18404       For the RSA certificate situation is makes no difference, but
18405    for the DSA certificate situation this fixes the "no shared cipher"
18406    problem where the OpenSSL cipher selection procedure failed because the
18407    temporary keys were not overtaken from the context and the API provided
18408    no way to reconfigure them.
18409       The new functions now let applications reconfigure the stuff and they
18410    are in detail: SSL_need_tmp_RSA, SSL_set_tmp_rsa, SSL_set_tmp_dh,
18411    SSL_set_tmp_rsa_callback and SSL_set_tmp_dh_callback.  Additionally a new
18412    non-public-API function ssl_cert_instantiate() is used as a helper
18413    function and also to reduce code redundancy inside ssl_rsa.c.
18414
18415    *Ralf S. Engelschall*
18416
18417  * Move s_server -dcert and -dkey options out of the undocumented feature
18418    area because they are useful for the DSA situation and should be
18419    recognized by the users.
18420
18421    *Ralf S. Engelschall*
18422
18423  * Fix the cipher decision scheme for export ciphers: the export bits are
18424    *not* within SSL_MKEY_MASK or SSL_AUTH_MASK, they are within
18425    SSL_EXP_MASK.  So, the original variable has to be used instead of the
18426    already masked variable.
18427
18428    *Richard Levitte <levitte@stacken.kth.se>*
18429
18430  * Fix `port` variable from `int` to `unsigned int` in crypto/bio/b_sock.c
18431
18432    *Richard Levitte <levitte@stacken.kth.se>*
18433
18434  * Change type of another md_len variable in pk7_doit.c:PKCS7_dataFinal()
18435    from `int` to `unsigned int` because it is a length and initialized by
18436    EVP_DigestFinal() which expects an `unsigned int *`.
18437
18438    *Richard Levitte <levitte@stacken.kth.se>*
18439
18440  * Don't hard-code path to Perl interpreter on shebang line of Configure
18441    script. Instead use the usual Shell->Perl transition trick.
18442
18443    *Ralf S. Engelschall*
18444
18445  * Make `openssl x509 -noout -modulus`' functional also for DSA certificates
18446    (in addition to RSA certificates) to match the behaviour of `openssl dsa
18447    -noout -modulus` as it's already the case for `openssl rsa -noout
18448    -modulus`.  For RSA the -modulus is the real "modulus" while for DSA
18449    currently the public key is printed (a decision which was already done by
18450    `openssl dsa -modulus` in the past) which serves a similar purpose.
18451    Additionally the NO_RSA no longer completely removes the whole -modulus
18452    option; it now only avoids using the RSA stuff. Same applies to NO_DSA
18453    now, too.
18454
18455    *Ralf S.  Engelschall*
18456
18457  * Add Arne Ansper's reliable BIO - this is an encrypted, block-digested
18458    BIO. See the source (crypto/evp/bio_ok.c) for more info.
18459
18460    *Arne Ansper <arne@ats.cyber.ee>*
18461
18462  * Dump the old yucky req code that tried (and failed) to allow raw OIDs
18463    to be added. Now both 'req' and 'ca' can use new objects defined in the
18464    config file.
18465
18466    *Steve Henson*
18467
18468  * Add cool BIO that does syslog (or event log on NT).
18469
18470    *Arne Ansper <arne@ats.cyber.ee>, integrated by Ben Laurie*
18471
18472  * Add support for new TLS ciphersuites, TLS_RSA_EXPORT56_WITH_RC4_56_MD5,
18473    TLS_RSA_EXPORT56_WITH_RC2_CBC_56_MD5 and
18474    TLS_RSA_EXPORT56_WITH_DES_CBC_SHA, as specified in "56-bit Export Cipher
18475    Suites For TLS", draft-ietf-tls-56-bit-ciphersuites-00.txt.
18476
18477    *Ben Laurie*
18478
18479  * Add preliminary config info for new extension code.
18480
18481    *Steve Henson*
18482
18483  * Make RSA_NO_PADDING really use no padding.
18484
18485    *Ulf Moeller <ulf@fitug.de>*
18486
18487  * Generate errors when private/public key check is done.
18488
18489    *Ben Laurie*
18490
18491  * Overhaul for 'crl' utility. New function X509_CRL_print. Partial support
18492    for some CRL extensions and new objects added.
18493
18494    *Steve Henson*
18495
18496  * Really fix the ASN1 IMPLICIT bug this time... Partial support for private
18497    key usage extension and fuller support for authority key id.
18498
18499    *Steve Henson*
18500
18501  * Add OAEP encryption for the OpenSSL crypto library. OAEP is the improved
18502    padding method for RSA, which is recommended for new applications in PKCS
18503    #1 v2.0 (RFC 2437, October 1998).
18504    OAEP (Optimal Asymmetric Encryption Padding) has better theoretical
18505    foundations than the ad-hoc padding used in PKCS #1 v1.5. It is secure
18506    against Bleichbacher's attack on RSA.
18507    *Ulf Moeller <ulf@fitug.de>, reformatted, corrected and integrated by
18508    Ben Laurie*
18509
18510  * Updates to the new SSL compression code
18511
18512    *Eric A. Young, (from changes to C2Net SSLeay, integrated by Mark Cox)*
18513
18514  * Fix so that the version number in the master secret, when passed
18515    via RSA, checks that if TLS was proposed, but we roll back to SSLv3
18516    (because the server will not accept higher), that the version number
18517    is 0x03,0x01, not 0x03,0x00
18518
18519    *Eric A. Young, (from changes to C2Net SSLeay, integrated by Mark Cox)*
18520
18521  * Run extensive memory leak checks on SSL commands. Fixed *lots* of memory
18522    leaks in `ssl/` relating to new `X509_get_pubkey()` behaviour. Also fixes
18523    in `apps/` and an unrelated leak in `crypto/dsa/dsa_vrf.c`.
18524
18525    *Steve Henson*
18526
18527  * Support for RAW extensions where an arbitrary extension can be
18528    created by including its DER encoding. See `apps/openssl.cnf` for
18529    an example.
18530
18531    *Steve Henson*
18532
18533  * Make sure latest Perl versions don't interpret some generated C array
18534    code as Perl array code in the crypto/err/err_genc.pl script.
18535
18536    *Lars Weber <3weber@informatik.uni-hamburg.de>*
18537
18538  * Modify ms/do_ms.bat to not generate assembly language makefiles since
18539    not many people have the assembler. Various Win32 compilation fixes and
18540    update to the INSTALL.W32 file with (hopefully) more accurate Win32
18541    build instructions.
18542
18543    *Steve Henson*
18544
18545  * Modify configure script 'Configure' to automatically create crypto/date.h
18546    file under Win32 and also build pem.h from pem.org. New script
18547    util/mkfiles.pl to create the MINFO file on environments that can't do a
18548    'make files': perl util/mkfiles.pl >MINFO should work.
18549
18550    *Steve Henson*
18551
18552  * Major rework of DES function declarations, in the pursuit of correctness
18553    and purity. As a result, many evil casts evaporated, and some weirdness,
18554    too. You may find this causes warnings in your code. Zapping your evil
18555    casts will probably fix them. Mostly.
18556
18557    *Ben Laurie*
18558
18559  * Fix for a typo in asn1.h. Bug fix to object creation script
18560    obj_dat.pl. It considered a zero in an object definition to mean
18561    "end of object": none of the objects in objects.h have any zeros
18562    so it wasn't spotted.
18563
18564    *Steve Henson, reported by Erwann ABALEA <eabalea@certplus.com>*
18565
18566  * Add support for Triple DES Cipher Block Chaining with Output Feedback
18567    Masking (CBCM). In the absence of test vectors, the best I have been able
18568    to do is check that the decrypt undoes the encrypt, so far. Send me test
18569    vectors if you have them.
18570
18571    *Ben Laurie*
18572
18573  * Correct calculation of key length for export ciphers (too much space was
18574    allocated for null ciphers). This has not been tested!
18575
18576    *Ben Laurie*
18577
18578  * Modifications to the mkdef.pl for Win32 DEF file creation. The usage
18579    message is now correct (it understands "crypto" and "ssl" on its
18580    command line). There is also now an "update" option. This will update
18581    the util/ssleay.num and util/libeay.num files with any new functions.
18582    If you do a:
18583    perl util/mkdef.pl crypto ssl update
18584    it will update them.
18585
18586    *Steve Henson*
18587
18588  * Overhauled the Perl interface:
18589    - ported BN stuff to OpenSSL's different BN library
18590    - made the perl/ source tree CVS-aware
18591    - renamed the package from SSLeay to OpenSSL (the files still contain
18592      their history because I've copied them in the repository)
18593    - removed obsolete files (the test scripts will be replaced
18594      by better Test::Harness variants in the future)
18595
18596    *Ralf S. Engelschall*
18597
18598  * First cut for a very conservative source tree cleanup:
18599    1. merge various obsolete readme texts into doc/ssleay.txt
18600    where we collect the old documents and readme texts.
18601    2. remove the first part of files where I'm already sure that we no
18602    longer need them because of three reasons: either they are just temporary
18603    files which were left by Eric or they are preserved original files where
18604    I've verified that the diff is also available in the CVS via "cvs diff
18605    -rSSLeay_0_8_1b" or they were renamed (as it was definitely the case for
18606    the crypto/md/ stuff).
18607
18608    *Ralf S. Engelschall*
18609
18610  * More extension code. Incomplete support for subject and issuer alt
18611    name, issuer and authority key id. Change the i2v function parameters
18612    and add an extra 'crl' parameter in the X509V3_CTX structure: guess
18613    what that's for :-) Fix to ASN1 macro which messed up
18614    IMPLICIT tag and add f_enum.c which adds a2i, i2a for ENUMERATED.
18615
18616    *Steve Henson*
18617
18618  * Preliminary support for ENUMERATED type. This is largely copied from the
18619    INTEGER code.
18620
18621    *Steve Henson*
18622
18623  * Add new function, EVP_MD_CTX_copy() to replace frequent use of memcpy.
18624
18625    *Eric A. Young, (from changes to C2Net SSLeay, integrated by Mark Cox)*
18626
18627  * Make sure `make rehash` target really finds the `openssl` program.
18628
18629    *Ralf S. Engelschall, Matthias Loepfe <Matthias.Loepfe@adnovum.ch>*
18630
18631  * Squeeze another 7% of speed out of MD5 assembler, at least on a P2. I'd
18632    like to hear about it if this slows down other processors.
18633
18634    *Ben Laurie*
18635
18636  * Add CygWin32 platform information to Configure script.
18637
18638    *Alan Batie <batie@aahz.jf.intel.com>*
18639
18640  * Fixed ms/32all.bat script: `no_asm` -> `no-asm`
18641
18642    *Rainer W. Gerling <gerling@mpg-gv.mpg.de>*
18643
18644  * New program nseq to manipulate netscape certificate sequences
18645
18646    *Steve Henson*
18647
18648  * Modify crl2pkcs7 so it supports multiple -certfile arguments. Fix a
18649    few typos.
18650
18651    *Steve Henson*
18652
18653  * Fixes to BN code.  Previously the default was to define BN_RECURSION
18654    but the BN code had some problems that would cause failures when
18655    doing certificate verification and some other functions.
18656
18657    *Eric A. Young, (from changes to C2Net SSLeay, integrated by Mark Cox)*
18658
18659  * Add ASN1 and PEM code to support netscape certificate sequences.
18660
18661    *Steve Henson*
18662
18663  * Add ASN1 and PEM code to support netscape certificate sequences.
18664
18665    *Steve Henson*
18666
18667  * Add several PKIX and private extended key usage OIDs.
18668
18669    *Steve Henson*
18670
18671  * Modify the 'ca' program to handle the new extension code. Modify
18672    openssl.cnf for new extension format, add comments.
18673
18674    *Steve Henson*
18675
18676  * More X509 V3 changes. Fix typo in v3_bitstr.c. Add support to 'req'
18677    and add a sample to openssl.cnf so req -x509 now adds appropriate
18678    CA extensions.
18679
18680    *Steve Henson*
18681
18682  * Continued X509 V3 changes. Add to other makefiles, integrate with the
18683    error code, add initial support to X509_print() and x509 application.
18684
18685    *Steve Henson*
18686
18687  * Takes a deep breath and start adding X509 V3 extension support code. Add
18688    files in crypto/x509v3. Move original stuff to crypto/x509v3/old. All this
18689    stuff is currently isolated and isn't even compiled yet.
18690
18691    *Steve Henson*
18692
18693  * Continuing patches for GeneralizedTime. Fix up certificate and CRL
18694    ASN1 to use ASN1_TIME and modify print routines to use ASN1_TIME_print.
18695    Removed the versions check from X509 routines when loading extensions:
18696    this allows certain broken certificates that don't set the version
18697    properly to be processed.
18698
18699    *Steve Henson*
18700
18701  * Deal with irritating shit to do with dependencies, in YAAHW (Yet Another
18702    Ad Hoc Way) - Makefile.ssls now all contain local dependencies, which
18703    can still be regenerated with "make depend".
18704
18705    *Ben Laurie*
18706
18707  * Spelling mistake in C version of CAST-128.
18708
18709    *Ben Laurie, reported by Jeremy Hylton <jeremy@cnri.reston.va.us>*
18710
18711  * Changes to the error generation code. The perl script err-code.pl
18712    now reads in the old error codes and retains the old numbers, only
18713    adding new ones if necessary. It also only changes the .err files if new
18714    codes are added. The makefiles have been modified to only insert errors
18715    when needed (to avoid needlessly modifying header files). This is done
18716    by only inserting errors if the .err file is newer than the auto generated
18717    C file. To rebuild all the error codes from scratch (the old behaviour)
18718    either modify crypto/Makefile.ssl to pass the -regen flag to err_code.pl
18719    or delete all the .err files.
18720
18721    *Steve Henson*
18722
18723  * CAST-128 was incorrectly implemented for short keys. The C version has
18724    been fixed, but is untested. The assembler versions are also fixed, but
18725    new assembler HAS NOT BEEN GENERATED FOR WIN32 - the Makefile needs fixing
18726    to regenerate it if needed.
18727    *Ben Laurie, reported (with fix for C version) by Jun-ichiro itojun
18728     Hagino <itojun@kame.net>*
18729
18730  * File was opened incorrectly in randfile.c.
18731
18732    *Ulf Möller <ulf@fitug.de>*
18733
18734  * Beginning of support for GeneralizedTime. d2i, i2d, check and print
18735    functions. Also ASN1_TIME suite which is a CHOICE of UTCTime or
18736    GeneralizedTime. ASN1_TIME is the proper type used in certificates et
18737    al: it's just almost always a UTCTime. Note this patch adds new error
18738    codes so do a "make errors" if there are problems.
18739
18740    *Steve Henson*
18741
18742  * Correct Linux 1 recognition in config.
18743
18744    *Ulf Möller <ulf@fitug.de>*
18745
18746  * Remove pointless MD5 hash when using DSA keys in ca.
18747
18748    *Anonymous <nobody@replay.com>*
18749
18750  * Generate an error if given an empty string as a cert directory. Also
18751    generate an error if handed NULL (previously returned 0 to indicate an
18752    error, but didn't set one).
18753
18754    *Ben Laurie, reported by Anonymous <nobody@replay.com>*
18755
18756  * Add prototypes to SSL methods. Make SSL_write's buffer const, at last.
18757
18758    *Ben Laurie*
18759
18760  * Fix the dummy function BN_ref_mod_exp() in rsaref.c to have the correct
18761    parameters. This was causing a warning which killed off the Win32 compile.
18762
18763    *Steve Henson*
18764
18765  * Remove C++ style comments from crypto/bn/bn_local.h.
18766
18767    *Neil Costigan <neil.costigan@celocom.com>*
18768
18769  * The function OBJ_txt2nid was broken. It was supposed to return a nid
18770    based on a text string, looking up short and long names and finally
18771    "dot" format. The "dot" format stuff didn't work. Added new function
18772    OBJ_txt2obj to do the same but return an ASN1_OBJECT and rewrote
18773    OBJ_txt2nid to use it. OBJ_txt2obj can also return objects even if the
18774    OID is not part of the table.
18775
18776    *Steve Henson*
18777
18778  * Add prototypes to X509 lookup/verify methods, fixing a bug in
18779    X509_LOOKUP_by_alias().
18780
18781    *Ben Laurie*
18782
18783  * Sort openssl functions by name.
18784
18785    *Ben Laurie*
18786
18787  * Get the `gendsa` command working and add it to the `list` command. Remove
18788    encryption from sample DSA keys (in case anyone is interested the password
18789    was "1234").
18790
18791    *Steve Henson*
18792
18793  * Make *all* `*_free` functions accept a NULL pointer.
18794
18795    *Frans Heymans <fheymans@isaserver.be>*
18796
18797  * If a DH key is generated in s3_srvr.c, don't blow it by trying to use
18798    NULL pointers.
18799
18800    *Anonymous <nobody@replay.com>*
18801
18802  * s_server should send the CAfile as acceptable CAs, not its own cert.
18803
18804    *Bodo Moeller <3moeller@informatik.uni-hamburg.de>*
18805
18806  * Don't blow it for numeric `-newkey` arguments to `apps/req`.
18807
18808    *Bodo Moeller <3moeller@informatik.uni-hamburg.de>*
18809
18810  * Temp key "for export" tests were wrong in s3_srvr.c.
18811
18812    *Anonymous <nobody@replay.com>*
18813
18814  * Add prototype for temp key callback functions
18815    SSL_CTX_set_tmp_{rsa,dh}_callback().
18816
18817    *Ben Laurie*
18818
18819  * Make DH_free() tolerate being passed a NULL pointer (like RSA_free() and
18820    DSA_free()). Make X509_PUBKEY_set() check for errors in d2i_PublicKey().
18821
18822    *Steve Henson*
18823
18824  * X509_name_add_entry() freed the wrong thing after an error.
18825
18826    *Arne Ansper <arne@ats.cyber.ee>*
18827
18828  * rsa_eay.c would attempt to free a NULL context.
18829
18830    *Arne Ansper <arne@ats.cyber.ee>*
18831
18832  * BIO_s_socket() had a broken should_retry() on Windoze.
18833
18834    *Arne Ansper <arne@ats.cyber.ee>*
18835
18836  * BIO_f_buffer() didn't pass on BIO_CTRL_FLUSH.
18837
18838    *Arne Ansper <arne@ats.cyber.ee>*
18839
18840  * Make sure the already existing X509_STORE->depth variable is initialized
18841    in X509_STORE_new(), but document the fact that this variable is still
18842    unused in the certificate verification process.
18843
18844    *Ralf S. Engelschall*
18845
18846  * Fix the various library and `apps/` files to free up pkeys obtained from
18847    X509_PUBKEY_get() et al. Also allow x509.c to handle netscape extensions.
18848
18849    *Steve Henson*
18850
18851  * Fix reference counting in X509_PUBKEY_get(). This makes
18852    demos/maurice/example2.c work, amongst others, probably.
18853
18854    *Steve Henson and Ben Laurie*
18855
18856  * First cut of a cleanup for `apps/`. First the `ssleay` program is now named
18857    `openssl` and second, the shortcut symlinks for the `openssl <command>`
18858    are no longer created. This way we have a single and consistent command
18859    line interface `openssl <command>`, similar to `cvs <command>`.
18860
18861    *Ralf S. Engelschall, Paul Sutton and Ben Laurie*
18862
18863  * ca.c: move test for DSA keys inside #ifndef NO_DSA. Make pubkey
18864    BIT STRING wrapper always have zero unused bits.
18865
18866    *Steve Henson*
18867
18868  * Add CA.pl, perl version of CA.sh, add extended key usage OID.
18869
18870    *Steve Henson*
18871
18872  * Make the top-level INSTALL documentation easier to understand.
18873
18874    *Paul Sutton*
18875
18876  * Makefiles updated to exit if an error occurs in a sub-directory
18877    make (including if user presses ^C) [Paul Sutton]
18878
18879  * Make Montgomery context stuff explicit in RSA data structure.
18880
18881    *Ben Laurie*
18882
18883  * Fix build order of pem and err to allow for generated pem.h.
18884
18885    *Ben Laurie*
18886
18887  * Fix renumbering bug in X509_NAME_delete_entry().
18888
18889    *Ben Laurie*
18890
18891  * Enhanced the err-ins.pl script so it makes the error library number
18892    global and can add a library name. This is needed for external ASN1 and
18893    other error libraries.
18894
18895    *Steve Henson*
18896
18897  * Fixed sk_insert which never worked properly.
18898
18899    *Steve Henson*
18900
18901  * Fix ASN1 macros so they can handle indefinite length constructed
18902    EXPLICIT tags. Some non standard certificates use these: they can now
18903    be read in.
18904
18905    *Steve Henson*
18906
18907  * Merged the various old/obsolete SSLeay documentation files (doc/xxx.doc)
18908    into a single doc/ssleay.txt bundle. This way the information is still
18909    preserved but no longer messes up this directory. Now it's new room for
18910    the new set of documentation files.
18911
18912    *Ralf S. Engelschall*
18913
18914  * SETs were incorrectly DER encoded. This was a major pain, because they
18915    shared code with SEQUENCEs, which aren't coded the same. This means that
18916    almost everything to do with SETs or SEQUENCEs has either changed name or
18917    number of arguments.
18918
18919    *Ben Laurie, based on a partial fix by GP Jayan <gp@nsj.co.jp>*
18920
18921  * Fix test data to work with the above.
18922
18923    *Ben Laurie*
18924
18925  * Fix the RSA header declarations that hid a bug I fixed in 0.9.0b but
18926    was already fixed by Eric for 0.9.1 it seems.
18927
18928    *Ben Laurie - pointed out by Ulf Möller <ulf@fitug.de>*
18929
18930  * Autodetect FreeBSD3.
18931
18932    *Ben Laurie*
18933
18934  * Fix various bugs in Configure. This affects the following platforms:
18935    nextstep
18936    ncr-scde
18937    unixware-2.0
18938    unixware-2.0-pentium
18939    sco5-cc.
18940
18941    *Ben Laurie*
18942
18943  * Eliminate generated files from CVS. Reorder tests to regenerate files
18944    before they are needed.
18945
18946    *Ben Laurie*
18947
18948  * Generate Makefile.ssl from Makefile.org (to keep CVS happy).
18949
18950    *Ben Laurie*
18951
18952 ### Changes between 0.9.1b and 0.9.1c  [23-Dec-1998]
18953
18954  * Added OPENSSL_VERSION_NUMBER to crypto/crypto.h and
18955    changed SSLeay to OpenSSL in version strings.
18956
18957    *Ralf S. Engelschall*
18958
18959  * Some fixups to the top-level documents.
18960
18961    *Paul Sutton*
18962
18963  * Fixed the nasty bug where rsaref.h was not found under compile-time
18964    because the symlink to include/ was missing.
18965
18966    *Ralf S. Engelschall*
18967
18968  * Incorporated the popular no-RSA/DSA-only patches
18969    which allow to compile a RSA-free SSLeay.
18970
18971    *Andrew Cooke / Interrader Ldt., Ralf S. Engelschall*
18972
18973  * Fixed nasty rehash problem under `make -f Makefile.ssl links`
18974    when "ssleay" is still not found.
18975
18976    *Ralf S. Engelschall*
18977
18978  * Added more platforms to Configure: Cray T3E, HPUX 11,
18979
18980    *Ralf S. Engelschall, Beckmann <beckman@acl.lanl.gov>*
18981
18982  * Updated the README file.
18983
18984    *Ralf S. Engelschall*
18985
18986  * Added various .cvsignore files in the CVS repository subdirs
18987    to make a "cvs update" really silent.
18988
18989    *Ralf S. Engelschall*
18990
18991  * Recompiled the error-definition header files and added
18992    missing symbols to the Win32 linker tables.
18993
18994    *Ralf S. Engelschall*
18995
18996  * Cleaned up the top-level documents;
18997    o new files: CHANGES and LICENSE
18998    o merged VERSION, HISTORY* and README* files a CHANGES.SSLeay
18999    o merged COPYRIGHT into LICENSE
19000    o removed obsolete TODO file
19001    o renamed MICROSOFT to INSTALL.W32
19002
19003    *Ralf S. Engelschall*
19004
19005  * Removed dummy files from the 0.9.1b source tree:
19006    ```
19007    crypto/asn1/x crypto/bio/cd crypto/bio/fg crypto/bio/grep crypto/bio/vi
19008    crypto/bn/asm/......add.c crypto/bn/asm/a.out crypto/dsa/f crypto/md5/f
19009    crypto/pem/gmon.out crypto/perlasm/f crypto/pkcs7/build crypto/rsa/f
19010    crypto/sha/asm/f crypto/threads/f ms/zzz ssl/f ssl/f.mak test/f
19011    util/f.mak util/pl/f util/pl/f.mak crypto/bf/bf_locl.old apps/f
19012    ```
19013
19014    *Ralf S. Engelschall*
19015
19016  * Added various platform portability fixes.
19017
19018    *Mark J. Cox*
19019
19020  * The Genesis of the OpenSSL rpject:
19021    We start with the latest (unreleased) SSLeay version 0.9.1b which Eric A.
19022    Young and Tim J. Hudson created while they were working for C2Net until
19023    summer 1998.
19024
19025    *The OpenSSL Project*
19026
19027 ### Changes between 0.9.0b and 0.9.1b  [not released]
19028
19029  * Updated a few CA certificates under certs/
19030
19031    *Eric A. Young*
19032
19033  * Changed some BIGNUM api stuff.
19034
19035    *Eric A. Young*
19036
19037  * Various platform ports: OpenBSD, Ultrix, IRIX 64bit, NetBSD,
19038    DGUX x86, Linux Alpha, etc.
19039
19040    *Eric A. Young*
19041
19042  * New COMP library [crypto/comp/] for SSL Record Layer Compression:
19043    RLE (dummy implemented) and ZLIB (really implemented when ZLIB is
19044    available).
19045
19046    *Eric A. Young*
19047
19048  * Add -strparse option to asn1pars program which parses nested
19049    binary structures
19050
19051    *Dr Stephen Henson <shenson@bigfoot.com>*
19052
19053  * Added "oid_file" to ssleay.cnf for "ca" and "req" programs.
19054
19055    *Eric A. Young*
19056
19057  * DSA fix for "ca" program.
19058
19059    *Eric A. Young*
19060
19061  * Added "-genkey" option to "dsaparam" program.
19062
19063    *Eric A. Young*
19064
19065  * Added RIPE MD160 (rmd160) message digest.
19066
19067    *Eric A. Young*
19068
19069  * Added -a (all) option to "ssleay version" command.
19070
19071    *Eric A. Young*
19072
19073  * Added PLATFORM define which is the id given to Configure.
19074
19075    *Eric A. Young*
19076
19077  * Added MemCheck_XXXX functions to crypto/mem.c for memory checking.
19078
19079    *Eric A. Young*
19080
19081  * Extended the ASN.1 parser routines.
19082
19083    *Eric A. Young*
19084
19085  * Extended BIO routines to support REUSEADDR, seek, tell, etc.
19086
19087    *Eric A. Young*
19088
19089  * Added a BN_CTX to the BN library.
19090
19091    *Eric A. Young*
19092
19093  * Fixed the weak key values in DES library
19094
19095    *Eric A. Young*
19096
19097  * Changed API in EVP library for cipher aliases.
19098
19099    *Eric A. Young*
19100
19101  * Added support for RC2/64bit cipher.
19102
19103    *Eric A. Young*
19104
19105  * Converted the lhash library to the crypto/mem.c functions.
19106
19107    *Eric A. Young*
19108
19109  * Added more recognized ASN.1 object ids.
19110
19111    *Eric A. Young*
19112
19113  * Added more RSA padding checks for SSL/TLS.
19114
19115    *Eric A. Young*
19116
19117  * Added BIO proxy/filter functionality.
19118
19119    *Eric A. Young*
19120
19121  * Added extra_certs to SSL_CTX which can be used
19122    send extra CA certificates to the client in the CA cert chain sending
19123    process. It can be configured with SSL_CTX_add_extra_chain_cert().
19124
19125    *Eric A. Young*
19126
19127  * Now Fortezza is denied in the authentication phase because
19128    this is key exchange mechanism is not supported by SSLeay at all.
19129
19130    *Eric A. Young*
19131
19132  * Additional PKCS1 checks.
19133
19134    *Eric A. Young*
19135
19136  * Support the string "TLSv1" for all TLS v1 ciphers.
19137
19138    *Eric A. Young*
19139
19140  * Added function SSL_get_ex_data_X509_STORE_CTX_idx() which gives the
19141    ex_data index of the SSL context in the X509_STORE_CTX ex_data.
19142
19143    *Eric A. Young*
19144
19145  * Fixed a few memory leaks.
19146
19147    *Eric A. Young*
19148
19149  * Fixed various code and comment typos.
19150
19151    *Eric A. Young*
19152
19153  * A minor bug in ssl/s3_clnt.c where there would always be 4 0
19154    bytes sent in the client random.
19155
19156    *Edward Bishop <ebishop@spyglass.com>*
19157
19158 <!-- Links -->
19159
19160 [CVE-2020-1971]: https://www.openssl.org/news/vulnerabilities.html#CVE-2020-1971
19161 [CVE-2020-1967]: https://www.openssl.org/news/vulnerabilities.html#CVE-2020-1967
19162 [CVE-2019-1563]: https://www.openssl.org/news/vulnerabilities.html#CVE-2019-1563
19163 [CVE-2019-1559]: https://www.openssl.org/news/vulnerabilities.html#CVE-2019-1559
19164 [CVE-2019-1552]: https://www.openssl.org/news/vulnerabilities.html#CVE-2019-1552
19165 [CVE-2019-1551]: https://www.openssl.org/news/vulnerabilities.html#CVE-2019-1551
19166 [CVE-2019-1549]: https://www.openssl.org/news/vulnerabilities.html#CVE-2019-1549
19167 [CVE-2019-1547]: https://www.openssl.org/news/vulnerabilities.html#CVE-2019-1547
19168 [CVE-2019-1543]: https://www.openssl.org/news/vulnerabilities.html#CVE-2019-1543
19169 [CVE-2018-5407]: https://www.openssl.org/news/vulnerabilities.html#CVE-2018-5407
19170 [CVE-2018-0739]: https://www.openssl.org/news/vulnerabilities.html#CVE-2018-0739
19171 [CVE-2018-0737]: https://www.openssl.org/news/vulnerabilities.html#CVE-2018-0737
19172 [CVE-2018-0735]: https://www.openssl.org/news/vulnerabilities.html#CVE-2018-0735
19173 [CVE-2018-0734]: https://www.openssl.org/news/vulnerabilities.html#CVE-2018-0734
19174 [CVE-2018-0733]: https://www.openssl.org/news/vulnerabilities.html#CVE-2018-0733
19175 [CVE-2018-0732]: https://www.openssl.org/news/vulnerabilities.html#CVE-2018-0732
19176 [CVE-2017-3738]: https://www.openssl.org/news/vulnerabilities.html#CVE-2017-3738
19177 [CVE-2017-3737]: https://www.openssl.org/news/vulnerabilities.html#CVE-2017-3737
19178 [CVE-2017-3736]: https://www.openssl.org/news/vulnerabilities.html#CVE-2017-3736
19179 [CVE-2017-3735]: https://www.openssl.org/news/vulnerabilities.html#CVE-2017-3735
19180 [CVE-2017-3733]: https://www.openssl.org/news/vulnerabilities.html#CVE-2017-3733
19181 [CVE-2017-3732]: https://www.openssl.org/news/vulnerabilities.html#CVE-2017-3732
19182 [CVE-2017-3731]: https://www.openssl.org/news/vulnerabilities.html#CVE-2017-3731
19183 [CVE-2017-3730]: https://www.openssl.org/news/vulnerabilities.html#CVE-2017-3730
19184 [CVE-2016-7055]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-7055
19185 [CVE-2016-7054]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-7054
19186 [CVE-2016-7053]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-7053
19187 [CVE-2016-7052]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-7052
19188 [CVE-2016-6309]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-6309
19189 [CVE-2016-6308]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-6308
19190 [CVE-2016-6307]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-6307
19191 [CVE-2016-6306]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-6306
19192 [CVE-2016-6305]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-6305
19193 [CVE-2016-6304]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-6304
19194 [CVE-2016-6303]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-6303
19195 [CVE-2016-6302]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-6302
19196 [CVE-2016-2183]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2183
19197 [CVE-2016-2182]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2182
19198 [CVE-2016-2181]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2181
19199 [CVE-2016-2180]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2180
19200 [CVE-2016-2179]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2179
19201 [CVE-2016-2178]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2178
19202 [CVE-2016-2177]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2177
19203 [CVE-2016-2176]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2176
19204 [CVE-2016-2109]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2109
19205 [CVE-2016-2107]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2107
19206 [CVE-2016-2106]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2106
19207 [CVE-2016-2105]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-2105
19208 [CVE-2016-0800]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-0800
19209 [CVE-2016-0799]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-0799
19210 [CVE-2016-0798]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-0798
19211 [CVE-2016-0797]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-0797
19212 [CVE-2016-0705]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-0705
19213 [CVE-2016-0702]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-0702
19214 [CVE-2016-0701]: https://www.openssl.org/news/vulnerabilities.html#CVE-2016-0701
19215 [CVE-2015-3197]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-3197
19216 [CVE-2015-3196]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-3196
19217 [CVE-2015-3195]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-3195
19218 [CVE-2015-3194]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-3194
19219 [CVE-2015-3193]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-3193
19220 [CVE-2015-1793]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-1793
19221 [CVE-2015-1792]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-1792
19222 [CVE-2015-1791]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-1791
19223 [CVE-2015-1790]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-1790
19224 [CVE-2015-1789]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-1789
19225 [CVE-2015-1788]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-1788
19226 [CVE-2015-1787]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-1787
19227 [CVE-2015-0293]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0293
19228 [CVE-2015-0291]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0291
19229 [CVE-2015-0290]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0290
19230 [CVE-2015-0289]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0289
19231 [CVE-2015-0288]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0288
19232 [CVE-2015-0287]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0287
19233 [CVE-2015-0286]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0286
19234 [CVE-2015-0285]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0285
19235 [CVE-2015-0209]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0209
19236 [CVE-2015-0208]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0208
19237 [CVE-2015-0207]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0207
19238 [CVE-2015-0206]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0206
19239 [CVE-2015-0205]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0205
19240 [CVE-2015-0204]: https://www.openssl.org/news/vulnerabilities.html#CVE-2015-0204
19241 [CVE-2014-8275]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-8275
19242 [CVE-2014-5139]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-5139
19243 [CVE-2014-3572]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3572
19244 [CVE-2014-3571]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3571
19245 [CVE-2014-3570]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3570
19246 [CVE-2014-3569]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3569
19247 [CVE-2014-3568]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3568
19248 [CVE-2014-3567]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3567
19249 [CVE-2014-3566]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3566
19250 [CVE-2014-3513]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3513
19251 [CVE-2014-3512]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3512
19252 [CVE-2014-3511]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3511
19253 [CVE-2014-3510]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3510
19254 [CVE-2014-3509]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3509
19255 [CVE-2014-3508]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3508
19256 [CVE-2014-3507]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3507
19257 [CVE-2014-3506]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3506
19258 [CVE-2014-3505]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3505
19259 [CVE-2014-3470]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-3470
19260 [CVE-2014-0224]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-0224
19261 [CVE-2014-0221]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-0221
19262 [CVE-2014-0195]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-0195
19263 [CVE-2014-0160]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-0160
19264 [CVE-2014-0076]: https://www.openssl.org/news/vulnerabilities.html#CVE-2014-0076
19265 [CVE-2013-6450]: https://www.openssl.org/news/vulnerabilities.html#CVE-2013-6450
19266 [CVE-2013-4353]: https://www.openssl.org/news/vulnerabilities.html#CVE-2013-4353
19267 [CVE-2013-0169]: https://www.openssl.org/news/vulnerabilities.html#CVE-2013-0169
19268 [CVE-2013-0166]: https://www.openssl.org/news/vulnerabilities.html#CVE-2013-0166
19269 [CVE-2012-2686]: https://www.openssl.org/news/vulnerabilities.html#CVE-2012-2686
19270 [CVE-2012-2333]: https://www.openssl.org/news/vulnerabilities.html#CVE-2012-2333
19271 [CVE-2012-2110]: https://www.openssl.org/news/vulnerabilities.html#CVE-2012-2110
19272 [CVE-2012-0884]: https://www.openssl.org/news/vulnerabilities.html#CVE-2012-0884
19273 [CVE-2012-0050]: https://www.openssl.org/news/vulnerabilities.html#CVE-2012-0050
19274 [CVE-2012-0027]: https://www.openssl.org/news/vulnerabilities.html#CVE-2012-0027
19275 [CVE-2011-4619]: https://www.openssl.org/news/vulnerabilities.html#CVE-2011-4619
19276 [CVE-2011-4577]: https://www.openssl.org/news/vulnerabilities.html#CVE-2011-4577
19277 [CVE-2011-4576]: https://www.openssl.org/news/vulnerabilities.html#CVE-2011-4576
19278 [CVE-2011-4109]: https://www.openssl.org/news/vulnerabilities.html#CVE-2011-4109
19279 [CVE-2011-4108]: https://www.openssl.org/news/vulnerabilities.html#CVE-2011-4108
19280 [CVE-2011-3210]: https://www.openssl.org/news/vulnerabilities.html#CVE-2011-3210
19281 [CVE-2011-3207]: https://www.openssl.org/news/vulnerabilities.html#CVE-2011-3207
19282 [CVE-2011-0014]: https://www.openssl.org/news/vulnerabilities.html#CVE-2011-0014
19283 [CVE-2010-4252]: https://www.openssl.org/news/vulnerabilities.html#CVE-2010-4252
19284 [CVE-2010-4180]: https://www.openssl.org/news/vulnerabilities.html#CVE-2010-4180
19285 [CVE-2010-3864]: https://www.openssl.org/news/vulnerabilities.html#CVE-2010-3864
19286 [CVE-2010-1633]: https://www.openssl.org/news/vulnerabilities.html#CVE-2010-1633
19287 [CVE-2010-0740]: https://www.openssl.org/news/vulnerabilities.html#CVE-2010-0740
19288 [CVE-2010-0433]: https://www.openssl.org/news/vulnerabilities.html#CVE-2010-0433
19289 [CVE-2009-4355]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-4355
19290 [CVE-2009-3555]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-3555
19291 [CVE-2009-3245]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-3245
19292 [CVE-2009-1386]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-1386
19293 [CVE-2009-1379]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-1379
19294 [CVE-2009-1378]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-1378
19295 [CVE-2009-1377]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-1377
19296 [CVE-2009-0789]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-0789
19297 [CVE-2009-0591]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-0591
19298 [CVE-2009-0590]: https://www.openssl.org/news/vulnerabilities.html#CVE-2009-0590
19299 [CVE-2008-5077]: https://www.openssl.org/news/vulnerabilities.html#CVE-2008-5077
19300 [CVE-2008-1678]: https://www.openssl.org/news/vulnerabilities.html#CVE-2008-1678
19301 [CVE-2008-1672]: https://www.openssl.org/news/vulnerabilities.html#CVE-2008-1672
19302 [CVE-2008-0891]: https://www.openssl.org/news/vulnerabilities.html#CVE-2008-0891
19303 [CVE-2007-5135]: https://www.openssl.org/news/vulnerabilities.html#CVE-2007-5135
19304 [CVE-2007-4995]: https://www.openssl.org/news/vulnerabilities.html#CVE-2007-4995
19305 [CVE-2006-4343]: https://www.openssl.org/news/vulnerabilities.html#CVE-2006-4343
19306 [CVE-2006-4339]: https://www.openssl.org/news/vulnerabilities.html#CVE-2006-4339
19307 [CVE-2006-3738]: https://www.openssl.org/news/vulnerabilities.html#CVE-2006-3738
19308 [CVE-2006-2940]: https://www.openssl.org/news/vulnerabilities.html#CVE-2006-2940
19309 [CVE-2006-2937]: https://www.openssl.org/news/vulnerabilities.html#CVE-2006-2937
19310 [CVE-2005-2969]: https://www.openssl.org/news/vulnerabilities.html#CVE-2005-2969
19311 [CVE-2004-0112]: https://www.openssl.org/news/vulnerabilities.html#CVE-2004-0112
19312 [CVE-2004-0079]: https://www.openssl.org/news/vulnerabilities.html#CVE-2004-0079
19313 [CVE-2003-0851]: https://www.openssl.org/news/vulnerabilities.html#CVE-2003-0851
19314 [CVE-2003-0545]: https://www.openssl.org/news/vulnerabilities.html#CVE-2003-0545
19315 [CVE-2003-0544]: https://www.openssl.org/news/vulnerabilities.html#CVE-2003-0544
19316 [CVE-2003-0543]: https://www.openssl.org/news/vulnerabilities.html#CVE-2003-0543
19317 [CVE-2003-0078]: https://www.openssl.org/news/vulnerabilities.html#CVE-2003-0078
19318 [CVE-2002-0659]: https://www.openssl.org/news/vulnerabilities.html#CVE-2002-0659
19319 [CVE-2002-0657]: https://www.openssl.org/news/vulnerabilities.html#CVE-2002-0657
19320 [CVE-2002-0656]: https://www.openssl.org/news/vulnerabilities.html#CVE-2002-0656
19321 [CVE-2002-0655]: https://www.openssl.org/news/vulnerabilities.html#CVE-2002-0655