DOC: Mention Configure consistently
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10 OpenSSL Releases
11 ----------------
12
13  - [OpenSSL 3.0](#openssl-30)
14  - [OpenSSL 1.1.1](#openssl-111)
15  - [OpenSSL 1.1.0](#openssl-110)
16  - [OpenSSL 1.0.2](#openssl-102)
17  - [OpenSSL 1.0.1](#openssl-101)
18  - [OpenSSL 1.0.0](#openssl-100)
19  - [OpenSSL 0.9.x](#openssl-09x)
20
21 OpenSSL 3.0
22 -----------
23
24 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx]
25
26  * 'Configure' has been changed to figure out the configuration target if
27    none is given on the command line.  Consequently, the 'config' script is
28    now only a mere wrapper.  All documentation is changed to only mention
29    'Configure'.
30
31    *Rich Salz and Richard Levitte*
32
33  * Added a library context that applications as well as other
34    libraries can use to form a separate context within which libcrypto
35    operations are performed.
36
37    There are two ways this can be used:
38
39    - Directly, by passing a library context to functions that take
40      such an argument, such as `EVP_CIPHER_fetch` and similar algorithm
41      fetching functions.
42    - Indirectly, by creating a new library context and then assigning
43      it as the new default, with `OPENSSL_CTX_set0_default`.
44
45    All public OpenSSL functions that take an `OPENSSL_CTX` pointer,
46    apart from the functions directly related to `OPENSSL_CTX`, accept
47    NULL to indicate that the default library context should be used.
48
49    Library code that changes the default library context using
50    `OPENSSL_CTX_set0_default` should take care to restore it with a
51    second call before returning to the caller.
52
53    *Richard Levitte*
54
55  * Handshake now fails if Extended Master Secret extension is dropped
56    on renegotiation.
57
58    *Tomas Mraz*
59
60  * Dropped interactive mode from the 'openssl' program.  From now on,
61    the `openssl` command without arguments is equivalent to `openssl
62    help`.
63
64    *Richard Levitte*
65
66  * Renamed EVP_PKEY_cmp() to EVP_PKEY_eq() and
67    EVP_PKEY_cmp_parameters() to EVP_PKEY_parameters_eq().
68    While the old function names have been retained for backward compatibility
69    they should not be used in new developments
70    because their return values are confusing: Unlike other `_cmp()` functions
71    they do not return 0 in case their arguments are equal.
72
73    *David von Oheimb*
74
75  * Deprecated EC_METHOD_get_field_type(). Applications should switch to
76    EC_GROUP_get_field_type().
77
78    *Billy Bob Brumley*
79
80  * Deprecated EC_GFp_simple_method(), EC_GFp_mont_method(),
81    EC_GF2m_simple_method(), EC_GFp_nist_method(), EC_GFp_nistp224_method()
82    EC_GFp_nistp256_method(), and EC_GFp_nistp521_method().
83    Applications should rely on the library automatically assigning a suitable
84    EC_METHOD internally upon EC_GROUP construction.
85
86    *Billy Bob Brumley*
87
88  * Deprecated EC_GROUP_new(), EC_GROUP_method_of(), and EC_POINT_method_of().
89    EC_METHOD is now an internal-only concept and a suitable EC_METHOD is
90    assigned internally without application intervention.
91    Users of EC_GROUP_new() should switch to a different suitable constructor.
92
93    *Billy Bob Brumley*
94
95  * Add CAdES-BES signature verification support, mostly derived
96    from ESSCertIDv2 TS (RFC 5816) contribution by Marek Klein.
97
98    *Filipe Raimundo da Silva*
99
100  * Add CAdES-BES signature scheme and attributes support (RFC 5126) to CMS API.
101
102    *Antonio Iacono*
103
104  * Deprecated EC_POINT_make_affine() and EC_POINTs_make_affine(). These
105    functions are not widely used and now OpenSSL automatically perform this
106    conversion when needed.
107
108    *Billy Bob Brumley*
109
110  * Deprecated EC_GROUP_precompute_mult(), EC_GROUP_have_precompute_mult(), and
111    EC_KEY_precompute_mult(). These functions are not widely used and
112    applications should instead switch to named curves which OpenSSL has
113    hardcoded lookup tables for.
114
115    *Billy Bob Brumley*
116
117  * Deprecated EC_POINTs_mul(). This function is not widely used and applications
118    should instead use the L<EC_POINT_mul(3)> function.
119
120    *Billy Bob Brumley*
121
122  * Removed FIPS_mode() and FIPS_mode_set(). These functions are legacy API's
123    that are not applicable to the new provider model. Applications should
124    instead use EVP_default_properties_is_fips_enabled() and
125    EVP_default_properties_enable_fips().
126
127    *Shane Lontis*
128
129  * The SSL option SSL_OP_IGNORE_UNEXPECTED_EOF is introduced. If that option
130    is set, an unexpected EOF is ignored, it pretends a close notify was received
131    instead and so the returned error becomes SSL_ERROR_ZERO_RETURN.
132
133    *Dmitry Belyavskiy*
134
135  * Deprecated EC_POINT_set_Jprojective_coordinates_GFp() and
136    EC_POINT_get_Jprojective_coordinates_GFp(). These functions are not widely
137    used and applications should instead use the
138    L<EC_POINT_set_affine_coordinates(3)> and
139    L<EC_POINT_get_affine_coordinates(3)> functions.
140
141    *Billy Bob Brumley*
142
143  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
144    arrays to be more easily constructed via a series of utility functions.
145    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
146    the various push functions and finally convert to a passable OSSL_PARAM
147    array using OSSL_PARAM_BLD_to_param().
148
149    *Paul Dale*
150
151  * The security strength of SHA1 and MD5 based signatures in TLS has been
152    reduced. This results in SSL 3, TLS 1.0, TLS 1.1 and DTLS 1.0 no longer
153    working at the default security level of 1 and instead requires security
154    level 0. The security level can be changed either using the cipher string
155    with @SECLEVEL, or calling SSL_CTX_set_security_level().
156
157    *Kurt Roeckx*
158
159  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
160    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
161    internal keys, if they correspond to one of those built in types.
162
163    *Richard Levitte*
164
165  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
166    contain a provider side internal key.
167
168    *Richard Levitte*
169
170  * ASN1_verify(), ASN1_digest() and ASN1_sign() have been deprecated.
171    They are old functions that we don't use, and that you could disable with
172    the macro NO_ASN1_OLD.  This goes all the way back to OpenSSL 0.9.7.
173
174    *Richard Levitte*
175
176  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
177    have been converted to Markdown with the goal to produce documents
178    which not only look pretty when viewed online in the browser, but
179    remain well readable inside a plain text editor.
180
181    To achieve this goal, a 'minimalistic' Markdown style has been applied
182    which avoids formatting elements that interfere too much with the
183    reading flow in the text file. For example, it
184
185    * avoids [ATX headings][] and uses [setext headings][] instead
186      (which works for `<h1>` and `<h2>` headings only).
187    * avoids [inline links][] and uses [reference links][] instead.
188    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
189
190      [ATX headings]:         https://github.github.com/gfm/#atx-headings
191      [setext headings]:      https://github.github.com/gfm/#setext-headings
192      [inline links]:         https://github.github.com/gfm/#inline-link
193      [reference links]:      https://github.github.com/gfm/#reference-link
194      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
195      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
196
197    *Matthias St. Pierre*
198
199  * The test suite is changed to preserve results of each test recipe.
200    A new directory test-runs/ with subdirectories named like the
201    test recipes are created in the build tree for this purpose.
202
203    *Richard Levitte*
204
205  * Added an implementation of CMP and CRMF (RFC 4210, RFC 4211 RFC 6712).
206    This adds crypto/cmp/, crpyto/crmf/, apps/cmp.c, and test/cmp_*.
207    See L<openssl-cmp(1)> and L<OSSL_CMP_exec_IR_ses(3)> as starting points.
208
209    *David von Oheimb, Martin Peylo*
210
211  * Generalized the HTTP client code from crypto/ocsp/ into crpyto/http/.
212    The legacy OCSP-focused and only partly documented API is retained.
213    See L<OSSL_CMP_MSG_http_perform(3)> etc. for details.
214
215    *David von Oheimb*
216
217  * BIO_do_connect and BIO_do_handshake have been extended:
218    If domain name resolution yields multiple IP addresses all of them are tried
219    after connect() failures.
220
221    *David von Oheimb*
222
223  * All of the low level RSA functions have been deprecated including:
224
225    RSA_new_method, RSA_size, RSA_security_bits, RSA_get0_pss_params,
226    RSA_get_version, RSA_get0_engine, RSA_generate_key_ex,
227    RSA_generate_multi_prime_key, RSA_X931_derive_ex, RSA_X931_generate_key_ex,
228    RSA_check_key, RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
229    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
230    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
231    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
232    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING, RSA_blinding_on,
233    RSA_blinding_off, RSA_setup_blinding, RSA_padding_add_PKCS1_type_1,
234    RSA_padding_check_PKCS1_type_1, RSA_padding_add_PKCS1_type_2,
235    RSA_padding_check_PKCS1_type_2, PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP,
236    RSA_padding_check_PKCS1_OAEP, RSA_padding_add_PKCS1_OAEP_mgf1,
237    RSA_padding_check_PKCS1_OAEP_mgf1, RSA_padding_add_SSLv23,
238    RSA_padding_check_SSLv23, RSA_padding_add_none, RSA_padding_check_none,
239    RSA_padding_add_X931, RSA_padding_check_X931, RSA_X931_hash_id,
240    RSA_verify_PKCS1_PSS, RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
241    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
242    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
243    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
244    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
245    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
246    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
247    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
248    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
249    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
250    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
251    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
252    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
253
254    Use of these low level functions has been informally discouraged for a long
255    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
256    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
257    L<EVP_PKEY_decrypt(3)>.
258
259    *Paul Dale*
260
261  * X509 certificates signed using SHA1 are no longer allowed at security
262    level 1 and above.
263    In TLS/SSL the default security level is 1. It can be set either
264    using the cipher string with @SECLEVEL, or calling
265    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
266    a call to SSL_CTX_use_certificate() will fail if the security level is not
267    lowered first.
268    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
269    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
270    options of the apps.
271
272    *Kurt Roeckx*
273
274  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
275    modified to use PKEY APIs.  These commands are now in maintenance mode
276    and no new features will be added to them.
277
278    *Paul Dale*
279
280  * The command line utility rsautl has been deprecated.
281    Instead use the pkeyutl program.
282
283    *Paul Dale*
284
285  * The command line utilities genrsa and rsa have been modified to use PKEY
286    APIs  These commands are now in maintenance mode and no new features will
287    be added to them.
288
289    *Paul Dale*
290
291  * All of the low level DH functions have been deprecated including:
292
293    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
294    DH_new_method, DH_size, DH_security_bits, DH_get_ex_new_index,
295    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
296    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
297    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
298    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
299    DH_KDF_X9_42, DH_get0_engine, DH_meth_new, DH_meth_free, DH_meth_dup,
300    DH_meth_get0_name, DH_meth_set1_name, DH_meth_get_flags, DH_meth_set_flags,
301    DH_meth_get0_app_data, DH_meth_set0_app_data, DH_meth_get_generate_key,
302    DH_meth_set_generate_key, DH_meth_get_compute_key, DH_meth_set_compute_key,
303    DH_meth_get_bn_mod_exp, DH_meth_set_bn_mod_exp, DH_meth_get_init,
304    DH_meth_set_init, DH_meth_get_finish, DH_meth_set_finish,
305    DH_meth_get_generate_params and DH_meth_set_generate_params.
306
307    Use of these low level functions has been informally discouraged for a long
308    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
309    and L<EVP_PKEY_derive(3)>.
310
311    *Paul Dale*
312
313  * All of the low level DSA functions have been deprecated including:
314
315    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
316    DSA_get_default_method, DSA_set_method, DSA_get_method,
317    DSA_new_method, DSA_size, DSA_security_bits, DSA_sign_setup, DSA_sign,
318    DSA_verify, DSA_get_ex_new_index, DSA_set_ex_data, DSA_get_ex_data,
319    DSA_generate_parameters_ex, DSA_generate_key, DSA_meth_new, DSA_get0_engine,
320    DSA_meth_free, DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name,
321    DSA_meth_get_flags, DSA_meth_set_flags, DSA_meth_get0_app_data,
322    DSA_meth_set0_app_data, DSA_meth_get_sign, DSA_meth_set_sign,
323    DSA_meth_get_sign_setup, DSA_meth_set_sign_setup, DSA_meth_get_verify,
324    DSA_meth_set_verify, DSA_meth_get_mod_exp, DSA_meth_set_mod_exp,
325    DSA_meth_get_bn_mod_exp, DSA_meth_set_bn_mod_exp, DSA_meth_get_init,
326    DSA_meth_set_init, DSA_meth_get_finish, DSA_meth_set_finish,
327    DSA_meth_get_paramgen, DSA_meth_set_paramgen, DSA_meth_get_keygen and
328    DSA_meth_set_keygen.
329
330    Use of these low level functions has been informally discouraged for a long
331    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
332    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
333
334    *Paul Dale*
335
336  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
337    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
338    This means that applications don't have to look at the curve NID and
339    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
340    However, they still can, that EVP_PKEY_set_alias_type() call acts as
341    a no-op when the EVP_PKEY is already of the given type.
342
343    Parameter and key generation is also reworked to make it possible
344    to generate EVP_PKEY_SM2 parameters and keys without having to go
345    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
346    However, code that does the latter will still work as before.
347
348    *Richard Levitte*
349
350  * Deprecated low level ECDH and ECDSA functions.  These include:
351
352    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
353    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
354    ECDSA_size.
355
356    Use of these low level functions has been informally discouraged for a long
357    time.  Instead applications should use the EVP_PKEY_derive(3),
358    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
359
360    *Paul Dale*
361
362  * Deprecated the EC_KEY_METHOD functions.  These include:
363
364    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
365    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
366    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
367    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
368    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
369    EC_KEY_METHOD_get_verify.
370
371    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
372
373    *Paul Dale*
374
375  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
376    and EVP_PKEY_decrypt() instead.
377    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
378    and EVP_PKEY_encrypt() instead.
379
380    *Richard Levitte*
381
382  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
383    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
384    a new formulation to include all the things it can be used for,
385    as well as words of caution.
386
387    *Richard Levitte*
388
389  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
390    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
391
392    *Paul Dale*
393
394  * All of the low level HMAC functions have been deprecated including:
395
396    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
397    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
398    and HMAC_CTX_get_md.
399
400    Use of these low level functions has been informally discouraged for a long
401    time.  Instead applications should use L<EVP_MAC_new_ctx(3)>,
402    L<EVP_MAC_free_ctx(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
403    and L<EVP_MAC_final(3)>.
404
405    *Paul Dale*
406
407  * Over two thousand fixes were made to the documentation, including:
408    - Common options (such as -rand/-writerand, TLS version control, etc)
409      were refactored and point to newly-enhanced descriptions in openssl.pod.
410    - Added style conformance for all options (with help from Richard Levitte),
411      documented all reported missing options, added a CI build to check
412      that all options are documented and that no unimplemented options
413      are documented.
414    - Documented some internals, such as all use of environment variables.
415    - Addressed all internal broken L<> references.
416
417    *Rich Salz*
418
419  * All of the low level CMAC functions have been deprecated including:
420
421    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
422    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
423
424    Use of these low level functions has been informally discouraged for a long
425    time.  Instead applications should use L<EVP_MAC_new_ctx(3)>,
426    L<EVP_MAC_free_ctx(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
427    and L<EVP_MAC_final(3)>.
428
429    *Paul Dale*
430
431  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
432    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
433    These include:
434
435    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
436    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
437    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
438    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
439    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
440    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
441    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
442    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
443    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
444    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
445
446    Use of these low level functions has been informally discouraged
447    for a long time.  Applications should use the EVP_DigestInit_ex(3),
448    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
449
450    *Paul Dale*
451
452  * Corrected the documentation of the return values from the `EVP_DigestSign*`
453    set of functions.  The documentation mentioned negative values for some
454    errors, but this was never the case, so the mention of negative values
455    was removed.
456
457    Code that followed the documentation and thereby check with something
458    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
459
460    *Richard Levitte*
461
462  * All of the low level cipher functions have been deprecated including:
463
464    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
465    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
466    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
467    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
468    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
469    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
470    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
471    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
472    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
473    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
474    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
475    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
476    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
477    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
478    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
479    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
480    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
481    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
482    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
483    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
484    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
485    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
486    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
487    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
488    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
489    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
490    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
491    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
492    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
493
494    Use of these low level functions has been informally discouraged for
495    a long time. Applications should use the high level EVP APIs, e.g.
496    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
497    equivalently named decrypt functions instead.
498
499    *Matt Caswell and Paul Dale*
500
501  * Removed include/openssl/opensslconf.h.in and replaced it with
502    include/openssl/configuration.h.in, which differs in not including
503    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
504    was added to include both.
505
506    This allows internal hacks where one might need to modify the set
507    of configured macros, for example this if deprecated symbols are
508    still supposed to be available internally:
509
510        #include <openssl/configuration.h>
511
512        #undef OPENSSL_NO_DEPRECATED
513        #define OPENSSL_SUPPRESS_DEPRECATED
514
515        #include <openssl/macros.h>
516
517    This should not be used by applications that use the exported
518    symbols, as that will lead to linking errors.
519
520    *Richard Levitte*
521
522  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
523    used in exponentiation with 512-bit moduli. No EC algorithms are
524    affected. Analysis suggests that attacks against 2-prime RSA1024,
525    3-prime RSA1536, and DSA1024 as a result of this defect would be very
526    difficult to perform and are not believed likely. Attacks against DH512
527    are considered just feasible. However, for an attack the target would
528    have to re-use the DH512 private key, which is not recommended anyway.
529    Also applications directly using the low level API BN_mod_exp may be
530    affected if they use BN_FLG_CONSTTIME.
531    [CVE-2019-1551][]
532
533    *Andy Polyakov*
534
535  * Most memory-debug features have been deprecated, and the functionality
536    replaced with no-ops.
537
538    *Rich Salz*
539
540  * Added documentation for the STACK API. OpenSSL only defines the STACK
541    functions where they are used.
542
543    *Rich Salz*
544
545  * Introduced a new method type and API, OSSL_SERIALIZER, to
546    represent generic serializers.  An implementation is expected to
547    be able to serialize an object associated with a given name (such
548    as an algorithm name for an asymmetric key) into forms given by
549    implementation properties.
550
551    Serializers are primarily used from inside libcrypto, through
552    calls to functions like EVP_PKEY_print_private(),
553    PEM_write_bio_PrivateKey() and similar.
554
555    Serializers are specified in such a way that they can be made to
556    directly handle the provider side portion of an object, if this
557    provider side part comes from the same provider as the serializer
558    itself, but can also be made to handle objects in parametrized
559    form (as an OSSL_PARAM array of data).  This allows a provider to
560    offer generic serializers as a service for any other provider.
561
562    *Richard Levitte*
563
564  * Added a .pragma directive to the syntax of configuration files, to
565    allow varying behavior in a supported and predictable manner.
566    Currently added pragma:
567
568            .pragma dollarid:on
569
570    This allows dollar signs to be a keyword character unless it's
571    followed by a opening brace or parenthesis.  This is useful for
572    platforms where dollar signs are commonly used in names, such as
573    volume names and system directory names on VMS.
574
575    *Richard Levitte*
576
577  * Added functionality to create an EVP_PKEY from user data.  This
578    is effectively the same as creating a RSA, DH or DSA object and
579    then assigning them to an EVP_PKEY, but directly using algorithm
580    agnostic EVP functions.  A benefit is that this should be future
581    proof for public key algorithms to come.
582
583    *Richard Levitte*
584
585  * Change the interpretation of the '--api' configuration option to
586    mean that this is a desired API compatibility level with no
587    further meaning.  The previous interpretation, that this would
588    also mean to remove all deprecated symbols up to and including
589    the given version, no requires that 'no-deprecated' is also used
590    in the configuration.
591
592    When building applications, the desired API compatibility level
593    can be set with the OPENSSL_API_COMPAT macro like before.  For
594    API compatibility version below 3.0, the old style numerical
595    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
596    For version 3.0 and on, the value is expected to be the decimal
597    value calculated from the major and minor version like this:
598
599            MAJOR * 10000 + MINOR * 100
600
601    Examples:
602
603            -DOPENSSL_API_COMPAT=30000             For 3.0
604            -DOPENSSL_API_COMPAT=30200             For 3.2
605
606    To hide declarations that are deprecated up to and including the
607    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
608    given when building the application as well.
609
610    *Richard Levitte*
611
612  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
613    access to certificate and CRL stores via URIs and OSSL_STORE
614    loaders.
615
616    This adds the following functions:
617
618    - X509_LOOKUP_store()
619    - X509_STORE_load_file()
620    - X509_STORE_load_path()
621    - X509_STORE_load_store()
622    - SSL_add_store_cert_subjects_to_stack()
623    - SSL_CTX_set_default_verify_store()
624    - SSL_CTX_load_verify_file()
625    - SSL_CTX_load_verify_dir()
626    - SSL_CTX_load_verify_store()
627
628    *Richard Levitte*
629
630  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
631    The presence of this system service is determined at run-time.
632
633    *Richard Levitte*
634
635  * Added functionality to create an EVP_PKEY context based on data
636    for methods from providers.  This takes an algorithm name and a
637    property query string and simply stores them, with the intent
638    that any operation that uses this context will use those strings
639    to fetch the needed methods implicitly, thereby making the port
640    of application written for pre-3.0 OpenSSL easier.
641
642    *Richard Levitte*
643
644  * The undocumented function NCONF_WIN32() has been deprecated; for
645    conversion details see the HISTORY section of doc/man5/config.pod
646
647    *Rich Salz*
648
649  * Introduced the new functions EVP_DigestSignInit_ex() and
650    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
651    EVP_DigestVerifyUpdate() have been converted to functions. See the man
652    pages for further details.
653
654    *Matt Caswell*
655
656  * Over two thousand fixes were made to the documentation, including:
657    adding missing command flags, better style conformance, documentation
658    of internals, etc.
659
660    *Rich Salz, Richard Levitte*
661
662  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
663    X25519, X448, Ed25519 and Ed448.
664
665    *Patrick Steuer*
666
667  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
668    the first value.
669
670    *Jon Spillett*
671
672  * Deprecated the public definition of ERR_STATE as well as the function
673    ERR_get_state().  This is done in preparation of making ERR_STATE an
674    opaque type.
675
676    *Richard Levitte*
677
678  * Added ERR functionality to give callers access to the stored function
679    names that have replaced the older function code based functions.
680
681    New functions are ERR_get_error_func(), ERR_peek_error_func(),
682    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
683    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
684    and ERR_peek_last_error_all().
685
686    These functions have become deprecated: ERR_get_error_line_data(),
687    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
688    ERR_func_error_string().
689
690    *Richard Levitte*
691
692  * Extended testing to be verbose for failing tests only.  The make variables
693    VERBOSE_FAILURE or VF can be used to enable this:
694
695            $ make VF=1 test                           # Unix
696            $ mms /macro=(VF=1) test                   ! OpenVMS
697            $ nmake VF=1 test                          # Windows
698
699    *Richard Levitte*
700
701  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
702    used even when parsing explicit parameters, when loading a serialized key
703    or calling `EC_GROUP_new_from_ecpkparameters()`/
704    `EC_GROUP_new_from_ecparameters()`.
705    This prevents bypass of security hardening and performance gains,
706    especially for curves with specialized EC_METHODs.
707    By default, if a key encoded with explicit parameters is loaded and later
708    serialized, the output is still encoded with explicit parameters, even if
709    internally a "named" EC_GROUP is used for computation.
710
711    *Nicola Tuveri*
712
713  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
714    this change, EC_GROUP_set_generator would accept order and/or cofactor as
715    NULL. After this change, only the cofactor parameter can be NULL. It also
716    does some minimal sanity checks on the passed order.
717    [CVE-2019-1547][]
718
719    *Billy Bob Brumley*
720
721  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
722    An attack is simple, if the first CMS_recipientInfo is valid but the
723    second CMS_recipientInfo is chosen ciphertext. If the second
724    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
725    encryption key will be replaced by garbage, and the message cannot be
726    decoded, but if the RSA decryption fails, the correct encryption key is
727    used and the recipient will not notice the attack.
728    As a work around for this potential attack the length of the decrypted
729    key must be equal to the cipher default key length, in case the
730    certifiate is not given and all recipientInfo are tried out.
731    The old behaviour can be re-enabled in the CMS code by setting the
732    CMS_DEBUG_DECRYPT flag.
733
734    *Bernd Edlinger*
735
736  * Early start up entropy quality from the DEVRANDOM seed source has been
737    improved for older Linux systems.  The RAND subsystem will wait for
738    /dev/random to be producing output before seeding from /dev/urandom.
739    The seeded state is stored for future library initialisations using
740    a system global shared memory segment.  The shared memory identifier
741    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
742    the desired value.  The default identifier is 114.
743
744    *Paul Dale*
745
746  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
747    when primes for RSA keys are computed.
748    Since we previously always generated primes == 2 (mod 3) for RSA keys,
749    the 2-prime and 3-prime RSA modules were easy to distinguish, since
750    `N = p*q = 1 (mod 3)`, but `N = p*q*r = 2 (mod 3)`. Therefore fingerprinting
751    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
752    This avoids possible fingerprinting of newly generated RSA modules.
753
754    *Bernd Edlinger*
755
756  * Correct the extended master secret constant on EBCDIC systems. Without this
757    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
758    negotiate EMS will fail. Unfortunately this also means that TLS connections
759    between EBCDIC systems with this fix, and EBCDIC systems without this
760    fix will fail if they negotiate EMS.
761
762    *Matt Caswell*
763
764  * Changed the library initialisation so that the config file is now loaded
765    by default. This was already the case for libssl. It now occurs for both
766    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
767    OPENSSL_init_crypto() to suppress automatic loading of a config file.
768
769    *Matt Caswell*
770
771  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
772    where the former acts as a replacement for ERR_put_error(), and the
773    latter replaces the combination ERR_put_error()+ERR_add_error_data().
774    ERR_raise_data() adds more flexibility by taking a format string and
775    an arbitrary number of arguments following it, to be processed with
776    BIO_snprintf().
777
778    *Richard Levitte*
779
780  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
781    to check if a named provider is loaded and available.  When called, it
782    will also activate all fallback providers if such are still present.
783
784    *Richard Levitte*
785
786  * Enforce a minimum DH modulus size of 512 bits.
787
788    *Bernd Edlinger*
789
790  * Changed DH parameters to generate the order q subgroup instead of 2q.
791    Previously generated DH parameters are still accepted by DH_check
792    but DH_generate_key works around that by clearing bit 0 of the
793    private key for those. This avoids leaking bit 0 of the private key.
794
795    *Bernd Edlinger*
796
797  * Significantly reduce secure memory usage by the randomness pools.
798
799    *Paul Dale*
800
801  * `{CRYPTO,OPENSSL}_mem_debug_{push,pop}` are now no-ops and have been
802    deprecated.
803
804    *Rich Salz*
805
806  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
807    algorithms. An implementation of a key exchange algorithm can be obtained
808    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
809    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
810    the older EVP_PKEY_derive_init() function. See the man pages for the new
811    functions for further details.
812
813    *Matt Caswell*
814
815  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
816
817    *Matt Caswell*
818
819  * Removed the function names from error messages and deprecated the
820    xxx_F_xxx define's.
821
822  * Removed NextStep support and the macro OPENSSL_UNISTD
823
824    *Rich Salz*
825
826  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
827    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
828    Also removed "export var as function" capability; we do not export
829    variables, only functions.
830
831    *Rich Salz*
832
833  * RC5_32_set_key has been changed to return an int type, with 0 indicating
834    an error and 1 indicating success. In previous versions of OpenSSL this
835    was a void type. If a key was set longer than the maximum possible this
836    would crash.
837
838    *Matt Caswell*
839
840  * Support SM2 signing and verification schemes with X509 certificate.
841
842    *Paul Yang*
843
844  * Use SHA256 as the default digest for TS query in the ts app.
845
846    *Tomas Mraz*
847
848  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
849    This checks that the salt length is at least 128 bits, the derived key
850    length is at least 112 bits, and that the iteration count is at least 1000.
851    For backwards compatibility these checks are disabled by default in the
852    default provider, but are enabled by default in the fips provider.
853    To enable or disable these checks use the control
854    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
855
856    *Shane Lontis*
857
858  * Default cipher lists/suites are now available via a function, the
859    #defines are deprecated.
860
861    *Todd Short*
862
863  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
864    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
865    for Windows Store apps easier. Also, the "no-uplink" option has been added.
866
867    *Kenji Mouri*
868
869  * Join the directories crypto/x509 and crypto/x509v3
870
871    *Richard Levitte*
872
873  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
874    This changes the size when using the genpkey app when no size is given. It
875    fixes an omission in earlier changes that changed all RSA, DSA and DH
876    generation apps to use 2048 bits by default.
877
878    *Kurt Roeckx*
879
880  * Added command 'openssl kdf' that uses the EVP_KDF API.
881
882    *Shane Lontis*
883
884  * Added command 'openssl mac' that uses the EVP_MAC API.
885
886    *Shane Lontis*
887
888  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
889    as default directories.  Also added the command 'openssl info'
890    for scripting purposes.
891
892    *Richard Levitte*
893
894  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
895    deprecated. These undocumented functions were never integrated into the EVP
896    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
897    Bi-directional IGE mode. These modes were never formally standardised and
898    usage of these functions is believed to be very small. In particular
899    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
900    is ever used. The security implications are believed to be minimal, but
901    this issue was never fixed for backwards compatibility reasons. New code
902    should not use these modes.
903
904    *Matt Caswell*
905
906  * Add prediction resistance to the DRBG reseeding process.
907
908    *Paul Dale*
909
910  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
911    mandated by IEEE Std 1619-2018.
912
913    *Paul Dale*
914
915  * Added newline escaping functionality to a filename when using openssl dgst.
916    This output format is to replicate the output format found in the `*sum`
917    checksum programs. This aims to preserve backward compatibility.
918
919    *Matt Eaton, Richard Levitte, and Paul Dale*
920
921  * Removed the heartbeat message in DTLS feature, as it has very
922    little usage and doesn't seem to fulfill a valuable purpose.
923    The configuration option is now deprecated.
924
925    *Richard Levitte*
926
927  * Changed the output of 'openssl {digestname} < file' to display the
928    digest name in its output.
929
930    *Richard Levitte*
931
932  * Added a new generic trace API which provides support for enabling
933    instrumentation through trace output. This feature is mainly intended
934    as an aid for developers and is disabled by default. To utilize it,
935    OpenSSL needs to be configured with the `enable-trace` option.
936
937    If the tracing API is enabled, the application can activate trace output
938    by registering BIOs as trace channels for a number of tracing and debugging
939    categories.
940
941    The 'openssl' application has been expanded to enable any of the types
942    available via environment variables defined by the user, and serves as
943    one possible example on how to use this functionality.
944
945    *Richard Levitte & Matthias St. Pierre*
946
947  * Added build tests for C++.  These are generated files that only do one
948    thing, to include one public OpenSSL head file each.  This tests that
949    the public header files can be usefully included in a C++ application.
950
951    This test isn't enabled by default.  It can be enabled with the option
952    'enable-buildtest-c++'.
953
954    *Richard Levitte*
955
956  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
957
958    *Shane Lontis*
959
960  * Add KMAC to EVP_MAC.
961
962    *Shane Lontis*
963
964  * Added property based algorithm implementation selection framework to
965    the core.
966
967    *Paul Dale*
968
969  * Added SCA hardening for modular field inversion in EC_GROUP through
970    a new dedicated field_inv() pointer in EC_METHOD.
971    This also addresses a leakage affecting conversions from projective
972    to affine coordinates.
973
974    *Billy Bob Brumley, Nicola Tuveri*
975
976  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
977    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
978    those algorithms that were already supported through the EVP_PKEY API
979    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
980    and scrypt are now wrappers that call EVP_KDF.
981
982    *David Makepeace*
983
984  * Build devcrypto engine as a dynamic engine.
985
986    *Eneas U de Queiroz*
987
988  * Add keyed BLAKE2 to EVP_MAC.
989
990    *Antoine Salon*
991
992  * Fix a bug in the computation of the endpoint-pair shared secret used
993    by DTLS over SCTP. This breaks interoperability with older versions
994    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
995    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
996    interoperability with such broken implementations. However, enabling
997    this switch breaks interoperability with correct implementations.
998
999  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1000    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1001
1002    *Bernd Edlinger*
1003
1004  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1005
1006    *Richard Levitte*
1007
1008  * Change the license to the Apache License v2.0.
1009
1010    *Richard Levitte*
1011
1012  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
1013
1014    - Major releases (indicated by incrementing the MAJOR release number)
1015      may introduce incompatible API/ABI changes.
1016    - Minor releases (indicated by incrementing the MINOR release number)
1017      may introduce new features but retain API/ABI compatibility.
1018    - Patch releases (indicated by incrementing the PATCH number)
1019      are intended for bug fixes and other improvements of existing
1020      features only (like improving performance or adding documentation)
1021      and retain API/ABI compatibility.
1022
1023    *Richard Levitte*
1024
1025  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
1026
1027    *Todd Short*
1028
1029  * Remove the 'dist' target and add a tarball building script.  The
1030    'dist' target has fallen out of use, and it shouldn't be
1031    necessary to configure just to create a source distribution.
1032
1033    *Richard Levitte*
1034
1035  * Recreate the OS390-Unix config target.  It no longer relies on a
1036    special script like it did for OpenSSL pre-1.1.0.
1037
1038    *Richard Levitte*
1039
1040  * Instead of having the source directories listed in Configure, add
1041    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
1042    look into.
1043
1044    *Richard Levitte*
1045
1046  * Add GMAC to EVP_MAC.
1047
1048    *Paul Dale*
1049
1050  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
1051
1052    *Richard Levitte*
1053
1054  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
1055    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
1056    to facilitate the continued use of MACs through raw private keys in
1057    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
1058
1059    *Richard Levitte*
1060
1061  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
1062    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
1063
1064    *Antoine Salon*
1065
1066  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
1067    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
1068    are retained for backwards compatibility.
1069
1070    *Antoine Salon*
1071
1072  * AES-XTS mode now enforces that its two keys are different to mitigate
1073    the attacked described in "Efficient Instantiations of Tweakable
1074    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
1075    Details of this attack can be obtained from:
1076    <http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf>
1077
1078    *Paul Dale*
1079
1080  * Rename the object files, i.e. give them other names than in previous
1081    versions.  Their names now include the name of the final product, as
1082    well as its type mnemonic (bin, lib, shlib).
1083
1084    *Richard Levitte*
1085
1086  * Added new option for 'openssl list', '-objects', which will display the
1087    list of built in objects, i.e. OIDs with names.
1088
1089    *Richard Levitte*
1090
1091  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
1092    improves application performance by removing data copies and providing
1093    applications with zero-copy system calls such as sendfile and splice.
1094
1095    *Boris Pismenny*
1096
1097 OpenSSL 1.1.1
1098 -------------
1099
1100 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx]
1101
1102 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020]
1103
1104  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
1105    while reading in libssl then we would report an error back to the
1106    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
1107    an error to the stack (which means we instead return SSL_ERROR_SSL) and
1108    therefore give a hint as to what went wrong.
1109
1110    *Matt Caswell*
1111
1112  * Check that ed25519 and ed448 are allowed by the security level. Previously
1113    signature algorithms not using an MD were not being checked that they were
1114    allowed by the security level.
1115
1116    *Kurt Roeckx*
1117
1118  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
1119    was not quite right. The behaviour was not consistent between resumption
1120    and normal handshakes, and also not quite consistent with historical
1121    behaviour. The behaviour in various scenarios has been clarified and
1122    it has been updated to make it match historical behaviour as closely as
1123    possible.
1124
1125    *Matt Caswell*
1126
1127  * *[VMS only]* The header files that the VMS compilers include automatically,
1128    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
1129    that the C++ compiler doesn't understand.  This is a shortcoming in the
1130    compiler, but can be worked around with `__cplusplus` guards.
1131
1132    C++ applications that use OpenSSL libraries must be compiled using the
1133    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
1134    functions.  Otherwise, only functions with symbols of less than 31
1135    characters can be used, as the linker will not be able to successfully
1136    resolve symbols with longer names.
1137
1138    *Richard Levitte*
1139
1140  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1141    The presence of this system service is determined at run-time.
1142
1143    *Richard Levitte*
1144
1145  * Added newline escaping functionality to a filename when using openssl dgst.
1146    This output format is to replicate the output format found in the `*sum`
1147    checksum programs. This aims to preserve backward compatibility.
1148
1149    *Matt Eaton, Richard Levitte, and Paul Dale*
1150
1151  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1152    the first value.
1153
1154    *Jon Spillett*
1155
1156 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019]
1157
1158  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1159    number generator (RNG). This was intended to include protection in the
1160    event of a fork() system call in order to ensure that the parent and child
1161    processes did not share the same RNG state. However this protection was not
1162    being used in the default case.
1163
1164    A partial mitigation for this issue is that the output from a high
1165    precision timer is mixed into the RNG state so the likelihood of a parent
1166    and child process sharing state is significantly reduced.
1167
1168    If an application already calls OPENSSL_init_crypto() explicitly using
1169    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1170    [CVE-2019-1549][]
1171
1172    *Matthias St. Pierre*
1173
1174  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1175    used even when parsing explicit parameters, when loading a serialized key
1176    or calling `EC_GROUP_new_from_ecpkparameters()`/
1177    `EC_GROUP_new_from_ecparameters()`.
1178    This prevents bypass of security hardening and performance gains,
1179    especially for curves with specialized EC_METHODs.
1180    By default, if a key encoded with explicit parameters is loaded and later
1181    serialized, the output is still encoded with explicit parameters, even if
1182    internally a "named" EC_GROUP is used for computation.
1183
1184    *Nicola Tuveri*
1185
1186  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1187    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1188    NULL. After this change, only the cofactor parameter can be NULL. It also
1189    does some minimal sanity checks on the passed order.
1190    [CVE-2019-1547][]
1191
1192    *Billy Bob Brumley*
1193
1194  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1195    An attack is simple, if the first CMS_recipientInfo is valid but the
1196    second CMS_recipientInfo is chosen ciphertext. If the second
1197    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1198    encryption key will be replaced by garbage, and the message cannot be
1199    decoded, but if the RSA decryption fails, the correct encryption key is
1200    used and the recipient will not notice the attack.
1201    As a work around for this potential attack the length of the decrypted
1202    key must be equal to the cipher default key length, in case the
1203    certifiate is not given and all recipientInfo are tried out.
1204    The old behaviour can be re-enabled in the CMS code by setting the
1205    CMS_DEBUG_DECRYPT flag.
1206    [CVE-2019-1563][]
1207
1208    *Bernd Edlinger*
1209
1210  * Early start up entropy quality from the DEVRANDOM seed source has been
1211    improved for older Linux systems.  The RAND subsystem will wait for
1212    /dev/random to be producing output before seeding from /dev/urandom.
1213    The seeded state is stored for future library initialisations using
1214    a system global shared memory segment.  The shared memory identifier
1215    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1216    the desired value.  The default identifier is 114.
1217
1218    *Paul Dale*
1219
1220  * Correct the extended master secret constant on EBCDIC systems. Without this
1221    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1222    negotiate EMS will fail. Unfortunately this also means that TLS connections
1223    between EBCDIC systems with this fix, and EBCDIC systems without this
1224    fix will fail if they negotiate EMS.
1225
1226    *Matt Caswell*
1227
1228  * Use Windows installation paths in the mingw builds
1229
1230    Mingw isn't a POSIX environment per se, which means that Windows
1231    paths should be used for installation.
1232    [CVE-2019-1552][]
1233
1234    *Richard Levitte*
1235
1236  * Changed DH_check to accept parameters with order q and 2q subgroups.
1237    With order 2q subgroups the bit 0 of the private key is not secret
1238    but DH_generate_key works around that by clearing bit 0 of the
1239    private key for those. This avoids leaking bit 0 of the private key.
1240
1241    *Bernd Edlinger*
1242
1243  * Significantly reduce secure memory usage by the randomness pools.
1244
1245    *Paul Dale*
1246
1247  * Revert the DEVRANDOM_WAIT feature for Linux systems
1248
1249    The DEVRANDOM_WAIT feature added a select() call to wait for the
1250    /dev/random device to become readable before reading from the
1251    /dev/urandom device.
1252
1253    It turned out that this change had negative side effects on
1254    performance which were not acceptable. After some discussion it
1255    was decided to revert this feature and leave it up to the OS
1256    resp. the platform maintainer to ensure a proper initialization
1257    during early boot time.
1258
1259    *Matthias St. Pierre*
1260
1261 ### Changes between 1.1.1b and 1.1.1c [28 May 2019]
1262
1263  * Add build tests for C++.  These are generated files that only do one
1264    thing, to include one public OpenSSL head file each.  This tests that
1265    the public header files can be usefully included in a C++ application.
1266
1267    This test isn't enabled by default.  It can be enabled with the option
1268    'enable-buildtest-c++'.
1269
1270    *Richard Levitte*
1271
1272  * Enable SHA3 pre-hashing for ECDSA and DSA.
1273
1274    *Patrick Steuer*
1275
1276  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1277    This changes the size when using the genpkey app when no size is given. It
1278    fixes an omission in earlier changes that changed all RSA, DSA and DH
1279    generation apps to use 2048 bits by default.
1280
1281    *Kurt Roeckx*
1282
1283  * Reorganize the manual pages to consistently have RETURN VALUES,
1284    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1285    util/fix-doc-nits accordingly.
1286
1287    *Paul Yang, Joshua Lock*
1288
1289  * Add the missing accessor EVP_PKEY_get0_engine()
1290
1291    *Matt Caswell*
1292
1293  * Have apps like 's_client' and 's_server' output the signature scheme
1294    along with other cipher suite parameters when debugging.
1295
1296    *Lorinczy Zsigmond*
1297
1298  * Make OPENSSL_config() error agnostic again.
1299
1300    *Richard Levitte*
1301
1302  * Do the error handling in RSA decryption constant time.
1303
1304    *Bernd Edlinger*
1305
1306  * Prevent over long nonces in ChaCha20-Poly1305.
1307
1308    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1309    for every encryption operation. RFC 7539 specifies that the nonce value
1310    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1311    and front pads the nonce with 0 bytes if it is less than 12
1312    bytes. However it also incorrectly allows a nonce to be set of up to 16
1313    bytes. In this case only the last 12 bytes are significant and any
1314    additional leading bytes are ignored.
1315
1316    It is a requirement of using this cipher that nonce values are
1317    unique. Messages encrypted using a reused nonce value are susceptible to
1318    serious confidentiality and integrity attacks. If an application changes
1319    the default nonce length to be longer than 12 bytes and then makes a
1320    change to the leading bytes of the nonce expecting the new value to be a
1321    new unique nonce then such an application could inadvertently encrypt
1322    messages with a reused nonce.
1323
1324    Additionally the ignored bytes in a long nonce are not covered by the
1325    integrity guarantee of this cipher. Any application that relies on the
1326    integrity of these ignored leading bytes of a long nonce may be further
1327    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1328    is safe because no such use sets such a long nonce value. However user
1329    applications that use this cipher directly and set a non-default nonce
1330    length to be longer than 12 bytes may be vulnerable.
1331
1332    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1333    Greef of Ronomon.
1334    [CVE-2019-1543][]
1335
1336    *Matt Caswell*
1337
1338  * Add DEVRANDOM_WAIT feature for Linux systems
1339
1340    On older Linux systems where the getrandom() system call is not available,
1341    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1342    Contrary to getrandom(), the /dev/urandom device will not block during
1343    early boot when the kernel CSPRNG has not been seeded yet.
1344
1345    To mitigate this known weakness, use select() to wait for /dev/random to
1346    become readable before reading from /dev/urandom.
1347
1348  * Ensure that SM2 only uses SM3 as digest algorithm
1349
1350    *Paul Yang*
1351
1352 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019]
1353
1354  * Change the info callback signals for the start and end of a post-handshake
1355    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1356    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1357    confused by this and assume that a TLSv1.2 renegotiation has started. This
1358    can break KeyUpdate handling. Instead we no longer signal the start and end
1359    of a post handshake message exchange (although the messages themselves are
1360    still signalled). This could break some applications that were expecting
1361    the old signals. However without this KeyUpdate is not usable for many
1362    applications.
1363
1364    *Matt Caswell*
1365
1366 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018]
1367
1368  * Timing vulnerability in DSA signature generation
1369
1370    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1371    timing side channel attack. An attacker could use variations in the signing
1372    algorithm to recover the private key.
1373
1374    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1375    [CVE-2018-0734][]
1376
1377    *Paul Dale*
1378
1379  * Timing vulnerability in ECDSA signature generation
1380
1381    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1382    timing side channel attack. An attacker could use variations in the signing
1383    algorithm to recover the private key.
1384
1385    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1386    [CVE-2018-0735][]
1387
1388    *Paul Dale*
1389
1390  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1391    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1392    of two gigabytes and the error handling improved.
1393
1394    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1395    categorized as a normal bug, not a security issue, because the DRBG reseeds
1396    automatically and is fully functional even without additional randomness
1397    provided by the application.
1398
1399 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018]
1400
1401  * Add a new ClientHello callback. Provides a callback interface that gives
1402    the application the ability to adjust the nascent SSL object at the
1403    earliest stage of ClientHello processing, immediately after extensions have
1404    been collected but before they have been processed. In particular, this
1405    callback can adjust the supported TLS versions in response to the contents
1406    of the ClientHello
1407
1408    *Benjamin Kaduk*
1409
1410  * Add SM2 base algorithm support.
1411
1412    *Jack Lloyd*
1413
1414  * s390x assembly pack: add (improved) hardware-support for the following
1415    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1416    aes-cfb/cfb8, aes-ecb.
1417
1418    *Patrick Steuer*
1419
1420  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1421    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1422    pem_str is reserved for alias entries only.
1423
1424    *Richard Levitte*
1425
1426  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1427    step for prime curves. The new implementation is based on formulae from
1428    differential addition-and-doubling in homogeneous projective coordinates
1429    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1430    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1431    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1432    to work in projective coordinates.
1433
1434    *Billy Bob Brumley, Nicola Tuveri*
1435
1436  * Change generating and checking of primes so that the error rate of not
1437    being prime depends on the intended use based on the size of the input.
1438    For larger primes this will result in more rounds of Miller-Rabin.
1439    The maximal error rate for primes with more than 1080 bits is lowered
1440    to 2^-128.
1441
1442    *Kurt Roeckx, Annie Yousar*
1443
1444  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1445
1446    *Kurt Roeckx*
1447
1448  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1449    moving between systems, and to avoid confusion when a Windows build is
1450    done with mingw vs with MSVC.  For POSIX installs, there's still a
1451    symlink or copy named 'tsget' to avoid that confusion as well.
1452
1453    *Richard Levitte*
1454
1455  * Revert blinding in ECDSA sign and instead make problematic addition
1456    length-invariant. Switch even to fixed-length Montgomery multiplication.
1457
1458    *Andy Polyakov*
1459
1460  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1461    step for binary curves. The new implementation is based on formulae from
1462    differential addition-and-doubling in mixed Lopez-Dahab projective
1463    coordinates, modified to independently blind the operands.
1464
1465    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1466
1467  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1468    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1469    EC_METHODs to implement their own specialized "ladder step", to take
1470    advantage of more favorable coordinate systems or more efficient
1471    differential addition-and-doubling algorithms.
1472
1473    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1474
1475  * Modified the random device based seed sources to keep the relevant
1476    file descriptors open rather than reopening them on each access.
1477    This allows such sources to operate in a chroot() jail without
1478    the associated device nodes being available. This behaviour can be
1479    controlled using RAND_keep_random_devices_open().
1480
1481    *Paul Dale*
1482
1483  * Numerous side-channel attack mitigations have been applied. This may have
1484    performance impacts for some algorithms for the benefit of improved
1485    security. Specific changes are noted in this change log by their respective
1486    authors.
1487
1488    *Matt Caswell*
1489
1490  * AIX shared library support overhaul. Switch to AIX "natural" way of
1491    handling shared libraries, which means collecting shared objects of
1492    different versions and bitnesses in one common archive. This allows to
1493    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1494    doesn't affect the way 3rd party applications are linked, only how
1495    multi-version installation is managed.
1496
1497    *Andy Polyakov*
1498
1499  * Make ec_group_do_inverse_ord() more robust and available to other
1500    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1501    mitigations are applied to the fallback BN_mod_inverse().
1502    When using this function rather than BN_mod_inverse() directly, new
1503    EC cryptosystem implementations are then safer-by-default.
1504
1505    *Billy Bob Brumley*
1506
1507  * Add coordinate blinding for EC_POINT and implement projective
1508    coordinate blinding for generic prime curves as a countermeasure to
1509    chosen point SCA attacks.
1510
1511    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1512
1513  * Add blinding to ECDSA and DSA signatures to protect against side channel
1514    attacks discovered by Keegan Ryan (NCC Group).
1515
1516    *Matt Caswell*
1517
1518  * Enforce checking in the pkeyutl command line app to ensure that the input
1519    length does not exceed the maximum supported digest length when performing
1520    a sign, verify or verifyrecover operation.
1521
1522    *Matt Caswell*
1523
1524  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1525    I/O in combination with something like select() or poll() will hang. This
1526    can be turned off again using SSL_CTX_clear_mode().
1527    Many applications do not properly handle non-application data records, and
1528    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1529    around the problems in those applications, but can also break some.
1530    It's recommended to read the manpages about SSL_read(), SSL_write(),
1531    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1532    SSL_CTX_set_read_ahead() again.
1533
1534    *Kurt Roeckx*
1535
1536  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1537    now allow empty (zero character) pass phrases.
1538
1539    *Richard Levitte*
1540
1541  * Apply blinding to binary field modular inversion and remove patent
1542    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1543
1544    *Billy Bob Brumley*
1545
1546  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1547    binary and prime elliptic curves.
1548
1549    *Billy Bob Brumley*
1550
1551  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1552    constant time fixed point multiplication.
1553
1554    *Billy Bob Brumley*
1555
1556  * Revise elliptic curve scalar multiplication with timing attack
1557    defenses: ec_wNAF_mul redirects to a constant time implementation
1558    when computing fixed point and variable point multiplication (which
1559    in OpenSSL are mostly used with secret scalars in keygen, sign,
1560    ECDH derive operations).
1561    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1562     Sohaib ul Hassan*
1563
1564  * Updated CONTRIBUTING
1565
1566    *Rich Salz*
1567
1568  * Updated DRBG / RAND to request nonce and additional low entropy
1569    randomness from the system.
1570
1571    *Matthias St. Pierre*
1572
1573  * Updated 'openssl rehash' to use OpenSSL consistent default.
1574
1575    *Richard Levitte*
1576
1577  * Moved the load of the ssl_conf module to libcrypto, which helps
1578    loading engines that libssl uses before libssl is initialised.
1579
1580    *Matt Caswell*
1581
1582  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1583
1584    *Matt Caswell*
1585
1586  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1587
1588    *Ingo Schwarze, Rich Salz*
1589
1590  * Added output of accepting IP address and port for 'openssl s_server'
1591
1592    *Richard Levitte*
1593
1594  * Added a new API for TLSv1.3 ciphersuites:
1595       SSL_CTX_set_ciphersuites()
1596       SSL_set_ciphersuites()
1597
1598    *Matt Caswell*
1599
1600  * Memory allocation failures consistently add an error to the error
1601    stack.
1602
1603    *Rich Salz*
1604
1605  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1606    in libcrypto when run as setuid/setgid.
1607
1608    *Bernd Edlinger*
1609
1610  * Load any config file by default when libssl is used.
1611
1612    *Matt Caswell*
1613
1614  * Added new public header file <openssl/rand_drbg.h> and documentation
1615    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1616
1617    *Matthias St. Pierre*
1618
1619  * QNX support removed (cannot find contributors to get their approval
1620    for the license change).
1621
1622    *Rich Salz*
1623
1624  * TLSv1.3 replay protection for early data has been implemented. See the
1625    SSL_read_early_data() man page for further details.
1626
1627    *Matt Caswell*
1628
1629  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1630    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1631    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1632    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1633    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1634    configuration has been separated out. See the ciphers man page or the
1635    SSL_CTX_set_ciphersuites() man page for more information.
1636
1637    *Matt Caswell*
1638
1639  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1640    in responder mode now supports the new "-multi" option, which
1641    spawns the specified number of child processes to handle OCSP
1642    requests.  The "-timeout" option now also limits the OCSP
1643    responder's patience to wait to receive the full client request
1644    on a newly accepted connection. Child processes are respawned
1645    as needed, and the CA index file is automatically reloaded
1646    when changed.  This makes it possible to run the "ocsp" responder
1647    as a long-running service, making the OpenSSL CA somewhat more
1648    feature-complete.  In this mode, most diagnostic messages logged
1649    after entering the event loop are logged via syslog(3) rather than
1650    written to stderr.
1651
1652    *Viktor Dukhovni*
1653
1654  * Added support for X448 and Ed448. Heavily based on original work by
1655    Mike Hamburg.
1656
1657    *Matt Caswell*
1658
1659  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1660    objects loaded.  This adds the functions OSSL_STORE_expect() and
1661    OSSL_STORE_find() as well as needed tools to construct searches and
1662    get the search data out of them.
1663
1664    *Richard Levitte*
1665
1666  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1667    version of OpenSSL should review their configuration settings to ensure
1668    that they are still appropriate for TLSv1.3. For further information see:
1669    <https://wiki.openssl.org/index.php/TLS1.3>
1670
1671    *Matt Caswell*
1672
1673  * Grand redesign of the OpenSSL random generator
1674
1675    The default RAND method now utilizes an AES-CTR DRBG according to
1676    NIST standard SP 800-90Ar1. The new random generator is essentially
1677    a port of the default random generator from the OpenSSL FIPS 2.0
1678    object module. It is a hybrid deterministic random bit generator
1679    using an AES-CTR bit stream and which seeds and reseeds itself
1680    automatically using trusted system entropy sources.
1681
1682    Some of its new features are:
1683     - Support for multiple DRBG instances with seed chaining.
1684     - The default RAND method makes use of a DRBG.
1685     - There is a public and private DRBG instance.
1686     - The DRBG instances are fork-safe.
1687     - Keep all global DRBG instances on the secure heap if it is enabled.
1688     - The public and private DRBG instance are per thread for lock free
1689       operation
1690
1691    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1692
1693  * Changed Configure so it only says what it does and doesn't dump
1694    so much data.  Instead, ./configdata.pm should be used as a script
1695    to display all sorts of configuration data.
1696
1697    *Richard Levitte*
1698
1699  * Added processing of "make variables" to Configure.
1700
1701    *Richard Levitte*
1702
1703  * Added SHA512/224 and SHA512/256 algorithm support.
1704
1705    *Paul Dale*
1706
1707  * The last traces of Netware support, first removed in 1.1.0, have
1708    now been removed.
1709
1710    *Rich Salz*
1711
1712  * Get rid of Makefile.shared, and in the process, make the processing
1713    of certain files (rc.obj, or the .def/.map/.opt files produced from
1714    the ordinal files) more visible and hopefully easier to trace and
1715    debug (or make silent).
1716
1717    *Richard Levitte*
1718
1719  * Make it possible to have environment variable assignments as
1720    arguments to config / Configure.
1721
1722    *Richard Levitte*
1723
1724  * Add multi-prime RSA (RFC 8017) support.
1725
1726    *Paul Yang*
1727
1728  * Add SM3 implemented according to GB/T 32905-2016
1729    * Jack Lloyd <jack.lloyd@ribose.com>,
1730      Ronald Tse <ronald.tse@ribose.com>,
1731      Erick Borsboom <erick.borsboom@ribose.com> *
1732
1733  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1734    as documented in RFC6066.
1735    Based on a patch from Tomasz Moń
1736
1737    *Filipe Raimundo da Silva*
1738
1739  * Add SM4 implemented according to GB/T 32907-2016.
1740    * Jack Lloyd <jack.lloyd@ribose.com>,
1741      Ronald Tse <ronald.tse@ribose.com>,
1742      Erick Borsboom <erick.borsboom@ribose.com> *
1743
1744  * Reimplement -newreq-nodes and ERR_error_string_n; the
1745    original author does not agree with the license change.
1746
1747    *Rich Salz*
1748
1749  * Add ARIA AEAD TLS support.
1750
1751    *Jon Spillett*
1752
1753  * Some macro definitions to support VS6 have been removed.  Visual
1754    Studio 6 has not worked since 1.1.0
1755
1756    *Rich Salz*
1757
1758  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1759    without clearing the errors.
1760
1761    *Richard Levitte*
1762
1763  * Add "atfork" functions.  If building on a system that without
1764    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1765    requirements.  The RAND facility now uses/requires this.
1766
1767    *Rich Salz*
1768
1769  * Add SHA3.
1770
1771    *Andy Polyakov*
1772
1773  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1774    not possible to disable entirely.  However, it's still possible to
1775    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1776    as a fallback).
1777
1778    To disable, configure with 'no-ui-console'.  'no-ui' is still
1779    possible to use as an alias.  Check at compile time with the
1780    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1781    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1782
1783    *Richard Levitte*
1784
1785  * Add a STORE module, which implements a uniform and URI based reader of
1786    stores that can contain keys, certificates, CRLs and numerous other
1787    objects.  The main API is loosely based on a few stdio functions,
1788    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1789    OSSL_STORE_error and OSSL_STORE_close.
1790    The implementation uses backends called "loaders" to implement arbitrary
1791    URI schemes.  There is one built in "loader" for the 'file' scheme.
1792
1793    *Richard Levitte*
1794
1795  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1796    then adjusted to work on FreeBSD 8.4 as well.
1797    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1798    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1799
1800    *Richard Levitte*
1801
1802  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1803    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1804    error code calls like this:
1805
1806            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1807
1808    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1809    that can be encoded in C.  For the foreseeable future, this will only
1810    affect new modules.
1811
1812    *Richard Levitte and Tim Hudson*
1813
1814  * Removed BSD cryptodev engine.
1815
1816    *Rich Salz*
1817
1818  * Add a build target 'build_all_generated', to build all generated files
1819    and only that.  This can be used to prepare everything that requires
1820    things like perl for a system that lacks perl and then move everything
1821    to that system and do the rest of the build there.
1822
1823    *Richard Levitte*
1824
1825  * In the UI interface, make it possible to duplicate the user data.  This
1826    can be used by engines that need to retain the data for a longer time
1827    than just the call where this user data is passed.
1828
1829    *Richard Levitte*
1830
1831  * Ignore the '-named_curve auto' value for compatibility of applications
1832    with OpenSSL 1.0.2.
1833
1834    *Tomas Mraz <tmraz@fedoraproject.org>*
1835
1836  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1837    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1838    alerts across multiple records (some of which could be empty). In practice
1839    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1840    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1841    support this at all. Supporting it adds significant complexity to the
1842    record layer, and its removal is unlikely to cause interoperability
1843    issues.
1844
1845    *Matt Caswell*
1846
1847  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1848    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1849    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1850    in OpenSSL 1.2.0.
1851
1852    *Richard Levitte*
1853
1854  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1855    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1856
1857    *Richard Levitte, Andy Polyakov*
1858
1859  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1860    does for RSA, etc.
1861
1862    *Richard Levitte*
1863
1864  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1865    platform rather than 'mingw'.
1866
1867    *Richard Levitte*
1868
1869  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1870    success if they are asked to add an object which already exists
1871    in the store. This change cascades to other functions which load
1872    certificates and CRLs.
1873
1874    *Paul Dale*
1875
1876  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1877    facilitate stack unwinding even from assembly subroutines.
1878
1879    *Andy Polyakov*
1880
1881  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1882    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1883
1884    *Richard Levitte*
1885
1886  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1887    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1888    which is the minimum version we support.
1889
1890    *Richard Levitte*
1891
1892  * Certificate time validation (X509_cmp_time) enforces stricter
1893    compliance with RFC 5280. Fractional seconds and timezone offsets
1894    are no longer allowed.
1895
1896    *Emilia Käsper*
1897
1898  * Add support for ARIA
1899
1900    *Paul Dale*
1901
1902  * s_client will now send the Server Name Indication (SNI) extension by
1903    default unless the new "-noservername" option is used. The server name is
1904    based on the host provided to the "-connect" option unless overridden by
1905    using "-servername".
1906
1907    *Matt Caswell*
1908
1909  * Add support for SipHash
1910
1911    *Todd Short*
1912
1913  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1914    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1915    prevent issues where no progress is being made and the peer continually
1916    sends unrecognised record types, using up resources processing them.
1917
1918    *Matt Caswell*
1919
1920  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1921    using the algorithm defined in
1922    <https://www.akkadia.org/drepper/SHA-crypt.txt>
1923
1924    *Richard Levitte*
1925
1926  * Heartbeat support has been removed; the ABI is changed for now.
1927
1928    *Richard Levitte, Rich Salz*
1929
1930  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1931
1932    *Emilia Käsper*
1933
1934  * The RSA "null" method, which was partially supported to avoid patent
1935    issues, has been replaced to always returns NULL.
1936
1937    *Rich Salz*
1938
1939 OpenSSL 1.1.0
1940 -------------
1941
1942 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019]
1943
1944  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1945    used even when parsing explicit parameters, when loading a serialized key
1946    or calling `EC_GROUP_new_from_ecpkparameters()`/
1947    `EC_GROUP_new_from_ecparameters()`.
1948    This prevents bypass of security hardening and performance gains,
1949    especially for curves with specialized EC_METHODs.
1950    By default, if a key encoded with explicit parameters is loaded and later
1951    serialized, the output is still encoded with explicit parameters, even if
1952    internally a "named" EC_GROUP is used for computation.
1953
1954    *Nicola Tuveri*
1955
1956  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1957    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1958    NULL. After this change, only the cofactor parameter can be NULL. It also
1959    does some minimal sanity checks on the passed order.
1960    [CVE-2019-1547][]
1961
1962    *Billy Bob Brumley*
1963
1964  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1965    An attack is simple, if the first CMS_recipientInfo is valid but the
1966    second CMS_recipientInfo is chosen ciphertext. If the second
1967    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1968    encryption key will be replaced by garbage, and the message cannot be
1969    decoded, but if the RSA decryption fails, the correct encryption key is
1970    used and the recipient will not notice the attack.
1971    As a work around for this potential attack the length of the decrypted
1972    key must be equal to the cipher default key length, in case the
1973    certifiate is not given and all recipientInfo are tried out.
1974    The old behaviour can be re-enabled in the CMS code by setting the
1975    CMS_DEBUG_DECRYPT flag.
1976    [CVE-2019-1563][]
1977
1978    *Bernd Edlinger*
1979
1980  * Use Windows installation paths in the mingw builds
1981
1982    Mingw isn't a POSIX environment per se, which means that Windows
1983    paths should be used for installation.
1984    [CVE-2019-1552][]
1985
1986    *Richard Levitte*
1987
1988 ### Changes between 1.1.0j and 1.1.0k [28 May 2019]
1989
1990  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1991    This changes the size when using the genpkey app when no size is given. It
1992    fixes an omission in earlier changes that changed all RSA, DSA and DH
1993    generation apps to use 2048 bits by default.
1994
1995    *Kurt Roeckx*
1996
1997  * Prevent over long nonces in ChaCha20-Poly1305.
1998
1999    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
2000    for every encryption operation. RFC 7539 specifies that the nonce value
2001    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
2002    and front pads the nonce with 0 bytes if it is less than 12
2003    bytes. However it also incorrectly allows a nonce to be set of up to 16
2004    bytes. In this case only the last 12 bytes are significant and any
2005    additional leading bytes are ignored.
2006
2007    It is a requirement of using this cipher that nonce values are
2008    unique. Messages encrypted using a reused nonce value are susceptible to
2009    serious confidentiality and integrity attacks. If an application changes
2010    the default nonce length to be longer than 12 bytes and then makes a
2011    change to the leading bytes of the nonce expecting the new value to be a
2012    new unique nonce then such an application could inadvertently encrypt
2013    messages with a reused nonce.
2014
2015    Additionally the ignored bytes in a long nonce are not covered by the
2016    integrity guarantee of this cipher. Any application that relies on the
2017    integrity of these ignored leading bytes of a long nonce may be further
2018    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
2019    is safe because no such use sets such a long nonce value. However user
2020    applications that use this cipher directly and set a non-default nonce
2021    length to be longer than 12 bytes may be vulnerable.
2022
2023    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
2024    Greef of Ronomon.
2025    [CVE-2019-1543][]
2026
2027    *Matt Caswell*
2028
2029  * Added SCA hardening for modular field inversion in EC_GROUP through
2030    a new dedicated field_inv() pointer in EC_METHOD.
2031    This also addresses a leakage affecting conversions from projective
2032    to affine coordinates.
2033
2034    *Billy Bob Brumley, Nicola Tuveri*
2035
2036  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
2037    re-used X509_PUBKEY object if the second PUBKEY is malformed.
2038
2039    *Bernd Edlinger*
2040
2041  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
2042
2043    *Richard Levitte*
2044
2045  * Remove the 'dist' target and add a tarball building script.  The
2046    'dist' target has fallen out of use, and it shouldn't be
2047    necessary to configure just to create a source distribution.
2048
2049    *Richard Levitte*
2050
2051 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018]
2052
2053  * Timing vulnerability in DSA signature generation
2054
2055    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
2056    timing side channel attack. An attacker could use variations in the signing
2057    algorithm to recover the private key.
2058
2059    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
2060    [CVE-2018-0734][]
2061
2062    *Paul Dale*
2063
2064  * Timing vulnerability in ECDSA signature generation
2065
2066    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
2067    timing side channel attack. An attacker could use variations in the signing
2068    algorithm to recover the private key.
2069
2070    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
2071    [CVE-2018-0735][]
2072
2073    *Paul Dale*
2074
2075  * Add coordinate blinding for EC_POINT and implement projective
2076    coordinate blinding for generic prime curves as a countermeasure to
2077    chosen point SCA attacks.
2078
2079    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
2080
2081 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018]
2082
2083  * Client DoS due to large DH parameter
2084
2085    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
2086    malicious server can send a very large prime value to the client. This will
2087    cause the client to spend an unreasonably long period of time generating a
2088    key for this prime resulting in a hang until the client has finished. This
2089    could be exploited in a Denial Of Service attack.
2090
2091    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
2092    [CVE-2018-0732][]
2093
2094    *Guido Vranken*
2095
2096  * Cache timing vulnerability in RSA Key Generation
2097
2098    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
2099    a cache timing side channel attack. An attacker with sufficient access to
2100    mount cache timing attacks during the RSA key generation process could
2101    recover the private key.
2102
2103    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
2104    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
2105    [CVE-2018-0737][]
2106
2107    *Billy Brumley*
2108
2109  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2110    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2111    pem_str is reserved for alias entries only.
2112
2113    *Richard Levitte*
2114
2115  * Revert blinding in ECDSA sign and instead make problematic addition
2116    length-invariant. Switch even to fixed-length Montgomery multiplication.
2117
2118    *Andy Polyakov*
2119
2120  * Change generating and checking of primes so that the error rate of not
2121    being prime depends on the intended use based on the size of the input.
2122    For larger primes this will result in more rounds of Miller-Rabin.
2123    The maximal error rate for primes with more than 1080 bits is lowered
2124    to 2^-128.
2125
2126    *Kurt Roeckx, Annie Yousar*
2127
2128  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2129
2130    *Kurt Roeckx*
2131
2132  * Add blinding to ECDSA and DSA signatures to protect against side channel
2133    attacks discovered by Keegan Ryan (NCC Group).
2134
2135    *Matt Caswell*
2136
2137  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2138    now allow empty (zero character) pass phrases.
2139
2140    *Richard Levitte*
2141
2142  * Certificate time validation (X509_cmp_time) enforces stricter
2143    compliance with RFC 5280. Fractional seconds and timezone offsets
2144    are no longer allowed.
2145
2146    *Emilia Käsper*
2147
2148  * Fixed a text canonicalisation bug in CMS
2149
2150    Where a CMS detached signature is used with text content the text goes
2151    through a canonicalisation process first prior to signing or verifying a
2152    signature. This process strips trailing space at the end of lines, converts
2153    line terminators to CRLF and removes additional trailing line terminators
2154    at the end of a file. A bug in the canonicalisation process meant that
2155    some characters, such as form-feed, were incorrectly treated as whitespace
2156    and removed. This is contrary to the specification (RFC5485). This fix
2157    could mean that detached text data signed with an earlier version of
2158    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2159    signed with a fixed OpenSSL may fail to verify with an earlier version of
2160    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2161    and use the "-binary" flag (for the "cms" command line application) or set
2162    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2163
2164    *Matt Caswell*
2165
2166 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018]
2167
2168  * Constructed ASN.1 types with a recursive definition could exceed the stack
2169
2170    Constructed ASN.1 types with a recursive definition (such as can be found
2171    in PKCS7) could eventually exceed the stack given malicious input with
2172    excessive recursion. This could result in a Denial Of Service attack. There
2173    are no such structures used within SSL/TLS that come from untrusted sources
2174    so this is considered safe.
2175
2176    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2177    project.
2178    [CVE-2018-0739][]
2179
2180    *Matt Caswell*
2181
2182  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2183
2184    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2185    effectively reduced to only comparing the least significant bit of each
2186    byte. This allows an attacker to forge messages that would be considered as
2187    authenticated in an amount of tries lower than that guaranteed by the
2188    security claims of the scheme. The module can only be compiled by the
2189    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2190
2191    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2192    (IBM).
2193    [CVE-2018-0733][]
2194
2195    *Andy Polyakov*
2196
2197  * Add a build target 'build_all_generated', to build all generated files
2198    and only that.  This can be used to prepare everything that requires
2199    things like perl for a system that lacks perl and then move everything
2200    to that system and do the rest of the build there.
2201
2202    *Richard Levitte*
2203
2204  * Backport SSL_OP_NO_RENGOTIATION
2205
2206    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2207    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2208    changes this is no longer possible in 1.1.0. Therefore the new
2209    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2210    1.1.0 to provide equivalent functionality.
2211
2212    Note that if an application built against 1.1.0h headers (or above) is run
2213    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2214    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2215
2216    *Matt Caswell*
2217
2218  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2219    exist.
2220
2221    *Rich Salz*
2222
2223  * rsaz_1024_mul_avx2 overflow bug on x86_64
2224
2225    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2226    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2227    Analysis suggests that attacks against RSA and DSA as a result of this
2228    defect would be very difficult to perform and are not believed likely.
2229    Attacks against DH1024 are considered just feasible, because most of the
2230    work necessary to deduce information about a private key may be performed
2231    offline. The amount of resources required for such an attack would be
2232    significant. However, for an attack on TLS to be meaningful, the server
2233    would have to share the DH1024 private key among multiple clients, which is
2234    no longer an option since CVE-2016-0701.
2235
2236    This only affects processors that support the AVX2 but not ADX extensions
2237    like Intel Haswell (4th generation).
2238
2239    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2240    was originally found via the OSS-Fuzz project.
2241    [CVE-2017-3738][]
2242
2243    *Andy Polyakov*
2244
2245 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017]
2246
2247  * bn_sqrx8x_internal carry bug on x86_64
2248
2249    There is a carry propagating bug in the x86_64 Montgomery squaring
2250    procedure. No EC algorithms are affected. Analysis suggests that attacks
2251    against RSA and DSA as a result of this defect would be very difficult to
2252    perform and are not believed likely. Attacks against DH are considered just
2253    feasible (although very difficult) because most of the work necessary to
2254    deduce information about a private key may be performed offline. The amount
2255    of resources required for such an attack would be very significant and
2256    likely only accessible to a limited number of attackers. An attacker would
2257    additionally need online access to an unpatched system using the target
2258    private key in a scenario with persistent DH parameters and a private
2259    key that is shared between multiple clients.
2260
2261    This only affects processors that support the BMI1, BMI2 and ADX extensions
2262    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2263
2264    This issue was reported to OpenSSL by the OSS-Fuzz project.
2265    [CVE-2017-3736][]
2266
2267    *Andy Polyakov*
2268
2269  * Malformed X.509 IPAddressFamily could cause OOB read
2270
2271    If an X.509 certificate has a malformed IPAddressFamily extension,
2272    OpenSSL could do a one-byte buffer overread. The most likely result
2273    would be an erroneous display of the certificate in text format.
2274
2275    This issue was reported to OpenSSL by the OSS-Fuzz project.
2276    [CVE-2017-3735][]
2277
2278    *Rich Salz*
2279
2280 ### Changes between 1.1.0e and 1.1.0f [25 May 2017]
2281
2282  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2283    platform rather than 'mingw'.
2284
2285    *Richard Levitte*
2286
2287  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2288    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2289    which is the minimum version we support.
2290
2291    *Richard Levitte*
2292
2293 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017]
2294
2295  * Encrypt-Then-Mac renegotiation crash
2296
2297    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2298    negotiated where it was not in the original handshake (or vice-versa) then
2299    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2300    and servers are affected.
2301
2302    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2303    [CVE-2017-3733][]
2304
2305    *Matt Caswell*
2306
2307 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017]
2308
2309  * Truncated packet could crash via OOB read
2310
2311    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2312    cipher is being used, then a truncated packet can cause that host to
2313    perform an out-of-bounds read, usually resulting in a crash.
2314
2315    This issue was reported to OpenSSL by Robert Święcki of Google.
2316    [CVE-2017-3731][]
2317
2318    *Andy Polyakov*
2319
2320  * Bad (EC)DHE parameters cause a client crash
2321
2322    If a malicious server supplies bad parameters for a DHE or ECDHE key
2323    exchange then this can result in the client attempting to dereference a
2324    NULL pointer leading to a client crash. This could be exploited in a Denial
2325    of Service attack.
2326
2327    This issue was reported to OpenSSL by Guido Vranken.
2328    [CVE-2017-3730][]
2329
2330    *Matt Caswell*
2331
2332  * BN_mod_exp may produce incorrect results on x86_64
2333
2334    There is a carry propagating bug in the x86_64 Montgomery squaring
2335    procedure. No EC algorithms are affected. Analysis suggests that attacks
2336    against RSA and DSA as a result of this defect would be very difficult to
2337    perform and are not believed likely. Attacks against DH are considered just
2338    feasible (although very difficult) because most of the work necessary to
2339    deduce information about a private key may be performed offline. The amount
2340    of resources required for such an attack would be very significant and
2341    likely only accessible to a limited number of attackers. An attacker would
2342    additionally need online access to an unpatched system using the target
2343    private key in a scenario with persistent DH parameters and a private
2344    key that is shared between multiple clients. For example this can occur by
2345    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2346    similar to CVE-2015-3193 but must be treated as a separate problem.
2347
2348    This issue was reported to OpenSSL by the OSS-Fuzz project.
2349    [CVE-2017-3732][]
2350
2351    *Andy Polyakov*
2352
2353 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016]
2354
2355  * ChaCha20/Poly1305 heap-buffer-overflow
2356
2357    TLS connections using `*-CHACHA20-POLY1305` ciphersuites are susceptible to
2358    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2359    crash. This issue is not considered to be exploitable beyond a DoS.
2360
2361    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2362    [CVE-2016-7054][]
2363
2364    *Richard Levitte*
2365
2366  * CMS Null dereference
2367
2368    Applications parsing invalid CMS structures can crash with a NULL pointer
2369    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2370    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2371    structure callback if an attempt is made to free certain invalid encodings.
2372    Only CHOICE structures using a callback which do not handle NULL value are
2373    affected.
2374
2375    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2376    [CVE-2016-7053][]
2377
2378    *Stephen Henson*
2379
2380  * Montgomery multiplication may produce incorrect results
2381
2382    There is a carry propagating bug in the Broadwell-specific Montgomery
2383    multiplication procedure that handles input lengths divisible by, but
2384    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2385    and DH private keys are impossible. This is because the subroutine in
2386    question is not used in operations with the private key itself and an input
2387    of the attacker's direct choice. Otherwise the bug can manifest itself as
2388    transient authentication and key negotiation failures or reproducible
2389    erroneous outcome of public-key operations with specially crafted input.
2390    Among EC algorithms only Brainpool P-512 curves are affected and one
2391    presumably can attack ECDH key negotiation. Impact was not analyzed in
2392    detail, because pre-requisites for attack are considered unlikely. Namely
2393    multiple clients have to choose the curve in question and the server has to
2394    share the private key among them, neither of which is default behaviour.
2395    Even then only clients that chose the curve will be affected.
2396
2397    This issue was publicly reported as transient failures and was not
2398    initially recognized as a security issue. Thanks to Richard Morgan for
2399    providing reproducible case.
2400    [CVE-2016-7055][]
2401
2402    *Andy Polyakov*
2403
2404  * Removed automatic addition of RPATH in shared libraries and executables,
2405    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2406
2407    *Richard Levitte*
2408
2409 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016]
2410
2411  * Fix Use After Free for large message sizes
2412
2413    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2414    message larger than approx 16k is received then the underlying buffer to
2415    store the incoming message is reallocated and moved. Unfortunately a
2416    dangling pointer to the old location is left which results in an attempt to
2417    write to the previously freed location. This is likely to result in a
2418    crash, however it could potentially lead to execution of arbitrary code.
2419
2420    This issue only affects OpenSSL 1.1.0a.
2421
2422    This issue was reported to OpenSSL by Robert Święcki.
2423    [CVE-2016-6309][]
2424
2425    *Matt Caswell*
2426
2427 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016]
2428
2429  * OCSP Status Request extension unbounded memory growth
2430
2431    A malicious client can send an excessively large OCSP Status Request
2432    extension. If that client continually requests renegotiation, sending a
2433    large OCSP Status Request extension each time, then there will be unbounded
2434    memory growth on the server. This will eventually lead to a Denial Of
2435    Service attack through memory exhaustion. Servers with a default
2436    configuration are vulnerable even if they do not support OCSP. Builds using
2437    the "no-ocsp" build time option are not affected.
2438
2439    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2440    [CVE-2016-6304][]
2441
2442    *Matt Caswell*
2443
2444  * SSL_peek() hang on empty record
2445
2446    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2447    sends an empty record. This could be exploited by a malicious peer in a
2448    Denial Of Service attack.
2449
2450    This issue was reported to OpenSSL by Alex Gaynor.
2451    [CVE-2016-6305][]
2452
2453    *Matt Caswell*
2454
2455  * Excessive allocation of memory in tls_get_message_header() and
2456    dtls1_preprocess_fragment()
2457
2458    A (D)TLS message includes 3 bytes for its length in the header for the
2459    message. This would allow for messages up to 16Mb in length. Messages of
2460    this length are excessive and OpenSSL includes a check to ensure that a
2461    peer is sending reasonably sized messages in order to avoid too much memory
2462    being consumed to service a connection. A flaw in the logic of version
2463    1.1.0 means that memory for the message is allocated too early, prior to
2464    the excessive message length check. Due to way memory is allocated in
2465    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2466    to service a connection. This could lead to a Denial of Service through
2467    memory exhaustion. However, the excessive message length check still takes
2468    place, and this would cause the connection to immediately fail. Assuming
2469    that the application calls SSL_free() on the failed connection in a timely
2470    manner then the 21Mb of allocated memory will then be immediately freed
2471    again. Therefore the excessive memory allocation will be transitory in
2472    nature. This then means that there is only a security impact if:
2473
2474    1) The application does not call SSL_free() in a timely manner in the event
2475    that the connection fails
2476    or
2477    2) The application is working in a constrained environment where there is
2478    very little free memory
2479    or
2480    3) The attacker initiates multiple connection attempts such that there are
2481    multiple connections in a state where memory has been allocated for the
2482    connection; SSL_free() has not yet been called; and there is insufficient
2483    memory to service the multiple requests.
2484
2485    Except in the instance of (1) above any Denial Of Service is likely to be
2486    transitory because as soon as the connection fails the memory is
2487    subsequently freed again in the SSL_free() call. However there is an
2488    increased risk during this period of application crashes due to the lack of
2489    memory - which would then mean a more serious Denial of Service.
2490
2491    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2492    (CVE-2016-6307 and CVE-2016-6308)
2493
2494    *Matt Caswell*
2495
2496  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2497    had to be removed. Primary reason is that vendor assembler can't
2498    assemble our modules with -KPIC flag. As result it, assembly
2499    support, was not even available as option. But its lack means
2500    lack of side-channel resistant code, which is incompatible with
2501    security by todays standards. Fortunately gcc is readily available
2502    prepackaged option, which we firmly point at...
2503
2504    *Andy Polyakov*
2505
2506 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016]
2507
2508  * Windows command-line tool supports UTF-8 opt-in option for arguments
2509    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2510    (to any value) allows Windows user to access PKCS#12 file generated
2511    with Windows CryptoAPI and protected with non-ASCII password, as well
2512    as files generated under UTF-8 locale on Linux also protected with
2513    non-ASCII password.
2514
2515    *Andy Polyakov*
2516
2517  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2518    have been disabled by default and removed from DEFAULT, just like RC4.
2519    See the RC4 item below to re-enable both.
2520
2521    *Rich Salz*
2522
2523  * The method for finding the storage location for the Windows RAND seed file
2524    has changed. First we check %RANDFILE%. If that is not set then we check
2525    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2526    all else fails we fall back to C:\.
2527
2528    *Matt Caswell*
2529
2530  * The EVP_EncryptUpdate() function has had its return type changed from void
2531    to int. A return of 0 indicates and error while a return of 1 indicates
2532    success.
2533
2534    *Matt Caswell*
2535
2536  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2537    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2538    off the constant time implementation for RSA, DSA and DH have been made
2539    no-ops and deprecated.
2540
2541    *Matt Caswell*
2542
2543  * Windows RAND implementation was simplified to only get entropy by
2544    calling CryptGenRandom(). Various other RAND-related tickets
2545    were also closed.
2546
2547    *Joseph Wylie Yandle, Rich Salz*
2548
2549  * The stack and lhash API's were renamed to start with `OPENSSL_SK_`
2550    and `OPENSSL_LH_`, respectively.  The old names are available
2551    with API compatibility.  They new names are now completely documented.
2552
2553    *Rich Salz*
2554
2555  * Unify TYPE_up_ref(obj) methods signature.
2556    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2557    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2558    int (instead of void) like all others TYPE_up_ref() methods.
2559    So now these methods also check the return value of CRYPTO_atomic_add(),
2560    and the validity of object reference counter.
2561
2562    *fdasilvayy@gmail.com*
2563
2564  * With Windows Visual Studio builds, the .pdb files are installed
2565    alongside the installed libraries and executables.  For a static
2566    library installation, ossl_static.pdb is the associate compiler
2567    generated .pdb file to be used when linking programs.
2568
2569    *Richard Levitte*
2570
2571  * Remove openssl.spec.  Packaging files belong with the packagers.
2572
2573    *Richard Levitte*
2574
2575  * Automatic Darwin/OSX configuration has had a refresh, it will now
2576    recognise x86_64 architectures automatically.  You can still decide
2577    to build for a different bitness with the environment variable
2578    KERNEL_BITS (can be 32 or 64), for example:
2579
2580            KERNEL_BITS=32 ./config
2581
2582    *Richard Levitte*
2583
2584  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2585    256 bit AES and HMAC with SHA256.
2586
2587    *Steve Henson*
2588
2589  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2590
2591    *Andy Polyakov*
2592
2593  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2594
2595    *Rich Salz*
2596
2597  * To enable users to have their own config files and build file templates,
2598    Configure looks in the directory indicated by the environment variable
2599    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2600    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2601    name and is used as is.
2602
2603    *Richard Levitte*
2604
2605  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2606    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2607    X509_CERT_FILE_CTX was removed.
2608
2609    *Rich Salz*
2610
2611  * "shared" builds are now the default. To create only static libraries use
2612    the "no-shared" Configure option.
2613
2614    *Matt Caswell*
2615
2616  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2617    All of these option have not worked for some while and are fundamental
2618    algorithms.
2619
2620    *Matt Caswell*
2621
2622  * Make various cleanup routines no-ops and mark them as deprecated. Most
2623    global cleanup functions are no longer required because they are handled
2624    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2625    Explicitly de-initing can cause problems (e.g. where a library that uses
2626    OpenSSL de-inits, but an application is still using it). The affected
2627    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2628    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2629    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2630    COMP_zlib_cleanup().
2631
2632    *Matt Caswell*
2633
2634  * --strict-warnings no longer enables runtime debugging options
2635    such as REF_DEBUG. Instead, debug options are automatically
2636    enabled with '--debug' builds.
2637
2638    *Andy Polyakov, Emilia Käsper*
2639
2640  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2641    have been moved out of the public header files. New functions for managing
2642    these have been added.
2643
2644    *Matt Caswell*
2645
2646  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2647    objects have been moved out of the public header files. New
2648    functions for managing these have been added.
2649
2650    *Richard Levitte*
2651
2652  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2653    have been moved out of the public header files. New functions for managing
2654    these have been added.
2655
2656    *Matt Caswell*
2657
2658  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2659    moved out of the public header files. New functions for managing these
2660    have been added.
2661
2662    *Matt Caswell*
2663
2664  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2665
2666    *Matt Caswell*
2667
2668  * Removed the mk1mf build scripts.
2669
2670    *Richard Levitte*
2671
2672  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2673    it is always safe to #include a header now.
2674
2675    *Rich Salz*
2676
2677  * Removed the aged BC-32 config and all its supporting scripts
2678
2679    *Richard Levitte*
2680
2681  * Removed support for Ultrix, Netware, and OS/2.
2682
2683    *Rich Salz*
2684
2685  * Add support for HKDF.
2686
2687    *Alessandro Ghedini*
2688
2689  * Add support for blake2b and blake2s
2690
2691    *Bill Cox*
2692
2693  * Added support for "pipelining". Ciphers that have the
2694    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2695    encryptions/decryptions simultaneously. There are currently no built-in
2696    ciphers with this property but the expectation is that engines will be able
2697    to offer it to significantly improve throughput. Support has been extended
2698    into libssl so that multiple records for a single connection can be
2699    processed in one go (for >=TLS 1.1).
2700
2701    *Matt Caswell*
2702
2703  * Added the AFALG engine. This is an async capable engine which is able to
2704    offload work to the Linux kernel. In this initial version it only supports
2705    AES128-CBC. The kernel must be version 4.1.0 or greater.
2706
2707    *Catriona Lucey*
2708
2709  * OpenSSL now uses a new threading API. It is no longer necessary to
2710    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2711    are two supported threading models: pthreads and windows threads. It is
2712    also possible to configure OpenSSL at compile time for "no-threads". The
2713    old threading API should no longer be used. The functions have been
2714    replaced with "no-op" compatibility macros.
2715
2716    *Alessandro Ghedini, Matt Caswell*
2717
2718  * Modify behavior of ALPN to invoke callback after SNI/servername
2719    callback, such that updates to the SSL_CTX affect ALPN.
2720
2721    *Todd Short*
2722
2723  * Add SSL_CIPHER queries for authentication and key-exchange.
2724
2725    *Todd Short*
2726
2727  * Changes to the DEFAULT cipherlist:
2728    - Prefer (EC)DHE handshakes over plain RSA.
2729    - Prefer AEAD ciphers over legacy ciphers.
2730    - Prefer ECDSA over RSA when both certificates are available.
2731    - Prefer TLSv1.2 ciphers/PRF.
2732    - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2733      default cipherlist.
2734
2735    *Emilia Käsper*
2736
2737  * Change the ECC default curve list to be this, in order: x25519,
2738    secp256r1, secp521r1, secp384r1.
2739
2740    *Rich Salz*
2741
2742  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2743    disabled by default. They can be re-enabled using the
2744    enable-weak-ssl-ciphers option to Configure.
2745
2746    *Matt Caswell*
2747
2748  * If the server has ALPN configured, but supports no protocols that the
2749    client advertises, send a fatal "no_application_protocol" alert.
2750    This behaviour is SHALL in RFC 7301, though it isn't universally
2751    implemented by other servers.
2752
2753    *Emilia Käsper*
2754
2755  * Add X25519 support.
2756    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2757    for public and private key encoding using the format documented in
2758    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2759    key generation and key derivation.
2760
2761    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2762    X25519(29).
2763
2764    *Steve Henson*
2765
2766  * Deprecate SRP_VBASE_get_by_user.
2767    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2768    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2769    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2770    seed, even if the seed is configured.
2771
2772    Users should use SRP_VBASE_get1_by_user instead. Note that in
2773    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2774    also that even though configuring the SRP seed attempts to hide
2775    invalid usernames by continuing the handshake with fake
2776    credentials, this behaviour is not constant time and no strong
2777    guarantees are made that the handshake is indistinguishable from
2778    that of a valid user.
2779
2780    *Emilia Käsper*
2781
2782  * Configuration change; it's now possible to build dynamic engines
2783    without having to build shared libraries and vice versa.  This
2784    only applies to the engines in engines/, those in crypto/engine/
2785    will always be built into libcrypto (i.e. "static").
2786
2787    Building dynamic engines is enabled by default; to disable, use
2788    the configuration option "disable-dynamic-engine".
2789
2790    The only requirements for building dynamic engines are the
2791    presence of the DSO module and building with position independent
2792    code, so they will also automatically be disabled if configuring
2793    with "disable-dso" or "disable-pic".
2794
2795    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2796    are also taken away from openssl/opensslconf.h, as they are
2797    irrelevant.
2798
2799    *Richard Levitte*
2800
2801  * Configuration change; if there is a known flag to compile
2802    position independent code, it will always be applied on the
2803    libcrypto and libssl object files, and never on the application
2804    object files.  This means other libraries that use routines from
2805    libcrypto / libssl can be made into shared libraries regardless
2806    of how OpenSSL was configured.
2807
2808    If this isn't desirable, the configuration options "disable-pic"
2809    or "no-pic" can be used to disable the use of PIC.  This will
2810    also disable building shared libraries and dynamic engines.
2811
2812    *Richard Levitte*
2813
2814  * Removed JPAKE code.  It was experimental and has no wide use.
2815
2816    *Rich Salz*
2817
2818  * The INSTALL_PREFIX Makefile variable has been renamed to
2819    DESTDIR.  That makes for less confusion on what this variable
2820    is for.  Also, the configuration option --install_prefix is
2821    removed.
2822
2823    *Richard Levitte*
2824
2825  * Heartbeat for TLS has been removed and is disabled by default
2826    for DTLS; configure with enable-heartbeats.  Code that uses the
2827    old #define's might need to be updated.
2828
2829    *Emilia Käsper, Rich Salz*
2830
2831  * Rename REF_CHECK to REF_DEBUG.
2832
2833    *Rich Salz*
2834
2835  * New "unified" build system
2836
2837    The "unified" build system is aimed to be a common system for all
2838    platforms we support.  With it comes new support for VMS.
2839
2840    This system builds supports building in a different directory tree
2841    than the source tree.  It produces one Makefile (for unix family
2842    or lookalikes), or one descrip.mms (for VMS).
2843
2844    The source of information to make the Makefile / descrip.mms is
2845    small files called 'build.info', holding the necessary
2846    information for each directory with source to compile, and a
2847    template in Configurations, like unix-Makefile.tmpl or
2848    descrip.mms.tmpl.
2849
2850    With this change, the library names were also renamed on Windows
2851    and on VMS.  They now have names that are closer to the standard
2852    on Unix, and include the major version number, and in certain
2853    cases, the architecture they are built for.  See "Notes on shared
2854    libraries" in INSTALL.
2855
2856    We rely heavily on the perl module Text::Template.
2857
2858    *Richard Levitte*
2859
2860  * Added support for auto-initialisation and de-initialisation of the library.
2861    OpenSSL no longer requires explicit init or deinit routines to be called,
2862    except in certain circumstances. See the OPENSSL_init_crypto() and
2863    OPENSSL_init_ssl() man pages for further information.
2864
2865    *Matt Caswell*
2866
2867  * The arguments to the DTLSv1_listen function have changed. Specifically the
2868    "peer" argument is now expected to be a BIO_ADDR object.
2869
2870  * Rewrite of BIO networking library. The BIO library lacked consistent
2871    support of IPv6, and adding it required some more extensive
2872    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2873    which hold all types of addresses and chains of address information.
2874    It also introduces a new API, with functions like BIO_socket,
2875    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2876    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2877    have been adapted accordingly.
2878
2879    *Richard Levitte*
2880
2881  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2882    the leading 0-byte.
2883
2884    *Emilia Käsper*
2885
2886  * CRIME protection: disable compression by default, even if OpenSSL is
2887    compiled with zlib enabled. Applications can still enable compression
2888    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2889    using the SSL_CONF library to configure compression.
2890
2891    *Emilia Käsper*
2892
2893  * The signature of the session callback configured with
2894    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2895    was explicitly marked as `const unsigned char*` instead of
2896    `unsigned char*`.
2897
2898    *Emilia Käsper*
2899
2900  * Always DPURIFY. Remove the use of uninitialized memory in the
2901    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2902
2903    *Emilia Käsper*
2904
2905  * Removed many obsolete configuration items, including
2906       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2907       MD2_CHAR, MD2_INT, MD2_LONG
2908       BF_PTR, BF_PTR2
2909       IDEA_SHORT, IDEA_LONG
2910       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2911
2912    *Rich Salz, with advice from Andy Polyakov*
2913
2914  * Many BN internals have been moved to an internal header file.
2915
2916    *Rich Salz with help from Andy Polyakov*
2917
2918  * Configuration and writing out the results from it has changed.
2919    Files such as Makefile include/openssl/opensslconf.h and are now
2920    produced through general templates, such as Makefile.in and
2921    crypto/opensslconf.h.in and some help from the perl module
2922    Text::Template.
2923
2924    Also, the center of configuration information is no longer
2925    Makefile.  Instead, Configure produces a perl module in
2926    configdata.pm which holds most of the config data (in the hash
2927    table %config), the target data that comes from the target
2928    configuration in one of the `Configurations/*.conf~ files (in
2929    %target).
2930
2931    *Richard Levitte*
2932
2933  * To clarify their intended purposes, the Configure options
2934    --prefix and --openssldir change their semantics, and become more
2935    straightforward and less interdependent.
2936
2937    --prefix shall be used exclusively to give the location INSTALLTOP
2938    where programs, scripts, libraries, include files and manuals are
2939    going to be installed.  The default is now /usr/local.
2940
2941    --openssldir shall be used exclusively to give the default
2942    location OPENSSLDIR where certificates, private keys, CRLs are
2943    managed.  This is also where the default openssl.cnf gets
2944    installed.
2945    If the directory given with this option is a relative path, the
2946    values of both the --prefix value and the --openssldir value will
2947    be combined to become OPENSSLDIR.
2948    The default for --openssldir is INSTALLTOP/ssl.
2949
2950    Anyone who uses --openssldir to specify where OpenSSL is to be
2951    installed MUST change to use --prefix instead.
2952
2953    *Richard Levitte*
2954
2955  * The GOST engine was out of date and therefore it has been removed. An up
2956    to date GOST engine is now being maintained in an external repository.
2957    See: <https://wiki.openssl.org/index.php/Binaries>. Libssl still retains
2958    support for GOST ciphersuites (these are only activated if a GOST engine
2959    is present).
2960
2961    *Matt Caswell*
2962
2963  * EGD is no longer supported by default; use enable-egd when
2964    configuring.
2965
2966    *Ben Kaduk and Rich Salz*
2967
2968  * The distribution now has Makefile.in files, which are used to
2969    create Makefile's when Configure is run.  *Configure must be run
2970    before trying to build now.*
2971
2972    *Rich Salz*
2973
2974  * The return value for SSL_CIPHER_description() for error conditions
2975    has changed.
2976
2977    *Rich Salz*
2978
2979  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2980
2981    Obtaining and performing DNSSEC validation of TLSA records is
2982    the application's responsibility.  The application provides
2983    the TLSA records of its choice to OpenSSL, and these are then
2984    used to authenticate the peer.
2985
2986    The TLSA records need not even come from DNS.  They can, for
2987    example, be used to implement local end-entity certificate or
2988    trust-anchor "pinning", where the "pin" data takes the form
2989    of TLSA records, which can augment or replace verification
2990    based on the usual WebPKI public certification authorities.
2991
2992    *Viktor Dukhovni*
2993
2994  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2995    continues to support deprecated interfaces in default builds.
2996    However, applications are strongly advised to compile their
2997    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2998    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2999    or the 1.1.0 releases.
3000
3001    In environments in which all applications have been ported to
3002    not use any deprecated interfaces OpenSSL's Configure script
3003    should be used with the --api=1.1.0 option to entirely remove
3004    support for the deprecated features from the library and
3005    unconditionally disable them in the installed headers.
3006    Essentially the same effect can be achieved with the "no-deprecated"
3007    argument to Configure, except that this will always restrict
3008    the build to just the latest API, rather than a fixed API
3009    version.
3010
3011    As applications are ported to future revisions of the API,
3012    they should update their compile-time OPENSSL_API_COMPAT define
3013    accordingly, but in most cases should be able to continue to
3014    compile with later releases.
3015
3016    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
3017    0x10000000L and 0x00908000L, respectively.  However those
3018    versions did not support the OPENSSL_API_COMPAT feature, and
3019    so applications are not typically tested for explicit support
3020    of just the undeprecated features of either release.
3021
3022    *Viktor Dukhovni*
3023
3024  * Add support for setting the minimum and maximum supported protocol.
3025    It can bet set via the SSL_set_min_proto_version() and
3026    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
3027    MaxProtocol.  It's recommended to use the new APIs to disable
3028    protocols instead of disabling individual protocols using
3029    SSL_set_options() or SSL_CONF's Protocol.  This change also
3030    removes support for disabling TLS 1.2 in the OpenSSL TLS
3031    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
3032
3033    *Kurt Roeckx*
3034
3035  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
3036
3037    *Andy Polyakov*
3038
3039  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
3040    and integrates ECDSA and ECDH functionality into EC. Implementations can
3041    now redirect key generation and no longer need to convert to or from
3042    ECDSA_SIG format.
3043
3044    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
3045    include the ec.h header file instead.
3046
3047    *Steve Henson*
3048
3049  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
3050    ciphers who are no longer supported and drops support the ephemeral RSA key
3051    exchange. The LOW ciphers currently doesn't have any ciphers in it.
3052
3053    *Kurt Roeckx*
3054
3055  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
3056    opaque.  For HMAC_CTX, the following constructors and destructors
3057    were added:
3058
3059       HMAC_CTX *HMAC_CTX_new(void);
3060       void HMAC_CTX_free(HMAC_CTX *ctx);
3061
3062    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
3063    destroy such methods has been added.  See EVP_MD_meth_new(3) and
3064    EVP_CIPHER_meth_new(3) for documentation.
3065
3066    Additional changes:
3067    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
3068       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
3069       EVP_MD_CTX_reset() should be called instead to reinitialise
3070       an already created structure.
3071    2) For consistency with the majority of our object creators and
3072       destructors, EVP_MD_CTX_(create|destroy) were renamed to
3073       EVP_MD_CTX_(new|free).  The old names are retained as macros
3074       for deprecated builds.
3075
3076    *Richard Levitte*
3077
3078  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
3079    cryptographic operations to be performed asynchronously as long as an
3080    asynchronous capable engine is used. See the ASYNC_start_job() man page for
3081    further details. Libssl has also had this capability integrated with the
3082    introduction of the new mode SSL_MODE_ASYNC and associated error
3083    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
3084    pages. This work was developed in partnership with Intel Corp.
3085
3086    *Matt Caswell*
3087
3088  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
3089    always enabled now.  If you want to disable the support you should
3090    exclude it using the list of supported ciphers. This also means that the
3091    "-no_ecdhe" option has been removed from s_server.
3092
3093    *Kurt Roeckx*
3094
3095  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
3096    SSL_{CTX_}set1_curves() which can set a list.
3097
3098    *Kurt Roeckx*
3099
3100  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
3101    curve you want to support using SSL_{CTX_}set1_curves().
3102
3103    *Kurt Roeckx*
3104
3105  * State machine rewrite. The state machine code has been significantly
3106    refactored in order to remove much duplication of code and solve issues
3107    with the old code (see ssl/statem/README for further details). This change
3108    does have some associated API changes. Notably the SSL_state() function
3109    has been removed and replaced by SSL_get_state which now returns an
3110    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
3111    altogether. The previous handshake states defined in ssl.h and ssl3.h have
3112    also been removed.
3113
3114    *Matt Caswell*
3115
3116  * All instances of the string "ssleay" in the public API were replaced
3117    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
3118    Some error codes related to internal RSA_eay API's were renamed.
3119
3120    *Rich Salz*
3121
3122  * The demo files in crypto/threads were moved to demo/threads.
3123
3124    *Rich Salz*
3125
3126  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
3127    sureware and ubsec.
3128
3129    *Matt Caswell, Rich Salz*
3130
3131  * New ASN.1 embed macro.
3132
3133    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
3134    structure is not allocated: it is part of the parent. That is instead of
3135
3136            FOO *x;
3137
3138    it must be:
3139
3140            FOO x;
3141
3142    This reduces memory fragmentation and make it impossible to accidentally
3143    set a mandatory field to NULL.
3144
3145    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3146    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3147    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3148    SEQUENCE OF.
3149
3150    *Steve Henson*
3151
3152  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3153
3154    *Emilia Käsper*
3155
3156  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3157    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3158    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3159    DES and RC4 ciphersuites.
3160
3161    *Matt Caswell*
3162
3163  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3164    This changes the decoding behaviour for some invalid messages,
3165    though the change is mostly in the more lenient direction, and
3166    legacy behaviour is preserved as much as possible.
3167
3168    *Emilia Käsper*
3169
3170  * Fix no-stdio build.
3171    * David Woodhouse <David.Woodhouse@intel.com> and also
3172     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3173
3174  * New testing framework
3175    The testing framework has been largely rewritten and is now using
3176    perl and the perl modules Test::Harness and an extended variant of
3177    Test::More called OpenSSL::Test to do its work.  All test scripts in
3178    test/ have been rewritten into test recipes, and all direct calls to
3179    executables in test/Makefile have become individual recipes using the
3180    simplified testing OpenSSL::Test::Simple.
3181
3182    For documentation on our testing modules, do:
3183
3184            perldoc test/testlib/OpenSSL/Test/Simple.pm
3185            perldoc test/testlib/OpenSSL/Test.pm
3186
3187    *Richard Levitte*
3188
3189  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3190    are used; the latter aborts on memory leaks (usually checked on exit).
3191    Some undocumented "set malloc, etc., hooks" functions were removed
3192    and others were changed.  All are now documented.
3193
3194    *Rich Salz*
3195
3196  * In DSA_generate_parameters_ex, if the provided seed is too short,
3197    return an error
3198
3199    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3200
3201  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3202    from RFC4279, RFC4785, RFC5487, RFC5489.
3203
3204    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3205    original RSA_PSK patch.
3206
3207    *Steve Henson*
3208
3209  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3210    era flag was never set throughout the codebase (only read). Also removed
3211    SSL3_FLAGS_POP_BUFFER which was only used if
3212    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3213
3214    *Matt Caswell*
3215
3216  * Changed the default name options in the "ca", "crl", "req" and "x509"
3217    to be "oneline" instead of "compat".
3218
3219    *Richard Levitte*
3220
3221  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3222    not aware of clients that still exhibit this bug, and the workaround
3223    hasn't been working properly for a while.
3224
3225    *Emilia Käsper*
3226
3227  * The return type of BIO_number_read() and BIO_number_written() as well as
3228    the corresponding num_read and num_write members in the BIO structure has
3229    changed from unsigned long to uint64_t. On platforms where an unsigned
3230    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3231    transferred.
3232
3233    *Matt Caswell*
3234
3235  * Given the pervasive nature of TLS extensions it is inadvisable to run
3236    OpenSSL without support for them. It also means that maintaining
3237    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3238    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3239
3240    *Matt Caswell*
3241
3242  * Removed support for the two export grade static DH ciphersuites
3243    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3244    were newly added (along with a number of other static DH ciphersuites) to
3245    1.0.2. However the two export ones have *never* worked since they were
3246    introduced. It seems strange in any case to be adding new export
3247    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3248
3249    *Matt Caswell*
3250
3251  * Version negotiation has been rewritten. In particular SSLv23_method(),
3252    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3253    and turned into macros which simply call the new preferred function names
3254    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3255    should use the new names instead. Also as part of this change the ssl23.h
3256    header file has been removed.
3257
3258    *Matt Caswell*
3259
3260  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3261    code and the associated standard is no longer considered fit-for-purpose.
3262
3263    *Matt Caswell*
3264
3265  * RT2547 was closed.  When generating a private key, try to make the
3266    output file readable only by the owner.  This behavior change might
3267    be noticeable when interacting with other software.
3268
3269  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3270    Added a test.
3271
3272    *Rich Salz*
3273
3274  * Added HTTP GET support to the ocsp command.
3275
3276    *Rich Salz*
3277
3278  * Changed default digest for the dgst and enc commands from MD5 to
3279    sha256
3280
3281    *Rich Salz*
3282
3283  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3284
3285    *Matt Caswell*
3286
3287  * Added support for TLS extended master secret from
3288    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3289    initial patch which was a great help during development.
3290
3291    *Steve Henson*
3292
3293  * All libssl internal structures have been removed from the public header
3294    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3295    now redundant). Users should not attempt to access internal structures
3296    directly. Instead they should use the provided API functions.
3297
3298    *Matt Caswell*
3299
3300  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3301    Access to deprecated functions can be re-enabled by running config with
3302    "enable-deprecated". In addition applications wishing to use deprecated
3303    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3304    will, by default, disable some transitive includes that previously existed
3305    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3306
3307    *Matt Caswell*
3308
3309  * Added support for OCB mode. OpenSSL has been granted a patent license
3310    compatible with the OpenSSL license for use of OCB. Details are available
3311    at <https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf>. Support
3312    for OCB can be removed by calling config with no-ocb.
3313
3314    *Matt Caswell*
3315
3316  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3317    compatible client hello.
3318
3319    *Kurt Roeckx*
3320
3321  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3322    done while fixing the error code for the key-too-small case.
3323
3324    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3325
3326  * CA.sh has been removed; use CA.pl instead.
3327
3328    *Rich Salz*
3329
3330  * Removed old DES API.
3331
3332    *Rich Salz*
3333
3334  * Remove various unsupported platforms:
3335       Sony NEWS4
3336       BEOS and BEOS_R5
3337       NeXT
3338       SUNOS
3339       MPE/iX
3340       Sinix/ReliantUNIX RM400
3341       DGUX
3342       NCR
3343       Tandem
3344       Cray
3345       16-bit platforms such as WIN16
3346
3347    *Rich Salz*
3348
3349  * Clean up OPENSSL_NO_xxx #define's
3350    - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3351    - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3352    - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3353    - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3354    - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3355    - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3356      OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3357      OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3358      OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3359    - Remove MS_STATIC; it's a relic from platforms <32 bits.
3360
3361    *Rich Salz*
3362
3363  * Cleaned up dead code
3364      Remove all but one '#ifdef undef' which is to be looked at.
3365
3366    *Rich Salz*
3367
3368  * Clean up calling of xxx_free routines.
3369       Just like free(), fix most of the xxx_free routines to accept
3370       NULL.  Remove the non-null checks from callers.  Save much code.
3371
3372    *Rich Salz*
3373
3374  * Add secure heap for storage of private keys (when possible).
3375    Add BIO_s_secmem(), CBIGNUM, etc.
3376    Contributed by Akamai Technologies under our Corporate CLA.
3377
3378    *Rich Salz*
3379
3380  * Experimental support for a new, fast, unbiased prime candidate generator,
3381    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3382
3383    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3384
3385  * New output format NSS in the sess_id command line tool. This allows
3386    exporting the session id and the master key in NSS keylog format.
3387
3388    *Martin Kaiser <martin@kaiser.cx>*
3389
3390  * Harmonize version and its documentation. -f flag is used to display
3391    compilation flags.
3392
3393    *mancha <mancha1@zoho.com>*
3394
3395  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3396    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3397
3398    *mancha <mancha1@zoho.com>*
3399
3400  * Fix some double frees. These are not thought to be exploitable.
3401
3402    *mancha <mancha1@zoho.com>*
3403
3404  * A missing bounds check in the handling of the TLS heartbeat extension
3405    can be used to reveal up to 64k of memory to a connected client or
3406    server.
3407
3408    Thanks for Neel Mehta of Google Security for discovering this bug and to
3409    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3410    preparing the fix [CVE-2014-0160][]
3411
3412    *Adam Langley, Bodo Moeller*
3413
3414  * Fix for the attack described in the paper "Recovering OpenSSL
3415    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3416    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3417    <http://eprint.iacr.org/2014/140>
3418
3419    Thanks to Yuval Yarom and Naomi Benger for discovering this
3420    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3421
3422    *Yuval Yarom and Naomi Benger*
3423
3424  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3425    this fixes a limitation in previous versions of OpenSSL.
3426
3427    *Steve Henson*
3428
3429  * Experimental encrypt-then-mac support.
3430
3431    Experimental support for encrypt then mac from
3432    draft-gutmann-tls-encrypt-then-mac-02.txt
3433
3434    To enable it set the appropriate extension number (0x42 for the test
3435    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3436
3437    For non-compliant peers (i.e. just about everything) this should have no
3438    effect.
3439
3440    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3441
3442    *Steve Henson*
3443
3444  * Add EVP support for key wrapping algorithms, to avoid problems with
3445    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3446    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3447    algorithms and include tests cases.
3448
3449    *Steve Henson*
3450
3451  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3452    enveloped data.
3453
3454    *Steve Henson*
3455
3456  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3457    MGF1 digest and OAEP label.
3458
3459    *Steve Henson*
3460
3461  * Make openssl verify return errors.
3462
3463    *Chris Palmer <palmer@google.com> and Ben Laurie*
3464
3465  * New function ASN1_TIME_diff to calculate the difference between two
3466    ASN1_TIME structures or one structure and the current time.
3467
3468    *Steve Henson*
3469
3470  * Update fips_test_suite to support multiple command line options. New
3471    test to induce all self test errors in sequence and check expected
3472    failures.
3473
3474    *Steve Henson*
3475
3476  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3477    sign or verify all in one operation.
3478
3479    *Steve Henson*
3480
3481  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3482    test programs and fips_test_suite. Includes functionality to parse
3483    the minimal script output of fipsalgest.pl directly.
3484
3485    *Steve Henson*
3486
3487  * Add authorisation parameter to FIPS_module_mode_set().
3488
3489    *Steve Henson*
3490
3491  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3492
3493    *Steve Henson*
3494
3495  * Use separate DRBG fields for internal and external flags. New function
3496    FIPS_drbg_health_check() to perform on demand health checking. Add
3497    generation tests to fips_test_suite with reduced health check interval to
3498    demonstrate periodic health checking. Add "nodh" option to
3499    fips_test_suite to skip very slow DH test.
3500
3501    *Steve Henson*
3502
3503  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3504    based on NID.
3505
3506    *Steve Henson*
3507
3508  * More extensive health check for DRBG checking many more failure modes.
3509    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3510    combination: call this in fips_test_suite.
3511
3512    *Steve Henson*
3513
3514  * Add support for canonical generation of DSA parameter 'g'. See
3515    FIPS 186-3 A.2.3.
3516
3517  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3518    POST to handle HMAC cases.
3519
3520    *Steve Henson*
3521
3522  * Add functions FIPS_module_version() and FIPS_module_version_text()
3523    to return numerical and string versions of the FIPS module number.
3524
3525    *Steve Henson*
3526
3527  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3528    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3529    outside the validated module in the FIPS capable OpenSSL.
3530
3531    *Steve Henson*
3532
3533  * Minor change to DRBG entropy callback semantics. In some cases
3534    there is no multiple of the block length between min_len and
3535    max_len. Allow the callback to return more than max_len bytes
3536    of entropy but discard any extra: it is the callback's responsibility
3537    to ensure that the extra data discarded does not impact the
3538    requested amount of entropy.
3539
3540    *Steve Henson*
3541
3542  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3543    information in FIPS186-3, SP800-57 and SP800-131A.
3544
3545    *Steve Henson*
3546
3547  * CCM support via EVP. Interface is very similar to GCM case except we
3548    must supply all data in one chunk (i.e. no update, final) and the
3549    message length must be supplied if AAD is used. Add algorithm test
3550    support.
3551
3552    *Steve Henson*
3553
3554  * Initial version of POST overhaul. Add POST callback to allow the status
3555    of POST to be monitored and/or failures induced. Modify fips_test_suite
3556    to use callback. Always run all selftests even if one fails.
3557
3558    *Steve Henson*
3559
3560  * XTS support including algorithm test driver in the fips_gcmtest program.
3561    Note: this does increase the maximum key length from 32 to 64 bytes but
3562    there should be no binary compatibility issues as existing applications
3563    will never use XTS mode.
3564
3565    *Steve Henson*
3566
3567  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3568    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3569    performs algorithm blocking for unapproved PRNG types. Also do not
3570    set PRNG type in FIPS_mode_set(): leave this to the application.
3571    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3572    the standard OpenSSL PRNG: set additional data to a date time vector.
3573
3574    *Steve Henson*
3575
3576  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3577    This shouldn't present any incompatibility problems because applications
3578    shouldn't be using these directly and any that are will need to rethink
3579    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3580
3581    *Steve Henson*
3582
3583  * Extensive self tests and health checking required by SP800-90 DRBG.
3584    Remove strength parameter from FIPS_drbg_instantiate and always
3585    instantiate at maximum supported strength.
3586
3587    *Steve Henson*
3588
3589  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3590
3591    *Steve Henson*
3592
3593  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3594
3595    *Steve Henson*
3596
3597  * New function DH_compute_key_padded() to compute a DH key and pad with
3598    leading zeroes if needed: this complies with SP800-56A et al.
3599
3600    *Steve Henson*
3601
3602  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3603    anything, incomplete, subject to change and largely untested at present.
3604
3605    *Steve Henson*
3606
3607  * Modify fipscanisteronly build option to only build the necessary object
3608    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3609
3610    *Steve Henson*
3611
3612  * Add experimental option FIPSSYMS to give all symbols in
3613    fipscanister.o and FIPS or fips prefix. This will avoid
3614    conflicts with future versions of OpenSSL. Add perl script
3615    util/fipsas.pl to preprocess assembly language source files
3616    and rename any affected symbols.
3617
3618    *Steve Henson*
3619
3620  * Add selftest checks and algorithm block of non-fips algorithms in
3621    FIPS mode. Remove DES2 from selftests.
3622
3623    *Steve Henson*
3624
3625  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3626    return internal method without any ENGINE dependencies. Add new
3627    tiny fips sign and verify functions.
3628
3629    *Steve Henson*
3630
3631  * New build option no-ec2m to disable characteristic 2 code.
3632
3633    *Steve Henson*
3634
3635  * New build option "fipscanisteronly". This only builds fipscanister.o
3636    and (currently) associated fips utilities. Uses the file Makefile.fips
3637    instead of Makefile.org as the prototype.
3638
3639    *Steve Henson*
3640
3641  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3642    Update fips_gcmtest to use IV generator.
3643
3644    *Steve Henson*
3645
3646  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3647    setting output buffer to NULL. The `*Final` function must be
3648    called although it will not retrieve any additional data. The tag
3649    can be set or retrieved with a ctrl. The IV length is by default 12
3650    bytes (96 bits) but can be set to an alternative value. If the IV
3651    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3652    set before the key.
3653
3654    *Steve Henson*
3655
3656  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3657    underlying do_cipher function handles all cipher semantics itself
3658    including padding and finalisation. This is useful if (for example)
3659    an ENGINE cipher handles block padding itself. The behaviour of
3660    do_cipher is subtly changed if this flag is set: the return value
3661    is the number of characters written to the output buffer (zero is
3662    no longer an error code) or a negative error code. Also if the
3663    input buffer is NULL and length 0 finalisation should be performed.
3664
3665    *Steve Henson*
3666
3667  * If a candidate issuer certificate is already part of the constructed
3668    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3669
3670    *Steve Henson*
3671
3672  * Improve forward-security support: add functions
3673
3674            void SSL_CTX_set_not_resumable_session_callback(
3675                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3676            void SSL_set_not_resumable_session_callback(
3677                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3678
3679    for use by SSL/TLS servers; the callback function will be called whenever a
3680    new session is created, and gets to decide whether the session may be
3681    cached to make it resumable (return 0) or not (return 1).  (As by the
3682    SSL/TLS protocol specifications, the session_id sent by the server will be
3683    empty to indicate that the session is not resumable; also, the server will
3684    not generate RFC 4507 (RFC 5077) session tickets.)
3685
3686    A simple reasonable callback implementation is to return is_forward_secure.
3687    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3688    by the SSL/TLS server library, indicating whether it can provide forward
3689    security.
3690
3691    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3692
3693  * New -verify_name option in command line utilities to set verification
3694    parameters by name.
3695
3696    *Steve Henson*
3697
3698  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3699    Add CMAC pkey methods.
3700
3701    *Steve Henson*
3702
3703  * Experimental renegotiation in s_server -www mode. If the client
3704    browses /reneg connection is renegotiated. If /renegcert it is
3705    renegotiated requesting a certificate.
3706
3707    *Steve Henson*
3708
3709  * Add an "external" session cache for debugging purposes to s_server. This
3710    should help trace issues which normally are only apparent in deployed
3711    multi-process servers.
3712
3713    *Steve Henson*
3714
3715  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3716    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3717    BIO_set_cipher() and some obscure PEM functions were changed so they
3718    can now return an error. The RAND changes required a change to the
3719    RAND_METHOD structure.
3720
3721    *Steve Henson*
3722
3723  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3724    a gcc attribute to warn if the result of a function is ignored. This
3725    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3726    whose return value is often ignored.
3727
3728    *Steve Henson*
3729
3730  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3731    These allow SCTs (signed certificate timestamps) to be requested and
3732    validated when establishing a connection.
3733
3734    *Rob Percival <robpercival@google.com>*
3735
3736 OpenSSL 1.0.2
3737 -------------
3738
3739 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019]
3740
3741  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3742    used even when parsing explicit parameters, when loading a serialized key
3743    or calling `EC_GROUP_new_from_ecpkparameters()`/
3744    `EC_GROUP_new_from_ecparameters()`.
3745    This prevents bypass of security hardening and performance gains,
3746    especially for curves with specialized EC_METHODs.
3747    By default, if a key encoded with explicit parameters is loaded and later
3748    serialized, the output is still encoded with explicit parameters, even if
3749    internally a "named" EC_GROUP is used for computation.
3750
3751    *Nicola Tuveri*
3752
3753  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3754    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3755    NULL. After this change, only the cofactor parameter can be NULL. It also
3756    does some minimal sanity checks on the passed order.
3757    [CVE-2019-1547][]
3758
3759    *Billy Bob Brumley*
3760
3761  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3762    An attack is simple, if the first CMS_recipientInfo is valid but the
3763    second CMS_recipientInfo is chosen ciphertext. If the second
3764    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3765    encryption key will be replaced by garbage, and the message cannot be
3766    decoded, but if the RSA decryption fails, the correct encryption key is
3767    used and the recipient will not notice the attack.
3768    As a work around for this potential attack the length of the decrypted
3769    key must be equal to the cipher default key length, in case the
3770    certifiate is not given and all recipientInfo are tried out.
3771    The old behaviour can be re-enabled in the CMS code by setting the
3772    CMS_DEBUG_DECRYPT flag.
3773    [CVE-2019-1563][]
3774
3775    *Bernd Edlinger*
3776
3777  * Document issue with installation paths in diverse Windows builds
3778
3779    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3780    binaries and run-time config file.
3781    [CVE-2019-1552][]
3782
3783    *Richard Levitte*
3784
3785 ### Changes between 1.0.2r and 1.0.2s [28 May 2019]
3786
3787  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3788    This changes the size when using the genpkey app when no size is given. It
3789    fixes an omission in earlier changes that changed all RSA, DSA and DH
3790    generation apps to use 2048 bits by default.
3791
3792    *Kurt Roeckx*
3793
3794  * Add FIPS support for Android Arm 64-bit
3795
3796    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3797    Module in Version 2.0.10. For some reason, the corresponding target