68fa1e00330de54b1a3713c07fca24a86825eb31
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10 OpenSSL Releases
11 ----------------
12
13  - [OpenSSL 3.0](#openssl-30)
14  - [OpenSSL 1.1.1](#openssl-111)
15  - [OpenSSL 1.1.0](#openssl-110)
16  - [OpenSSL 1.0.2](#openssl-102)
17  - [OpenSSL 1.0.1](#openssl-101)
18  - [OpenSSL 1.0.0](#openssl-100)
19  - [OpenSSL 0.9.x](#openssl-09x)
20
21 OpenSSL 3.0
22 -----------
23
24 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx]
25
26  * Deprecated EC_METHOD_get_field_type(). Applications should switch to
27    EC_GROUP_get_field_type().
28
29    *Billy Bob Brumley*
30
31  * Deprecated EC_GFp_simple_method(), EC_GFp_mont_method(),
32    EC_GF2m_simple_method(), EC_GFp_nist_method(), EC_GFp_nistp224_method()
33    EC_GFp_nistp256_method(), and EC_GFp_nistp521_method().
34    Applications should rely on the library automatically assigning a suitable
35    EC_METHOD internally upon EC_GROUP construction.
36
37    *Billy Bob Brumley*
38
39  * Deprecated EC_GROUP_new(), EC_GROUP_method_of(), and EC_POINT_method_of().
40    EC_METHOD is now an internal-only concept and a suitable EC_METHOD is
41    assigned internally without application intervention.
42    Users of EC_GROUP_new() should switch to a different suitable constructor.
43
44    *Billy Bob Brumley*
45
46  * Add CAdES-BES signature verification support, mostly derived
47    from ESSCertIDv2 TS (RFC 5816) contribution by Marek Klein.
48
49    *Filipe Raimundo da Silva*
50
51  * Add CAdES-BES signature scheme and attributes support (RFC 5126) to CMS API.
52
53    *Antonio Iacono*
54
55  * Deprecated EC_POINT_make_affine() and EC_POINTs_make_affine(). These
56    functions are not widely used and now OpenSSL automatically perform this
57    conversion when needed.
58
59    *Billy Bob Brumley*
60
61  * Deprecated EC_GROUP_precompute_mult(), EC_GROUP_have_precompute_mult(), and
62    EC_KEY_precompute_mult(). These functions are not widely used and
63    applications should instead switch to named curves which OpenSSL has
64    hardcoded lookup tables for.
65
66    *Billy Bob Brumley*
67
68  * Deprecated EC_POINTs_mul(). This function is not widely used and applications
69    should instead use the L<EC_POINT_mul(3)> function.
70
71    *Billy Bob Brumley*
72
73  * Removed FIPS_mode() and FIPS_mode_set(). These functions are legacy API's
74    that are not applicable to the new provider model. Applications should
75    instead use EVP_default_properties_is_fips_enabled() and
76    EVP_default_properties_enable_fips().
77
78    *Shane Lontis*
79
80  * The SSL option SSL_OP_IGNORE_UNEXPECTED_EOF is introduced. If that option
81    is set, an unexpected EOF is ignored, it pretends a close notify was received
82    instead and so the returned error becomes SSL_ERROR_ZERO_RETURN.
83
84    *Dmitry Belyavskiy*
85
86  * Deprecated EC_POINT_set_Jprojective_coordinates_GFp() and
87    EC_POINT_get_Jprojective_coordinates_GFp(). These functions are not widely
88    used and applications should instead use the
89    L<EC_POINT_set_affine_coordinates(3)> and
90    L<EC_POINT_get_affine_coordinates(3)> functions.
91
92    *Billy Bob Brumley*
93
94  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
95    arrays to be more easily constructed via a series of utility functions.
96    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
97    the various push functions and finally convert to a passable OSSL_PARAM
98    array using OSSL_PARAM_BLD_to_param().
99
100    *Paul Dale*
101
102  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
103    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
104    internal keys, if they correspond to one of those built in types.
105
106    *Richard Levitte*
107
108  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
109    contain a provider side internal key.
110
111    *Richard Levitte*
112
113  * ASN1_verify(), ASN1_digest() and ASN1_sign() have been deprecated.
114    They are old functions that we don't use, and that you could disable with
115    the macro NO_ASN1_OLD.  This goes all the way back to OpenSSL 0.9.7.
116
117    *Richard Levitte*
118
119  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
120    have been converted to Markdown with the goal to produce documents
121    which not only look pretty when viewed online in the browser, but
122    remain well readable inside a plain text editor.
123
124    To achieve this goal, a 'minimalistic' Markdown style has been applied
125    which avoids formatting elements that interfere too much with the
126    reading flow in the text file. For example, it
127
128    * avoids [ATX headings][] and uses [setext headings][] instead
129      (which works for `<h1>` and `<h2>` headings only).
130    * avoids [inline links][] and uses [reference links][] instead.
131    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
132
133      [ATX headings]:         https://github.github.com/gfm/#atx-headings
134      [setext headings]:      https://github.github.com/gfm/#setext-headings
135      [inline links]:         https://github.github.com/gfm/#inline-link
136      [reference links]:      https://github.github.com/gfm/#reference-link
137      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
138      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
139
140    *Matthias St. Pierre*
141
142  * The test suite is changed to preserve results of each test recipe.
143    A new directory test-runs/ with subdirectories named like the
144    test recipes are created in the build tree for this purpose.
145
146    *Richard Levitte*
147
148  * Added an implementation of CMP and CRMF (RFC 4210, RFC 4211 RFC 6712).
149    This adds crypto/cmp/, crpyto/crmf/, apps/cmp.c, and test/cmp_*.
150    See L<openssl-cmp(1)> and L<OSSL_CMP_exec_IR_ses(3)> as starting points.
151
152    *David von Oheimb, Martin Peylo*
153
154  * Generalized the HTTP client code from crypto/ocsp/ into crpyto/http/.
155    The legacy OCSP-focused and only partly documented API is retained.
156    See L<OSSL_CMP_MSG_http_perform(3)> etc. for details.
157
158    *David von Oheimb*
159
160  * All of the low level RSA functions have been deprecated including:
161
162    RSA_new_method, RSA_size, RSA_security_bits, RSA_get0_pss_params,
163    RSA_get_version, RSA_get0_engine, RSA_generate_key_ex,
164    RSA_generate_multi_prime_key, RSA_X931_derive_ex, RSA_X931_generate_key_ex,
165    RSA_check_key, RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
166    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
167    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
168    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
169    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING, RSA_blinding_on,
170    RSA_blinding_off, RSA_setup_blinding, RSA_padding_add_PKCS1_type_1,
171    RSA_padding_check_PKCS1_type_1, RSA_padding_add_PKCS1_type_2,
172    RSA_padding_check_PKCS1_type_2, PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP,
173    RSA_padding_check_PKCS1_OAEP, RSA_padding_add_PKCS1_OAEP_mgf1,
174    RSA_padding_check_PKCS1_OAEP_mgf1, RSA_padding_add_SSLv23,
175    RSA_padding_check_SSLv23, RSA_padding_add_none, RSA_padding_check_none,
176    RSA_padding_add_X931, RSA_padding_check_X931, RSA_X931_hash_id,
177    RSA_verify_PKCS1_PSS, RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
178    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
179    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
180    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
181    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
182    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
183    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
184    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
185    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
186    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
187    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
188    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
189    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
190
191    Use of these low level functions has been informally discouraged for a long
192    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
193    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
194    L<EVP_PKEY_decrypt(3)>.
195
196    *Paul Dale*
197
198  * X509 certificates signed using SHA1 are no longer allowed at security
199    level 1 and above.
200    In TLS/SSL the default security level is 1. It can be set either
201    using the cipher string with @SECLEVEL, or calling
202    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
203    a call to SSL_CTX_use_certificate() will fail if the security level is not
204    lowered first.
205    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
206    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
207    options of the apps.
208
209    *Kurt Roeckx*
210
211  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
212    modified to use PKEY APIs.  These commands are now in maintenance mode
213    and no new features will be added to them.
214
215    *Paul Dale*
216
217  * The command line utility rsautl has been deprecated.
218    Instead use the pkeyutl program.
219
220    *Paul Dale*
221
222  * The command line utilities genrsa and rsa have been modified to use PKEY
223    APIs  These commands are now in maintenance mode and no new features will
224    be added to them.
225
226    *Paul Dale*
227
228  * All of the low level DH functions have been deprecated including:
229
230    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
231    DH_new_method, DH_size, DH_security_bits, DH_get_ex_new_index,
232    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
233    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
234    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
235    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
236    DH_KDF_X9_42, DH_get0_engine, DH_meth_new, DH_meth_free, DH_meth_dup,
237    DH_meth_get0_name, DH_meth_set1_name, DH_meth_get_flags, DH_meth_set_flags,
238    DH_meth_get0_app_data, DH_meth_set0_app_data, DH_meth_get_generate_key,
239    DH_meth_set_generate_key, DH_meth_get_compute_key, DH_meth_set_compute_key,
240    DH_meth_get_bn_mod_exp, DH_meth_set_bn_mod_exp, DH_meth_get_init,
241    DH_meth_set_init, DH_meth_get_finish, DH_meth_set_finish,
242    DH_meth_get_generate_params and DH_meth_set_generate_params.
243
244    Use of these low level functions has been informally discouraged for a long
245    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
246    and L<EVP_PKEY_derive(3)>.
247
248    *Paul Dale*
249
250  * All of the low level DSA functions have been deprecated including:
251
252    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
253    DSA_get_default_method, DSA_set_method, DSA_get_method,
254    DSA_new_method, DSA_size, DSA_security_bits, DSA_sign_setup, DSA_sign,
255    DSA_verify, DSA_get_ex_new_index, DSA_set_ex_data, DSA_get_ex_data,
256    DSA_generate_parameters_ex, DSA_generate_key, DSA_meth_new, DSA_get0_engine,
257    DSA_meth_free, DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name,
258    DSA_meth_get_flags, DSA_meth_set_flags, DSA_meth_get0_app_data,
259    DSA_meth_set0_app_data, DSA_meth_get_sign, DSA_meth_set_sign,
260    DSA_meth_get_sign_setup, DSA_meth_set_sign_setup, DSA_meth_get_verify,
261    DSA_meth_set_verify, DSA_meth_get_mod_exp, DSA_meth_set_mod_exp,
262    DSA_meth_get_bn_mod_exp, DSA_meth_set_bn_mod_exp, DSA_meth_get_init,
263    DSA_meth_set_init, DSA_meth_get_finish, DSA_meth_set_finish,
264    DSA_meth_get_paramgen, DSA_meth_set_paramgen, DSA_meth_get_keygen and
265    DSA_meth_set_keygen.
266
267    Use of these low level functions has been informally discouraged for a long
268    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
269    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
270
271    *Paul Dale*
272
273  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
274    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
275    This means that applications don't have to look at the curve NID and
276    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
277    However, they still can, that EVP_PKEY_set_alias_type() call acts as
278    a no-op when the EVP_PKEY is already of the given type.
279
280    Parameter and key generation is also reworked to make it possible
281    to generate EVP_PKEY_SM2 parameters and keys without having to go
282    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
283    However, code that does the latter will still work as before.
284
285    *Richard Levitte*
286
287  * Deprecated low level ECDH and ECDSA functions.  These include:
288
289    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
290    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
291    ECDSA_size.
292
293    Use of these low level functions has been informally discouraged for a long
294    time.  Instead applications should use the EVP_PKEY_derive(3),
295    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
296
297    *Paul Dale*
298
299  * Deprecated the EC_KEY_METHOD functions.  These include:
300
301    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
302    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
303    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
304    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
305    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
306    EC_KEY_METHOD_get_verify.
307
308    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
309
310    *Paul Dale*
311
312  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
313    and EVP_PKEY_decrypt() instead.
314    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
315    and EVP_PKEY_encrypt() instead.
316
317    *Richard Levitte*
318
319  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
320    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
321    a new formulation to include all the things it can be used for,
322    as well as words of caution.
323
324    *Richard Levitte*
325
326  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
327    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
328
329    *Paul Dale*
330
331  * All of the low level HMAC functions have been deprecated including:
332
333    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
334    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
335    and HMAC_CTX_get_md.
336
337    Use of these low level functions has been informally discouraged for a long
338    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
339    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
340    and L<EVP_MAC_final(3)>.
341
342    *Paul Dale*
343
344  * Over two thousand fixes were made to the documentation, including:
345    - Common options (such as -rand/-writerand, TLS version control, etc)
346      were refactored and point to newly-enhanced descriptions in openssl.pod.
347    - Added style conformance for all options (with help from Richard Levitte),
348      documented all reported missing options, added a CI build to check
349      that all options are documented and that no unimplemented options
350      are documented.
351    - Documented some internals, such as all use of environment variables.
352    - Addressed all internal broken L<> references.
353
354    *Rich Salz*
355
356  * All of the low level CMAC functions have been deprecated including:
357
358    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
359    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
360
361    Use of these low level functions has been informally discouraged for a long
362    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
363    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
364    and L<EVP_MAC_final(3)>.
365
366    *Paul Dale*
367
368  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
369    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
370    These include:
371
372    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
373    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
374    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
375    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
376    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
377    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
378    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
379    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
380    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
381    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
382
383    Use of these low level functions has been informally discouraged
384    for a long time.  Applications should use the EVP_DigestInit_ex(3),
385    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
386
387    *Paul Dale*
388
389  * Corrected the documentation of the return values from the `EVP_DigestSign*`
390    set of functions.  The documentation mentioned negative values for some
391    errors, but this was never the case, so the mention of negative values
392    was removed.
393
394    Code that followed the documentation and thereby check with something
395    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
396
397    *Richard Levitte*
398
399  * All of the low level cipher functions have been deprecated including:
400
401    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
402    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
403    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
404    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
405    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
406    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
407    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
408    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
409    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
410    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
411    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
412    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
413    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
414    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
415    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
416    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
417    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
418    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
419    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
420    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
421    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
422    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
423    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
424    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
425    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
426    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
427    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
428    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
429    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
430
431    Use of these low level functions has been informally discouraged for
432    a long time. Applications should use the high level EVP APIs, e.g.
433    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
434    equivalently named decrypt functions instead.
435
436    *Matt Caswell and Paul Dale*
437
438  * Removed include/openssl/opensslconf.h.in and replaced it with
439    include/openssl/configuration.h.in, which differs in not including
440    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
441    was added to include both.
442
443    This allows internal hacks where one might need to modify the set
444    of configured macros, for example this if deprecated symbols are
445    still supposed to be available internally:
446
447        #include <openssl/configuration.h>
448
449        #undef OPENSSL_NO_DEPRECATED
450        #define OPENSSL_SUPPRESS_DEPRECATED
451
452        #include <openssl/macros.h>
453
454    This should not be used by applications that use the exported
455    symbols, as that will lead to linking errors.
456
457    *Richard Levitte*
458
459  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
460    used in exponentiation with 512-bit moduli. No EC algorithms are
461    affected. Analysis suggests that attacks against 2-prime RSA1024,
462    3-prime RSA1536, and DSA1024 as a result of this defect would be very
463    difficult to perform and are not believed likely. Attacks against DH512
464    are considered just feasible. However, for an attack the target would
465    have to re-use the DH512 private key, which is not recommended anyway.
466    Also applications directly using the low level API BN_mod_exp may be
467    affected if they use BN_FLG_CONSTTIME.
468    [CVE-2019-1551][]
469
470    *Andy Polyakov*
471
472  * Most memory-debug features have been deprecated, and the functionality
473    replaced with no-ops.
474
475    *Rich Salz*
476
477  * Added documentation for the STACK API. OpenSSL only defines the STACK
478    functions where they are used.
479
480    *Rich Salz*
481
482  * Introduced a new method type and API, OSSL_SERIALIZER, to
483    represent generic serializers.  An implementation is expected to
484    be able to serialize an object associated with a given name (such
485    as an algorithm name for an asymmetric key) into forms given by
486    implementation properties.
487
488    Serializers are primarily used from inside libcrypto, through
489    calls to functions like EVP_PKEY_print_private(),
490    PEM_write_bio_PrivateKey() and similar.
491
492    Serializers are specified in such a way that they can be made to
493    directly handle the provider side portion of an object, if this
494    provider side part comes from the same provider as the serializer
495    itself, but can also be made to handle objects in parametrized
496    form (as an OSSL_PARAM array of data).  This allows a provider to
497    offer generic serializers as a service for any other provider.
498
499    *Richard Levitte*
500
501  * Added a .pragma directive to the syntax of configuration files, to
502    allow varying behavior in a supported and predictable manner.
503    Currently added pragma:
504
505            .pragma dollarid:on
506
507    This allows dollar signs to be a keyword character unless it's
508    followed by a opening brace or parenthesis.  This is useful for
509    platforms where dollar signs are commonly used in names, such as
510    volume names and system directory names on VMS.
511
512    *Richard Levitte*
513
514  * Added functionality to create an EVP_PKEY from user data.  This
515    is effectively the same as creating a RSA, DH or DSA object and
516    then assigning them to an EVP_PKEY, but directly using algorithm
517    agnostic EVP functions.  A benefit is that this should be future
518    proof for public key algorithms to come.
519
520    *Richard Levitte*
521
522  * Change the interpretation of the '--api' configuration option to
523    mean that this is a desired API compatibility level with no
524    further meaning.  The previous interpretation, that this would
525    also mean to remove all deprecated symbols up to and including
526    the given version, no requires that 'no-deprecated' is also used
527    in the configuration.
528
529    When building applications, the desired API compatibility level
530    can be set with the OPENSSL_API_COMPAT macro like before.  For
531    API compatibility version below 3.0, the old style numerical
532    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
533    For version 3.0 and on, the value is expected to be the decimal
534    value calculated from the major and minor version like this:
535
536            MAJOR * 10000 + MINOR * 100
537
538    Examples:
539
540            -DOPENSSL_API_COMPAT=30000             For 3.0
541            -DOPENSSL_API_COMPAT=30200             For 3.2
542
543    To hide declarations that are deprecated up to and including the
544    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
545    given when building the application as well.
546
547    *Richard Levitte*
548
549  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
550    access to certificate and CRL stores via URIs and OSSL_STORE
551    loaders.
552
553    This adds the following functions:
554
555    - X509_LOOKUP_store()
556    - X509_STORE_load_file()
557    - X509_STORE_load_path()
558    - X509_STORE_load_store()
559    - SSL_add_store_cert_subjects_to_stack()
560    - SSL_CTX_set_default_verify_store()
561    - SSL_CTX_load_verify_file()
562    - SSL_CTX_load_verify_dir()
563    - SSL_CTX_load_verify_store()
564
565    *Richard Levitte*
566
567  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
568    The presence of this system service is determined at run-time.
569
570    *Richard Levitte*
571
572  * Added functionality to create an EVP_PKEY context based on data
573    for methods from providers.  This takes an algorithm name and a
574    property query string and simply stores them, with the intent
575    that any operation that uses this context will use those strings
576    to fetch the needed methods implicitly, thereby making the port
577    of application written for pre-3.0 OpenSSL easier.
578
579    *Richard Levitte*
580
581  * The undocumented function NCONF_WIN32() has been deprecated; for
582    conversion details see the HISTORY section of doc/man5/config.pod
583
584    *Rich Salz*
585
586  * Introduced the new functions EVP_DigestSignInit_ex() and
587    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
588    EVP_DigestVerifyUpdate() have been converted to functions. See the man
589    pages for further details.
590
591    *Matt Caswell*
592
593  * Over two thousand fixes were made to the documentation, including:
594    adding missing command flags, better style conformance, documentation
595    of internals, etc.
596
597    *Rich Salz, Richard Levitte*
598
599  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
600    X25519, X448, Ed25519 and Ed448.
601
602    *Patrick Steuer*
603
604  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
605    the first value.
606
607    *Jon Spillett*
608
609  * Deprecated the public definition of ERR_STATE as well as the function
610    ERR_get_state().  This is done in preparation of making ERR_STATE an
611    opaque type.
612
613    *Richard Levitte*
614
615  * Added ERR functionality to give callers access to the stored function
616    names that have replaced the older function code based functions.
617
618    New functions are ERR_get_error_func(), ERR_peek_error_func(),
619    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
620    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
621    and ERR_peek_last_error_all().
622
623    These functions have become deprecated: ERR_get_error_line_data(),
624    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
625    ERR_func_error_string().
626
627    *Richard Levitte*
628
629  * Extended testing to be verbose for failing tests only.  The make variables
630    VERBOSE_FAILURE or VF can be used to enable this:
631
632            $ make VF=1 test                           # Unix
633            $ mms /macro=(VF=1) test                   ! OpenVMS
634            $ nmake VF=1 test                          # Windows
635
636    *Richard Levitte*
637
638  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
639    used even when parsing explicit parameters, when loading a serialized key
640    or calling `EC_GROUP_new_from_ecpkparameters()`/
641    `EC_GROUP_new_from_ecparameters()`.
642    This prevents bypass of security hardening and performance gains,
643    especially for curves with specialized EC_METHODs.
644    By default, if a key encoded with explicit parameters is loaded and later
645    serialized, the output is still encoded with explicit parameters, even if
646    internally a "named" EC_GROUP is used for computation.
647
648    *Nicola Tuveri*
649
650  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
651    this change, EC_GROUP_set_generator would accept order and/or cofactor as
652    NULL. After this change, only the cofactor parameter can be NULL. It also
653    does some minimal sanity checks on the passed order.
654    [CVE-2019-1547][]
655
656    *Billy Bob Brumley*
657
658  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
659    An attack is simple, if the first CMS_recipientInfo is valid but the
660    second CMS_recipientInfo is chosen ciphertext. If the second
661    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
662    encryption key will be replaced by garbage, and the message cannot be
663    decoded, but if the RSA decryption fails, the correct encryption key is
664    used and the recipient will not notice the attack.
665    As a work around for this potential attack the length of the decrypted
666    key must be equal to the cipher default key length, in case the
667    certifiate is not given and all recipientInfo are tried out.
668    The old behaviour can be re-enabled in the CMS code by setting the
669    CMS_DEBUG_DECRYPT flag.
670
671    *Bernd Edlinger*
672
673  * Early start up entropy quality from the DEVRANDOM seed source has been
674    improved for older Linux systems.  The RAND subsystem will wait for
675    /dev/random to be producing output before seeding from /dev/urandom.
676    The seeded state is stored for future library initialisations using
677    a system global shared memory segment.  The shared memory identifier
678    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
679    the desired value.  The default identifier is 114.
680
681    *Paul Dale*
682
683  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
684    when primes for RSA keys are computed.
685    Since we previously always generated primes == 2 (mod 3) for RSA keys,
686    the 2-prime and 3-prime RSA modules were easy to distinguish, since
687    `N = p*q = 1 (mod 3)`, but `N = p*q*r = 2 (mod 3)`. Therefore fingerprinting
688    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
689    This avoids possible fingerprinting of newly generated RSA modules.
690
691    *Bernd Edlinger*
692
693  * Correct the extended master secret constant on EBCDIC systems. Without this
694    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
695    negotiate EMS will fail. Unfortunately this also means that TLS connections
696    between EBCDIC systems with this fix, and EBCDIC systems without this
697    fix will fail if they negotiate EMS.
698
699    *Matt Caswell*
700
701  * Changed the library initialisation so that the config file is now loaded
702    by default. This was already the case for libssl. It now occurs for both
703    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
704    OPENSSL_init_crypto() to suppress automatic loading of a config file.
705
706    *Matt Caswell*
707
708  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
709    where the former acts as a replacement for ERR_put_error(), and the
710    latter replaces the combination ERR_put_error()+ERR_add_error_data().
711    ERR_raise_data() adds more flexibility by taking a format string and
712    an arbitrary number of arguments following it, to be processed with
713    BIO_snprintf().
714
715    *Richard Levitte*
716
717  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
718    to check if a named provider is loaded and available.  When called, it
719    will also activate all fallback providers if such are still present.
720
721    *Richard Levitte*
722
723  * Enforce a minimum DH modulus size of 512 bits.
724
725    *Bernd Edlinger*
726
727  * Changed DH parameters to generate the order q subgroup instead of 2q.
728    Previously generated DH parameters are still accepted by DH_check
729    but DH_generate_key works around that by clearing bit 0 of the
730    private key for those. This avoids leaking bit 0 of the private key.
731
732    *Bernd Edlinger*
733
734  * Significantly reduce secure memory usage by the randomness pools.
735
736    *Paul Dale*
737
738  * `{CRYPTO,OPENSSL}_mem_debug_{push,pop}` are now no-ops and have been
739    deprecated.
740
741    *Rich Salz*
742
743  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
744    algorithms. An implementation of a key exchange algorithm can be obtained
745    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
746    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
747    the older EVP_PKEY_derive_init() function. See the man pages for the new
748    functions for further details.
749
750    *Matt Caswell*
751
752  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
753
754    *Matt Caswell*
755
756  * Removed the function names from error messages and deprecated the
757    xxx_F_xxx define's.
758
759  * Removed NextStep support and the macro OPENSSL_UNISTD
760
761    *Rich Salz*
762
763  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
764    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
765    Also removed "export var as function" capability; we do not export
766    variables, only functions.
767
768    *Rich Salz*
769
770  * RC5_32_set_key has been changed to return an int type, with 0 indicating
771    an error and 1 indicating success. In previous versions of OpenSSL this
772    was a void type. If a key was set longer than the maximum possible this
773    would crash.
774
775    *Matt Caswell*
776
777  * Support SM2 signing and verification schemes with X509 certificate.
778
779    *Paul Yang*
780
781  * Use SHA256 as the default digest for TS query in the ts app.
782
783    *Tomas Mraz*
784
785  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
786    This checks that the salt length is at least 128 bits, the derived key
787    length is at least 112 bits, and that the iteration count is at least 1000.
788    For backwards compatibility these checks are disabled by default in the
789    default provider, but are enabled by default in the fips provider.
790    To enable or disable these checks use the control
791    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
792
793    *Shane Lontis*
794
795  * Default cipher lists/suites are now available via a function, the
796    #defines are deprecated.
797
798    *Todd Short*
799
800  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
801    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
802    for Windows Store apps easier. Also, the "no-uplink" option has been added.
803
804    *Kenji Mouri*
805
806  * Join the directories crypto/x509 and crypto/x509v3
807
808    *Richard Levitte*
809
810  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
811    This changes the size when using the genpkey app when no size is given. It
812    fixes an omission in earlier changes that changed all RSA, DSA and DH
813    generation apps to use 2048 bits by default.
814
815    *Kurt Roeckx*
816
817  * Added command 'openssl kdf' that uses the EVP_KDF API.
818
819    *Shane Lontis*
820
821  * Added command 'openssl mac' that uses the EVP_MAC API.
822
823    *Shane Lontis*
824
825  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
826    as default directories.  Also added the command 'openssl info'
827    for scripting purposes.
828
829    *Richard Levitte*
830
831  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
832    deprecated. These undocumented functions were never integrated into the EVP
833    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
834    Bi-directional IGE mode. These modes were never formally standardised and
835    usage of these functions is believed to be very small. In particular
836    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
837    is ever used. The security implications are believed to be minimal, but
838    this issue was never fixed for backwards compatibility reasons. New code
839    should not use these modes.
840
841    *Matt Caswell*
842
843  * Add prediction resistance to the DRBG reseeding process.
844
845    *Paul Dale*
846
847  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
848    mandated by IEEE Std 1619-2018.
849
850    *Paul Dale*
851
852  * Added newline escaping functionality to a filename when using openssl dgst.
853    This output format is to replicate the output format found in the `*sum`
854    checksum programs. This aims to preserve backward compatibility.
855
856    *Matt Eaton, Richard Levitte, and Paul Dale*
857
858  * Removed the heartbeat message in DTLS feature, as it has very
859    little usage and doesn't seem to fulfill a valuable purpose.
860    The configuration option is now deprecated.
861
862    *Richard Levitte*
863
864  * Changed the output of 'openssl {digestname} < file' to display the
865    digest name in its output.
866
867    *Richard Levitte*
868
869  * Added a new generic trace API which provides support for enabling
870    instrumentation through trace output. This feature is mainly intended
871    as an aid for developers and is disabled by default. To utilize it,
872    OpenSSL needs to be configured with the `enable-trace` option.
873
874    If the tracing API is enabled, the application can activate trace output
875    by registering BIOs as trace channels for a number of tracing and debugging
876    categories.
877
878    The 'openssl' application has been expanded to enable any of the types
879    available via environment variables defined by the user, and serves as
880    one possible example on how to use this functionality.
881
882    *Richard Levitte & Matthias St. Pierre*
883
884  * Added build tests for C++.  These are generated files that only do one
885    thing, to include one public OpenSSL head file each.  This tests that
886    the public header files can be usefully included in a C++ application.
887
888    This test isn't enabled by default.  It can be enabled with the option
889    'enable-buildtest-c++'.
890
891    *Richard Levitte*
892
893  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
894
895    *Shane Lontis*
896
897  * Add KMAC to EVP_MAC.
898
899    *Shane Lontis*
900
901  * Added property based algorithm implementation selection framework to
902    the core.
903
904    *Paul Dale*
905
906  * Added SCA hardening for modular field inversion in EC_GROUP through
907    a new dedicated field_inv() pointer in EC_METHOD.
908    This also addresses a leakage affecting conversions from projective
909    to affine coordinates.
910
911    *Billy Bob Brumley, Nicola Tuveri*
912
913  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
914    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
915    those algorithms that were already supported through the EVP_PKEY API
916    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
917    and scrypt are now wrappers that call EVP_KDF.
918
919    *David Makepeace*
920
921  * Build devcrypto engine as a dynamic engine.
922
923    *Eneas U de Queiroz*
924
925  * Add keyed BLAKE2 to EVP_MAC.
926
927    *Antoine Salon*
928
929  * Fix a bug in the computation of the endpoint-pair shared secret used
930    by DTLS over SCTP. This breaks interoperability with older versions
931    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
932    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
933    interoperability with such broken implementations. However, enabling
934    this switch breaks interoperability with correct implementations.
935
936  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
937    re-used X509_PUBKEY object if the second PUBKEY is malformed.
938
939    *Bernd Edlinger*
940
941  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
942
943    *Richard Levitte*
944
945  * Change the license to the Apache License v2.0.
946
947    *Richard Levitte*
948
949  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
950
951    - Major releases (indicated by incrementing the MAJOR release number)
952      may introduce incompatible API/ABI changes.
953    - Minor releases (indicated by incrementing the MINOR release number)
954      may introduce new features but retain API/ABI compatibility.
955    - Patch releases (indicated by incrementing the PATCH number)
956      are intended for bug fixes and other improvements of existing
957      features only (like improving performance or adding documentation)
958      and retain API/ABI compatibility.
959
960    *Richard Levitte*
961
962  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
963
964    *Todd Short*
965
966  * Remove the 'dist' target and add a tarball building script.  The
967    'dist' target has fallen out of use, and it shouldn't be
968    necessary to configure just to create a source distribution.
969
970    *Richard Levitte*
971
972  * Recreate the OS390-Unix config target.  It no longer relies on a
973    special script like it did for OpenSSL pre-1.1.0.
974
975    *Richard Levitte*
976
977  * Instead of having the source directories listed in Configure, add
978    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
979    look into.
980
981    *Richard Levitte*
982
983  * Add GMAC to EVP_MAC.
984
985    *Paul Dale*
986
987  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
988
989    *Richard Levitte*
990
991  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
992    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
993    to facilitate the continued use of MACs through raw private keys in
994    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
995
996    *Richard Levitte*
997
998  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
999    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
1000
1001    *Antoine Salon*
1002
1003  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
1004    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
1005    are retained for backwards compatibility.
1006
1007    *Antoine Salon*
1008
1009  * AES-XTS mode now enforces that its two keys are different to mitigate
1010    the attacked described in "Efficient Instantiations of Tweakable
1011    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
1012    Details of this attack can be obtained from:
1013    <http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf>
1014
1015    *Paul Dale*
1016
1017  * Rename the object files, i.e. give them other names than in previous
1018    versions.  Their names now include the name of the final product, as
1019    well as its type mnemonic (bin, lib, shlib).
1020
1021    *Richard Levitte*
1022
1023  * Added new option for 'openssl list', '-objects', which will display the
1024    list of built in objects, i.e. OIDs with names.
1025
1026    *Richard Levitte*
1027
1028  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
1029    improves application performance by removing data copies and providing
1030    applications with zero-copy system calls such as sendfile and splice.
1031
1032    *Boris Pismenny*
1033
1034 OpenSSL 1.1.1
1035 -------------
1036
1037 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx]
1038
1039 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020]
1040
1041  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
1042    while reading in libssl then we would report an error back to the
1043    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
1044    an error to the stack (which means we instead return SSL_ERROR_SSL) and
1045    therefore give a hint as to what went wrong.
1046
1047    *Matt Caswell*
1048
1049  * Check that ed25519 and ed448 are allowed by the security level. Previously
1050    signature algorithms not using an MD were not being checked that they were
1051    allowed by the security level.
1052
1053    *Kurt Roeckx*
1054
1055  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
1056    was not quite right. The behaviour was not consistent between resumption
1057    and normal handshakes, and also not quite consistent with historical
1058    behaviour. The behaviour in various scenarios has been clarified and
1059    it has been updated to make it match historical behaviour as closely as
1060    possible.
1061
1062    *Matt Caswell*
1063
1064  * *[VMS only]* The header files that the VMS compilers include automatically,
1065    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
1066    that the C++ compiler doesn't understand.  This is a shortcoming in the
1067    compiler, but can be worked around with `__cplusplus` guards.
1068
1069    C++ applications that use OpenSSL libraries must be compiled using the
1070    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
1071    functions.  Otherwise, only functions with symbols of less than 31
1072    characters can be used, as the linker will not be able to successfully
1073    resolve symbols with longer names.
1074
1075    *Richard Levitte*
1076
1077  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1078    The presence of this system service is determined at run-time.
1079
1080    *Richard Levitte*
1081
1082  * Added newline escaping functionality to a filename when using openssl dgst.
1083    This output format is to replicate the output format found in the `*sum`
1084    checksum programs. This aims to preserve backward compatibility.
1085
1086    *Matt Eaton, Richard Levitte, and Paul Dale*
1087
1088  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1089    the first value.
1090
1091    *Jon Spillett*
1092
1093 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019]
1094
1095  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1096    number generator (RNG). This was intended to include protection in the
1097    event of a fork() system call in order to ensure that the parent and child
1098    processes did not share the same RNG state. However this protection was not
1099    being used in the default case.
1100
1101    A partial mitigation for this issue is that the output from a high
1102    precision timer is mixed into the RNG state so the likelihood of a parent
1103    and child process sharing state is significantly reduced.
1104
1105    If an application already calls OPENSSL_init_crypto() explicitly using
1106    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1107    [CVE-2019-1549][]
1108
1109    *Matthias St. Pierre*
1110
1111  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1112    used even when parsing explicit parameters, when loading a serialized key
1113    or calling `EC_GROUP_new_from_ecpkparameters()`/
1114    `EC_GROUP_new_from_ecparameters()`.
1115    This prevents bypass of security hardening and performance gains,
1116    especially for curves with specialized EC_METHODs.
1117    By default, if a key encoded with explicit parameters is loaded and later
1118    serialized, the output is still encoded with explicit parameters, even if
1119    internally a "named" EC_GROUP is used for computation.
1120
1121    *Nicola Tuveri*
1122
1123  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1124    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1125    NULL. After this change, only the cofactor parameter can be NULL. It also
1126    does some minimal sanity checks on the passed order.
1127    [CVE-2019-1547][]
1128
1129    *Billy Bob Brumley*
1130
1131  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1132    An attack is simple, if the first CMS_recipientInfo is valid but the
1133    second CMS_recipientInfo is chosen ciphertext. If the second
1134    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1135    encryption key will be replaced by garbage, and the message cannot be
1136    decoded, but if the RSA decryption fails, the correct encryption key is
1137    used and the recipient will not notice the attack.
1138    As a work around for this potential attack the length of the decrypted
1139    key must be equal to the cipher default key length, in case the
1140    certifiate is not given and all recipientInfo are tried out.
1141    The old behaviour can be re-enabled in the CMS code by setting the
1142    CMS_DEBUG_DECRYPT flag.
1143    [CVE-2019-1563][]
1144
1145    *Bernd Edlinger*
1146
1147  * Early start up entropy quality from the DEVRANDOM seed source has been
1148    improved for older Linux systems.  The RAND subsystem will wait for
1149    /dev/random to be producing output before seeding from /dev/urandom.
1150    The seeded state is stored for future library initialisations using
1151    a system global shared memory segment.  The shared memory identifier
1152    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1153    the desired value.  The default identifier is 114.
1154
1155    *Paul Dale*
1156
1157  * Correct the extended master secret constant on EBCDIC systems. Without this
1158    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1159    negotiate EMS will fail. Unfortunately this also means that TLS connections
1160    between EBCDIC systems with this fix, and EBCDIC systems without this
1161    fix will fail if they negotiate EMS.
1162
1163    *Matt Caswell*
1164
1165  * Use Windows installation paths in the mingw builds
1166
1167    Mingw isn't a POSIX environment per se, which means that Windows
1168    paths should be used for installation.
1169    [CVE-2019-1552][]
1170
1171    *Richard Levitte*
1172
1173  * Changed DH_check to accept parameters with order q and 2q subgroups.
1174    With order 2q subgroups the bit 0 of the private key is not secret
1175    but DH_generate_key works around that by clearing bit 0 of the
1176    private key for those. This avoids leaking bit 0 of the private key.
1177
1178    *Bernd Edlinger*
1179
1180  * Significantly reduce secure memory usage by the randomness pools.
1181
1182    *Paul Dale*
1183
1184  * Revert the DEVRANDOM_WAIT feature for Linux systems
1185
1186    The DEVRANDOM_WAIT feature added a select() call to wait for the
1187    /dev/random device to become readable before reading from the
1188    /dev/urandom device.
1189
1190    It turned out that this change had negative side effects on
1191    performance which were not acceptable. After some discussion it
1192    was decided to revert this feature and leave it up to the OS
1193    resp. the platform maintainer to ensure a proper initialization
1194    during early boot time.
1195
1196    *Matthias St. Pierre*
1197
1198 ### Changes between 1.1.1b and 1.1.1c [28 May 2019]
1199
1200  * Add build tests for C++.  These are generated files that only do one
1201    thing, to include one public OpenSSL head file each.  This tests that
1202    the public header files can be usefully included in a C++ application.
1203
1204    This test isn't enabled by default.  It can be enabled with the option
1205    'enable-buildtest-c++'.
1206
1207    *Richard Levitte*
1208
1209  * Enable SHA3 pre-hashing for ECDSA and DSA.
1210
1211    *Patrick Steuer*
1212
1213  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1214    This changes the size when using the genpkey app when no size is given. It
1215    fixes an omission in earlier changes that changed all RSA, DSA and DH
1216    generation apps to use 2048 bits by default.
1217
1218    *Kurt Roeckx*
1219
1220  * Reorganize the manual pages to consistently have RETURN VALUES,
1221    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1222    util/fix-doc-nits accordingly.
1223
1224    *Paul Yang, Joshua Lock*
1225
1226  * Add the missing accessor EVP_PKEY_get0_engine()
1227
1228    *Matt Caswell*
1229
1230  * Have apps like 's_client' and 's_server' output the signature scheme
1231    along with other cipher suite parameters when debugging.
1232
1233    *Lorinczy Zsigmond*
1234
1235  * Make OPENSSL_config() error agnostic again.
1236
1237    *Richard Levitte*
1238
1239  * Do the error handling in RSA decryption constant time.
1240
1241    *Bernd Edlinger*
1242
1243  * Prevent over long nonces in ChaCha20-Poly1305.
1244
1245    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1246    for every encryption operation. RFC 7539 specifies that the nonce value
1247    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1248    and front pads the nonce with 0 bytes if it is less than 12
1249    bytes. However it also incorrectly allows a nonce to be set of up to 16
1250    bytes. In this case only the last 12 bytes are significant and any
1251    additional leading bytes are ignored.
1252
1253    It is a requirement of using this cipher that nonce values are
1254    unique. Messages encrypted using a reused nonce value are susceptible to
1255    serious confidentiality and integrity attacks. If an application changes
1256    the default nonce length to be longer than 12 bytes and then makes a
1257    change to the leading bytes of the nonce expecting the new value to be a
1258    new unique nonce then such an application could inadvertently encrypt
1259    messages with a reused nonce.
1260
1261    Additionally the ignored bytes in a long nonce are not covered by the
1262    integrity guarantee of this cipher. Any application that relies on the
1263    integrity of these ignored leading bytes of a long nonce may be further
1264    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1265    is safe because no such use sets such a long nonce value. However user
1266    applications that use this cipher directly and set a non-default nonce
1267    length to be longer than 12 bytes may be vulnerable.
1268
1269    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1270    Greef of Ronomon.
1271    [CVE-2019-1543][]
1272
1273    *Matt Caswell*
1274
1275  * Add DEVRANDOM_WAIT feature for Linux systems
1276
1277    On older Linux systems where the getrandom() system call is not available,
1278    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1279    Contrary to getrandom(), the /dev/urandom device will not block during
1280    early boot when the kernel CSPRNG has not been seeded yet.
1281
1282    To mitigate this known weakness, use select() to wait for /dev/random to
1283    become readable before reading from /dev/urandom.
1284
1285  * Ensure that SM2 only uses SM3 as digest algorithm
1286
1287    *Paul Yang*
1288
1289 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019]
1290
1291  * Change the info callback signals for the start and end of a post-handshake
1292    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1293    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1294    confused by this and assume that a TLSv1.2 renegotiation has started. This
1295    can break KeyUpdate handling. Instead we no longer signal the start and end
1296    of a post handshake message exchange (although the messages themselves are
1297    still signalled). This could break some applications that were expecting
1298    the old signals. However without this KeyUpdate is not usable for many
1299    applications.
1300
1301    *Matt Caswell*
1302
1303 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018]
1304
1305  * Timing vulnerability in DSA signature generation
1306
1307    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1308    timing side channel attack. An attacker could use variations in the signing
1309    algorithm to recover the private key.
1310
1311    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1312    [CVE-2018-0734][]
1313
1314    *Paul Dale*
1315
1316  * Timing vulnerability in ECDSA signature generation
1317
1318    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1319    timing side channel attack. An attacker could use variations in the signing
1320    algorithm to recover the private key.
1321
1322    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1323    [CVE-2018-0735][]
1324
1325    *Paul Dale*
1326
1327  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1328    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1329    of two gigabytes and the error handling improved.
1330
1331    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1332    categorized as a normal bug, not a security issue, because the DRBG reseeds
1333    automatically and is fully functional even without additional randomness
1334    provided by the application.
1335
1336 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018]
1337
1338  * Add a new ClientHello callback. Provides a callback interface that gives
1339    the application the ability to adjust the nascent SSL object at the
1340    earliest stage of ClientHello processing, immediately after extensions have
1341    been collected but before they have been processed. In particular, this
1342    callback can adjust the supported TLS versions in response to the contents
1343    of the ClientHello
1344
1345    *Benjamin Kaduk*
1346
1347  * Add SM2 base algorithm support.
1348
1349    *Jack Lloyd*
1350
1351  * s390x assembly pack: add (improved) hardware-support for the following
1352    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1353    aes-cfb/cfb8, aes-ecb.
1354
1355    *Patrick Steuer*
1356
1357  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1358    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1359    pem_str is reserved for alias entries only.
1360
1361    *Richard Levitte*
1362
1363  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1364    step for prime curves. The new implementation is based on formulae from
1365    differential addition-and-doubling in homogeneous projective coordinates
1366    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1367    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1368    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1369    to work in projective coordinates.
1370
1371    *Billy Bob Brumley, Nicola Tuveri*
1372
1373  * Change generating and checking of primes so that the error rate of not
1374    being prime depends on the intended use based on the size of the input.
1375    For larger primes this will result in more rounds of Miller-Rabin.
1376    The maximal error rate for primes with more than 1080 bits is lowered
1377    to 2^-128.
1378
1379    *Kurt Roeckx, Annie Yousar*
1380
1381  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1382
1383    *Kurt Roeckx*
1384
1385  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1386    moving between systems, and to avoid confusion when a Windows build is
1387    done with mingw vs with MSVC.  For POSIX installs, there's still a
1388    symlink or copy named 'tsget' to avoid that confusion as well.
1389
1390    *Richard Levitte*
1391
1392  * Revert blinding in ECDSA sign and instead make problematic addition
1393    length-invariant. Switch even to fixed-length Montgomery multiplication.
1394
1395    *Andy Polyakov*
1396
1397  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1398    step for binary curves. The new implementation is based on formulae from
1399    differential addition-and-doubling in mixed Lopez-Dahab projective
1400    coordinates, modified to independently blind the operands.
1401
1402    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1403
1404  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1405    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1406    EC_METHODs to implement their own specialized "ladder step", to take
1407    advantage of more favorable coordinate systems or more efficient
1408    differential addition-and-doubling algorithms.
1409
1410    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1411
1412  * Modified the random device based seed sources to keep the relevant
1413    file descriptors open rather than reopening them on each access.
1414    This allows such sources to operate in a chroot() jail without
1415    the associated device nodes being available. This behaviour can be
1416    controlled using RAND_keep_random_devices_open().
1417
1418    *Paul Dale*
1419
1420  * Numerous side-channel attack mitigations have been applied. This may have
1421    performance impacts for some algorithms for the benefit of improved
1422    security. Specific changes are noted in this change log by their respective
1423    authors.
1424
1425    *Matt Caswell*
1426
1427  * AIX shared library support overhaul. Switch to AIX "natural" way of
1428    handling shared libraries, which means collecting shared objects of
1429    different versions and bitnesses in one common archive. This allows to
1430    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1431    doesn't affect the way 3rd party applications are linked, only how
1432    multi-version installation is managed.
1433
1434    *Andy Polyakov*
1435
1436  * Make ec_group_do_inverse_ord() more robust and available to other
1437    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1438    mitigations are applied to the fallback BN_mod_inverse().
1439    When using this function rather than BN_mod_inverse() directly, new
1440    EC cryptosystem implementations are then safer-by-default.
1441
1442    *Billy Bob Brumley*
1443
1444  * Add coordinate blinding for EC_POINT and implement projective
1445    coordinate blinding for generic prime curves as a countermeasure to
1446    chosen point SCA attacks.
1447
1448    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1449
1450  * Add blinding to ECDSA and DSA signatures to protect against side channel
1451    attacks discovered by Keegan Ryan (NCC Group).
1452
1453    *Matt Caswell*
1454
1455  * Enforce checking in the pkeyutl command line app to ensure that the input
1456    length does not exceed the maximum supported digest length when performing
1457    a sign, verify or verifyrecover operation.
1458
1459    *Matt Caswell*
1460
1461  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1462    I/O in combination with something like select() or poll() will hang. This
1463    can be turned off again using SSL_CTX_clear_mode().
1464    Many applications do not properly handle non-application data records, and
1465    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1466    around the problems in those applications, but can also break some.
1467    It's recommended to read the manpages about SSL_read(), SSL_write(),
1468    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1469    SSL_CTX_set_read_ahead() again.
1470
1471    *Kurt Roeckx*
1472
1473  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1474    now allow empty (zero character) pass phrases.
1475
1476    *Richard Levitte*
1477
1478  * Apply blinding to binary field modular inversion and remove patent
1479    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1480
1481    *Billy Bob Brumley*
1482
1483  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1484    binary and prime elliptic curves.
1485
1486    *Billy Bob Brumley*
1487
1488  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1489    constant time fixed point multiplication.
1490
1491    *Billy Bob Brumley*
1492
1493  * Revise elliptic curve scalar multiplication with timing attack
1494    defenses: ec_wNAF_mul redirects to a constant time implementation
1495    when computing fixed point and variable point multiplication (which
1496    in OpenSSL are mostly used with secret scalars in keygen, sign,
1497    ECDH derive operations).
1498    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1499     Sohaib ul Hassan*
1500
1501  * Updated CONTRIBUTING
1502
1503    *Rich Salz*
1504
1505  * Updated DRBG / RAND to request nonce and additional low entropy
1506    randomness from the system.
1507
1508    *Matthias St. Pierre*
1509
1510  * Updated 'openssl rehash' to use OpenSSL consistent default.
1511
1512    *Richard Levitte*
1513
1514  * Moved the load of the ssl_conf module to libcrypto, which helps
1515    loading engines that libssl uses before libssl is initialised.
1516
1517    *Matt Caswell*
1518
1519  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1520
1521    *Matt Caswell*
1522
1523  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1524
1525    *Ingo Schwarze, Rich Salz*
1526
1527  * Added output of accepting IP address and port for 'openssl s_server'
1528
1529    *Richard Levitte*
1530
1531  * Added a new API for TLSv1.3 ciphersuites:
1532       SSL_CTX_set_ciphersuites()
1533       SSL_set_ciphersuites()
1534
1535    *Matt Caswell*
1536
1537  * Memory allocation failures consistently add an error to the error
1538    stack.
1539
1540    *Rich Salz*
1541
1542  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1543    in libcrypto when run as setuid/setgid.
1544
1545    *Bernd Edlinger*
1546
1547  * Load any config file by default when libssl is used.
1548
1549    *Matt Caswell*
1550
1551  * Added new public header file <openssl/rand_drbg.h> and documentation
1552    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1553
1554    *Matthias St. Pierre*
1555
1556  * QNX support removed (cannot find contributors to get their approval
1557    for the license change).
1558
1559    *Rich Salz*
1560
1561  * TLSv1.3 replay protection for early data has been implemented. See the
1562    SSL_read_early_data() man page for further details.
1563
1564    *Matt Caswell*
1565
1566  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1567    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1568    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1569    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1570    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1571    configuration has been separated out. See the ciphers man page or the
1572    SSL_CTX_set_ciphersuites() man page for more information.
1573
1574    *Matt Caswell*
1575
1576  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1577    in responder mode now supports the new "-multi" option, which
1578    spawns the specified number of child processes to handle OCSP
1579    requests.  The "-timeout" option now also limits the OCSP
1580    responder's patience to wait to receive the full client request
1581    on a newly accepted connection. Child processes are respawned
1582    as needed, and the CA index file is automatically reloaded
1583    when changed.  This makes it possible to run the "ocsp" responder
1584    as a long-running service, making the OpenSSL CA somewhat more
1585    feature-complete.  In this mode, most diagnostic messages logged
1586    after entering the event loop are logged via syslog(3) rather than
1587    written to stderr.
1588
1589    *Viktor Dukhovni*
1590
1591  * Added support for X448 and Ed448. Heavily based on original work by
1592    Mike Hamburg.
1593
1594    *Matt Caswell*
1595
1596  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1597    objects loaded.  This adds the functions OSSL_STORE_expect() and
1598    OSSL_STORE_find() as well as needed tools to construct searches and
1599    get the search data out of them.
1600
1601    *Richard Levitte*
1602
1603  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1604    version of OpenSSL should review their configuration settings to ensure
1605    that they are still appropriate for TLSv1.3. For further information see:
1606    <https://wiki.openssl.org/index.php/TLS1.3>
1607
1608    *Matt Caswell*
1609
1610  * Grand redesign of the OpenSSL random generator
1611
1612    The default RAND method now utilizes an AES-CTR DRBG according to
1613    NIST standard SP 800-90Ar1. The new random generator is essentially
1614    a port of the default random generator from the OpenSSL FIPS 2.0
1615    object module. It is a hybrid deterministic random bit generator
1616    using an AES-CTR bit stream and which seeds and reseeds itself
1617    automatically using trusted system entropy sources.
1618
1619    Some of its new features are:
1620     - Support for multiple DRBG instances with seed chaining.
1621     - The default RAND method makes use of a DRBG.
1622     - There is a public and private DRBG instance.
1623     - The DRBG instances are fork-safe.
1624     - Keep all global DRBG instances on the secure heap if it is enabled.
1625     - The public and private DRBG instance are per thread for lock free
1626       operation
1627
1628    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1629
1630  * Changed Configure so it only says what it does and doesn't dump
1631    so much data.  Instead, ./configdata.pm should be used as a script
1632    to display all sorts of configuration data.
1633
1634    *Richard Levitte*
1635
1636  * Added processing of "make variables" to Configure.
1637
1638    *Richard Levitte*
1639
1640  * Added SHA512/224 and SHA512/256 algorithm support.
1641
1642    *Paul Dale*
1643
1644  * The last traces of Netware support, first removed in 1.1.0, have
1645    now been removed.
1646
1647    *Rich Salz*
1648
1649  * Get rid of Makefile.shared, and in the process, make the processing
1650    of certain files (rc.obj, or the .def/.map/.opt files produced from
1651    the ordinal files) more visible and hopefully easier to trace and
1652    debug (or make silent).
1653
1654    *Richard Levitte*
1655
1656  * Make it possible to have environment variable assignments as
1657    arguments to config / Configure.
1658
1659    *Richard Levitte*
1660
1661  * Add multi-prime RSA (RFC 8017) support.
1662
1663    *Paul Yang*
1664
1665  * Add SM3 implemented according to GB/T 32905-2016
1666    * Jack Lloyd <jack.lloyd@ribose.com>,
1667      Ronald Tse <ronald.tse@ribose.com>,
1668      Erick Borsboom <erick.borsboom@ribose.com> *
1669
1670  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1671    as documented in RFC6066.
1672    Based on a patch from Tomasz Moń
1673
1674    *Filipe Raimundo da Silva*
1675
1676  * Add SM4 implemented according to GB/T 32907-2016.
1677    * Jack Lloyd <jack.lloyd@ribose.com>,
1678      Ronald Tse <ronald.tse@ribose.com>,
1679      Erick Borsboom <erick.borsboom@ribose.com> *
1680
1681  * Reimplement -newreq-nodes and ERR_error_string_n; the
1682    original author does not agree with the license change.
1683
1684    *Rich Salz*
1685
1686  * Add ARIA AEAD TLS support.
1687
1688    *Jon Spillett*
1689
1690  * Some macro definitions to support VS6 have been removed.  Visual
1691    Studio 6 has not worked since 1.1.0
1692
1693    *Rich Salz*
1694
1695  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1696    without clearing the errors.
1697
1698    *Richard Levitte*
1699
1700  * Add "atfork" functions.  If building on a system that without
1701    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1702    requirements.  The RAND facility now uses/requires this.
1703
1704    *Rich Salz*
1705
1706  * Add SHA3.
1707
1708    *Andy Polyakov*
1709
1710  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1711    not possible to disable entirely.  However, it's still possible to
1712    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1713    as a fallback).
1714
1715    To disable, configure with 'no-ui-console'.  'no-ui' is still
1716    possible to use as an alias.  Check at compile time with the
1717    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1718    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1719
1720    *Richard Levitte*
1721
1722  * Add a STORE module, which implements a uniform and URI based reader of
1723    stores that can contain keys, certificates, CRLs and numerous other
1724    objects.  The main API is loosely based on a few stdio functions,
1725    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1726    OSSL_STORE_error and OSSL_STORE_close.
1727    The implementation uses backends called "loaders" to implement arbitrary
1728    URI schemes.  There is one built in "loader" for the 'file' scheme.
1729
1730    *Richard Levitte*
1731
1732  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1733    then adjusted to work on FreeBSD 8.4 as well.
1734    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1735    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1736
1737    *Richard Levitte*
1738
1739  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1740    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1741    error code calls like this:
1742
1743            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1744
1745    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1746    that can be encoded in C.  For the foreseeable future, this will only
1747    affect new modules.
1748
1749    *Richard Levitte and Tim Hudson*
1750
1751  * Removed BSD cryptodev engine.
1752
1753    *Rich Salz*
1754
1755  * Add a build target 'build_all_generated', to build all generated files
1756    and only that.  This can be used to prepare everything that requires
1757    things like perl for a system that lacks perl and then move everything
1758    to that system and do the rest of the build there.
1759
1760    *Richard Levitte*
1761
1762  * In the UI interface, make it possible to duplicate the user data.  This
1763    can be used by engines that need to retain the data for a longer time
1764    than just the call where this user data is passed.
1765
1766    *Richard Levitte*
1767
1768  * Ignore the '-named_curve auto' value for compatibility of applications
1769    with OpenSSL 1.0.2.
1770
1771    *Tomas Mraz <tmraz@fedoraproject.org>*
1772
1773  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1774    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1775    alerts across multiple records (some of which could be empty). In practice
1776    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1777    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1778    support this at all. Supporting it adds significant complexity to the
1779    record layer, and its removal is unlikely to cause interoperability
1780    issues.
1781
1782    *Matt Caswell*
1783
1784  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1785    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1786    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1787    in OpenSSL 1.2.0.
1788
1789    *Richard Levitte*
1790
1791  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1792    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1793
1794    *Richard Levitte, Andy Polyakov*
1795
1796  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1797    does for RSA, etc.
1798
1799    *Richard Levitte*
1800
1801  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1802    platform rather than 'mingw'.
1803
1804    *Richard Levitte*
1805
1806  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1807    success if they are asked to add an object which already exists
1808    in the store. This change cascades to other functions which load
1809    certificates and CRLs.
1810
1811    *Paul Dale*
1812
1813  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1814    facilitate stack unwinding even from assembly subroutines.
1815
1816    *Andy Polyakov*
1817
1818  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1819    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1820
1821    *Richard Levitte*
1822
1823  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1824    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1825    which is the minimum version we support.
1826
1827    *Richard Levitte*
1828
1829  * Certificate time validation (X509_cmp_time) enforces stricter
1830    compliance with RFC 5280. Fractional seconds and timezone offsets
1831    are no longer allowed.
1832
1833    *Emilia Käsper*
1834
1835  * Add support for ARIA
1836
1837    *Paul Dale*
1838
1839  * s_client will now send the Server Name Indication (SNI) extension by
1840    default unless the new "-noservername" option is used. The server name is
1841    based on the host provided to the "-connect" option unless overridden by
1842    using "-servername".
1843
1844    *Matt Caswell*
1845
1846  * Add support for SipHash
1847
1848    *Todd Short*
1849
1850  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1851    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1852    prevent issues where no progress is being made and the peer continually
1853    sends unrecognised record types, using up resources processing them.
1854
1855    *Matt Caswell*
1856
1857  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1858    using the algorithm defined in
1859    <https://www.akkadia.org/drepper/SHA-crypt.txt>
1860
1861    *Richard Levitte*
1862
1863  * Heartbeat support has been removed; the ABI is changed for now.
1864
1865    *Richard Levitte, Rich Salz*
1866
1867  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1868
1869    *Emilia Käsper*
1870
1871  * The RSA "null" method, which was partially supported to avoid patent
1872    issues, has been replaced to always returns NULL.
1873
1874    *Rich Salz*
1875
1876 OpenSSL 1.1.0
1877 -------------
1878
1879 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019]
1880
1881  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1882    used even when parsing explicit parameters, when loading a serialized key
1883    or calling `EC_GROUP_new_from_ecpkparameters()`/
1884    `EC_GROUP_new_from_ecparameters()`.
1885    This prevents bypass of security hardening and performance gains,
1886    especially for curves with specialized EC_METHODs.
1887    By default, if a key encoded with explicit parameters is loaded and later
1888    serialized, the output is still encoded with explicit parameters, even if
1889    internally a "named" EC_GROUP is used for computation.
1890
1891    *Nicola Tuveri*
1892
1893  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1894    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1895    NULL. After this change, only the cofactor parameter can be NULL. It also
1896    does some minimal sanity checks on the passed order.
1897    [CVE-2019-1547][]
1898
1899    *Billy Bob Brumley*
1900
1901  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1902    An attack is simple, if the first CMS_recipientInfo is valid but the
1903    second CMS_recipientInfo is chosen ciphertext. If the second
1904    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1905    encryption key will be replaced by garbage, and the message cannot be
1906    decoded, but if the RSA decryption fails, the correct encryption key is
1907    used and the recipient will not notice the attack.
1908    As a work around for this potential attack the length of the decrypted
1909    key must be equal to the cipher default key length, in case the
1910    certifiate is not given and all recipientInfo are tried out.
1911    The old behaviour can be re-enabled in the CMS code by setting the
1912    CMS_DEBUG_DECRYPT flag.
1913    [CVE-2019-1563][]
1914
1915    *Bernd Edlinger*
1916
1917  * Use Windows installation paths in the mingw builds
1918
1919    Mingw isn't a POSIX environment per se, which means that Windows
1920    paths should be used for installation.
1921    [CVE-2019-1552][]
1922
1923    *Richard Levitte*
1924
1925 ### Changes between 1.1.0j and 1.1.0k [28 May 2019]
1926
1927  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1928    This changes the size when using the genpkey app when no size is given. It
1929    fixes an omission in earlier changes that changed all RSA, DSA and DH
1930    generation apps to use 2048 bits by default.
1931
1932    *Kurt Roeckx*
1933
1934  * Prevent over long nonces in ChaCha20-Poly1305.
1935
1936    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1937    for every encryption operation. RFC 7539 specifies that the nonce value
1938    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1939    and front pads the nonce with 0 bytes if it is less than 12
1940    bytes. However it also incorrectly allows a nonce to be set of up to 16
1941    bytes. In this case only the last 12 bytes are significant and any
1942    additional leading bytes are ignored.
1943
1944    It is a requirement of using this cipher that nonce values are
1945    unique. Messages encrypted using a reused nonce value are susceptible to
1946    serious confidentiality and integrity attacks. If an application changes
1947    the default nonce length to be longer than 12 bytes and then makes a
1948    change to the leading bytes of the nonce expecting the new value to be a
1949    new unique nonce then such an application could inadvertently encrypt
1950    messages with a reused nonce.
1951
1952    Additionally the ignored bytes in a long nonce are not covered by the
1953    integrity guarantee of this cipher. Any application that relies on the
1954    integrity of these ignored leading bytes of a long nonce may be further
1955    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1956    is safe because no such use sets such a long nonce value. However user
1957    applications that use this cipher directly and set a non-default nonce
1958    length to be longer than 12 bytes may be vulnerable.
1959
1960    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1961    Greef of Ronomon.
1962    [CVE-2019-1543][]
1963
1964    *Matt Caswell*
1965
1966  * Added SCA hardening for modular field inversion in EC_GROUP through
1967    a new dedicated field_inv() pointer in EC_METHOD.
1968    This also addresses a leakage affecting conversions from projective
1969    to affine coordinates.
1970
1971    *Billy Bob Brumley, Nicola Tuveri*
1972
1973  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1974    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1975
1976    *Bernd Edlinger*
1977
1978  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1979
1980    *Richard Levitte*
1981
1982  * Remove the 'dist' target and add a tarball building script.  The
1983    'dist' target has fallen out of use, and it shouldn't be
1984    necessary to configure just to create a source distribution.
1985
1986    *Richard Levitte*
1987
1988 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018]
1989
1990  * Timing vulnerability in DSA signature generation
1991
1992    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1993    timing side channel attack. An attacker could use variations in the signing
1994    algorithm to recover the private key.
1995
1996    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1997    [CVE-2018-0734][]
1998
1999    *Paul Dale*
2000
2001  * Timing vulnerability in ECDSA signature generation
2002
2003    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
2004    timing side channel attack. An attacker could use variations in the signing
2005    algorithm to recover the private key.
2006
2007    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
2008    [CVE-2018-0735][]
2009
2010    *Paul Dale*
2011
2012  * Add coordinate blinding for EC_POINT and implement projective
2013    coordinate blinding for generic prime curves as a countermeasure to
2014    chosen point SCA attacks.
2015
2016    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
2017
2018 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018]
2019
2020  * Client DoS due to large DH parameter
2021
2022    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
2023    malicious server can send a very large prime value to the client. This will
2024    cause the client to spend an unreasonably long period of time generating a
2025    key for this prime resulting in a hang until the client has finished. This
2026    could be exploited in a Denial Of Service attack.
2027
2028    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
2029    [CVE-2018-0732][]
2030
2031    *Guido Vranken*
2032
2033  * Cache timing vulnerability in RSA Key Generation
2034
2035    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
2036    a cache timing side channel attack. An attacker with sufficient access to
2037    mount cache timing attacks during the RSA key generation process could
2038    recover the private key.
2039
2040    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
2041    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
2042    [CVE-2018-0737][]
2043
2044    *Billy Brumley*
2045
2046  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2047    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2048    pem_str is reserved for alias entries only.
2049
2050    *Richard Levitte*
2051
2052  * Revert blinding in ECDSA sign and instead make problematic addition
2053    length-invariant. Switch even to fixed-length Montgomery multiplication.
2054
2055    *Andy Polyakov*
2056
2057  * Change generating and checking of primes so that the error rate of not
2058    being prime depends on the intended use based on the size of the input.
2059    For larger primes this will result in more rounds of Miller-Rabin.
2060    The maximal error rate for primes with more than 1080 bits is lowered
2061    to 2^-128.
2062
2063    *Kurt Roeckx, Annie Yousar*
2064
2065  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2066
2067    *Kurt Roeckx*
2068
2069  * Add blinding to ECDSA and DSA signatures to protect against side channel
2070    attacks discovered by Keegan Ryan (NCC Group).
2071
2072    *Matt Caswell*
2073
2074  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2075    now allow empty (zero character) pass phrases.
2076
2077    *Richard Levitte*
2078
2079  * Certificate time validation (X509_cmp_time) enforces stricter
2080    compliance with RFC 5280. Fractional seconds and timezone offsets
2081    are no longer allowed.
2082
2083    *Emilia Käsper*
2084
2085  * Fixed a text canonicalisation bug in CMS
2086
2087    Where a CMS detached signature is used with text content the text goes
2088    through a canonicalisation process first prior to signing or verifying a
2089    signature. This process strips trailing space at the end of lines, converts
2090    line terminators to CRLF and removes additional trailing line terminators
2091    at the end of a file. A bug in the canonicalisation process meant that
2092    some characters, such as form-feed, were incorrectly treated as whitespace
2093    and removed. This is contrary to the specification (RFC5485). This fix
2094    could mean that detached text data signed with an earlier version of
2095    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2096    signed with a fixed OpenSSL may fail to verify with an earlier version of
2097    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2098    and use the "-binary" flag (for the "cms" command line application) or set
2099    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2100
2101    *Matt Caswell*
2102
2103 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018]
2104
2105  * Constructed ASN.1 types with a recursive definition could exceed the stack
2106
2107    Constructed ASN.1 types with a recursive definition (such as can be found
2108    in PKCS7) could eventually exceed the stack given malicious input with
2109    excessive recursion. This could result in a Denial Of Service attack. There
2110    are no such structures used within SSL/TLS that come from untrusted sources
2111    so this is considered safe.
2112
2113    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2114    project.
2115    [CVE-2018-0739][]
2116
2117    *Matt Caswell*
2118
2119  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2120
2121    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2122    effectively reduced to only comparing the least significant bit of each
2123    byte. This allows an attacker to forge messages that would be considered as
2124    authenticated in an amount of tries lower than that guaranteed by the
2125    security claims of the scheme. The module can only be compiled by the
2126    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2127
2128    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2129    (IBM).
2130    [CVE-2018-0733][]
2131
2132    *Andy Polyakov*
2133
2134  * Add a build target 'build_all_generated', to build all generated files
2135    and only that.  This can be used to prepare everything that requires
2136    things like perl for a system that lacks perl and then move everything
2137    to that system and do the rest of the build there.
2138
2139    *Richard Levitte*
2140
2141  * Backport SSL_OP_NO_RENGOTIATION
2142
2143    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2144    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2145    changes this is no longer possible in 1.1.0. Therefore the new
2146    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2147    1.1.0 to provide equivalent functionality.
2148
2149    Note that if an application built against 1.1.0h headers (or above) is run
2150    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2151    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2152
2153    *Matt Caswell*
2154
2155  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2156    exist.
2157
2158    *Rich Salz*
2159
2160  * rsaz_1024_mul_avx2 overflow bug on x86_64
2161
2162    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2163    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2164    Analysis suggests that attacks against RSA and DSA as a result of this
2165    defect would be very difficult to perform and are not believed likely.
2166    Attacks against DH1024 are considered just feasible, because most of the
2167    work necessary to deduce information about a private key may be performed
2168    offline. The amount of resources required for such an attack would be
2169    significant. However, for an attack on TLS to be meaningful, the server
2170    would have to share the DH1024 private key among multiple clients, which is
2171    no longer an option since CVE-2016-0701.
2172
2173    This only affects processors that support the AVX2 but not ADX extensions
2174    like Intel Haswell (4th generation).
2175
2176    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2177    was originally found via the OSS-Fuzz project.
2178    [CVE-2017-3738][]
2179
2180    *Andy Polyakov*
2181
2182 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017]
2183
2184  * bn_sqrx8x_internal carry bug on x86_64
2185
2186    There is a carry propagating bug in the x86_64 Montgomery squaring
2187    procedure. No EC algorithms are affected. Analysis suggests that attacks
2188    against RSA and DSA as a result of this defect would be very difficult to
2189    perform and are not believed likely. Attacks against DH are considered just
2190    feasible (although very difficult) because most of the work necessary to
2191    deduce information about a private key may be performed offline. The amount
2192    of resources required for such an attack would be very significant and
2193    likely only accessible to a limited number of attackers. An attacker would
2194    additionally need online access to an unpatched system using the target
2195    private key in a scenario with persistent DH parameters and a private
2196    key that is shared between multiple clients.
2197
2198    This only affects processors that support the BMI1, BMI2 and ADX extensions
2199    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2200
2201    This issue was reported to OpenSSL by the OSS-Fuzz project.
2202    [CVE-2017-3736][]
2203
2204    *Andy Polyakov*
2205
2206  * Malformed X.509 IPAddressFamily could cause OOB read
2207
2208    If an X.509 certificate has a malformed IPAddressFamily extension,
2209    OpenSSL could do a one-byte buffer overread. The most likely result
2210    would be an erroneous display of the certificate in text format.
2211
2212    This issue was reported to OpenSSL by the OSS-Fuzz project.
2213    [CVE-2017-3735][]
2214
2215    *Rich Salz*
2216
2217 ### Changes between 1.1.0e and 1.1.0f [25 May 2017]
2218
2219  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2220    platform rather than 'mingw'.
2221
2222    *Richard Levitte*
2223
2224  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2225    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2226    which is the minimum version we support.
2227
2228    *Richard Levitte*
2229
2230 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017]
2231
2232  * Encrypt-Then-Mac renegotiation crash
2233
2234    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2235    negotiated where it was not in the original handshake (or vice-versa) then
2236    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2237    and servers are affected.
2238
2239    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2240    [CVE-2017-3733][]
2241
2242    *Matt Caswell*
2243
2244 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017]
2245
2246  * Truncated packet could crash via OOB read
2247
2248    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2249    cipher is being used, then a truncated packet can cause that host to
2250    perform an out-of-bounds read, usually resulting in a crash.
2251
2252    This issue was reported to OpenSSL by Robert Święcki of Google.
2253    [CVE-2017-3731][]
2254
2255    *Andy Polyakov*
2256
2257  * Bad (EC)DHE parameters cause a client crash
2258
2259    If a malicious server supplies bad parameters for a DHE or ECDHE key
2260    exchange then this can result in the client attempting to dereference a
2261    NULL pointer leading to a client crash. This could be exploited in a Denial
2262    of Service attack.
2263
2264    This issue was reported to OpenSSL by Guido Vranken.
2265    [CVE-2017-3730][]
2266
2267    *Matt Caswell*
2268
2269  * BN_mod_exp may produce incorrect results on x86_64
2270
2271    There is a carry propagating bug in the x86_64 Montgomery squaring
2272    procedure. No EC algorithms are affected. Analysis suggests that attacks
2273    against RSA and DSA as a result of this defect would be very difficult to
2274    perform and are not believed likely. Attacks against DH are considered just
2275    feasible (although very difficult) because most of the work necessary to
2276    deduce information about a private key may be performed offline. The amount
2277    of resources required for such an attack would be very significant and
2278    likely only accessible to a limited number of attackers. An attacker would
2279    additionally need online access to an unpatched system using the target
2280    private key in a scenario with persistent DH parameters and a private
2281    key that is shared between multiple clients. For example this can occur by
2282    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2283    similar to CVE-2015-3193 but must be treated as a separate problem.
2284
2285    This issue was reported to OpenSSL by the OSS-Fuzz project.
2286    [CVE-2017-3732][]
2287
2288    *Andy Polyakov*
2289
2290 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016]
2291
2292  * ChaCha20/Poly1305 heap-buffer-overflow
2293
2294    TLS connections using `*-CHACHA20-POLY1305` ciphersuites are susceptible to
2295    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2296    crash. This issue is not considered to be exploitable beyond a DoS.
2297
2298    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2299    [CVE-2016-7054][]
2300
2301    *Richard Levitte*
2302
2303  * CMS Null dereference
2304
2305    Applications parsing invalid CMS structures can crash with a NULL pointer
2306    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2307    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2308    structure callback if an attempt is made to free certain invalid encodings.
2309    Only CHOICE structures using a callback which do not handle NULL value are
2310    affected.
2311
2312    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2313    [CVE-2016-7053][]
2314
2315    *Stephen Henson*
2316
2317  * Montgomery multiplication may produce incorrect results
2318
2319    There is a carry propagating bug in the Broadwell-specific Montgomery
2320    multiplication procedure that handles input lengths divisible by, but
2321    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2322    and DH private keys are impossible. This is because the subroutine in
2323    question is not used in operations with the private key itself and an input
2324    of the attacker's direct choice. Otherwise the bug can manifest itself as
2325    transient authentication and key negotiation failures or reproducible
2326    erroneous outcome of public-key operations with specially crafted input.
2327    Among EC algorithms only Brainpool P-512 curves are affected and one
2328    presumably can attack ECDH key negotiation. Impact was not analyzed in
2329    detail, because pre-requisites for attack are considered unlikely. Namely
2330    multiple clients have to choose the curve in question and the server has to
2331    share the private key among them, neither of which is default behaviour.
2332    Even then only clients that chose the curve will be affected.
2333
2334    This issue was publicly reported as transient failures and was not
2335    initially recognized as a security issue. Thanks to Richard Morgan for
2336    providing reproducible case.
2337    [CVE-2016-7055][]
2338
2339    *Andy Polyakov*
2340
2341  * Removed automatic addition of RPATH in shared libraries and executables,
2342    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2343
2344    *Richard Levitte*
2345
2346 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016]
2347
2348  * Fix Use After Free for large message sizes
2349
2350    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2351    message larger than approx 16k is received then the underlying buffer to
2352    store the incoming message is reallocated and moved. Unfortunately a
2353    dangling pointer to the old location is left which results in an attempt to
2354    write to the previously freed location. This is likely to result in a
2355    crash, however it could potentially lead to execution of arbitrary code.
2356
2357    This issue only affects OpenSSL 1.1.0a.
2358
2359    This issue was reported to OpenSSL by Robert Święcki.
2360    [CVE-2016-6309][]
2361
2362    *Matt Caswell*
2363
2364 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016]
2365
2366  * OCSP Status Request extension unbounded memory growth
2367
2368    A malicious client can send an excessively large OCSP Status Request
2369    extension. If that client continually requests renegotiation, sending a
2370    large OCSP Status Request extension each time, then there will be unbounded
2371    memory growth on the server. This will eventually lead to a Denial Of
2372    Service attack through memory exhaustion. Servers with a default
2373    configuration are vulnerable even if they do not support OCSP. Builds using
2374    the "no-ocsp" build time option are not affected.
2375
2376    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2377    [CVE-2016-6304][]
2378
2379    *Matt Caswell*
2380
2381  * SSL_peek() hang on empty record
2382
2383    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2384    sends an empty record. This could be exploited by a malicious peer in a
2385    Denial Of Service attack.
2386
2387    This issue was reported to OpenSSL by Alex Gaynor.
2388    [CVE-2016-6305][]
2389
2390    *Matt Caswell*
2391
2392  * Excessive allocation of memory in tls_get_message_header() and
2393    dtls1_preprocess_fragment()
2394
2395    A (D)TLS message includes 3 bytes for its length in the header for the
2396    message. This would allow for messages up to 16Mb in length. Messages of
2397    this length are excessive and OpenSSL includes a check to ensure that a
2398    peer is sending reasonably sized messages in order to avoid too much memory
2399    being consumed to service a connection. A flaw in the logic of version
2400    1.1.0 means that memory for the message is allocated too early, prior to
2401    the excessive message length check. Due to way memory is allocated in
2402    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2403    to service a connection. This could lead to a Denial of Service through
2404    memory exhaustion. However, the excessive message length check still takes
2405    place, and this would cause the connection to immediately fail. Assuming
2406    that the application calls SSL_free() on the failed connection in a timely
2407    manner then the 21Mb of allocated memory will then be immediately freed
2408    again. Therefore the excessive memory allocation will be transitory in
2409    nature. This then means that there is only a security impact if:
2410
2411    1) The application does not call SSL_free() in a timely manner in the event
2412    that the connection fails
2413    or
2414    2) The application is working in a constrained environment where there is
2415    very little free memory
2416    or
2417    3) The attacker initiates multiple connection attempts such that there are
2418    multiple connections in a state where memory has been allocated for the
2419    connection; SSL_free() has not yet been called; and there is insufficient
2420    memory to service the multiple requests.
2421
2422    Except in the instance of (1) above any Denial Of Service is likely to be
2423    transitory because as soon as the connection fails the memory is
2424    subsequently freed again in the SSL_free() call. However there is an
2425    increased risk during this period of application crashes due to the lack of
2426    memory - which would then mean a more serious Denial of Service.
2427
2428    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2429    (CVE-2016-6307 and CVE-2016-6308)
2430
2431    *Matt Caswell*
2432
2433  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2434    had to be removed. Primary reason is that vendor assembler can't
2435    assemble our modules with -KPIC flag. As result it, assembly
2436    support, was not even available as option. But its lack means
2437    lack of side-channel resistant code, which is incompatible with
2438    security by todays standards. Fortunately gcc is readily available
2439    prepackaged option, which we firmly point at...
2440
2441    *Andy Polyakov*
2442
2443 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016]
2444
2445  * Windows command-line tool supports UTF-8 opt-in option for arguments
2446    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2447    (to any value) allows Windows user to access PKCS#12 file generated
2448    with Windows CryptoAPI and protected with non-ASCII password, as well
2449    as files generated under UTF-8 locale on Linux also protected with
2450    non-ASCII password.
2451
2452    *Andy Polyakov*
2453
2454  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2455    have been disabled by default and removed from DEFAULT, just like RC4.
2456    See the RC4 item below to re-enable both.
2457
2458    *Rich Salz*
2459
2460  * The method for finding the storage location for the Windows RAND seed file
2461    has changed. First we check %RANDFILE%. If that is not set then we check
2462    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2463    all else fails we fall back to C:\.
2464
2465    *Matt Caswell*
2466
2467  * The EVP_EncryptUpdate() function has had its return type changed from void
2468    to int. A return of 0 indicates and error while a return of 1 indicates
2469    success.
2470
2471    *Matt Caswell*
2472
2473  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2474    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2475    off the constant time implementation for RSA, DSA and DH have been made
2476    no-ops and deprecated.
2477
2478    *Matt Caswell*
2479
2480  * Windows RAND implementation was simplified to only get entropy by
2481    calling CryptGenRandom(). Various other RAND-related tickets
2482    were also closed.
2483
2484    *Joseph Wylie Yandle, Rich Salz*
2485
2486  * The stack and lhash API's were renamed to start with `OPENSSL_SK_`
2487    and `OPENSSL_LH_`, respectively.  The old names are available
2488    with API compatibility.  They new names are now completely documented.
2489
2490    *Rich Salz*
2491
2492  * Unify TYPE_up_ref(obj) methods signature.
2493    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2494    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2495    int (instead of void) like all others TYPE_up_ref() methods.
2496    So now these methods also check the return value of CRYPTO_atomic_add(),
2497    and the validity of object reference counter.
2498
2499    *fdasilvayy@gmail.com*
2500
2501  * With Windows Visual Studio builds, the .pdb files are installed
2502    alongside the installed libraries and executables.  For a static
2503    library installation, ossl_static.pdb is the associate compiler
2504    generated .pdb file to be used when linking programs.
2505
2506    *Richard Levitte*
2507
2508  * Remove openssl.spec.  Packaging files belong with the packagers.
2509
2510    *Richard Levitte*
2511
2512  * Automatic Darwin/OSX configuration has had a refresh, it will now
2513    recognise x86_64 architectures automatically.  You can still decide
2514    to build for a different bitness with the environment variable
2515    KERNEL_BITS (can be 32 or 64), for example:
2516
2517            KERNEL_BITS=32 ./config
2518
2519    *Richard Levitte*
2520
2521  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2522    256 bit AES and HMAC with SHA256.
2523
2524    *Steve Henson*
2525
2526  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2527
2528    *Andy Polyakov*
2529
2530  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2531
2532    *Rich Salz*
2533
2534  * To enable users to have their own config files and build file templates,
2535    Configure looks in the directory indicated by the environment variable
2536    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2537    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2538    name and is used as is.
2539
2540    *Richard Levitte*
2541
2542  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2543    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2544    X509_CERT_FILE_CTX was removed.
2545
2546    *Rich Salz*
2547
2548  * "shared" builds are now the default. To create only static libraries use
2549    the "no-shared" Configure option.
2550
2551    *Matt Caswell*
2552
2553  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2554    All of these option have not worked for some while and are fundamental
2555    algorithms.
2556
2557    *Matt Caswell*
2558
2559  * Make various cleanup routines no-ops and mark them as deprecated. Most
2560    global cleanup functions are no longer required because they are handled
2561    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2562    Explicitly de-initing can cause problems (e.g. where a library that uses
2563    OpenSSL de-inits, but an application is still using it). The affected
2564    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2565    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2566    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2567    COMP_zlib_cleanup().
2568
2569    *Matt Caswell*
2570
2571  * --strict-warnings no longer enables runtime debugging options
2572    such as REF_DEBUG. Instead, debug options are automatically
2573    enabled with '--debug' builds.
2574
2575    *Andy Polyakov, Emilia Käsper*
2576
2577  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2578    have been moved out of the public header files. New functions for managing
2579    these have been added.
2580
2581    *Matt Caswell*
2582
2583  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2584    objects have been moved out of the public header files. New
2585    functions for managing these have been added.
2586
2587    *Richard Levitte*
2588
2589  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2590    have been moved out of the public header files. New functions for managing
2591    these have been added.
2592
2593    *Matt Caswell*
2594
2595  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2596    moved out of the public header files. New functions for managing these
2597    have been added.
2598
2599    *Matt Caswell*
2600
2601  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2602
2603    *Matt Caswell*
2604
2605  * Removed the mk1mf build scripts.
2606
2607    *Richard Levitte*
2608
2609  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2610    it is always safe to #include a header now.
2611
2612    *Rich Salz*
2613
2614  * Removed the aged BC-32 config and all its supporting scripts
2615
2616    *Richard Levitte*
2617
2618  * Removed support for Ultrix, Netware, and OS/2.
2619
2620    *Rich Salz*
2621
2622  * Add support for HKDF.
2623
2624    *Alessandro Ghedini*
2625
2626  * Add support for blake2b and blake2s
2627
2628    *Bill Cox*
2629
2630  * Added support for "pipelining". Ciphers that have the
2631    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2632    encryptions/decryptions simultaneously. There are currently no built-in
2633    ciphers with this property but the expectation is that engines will be able
2634    to offer it to significantly improve throughput. Support has been extended
2635    into libssl so that multiple records for a single connection can be
2636    processed in one go (for >=TLS 1.1).
2637
2638    *Matt Caswell*
2639
2640  * Added the AFALG engine. This is an async capable engine which is able to
2641    offload work to the Linux kernel. In this initial version it only supports
2642    AES128-CBC. The kernel must be version 4.1.0 or greater.
2643
2644    *Catriona Lucey*
2645
2646  * OpenSSL now uses a new threading API. It is no longer necessary to
2647    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2648    are two supported threading models: pthreads and windows threads. It is
2649    also possible to configure OpenSSL at compile time for "no-threads". The
2650    old threading API should no longer be used. The functions have been
2651    replaced with "no-op" compatibility macros.
2652
2653    *Alessandro Ghedini, Matt Caswell*
2654
2655  * Modify behavior of ALPN to invoke callback after SNI/servername
2656    callback, such that updates to the SSL_CTX affect ALPN.
2657
2658    *Todd Short*
2659
2660  * Add SSL_CIPHER queries for authentication and key-exchange.
2661
2662    *Todd Short*
2663
2664  * Changes to the DEFAULT cipherlist:
2665    - Prefer (EC)DHE handshakes over plain RSA.
2666    - Prefer AEAD ciphers over legacy ciphers.
2667    - Prefer ECDSA over RSA when both certificates are available.
2668    - Prefer TLSv1.2 ciphers/PRF.
2669    - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2670      default cipherlist.
2671
2672    *Emilia Käsper*
2673
2674  * Change the ECC default curve list to be this, in order: x25519,
2675    secp256r1, secp521r1, secp384r1.
2676
2677    *Rich Salz*
2678
2679  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2680    disabled by default. They can be re-enabled using the
2681    enable-weak-ssl-ciphers option to Configure.
2682
2683    *Matt Caswell*
2684
2685  * If the server has ALPN configured, but supports no protocols that the
2686    client advertises, send a fatal "no_application_protocol" alert.
2687    This behaviour is SHALL in RFC 7301, though it isn't universally
2688    implemented by other servers.
2689
2690    *Emilia Käsper*
2691
2692  * Add X25519 support.
2693    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2694    for public and private key encoding using the format documented in
2695    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2696    key generation and key derivation.
2697
2698    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2699    X25519(29).
2700
2701    *Steve Henson*
2702
2703  * Deprecate SRP_VBASE_get_by_user.
2704    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2705    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2706    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2707    seed, even if the seed is configured.
2708
2709    Users should use SRP_VBASE_get1_by_user instead. Note that in
2710    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2711    also that even though configuring the SRP seed attempts to hide
2712    invalid usernames by continuing the handshake with fake
2713    credentials, this behaviour is not constant time and no strong
2714    guarantees are made that the handshake is indistinguishable from
2715    that of a valid user.
2716
2717    *Emilia Käsper*
2718
2719  * Configuration change; it's now possible to build dynamic engines
2720    without having to build shared libraries and vice versa.  This
2721    only applies to the engines in engines/, those in crypto/engine/
2722    will always be built into libcrypto (i.e. "static").
2723
2724    Building dynamic engines is enabled by default; to disable, use
2725    the configuration option "disable-dynamic-engine".
2726
2727    The only requirements for building dynamic engines are the
2728    presence of the DSO module and building with position independent
2729    code, so they will also automatically be disabled if configuring
2730    with "disable-dso" or "disable-pic".
2731
2732    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2733    are also taken away from openssl/opensslconf.h, as they are
2734    irrelevant.
2735
2736    *Richard Levitte*
2737
2738  * Configuration change; if there is a known flag to compile
2739    position independent code, it will always be applied on the
2740    libcrypto and libssl object files, and never on the application
2741    object files.  This means other libraries that use routines from
2742    libcrypto / libssl can be made into shared libraries regardless
2743    of how OpenSSL was configured.
2744
2745    If this isn't desirable, the configuration options "disable-pic"
2746    or "no-pic" can be used to disable the use of PIC.  This will
2747    also disable building shared libraries and dynamic engines.
2748
2749    *Richard Levitte*
2750
2751  * Removed JPAKE code.  It was experimental and has no wide use.
2752
2753    *Rich Salz*
2754
2755  * The INSTALL_PREFIX Makefile variable has been renamed to
2756    DESTDIR.  That makes for less confusion on what this variable
2757    is for.  Also, the configuration option --install_prefix is
2758    removed.
2759
2760    *Richard Levitte*
2761
2762  * Heartbeat for TLS has been removed and is disabled by default
2763    for DTLS; configure with enable-heartbeats.  Code that uses the
2764    old #define's might need to be updated.
2765
2766    *Emilia Käsper, Rich Salz*
2767
2768  * Rename REF_CHECK to REF_DEBUG.
2769
2770    *Rich Salz*
2771
2772  * New "unified" build system
2773
2774    The "unified" build system is aimed to be a common system for all
2775    platforms we support.  With it comes new support for VMS.
2776
2777    This system builds supports building in a different directory tree
2778    than the source tree.  It produces one Makefile (for unix family
2779    or lookalikes), or one descrip.mms (for VMS).
2780
2781    The source of information to make the Makefile / descrip.mms is
2782    small files called 'build.info', holding the necessary
2783    information for each directory with source to compile, and a
2784    template in Configurations, like unix-Makefile.tmpl or
2785    descrip.mms.tmpl.
2786
2787    With this change, the library names were also renamed on Windows
2788    and on VMS.  They now have names that are closer to the standard
2789    on Unix, and include the major version number, and in certain
2790    cases, the architecture they are built for.  See "Notes on shared
2791    libraries" in INSTALL.
2792
2793    We rely heavily on the perl module Text::Template.
2794
2795    *Richard Levitte*
2796
2797  * Added support for auto-initialisation and de-initialisation of the library.
2798    OpenSSL no longer requires explicit init or deinit routines to be called,
2799    except in certain circumstances. See the OPENSSL_init_crypto() and
2800    OPENSSL_init_ssl() man pages for further information.
2801
2802    *Matt Caswell*
2803
2804  * The arguments to the DTLSv1_listen function have changed. Specifically the
2805    "peer" argument is now expected to be a BIO_ADDR object.
2806
2807  * Rewrite of BIO networking library. The BIO library lacked consistent
2808    support of IPv6, and adding it required some more extensive
2809    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2810    which hold all types of addresses and chains of address information.
2811    It also introduces a new API, with functions like BIO_socket,
2812    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2813    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2814    have been adapted accordingly.
2815
2816    *Richard Levitte*
2817
2818  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2819    the leading 0-byte.
2820
2821    *Emilia Käsper*
2822
2823  * CRIME protection: disable compression by default, even if OpenSSL is
2824    compiled with zlib enabled. Applications can still enable compression
2825    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2826    using the SSL_CONF library to configure compression.
2827
2828    *Emilia Käsper*
2829
2830  * The signature of the session callback configured with
2831    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2832    was explicitly marked as `const unsigned char*` instead of
2833    `unsigned char*`.
2834
2835    *Emilia Käsper*
2836
2837  * Always DPURIFY. Remove the use of uninitialized memory in the
2838    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2839
2840    *Emilia Käsper*
2841
2842  * Removed many obsolete configuration items, including
2843       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2844       MD2_CHAR, MD2_INT, MD2_LONG
2845       BF_PTR, BF_PTR2
2846       IDEA_SHORT, IDEA_LONG
2847       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2848
2849    *Rich Salz, with advice from Andy Polyakov*
2850
2851  * Many BN internals have been moved to an internal header file.
2852
2853    *Rich Salz with help from Andy Polyakov*
2854
2855  * Configuration and writing out the results from it has changed.
2856    Files such as Makefile include/openssl/opensslconf.h and are now
2857    produced through general templates, such as Makefile.in and
2858    crypto/opensslconf.h.in and some help from the perl module
2859    Text::Template.
2860
2861    Also, the center of configuration information is no longer
2862    Makefile.  Instead, Configure produces a perl module in
2863    configdata.pm which holds most of the config data (in the hash
2864    table %config), the target data that comes from the target
2865    configuration in one of the `Configurations/*.conf~ files (in
2866    %target).
2867
2868    *Richard Levitte*
2869
2870  * To clarify their intended purposes, the Configure options
2871    --prefix and --openssldir change their semantics, and become more
2872    straightforward and less interdependent.
2873
2874    --prefix shall be used exclusively to give the location INSTALLTOP
2875    where programs, scripts, libraries, include files and manuals are
2876    going to be installed.  The default is now /usr/local.
2877
2878    --openssldir shall be used exclusively to give the default
2879    location OPENSSLDIR where certificates, private keys, CRLs are
2880    managed.  This is also where the default openssl.cnf gets
2881    installed.
2882    If the directory given with this option is a relative path, the
2883    values of both the --prefix value and the --openssldir value will
2884    be combined to become OPENSSLDIR.
2885    The default for --openssldir is INSTALLTOP/ssl.
2886
2887    Anyone who uses --openssldir to specify where OpenSSL is to be
2888    installed MUST change to use --prefix instead.
2889
2890    *Richard Levitte*
2891
2892  * The GOST engine was out of date and therefore it has been removed. An up
2893    to date GOST engine is now being maintained in an external repository.
2894    See: <https://wiki.openssl.org/index.php/Binaries>. Libssl still retains
2895    support for GOST ciphersuites (these are only activated if a GOST engine
2896    is present).
2897
2898    *Matt Caswell*
2899
2900  * EGD is no longer supported by default; use enable-egd when
2901    configuring.
2902
2903    *Ben Kaduk and Rich Salz*
2904
2905  * The distribution now has Makefile.in files, which are used to
2906    create Makefile's when Configure is run.  *Configure must be run
2907    before trying to build now.*
2908
2909    *Rich Salz*
2910
2911  * The return value for SSL_CIPHER_description() for error conditions
2912    has changed.
2913
2914    *Rich Salz*
2915
2916  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2917
2918    Obtaining and performing DNSSEC validation of TLSA records is
2919    the application's responsibility.  The application provides
2920    the TLSA records of its choice to OpenSSL, and these are then
2921    used to authenticate the peer.
2922
2923    The TLSA records need not even come from DNS.  They can, for
2924    example, be used to implement local end-entity certificate or
2925    trust-anchor "pinning", where the "pin" data takes the form
2926    of TLSA records, which can augment or replace verification
2927    based on the usual WebPKI public certification authorities.
2928
2929    *Viktor Dukhovni*
2930
2931  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2932    continues to support deprecated interfaces in default builds.
2933    However, applications are strongly advised to compile their
2934    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2935    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2936    or the 1.1.0 releases.
2937
2938    In environments in which all applications have been ported to
2939    not use any deprecated interfaces OpenSSL's Configure script
2940    should be used with the --api=1.1.0 option to entirely remove
2941    support for the deprecated features from the library and
2942    unconditionally disable them in the installed headers.
2943    Essentially the same effect can be achieved with the "no-deprecated"
2944    argument to Configure, except that this will always restrict
2945    the build to just the latest API, rather than a fixed API
2946    version.
2947
2948    As applications are ported to future revisions of the API,
2949    they should update their compile-time OPENSSL_API_COMPAT define
2950    accordingly, but in most cases should be able to continue to
2951    compile with later releases.
2952
2953    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2954    0x10000000L and 0x00908000L, respectively.  However those
2955    versions did not support the OPENSSL_API_COMPAT feature, and
2956    so applications are not typically tested for explicit support
2957    of just the undeprecated features of either release.
2958
2959    *Viktor Dukhovni*
2960
2961  * Add support for setting the minimum and maximum supported protocol.
2962    It can bet set via the SSL_set_min_proto_version() and
2963    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2964    MaxProtocol.  It's recommended to use the new APIs to disable
2965    protocols instead of disabling individual protocols using
2966    SSL_set_options() or SSL_CONF's Protocol.  This change also
2967    removes support for disabling TLS 1.2 in the OpenSSL TLS
2968    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2969
2970    *Kurt Roeckx*
2971
2972  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2973
2974    *Andy Polyakov*
2975
2976  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2977    and integrates ECDSA and ECDH functionality into EC. Implementations can
2978    now redirect key generation and no longer need to convert to or from
2979    ECDSA_SIG format.
2980
2981    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2982    include the ec.h header file instead.
2983
2984    *Steve Henson*
2985
2986  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2987    ciphers who are no longer supported and drops support the ephemeral RSA key
2988    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2989
2990    *Kurt Roeckx*
2991
2992  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2993    opaque.  For HMAC_CTX, the following constructors and destructors
2994    were added:
2995
2996       HMAC_CTX *HMAC_CTX_new(void);
2997       void HMAC_CTX_free(HMAC_CTX *ctx);
2998
2999    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
3000    destroy such methods has been added.  See EVP_MD_meth_new(3) and
3001    EVP_CIPHER_meth_new(3) for documentation.
3002
3003    Additional changes:
3004    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
3005       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
3006       EVP_MD_CTX_reset() should be called instead to reinitialise
3007       an already created structure.
3008    2) For consistency with the majority of our object creators and
3009       destructors, EVP_MD_CTX_(create|destroy) were renamed to
3010       EVP_MD_CTX_(new|free).  The old names are retained as macros
3011       for deprecated builds.
3012
3013    *Richard Levitte*
3014
3015  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
3016    cryptographic operations to be performed asynchronously as long as an
3017    asynchronous capable engine is used. See the ASYNC_start_job() man page for
3018    further details. Libssl has also had this capability integrated with the
3019    introduction of the new mode SSL_MODE_ASYNC and associated error
3020    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
3021    pages. This work was developed in partnership with Intel Corp.
3022
3023    *Matt Caswell*
3024
3025  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
3026    always enabled now.  If you want to disable the support you should
3027    exclude it using the list of supported ciphers. This also means that the
3028    "-no_ecdhe" option has been removed from s_server.
3029
3030    *Kurt Roeckx*
3031
3032  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
3033    SSL_{CTX_}set1_curves() which can set a list.
3034
3035    *Kurt Roeckx*
3036
3037  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
3038    curve you want to support using SSL_{CTX_}set1_curves().
3039
3040    *Kurt Roeckx*
3041
3042  * State machine rewrite. The state machine code has been significantly
3043    refactored in order to remove much duplication of code and solve issues
3044    with the old code (see ssl/statem/README for further details). This change
3045    does have some associated API changes. Notably the SSL_state() function
3046    has been removed and replaced by SSL_get_state which now returns an
3047    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
3048    altogether. The previous handshake states defined in ssl.h and ssl3.h have
3049    also been removed.
3050
3051    *Matt Caswell*
3052
3053  * All instances of the string "ssleay" in the public API were replaced
3054    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
3055    Some error codes related to internal RSA_eay API's were renamed.
3056
3057    *Rich Salz*
3058
3059  * The demo files in crypto/threads were moved to demo/threads.
3060
3061    *Rich Salz*
3062
3063  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
3064    sureware and ubsec.
3065
3066    *Matt Caswell, Rich Salz*
3067
3068  * New ASN.1 embed macro.
3069
3070    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
3071    structure is not allocated: it is part of the parent. That is instead of
3072
3073            FOO *x;
3074
3075    it must be:
3076
3077            FOO x;
3078
3079    This reduces memory fragmentation and make it impossible to accidentally
3080    set a mandatory field to NULL.
3081
3082    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3083    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3084    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3085    SEQUENCE OF.
3086
3087    *Steve Henson*
3088
3089  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3090
3091    *Emilia Käsper*
3092
3093  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3094    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3095    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3096    DES and RC4 ciphersuites.
3097
3098    *Matt Caswell*
3099
3100  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3101    This changes the decoding behaviour for some invalid messages,
3102    though the change is mostly in the more lenient direction, and
3103    legacy behaviour is preserved as much as possible.
3104
3105    *Emilia Käsper*
3106
3107  * Fix no-stdio build.
3108    * David Woodhouse <David.Woodhouse@intel.com> and also
3109     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3110
3111  * New testing framework
3112    The testing framework has been largely rewritten and is now using
3113    perl and the perl modules Test::Harness and an extended variant of
3114    Test::More called OpenSSL::Test to do its work.  All test scripts in
3115    test/ have been rewritten into test recipes, and all direct calls to
3116    executables in test/Makefile have become individual recipes using the
3117    simplified testing OpenSSL::Test::Simple.
3118
3119    For documentation on our testing modules, do:
3120
3121            perldoc test/testlib/OpenSSL/Test/Simple.pm
3122            perldoc test/testlib/OpenSSL/Test.pm
3123
3124    *Richard Levitte*
3125
3126  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3127    are used; the latter aborts on memory leaks (usually checked on exit).
3128    Some undocumented "set malloc, etc., hooks" functions were removed
3129    and others were changed.  All are now documented.
3130
3131    *Rich Salz*
3132
3133  * In DSA_generate_parameters_ex, if the provided seed is too short,
3134    return an error
3135
3136    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3137
3138  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3139    from RFC4279, RFC4785, RFC5487, RFC5489.
3140
3141    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3142    original RSA_PSK patch.
3143
3144    *Steve Henson*
3145
3146  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3147    era flag was never set throughout the codebase (only read). Also removed
3148    SSL3_FLAGS_POP_BUFFER which was only used if
3149    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3150
3151    *Matt Caswell*
3152
3153  * Changed the default name options in the "ca", "crl", "req" and "x509"
3154    to be "oneline" instead of "compat".
3155
3156    *Richard Levitte*
3157
3158  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3159    not aware of clients that still exhibit this bug, and the workaround
3160    hasn't been working properly for a while.
3161
3162    *Emilia Käsper*
3163
3164  * The return type of BIO_number_read() and BIO_number_written() as well as
3165    the corresponding num_read and num_write members in the BIO structure has
3166    changed from unsigned long to uint64_t. On platforms where an unsigned
3167    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3168    transferred.
3169
3170    *Matt Caswell*
3171
3172  * Given the pervasive nature of TLS extensions it is inadvisable to run
3173    OpenSSL without support for them. It also means that maintaining
3174    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3175    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3176
3177    *Matt Caswell*
3178
3179  * Removed support for the two export grade static DH ciphersuites
3180    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3181    were newly added (along with a number of other static DH ciphersuites) to
3182    1.0.2. However the two export ones have *never* worked since they were
3183    introduced. It seems strange in any case to be adding new export
3184    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3185
3186    *Matt Caswell*
3187
3188  * Version negotiation has been rewritten. In particular SSLv23_method(),
3189    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3190    and turned into macros which simply call the new preferred function names
3191    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3192    should use the new names instead. Also as part of this change the ssl23.h
3193    header file has been removed.
3194
3195    *Matt Caswell*
3196
3197  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3198    code and the associated standard is no longer considered fit-for-purpose.
3199
3200    *Matt Caswell*
3201
3202  * RT2547 was closed.  When generating a private key, try to make the
3203    output file readable only by the owner.  This behavior change might
3204    be noticeable when interacting with other software.
3205
3206  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3207    Added a test.
3208
3209    *Rich Salz*
3210
3211  * Added HTTP GET support to the ocsp command.
3212
3213    *Rich Salz*
3214
3215  * Changed default digest for the dgst and enc commands from MD5 to
3216    sha256
3217
3218    *Rich Salz*
3219
3220  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3221
3222    *Matt Caswell*
3223
3224  * Added support for TLS extended master secret from
3225    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3226    initial patch which was a great help during development.
3227
3228    *Steve Henson*
3229
3230  * All libssl internal structures have been removed from the public header
3231    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3232    now redundant). Users should not attempt to access internal structures
3233    directly. Instead they should use the provided API functions.
3234
3235    *Matt Caswell*
3236
3237  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3238    Access to deprecated functions can be re-enabled by running config with
3239    "enable-deprecated". In addition applications wishing to use deprecated
3240    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3241    will, by default, disable some transitive includes that previously existed
3242    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3243
3244    *Matt Caswell*
3245
3246  * Added support for OCB mode. OpenSSL has been granted a patent license
3247    compatible with the OpenSSL license for use of OCB. Details are available
3248    at <https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf>. Support
3249    for OCB can be removed by calling config with no-ocb.
3250
3251    *Matt Caswell*
3252
3253  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3254    compatible client hello.
3255
3256    *Kurt Roeckx*
3257
3258  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3259    done while fixing the error code for the key-too-small case.
3260
3261    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3262
3263  * CA.sh has been removed; use CA.pl instead.
3264
3265    *Rich Salz*
3266
3267  * Removed old DES API.
3268
3269    *Rich Salz*
3270
3271  * Remove various unsupported platforms:
3272       Sony NEWS4
3273       BEOS and BEOS_R5
3274       NeXT
3275       SUNOS
3276       MPE/iX
3277       Sinix/ReliantUNIX RM400
3278       DGUX
3279       NCR
3280       Tandem
3281       Cray
3282       16-bit platforms such as WIN16
3283
3284    *Rich Salz*
3285
3286  * Clean up OPENSSL_NO_xxx #define's
3287    - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3288    - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3289    - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3290    - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3291    - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3292    - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3293      OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3294      OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3295      OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3296    - Remove MS_STATIC; it's a relic from platforms <32 bits.
3297
3298    *Rich Salz*
3299
3300  * Cleaned up dead code
3301      Remove all but one '#ifdef undef' which is to be looked at.
3302
3303    *Rich Salz*
3304
3305  * Clean up calling of xxx_free routines.
3306       Just like free(), fix most of the xxx_free routines to accept
3307       NULL.  Remove the non-null checks from callers.  Save much code.
3308
3309    *Rich Salz*
3310
3311  * Add secure heap for storage of private keys (when possible).
3312    Add BIO_s_secmem(), CBIGNUM, etc.
3313    Contributed by Akamai Technologies under our Corporate CLA.
3314
3315    *Rich Salz*
3316
3317  * Experimental support for a new, fast, unbiased prime candidate generator,
3318    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3319
3320    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3321
3322  * New output format NSS in the sess_id command line tool. This allows
3323    exporting the session id and the master key in NSS keylog format.
3324
3325    *Martin Kaiser <martin@kaiser.cx>*
3326
3327  * Harmonize version and its documentation. -f flag is used to display
3328    compilation flags.
3329
3330    *mancha <mancha1@zoho.com>*
3331
3332  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3333    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3334
3335    *mancha <mancha1@zoho.com>*
3336
3337  * Fix some double frees. These are not thought to be exploitable.
3338
3339    *mancha <mancha1@zoho.com>*
3340
3341  * A missing bounds check in the handling of the TLS heartbeat extension
3342    can be used to reveal up to 64k of memory to a connected client or
3343    server.
3344
3345    Thanks for Neel Mehta of Google Security for discovering this bug and to
3346    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3347    preparing the fix [CVE-2014-0160][]
3348
3349    *Adam Langley, Bodo Moeller*
3350
3351  * Fix for the attack described in the paper "Recovering OpenSSL
3352    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3353    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3354    <http://eprint.iacr.org/2014/140>
3355
3356    Thanks to Yuval Yarom and Naomi Benger for discovering this
3357    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3358
3359    *Yuval Yarom and Naomi Benger*
3360
3361  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3362    this fixes a limitation in previous versions of OpenSSL.
3363
3364    *Steve Henson*
3365
3366  * Experimental encrypt-then-mac support.
3367
3368    Experimental support for encrypt then mac from
3369    draft-gutmann-tls-encrypt-then-mac-02.txt
3370
3371    To enable it set the appropriate extension number (0x42 for the test
3372    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3373
3374    For non-compliant peers (i.e. just about everything) this should have no
3375    effect.
3376
3377    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3378
3379    *Steve Henson*
3380
3381  * Add EVP support for key wrapping algorithms, to avoid problems with
3382    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3383    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3384    algorithms and include tests cases.
3385
3386    *Steve Henson*
3387
3388  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3389    enveloped data.
3390
3391    *Steve Henson*
3392
3393  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3394    MGF1 digest and OAEP label.
3395
3396    *Steve Henson*
3397
3398  * Make openssl verify return errors.
3399
3400    *Chris Palmer <palmer@google.com> and Ben Laurie*
3401
3402  * New function ASN1_TIME_diff to calculate the difference between two
3403    ASN1_TIME structures or one structure and the current time.
3404
3405    *Steve Henson*
3406
3407  * Update fips_test_suite to support multiple command line options. New
3408    test to induce all self test errors in sequence and check expected
3409    failures.
3410
3411    *Steve Henson*
3412
3413  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3414    sign or verify all in one operation.
3415
3416    *Steve Henson*
3417
3418  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3419    test programs and fips_test_suite. Includes functionality to parse
3420    the minimal script output of fipsalgest.pl directly.
3421
3422    *Steve Henson*
3423
3424  * Add authorisation parameter to FIPS_module_mode_set().
3425
3426    *Steve Henson*
3427
3428  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3429
3430    *Steve Henson*
3431
3432  * Use separate DRBG fields for internal and external flags. New function
3433    FIPS_drbg_health_check() to perform on demand health checking. Add
3434    generation tests to fips_test_suite with reduced health check interval to
3435    demonstrate periodic health checking. Add "nodh" option to
3436    fips_test_suite to skip very slow DH test.
3437
3438    *Steve Henson*
3439
3440  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3441    based on NID.
3442
3443    *Steve Henson*
3444
3445  * More extensive health check for DRBG checking many more failure modes.
3446    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3447    combination: call this in fips_test_suite.
3448
3449    *Steve Henson*
3450
3451  * Add support for canonical generation of DSA parameter 'g'. See
3452    FIPS 186-3 A.2.3.
3453
3454  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3455    POST to handle HMAC cases.
3456
3457    *Steve Henson*
3458
3459  * Add functions FIPS_module_version() and FIPS_module_version_text()
3460    to return numerical and string versions of the FIPS module number.
3461
3462    *Steve Henson*
3463
3464  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3465    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3466    outside the validated module in the FIPS capable OpenSSL.
3467
3468    *Steve Henson*
3469
3470  * Minor change to DRBG entropy callback semantics. In some cases
3471    there is no multiple of the block length between min_len and
3472    max_len. Allow the callback to return more than max_len bytes
3473    of entropy but discard any extra: it is the callback's responsibility
3474    to ensure that the extra data discarded does not impact the
3475    requested amount of entropy.
3476
3477    *Steve Henson*
3478
3479  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3480    information in FIPS186-3, SP800-57 and SP800-131A.
3481
3482    *Steve Henson*
3483
3484  * CCM support via EVP. Interface is very similar to GCM case except we
3485    must supply all data in one chunk (i.e. no update, final) and the
3486    message length must be supplied if AAD is used. Add algorithm test
3487    support.
3488
3489    *Steve Henson*
3490
3491  * Initial version of POST overhaul. Add POST callback to allow the status
3492    of POST to be monitored and/or failures induced. Modify fips_test_suite
3493    to use callback. Always run all selftests even if one fails.
3494
3495    *Steve Henson*
3496
3497  * XTS support including algorithm test driver in the fips_gcmtest program.
3498    Note: this does increase the maximum key length from 32 to 64 bytes but
3499    there should be no binary compatibility issues as existing applications
3500    will never use XTS mode.
3501
3502    *Steve Henson*
3503
3504  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3505    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3506    performs algorithm blocking for unapproved PRNG types. Also do not
3507    set PRNG type in FIPS_mode_set(): leave this to the application.
3508    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3509    the standard OpenSSL PRNG: set additional data to a date time vector.
3510
3511    *Steve Henson*
3512
3513  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3514    This shouldn't present any incompatibility problems because applications
3515    shouldn't be using these directly and any that are will need to rethink
3516    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3517
3518    *Steve Henson*
3519
3520  * Extensive self tests and health checking required by SP800-90 DRBG.
3521    Remove strength parameter from FIPS_drbg_instantiate and always
3522    instantiate at maximum supported strength.
3523
3524    *Steve Henson*
3525
3526  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3527
3528    *Steve Henson*
3529
3530  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3531
3532    *Steve Henson*
3533
3534  * New function DH_compute_key_padded() to compute a DH key and pad with
3535    leading zeroes if needed: this complies with SP800-56A et al.
3536
3537    *Steve Henson*
3538
3539  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3540    anything, incomplete, subject to change and largely untested at present.
3541
3542    *Steve Henson*
3543
3544  * Modify fipscanisteronly build option to only build the necessary object
3545    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3546
3547    *Steve Henson*
3548
3549  * Add experimental option FIPSSYMS to give all symbols in
3550    fipscanister.o and FIPS or fips prefix. This will avoid
3551    conflicts with future versions of OpenSSL. Add perl script
3552    util/fipsas.pl to preprocess assembly language source files
3553    and rename any affected symbols.
3554
3555    *Steve Henson*
3556
3557  * Add selftest checks and algorithm block of non-fips algorithms in
3558    FIPS mode. Remove DES2 from selftests.
3559
3560    *Steve Henson*
3561
3562  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3563    return internal method without any ENGINE dependencies. Add new
3564    tiny fips sign and verify functions.
3565
3566    *Steve Henson*
3567
3568  * New build option no-ec2m to disable characteristic 2 code.
3569
3570    *Steve Henson*
3571
3572  * New build option "fipscanisteronly". This only builds fipscanister.o
3573    and (currently) associated fips utilities. Uses the file Makefile.fips
3574    instead of Makefile.org as the prototype.
3575
3576    *Steve Henson*
3577
3578  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3579    Update fips_gcmtest to use IV generator.
3580
3581    *Steve Henson*
3582
3583  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3584    setting output buffer to NULL. The `*Final` function must be
3585    called although it will not retrieve any additional data. The tag
3586    can be set or retrieved with a ctrl. The IV length is by default 12
3587    bytes (96 bits) but can be set to an alternative value. If the IV
3588    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3589    set before the key.
3590
3591    *Steve Henson*
3592
3593  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3594    underlying do_cipher function handles all cipher semantics itself
3595    including padding and finalisation. This is useful if (for example)
3596    an ENGINE cipher handles block padding itself. The behaviour of
3597    do_cipher is subtly changed if this flag is set: the return value
3598    is the number of characters written to the output buffer (zero is
3599    no longer an error code) or a negative error code. Also if the
3600    input buffer is NULL and length 0 finalisation should be performed.
3601
3602    *Steve Henson*
3603
3604  * If a candidate issuer certificate is already part of the constructed
3605    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3606
3607    *Steve Henson*
3608
3609  * Improve forward-security support: add functions
3610
3611            void SSL_CTX_set_not_resumable_session_callback(
3612                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3613            void SSL_set_not_resumable_session_callback(
3614                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3615
3616    for use by SSL/TLS servers; the callback function will be called whenever a
3617    new session is created, and gets to decide whether the session may be
3618    cached to make it resumable (return 0) or not (return 1).  (As by the
3619    SSL/TLS protocol specifications, the session_id sent by the server will be
3620    empty to indicate that the session is not resumable; also, the server will
3621    not generate RFC 4507 (RFC 5077) session tickets.)
3622
3623    A simple reasonable callback implementation is to return is_forward_secure.
3624    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3625    by the SSL/TLS server library, indicating whether it can provide forward
3626    security.
3627
3628    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3629
3630  * New -verify_name option in command line utilities to set verification
3631    parameters by name.
3632
3633    *Steve Henson*
3634
3635  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3636    Add CMAC pkey methods.
3637
3638    *Steve Henson*
3639
3640  * Experimental renegotiation in s_server -www mode. If the client
3641    browses /reneg connection is renegotiated. If /renegcert it is
3642    renegotiated requesting a certificate.
3643
3644    *Steve Henson*
3645
3646  * Add an "external" session cache for debugging purposes to s_server. This
3647    should help trace issues which normally are only apparent in deployed
3648    multi-process servers.
3649
3650    *Steve Henson*
3651
3652  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3653    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3654    BIO_set_cipher() and some obscure PEM functions were changed so they
3655    can now return an error. The RAND changes required a change to the
3656    RAND_METHOD structure.
3657
3658    *Steve Henson*
3659
3660  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3661    a gcc attribute to warn if the result of a function is ignored. This
3662    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3663    whose return value is often ignored.
3664
3665    *Steve Henson*
3666
3667  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3668    These allow SCTs (signed certificate timestamps) to be requested and
3669    validated when establishing a connection.
3670
3671    *Rob Percival <robpercival@google.com>*
3672
3673 OpenSSL 1.0.2
3674 -------------
3675
3676 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019]
3677
3678  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3679    used even when parsing explicit parameters, when loading a serialized key
3680    or calling `EC_GROUP_new_from_ecpkparameters()`/
3681    `EC_GROUP_new_from_ecparameters()`.
3682    This prevents bypass of security hardening and performance gains,
3683    especially for curves with specialized EC_METHODs.
3684    By default, if a key encoded with explicit parameters is loaded and later
3685    serialized, the output is still encoded with explicit parameters, even if
3686    internally a "named" EC_GROUP is used for computation.
3687
3688    *Nicola Tuveri*
3689
3690  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3691    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3692    NULL. After this change, only the cofactor parameter can be NULL. It also
3693    does some minimal sanity checks on the passed order.
3694    [CVE-2019-1547][]
3695
3696    *Billy Bob Brumley*
3697
3698  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3699    An attack is simple, if the first CMS_recipientInfo is valid but the
3700    second CMS_recipientInfo is chosen ciphertext. If the second
3701    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3702    encryption key will be replaced by garbage, and the message cannot be
3703    decoded, but if the RSA decryption fails, the correct encryption key is
3704    used and the recipient will not notice the attack.
3705    As a work around for this potential attack the length of the decrypted
3706    key must be equal to the cipher default key length, in case the
3707    certifiate is not given and all recipientInfo are tried out.
3708    The old behaviour can be re-enabled in the CMS code by setting the
3709    CMS_DEBUG_DECRYPT flag.
3710    [CVE-2019-1563][]
3711
3712    *Bernd Edlinger*
3713
3714  * Document issue with installation paths in diverse Windows builds
3715
3716    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3717    binaries and run-time config file.
3718    [CVE-2019-1552][]
3719
3720    *Richard Levitte*
3721
3722 ### Changes between 1.0.2r and 1.0.2s [28 May 2019]
3723
3724  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3725    This changes the size when using the genpkey app when no size is given. It
3726    fixes an omission in earlier changes that changed all RSA, DSA and DH
3727    generation apps to use 2048 bits by default.
3728
3729    *Kurt Roeckx*
3730
3731  * Add FIPS support for Android Arm 64-bit
3732
3733    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3734    Module in Version 2.0.10. For some reason, the corresponding target
3735    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3736    built with FIPS support on Android Arm 64-bit. This omission has been
3737    fixed.
3738
3739    *Matthias St. Pierre*
3740
3741 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019]
3742
3743  * 0-byte record padding oracle
3744
3745    If an application encounters a fatal protocol error and then calls
3746    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3747    then OpenSSL can respond differently to the calling application if a 0 byte
3748    record is received with invalid padding compared to if a 0 byte record is
3749    received with an invalid MAC. If the application then behaves differently
3750    based on that in a way that is detectable to the remote peer, then this
3751    amounts to a padding oracle that could be used to decrypt data.
3752
3753    In order for this to be exploitable "non-stitched" ciphersuites must be in
3754    use. Stitched ciphersuites are optimised implementations of certain
3755    commonly used ciphersuites. Also the application must call SSL_shutdown()
3756    twice even if a protocol error has occurred (applications should not do
3757    this but some do anyway).
3758
3759    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3760    Aviram, with additional investigation by Steven Collison and Andrew
3761    Hourselt. It was reported to OpenSSL on 10th December 2018.
3762    [CVE-2019-1559][]
3763
3764    *Matt Caswell*
3765
3766  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3767
3768    *Richard Levitte*
3769
3770 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018]
3771
3772  * Microarchitecture timing vulnerability in ECC scalar multiplication
3773
3774    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3775    shown to be vulnerable to a microarchitecture timing side channel attack.
3776    An attacker with sufficient access to mount local timing attacks during
3777    ECDSA signature generation could recover the private key.
3778
3779    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3780    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3781    Nicola Tuveri.
3782    [CVE-2018-5407][]
3783
3784    *Billy Brumley*
3785
3786  * Timing vulnerability in DSA signature generation
3787
3788    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3789    timing side channel attack. An attacker could use variations in the signing
3790    algorithm to recover the private key.
3791
3792    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3793    [CVE-2018-0734][]
3794
3795    *Paul Dale*
3796
3797  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3798    Module, accidentally introduced while backporting security fixes from the
3799    development branch and hindering the use of ECC in FIPS mode.
3800
3801    *Nicola Tuveri*
3802
3803 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018]
3804
3805  * Client DoS due to large DH parameter
3806
3807    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3808    malicious server can send a very large prime value to the client. This will
3809    cause the client to spend an unreasonably long period of time generating a
3810    key for this prime resulting in a hang until the client has finished. This
3811    could be exploited in a Denial Of Service attack.
3812
3813    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3814    [CVE-2018-0732][]
3815
3816    *Guido Vranken*
3817
3818  * Cache timing vulnerability in RSA Key Generation
3819
3820    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3821    a cache timing side channel attack. An attacker with sufficient access to
3822    mount cache timing attacks during the RSA key generation process could
3823    recover the private key.
3824
3825    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3826    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3827    [CVE-2018-0737][]
3828
3829    *Billy Brumley*
3830
3831  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3832    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3833    pem_str is reserved for alias entries only.
3834
3835    *Richard Levitte*
3836
3837  * Revert blinding in ECDSA sign and instead make problematic addition
3838    length-invariant. Switch even to fixed-length Montgomery multiplication.
3839
3840    *Andy Polyakov*
3841
3842  * Change generating and checking of primes so that the error rate of not
3843    being prime depends on the intended use based on the size of the input.
3844    For larger primes this will result in more rounds of Miller-Rabin.
3845    The maximal error rate for primes with more than 1080 bits is lowered
3846    to 2^-128.
3847
3848    *Kurt Roeckx, Annie Yousar*
3849
3850  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3851
3852    *Kurt Roeckx*
3853
3854  * Add blinding to ECDSA and DSA signatures to protect against side channel
3855    attacks discovered by Keegan Ryan (NCC Group).
3856
3857    *Matt Caswell*
3858
3859  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3860    now allow empty (zero character) pass phrases.
3861
3862    *Richard Levitte*
3863
3864  * Certificate time validation (X509_cmp_time) enforces stricter
3865    compliance with RFC 5280. Fractional seconds and timezone offsets
3866    are no longer allowed.
3867
3868    *Emilia Käsper*
3869
3870 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018]
3871
3872  * Constructed ASN.1 types with a recursive definition could exceed the stack
3873
3874    Constructed ASN.1 types with a recursive definition (such as can be found
3875    in PKCS7) could eventually exceed the stack given malicious input with
3876    excessive recursion. This could result in a Denial Of Service attack. There
3877    are no such structures used within SSL/TLS that come from untrusted sources
3878    so this is considered safe.
3879
3880    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3881    project.
3882    [CVE-2018-0739][]
3883
3884    *Matt Caswell*
3885
3886 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017]
3887
3888  * Read/write after SSL object in error state
3889
3890    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3891    mechanism. The intent was that if a fatal error occurred during a handshake
3892    then OpenSSL would move into the error state and would immediately fail if
3893    you attempted to continue the handshake. This works as designed for the
3894    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3895    SSL_connect()), however due to a bug it does not work correctly if
3896    SSL_read() or SSL_write() is called directly. In that scenario, if the
3897    handshake fails then a fatal error will be returned in the initial function
3898    call. If SSL_read()/SSL_write() is subsequently called by the application
3899    for the same SSL object then it will succeed and the data is passed without
3900    being decrypted/encrypted directly from the SSL/TLS record layer.
3901
3902    In order to exploit this issue an application bug would have to be present
3903    that resulted in a call to SSL_read()/SSL_write() being issued after having
3904    already received a fatal error.
3905
3906    This issue was reported to OpenSSL by David Benjamin (Google).
3907    [CVE-2017-3737][]
3908
3909    *Matt Caswell*
3910
3911  * rsaz_1024_mul_avx2 overflow bug on x86_64
3912
3913    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3914    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3915    Analysis suggests that attacks against RSA and DSA as a result of this
3916    defect would be very difficult to perform and are not believed likely.
3917    Attacks against DH1024 are considered just feasible, because most of the
3918    work necessary to deduce information about a private key may be performed
3919    offline. The amount of resources required for such an attack would be
3920    significant. However, for an attack on TLS to be meaningful, the server
3921    would have to share the DH1024 private key among multiple clients, which is
3922    no longer an option since CVE-2016-0701.
3923
3924    This only affects processors that support the AVX2 but not ADX extensions
3925    like Intel Haswell (4th generation).
3926
3927    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3928    was originally found via the OSS-Fuzz project.
3929    [CVE-2017-3738][]
3930
3931    *Andy Polyakov*
3932
3933 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017]
3934
3935  * bn_sqrx8x_internal carry bug on x86_64
3936
3937    There is a carry propagating bug in the x86_64 Montgomery squaring
3938    procedure. No EC algorithms are affected. Analysis suggests that attacks
3939    against RSA and DSA as a result of this defect would be very difficult to
3940    perform and are not believed likely. Attacks against DH are considered just
3941    feasible (although very difficult) because most of the work necessary to
3942    deduce information about a private key may be performed offline. The amount
3943    of resources required for such an attack would be very significant and
3944    likely only accessible to a limited number of attackers. An attacker would
3945    additionally need online access to an unpatched system using the target
3946    private key in a scenario with persistent DH parameters and a private
3947    key that is shared between multiple clients.
3948
3949    This only affects processors that support the BMI1, BMI2 and ADX extensions
3950    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3951
3952    This issue was reported to OpenSSL by the OSS-Fuzz project.
3953    [CVE-2017-3736][]
3954
3955    *Andy Polyakov*
3956
3957  * Malformed X.509 IPAddressFamily could cause OOB read
3958
3959    If an X.509 certificate has a malformed IPAddressFamily extension,
3960    OpenSSL could do a one-byte buffer overread. The most likely result
3961    would be an erroneous display of the certificate in text format.
3962
3963    This issue was reported to OpenSSL by the OSS-Fuzz project.
3964    [CVE-2017-3735][]
3965
3966    *Rich Salz*
3967
3968 ### Changes between 1.0.2k and 1.0.2l [25 May 2017]
3969
3970  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3971    platform rather than 'mingw'.
3972
3973    *Richard Levitte*
3974
3975 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017]
3976
3977  * Truncated packet could crash via OOB read
3978
3979    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3980    cipher is being used, then a truncated packet can cause that host to
3981    perform an out-of-bounds read, usually resulting in a crash.
3982
3983    This issue was reported to OpenSSL by Robert Święcki of Google.
3984    [CVE-2017-3731][]
3985
3986    *Andy Polyakov*
3987
3988  * BN_mod_exp may produce incorrect results on x86_64
3989
3990    There is a carry propagating bug in the x86_64 Montgomery squaring
3991    procedure. No EC algorithms are affected. Analysis suggests that attacks
3992    against RSA and DSA as a result of this defect would be very difficult to
3993    perform and are not believed likely. Attacks against DH are considered just
3994    feasible (although very difficult) because most of the work necessary to
3995    deduce information about a private key may be performed offline. The amount
3996    of resources required for such an attack would be very significant and
3997    likely only accessible to a limited number of attackers. An attacker would
3998    additionally need online access to an unpatched system using the target
3999    private key in a scenario with persistent DH parameters and a private
4000    key that is shared between multiple clients. For example this can occur by
4001    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
4002    similar to CVE-2015-3193 but must be treated as a separate problem.
4003
4004    This issue was reported to OpenSSL by the OSS-Fuzz project.
4005    [CVE-2017-3732][]
4006
4007    *Andy Polyakov*
4008
4009  * Montgomery multiplication may produce incorrect results
4010
4011    There is a carry propagating bug in the Broadwell-specific Montgomery
4012    multiplication procedure that handles input lengths divisible by, but
4013    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
4014    and DH private keys are impossible. This is because the subroutine in
4015    question is not used in operations with the private key itself and an input
4016    of the attacker's direct choice. Otherwise the bug can manifest itself as
4017    transient authentication and key negotiation failures or reproducible
4018    erroneous outcome of public-key operations with specially crafted input.
4019    Among EC algorithms only Brainpool P-512 curves are affected and one
4020    presumably can attack ECDH key negotiation. Impact was not analyzed in
4021    detail, because pre-requisites for attack are considered unlikely. Namely
4022    multiple clients have to choose the curve in question and the server has to
4023    share the private key among them, neither of which is default behaviour.
4024    Even then only clients that chose the curve will be affected.
4025
4026    This issue was publicly reported as transient failures and was not
4027    initially recognized as a security issue. Thanks to Richard Morgan for
4028    providing reproducible case.
4029    [CVE-2016-7055][]
4030
4031    *Andy Polyakov*
4032
4033  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
4034    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
4035    prevent issues where no progress is being made and the peer continually
4036    sends unrecognised record types, using up resources processing them.
4037
4038    *Matt Caswell*
4039
4040 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016]
4041
4042  * Missing CRL sanity check
4043
4044    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
4045    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
4046    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
4047
4048    This issue only affects the OpenSSL 1.0.2i
4049    [CVE-2016-7052][]
4050
4051    *Matt Caswell*
4052
4053 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016]
4054
4055  * OCSP Status Request extension unbounded memory growth
4056
4057    A malicious client can send an excessively large OCSP Status Request
4058    extension. If that client continually requests renegotiation, sending a
4059    large OCSP Status Request extension each time, then there will be unbounded
4060    memory growth on the server. This will eventually lead to a Denial Of
4061    Service attack through memory exhaustion. Servers with a default
4062    configuration are vulnerable even if they do not support OCSP. Builds using
4063    the "no-ocsp" build time option are not affected.
4064
4065    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4066    [CVE-2016-6304][]
4067
4068    *Matt Caswell*
4069
4070  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
4071    HIGH to MEDIUM.
4072
4073    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
4074    Leurent (INRIA)
4075    [CVE-2016-2183][]
4076
4077    *Rich Salz*
4078
4079  * OOB write in MDC2_Update()
4080
4081    An overflow can occur in MDC2_Update() either if called directly or
4082    through the EVP_DigestUpdate() function using MDC2. If an attacker
4083    is able to supply very large amounts of input data after a previous
4084    call to EVP_EncryptUpdate() with a partial block then a length check
4085    can overflow resulting in a heap corruption.
4086
4087    The amount of data needed is comparable to SIZE_MAX which is impractical
4088    on most platforms.
4089
4090    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4091    [CVE-2016-6303][]
4092
4093    *Stephen Henson*
4094
4095  * Malformed SHA512 ticket DoS
4096
4097    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4098    DoS attack where a malformed ticket will result in an OOB read which will
4099    ultimately crash.
4100
4101    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4102    a custom server callback and ticket lookup mechanism.
4103
4104    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4105    [CVE-2016-6302][]
4106
4107    *Stephen Henson*
4108
4109  * OOB write in BN_bn2dec()
4110
4111    The function BN_bn2dec() does not check the return value of BN_div_word().
4112    This can cause an OOB write if an application uses this function with an
4113    overly large BIGNUM. This could be a problem if an overly large certificate
4114    or CRL is printed out from an untrusted source. TLS is not affected because
4115    record limits will reject an oversized certificate before it is parsed.
4116
4117    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4118    [CVE-2016-2182][]
4119
4120    *Stephen Henson*
4121
4122  * OOB read in TS_OBJ_print_bio()
4123
4124    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4125    the total length the OID text representation would use and not the amount
4126    of data written. This will result in OOB reads when large OIDs are
4127    presented.
4128
4129    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4130    [CVE-2016-2180][]
4131
4132    *Stephen Henson*
4133
4134  * Pointer arithmetic undefined behaviour
4135
4136    Avoid some undefined pointer arithmetic
4137
4138    A common idiom in the codebase is to check limits in the following manner:
4139    "p + len > limit"
4140
4141    Where "p" points to some malloc'd data of SIZE bytes and
4142    limit == p + SIZE
4143
4144    "len" here could be from some externally supplied data (e.g. from a TLS
4145    message).
4146
4147    The rules of C pointer arithmetic are such that "p + len" is only well
4148    defined where len <= SIZE. Therefore the above idiom is actually
4149    undefined behaviour.
4150
4151    For example this could cause problems if some malloc implementation
4152    provides an address for "p" such that "p + len" actually overflows for
4153    values of len that are too big and therefore p + len < limit.
4154
4155    This issue was reported to OpenSSL by Guido Vranken
4156    [CVE-2016-2177][]
4157
4158    *Matt Caswell*
4159
4160  * Constant time flag not preserved in DSA signing
4161
4162    Operations in the DSA signing algorithm should run in constant time in
4163    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4164    implementation means that a non-constant time codepath is followed for
4165    certain operations. This has been demonstrated through a cache-timing
4166    attack to be sufficient for an attacker to recover the private DSA key.
4167
4168    This issue was reported by César Pereida (Aalto University), Billy Brumley
4169    (Tampere University of Technology), and Yuval Yarom (The University of
4170    Adelaide and NICTA).
4171    [CVE-2016-2178][]
4172
4173    *César Pereida*
4174
4175  * DTLS buffered message DoS
4176
4177    In a DTLS connection where handshake messages are delivered out-of-order
4178    those messages that OpenSSL is not yet ready to process will be buffered
4179    for later use. Under certain circumstances, a flaw in the logic means that
4180    those messages do not get removed from the buffer even though the handshake
4181    has been completed. An attacker could force up to approx. 15 messages to
4182    remain in the buffer when they are no longer required. These messages will
4183    be cleared when the DTLS connection is closed. The default maximum size for
4184    a message is 100k. Therefore the attacker could force an additional 1500k
4185    to be consumed per connection. By opening many simulataneous connections an
4186    attacker could cause a DoS attack through memory exhaustion.
4187
4188    This issue was reported to OpenSSL by Quan Luo.
4189    [CVE-2016-2179][]
4190
4191    *Matt Caswell*
4192
4193  * DTLS replay protection DoS
4194
4195    A flaw in the DTLS replay attack protection mechanism means that records
4196    that arrive for future epochs update the replay protection "window" before
4197    the MAC for the record has been validated. This could be exploited by an
4198    attacker by sending a record for the next epoch (which does not have to
4199    decrypt or have a valid MAC), with a very large sequence number. This means
4200    that all subsequent legitimate packets are dropped causing a denial of
4201    service for a specific DTLS connection.
4202
4203    This issue was reported to OpenSSL by the OCAP audit team.
4204    [CVE-2016-2181][]
4205
4206    *Matt Caswell*
4207
4208  * Certificate message OOB reads
4209
4210    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4211    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4212    theoretical DoS risk but this has not been observed in practice on common
4213    platforms.
4214
4215    The messages affected are client certificate, client certificate request
4216    and server certificate. As a result the attack can only be performed
4217    against a client or a server which enables client authentication.
4218
4219    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4220    [CVE-2016-6306][]
4221
4222    *Stephen Henson*
4223
4224 ### Changes between 1.0.2g and 1.0.2h [3 May 2016]
4225
4226  * Prevent padding oracle in AES-NI CBC MAC check
4227
4228    A MITM attacker can use a padding oracle attack to decrypt traffic
4229    when the connection uses an AES CBC cipher and the server support
4230    AES-NI.
4231
4232    This issue was introduced as part of the fix for Lucky 13 padding
4233    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4234    constant time by making sure that always the same bytes are read and
4235    compared against either the MAC or padding bytes. But it no longer
4236    checked that there was enough data to have both the MAC and padding
4237    bytes.
4238
4239    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4240    [CVE-2016-2107][]
4241
4242    *Kurt Roeckx*
4243
4244  * Fix EVP_EncodeUpdate overflow
4245
4246    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4247    Base64 encoding of binary data. If an attacker is able to supply very large
4248    amounts of input data then a length check can overflow resulting in a heap
4249    corruption.
4250
4251    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4252    the `PEM_write_bio*` family of functions. These are mainly used within the
4253    OpenSSL command line applications, so any application which processes data
4254    from an untrusted source and outputs it as a PEM file should be considered
4255    vulnerable to this issue. User applications that call these APIs directly
4256    with large amounts of untrusted data may also be vulnerable.
4257
4258    This issue was reported by Guido Vranken.
4259    [CVE-2016-2105][]
4260
4261    *Matt Caswell*
4262
4263  * Fix EVP_EncryptUpdate overflow
4264
4265    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4266    is able to supply very large amounts of input data after a previous call to
4267    EVP_EncryptUpdate() with a partial block then a length check can overflow
4268    resulting in a heap corruption. Following an analysis of all OpenSSL
4269    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4270    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4271    the first called function after an EVP_EncryptInit(), and therefore that
4272    specific call must be safe. The second form is where the length passed to
4273    EVP_EncryptUpdate() can be seen from the code to be some small value and
4274    therefore there is no possibility of an overflow. Since all instances are
4275    one of these two forms, it is believed that there can be no overflows in
4276    internal code due to this problem. It should be noted that
4277    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4278    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4279    of these calls have also been analysed too and it is believed there are no
4280    instances in internal usage where an overflow could occur.
4281
4282    This issue was reported by Guido Vranken.
4283    [CVE-2016-2106][]
4284
4285    *Matt Caswell*
4286
4287  * Prevent ASN.1 BIO excessive memory allocation
4288
4289    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4290    a short invalid encoding can cause allocation of large amounts of memory
4291    potentially consuming excessive resources or exhausting memory.
4292
4293    Any application parsing untrusted data through d2i BIO functions is
4294    affected. The memory based functions such as d2i_X509() are *not* affected.
4295    Since the memory based functions are used by the TLS library, TLS
4296    applications are not affected.
4297
4298    This issue was reported by Brian Carpenter.
4299    [CVE-2016-2109][]
4300
4301    *Stephen Henson*
4302
4303  * EBCDIC overread
4304
4305    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4306    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4307    in arbitrary stack data being returned in the buffer.
4308
4309    This issue was reported by Guido Vranken.
4310    [CVE-2016-2176][]
4311
4312    *Matt Caswell*
4313
4314  * Modify behavior of ALPN to invoke callback after SNI/servername
4315    callback, such that updates to the SSL_CTX affect ALPN.
4316
4317    *Todd Short*
4318
4319  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4320    default.
4321
4322    *Kurt Roeckx*
4323
4324  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4325    methods are enabled and ssl2 is disabled the methods return NULL.
4326
4327    *Kurt Roeckx*
4328
4329 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016]
4330
4331 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4332   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4333   provide any "EXPORT" or "LOW" strength ciphers.
4334
4335   *Viktor Dukhovni*
4336
4337 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4338   is by default disabled at build-time.  Builds that are not configured with
4339   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4340   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4341   will need to explicitly call either of:
4342
4343       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4344   or
4345       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4346
4347   as appropriate.  Even if either of those is used, or the application
4348   explicitly uses the version-specific SSLv2_method() or its client and
4349   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4350   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4351   ciphers, and SSLv2 56-bit DES are no longer available.
4352   [CVE-2016-0800][]
4353
4354    *Viktor Dukhovni*
4355
4356  * Fix a double-free in DSA code
4357
4358    A double free bug was discovered when OpenSSL parses malformed DSA private
4359    keys and could lead to a DoS attack or memory corruption for applications
4360    that receive DSA private keys from untrusted sources.  This scenario is
4361    considered rare.
4362
4363    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4364    libFuzzer.
4365    [CVE-2016-0705][]
4366
4367    *Stephen Henson*
4368
4369  * Disable SRP fake user seed to address a server memory leak.
4370
4371    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4372
4373    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4374    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4375    was changed to ignore the "fake user" SRP seed, even if the seed
4376    is configured.
4377
4378    Users should use SRP_VBASE_get1_by_user instead. Note that in
4379    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4380    also that even though configuring the SRP seed attempts to hide
4381    invalid usernames by continuing the handshake with fake
4382    credentials, this behaviour is not constant time and no strong
4383    guarantees are made that the handshake is indistinguishable from
4384    that of a valid user.
4385    [CVE-2016-0798][]
4386
4387    *Emilia Käsper*
4388
4389  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4390
4391    In the BN_hex2bn function the number of hex digits is calculated using an
4392    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4393    large values of |i| this can result in |bn_expand| not allocating any
4394    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4395    field as NULL leading to a subsequent NULL ptr deref. For very large values
4396    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4397    In this case memory is allocated to the internal BIGNUM data field, but it
4398    is insufficiently sized leading to heap corruption. A similar issue exists
4399    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4400    is ever called by user applications with very large untrusted hex/dec data.
4401    This is anticipated to be a rare occurrence.
4402
4403    All OpenSSL internal usage of these functions use data that is not expected
4404    to be untrusted, e.g. config file data or application command line
4405    arguments. If user developed applications generate config file data based
4406    on untrusted data then it is possible that this could also lead to security
4407    consequences. This is also anticipated to be rare.
4408
4409    This issue was reported to OpenSSL by Guido Vranken.
4410    [CVE-2016-0797][]
4411
4412    *Matt Caswell*
4413
4414  * Fix memory issues in `BIO_*printf` functions
4415
4416    The internal |fmtstr| function used in processing a "%s" format string in
4417    the `BIO_*printf` functions could overflow while calculating the length of a
4418    string and cause an OOB read when printing very long strings.
4419
4420    Additionally the internal |doapr_outch| function can attempt to write to an
4421    OOB memory location (at an offset from the NULL pointer) in the event of a
4422    memory allocation failure. In 1.0.2 and below this could be caused where
4423    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4424    could be in processing a very long "%s" format string. Memory leaks can
4425    also occur.
4426
4427    The first issue may mask the second issue dependent on compiler behaviour.
4428    These problems could enable attacks where large amounts of untrusted data
4429    is passed to the `BIO_*printf` functions. If applications use these functions
4430    in this way then they could be vulnerable. OpenSSL itself uses these
4431    functions when printing out human-readable dumps of ASN.1 data. Therefore
4432    applications that print this data could be vulnerable if the data is from
4433    untrusted sources. OpenSSL command line applications could also be
4434    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4435    as command line arguments.
4436
4437    Libssl is not considered directly vulnerable. Additionally certificates etc
4438    received via remote connections via libssl are also unlikely to be able to
4439    trigger these issues because of message size limits enforced within libssl.
4440
4441    This issue was reported to OpenSSL Guido Vranken.
4442    [CVE-2016-0799][]
4443
4444    *Matt Caswell*
4445
4446  * Side channel attack on modular exponentiation
4447
4448    A side-channel attack was found which makes use of cache-bank conflicts on
4449    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4450    of RSA keys.  The ability to exploit this issue is limited as it relies on
4451    an attacker who has control of code in a thread running on the same
4452    hyper-threaded core as the victim thread which is performing decryptions.
4453
4454    This issue was reported to OpenSSL by Yuval Yarom, The University of
4455    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4456    Nadia Heninger, University of Pennsylvania with more information at
4457    <http://cachebleed.info>.
4458    [CVE-2016-0702][]
4459
4460    *Andy Polyakov*
4461
4462  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4463    if no keysize is specified with default_bits. This fixes an
4464    omission in an earlier change that changed all RSA/DSA key generation
4465    apps to use 2048 bits by default.
4466
4467    *Emilia Käsper*
4468
4469 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016]
4470
4471  * DH small subgroups
4472
4473    Historically OpenSSL only ever generated DH parameters based on "safe"
4474    primes. More recently (in version 1.0.2) support was provided for
4475    generating X9.42 style parameter files such as those required for RFC 5114
4476    support. The primes used in such files may not be "safe". Where an
4477    application is using DH configured with parameters based on primes that are
4478    not "safe" then an attacker could use this fact to find a peer's private
4479    DH exponent. This attack requires that the attacker complete multiple
4480    handshakes in which the peer uses the same private DH exponent. For example
4481    this could be used to discover a TLS server's private DH exponent if it's
4482    reusing the private DH exponent or it's using a static DH ciphersuite.
4483
4484    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4485    TLS. It is not on by default. If the option is not set then the server
4486    reuses the same private DH exponent for the life of the server process and
4487    would be vulnerable to this attack. It is believed that many popular
4488    applications do set this option and would therefore not be at risk.
4489
4490    The fix for this issue adds an additional check where a "q" parameter is
4491    available (as is the case in X9.42 based parameters). This detects the
4492    only known attack, and is the only possible defense for static DH
4493    ciphersuites. This could have some performance impact.
4494
4495    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
4496    default and cannot be disabled. This could have some performa