8f7d7ee1958dd49561f1c86e23bda899523fd459
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10
11 OpenSSL Releases
12 ----------------
13
14  - [OpenSSL 3.0](#openssl-30)
15  - [OpenSSL 1.1.1](#openssl-111)
16  - [OpenSSL 1.1.0](#openssl-110)
17  - [OpenSSL 1.0.2](#openssl-102)
18  - [OpenSSL 1.0.1](#openssl-101)
19  - [OpenSSL 1.0.0](#openssl-100)
20  - [OpenSSL 0.9.x](#openssl-09x)
21
22 OpenSSL 3.0
23 -----------
24
25 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx] ###
26
27  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
28    arrays to be more easily constructed via a series of utility functions.
29    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
30    the various push functions and finally convert to a passable OSSL_PARAM
31    array using OSSL_PARAM_BLD_to_param().
32
33    * Paul Dale *
34
35  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
36    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
37    internal keys, if they correspond to one of those built in types.
38
39    *Richard Levitte*
40
41  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
42    contain a provider side internal key.
43
44    *Richard Levitte*
45
46  * `ASN1_verify()`, `ASN1_digest()` and `ASN1_sign()` have been deprecated.
47    They are old functions that we don't use, and that you could disable with
48    the macro `NO_ASN1_OLD`.  This goes all the way back to OpenSSL 0.9.7.
49
50    *Richard Levitte*
51
52  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
53    have been converted to Markdown with the goal to produce documents
54    which not only look pretty when viewed online in the browser, but
55    remain well readable inside a plain text editor.
56
57    To achieve this goal, a 'minimalistic' Markdown style has been applied
58    which avoids formatting elements that interfere too much with the
59    reading flow in the text file. For example, it
60
61    * avoids [ATX headings][] and uses [setext headings][] instead
62      (which works for `<h1>` and `<h2>` headings only).
63    * avoids [inline links][] and uses [reference links][] instead.
64    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
65
66      [ATX headings]:         https://github.github.com/gfm/#atx-headings
67      [setext headings]:      https://github.github.com/gfm/#setext-headings
68      [inline links]:         https://github.github.com/gfm/#inline-link
69      [reference links]:      https://github.github.com/gfm/#reference-link
70      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
71      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
72
73    *Matthias St. Pierre*
74
75
76  * The test suite is changed to preserve results of each test recipe.
77    A new directory test-runs/ with subdirectories named like the
78    test recipes are created in the build tree for this purpose.
79
80    *Richard Levitte*
81
82  * The command line utilities ecparam and ec have been deprecated.  Instead
83    use the pkeyparam, pkey and genpkey programs.
84
85    *Paul Dale*
86
87  * All of the low level RSA functions have been deprecated including:
88
89    RSA_new_method, RSA_bits, RSA_size, RSA_security_bits,
90    RSA_get0_pss_params, RSA_get_version, RSA_get0_engine,
91    RSA_generate_key_ex, RSA_generate_multi_prime_key,
92    RSA_X931_derive_ex, RSA_X931_generate_key_ex, RSA_check_key,
93    RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
94    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
95    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
96    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
97    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING,
98    RSA_blinding_on, RSA_blinding_off, RSA_setup_blinding,
99    RSA_padding_add_PKCS1_type_1, RSA_padding_check_PKCS1_type_1,
100    RSA_padding_add_PKCS1_type_2, RSA_padding_check_PKCS1_type_2,
101    PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP, RSA_padding_check_PKCS1_OAEP,
102    RSA_padding_add_PKCS1_OAEP_mgf1, RSA_padding_check_PKCS1_OAEP_mgf1,
103    RSA_padding_add_SSLv23, RSA_padding_check_SSLv23,
104    RSA_padding_add_none, RSA_padding_check_none, RSA_padding_add_X931,
105    RSA_padding_check_X931, RSA_X931_hash_id, RSA_verify_PKCS1_PSS,
106    RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
107    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
108    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
109    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
110    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
111    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
112    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
113    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
114    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
115    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
116    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
117    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
118    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
119
120    Use of these low level functions has been informally discouraged for a long
121    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
122    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
123    L<EVP_PKEY_decrypt(3)>.
124
125    *Paul Dale*
126
127  * X509 certificates signed using SHA1 are no longer allowed at security
128    level 1 and above.
129    In TLS/SSL the default security level is 1. It can be set either
130    using the cipher string with @SECLEVEL, or calling
131    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
132    a call to SSL_CTX_use_certificate() will fail if the security level is not
133    lowered first.
134    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
135    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
136    options of the apps.
137
138    *Kurt Roeckx*
139
140  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
141    deprecated.  Instead use the pkeyparam, pkey, genpkey and pkeyparam
142    programs respectively.
143
144    *Paul Dale*
145
146  * All of the low level DH functions have been deprecated including:
147
148    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
149    DH_new_method, DH_bits, DH_size, DH_security_bits, DH_get_ex_new_index,
150    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
151    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
152    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
153    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
154    DH_KDF_X9_42, DH_get0_engine, DH_get_length, DH_set_length, DH_meth_new,
155    DH_meth_free, DH_meth_dup, DH_meth_get0_name, DH_meth_set1_name,
156    DH_meth_get_flags, DH_meth_set_flags, DH_meth_get0_app_data,
157    DH_meth_set0_app_data, DH_meth_get_generate_key,
158    DH_meth_set_generate_key, DH_meth_get_compute_key,
159    DH_meth_set_compute_key, DH_meth_get_bn_mod_exp,
160    DH_meth_set_bn_mod_exp, DH_meth_get_init, DH_meth_set_init,
161    DH_meth_get_finish, DH_meth_set_finish, DH_meth_get_generate_params
162    and DH_meth_set_generate_params.
163
164    Use of these low level functions has been informally discouraged for a long
165    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
166    and L<EVP_PKEY_derive(3)>.
167
168    *Paul Dale*
169
170  * All of the low level DSA functions have been deprecated including:
171
172    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
173    DSA_get_default_method, DSA_set_method, DSA_get_method, DSA_new_method,
174    DSA_sign_setup, DSA_sign, DSA_verify, DSA_get_ex_new_index,
175    DSA_set_ex_data, DSA_get_ex_data, DSA_generate_parameters_ex,
176    DSA_generate_key, DSA_meth_new, DSA_get0_engine, DSA_meth_free,
177    DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name, DSA_meth_get_flags,
178    DSA_meth_set_flags, DSA_meth_get0_app_data, DSA_meth_set0_app_data,
179    DSA_meth_get_sign, DSA_meth_set_sign, DSA_meth_get_sign_setup,
180    DSA_meth_set_sign_setup, DSA_meth_get_verify, DSA_meth_set_verify,
181    DSA_meth_get_mod_exp, DSA_meth_set_mod_exp, DSA_meth_get_bn_mod_exp,
182    DSA_meth_set_bn_mod_exp, DSA_meth_get_init, DSA_meth_set_init,
183    DSA_meth_get_finish, DSA_meth_set_finish, DSA_meth_get_paramgen,
184    DSA_meth_set_paramgen, DSA_meth_get_keygen and DSA_meth_set_keygen.
185
186    Use of these low level functions has been informally discouraged for a long
187    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
188    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
189
190    *Paul Dale*
191
192  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
193    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
194    This means that applications don't have to look at the curve NID and
195    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
196    However, they still can, that EVP_PKEY_set_alias_type() call acts as
197    a no-op when the EVP_PKEY is already of the given type.
198
199    Parameter and key generation is also reworked to make it possible
200    to generate EVP_PKEY_SM2 parameters and keys without having to go
201    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
202    However, code that does the latter will still work as before.
203
204    *Richard Levitte*
205
206  * Deprecated low level ECDH and ECDSA functions.  These include:
207
208    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
209    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
210    ECDSA_size.
211
212    Use of these low level functions has been informally discouraged for a long
213    time.  Instead applications should use the EVP_PKEY_derive(3),
214    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
215
216    *Paul Dale*
217
218  * Deprecated the EC_KEY_METHOD functions.  These include:
219
220    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
221    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
222    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
223    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
224    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
225    EC_KEY_METHOD_get_verify.
226
227    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
228
229    *Paul Dale*
230
231  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
232    and EVP_PKEY_decrypt() instead.
233    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
234    and EVP_PKEY_encrypt() instead.
235
236    *Richard Levitte*
237
238  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
239    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
240    a new formulation to include all the things it can be used for,
241    as well as words of caution.
242
243    *Richard Levitte*
244
245  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
246    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
247
248    *Paul Dale*
249
250  * All of the low level HMAC functions have been deprecated including:
251
252    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
253    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
254    and HMAC_CTX_get_md.
255
256    Use of these low level functions has been informally discouraged for a long
257    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
258    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
259    and L<EVP_MAC_final(3)>.
260
261    *Paul Dale*
262
263  * Over two thousand fixes were made to the documentation, including:
264    - Common options (such as -rand/-writerand, TLS version control, etc)
265      were refactored and point to newly-enhanced descriptions in openssl.pod.
266    - Added style conformance for all options (with help from Richard Levitte),
267      documented all reported missing options, added a CI build to check
268      that all options are documented and that no unimplemented options
269      are documented.
270    - Documented some internals, such as all use of environment variables.
271    - Addressed all internal broken L<> references.
272
273    *Rich Salz*
274
275  * All of the low level CMAC functions have been deprecated including:
276
277    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
278    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
279
280    Use of these low level functions has been informally discouraged for a long
281    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
282    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
283    and L<EVP_MAC_final(3)>.
284
285    *Paul Dale*
286
287  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
288    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
289    These include:
290
291    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
292    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
293    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
294    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
295    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
296    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
297    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
298    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
299    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
300    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
301
302    Use of these low level functions has been informally discouraged
303    for a long time.  Applications should use the EVP_DigestInit_ex(3),
304    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
305
306    *Paul Dale*
307
308  * Corrected the documentation of the return values from the EVP_DigestSign*
309    set of functions.  The documentation mentioned negative values for some
310    errors, but this was never the case, so the mention of negative values
311    was removed.
312
313    Code that followed the documentation and thereby check with something
314    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
315
316    *Richard Levitte*
317
318  * All of the low level cipher functions have been deprecated including:
319
320    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
321    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
322    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
323    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
324    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
325    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
326    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
327    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
328    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
329    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
330    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
331    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
332    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
333    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
334    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
335    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
336    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
337    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
338    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
339    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
340    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
341    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
342    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
343    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
344    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
345    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
346    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
347    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
348    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
349
350    Use of these low level functions has been informally discouraged for
351    a long time. Applications should use the high level EVP APIs, e.g.
352    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
353    equivalently named decrypt functions instead.
354
355    *Matt Caswell and Paul Dale*
356
357  * Removed include/openssl/opensslconf.h.in and replaced it with
358    include/openssl/configuration.h.in, which differs in not including
359    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
360    was added to include both.
361
362    This allows internal hacks where one might need to modify the set
363    of configured macros, for example this if deprecated symbols are
364    still supposed to be available internally:
365
366        #include <openssl/configuration.h>
367
368        #undef OPENSSL_NO_DEPRECATED
369        #define OPENSSL_SUPPRESS_DEPRECATED
370
371        #include <openssl/macros.h>
372
373    This should not be used by applications that use the exported
374    symbols, as that will lead to linking errors.
375
376    *Richard Levitte*
377
378  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
379    used in exponentiation with 512-bit moduli. No EC algorithms are
380    affected. Analysis suggests that attacks against 2-prime RSA1024,
381    3-prime RSA1536, and DSA1024 as a result of this defect would be very
382    difficult to perform and are not believed likely. Attacks against DH512
383    are considered just feasible. However, for an attack the target would
384    have to re-use the DH512 private key, which is not recommended anyway.
385    Also applications directly using the low level API BN_mod_exp may be
386    affected if they use BN_FLG_CONSTTIME.
387    [CVE-2019-1551][]
388
389    *Andy Polyakov*
390
391  * Most memory-debug features have been deprecated, and the functionality
392    replaced with no-ops.
393
394    *Rich Salz*
395
396  * Introduced a new method type and API, OSSL_SERIALIZER, to
397    represent generic serializers.  An implementation is expected to
398    be able to serialize an object associated with a given name (such
399    as an algorithm name for an asymmetric key) into forms given by
400    implementation properties.
401
402    Serializers are primarily used from inside libcrypto, through
403    calls to functions like EVP_PKEY_print_private(),
404    PEM_write_bio_PrivateKey() and similar.
405
406    Serializers are specified in such a way that they can be made to
407    directly handle the provider side portion of an object, if this
408    provider side part comes from the same provider as the serializer
409    itself, but can also be made to handle objects in parametrized
410    form (as an OSSL_PARAM array of data).  This allows a provider to
411    offer generic serializers as a service for any other provider.
412
413    *Richard Levitte*
414
415  * Added a .pragma directive to the syntax of configuration files, to
416    allow varying behavior in a supported and predictable manner.
417    Currently added pragma:
418
419            .pragma dollarid:on
420
421    This allows dollar signs to be a keyword character unless it's
422    followed by a opening brace or parenthesis.  This is useful for
423    platforms where dollar signs are commonly used in names, such as
424    volume names and system directory names on VMS.
425
426    *Richard Levitte*
427
428  * Added functionality to create an EVP_PKEY from user data.  This
429    is effectively the same as creating a RSA, DH or DSA object and
430    then assigning them to an EVP_PKEY, but directly using algorithm
431    agnostic EVP functions.  A benefit is that this should be future
432    proof for public key algorithms to come.
433
434    *Richard Levitte*
435
436  * Change the interpretation of the '--api' configuration option to
437    mean that this is a desired API compatibility level with no
438    further meaning.  The previous interpretation, that this would
439    also mean to remove all deprecated symbols up to and including
440    the given version, no requires that 'no-deprecated' is also used
441    in the configuration.
442
443    When building applications, the desired API compatibility level
444    can be set with the OPENSSL_API_COMPAT macro like before.  For
445    API compatibility version below 3.0, the old style numerical
446    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
447    For version 3.0 and on, the value is expected to be the decimal
448    value calculated from the major and minor version like this:
449
450            MAJOR * 10000 + MINOR * 100
451
452    Examples:
453
454            -DOPENSSL_API_COMPAT=30000             For 3.0
455            -DOPENSSL_API_COMPAT=30200             For 3.2
456
457    To hide declarations that are deprecated up to and including the
458    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
459    given when building the application as well.
460
461    *Richard Levitte*
462
463  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
464    access to certificate and CRL stores via URIs and OSSL_STORE
465    loaders.
466
467    This adds the following functions:
468
469    - X509_LOOKUP_store()
470    - X509_STORE_load_file()
471    - X509_STORE_load_path()
472    - X509_STORE_load_store()
473    - SSL_add_store_cert_subjects_to_stack()
474    - SSL_CTX_set_default_verify_store()
475    - SSL_CTX_load_verify_file()
476    - SSL_CTX_load_verify_dir()
477    - SSL_CTX_load_verify_store()
478
479    Also, the following functions are now deprecated:
480
481    - X509_STORE_load_locations() (use X509_STORE_load_file(),
482      X509_STORE_load_path() or X509_STORE_load_store() instead)
483    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
484      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
485
486    *Richard Levitte*
487
488  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
489    The presence of this system service is determined at run-time.
490
491    *Richard Levitte*
492
493  * Added functionality to create an EVP_PKEY context based on data
494    for methods from providers.  This takes an algorithm name and a
495    property query string and simply stores them, with the intent
496    that any operation that uses this context will use those strings
497    to fetch the needed methods implicitly, thereby making the port
498    of application written for pre-3.0 OpenSSL easier.
499
500    *Richard Levitte*
501
502  * The undocumented function NCONF_WIN32() has been deprecated; for
503    conversion details see the HISTORY section of doc/man5/config.pod
504
505    *Rich Salz*
506
507  * Introduced the new functions EVP_DigestSignInit_ex() and
508    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
509    EVP_DigestVerifyUpdate() have been converted to functions. See the man
510    pages for further details.
511
512    *Matt Caswell*
513
514  * Over two thousand fixes were made to the documentation, including:
515    adding missing command flags, better style conformance, documentation
516    of internals, etc.
517
518    *Rich Salz, Richard Levitte*
519
520  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
521    X25519, X448, Ed25519 and Ed448.
522
523    *Patrick Steuer*
524
525  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
526    the first value.
527
528    *Jon Spillett*
529
530  * Deprecated the public definition of ERR_STATE as well as the function
531    ERR_get_state().  This is done in preparation of making ERR_STATE an
532    opaque type.
533
534    *Richard Levitte*
535
536  * Added ERR functionality to give callers access to the stored function
537    names that have replaced the older function code based functions.
538
539    New functions are ERR_get_error_func(), ERR_peek_error_func(),
540    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
541    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
542    and ERR_peek_last_error_all().
543
544    These functions have become deprecated: ERR_get_error_line_data(),
545    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
546    ERR_func_error_string().
547
548    *Richard Levitte*
549
550  * Extended testing to be verbose for failing tests only.  The make variables
551    VERBOSE_FAILURE or VF can be used to enable this:
552
553            $ make VF=1 test                           # Unix
554            $ mms /macro=(VF=1) test                   ! OpenVMS
555            $ nmake VF=1 test                          # Windows
556
557
558    *Richard Levitte*
559
560  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
561    used even when parsing explicit parameters, when loading a serialized key
562    or calling `EC_GROUP_new_from_ecpkparameters()`/
563    `EC_GROUP_new_from_ecparameters()`.
564    This prevents bypass of security hardening and performance gains,
565    especially for curves with specialized EC_METHODs.
566    By default, if a key encoded with explicit parameters is loaded and later
567    serialized, the output is still encoded with explicit parameters, even if
568    internally a "named" EC_GROUP is used for computation.
569
570    *Nicola Tuveri*
571
572  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
573    this change, EC_GROUP_set_generator would accept order and/or cofactor as
574    NULL. After this change, only the cofactor parameter can be NULL. It also
575    does some minimal sanity checks on the passed order.
576    [CVE-2019-1547][]
577
578    *Billy Bob Brumley*
579
580  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
581    An attack is simple, if the first CMS_recipientInfo is valid but the
582    second CMS_recipientInfo is chosen ciphertext. If the second
583    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
584    encryption key will be replaced by garbage, and the message cannot be
585    decoded, but if the RSA decryption fails, the correct encryption key is
586    used and the recipient will not notice the attack.
587    As a work around for this potential attack the length of the decrypted
588    key must be equal to the cipher default key length, in case the
589    certifiate is not given and all recipientInfo are tried out.
590    The old behaviour can be re-enabled in the CMS code by setting the
591    CMS_DEBUG_DECRYPT flag.
592
593    *Bernd Edlinger*
594
595  * Early start up entropy quality from the DEVRANDOM seed source has been
596    improved for older Linux systems.  The RAND subsystem will wait for
597    /dev/random to be producing output before seeding from /dev/urandom.
598    The seeded state is stored for future library initialisations using
599    a system global shared memory segment.  The shared memory identifier
600    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
601    the desired value.  The default identifier is 114.
602
603    *Paul Dale*
604
605  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
606    when primes for RSA keys are computed.
607    Since we previously always generated primes == 2 (mod 3) for RSA keys,
608    the 2-prime and 3-prime RSA modules were easy to distinguish, since
609    N = p*q = 1 (mod 3), but N = p*q*r = 2 (mod 3). Therefore fingerprinting
610    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
611    This avoids possible fingerprinting of newly generated RSA modules.
612
613    *Bernd Edlinger*
614
615  * Correct the extended master secret constant on EBCDIC systems. Without this
616    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
617    negotiate EMS will fail. Unfortunately this also means that TLS connections
618    between EBCDIC systems with this fix, and EBCDIC systems without this
619    fix will fail if they negotiate EMS.
620
621    *Matt Caswell*
622
623  * Changed the library initialisation so that the config file is now loaded
624    by default. This was already the case for libssl. It now occurs for both
625    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
626    OPENSSL_init_crypto() to suppress automatic loading of a config file.
627
628    *Matt Caswell*
629
630  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
631    where the former acts as a replacement for ERR_put_error(), and the
632    latter replaces the combination ERR_put_error()+ERR_add_error_data().
633    ERR_raise_data() adds more flexibility by taking a format string and
634    an arbitrary number of arguments following it, to be processed with
635    BIO_snprintf().
636
637    *Richard Levitte*
638
639  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
640    to check if a named provider is loaded and available.  When called, it
641    will also activate all fallback providers if such are still present.
642
643    *Richard Levitte*
644
645  * Enforce a minimum DH modulus size of 512 bits.
646
647    *Bernd Edlinger*
648
649  * Changed DH parameters to generate the order q subgroup instead of 2q.
650    Previously generated DH parameters are still accepted by DH_check
651    but DH_generate_key works around that by clearing bit 0 of the
652    private key for those. This avoids leaking bit 0 of the private key.
653
654    *Bernd Edlinger*
655
656  * Significantly reduce secure memory usage by the randomness pools.
657
658    *Paul Dale*
659
660  * {CRYPTO,OPENSSL}_mem_debug_{push,pop} are now no-ops and have been
661    deprecated.
662
663    *Rich Salz*
664
665  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
666    algorithms. An implementation of a key exchange algorithm can be obtained
667    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
668    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
669    the older EVP_PKEY_derive_init() function. See the man pages for the new
670    functions for further details.
671
672    *Matt Caswell*
673
674  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
675
676    *Matt Caswell*
677
678  * Removed the function names from error messages and deprecated the
679    xxx_F_xxx define's.
680
681  * Removed NextStep support and the macro OPENSSL_UNISTD
682
683    *Rich Salz*
684
685  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
686    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
687    Also removed "export var as function" capability; we do not export
688    variables, only functions.
689
690    *Rich Salz*
691
692  * RC5_32_set_key has been changed to return an int type, with 0 indicating
693    an error and 1 indicating success. In previous versions of OpenSSL this
694    was a void type. If a key was set longer than the maximum possible this
695    would crash.
696
697    *Matt Caswell*
698
699  * Support SM2 signing and verification schemes with X509 certificate.
700
701    *Paul Yang*
702
703  * Use SHA256 as the default digest for TS query in the ts app.
704
705    *Tomas Mraz*
706
707  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
708    This checks that the salt length is at least 128 bits, the derived key
709    length is at least 112 bits, and that the iteration count is at least 1000.
710    For backwards compatibility these checks are disabled by default in the
711    default provider, but are enabled by default in the fips provider.
712    To enable or disable these checks use the control
713    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
714
715    *Shane Lontis*
716
717  * Default cipher lists/suites are now available via a function, the
718    #defines are deprecated.
719
720    *Todd Short*
721
722  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
723    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
724    for Windows Store apps easier. Also, the "no-uplink" option has been added.
725
726    *Kenji Mouri*
727
728  * Join the directories crypto/x509 and crypto/x509v3
729
730    *Richard Levitte*
731
732  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
733    This changes the size when using the genpkey app when no size is given. It
734    fixes an omission in earlier changes that changed all RSA, DSA and DH
735    generation apps to use 2048 bits by default.
736
737    *Kurt Roeckx*
738
739  * Added command 'openssl kdf' that uses the EVP_KDF API.
740
741    *Shane Lontis*
742
743  * Added command 'openssl mac' that uses the EVP_MAC API.
744
745    *Shane Lontis*
746
747  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
748    as default directories.  Also added the command 'openssl info'
749    for scripting purposes.
750
751    *Richard Levitte*
752
753  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
754    deprecated. These undocumented functions were never integrated into the EVP
755    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
756    Bi-directional IGE mode. These modes were never formally standardised and
757    usage of these functions is believed to be very small. In particular
758    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
759    is ever used. The security implications are believed to be minimal, but
760    this issue was never fixed for backwards compatibility reasons. New code
761    should not use these modes.
762
763    *Matt Caswell*
764
765  * Add prediction resistance to the DRBG reseeding process.
766
767    *Paul Dale*
768
769  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
770    mandated by IEEE Std 1619-2018.
771
772    *Paul Dale*
773
774  * Added newline escaping functionality to a filename when using openssl dgst.
775    This output format is to replicate the output format found in the '*sum'
776    checksum programs. This aims to preserve backward compatibility.
777
778    *Matt Eaton, Richard Levitte, and Paul Dale*
779
780  * Removed the heartbeat message in DTLS feature, as it has very
781    little usage and doesn't seem to fulfill a valuable purpose.
782    The configuration option is now deprecated.
783
784    *Richard Levitte*
785
786  * Changed the output of 'openssl {digestname} < file' to display the
787    digest name in its output.
788
789    *Richard Levitte*
790
791  * Added a new generic trace API which provides support for enabling
792    instrumentation through trace output. This feature is mainly intended
793    as an aid for developers and is disabled by default. To utilize it,
794    OpenSSL needs to be configured with the `enable-trace` option.
795
796    If the tracing API is enabled, the application can activate trace output
797    by registering BIOs as trace channels for a number of tracing and debugging
798    categories.
799
800    The 'openssl' application has been expanded to enable any of the types
801    available via environment variables defined by the user, and serves as
802    one possible example on how to use this functionality.
803
804    *Richard Levitte & Matthias St. Pierre*
805
806  * Added build tests for C++.  These are generated files that only do one
807    thing, to include one public OpenSSL head file each.  This tests that
808    the public header files can be usefully included in a C++ application.
809
810    This test isn't enabled by default.  It can be enabled with the option
811    'enable-buildtest-c++'.
812
813    *Richard Levitte*
814
815  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
816
817    *Shane Lontis*
818
819  * Add KMAC to EVP_MAC.
820
821    *Shane Lontis*
822
823  * Added property based algorithm implementation selection framework to
824    the core.
825
826    *Paul Dale*
827
828  * Added SCA hardening for modular field inversion in EC_GROUP through
829    a new dedicated field_inv() pointer in EC_METHOD.
830    This also addresses a leakage affecting conversions from projective
831    to affine coordinates.
832
833    *Billy Bob Brumley, Nicola Tuveri*
834
835  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
836    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
837    those algorithms that were already supported through the EVP_PKEY API
838    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
839    and scrypt are now wrappers that call EVP_KDF.
840
841    *David Makepeace*
842
843  * Build devcrypto engine as a dynamic engine.
844
845    *Eneas U de Queiroz*
846
847  * Add keyed BLAKE2 to EVP_MAC.
848
849    *Antoine Salon*
850
851  * Fix a bug in the computation of the endpoint-pair shared secret used
852    by DTLS over SCTP. This breaks interoperability with older versions
853    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
854    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
855    interoperability with such broken implementations. However, enabling
856    this switch breaks interoperability with correct implementations.
857
858  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
859    re-used X509_PUBKEY object if the second PUBKEY is malformed.
860
861    *Bernd Edlinger*
862
863  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
864
865    *Richard Levitte*
866
867  * Change the license to the Apache License v2.0.
868
869    *Richard Levitte*
870
871  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
872
873    - Major releases (indicated by incrementing the MAJOR release number)
874      may introduce incompatible API/ABI changes.
875    - Minor releases (indicated by incrementing the MINOR release number)
876      may introduce new features but retain API/ABI compatibility.
877    - Patch releases (indicated by incrementing the PATCH number)
878      are intended for bug fixes and other improvements of existing
879      features only (like improving performance or adding documentation)
880      and retain API/ABI compatibility.
881
882    *Richard Levitte*
883
884  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
885
886    *Todd Short*
887
888  * Remove the 'dist' target and add a tarball building script.  The
889    'dist' target has fallen out of use, and it shouldn't be
890    necessary to configure just to create a source distribution.
891
892    *Richard Levitte*
893
894  * Recreate the OS390-Unix config target.  It no longer relies on a
895    special script like it did for OpenSSL pre-1.1.0.
896
897    *Richard Levitte*
898
899  * Instead of having the source directories listed in Configure, add
900    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
901    look into.
902
903    *Richard Levitte*
904
905  * Add GMAC to EVP_MAC.
906
907    *Paul Dale*
908
909  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
910
911    *Richard Levitte*
912
913  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
914    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
915    to facilitate the continued use of MACs through raw private keys in
916    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
917
918    *Richard Levitte*
919
920  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
921    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
922
923    *Antoine Salon*
924
925  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
926    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
927    are retained for backwards compatibility.
928
929    *Antoine Salon*
930
931  * AES-XTS mode now enforces that its two keys are different to mitigate
932    the attacked described in "Efficient Instantiations of Tweakable
933    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
934    Details of this attack can be obtained from:
935    http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf
936
937    *Paul Dale*
938
939  * Rename the object files, i.e. give them other names than in previous
940    versions.  Their names now include the name of the final product, as
941    well as its type mnemonic (bin, lib, shlib).
942
943    *Richard Levitte*
944
945  * Added new option for 'openssl list', '-objects', which will display the
946    list of built in objects, i.e. OIDs with names.
947
948    *Richard Levitte*
949
950  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
951    improves application performance by removing data copies and providing
952    applications with zero-copy system calls such as sendfile and splice.
953
954    *Boris Pismenny*
955
956
957 OpenSSL 1.1.1
958 -------------
959
960 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx] ###
961
962
963 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020] ###
964
965  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
966    while reading in libssl then we would report an error back to the
967    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
968    an error to the stack (which means we instead return SSL_ERROR_SSL) and
969    therefore give a hint as to what went wrong.
970
971    *Matt Caswell*
972
973  * Check that ed25519 and ed448 are allowed by the security level. Previously
974    signature algorithms not using an MD were not being checked that they were
975    allowed by the security level.
976
977    *Kurt Roeckx*
978
979  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
980    was not quite right. The behaviour was not consistent between resumption
981    and normal handshakes, and also not quite consistent with historical
982    behaviour. The behaviour in various scenarios has been clarified and
983    it has been updated to make it match historical behaviour as closely as
984    possible.
985
986    *Matt Caswell*
987
988  * *[VMS only]* The header files that the VMS compilers include automatically,
989    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
990    that the C++ compiler doesn't understand.  This is a shortcoming in the
991    compiler, but can be worked around with `__cplusplus` guards.
992
993    C++ applications that use OpenSSL libraries must be compiled using the
994    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
995    functions.  Otherwise, only functions with symbols of less than 31
996    characters can be used, as the linker will not be able to successfully
997    resolve symbols with longer names.
998
999    *Richard Levitte*
1000
1001  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1002    The presence of this system service is determined at run-time.
1003
1004    *Richard Levitte*
1005
1006  * Added newline escaping functionality to a filename when using openssl dgst.
1007    This output format is to replicate the output format found in the '*sum'
1008    checksum programs. This aims to preserve backward compatibility.
1009
1010    *Matt Eaton, Richard Levitte, and Paul Dale*
1011
1012  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1013    the first value.
1014
1015    *Jon Spillett*
1016
1017 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019] ###
1018
1019  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1020    number generator (RNG). This was intended to include protection in the
1021    event of a fork() system call in order to ensure that the parent and child
1022    processes did not share the same RNG state. However this protection was not
1023    being used in the default case.
1024
1025    A partial mitigation for this issue is that the output from a high
1026    precision timer is mixed into the RNG state so the likelihood of a parent
1027    and child process sharing state is significantly reduced.
1028
1029    If an application already calls OPENSSL_init_crypto() explicitly using
1030    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1031    [CVE-2019-1549][]
1032
1033    *Matthias St. Pierre*
1034
1035  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1036    used even when parsing explicit parameters, when loading a serialized key
1037    or calling `EC_GROUP_new_from_ecpkparameters()`/
1038    `EC_GROUP_new_from_ecparameters()`.
1039    This prevents bypass of security hardening and performance gains,
1040    especially for curves with specialized EC_METHODs.
1041    By default, if a key encoded with explicit parameters is loaded and later
1042    serialized, the output is still encoded with explicit parameters, even if
1043    internally a "named" EC_GROUP is used for computation.
1044
1045    *Nicola Tuveri*
1046
1047  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1048    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1049    NULL. After this change, only the cofactor parameter can be NULL. It also
1050    does some minimal sanity checks on the passed order.
1051    [CVE-2019-1547][]
1052
1053    *Billy Bob Brumley*
1054
1055  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1056    An attack is simple, if the first CMS_recipientInfo is valid but the
1057    second CMS_recipientInfo is chosen ciphertext. If the second
1058    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1059    encryption key will be replaced by garbage, and the message cannot be
1060    decoded, but if the RSA decryption fails, the correct encryption key is
1061    used and the recipient will not notice the attack.
1062    As a work around for this potential attack the length of the decrypted
1063    key must be equal to the cipher default key length, in case the
1064    certifiate is not given and all recipientInfo are tried out.
1065    The old behaviour can be re-enabled in the CMS code by setting the
1066    CMS_DEBUG_DECRYPT flag.
1067    [CVE-2019-1563][]
1068
1069    *Bernd Edlinger*
1070
1071  * Early start up entropy quality from the DEVRANDOM seed source has been
1072    improved for older Linux systems.  The RAND subsystem will wait for
1073    /dev/random to be producing output before seeding from /dev/urandom.
1074    The seeded state is stored for future library initialisations using
1075    a system global shared memory segment.  The shared memory identifier
1076    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1077    the desired value.  The default identifier is 114.
1078
1079    *Paul Dale*
1080
1081  * Correct the extended master secret constant on EBCDIC systems. Without this
1082    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1083    negotiate EMS will fail. Unfortunately this also means that TLS connections
1084    between EBCDIC systems with this fix, and EBCDIC systems without this
1085    fix will fail if they negotiate EMS.
1086
1087    *Matt Caswell*
1088
1089  * Use Windows installation paths in the mingw builds
1090
1091    Mingw isn't a POSIX environment per se, which means that Windows
1092    paths should be used for installation.
1093    [CVE-2019-1552][]
1094
1095    *Richard Levitte*
1096
1097  * Changed DH_check to accept parameters with order q and 2q subgroups.
1098    With order 2q subgroups the bit 0 of the private key is not secret
1099    but DH_generate_key works around that by clearing bit 0 of the
1100    private key for those. This avoids leaking bit 0 of the private key.
1101
1102    *Bernd Edlinger*
1103
1104  * Significantly reduce secure memory usage by the randomness pools.
1105
1106    *Paul Dale*
1107
1108  * Revert the DEVRANDOM_WAIT feature for Linux systems
1109
1110    The DEVRANDOM_WAIT feature added a select() call to wait for the
1111    /dev/random device to become readable before reading from the
1112    /dev/urandom device.
1113
1114    It turned out that this change had negative side effects on
1115    performance which were not acceptable. After some discussion it
1116    was decided to revert this feature and leave it up to the OS
1117    resp. the platform maintainer to ensure a proper initialization
1118    during early boot time.
1119
1120    *Matthias St. Pierre*
1121
1122 ### Changes between 1.1.1b and 1.1.1c [28 May 2019] ###
1123
1124  * Add build tests for C++.  These are generated files that only do one
1125    thing, to include one public OpenSSL head file each.  This tests that
1126    the public header files can be usefully included in a C++ application.
1127
1128    This test isn't enabled by default.  It can be enabled with the option
1129    'enable-buildtest-c++'.
1130
1131    *Richard Levitte*
1132
1133  * Enable SHA3 pre-hashing for ECDSA and DSA.
1134
1135    *Patrick Steuer*
1136
1137  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1138    This changes the size when using the genpkey app when no size is given. It
1139    fixes an omission in earlier changes that changed all RSA, DSA and DH
1140    generation apps to use 2048 bits by default.
1141
1142    *Kurt Roeckx*
1143
1144  * Reorganize the manual pages to consistently have RETURN VALUES,
1145    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1146    util/fix-doc-nits accordingly.
1147
1148    *Paul Yang, Joshua Lock*
1149
1150  * Add the missing accessor EVP_PKEY_get0_engine()
1151
1152    *Matt Caswell*
1153
1154  * Have apps like 's_client' and 's_server' output the signature scheme
1155    along with other cipher suite parameters when debugging.
1156
1157    *Lorinczy Zsigmond*
1158
1159  * Make OPENSSL_config() error agnostic again.
1160
1161    *Richard Levitte*
1162
1163  * Do the error handling in RSA decryption constant time.
1164
1165    *Bernd Edlinger*
1166
1167  * Prevent over long nonces in ChaCha20-Poly1305.
1168
1169    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1170    for every encryption operation. RFC 7539 specifies that the nonce value
1171    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1172    and front pads the nonce with 0 bytes if it is less than 12
1173    bytes. However it also incorrectly allows a nonce to be set of up to 16
1174    bytes. In this case only the last 12 bytes are significant and any
1175    additional leading bytes are ignored.
1176
1177    It is a requirement of using this cipher that nonce values are
1178    unique. Messages encrypted using a reused nonce value are susceptible to
1179    serious confidentiality and integrity attacks. If an application changes
1180    the default nonce length to be longer than 12 bytes and then makes a
1181    change to the leading bytes of the nonce expecting the new value to be a
1182    new unique nonce then such an application could inadvertently encrypt
1183    messages with a reused nonce.
1184
1185    Additionally the ignored bytes in a long nonce are not covered by the
1186    integrity guarantee of this cipher. Any application that relies on the
1187    integrity of these ignored leading bytes of a long nonce may be further
1188    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1189    is safe because no such use sets such a long nonce value. However user
1190    applications that use this cipher directly and set a non-default nonce
1191    length to be longer than 12 bytes may be vulnerable.
1192
1193    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1194    Greef of Ronomon.
1195    [CVE-2019-1543][]
1196
1197    *Matt Caswell*
1198
1199  * Add DEVRANDOM_WAIT feature for Linux systems
1200
1201    On older Linux systems where the getrandom() system call is not available,
1202    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1203    Contrary to getrandom(), the /dev/urandom device will not block during
1204    early boot when the kernel CSPRNG has not been seeded yet.
1205
1206    To mitigate this known weakness, use select() to wait for /dev/random to
1207    become readable before reading from /dev/urandom.
1208
1209  * Ensure that SM2 only uses SM3 as digest algorithm
1210
1211    *Paul Yang*
1212
1213 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019] ###
1214
1215  * Change the info callback signals for the start and end of a post-handshake
1216    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1217    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1218    confused by this and assume that a TLSv1.2 renegotiation has started. This
1219    can break KeyUpdate handling. Instead we no longer signal the start and end
1220    of a post handshake message exchange (although the messages themselves are
1221    still signalled). This could break some applications that were expecting
1222    the old signals. However without this KeyUpdate is not usable for many
1223    applications.
1224
1225    *Matt Caswell*
1226
1227 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018] ###
1228
1229  * Timing vulnerability in DSA signature generation
1230
1231    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1232    timing side channel attack. An attacker could use variations in the signing
1233    algorithm to recover the private key.
1234
1235    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1236    [CVE-2018-0734][]
1237
1238    *Paul Dale*
1239
1240  * Timing vulnerability in ECDSA signature generation
1241
1242    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1243    timing side channel attack. An attacker could use variations in the signing
1244    algorithm to recover the private key.
1245
1246    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1247    [CVE-2018-0735][]
1248
1249    *Paul Dale*
1250
1251  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1252    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1253    of two gigabytes and the error handling improved.
1254
1255    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1256    categorized as a normal bug, not a security issue, because the DRBG reseeds
1257    automatically and is fully functional even without additional randomness
1258    provided by the application.
1259
1260 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018] ###
1261
1262  * Add a new ClientHello callback. Provides a callback interface that gives
1263    the application the ability to adjust the nascent SSL object at the
1264    earliest stage of ClientHello processing, immediately after extensions have
1265    been collected but before they have been processed. In particular, this
1266    callback can adjust the supported TLS versions in response to the contents
1267    of the ClientHello
1268
1269    *Benjamin Kaduk*
1270
1271  * Add SM2 base algorithm support.
1272
1273    *Jack Lloyd*
1274
1275  * s390x assembly pack: add (improved) hardware-support for the following
1276    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1277    aes-cfb/cfb8, aes-ecb.
1278
1279    *Patrick Steuer*
1280
1281  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1282    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1283    pem_str is reserved for alias entries only.
1284
1285    *Richard Levitte*
1286
1287  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1288    step for prime curves. The new implementation is based on formulae from
1289    differential addition-and-doubling in homogeneous projective coordinates
1290    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1291    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1292    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1293    to work in projective coordinates.
1294
1295    *Billy Bob Brumley, Nicola Tuveri*
1296
1297  * Change generating and checking of primes so that the error rate of not
1298    being prime depends on the intended use based on the size of the input.
1299    For larger primes this will result in more rounds of Miller-Rabin.
1300    The maximal error rate for primes with more than 1080 bits is lowered
1301    to 2^-128.
1302
1303    *Kurt Roeckx, Annie Yousar*
1304
1305  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1306
1307    *Kurt Roeckx*
1308
1309  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1310    moving between systems, and to avoid confusion when a Windows build is
1311    done with mingw vs with MSVC.  For POSIX installs, there's still a
1312    symlink or copy named 'tsget' to avoid that confusion as well.
1313
1314    *Richard Levitte*
1315
1316  * Revert blinding in ECDSA sign and instead make problematic addition
1317    length-invariant. Switch even to fixed-length Montgomery multiplication.
1318
1319    *Andy Polyakov*
1320
1321  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1322    step for binary curves. The new implementation is based on formulae from
1323    differential addition-and-doubling in mixed Lopez-Dahab projective
1324    coordinates, modified to independently blind the operands.
1325
1326    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1327
1328  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1329    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1330    EC_METHODs to implement their own specialized "ladder step", to take
1331    advantage of more favorable coordinate systems or more efficient
1332    differential addition-and-doubling algorithms.
1333
1334    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1335
1336  * Modified the random device based seed sources to keep the relevant
1337    file descriptors open rather than reopening them on each access.
1338    This allows such sources to operate in a chroot() jail without
1339    the associated device nodes being available. This behaviour can be
1340    controlled using RAND_keep_random_devices_open().
1341
1342    *Paul Dale*
1343
1344  * Numerous side-channel attack mitigations have been applied. This may have
1345    performance impacts for some algorithms for the benefit of improved
1346    security. Specific changes are noted in this change log by their respective
1347    authors.
1348
1349    *Matt Caswell*
1350
1351  * AIX shared library support overhaul. Switch to AIX "natural" way of
1352    handling shared libraries, which means collecting shared objects of
1353    different versions and bitnesses in one common archive. This allows to
1354    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1355    doesn't affect the way 3rd party applications are linked, only how
1356    multi-version installation is managed.
1357
1358    *Andy Polyakov*
1359
1360  * Make ec_group_do_inverse_ord() more robust and available to other
1361    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1362    mitigations are applied to the fallback BN_mod_inverse().
1363    When using this function rather than BN_mod_inverse() directly, new
1364    EC cryptosystem implementations are then safer-by-default.
1365
1366    *Billy Bob Brumley*
1367
1368  * Add coordinate blinding for EC_POINT and implement projective
1369    coordinate blinding for generic prime curves as a countermeasure to
1370    chosen point SCA attacks.
1371
1372    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1373
1374  * Add blinding to ECDSA and DSA signatures to protect against side channel
1375    attacks discovered by Keegan Ryan (NCC Group).
1376
1377    *Matt Caswell*
1378
1379  * Enforce checking in the pkeyutl command line app to ensure that the input
1380    length does not exceed the maximum supported digest length when performing
1381    a sign, verify or verifyrecover operation.
1382
1383    *Matt Caswell*
1384
1385  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1386    I/O in combination with something like select() or poll() will hang. This
1387    can be turned off again using SSL_CTX_clear_mode().
1388    Many applications do not properly handle non-application data records, and
1389    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1390    around the problems in those applications, but can also break some.
1391    It's recommended to read the manpages about SSL_read(), SSL_write(),
1392    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1393    SSL_CTX_set_read_ahead() again.
1394
1395    *Kurt Roeckx*
1396
1397  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1398    now allow empty (zero character) pass phrases.
1399
1400    *Richard Levitte*
1401
1402  * Apply blinding to binary field modular inversion and remove patent
1403    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1404
1405    *Billy Bob Brumley*
1406
1407  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1408    binary and prime elliptic curves.
1409
1410    *Billy Bob Brumley*
1411
1412  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1413    constant time fixed point multiplication.
1414
1415    *Billy Bob Brumley*
1416
1417  * Revise elliptic curve scalar multiplication with timing attack
1418    defenses: ec_wNAF_mul redirects to a constant time implementation
1419    when computing fixed point and variable point multiplication (which
1420    in OpenSSL are mostly used with secret scalars in keygen, sign,
1421    ECDH derive operations).
1422    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1423     Sohaib ul Hassan*
1424
1425  * Updated CONTRIBUTING
1426
1427    *Rich Salz*
1428
1429  * Updated DRBG / RAND to request nonce and additional low entropy
1430    randomness from the system.
1431
1432    *Matthias St. Pierre*
1433
1434  * Updated 'openssl rehash' to use OpenSSL consistent default.
1435
1436    *Richard Levitte*
1437
1438  * Moved the load of the ssl_conf module to libcrypto, which helps
1439    loading engines that libssl uses before libssl is initialised.
1440
1441    *Matt Caswell*
1442
1443  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1444
1445    *Matt Caswell*
1446
1447  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1448
1449    *Ingo Schwarze, Rich Salz*
1450
1451  * Added output of accepting IP address and port for 'openssl s_server'
1452
1453    *Richard Levitte*
1454
1455  * Added a new API for TLSv1.3 ciphersuites:
1456       SSL_CTX_set_ciphersuites()
1457       SSL_set_ciphersuites()
1458
1459    *Matt Caswell*
1460
1461  * Memory allocation failures consistently add an error to the error
1462    stack.
1463
1464    *Rich Salz*
1465
1466  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1467    in libcrypto when run as setuid/setgid.
1468
1469    *Bernd Edlinger*
1470
1471  * Load any config file by default when libssl is used.
1472
1473    *Matt Caswell*
1474
1475  * Added new public header file <openssl/rand_drbg.h> and documentation
1476    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1477
1478    *Matthias St. Pierre*
1479
1480  * QNX support removed (cannot find contributors to get their approval
1481    for the license change).
1482
1483    *Rich Salz*
1484
1485  * TLSv1.3 replay protection for early data has been implemented. See the
1486    SSL_read_early_data() man page for further details.
1487
1488    *Matt Caswell*
1489
1490  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1491    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1492    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1493    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1494    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1495    configuration has been separated out. See the ciphers man page or the
1496    SSL_CTX_set_ciphersuites() man page for more information.
1497
1498    *Matt Caswell*
1499
1500  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1501    in responder mode now supports the new "-multi" option, which
1502    spawns the specified number of child processes to handle OCSP
1503    requests.  The "-timeout" option now also limits the OCSP
1504    responder's patience to wait to receive the full client request
1505    on a newly accepted connection. Child processes are respawned
1506    as needed, and the CA index file is automatically reloaded
1507    when changed.  This makes it possible to run the "ocsp" responder
1508    as a long-running service, making the OpenSSL CA somewhat more
1509    feature-complete.  In this mode, most diagnostic messages logged
1510    after entering the event loop are logged via syslog(3) rather than
1511    written to stderr.
1512
1513    *Viktor Dukhovni*
1514
1515  * Added support for X448 and Ed448. Heavily based on original work by
1516    Mike Hamburg.
1517
1518    *Matt Caswell*
1519
1520  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1521    objects loaded.  This adds the functions OSSL_STORE_expect() and
1522    OSSL_STORE_find() as well as needed tools to construct searches and
1523    get the search data out of them.
1524
1525    *Richard Levitte*
1526
1527  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1528    version of OpenSSL should review their configuration settings to ensure
1529    that they are still appropriate for TLSv1.3. For further information see:
1530    https://wiki.openssl.org/index.php/TLS1.3
1531
1532    *Matt Caswell*
1533
1534  * Grand redesign of the OpenSSL random generator
1535
1536    The default RAND method now utilizes an AES-CTR DRBG according to
1537    NIST standard SP 800-90Ar1. The new random generator is essentially
1538    a port of the default random generator from the OpenSSL FIPS 2.0
1539    object module. It is a hybrid deterministic random bit generator
1540    using an AES-CTR bit stream and which seeds and reseeds itself
1541    automatically using trusted system entropy sources.
1542
1543    Some of its new features are:
1544     - Support for multiple DRBG instances with seed chaining.
1545     - The default RAND method makes use of a DRBG.
1546     - There is a public and private DRBG instance.
1547     - The DRBG instances are fork-safe.
1548     - Keep all global DRBG instances on the secure heap if it is enabled.
1549     - The public and private DRBG instance are per thread for lock free
1550       operation
1551
1552    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1553
1554  * Changed Configure so it only says what it does and doesn't dump
1555    so much data.  Instead, ./configdata.pm should be used as a script
1556    to display all sorts of configuration data.
1557
1558    *Richard Levitte*
1559
1560  * Added processing of "make variables" to Configure.
1561
1562    *Richard Levitte*
1563
1564  * Added SHA512/224 and SHA512/256 algorithm support.
1565
1566    *Paul Dale*
1567
1568  * The last traces of Netware support, first removed in 1.1.0, have
1569    now been removed.
1570
1571    *Rich Salz*
1572
1573  * Get rid of Makefile.shared, and in the process, make the processing
1574    of certain files (rc.obj, or the .def/.map/.opt files produced from
1575    the ordinal files) more visible and hopefully easier to trace and
1576    debug (or make silent).
1577
1578    *Richard Levitte*
1579
1580  * Make it possible to have environment variable assignments as
1581    arguments to config / Configure.
1582
1583    *Richard Levitte*
1584
1585  * Add multi-prime RSA (RFC 8017) support.
1586
1587    *Paul Yang*
1588
1589  * Add SM3 implemented according to GB/T 32905-2016
1590    * Jack Lloyd <jack.lloyd@ribose.com>,
1591      Ronald Tse <ronald.tse@ribose.com>,
1592      Erick Borsboom <erick.borsboom@ribose.com> *
1593
1594  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1595    as documented in RFC6066.
1596    Based on a patch from Tomasz Moń
1597
1598    *Filipe Raimundo da Silva*
1599
1600  * Add SM4 implemented according to GB/T 32907-2016.
1601    * Jack Lloyd <jack.lloyd@ribose.com>,
1602      Ronald Tse <ronald.tse@ribose.com>,
1603      Erick Borsboom <erick.borsboom@ribose.com> *
1604
1605  * Reimplement -newreq-nodes and ERR_error_string_n; the
1606    original author does not agree with the license change.
1607
1608    *Rich Salz*
1609
1610  * Add ARIA AEAD TLS support.
1611
1612    *Jon Spillett*
1613
1614  * Some macro definitions to support VS6 have been removed.  Visual
1615    Studio 6 has not worked since 1.1.0
1616
1617    *Rich Salz*
1618
1619  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1620    without clearing the errors.
1621
1622    *Richard Levitte*
1623
1624  * Add "atfork" functions.  If building on a system that without
1625    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1626    requirements.  The RAND facility now uses/requires this.
1627
1628    *Rich Salz*
1629
1630  * Add SHA3.
1631
1632    *Andy Polyakov*
1633
1634  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1635    not possible to disable entirely.  However, it's still possible to
1636    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1637    as a fallback).
1638
1639    To disable, configure with 'no-ui-console'.  'no-ui' is still
1640    possible to use as an alias.  Check at compile time with the
1641    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1642    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1643
1644    *Richard Levitte*
1645
1646  * Add a STORE module, which implements a uniform and URI based reader of
1647    stores that can contain keys, certificates, CRLs and numerous other
1648    objects.  The main API is loosely based on a few stdio functions,
1649    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1650    OSSL_STORE_error and OSSL_STORE_close.
1651    The implementation uses backends called "loaders" to implement arbitrary
1652    URI schemes.  There is one built in "loader" for the 'file' scheme.
1653
1654    *Richard Levitte*
1655
1656  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1657    then adjusted to work on FreeBSD 8.4 as well.
1658    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1659    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1660
1661    *Richard Levitte*
1662
1663  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1664    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1665    error code calls like this:
1666
1667            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1668
1669    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1670    that can be encoded in C.  For the foreseeable future, this will only
1671    affect new modules.
1672
1673    *Richard Levitte and Tim Hudson*
1674
1675  * Removed BSD cryptodev engine.
1676
1677    *Rich Salz*
1678
1679  * Add a build target 'build_all_generated', to build all generated files
1680    and only that.  This can be used to prepare everything that requires
1681    things like perl for a system that lacks perl and then move everything
1682    to that system and do the rest of the build there.
1683
1684    *Richard Levitte*
1685
1686  * In the UI interface, make it possible to duplicate the user data.  This
1687    can be used by engines that need to retain the data for a longer time
1688    than just the call where this user data is passed.
1689
1690    *Richard Levitte*
1691
1692  * Ignore the '-named_curve auto' value for compatibility of applications
1693    with OpenSSL 1.0.2.
1694
1695    *Tomas Mraz <tmraz@fedoraproject.org>*
1696
1697  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1698    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1699    alerts across multiple records (some of which could be empty). In practice
1700    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1701    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1702    support this at all. Supporting it adds significant complexity to the
1703    record layer, and its removal is unlikely to cause interoperability
1704    issues.
1705
1706    *Matt Caswell*
1707
1708  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1709    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1710    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1711    in OpenSSL 1.2.0.
1712
1713    *Richard Levitte*
1714
1715  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1716    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1717
1718    *Richard Levitte, Andy Polyakov*
1719
1720  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1721    does for RSA, etc.
1722
1723    *Richard Levitte*
1724
1725  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1726    platform rather than 'mingw'.
1727
1728    *Richard Levitte*
1729
1730  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1731    success if they are asked to add an object which already exists
1732    in the store. This change cascades to other functions which load
1733    certificates and CRLs.
1734
1735    *Paul Dale*
1736
1737  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1738    facilitate stack unwinding even from assembly subroutines.
1739
1740    *Andy Polyakov*
1741
1742  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1743    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1744
1745    *Richard Levitte*
1746
1747  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1748    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1749    which is the minimum version we support.
1750
1751    *Richard Levitte*
1752
1753  * Certificate time validation (X509_cmp_time) enforces stricter
1754    compliance with RFC 5280. Fractional seconds and timezone offsets
1755    are no longer allowed.
1756
1757    *Emilia Käsper*
1758
1759  * Add support for ARIA
1760
1761    *Paul Dale*
1762
1763  * s_client will now send the Server Name Indication (SNI) extension by
1764    default unless the new "-noservername" option is used. The server name is
1765    based on the host provided to the "-connect" option unless overridden by
1766    using "-servername".
1767
1768    *Matt Caswell*
1769
1770  * Add support for SipHash
1771
1772    *Todd Short*
1773
1774  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1775    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1776    prevent issues where no progress is being made and the peer continually
1777    sends unrecognised record types, using up resources processing them.
1778
1779    *Matt Caswell*
1780
1781  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1782    using the algorithm defined in
1783    https://www.akkadia.org/drepper/SHA-crypt.txt
1784
1785    *Richard Levitte*
1786
1787  * Heartbeat support has been removed; the ABI is changed for now.
1788
1789    *Richard Levitte, Rich Salz*
1790
1791  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1792
1793    *Emilia Käsper*
1794
1795  * The RSA "null" method, which was partially supported to avoid patent
1796    issues, has been replaced to always returns NULL.
1797
1798    *Rich Salz*
1799
1800 OpenSSL 1.1.0
1801 -------------
1802
1803
1804 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019] ###
1805
1806  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1807    used even when parsing explicit parameters, when loading a serialized key
1808    or calling `EC_GROUP_new_from_ecpkparameters()`/
1809    `EC_GROUP_new_from_ecparameters()`.
1810    This prevents bypass of security hardening and performance gains,
1811    especially for curves with specialized EC_METHODs.
1812    By default, if a key encoded with explicit parameters is loaded and later
1813    serialized, the output is still encoded with explicit parameters, even if
1814    internally a "named" EC_GROUP is used for computation.
1815
1816    *Nicola Tuveri*
1817
1818  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1819    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1820    NULL. After this change, only the cofactor parameter can be NULL. It also
1821    does some minimal sanity checks on the passed order.
1822    [CVE-2019-1547][]
1823
1824    *Billy Bob Brumley*
1825
1826  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1827    An attack is simple, if the first CMS_recipientInfo is valid but the
1828    second CMS_recipientInfo is chosen ciphertext. If the second
1829    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1830    encryption key will be replaced by garbage, and the message cannot be
1831    decoded, but if the RSA decryption fails, the correct encryption key is
1832    used and the recipient will not notice the attack.
1833    As a work around for this potential attack the length of the decrypted
1834    key must be equal to the cipher default key length, in case the
1835    certifiate is not given and all recipientInfo are tried out.
1836    The old behaviour can be re-enabled in the CMS code by setting the
1837    CMS_DEBUG_DECRYPT flag.
1838    [CVE-2019-1563][]
1839
1840    *Bernd Edlinger*
1841
1842  * Use Windows installation paths in the mingw builds
1843
1844    Mingw isn't a POSIX environment per se, which means that Windows
1845    paths should be used for installation.
1846    [CVE-2019-1552][]
1847
1848    *Richard Levitte*
1849
1850 ### Changes between 1.1.0j and 1.1.0k [28 May 2019] ###
1851
1852  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1853    This changes the size when using the genpkey app when no size is given. It
1854    fixes an omission in earlier changes that changed all RSA, DSA and DH
1855    generation apps to use 2048 bits by default.
1856
1857    *Kurt Roeckx*
1858
1859  * Prevent over long nonces in ChaCha20-Poly1305.
1860
1861    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1862    for every encryption operation. RFC 7539 specifies that the nonce value
1863    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1864    and front pads the nonce with 0 bytes if it is less than 12
1865    bytes. However it also incorrectly allows a nonce to be set of up to 16
1866    bytes. In this case only the last 12 bytes are significant and any
1867    additional leading bytes are ignored.
1868
1869    It is a requirement of using this cipher that nonce values are
1870    unique. Messages encrypted using a reused nonce value are susceptible to
1871    serious confidentiality and integrity attacks. If an application changes
1872    the default nonce length to be longer than 12 bytes and then makes a
1873    change to the leading bytes of the nonce expecting the new value to be a
1874    new unique nonce then such an application could inadvertently encrypt
1875    messages with a reused nonce.
1876
1877    Additionally the ignored bytes in a long nonce are not covered by the
1878    integrity guarantee of this cipher. Any application that relies on the
1879    integrity of these ignored leading bytes of a long nonce may be further
1880    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1881    is safe because no such use sets such a long nonce value. However user
1882    applications that use this cipher directly and set a non-default nonce
1883    length to be longer than 12 bytes may be vulnerable.
1884
1885    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1886    Greef of Ronomon.
1887    [CVE-2019-1543][]
1888
1889    *Matt Caswell*
1890
1891  * Added SCA hardening for modular field inversion in EC_GROUP through
1892    a new dedicated field_inv() pointer in EC_METHOD.
1893    This also addresses a leakage affecting conversions from projective
1894    to affine coordinates.
1895
1896    *Billy Bob Brumley, Nicola Tuveri*
1897
1898  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1899    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1900
1901    *Bernd Edlinger*
1902
1903  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1904
1905    *Richard Levitte*
1906
1907  * Remove the 'dist' target and add a tarball building script.  The
1908    'dist' target has fallen out of use, and it shouldn't be
1909    necessary to configure just to create a source distribution.
1910
1911    *Richard Levitte*
1912
1913 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018] ###
1914
1915  * Timing vulnerability in DSA signature generation
1916
1917    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1918    timing side channel attack. An attacker could use variations in the signing
1919    algorithm to recover the private key.
1920
1921    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1922    [CVE-2018-0734][]
1923
1924    *Paul Dale*
1925
1926  * Timing vulnerability in ECDSA signature generation
1927
1928    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1929    timing side channel attack. An attacker could use variations in the signing
1930    algorithm to recover the private key.
1931
1932    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1933    [CVE-2018-0735][]
1934
1935    *Paul Dale*
1936
1937  * Add coordinate blinding for EC_POINT and implement projective
1938    coordinate blinding for generic prime curves as a countermeasure to
1939    chosen point SCA attacks.
1940
1941    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1942
1943 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018] ###
1944
1945  * Client DoS due to large DH parameter
1946
1947    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1948    malicious server can send a very large prime value to the client. This will
1949    cause the client to spend an unreasonably long period of time generating a
1950    key for this prime resulting in a hang until the client has finished. This
1951    could be exploited in a Denial Of Service attack.
1952
1953    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
1954    [CVE-2018-0732][]
1955
1956    *Guido Vranken*
1957
1958  * Cache timing vulnerability in RSA Key Generation
1959
1960    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
1961    a cache timing side channel attack. An attacker with sufficient access to
1962    mount cache timing attacks during the RSA key generation process could
1963    recover the private key.
1964
1965    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
1966    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
1967    [CVE-2018-0737][]
1968
1969    *Billy Brumley*
1970
1971  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1972    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1973    pem_str is reserved for alias entries only.
1974
1975    *Richard Levitte*
1976
1977  * Revert blinding in ECDSA sign and instead make problematic addition
1978    length-invariant. Switch even to fixed-length Montgomery multiplication.
1979
1980    *Andy Polyakov*
1981
1982  * Change generating and checking of primes so that the error rate of not
1983    being prime depends on the intended use based on the size of the input.
1984    For larger primes this will result in more rounds of Miller-Rabin.
1985    The maximal error rate for primes with more than 1080 bits is lowered
1986    to 2^-128.
1987
1988    *Kurt Roeckx, Annie Yousar*
1989
1990  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1991
1992    *Kurt Roeckx*
1993
1994  * Add blinding to ECDSA and DSA signatures to protect against side channel
1995    attacks discovered by Keegan Ryan (NCC Group).
1996
1997    *Matt Caswell*
1998
1999  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2000    now allow empty (zero character) pass phrases.
2001
2002    *Richard Levitte*
2003
2004  * Certificate time validation (X509_cmp_time) enforces stricter
2005    compliance with RFC 5280. Fractional seconds and timezone offsets
2006    are no longer allowed.
2007
2008    *Emilia Käsper*
2009
2010  * Fixed a text canonicalisation bug in CMS
2011
2012    Where a CMS detached signature is used with text content the text goes
2013    through a canonicalisation process first prior to signing or verifying a
2014    signature. This process strips trailing space at the end of lines, converts
2015    line terminators to CRLF and removes additional trailing line terminators
2016    at the end of a file. A bug in the canonicalisation process meant that
2017    some characters, such as form-feed, were incorrectly treated as whitespace
2018    and removed. This is contrary to the specification (RFC5485). This fix
2019    could mean that detached text data signed with an earlier version of
2020    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2021    signed with a fixed OpenSSL may fail to verify with an earlier version of
2022    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2023    and use the "-binary" flag (for the "cms" command line application) or set
2024    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2025
2026    *Matt Caswell*
2027
2028 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018] ###
2029
2030  * Constructed ASN.1 types with a recursive definition could exceed the stack
2031
2032    Constructed ASN.1 types with a recursive definition (such as can be found
2033    in PKCS7) could eventually exceed the stack given malicious input with
2034    excessive recursion. This could result in a Denial Of Service attack. There
2035    are no such structures used within SSL/TLS that come from untrusted sources
2036    so this is considered safe.
2037
2038    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2039    project.
2040    [CVE-2018-0739][]
2041
2042    *Matt Caswell*
2043
2044  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2045
2046    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2047    effectively reduced to only comparing the least significant bit of each
2048    byte. This allows an attacker to forge messages that would be considered as
2049    authenticated in an amount of tries lower than that guaranteed by the
2050    security claims of the scheme. The module can only be compiled by the
2051    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2052
2053    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2054    (IBM).
2055    [CVE-2018-0733][]
2056
2057    *Andy Polyakov*
2058
2059  * Add a build target 'build_all_generated', to build all generated files
2060    and only that.  This can be used to prepare everything that requires
2061    things like perl for a system that lacks perl and then move everything
2062    to that system and do the rest of the build there.
2063
2064    *Richard Levitte*
2065
2066  * Backport SSL_OP_NO_RENGOTIATION
2067
2068    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2069    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2070    changes this is no longer possible in 1.1.0. Therefore the new
2071    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2072    1.1.0 to provide equivalent functionality.
2073
2074    Note that if an application built against 1.1.0h headers (or above) is run
2075    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2076    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2077
2078    *Matt Caswell*
2079
2080  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2081    exist.
2082
2083    *Rich Salz*
2084
2085  * rsaz_1024_mul_avx2 overflow bug on x86_64
2086
2087    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2088    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2089    Analysis suggests that attacks against RSA and DSA as a result of this
2090    defect would be very difficult to perform and are not believed likely.
2091    Attacks against DH1024 are considered just feasible, because most of the
2092    work necessary to deduce information about a private key may be performed
2093    offline. The amount of resources required for such an attack would be
2094    significant. However, for an attack on TLS to be meaningful, the server
2095    would have to share the DH1024 private key among multiple clients, which is
2096    no longer an option since CVE-2016-0701.
2097
2098    This only affects processors that support the AVX2 but not ADX extensions
2099    like Intel Haswell (4th generation).
2100
2101    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2102    was originally found via the OSS-Fuzz project.
2103    [CVE-2017-3738][]
2104
2105    *Andy Polyakov*
2106
2107 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017] ###
2108
2109  * bn_sqrx8x_internal carry bug on x86_64
2110
2111    There is a carry propagating bug in the x86_64 Montgomery squaring
2112    procedure. No EC algorithms are affected. Analysis suggests that attacks
2113    against RSA and DSA as a result of this defect would be very difficult to
2114    perform and are not believed likely. Attacks against DH are considered just
2115    feasible (although very difficult) because most of the work necessary to
2116    deduce information about a private key may be performed offline. The amount
2117    of resources required for such an attack would be very significant and
2118    likely only accessible to a limited number of attackers. An attacker would
2119    additionally need online access to an unpatched system using the target
2120    private key in a scenario with persistent DH parameters and a private
2121    key that is shared between multiple clients.
2122
2123    This only affects processors that support the BMI1, BMI2 and ADX extensions
2124    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2125
2126    This issue was reported to OpenSSL by the OSS-Fuzz project.
2127    [CVE-2017-3736][]
2128
2129    *Andy Polyakov*
2130
2131  * Malformed X.509 IPAddressFamily could cause OOB read
2132
2133    If an X.509 certificate has a malformed IPAddressFamily extension,
2134    OpenSSL could do a one-byte buffer overread. The most likely result
2135    would be an erroneous display of the certificate in text format.
2136
2137    This issue was reported to OpenSSL by the OSS-Fuzz project.
2138    [CVE-2017-3735][]
2139
2140    *Rich Salz*
2141
2142 ### Changes between 1.1.0e and 1.1.0f [25 May 2017] ###
2143
2144  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2145    platform rather than 'mingw'.
2146
2147    *Richard Levitte*
2148
2149  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2150    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2151    which is the minimum version we support.
2152
2153    *Richard Levitte*
2154
2155 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017] ###
2156
2157  * Encrypt-Then-Mac renegotiation crash
2158
2159    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2160    negotiated where it was not in the original handshake (or vice-versa) then
2161    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2162    and servers are affected.
2163
2164    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2165    [CVE-2017-3733][]
2166
2167    *Matt Caswell*
2168
2169 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017] ###
2170
2171  * Truncated packet could crash via OOB read
2172
2173    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2174    cipher is being used, then a truncated packet can cause that host to
2175    perform an out-of-bounds read, usually resulting in a crash.
2176
2177    This issue was reported to OpenSSL by Robert Święcki of Google.
2178    [CVE-2017-3731][]
2179
2180    *Andy Polyakov*
2181
2182  * Bad (EC)DHE parameters cause a client crash
2183
2184    If a malicious server supplies bad parameters for a DHE or ECDHE key
2185    exchange then this can result in the client attempting to dereference a
2186    NULL pointer leading to a client crash. This could be exploited in a Denial
2187    of Service attack.
2188
2189    This issue was reported to OpenSSL by Guido Vranken.
2190    [CVE-2017-3730][]
2191
2192    *Matt Caswell*
2193
2194  * BN_mod_exp may produce incorrect results on x86_64
2195
2196    There is a carry propagating bug in the x86_64 Montgomery squaring
2197    procedure. No EC algorithms are affected. Analysis suggests that attacks
2198    against RSA and DSA as a result of this defect would be very difficult to
2199    perform and are not believed likely. Attacks against DH are considered just
2200    feasible (although very difficult) because most of the work necessary to
2201    deduce information about a private key may be performed offline. The amount
2202    of resources required for such an attack would be very significant and
2203    likely only accessible to a limited number of attackers. An attacker would
2204    additionally need online access to an unpatched system using the target
2205    private key in a scenario with persistent DH parameters and a private
2206    key that is shared between multiple clients. For example this can occur by
2207    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2208    similar to CVE-2015-3193 but must be treated as a separate problem.
2209
2210    This issue was reported to OpenSSL by the OSS-Fuzz project.
2211    [CVE-2017-3732][]
2212
2213    *Andy Polyakov*
2214
2215 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016] ###
2216
2217  * ChaCha20/Poly1305 heap-buffer-overflow
2218
2219    TLS connections using *-CHACHA20-POLY1305 ciphersuites are susceptible to
2220    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2221    crash. This issue is not considered to be exploitable beyond a DoS.
2222
2223    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2224    [CVE-2016-7054][]
2225
2226    *Richard Levitte*
2227
2228  * CMS Null dereference
2229
2230    Applications parsing invalid CMS structures can crash with a NULL pointer
2231    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2232    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2233    structure callback if an attempt is made to free certain invalid encodings.
2234    Only CHOICE structures using a callback which do not handle NULL value are
2235    affected.
2236
2237    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2238    [CVE-2016-7053][]
2239
2240    *Stephen Henson*
2241
2242  * Montgomery multiplication may produce incorrect results
2243
2244    There is a carry propagating bug in the Broadwell-specific Montgomery
2245    multiplication procedure that handles input lengths divisible by, but
2246    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2247    and DH private keys are impossible. This is because the subroutine in
2248    question is not used in operations with the private key itself and an input
2249    of the attacker's direct choice. Otherwise the bug can manifest itself as
2250    transient authentication and key negotiation failures or reproducible
2251    erroneous outcome of public-key operations with specially crafted input.
2252    Among EC algorithms only Brainpool P-512 curves are affected and one
2253    presumably can attack ECDH key negotiation. Impact was not analyzed in
2254    detail, because pre-requisites for attack are considered unlikely. Namely
2255    multiple clients have to choose the curve in question and the server has to
2256    share the private key among them, neither of which is default behaviour.
2257    Even then only clients that chose the curve will be affected.
2258
2259    This issue was publicly reported as transient failures and was not
2260    initially recognized as a security issue. Thanks to Richard Morgan for
2261    providing reproducible case.
2262    [CVE-2016-7055][]
2263
2264    *Andy Polyakov*
2265
2266  * Removed automatic addition of RPATH in shared libraries and executables,
2267    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2268
2269    *Richard Levitte*
2270
2271 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016] ###
2272
2273  * Fix Use After Free for large message sizes
2274
2275    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2276    message larger than approx 16k is received then the underlying buffer to
2277    store the incoming message is reallocated and moved. Unfortunately a
2278    dangling pointer to the old location is left which results in an attempt to
2279    write to the previously freed location. This is likely to result in a
2280    crash, however it could potentially lead to execution of arbitrary code.
2281
2282    This issue only affects OpenSSL 1.1.0a.
2283
2284    This issue was reported to OpenSSL by Robert Święcki.
2285    [CVE-2016-6309][]
2286
2287    *Matt Caswell*
2288
2289 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016] ###
2290
2291  * OCSP Status Request extension unbounded memory growth
2292
2293    A malicious client can send an excessively large OCSP Status Request
2294    extension. If that client continually requests renegotiation, sending a
2295    large OCSP Status Request extension each time, then there will be unbounded
2296    memory growth on the server. This will eventually lead to a Denial Of
2297    Service attack through memory exhaustion. Servers with a default
2298    configuration are vulnerable even if they do not support OCSP. Builds using
2299    the "no-ocsp" build time option are not affected.
2300
2301    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2302    [CVE-2016-6304][]
2303
2304    *Matt Caswell*
2305
2306  * SSL_peek() hang on empty record
2307
2308    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2309    sends an empty record. This could be exploited by a malicious peer in a
2310    Denial Of Service attack.
2311
2312    This issue was reported to OpenSSL by Alex Gaynor.
2313    [CVE-2016-6305][]
2314
2315    *Matt Caswell*
2316
2317  * Excessive allocation of memory in tls_get_message_header() and
2318    dtls1_preprocess_fragment()
2319
2320    A (D)TLS message includes 3 bytes for its length in the header for the
2321    message. This would allow for messages up to 16Mb in length. Messages of
2322    this length are excessive and OpenSSL includes a check to ensure that a
2323    peer is sending reasonably sized messages in order to avoid too much memory
2324    being consumed to service a connection. A flaw in the logic of version
2325    1.1.0 means that memory for the message is allocated too early, prior to
2326    the excessive message length check. Due to way memory is allocated in
2327    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2328    to service a connection. This could lead to a Denial of Service through
2329    memory exhaustion. However, the excessive message length check still takes
2330    place, and this would cause the connection to immediately fail. Assuming
2331    that the application calls SSL_free() on the failed connection in a timely
2332    manner then the 21Mb of allocated memory will then be immediately freed
2333    again. Therefore the excessive memory allocation will be transitory in
2334    nature. This then means that there is only a security impact if:
2335
2336    1) The application does not call SSL_free() in a timely manner in the event
2337    that the connection fails
2338    or
2339    2) The application is working in a constrained environment where there is
2340    very little free memory
2341    or
2342    3) The attacker initiates multiple connection attempts such that there are
2343    multiple connections in a state where memory has been allocated for the
2344    connection; SSL_free() has not yet been called; and there is insufficient
2345    memory to service the multiple requests.
2346
2347    Except in the instance of (1) above any Denial Of Service is likely to be
2348    transitory because as soon as the connection fails the memory is
2349    subsequently freed again in the SSL_free() call. However there is an
2350    increased risk during this period of application crashes due to the lack of
2351    memory - which would then mean a more serious Denial of Service.
2352
2353    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2354    (CVE-2016-6307 and CVE-2016-6308)
2355
2356    *Matt Caswell*
2357
2358  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2359    had to be removed. Primary reason is that vendor assembler can't
2360    assemble our modules with -KPIC flag. As result it, assembly
2361    support, was not even available as option. But its lack means
2362    lack of side-channel resistant code, which is incompatible with
2363    security by todays standards. Fortunately gcc is readily available
2364    prepackaged option, which we firmly point at...
2365
2366    *Andy Polyakov*
2367
2368 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016] ###
2369
2370  * Windows command-line tool supports UTF-8 opt-in option for arguments
2371    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2372    (to any value) allows Windows user to access PKCS#12 file generated
2373    with Windows CryptoAPI and protected with non-ASCII password, as well
2374    as files generated under UTF-8 locale on Linux also protected with
2375    non-ASCII password.
2376
2377    *Andy Polyakov*
2378
2379  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2380    have been disabled by default and removed from DEFAULT, just like RC4.
2381    See the RC4 item below to re-enable both.
2382
2383    *Rich Salz*
2384
2385  * The method for finding the storage location for the Windows RAND seed file
2386    has changed. First we check %RANDFILE%. If that is not set then we check
2387    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2388    all else fails we fall back to C:\.
2389
2390    *Matt Caswell*
2391
2392  * The EVP_EncryptUpdate() function has had its return type changed from void
2393    to int. A return of 0 indicates and error while a return of 1 indicates
2394    success.
2395
2396    *Matt Caswell*
2397
2398  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2399    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2400    off the constant time implementation for RSA, DSA and DH have been made
2401    no-ops and deprecated.
2402
2403    *Matt Caswell*
2404
2405  * Windows RAND implementation was simplified to only get entropy by
2406    calling CryptGenRandom(). Various other RAND-related tickets
2407    were also closed.
2408
2409    *Joseph Wylie Yandle, Rich Salz*
2410
2411  * The stack and lhash API's were renamed to start with OPENSSL_SK_
2412    and OPENSSL_LH_, respectively.  The old names are available
2413    with API compatibility.  They new names are now completely documented.
2414
2415    *Rich Salz*
2416
2417  * Unify TYPE_up_ref(obj) methods signature.
2418    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2419    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2420    int (instead of void) like all others TYPE_up_ref() methods.
2421    So now these methods also check the return value of CRYPTO_atomic_add(),
2422    and the validity of object reference counter.
2423
2424    *fdasilvayy@gmail.com*
2425
2426  * With Windows Visual Studio builds, the .pdb files are installed
2427    alongside the installed libraries and executables.  For a static
2428    library installation, ossl_static.pdb is the associate compiler
2429    generated .pdb file to be used when linking programs.
2430
2431    *Richard Levitte*
2432
2433  * Remove openssl.spec.  Packaging files belong with the packagers.
2434
2435    *Richard Levitte*
2436
2437  * Automatic Darwin/OSX configuration has had a refresh, it will now
2438    recognise x86_64 architectures automatically.  You can still decide
2439    to build for a different bitness with the environment variable
2440    KERNEL_BITS (can be 32 or 64), for example:
2441
2442            KERNEL_BITS=32 ./config
2443
2444    *Richard Levitte*
2445
2446  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2447    256 bit AES and HMAC with SHA256.
2448
2449    *Steve Henson*
2450
2451  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2452
2453    *Andy Polyakov*
2454
2455  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2456
2457    *Rich Salz*
2458
2459  * To enable users to have their own config files and build file templates,
2460    Configure looks in the directory indicated by the environment variable
2461    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2462    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2463    name and is used as is.
2464
2465    *Richard Levitte*
2466
2467  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2468    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2469    X509_CERT_FILE_CTX was removed.
2470
2471    *Rich Salz*
2472
2473  * "shared" builds are now the default. To create only static libraries use
2474    the "no-shared" Configure option.
2475
2476    *Matt Caswell*
2477
2478  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2479    All of these option have not worked for some while and are fundamental
2480    algorithms.
2481
2482    *Matt Caswell*
2483
2484  * Make various cleanup routines no-ops and mark them as deprecated. Most
2485    global cleanup functions are no longer required because they are handled
2486    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2487    Explicitly de-initing can cause problems (e.g. where a library that uses
2488    OpenSSL de-inits, but an application is still using it). The affected
2489    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2490    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2491    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2492    COMP_zlib_cleanup().
2493
2494    *Matt Caswell*
2495
2496  * --strict-warnings no longer enables runtime debugging options
2497    such as REF_DEBUG. Instead, debug options are automatically
2498    enabled with '--debug' builds.
2499
2500    *Andy Polyakov, Emilia Käsper*
2501
2502  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2503    have been moved out of the public header files. New functions for managing
2504    these have been added.
2505
2506    *Matt Caswell*
2507
2508  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2509    objects have been moved out of the public header files. New
2510    functions for managing these have been added.
2511
2512    *Richard Levitte*
2513
2514  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2515    have been moved out of the public header files. New functions for managing
2516    these have been added.
2517
2518    *Matt Caswell*
2519
2520  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2521    moved out of the public header files. New functions for managing these
2522    have been added.
2523
2524    *Matt Caswell*
2525
2526  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2527
2528    *Matt Caswell*
2529
2530  * Removed the mk1mf build scripts.
2531
2532    *Richard Levitte*
2533
2534  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2535    it is always safe to #include a header now.
2536
2537    *Rich Salz*
2538
2539  * Removed the aged BC-32 config and all its supporting scripts
2540
2541    *Richard Levitte*
2542
2543  * Removed support for Ultrix, Netware, and OS/2.
2544
2545    *Rich Salz*
2546
2547  * Add support for HKDF.
2548
2549    *Alessandro Ghedini*
2550
2551  * Add support for blake2b and blake2s
2552
2553    *Bill Cox*
2554
2555  * Added support for "pipelining". Ciphers that have the
2556    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2557    encryptions/decryptions simultaneously. There are currently no built-in
2558    ciphers with this property but the expectation is that engines will be able
2559    to offer it to significantly improve throughput. Support has been extended
2560    into libssl so that multiple records for a single connection can be
2561    processed in one go (for >=TLS 1.1).
2562
2563    *Matt Caswell*
2564
2565  * Added the AFALG engine. This is an async capable engine which is able to
2566    offload work to the Linux kernel. In this initial version it only supports
2567    AES128-CBC. The kernel must be version 4.1.0 or greater.
2568
2569    *Catriona Lucey*
2570
2571  * OpenSSL now uses a new threading API. It is no longer necessary to
2572    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2573    are two supported threading models: pthreads and windows threads. It is
2574    also possible to configure OpenSSL at compile time for "no-threads". The
2575    old threading API should no longer be used. The functions have been
2576    replaced with "no-op" compatibility macros.
2577
2578    *Alessandro Ghedini, Matt Caswell*
2579
2580  * Modify behavior of ALPN to invoke callback after SNI/servername
2581    callback, such that updates to the SSL_CTX affect ALPN.
2582
2583    *Todd Short*
2584
2585  * Add SSL_CIPHER queries for authentication and key-exchange.
2586
2587    *Todd Short*
2588
2589  * Changes to the DEFAULT cipherlist:
2590      - Prefer (EC)DHE handshakes over plain RSA.
2591      - Prefer AEAD ciphers over legacy ciphers.
2592      - Prefer ECDSA over RSA when both certificates are available.
2593      - Prefer TLSv1.2 ciphers/PRF.
2594      - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2595        default cipherlist.
2596
2597    *Emilia Käsper*
2598
2599  * Change the ECC default curve list to be this, in order: x25519,
2600    secp256r1, secp521r1, secp384r1.
2601
2602    *Rich Salz*
2603
2604  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2605    disabled by default. They can be re-enabled using the
2606    enable-weak-ssl-ciphers option to Configure.
2607
2608    *Matt Caswell*
2609
2610  * If the server has ALPN configured, but supports no protocols that the
2611    client advertises, send a fatal "no_application_protocol" alert.
2612    This behaviour is SHALL in RFC 7301, though it isn't universally
2613    implemented by other servers.
2614
2615    *Emilia Käsper*
2616
2617  * Add X25519 support.
2618    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2619    for public and private key encoding using the format documented in
2620    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2621    key generation and key derivation.
2622
2623    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2624    X25519(29).
2625
2626    *Steve Henson*
2627
2628  * Deprecate SRP_VBASE_get_by_user.
2629    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2630    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2631    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2632    seed, even if the seed is configured.
2633
2634    Users should use SRP_VBASE_get1_by_user instead. Note that in
2635    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2636    also that even though configuring the SRP seed attempts to hide
2637    invalid usernames by continuing the handshake with fake
2638    credentials, this behaviour is not constant time and no strong
2639    guarantees are made that the handshake is indistinguishable from
2640    that of a valid user.
2641
2642    *Emilia Käsper*
2643
2644  * Configuration change; it's now possible to build dynamic engines
2645    without having to build shared libraries and vice versa.  This
2646    only applies to the engines in engines/, those in crypto/engine/
2647    will always be built into libcrypto (i.e. "static").
2648
2649    Building dynamic engines is enabled by default; to disable, use
2650    the configuration option "disable-dynamic-engine".
2651
2652    The only requirements for building dynamic engines are the
2653    presence of the DSO module and building with position independent
2654    code, so they will also automatically be disabled if configuring
2655    with "disable-dso" or "disable-pic".
2656
2657    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2658    are also taken away from openssl/opensslconf.h, as they are
2659    irrelevant.
2660
2661    *Richard Levitte*
2662
2663  * Configuration change; if there is a known flag to compile
2664    position independent code, it will always be applied on the
2665    libcrypto and libssl object files, and never on the application
2666    object files.  This means other libraries that use routines from
2667    libcrypto / libssl can be made into shared libraries regardless
2668    of how OpenSSL was configured.
2669
2670    If this isn't desirable, the configuration options "disable-pic"
2671    or "no-pic" can be used to disable the use of PIC.  This will
2672    also disable building shared libraries and dynamic engines.
2673
2674    *Richard Levitte*
2675
2676  * Removed JPAKE code.  It was experimental and has no wide use.
2677
2678    *Rich Salz*
2679
2680  * The INSTALL_PREFIX Makefile variable has been renamed to
2681    DESTDIR.  That makes for less confusion on what this variable
2682    is for.  Also, the configuration option --install_prefix is
2683    removed.
2684
2685    *Richard Levitte*
2686
2687  * Heartbeat for TLS has been removed and is disabled by default
2688    for DTLS; configure with enable-heartbeats.  Code that uses the
2689    old #define's might need to be updated.
2690
2691    *Emilia Käsper, Rich Salz*
2692
2693  * Rename REF_CHECK to REF_DEBUG.
2694
2695    *Rich Salz*
2696
2697  * New "unified" build system
2698
2699    The "unified" build system is aimed to be a common system for all
2700    platforms we support.  With it comes new support for VMS.
2701
2702    This system builds supports building in a different directory tree
2703    than the source tree.  It produces one Makefile (for unix family
2704    or lookalikes), or one descrip.mms (for VMS).
2705
2706    The source of information to make the Makefile / descrip.mms is
2707    small files called 'build.info', holding the necessary
2708    information for each directory with source to compile, and a
2709    template in Configurations, like unix-Makefile.tmpl or
2710    descrip.mms.tmpl.
2711
2712    With this change, the library names were also renamed on Windows
2713    and on VMS.  They now have names that are closer to the standard
2714    on Unix, and include the major version number, and in certain
2715    cases, the architecture they are built for.  See "Notes on shared
2716    libraries" in INSTALL.
2717
2718    We rely heavily on the perl module Text::Template.
2719
2720    *Richard Levitte*
2721
2722  * Added support for auto-initialisation and de-initialisation of the library.
2723    OpenSSL no longer requires explicit init or deinit routines to be called,
2724    except in certain circumstances. See the OPENSSL_init_crypto() and
2725    OPENSSL_init_ssl() man pages for further information.
2726
2727    *Matt Caswell*
2728
2729  * The arguments to the DTLSv1_listen function have changed. Specifically the
2730    "peer" argument is now expected to be a BIO_ADDR object.
2731
2732  * Rewrite of BIO networking library. The BIO library lacked consistent
2733    support of IPv6, and adding it required some more extensive
2734    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2735    which hold all types of addresses and chains of address information.
2736    It also introduces a new API, with functions like BIO_socket,
2737    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2738    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2739    have been adapted accordingly.
2740
2741    *Richard Levitte*
2742
2743  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2744    the leading 0-byte.
2745
2746    *Emilia Käsper*
2747
2748  * CRIME protection: disable compression by default, even if OpenSSL is
2749    compiled with zlib enabled. Applications can still enable compression
2750    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2751    using the SSL_CONF library to configure compression.
2752
2753    *Emilia Käsper*
2754
2755  * The signature of the session callback configured with
2756    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2757    was explicitly marked as 'const unsigned char*' instead of
2758    'unsigned char*'.
2759
2760    *Emilia Käsper*
2761
2762  * Always DPURIFY. Remove the use of uninitialized memory in the
2763    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2764
2765    *Emilia Käsper*
2766
2767  * Removed many obsolete configuration items, including
2768       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2769       MD2_CHAR, MD2_INT, MD2_LONG
2770       BF_PTR, BF_PTR2
2771       IDEA_SHORT, IDEA_LONG
2772       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2773
2774    *Rich Salz, with advice from Andy Polyakov*
2775
2776  * Many BN internals have been moved to an internal header file.
2777
2778    *Rich Salz with help from Andy Polyakov*
2779
2780  * Configuration and writing out the results from it has changed.
2781    Files such as Makefile include/openssl/opensslconf.h and are now
2782    produced through general templates, such as Makefile.in and
2783    crypto/opensslconf.h.in and some help from the perl module
2784    Text::Template.
2785
2786    Also, the center of configuration information is no longer
2787    Makefile.  Instead, Configure produces a perl module in
2788    configdata.pm which holds most of the config data (in the hash
2789    table %config), the target data that comes from the target
2790    configuration in one of the Configurations/*.conf files (in
2791    %target).
2792
2793    *Richard Levitte*
2794
2795  * To clarify their intended purposes, the Configure options
2796    --prefix and --openssldir change their semantics, and become more
2797    straightforward and less interdependent.
2798
2799    --prefix shall be used exclusively to give the location INSTALLTOP
2800    where programs, scripts, libraries, include files and manuals are
2801    going to be installed.  The default is now /usr/local.
2802
2803    --openssldir shall be used exclusively to give the default
2804    location OPENSSLDIR where certificates, private keys, CRLs are
2805    managed.  This is also where the default openssl.cnf gets
2806    installed.
2807    If the directory given with this option is a relative path, the
2808    values of both the --prefix value and the --openssldir value will
2809    be combined to become OPENSSLDIR.
2810    The default for --openssldir is INSTALLTOP/ssl.
2811
2812    Anyone who uses --openssldir to specify where OpenSSL is to be
2813    installed MUST change to use --prefix instead.
2814
2815    *Richard Levitte*
2816
2817  * The GOST engine was out of date and therefore it has been removed. An up
2818    to date GOST engine is now being maintained in an external repository.
2819    See: https://wiki.openssl.org/index.php/Binaries. Libssl still retains
2820    support for GOST ciphersuites (these are only activated if a GOST engine
2821    is present).
2822
2823    *Matt Caswell*
2824
2825  * EGD is no longer supported by default; use enable-egd when
2826    configuring.
2827
2828    *Ben Kaduk and Rich Salz*
2829
2830  * The distribution now has Makefile.in files, which are used to
2831    create Makefile's when Configure is run.  *Configure must be run
2832    before trying to build now.*
2833
2834    *Rich Salz*
2835
2836  * The return value for SSL_CIPHER_description() for error conditions
2837    has changed.
2838
2839    *Rich Salz*
2840
2841  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2842
2843    Obtaining and performing DNSSEC validation of TLSA records is
2844    the application's responsibility.  The application provides
2845    the TLSA records of its choice to OpenSSL, and these are then
2846    used to authenticate the peer.
2847
2848    The TLSA records need not even come from DNS.  They can, for
2849    example, be used to implement local end-entity certificate or
2850    trust-anchor "pinning", where the "pin" data takes the form
2851    of TLSA records, which can augment or replace verification
2852    based on the usual WebPKI public certification authorities.
2853
2854    *Viktor Dukhovni*
2855
2856  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2857    continues to support deprecated interfaces in default builds.
2858    However, applications are strongly advised to compile their
2859    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2860    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2861    or the 1.1.0 releases.
2862
2863    In environments in which all applications have been ported to
2864    not use any deprecated interfaces OpenSSL's Configure script
2865    should be used with the --api=1.1.0 option to entirely remove
2866    support for the deprecated features from the library and
2867    unconditionally disable them in the installed headers.
2868    Essentially the same effect can be achieved with the "no-deprecated"
2869    argument to Configure, except that this will always restrict
2870    the build to just the latest API, rather than a fixed API
2871    version.
2872
2873    As applications are ported to future revisions of the API,
2874    they should update their compile-time OPENSSL_API_COMPAT define
2875    accordingly, but in most cases should be able to continue to
2876    compile with later releases.
2877
2878    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2879    0x10000000L and 0x00908000L, respectively.  However those
2880    versions did not support the OPENSSL_API_COMPAT feature, and
2881    so applications are not typically tested for explicit support
2882    of just the undeprecated features of either release.
2883
2884    *Viktor Dukhovni*
2885
2886  * Add support for setting the minimum and maximum supported protocol.
2887    It can bet set via the SSL_set_min_proto_version() and
2888    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2889    MaxProtocol.  It's recommended to use the new APIs to disable
2890    protocols instead of disabling individual protocols using
2891    SSL_set_options() or SSL_CONF's Protocol.  This change also
2892    removes support for disabling TLS 1.2 in the OpenSSL TLS
2893    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2894
2895    *Kurt Roeckx*
2896
2897  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2898
2899    *Andy Polyakov*
2900
2901  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2902    and integrates ECDSA and ECDH functionality into EC. Implementations can
2903    now redirect key generation and no longer need to convert to or from
2904    ECDSA_SIG format.
2905
2906    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2907    include the ec.h header file instead.
2908
2909    *Steve Henson*
2910
2911  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2912    ciphers who are no longer supported and drops support the ephemeral RSA key
2913    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2914
2915    *Kurt Roeckx*
2916
2917  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2918    opaque.  For HMAC_CTX, the following constructors and destructors
2919    were added:
2920
2921       HMAC_CTX *HMAC_CTX_new(void);
2922       void HMAC_CTX_free(HMAC_CTX *ctx);
2923
2924    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2925    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2926    EVP_CIPHER_meth_new(3) for documentation.
2927
2928    Additional changes:
2929    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2930       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2931       EVP_MD_CTX_reset() should be called instead to reinitialise
2932       an already created structure.
2933    2) For consistency with the majority of our object creators and
2934       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2935       EVP_MD_CTX_(new|free).  The old names are retained as macros
2936       for deprecated builds.
2937
2938    *Richard Levitte*
2939
2940  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2941    cryptographic operations to be performed asynchronously as long as an
2942    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2943    further details. Libssl has also had this capability integrated with the
2944    introduction of the new mode SSL_MODE_ASYNC and associated error
2945    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2946    pages. This work was developed in partnership with Intel Corp.
2947
2948    *Matt Caswell*
2949
2950  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2951    always enabled now.  If you want to disable the support you should
2952    exclude it using the list of supported ciphers. This also means that the
2953    "-no_ecdhe" option has been removed from s_server.
2954
2955    *Kurt Roeckx*
2956
2957  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
2958    SSL_{CTX_}set1_curves() which can set a list.
2959
2960    *Kurt Roeckx*
2961
2962  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
2963    curve you want to support using SSL_{CTX_}set1_curves().
2964
2965    *Kurt Roeckx*
2966
2967  * State machine rewrite. The state machine code has been significantly
2968    refactored in order to remove much duplication of code and solve issues
2969    with the old code (see ssl/statem/README for further details). This change
2970    does have some associated API changes. Notably the SSL_state() function
2971    has been removed and replaced by SSL_get_state which now returns an
2972    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
2973    altogether. The previous handshake states defined in ssl.h and ssl3.h have
2974    also been removed.
2975
2976    *Matt Caswell*
2977
2978  * All instances of the string "ssleay" in the public API were replaced
2979    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
2980    Some error codes related to internal RSA_eay API's were renamed.
2981
2982    *Rich Salz*
2983
2984  * The demo files in crypto/threads were moved to demo/threads.
2985
2986    *Rich Salz*
2987
2988  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
2989    sureware and ubsec.
2990
2991    *Matt Caswell, Rich Salz*
2992
2993  * New ASN.1 embed macro.
2994
2995    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
2996    structure is not allocated: it is part of the parent. That is instead of
2997
2998            FOO *x;
2999
3000    it must be:
3001
3002            FOO x;
3003
3004    This reduces memory fragmentation and make it impossible to accidentally
3005    set a mandatory field to NULL.
3006
3007    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3008    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3009    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3010    SEQUENCE OF.
3011
3012    *Steve Henson*
3013
3014  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3015
3016    *Emilia Käsper*
3017
3018  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3019    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3020    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3021    DES and RC4 ciphersuites.
3022
3023    *Matt Caswell*
3024
3025  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3026    This changes the decoding behaviour for some invalid messages,
3027    though the change is mostly in the more lenient direction, and
3028    legacy behaviour is preserved as much as possible.
3029
3030    *Emilia Käsper*
3031
3032  * Fix no-stdio build.
3033    * David Woodhouse <David.Woodhouse@intel.com> and also
3034     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3035
3036  * New testing framework
3037    The testing framework has been largely rewritten and is now using
3038    perl and the perl modules Test::Harness and an extended variant of
3039    Test::More called OpenSSL::Test to do its work.  All test scripts in
3040    test/ have been rewritten into test recipes, and all direct calls to
3041    executables in test/Makefile have become individual recipes using the
3042    simplified testing OpenSSL::Test::Simple.
3043
3044    For documentation on our testing modules, do:
3045
3046            perldoc test/testlib/OpenSSL/Test/Simple.pm
3047            perldoc test/testlib/OpenSSL/Test.pm
3048
3049    *Richard Levitte*
3050
3051  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3052    are used; the latter aborts on memory leaks (usually checked on exit).
3053    Some undocumented "set malloc, etc., hooks" functions were removed
3054    and others were changed.  All are now documented.
3055
3056    *Rich Salz*
3057
3058  * In DSA_generate_parameters_ex, if the provided seed is too short,
3059    return an error
3060
3061    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3062
3063  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3064    from RFC4279, RFC4785, RFC5487, RFC5489.
3065
3066    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3067    original RSA_PSK patch.
3068
3069    *Steve Henson*
3070
3071  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3072    era flag was never set throughout the codebase (only read). Also removed
3073    SSL3_FLAGS_POP_BUFFER which was only used if
3074    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3075
3076    *Matt Caswell*
3077
3078  * Changed the default name options in the "ca", "crl", "req" and "x509"
3079    to be "oneline" instead of "compat".
3080
3081    *Richard Levitte*
3082
3083  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3084    not aware of clients that still exhibit this bug, and the workaround
3085    hasn't been working properly for a while.
3086
3087    *Emilia Käsper*
3088
3089  * The return type of BIO_number_read() and BIO_number_written() as well as
3090    the corresponding num_read and num_write members in the BIO structure has
3091    changed from unsigned long to uint64_t. On platforms where an unsigned
3092    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3093    transferred.
3094
3095    *Matt Caswell*
3096
3097  * Given the pervasive nature of TLS extensions it is inadvisable to run
3098    OpenSSL without support for them. It also means that maintaining
3099    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3100    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3101
3102    *Matt Caswell*
3103
3104  * Removed support for the two export grade static DH ciphersuites
3105    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3106    were newly added (along with a number of other static DH ciphersuites) to
3107    1.0.2. However the two export ones have *never* worked since they were
3108    introduced. It seems strange in any case to be adding new export
3109    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3110
3111    *Matt Caswell*
3112
3113  * Version negotiation has been rewritten. In particular SSLv23_method(),
3114    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3115    and turned into macros which simply call the new preferred function names
3116    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3117    should use the new names instead. Also as part of this change the ssl23.h
3118    header file has been removed.
3119
3120    *Matt Caswell*
3121
3122  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3123    code and the associated standard is no longer considered fit-for-purpose.
3124
3125    *Matt Caswell*
3126
3127  * RT2547 was closed.  When generating a private key, try to make the
3128    output file readable only by the owner.  This behavior change might
3129    be noticeable when interacting with other software.
3130
3131  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3132    Added a test.
3133
3134    *Rich Salz*
3135
3136  * Added HTTP GET support to the ocsp command.
3137
3138    *Rich Salz*
3139
3140  * Changed default digest for the dgst and enc commands from MD5 to
3141    sha256
3142
3143    *Rich Salz*
3144
3145  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3146
3147    *Matt Caswell*
3148
3149  * Added support for TLS extended master secret from
3150    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3151    initial patch which was a great help during development.
3152
3153    *Steve Henson*
3154
3155  * All libssl internal structures have been removed from the public header
3156    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3157    now redundant). Users should not attempt to access internal structures
3158    directly. Instead they should use the provided API functions.
3159
3160    *Matt Caswell*
3161
3162  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3163    Access to deprecated functions can be re-enabled by running config with
3164    "enable-deprecated". In addition applications wishing to use deprecated
3165    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3166    will, by default, disable some transitive includes that previously existed
3167    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3168
3169    *Matt Caswell*
3170
3171  * Added support for OCB mode. OpenSSL has been granted a patent license
3172    compatible with the OpenSSL license for use of OCB. Details are available
3173    at https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf. Support
3174    for OCB can be removed by calling config with no-ocb.
3175
3176    *Matt Caswell*
3177
3178  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3179    compatible client hello.
3180
3181    *Kurt Roeckx*
3182
3183  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3184    done while fixing the error code for the key-too-small case.
3185
3186    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3187
3188  * CA.sh has been removed; use CA.pl instead.
3189
3190    *Rich Salz*
3191
3192  * Removed old DES API.
3193
3194    *Rich Salz*
3195
3196  * Remove various unsupported platforms:
3197       Sony NEWS4
3198       BEOS and BEOS_R5
3199       NeXT
3200       SUNOS
3201       MPE/iX
3202       Sinix/ReliantUNIX RM400
3203       DGUX
3204       NCR
3205       Tandem
3206       Cray
3207       16-bit platforms such as WIN16
3208
3209    *Rich Salz*
3210
3211  * Clean up OPENSSL_NO_xxx #define's
3212     - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3213     - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3214     - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3215     - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3216     - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3217     - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3218       OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3219       OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3220       OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3221     - Remove MS_STATIC; it's a relic from platforms <32 bits.
3222
3223    *Rich Salz*
3224
3225  * Cleaned up dead code
3226      Remove all but one '#ifdef undef' which is to be looked at.
3227
3228    *Rich Salz*
3229
3230  * Clean up calling of xxx_free routines.
3231       Just like free(), fix most of the xxx_free routines to accept
3232       NULL.  Remove the non-null checks from callers.  Save much code.
3233
3234    *Rich Salz*
3235
3236  * Add secure heap for storage of private keys (when possible).
3237    Add BIO_s_secmem(), CBIGNUM, etc.
3238    Contributed by Akamai Technologies under our Corporate CLA.
3239
3240    *Rich Salz*
3241
3242  * Experimental support for a new, fast, unbiased prime candidate generator,
3243    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3244
3245    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3246
3247  * New output format NSS in the sess_id command line tool. This allows
3248    exporting the session id and the master key in NSS keylog format.
3249
3250    *Martin Kaiser <martin@kaiser.cx>*
3251
3252  * Harmonize version and its documentation. -f flag is used to display
3253    compilation flags.
3254
3255    *mancha <mancha1@zoho.com>*
3256
3257  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3258    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3259
3260    *mancha <mancha1@zoho.com>*
3261
3262  * Fix some double frees. These are not thought to be exploitable.
3263
3264    *mancha <mancha1@zoho.com>*
3265
3266  * A missing bounds check in the handling of the TLS heartbeat extension
3267    can be used to reveal up to 64k of memory to a connected client or
3268    server.
3269
3270    Thanks for Neel Mehta of Google Security for discovering this bug and to
3271    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3272    preparing the fix [CVE-2014-0160][]
3273
3274    *Adam Langley, Bodo Moeller*
3275
3276  * Fix for the attack described in the paper "Recovering OpenSSL
3277    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3278    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3279    http://eprint.iacr.org/2014/140
3280
3281    Thanks to Yuval Yarom and Naomi Benger for discovering this
3282    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3283
3284    *Yuval Yarom and Naomi Benger*
3285
3286  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3287    this fixes a limitation in previous versions of OpenSSL.
3288
3289    *Steve Henson*
3290
3291  * Experimental encrypt-then-mac support.
3292
3293    Experimental support for encrypt then mac from
3294    draft-gutmann-tls-encrypt-then-mac-02.txt
3295
3296    To enable it set the appropriate extension number (0x42 for the test
3297    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3298
3299    For non-compliant peers (i.e. just about everything) this should have no
3300    effect.
3301
3302    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3303
3304
3305    *Steve Henson*
3306
3307  * Add EVP support for key wrapping algorithms, to avoid problems with
3308    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3309    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3310    algorithms and include tests cases.
3311
3312    *Steve Henson*
3313
3314  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3315    enveloped data.
3316
3317    *Steve Henson*
3318
3319  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3320    MGF1 digest and OAEP label.
3321
3322    *Steve Henson*
3323
3324  * Make openssl verify return errors.
3325
3326    *Chris Palmer <palmer@google.com> and Ben Laurie*
3327
3328  * New function ASN1_TIME_diff to calculate the difference between two
3329    ASN1_TIME structures or one structure and the current time.
3330
3331    *Steve Henson*
3332
3333  * Update fips_test_suite to support multiple command line options. New
3334    test to induce all self test errors in sequence and check expected
3335    failures.
3336
3337    *Steve Henson*
3338
3339  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3340    sign or verify all in one operation.
3341
3342    *Steve Henson*
3343
3344  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3345    test programs and fips_test_suite. Includes functionality to parse
3346    the minimal script output of fipsalgest.pl directly.
3347
3348    *Steve Henson*
3349
3350  * Add authorisation parameter to FIPS_module_mode_set().
3351
3352    *Steve Henson*
3353
3354  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3355
3356    *Steve Henson*
3357
3358  * Use separate DRBG fields for internal and external flags. New function
3359    FIPS_drbg_health_check() to perform on demand health checking. Add
3360    generation tests to fips_test_suite with reduced health check interval to
3361    demonstrate periodic health checking. Add "nodh" option to
3362    fips_test_suite to skip very slow DH test.
3363
3364    *Steve Henson*
3365
3366  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3367    based on NID.
3368
3369    *Steve Henson*
3370
3371  * More extensive health check for DRBG checking many more failure modes.
3372    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3373    combination: call this in fips_test_suite.
3374
3375    *Steve Henson*
3376
3377  * Add support for canonical generation of DSA parameter 'g'. See
3378    FIPS 186-3 A.2.3.
3379
3380  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3381    POST to handle HMAC cases.
3382
3383    *Steve Henson*
3384
3385  * Add functions FIPS_module_version() and FIPS_module_version_text()
3386    to return numerical and string versions of the FIPS module number.
3387
3388    *Steve Henson*
3389
3390  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3391    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3392    outside the validated module in the FIPS capable OpenSSL.
3393
3394    *Steve Henson*
3395
3396  * Minor change to DRBG entropy callback semantics. In some cases
3397    there is no multiple of the block length between min_len and
3398    max_len. Allow the callback to return more than max_len bytes
3399    of entropy but discard any extra: it is the callback's responsibility
3400    to ensure that the extra data discarded does not impact the
3401    requested amount of entropy.
3402
3403    *Steve Henson*
3404
3405  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3406    information in FIPS186-3, SP800-57 and SP800-131A.
3407
3408    *Steve Henson*
3409
3410  * CCM support via EVP. Interface is very similar to GCM case except we
3411    must supply all data in one chunk (i.e. no update, final) and the
3412    message length must be supplied if AAD is used. Add algorithm test
3413    support.
3414
3415    *Steve Henson*
3416
3417  * Initial version of POST overhaul. Add POST callback to allow the status
3418    of POST to be monitored and/or failures induced. Modify fips_test_suite
3419    to use callback. Always run all selftests even if one fails.
3420
3421    *Steve Henson*
3422
3423  * XTS support including algorithm test driver in the fips_gcmtest program.
3424    Note: this does increase the maximum key length from 32 to 64 bytes but
3425    there should be no binary compatibility issues as existing applications
3426    will never use XTS mode.
3427
3428    *Steve Henson*
3429
3430  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3431    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3432    performs algorithm blocking for unapproved PRNG types. Also do not
3433    set PRNG type in FIPS_mode_set(): leave this to the application.
3434    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3435    the standard OpenSSL PRNG: set additional data to a date time vector.
3436
3437    *Steve Henson*
3438
3439  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3440    This shouldn't present any incompatibility problems because applications
3441    shouldn't be using these directly and any that are will need to rethink
3442    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3443
3444    *Steve Henson*
3445
3446  * Extensive self tests and health checking required by SP800-90 DRBG.
3447    Remove strength parameter from FIPS_drbg_instantiate and always
3448    instantiate at maximum supported strength.
3449
3450    *Steve Henson*
3451
3452  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3453
3454    *Steve Henson*
3455
3456  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3457
3458    *Steve Henson*
3459
3460  * New function DH_compute_key_padded() to compute a DH key and pad with
3461    leading zeroes if needed: this complies with SP800-56A et al.
3462
3463    *Steve Henson*
3464
3465  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3466    anything, incomplete, subject to change and largely untested at present.
3467
3468    *Steve Henson*
3469
3470  * Modify fipscanisteronly build option to only build the necessary object
3471    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3472
3473    *Steve Henson*
3474
3475  * Add experimental option FIPSSYMS to give all symbols in
3476    fipscanister.o and FIPS or fips prefix. This will avoid
3477    conflicts with future versions of OpenSSL. Add perl script
3478    util/fipsas.pl to preprocess assembly language source files
3479    and rename any affected symbols.
3480
3481    *Steve Henson*
3482
3483  * Add selftest checks and algorithm block of non-fips algorithms in
3484    FIPS mode. Remove DES2 from selftests.
3485
3486    *Steve Henson*
3487
3488  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3489    return internal method without any ENGINE dependencies. Add new
3490    tiny fips sign and verify functions.
3491
3492    *Steve Henson*
3493
3494  * New build option no-ec2m to disable characteristic 2 code.
3495
3496    *Steve Henson*
3497
3498  * New build option "fipscanisteronly". This only builds fipscanister.o
3499    and (currently) associated fips utilities. Uses the file Makefile.fips
3500    instead of Makefile.org as the prototype.
3501
3502    *Steve Henson*
3503
3504  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3505    Update fips_gcmtest to use IV generator.
3506
3507    *Steve Henson*
3508
3509  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3510    setting output buffer to NULL. The *Final function must be
3511    called although it will not retrieve any additional data. The tag
3512    can be set or retrieved with a ctrl. The IV length is by default 12
3513    bytes (96 bits) but can be set to an alternative value. If the IV
3514    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3515    set before the key.
3516
3517    *Steve Henson*
3518
3519  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3520    underlying do_cipher function handles all cipher semantics itself
3521    including padding and finalisation. This is useful if (for example)
3522    an ENGINE cipher handles block padding itself. The behaviour of
3523    do_cipher is subtly changed if this flag is set: the return value
3524    is the number of characters written to the output buffer (zero is
3525    no longer an error code) or a negative error code. Also if the
3526    input buffer is NULL and length 0 finalisation should be performed.
3527
3528    *Steve Henson*
3529
3530  * If a candidate issuer certificate is already part of the constructed
3531    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3532
3533    *Steve Henson*
3534
3535  * Improve forward-security support: add functions
3536
3537            void SSL_CTX_set_not_resumable_session_callback(
3538                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3539            void SSL_set_not_resumable_session_callback(
3540                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3541
3542    for use by SSL/TLS servers; the callback function will be called whenever a
3543    new session is created, and gets to decide whether the session may be
3544    cached to make it resumable (return 0) or not (return 1).  (As by the
3545    SSL/TLS protocol specifications, the session_id sent by the server will be
3546    empty to indicate that the session is not resumable; also, the server will
3547    not generate RFC 4507 (RFC 5077) session tickets.)
3548
3549    A simple reasonable callback implementation is to return is_forward_secure.
3550    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3551    by the SSL/TLS server library, indicating whether it can provide forward
3552    security.
3553
3554    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3555
3556  * New -verify_name option in command line utilities to set verification
3557    parameters by name.
3558
3559    *Steve Henson*
3560
3561  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3562    Add CMAC pkey methods.
3563
3564    *Steve Henson*
3565
3566  * Experimental renegotiation in s_server -www mode. If the client
3567    browses /reneg connection is renegotiated. If /renegcert it is
3568    renegotiated requesting a certificate.
3569
3570    *Steve Henson*
3571
3572  * Add an "external" session cache for debugging purposes to s_server. This
3573    should help trace issues which normally are only apparent in deployed
3574    multi-process servers.
3575
3576    *Steve Henson*
3577
3578  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3579    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3580    BIO_set_cipher() and some obscure PEM functions were changed so they
3581    can now return an error. The RAND changes required a change to the
3582    RAND_METHOD structure.
3583
3584    *Steve Henson*
3585
3586  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3587    a gcc attribute to warn if the result of a function is ignored. This
3588    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3589    whose return value is often ignored.
3590
3591    *Steve Henson*
3592
3593  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3594    These allow SCTs (signed certificate timestamps) to be requested and
3595    validated when establishing a connection.
3596
3597    *Rob Percival <robpercival@google.com>*
3598
3599 OpenSSL 1.0.2
3600 -------------
3601
3602 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019] ###
3603
3604  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3605    used even when parsing explicit parameters, when loading a serialized key
3606    or calling `EC_GROUP_new_from_ecpkparameters()`/
3607    `EC_GROUP_new_from_ecparameters()`.
3608    This prevents bypass of security hardening and performance gains,
3609    especially for curves with specialized EC_METHODs.
3610    By default, if a key encoded with explicit parameters is loaded and later
3611    serialized, the output is still encoded with explicit parameters, even if
3612    internally a "named" EC_GROUP is used for computation.
3613
3614    *Nicola Tuveri*
3615
3616  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3617    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3618    NULL. After this change, only the cofactor parameter can be NULL. It also
3619    does some minimal sanity checks on the passed order.
3620    [CVE-2019-1547][]
3621
3622    *Billy Bob Brumley*
3623
3624  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3625    An attack is simple, if the first CMS_recipientInfo is valid but the
3626    second CMS_recipientInfo is chosen ciphertext. If the second
3627    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3628    encryption key will be replaced by garbage, and the message cannot be
3629    decoded, but if the RSA decryption fails, the correct encryption key is
3630    used and the recipient will not notice the attack.
3631    As a work around for this potential attack the length of the decrypted
3632    key must be equal to the cipher default key length, in case the
3633    certifiate is not given and all recipientInfo are tried out.
3634    The old behaviour can be re-enabled in the CMS code by setting the
3635    CMS_DEBUG_DECRYPT flag.
3636    [CVE-2019-1563][]
3637
3638    *Bernd Edlinger*
3639
3640  * Document issue with installation paths in diverse Windows builds
3641
3642    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3643    binaries and run-time config file.
3644    [CVE-2019-1552][]
3645
3646    *Richard Levitte*
3647
3648 ### Changes between 1.0.2r and 1.0.2s [28 May 2019] ###
3649
3650  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3651    This changes the size when using the genpkey app when no size is given. It
3652    fixes an omission in earlier changes that changed all RSA, DSA and DH
3653    generation apps to use 2048 bits by default.
3654
3655    *Kurt Roeckx*
3656
3657  * Add FIPS support for Android Arm 64-bit
3658
3659    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3660    Module in Version 2.0.10. For some reason, the corresponding target
3661    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3662    built with FIPS support on Android Arm 64-bit. This omission has been
3663    fixed.
3664
3665    *Matthias St. Pierre*
3666
3667 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019] ###
3668
3669  * 0-byte record padding oracle
3670
3671    If an application encounters a fatal protocol error and then calls
3672    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3673    then OpenSSL can respond differently to the calling application if a 0 byte
3674    record is received with invalid padding compared to if a 0 byte record is
3675    received with an invalid MAC. If the application then behaves differently
3676    based on that in a way that is detectable to the remote peer, then this
3677    amounts to a padding oracle that could be used to decrypt data.
3678
3679    In order for this to be exploitable "non-stitched" ciphersuites must be in
3680    use. Stitched ciphersuites are optimised implementations of certain
3681    commonly used ciphersuites. Also the application must call SSL_shutdown()
3682    twice even if a protocol error has occurred (applications should not do
3683    this but some do anyway).
3684
3685    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3686    Aviram, with additional investigation by Steven Collison and Andrew
3687    Hourselt. It was reported to OpenSSL on 10th December 2018.
3688    [CVE-2019-1559][]
3689
3690    *Matt Caswell*
3691
3692  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3693
3694    *Richard Levitte*
3695
3696 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018] ###
3697
3698  * Microarchitecture timing vulnerability in ECC scalar multiplication
3699
3700    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3701    shown to be vulnerable to a microarchitecture timing side channel attack.
3702    An attacker with sufficient access to mount local timing attacks during
3703    ECDSA signature generation could recover the private key.
3704
3705    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3706    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3707    Nicola Tuveri.
3708    [CVE-2018-5407][]
3709
3710    *Billy Brumley*
3711
3712  * Timing vulnerability in DSA signature generation
3713
3714    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3715    timing side channel attack. An attacker could use variations in the signing
3716    algorithm to recover the private key.
3717
3718    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3719    [CVE-2018-0734][]
3720
3721    *Paul Dale*
3722
3723  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3724    Module, accidentally introduced while backporting security fixes from the
3725    development branch and hindering the use of ECC in FIPS mode.
3726
3727    *Nicola Tuveri*
3728
3729 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018] ###
3730
3731  * Client DoS due to large DH parameter
3732
3733    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3734    malicious server can send a very large prime value to the client. This will
3735    cause the client to spend an unreasonably long period of time generating a
3736    key for this prime resulting in a hang until the client has finished. This
3737    could be exploited in a Denial Of Service attack.
3738
3739    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3740    [CVE-2018-0732][]
3741
3742    *Guido Vranken*
3743
3744  * Cache timing vulnerability in RSA Key Generation
3745
3746    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3747    a cache timing side channel attack. An attacker with sufficient access to
3748    mount cache timing attacks during the RSA key generation process could
3749    recover the private key.
3750
3751    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3752    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3753    [CVE-2018-0737][]
3754
3755    *Billy Brumley*
3756
3757  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3758    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3759    pem_str is reserved for alias entries only.
3760
3761    *Richard Levitte*
3762
3763  * Revert blinding in ECDSA sign and instead make problematic addition
3764    length-invariant. Switch even to fixed-length Montgomery multiplication.
3765
3766    *Andy Polyakov*
3767
3768  * Change generating and checking of primes so that the error rate of not
3769    being prime depends on the intended use based on the size of the input.
3770    For larger primes this will result in more rounds of Miller-Rabin.
3771    The maximal error rate for primes with more than 1080 bits is lowered
3772    to 2^-128.
3773
3774    *Kurt Roeckx, Annie Yousar*
3775
3776  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3777
3778    *Kurt Roeckx*
3779
3780  * Add blinding to ECDSA and DSA signatures to protect against side channel
3781    attacks discovered by Keegan Ryan (NCC Group).
3782
3783    *Matt Caswell*
3784
3785  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3786    now allow empty (zero character) pass phrases.
3787
3788    *Richard Levitte*
3789
3790  * Certificate time validation (X509_cmp_time) enforces stricter
3791    compliance with RFC 5280. Fractional seconds and timezone offsets
3792    are no longer allowed.
3793
3794    *Emilia Käsper*
3795
3796 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018] ###
3797
3798  * Constructed ASN.1 types with a recursive definition could exceed the stack
3799
3800    Constructed ASN.1 types with a recursive definition (such as can be found
3801    in PKCS7) could eventually exceed the stack given malicious input with
3802    excessive recursion. This could result in a Denial Of Service attack. There
3803    are no such structures used within SSL/TLS that come from untrusted sources
3804    so this is considered safe.
3805
3806    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3807    project.
3808    [CVE-2018-0739][]
3809
3810    *Matt Caswell*
3811
3812 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017] ###
3813
3814  * Read/write after SSL object in error state
3815
3816    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3817    mechanism. The intent was that if a fatal error occurred during a handshake
3818    then OpenSSL would move into the error state and would immediately fail if
3819    you attempted to continue the handshake. This works as designed for the
3820    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3821    SSL_connect()), however due to a bug it does not work correctly if
3822    SSL_read() or SSL_write() is called directly. In that scenario, if the
3823    handshake fails then a fatal error will be returned in the initial function
3824    call. If SSL_read()/SSL_write() is subsequently called by the application
3825    for the same SSL object then it will succeed and the data is passed without
3826    being decrypted/encrypted directly from the SSL/TLS record layer.
3827
3828    In order to exploit this issue an application bug would have to be present
3829    that resulted in a call to SSL_read()/SSL_write() being issued after having
3830    already received a fatal error.
3831
3832    This issue was reported to OpenSSL by David Benjamin (Google).
3833    [CVE-2017-3737][]
3834
3835    *Matt Caswell*
3836
3837  * rsaz_1024_mul_avx2 overflow bug on x86_64
3838
3839    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3840    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3841    Analysis suggests that attacks against RSA and DSA as a result of this
3842    defect would be very difficult to perform and are not believed likely.
3843    Attacks against DH1024 are considered just feasible, because most of the
3844    work necessary to deduce information about a private key may be performed
3845    offline. The amount of resources required for such an attack would be
3846    significant. However, for an attack on TLS to be meaningful, the server
3847    would have to share the DH1024 private key among multiple clients, which is
3848    no longer an option since CVE-2016-0701.
3849
3850    This only affects processors that support the AVX2 but not ADX extensions
3851    like Intel Haswell (4th generation).
3852
3853    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3854    was originally found via the OSS-Fuzz project.
3855    [CVE-2017-3738][]
3856
3857    *Andy Polyakov*
3858
3859 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017] ###
3860
3861  * bn_sqrx8x_internal carry bug on x86_64
3862
3863    There is a carry propagating bug in the x86_64 Montgomery squaring
3864    procedure. No EC algorithms are affected. Analysis suggests that attacks
3865    against RSA and DSA as a result of this defect would be very difficult to
3866    perform and are not believed likely. Attacks against DH are considered just
3867    feasible (although very difficult) because most of the work necessary to
3868    deduce information about a private key may be performed offline. The amount
3869    of resources required for such an attack would be very significant and
3870    likely only accessible to a limited number of attackers. An attacker would
3871    additionally need online access to an unpatched system using the target
3872    private key in a scenario with persistent DH parameters and a private
3873    key that is shared between multiple clients.
3874
3875    This only affects processors that support the BMI1, BMI2 and ADX extensions
3876    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3877
3878    This issue was reported to OpenSSL by the OSS-Fuzz project.
3879    [CVE-2017-3736][]
3880
3881    *Andy Polyakov*
3882
3883  * Malformed X.509 IPAddressFamily could cause OOB read
3884
3885    If an X.509 certificate has a malformed IPAddressFamily extension,
3886    OpenSSL could do a one-byte buffer overread. The most likely result
3887    would be an erroneous display of the certificate in text format.
3888
3889    This issue was reported to OpenSSL by the OSS-Fuzz project.
3890    [CVE-2017-3735][]
3891
3892    *Rich Salz*
3893
3894 ### Changes between 1.0.2k and 1.0.2l [25 May 2017] ###
3895
3896  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3897    platform rather than 'mingw'.
3898
3899    *Richard Levitte*
3900
3901 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017] ###
3902
3903  * Truncated packet could crash via OOB read
3904
3905    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3906    cipher is being used, then a truncated packet can cause that host to
3907    perform an out-of-bounds read, usually resulting in a crash.
3908
3909    This issue was reported to OpenSSL by Robert Święcki of Google.
3910    [CVE-2017-3731][]
3911
3912    *Andy Polyakov*
3913
3914  * BN_mod_exp may produce incorrect results on x86_64
3915
3916    There is a carry propagating bug in the x86_64 Montgomery squaring
3917    procedure. No EC algorithms are affected. Analysis suggests that attacks
3918    against RSA and DSA as a result of this defect would be very difficult to
3919    perform and are not believed likely. Attacks against DH are considered just
3920    feasible (although very difficult) because most of the work necessary to
3921    deduce information about a private key may be performed offline. The amount
3922    of resources required for such an attack would be very significant and
3923    likely only accessible to a limited number of attackers. An attacker would
3924    additionally need online access to an unpatched system using the target
3925    private key in a scenario with persistent DH parameters and a private
3926    key that is shared between multiple clients. For example this can occur by
3927    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3928    similar to CVE-2015-3193 but must be treated as a separate problem.
3929
3930    This issue was reported to OpenSSL by the OSS-Fuzz project.
3931    [CVE-2017-3732][]
3932
3933    *Andy Polyakov*
3934
3935  * Montgomery multiplication may produce incorrect results
3936
3937    There is a carry propagating bug in the Broadwell-specific Montgomery
3938    multiplication procedure that handles input lengths divisible by, but
3939    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
3940    and DH private keys are impossible. This is because the subroutine in
3941    question is not used in operations with the private key itself and an input
3942    of the attacker's direct choice. Otherwise the bug can manifest itself as
3943    transient authentication and key negotiation failures or reproducible
3944    erroneous outcome of public-key operations with specially crafted input.
3945    Among EC algorithms only Brainpool P-512 curves are affected and one
3946    presumably can attack ECDH key negotiation. Impact was not analyzed in
3947    detail, because pre-requisites for attack are considered unlikely. Namely
3948    multiple clients have to choose the curve in question and the server has to
3949    share the private key among them, neither of which is default behaviour.
3950    Even then only clients that chose the curve will be affected.
3951
3952    This issue was publicly reported as transient failures and was not
3953    initially recognized as a security issue. Thanks to Richard Morgan for
3954    providing reproducible case.
3955    [CVE-2016-7055][]
3956
3957    *Andy Polyakov*
3958
3959  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
3960    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
3961    prevent issues where no progress is being made and the peer continually
3962    sends unrecognised record types, using up resources processing them.
3963
3964    *Matt Caswell*
3965
3966 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016] ###
3967
3968  * Missing CRL sanity check
3969
3970    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
3971    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
3972    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
3973
3974    This issue only affects the OpenSSL 1.0.2i
3975    [CVE-2016-7052][]
3976
3977    *Matt Caswell*
3978
3979 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016] ###
3980
3981  * OCSP Status Request extension unbounded memory growth
3982
3983    A malicious client can send an excessively large OCSP Status Request
3984    extension. If that client continually requests renegotiation, sending a
3985    large OCSP Status Request extension each time, then there will be unbounded
3986    memory growth on the server. This will eventually lead to a Denial Of
3987    Service attack through memory exhaustion. Servers with a default
3988    configuration are vulnerable even if they do not support OCSP. Builds using
3989    the "no-ocsp" build time option are not affected.
3990
3991    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3992    [CVE-2016-6304][]
3993
3994    *Matt Caswell*
3995
3996  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
3997    HIGH to MEDIUM.
3998
3999    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
4000    Leurent (INRIA)
4001    [CVE-2016-2183][]
4002
4003    *Rich Salz*
4004
4005  * OOB write in MDC2_Update()
4006
4007    An overflow can occur in MDC2_Update() either if called directly or
4008    through the EVP_DigestUpdate() function using MDC2. If an attacker
4009    is able to supply very large amounts of input data after a previous
4010    call to EVP_EncryptUpdate() with a partial block then a length check
4011    can overflow resulting in a heap corruption.
4012
4013    The amount of data needed is comparable to SIZE_MAX which is impractical
4014    on most platforms.
4015
4016    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4017    [CVE-2016-6303][]
4018
4019    *Stephen Henson*
4020
4021  * Malformed SHA512 ticket DoS
4022
4023    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4024    DoS attack where a malformed ticket will result in an OOB read which will
4025    ultimately crash.
4026
4027    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4028    a custom server callback and ticket lookup mechanism.
4029
4030    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4031    [CVE-2016-6302][]
4032
4033    *Stephen Henson*
4034
4035  * OOB write in BN_bn2dec()
4036
4037    The function BN_bn2dec() does not check the return value of BN_div_word().
4038    This can cause an OOB write if an application uses this function with an
4039    overly large BIGNUM. This could be a problem if an overly large certificate
4040    or CRL is printed out from an untrusted source. TLS is not affected because
4041    record limits will reject an oversized certificate before it is parsed.
4042
4043    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4044    [CVE-2016-2182][]
4045
4046    *Stephen Henson*
4047
4048  * OOB read in TS_OBJ_print_bio()
4049
4050    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4051    the total length the OID text representation would use and not the amount
4052    of data written. This will result in OOB reads when large OIDs are
4053    presented.
4054
4055    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4056    [CVE-2016-2180][]
4057
4058    *Stephen Henson*
4059
4060  * Pointer arithmetic undefined behaviour
4061
4062    Avoid some undefined pointer arithmetic
4063
4064    A common idiom in the codebase is to check limits in the following manner:
4065    "p + len > limit"
4066
4067    Where "p" points to some malloc'd data of SIZE bytes and
4068    limit == p + SIZE
4069
4070    "len" here could be from some externally supplied data (e.g. from a TLS
4071    message).
4072
4073    The rules of C pointer arithmetic are such that "p + len" is only well
4074    defined where len <= SIZE. Therefore the above idiom is actually
4075    undefined behaviour.
4076
4077    For example this could cause problems if some malloc implementation
4078    provides an address for "p" such that "p + len" actually overflows for
4079    values of len that are too big and therefore p + len < limit.
4080
4081    This issue was reported to OpenSSL by Guido Vranken
4082    [CVE-2016-2177][]
4083
4084    *Matt Caswell*
4085
4086  * Constant time flag not preserved in DSA signing
4087
4088    Operations in the DSA signing algorithm should run in constant time in
4089    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4090    implementation means that a non-constant time codepath is followed for
4091    certain operations. This has been demonstrated through a cache-timing
4092    attack to be sufficient for an attacker to recover the private DSA key.
4093
4094    This issue was reported by César Pereida (Aalto University), Billy Brumley
4095    (Tampere University of Technology), and Yuval Yarom (The University of
4096    Adelaide and NICTA).
4097    [CVE-2016-2178][]
4098
4099    *César Pereida*
4100
4101  * DTLS buffered message DoS
4102
4103    In a DTLS connection where handshake messages are delivered out-of-order
4104    those messages that OpenSSL is not yet ready to process will be buffered
4105    for later use. Under certain circumstances, a flaw in the logic means that
4106    those messages do not get removed from the buffer even though the handshake
4107    has been completed. An attacker could force up to approx. 15 messages to
4108    remain in the buffer when they are no longer required. These messages will
4109    be cleared when the DTLS connection is closed. The default maximum size for
4110    a message is 100k. Therefore the attacker could force an additional 1500k
4111    to be consumed per connection. By opening many simulataneous connections an
4112    attacker could cause a DoS attack through memory exhaustion.
4113
4114    This issue was reported to OpenSSL by Quan Luo.
4115    [CVE-2016-2179][]
4116
4117    *Matt Caswell*
4118
4119  * DTLS replay protection DoS
4120
4121    A flaw in the DTLS replay attack protection mechanism means that records
4122    that arrive for future epochs update the replay protection "window" before
4123    the MAC for the record has been validated. This could be exploited by an
4124    attacker by sending a record for the next epoch (which does not have to
4125    decrypt or have a valid MAC), with a very large sequence number. This means
4126    that all subsequent legitimate packets are dropped causing a denial of
4127    service for a specific DTLS connection.
4128
4129    This issue was reported to OpenSSL by the OCAP audit team.
4130    [CVE-2016-2181][]
4131
4132    *Matt Caswell*
4133
4134  * Certificate message OOB reads
4135
4136    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4137    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4138    theoretical DoS risk but this has not been observed in practice on common
4139    platforms.
4140
4141    The messages affected are client certificate, client certificate request
4142    and server certificate. As a result the attack can only be performed
4143    against a client or a server which enables client authentication.
4144
4145    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4146    [CVE-2016-6306][]
4147
4148    *Stephen Henson*
4149
4150 ### Changes between 1.0.2g and 1.0.2h [3 May 2016] ###
4151
4152  * Prevent padding oracle in AES-NI CBC MAC check
4153
4154    A MITM attacker can use a padding oracle attack to decrypt traffic
4155    when the connection uses an AES CBC cipher and the server support
4156    AES-NI.
4157
4158    This issue was introduced as part of the fix for Lucky 13 padding
4159    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4160    constant time by making sure that always the same bytes are read and
4161    compared against either the MAC or padding bytes. But it no longer
4162    checked that there was enough data to have both the MAC and padding
4163    bytes.
4164
4165    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4166    [CVE-2016-2107][]
4167
4168    *Kurt Roeckx*
4169
4170  * Fix EVP_EncodeUpdate overflow
4171
4172    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4173    Base64 encoding of binary data. If an attacker is able to supply very large
4174    amounts of input data then a length check can overflow resulting in a heap
4175    corruption.
4176
4177    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4178    the PEM_write_bio* family of functions. These are mainly used within the
4179    OpenSSL command line applications, so any application which processes data
4180    from an untrusted source and outputs it as a PEM file should be considered
4181    vulnerable to this issue. User applications that call these APIs directly
4182    with large amounts of untrusted data may also be vulnerable.
4183
4184    This issue was reported by Guido Vranken.
4185    [CVE-2016-2105][]
4186
4187    *Matt Caswell*
4188
4189  * Fix EVP_EncryptUpdate overflow
4190
4191    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4192    is able to supply very large amounts of input data after a previous call to
4193    EVP_EncryptUpdate() with a partial block then a length check can overflow
4194    resulting in a heap corruption. Following an analysis of all OpenSSL
4195    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4196    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4197    the first called function after an EVP_EncryptInit(), and therefore that
4198    specific call must be safe. The second form is where the length passed to
4199    EVP_EncryptUpdate() can be seen from the code to be some small value and
4200    therefore there is no possibility of an overflow. Since all instances are
4201    one of these two forms, it is believed that there can be no overflows in
4202    internal code due to this problem. It should be noted that
4203    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4204    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4205    of these calls have also been analysed too and it is believed there are no
4206    instances in internal usage where an overflow could occur.
4207
4208    This issue was reported by Guido Vranken.
4209    [CVE-2016-2106][]
4210
4211    *Matt Caswell*
4212
4213  * Prevent ASN.1 BIO excessive memory allocation
4214
4215    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4216    a short invalid encoding can cause allocation of large amounts of memory
4217    potentially consuming excessive resources or exhausting memory.
4218
4219    Any application parsing untrusted data through d2i BIO functions is
4220    affected. The memory based functions such as d2i_X509() are *not* affected.
4221    Since the memory based functions are used by the TLS library, TLS
4222    applications are not affected.
4223
4224    This issue was reported by Brian Carpenter.
4225    [CVE-2016-2109][]
4226
4227    *Stephen Henson*
4228
4229  * EBCDIC overread
4230
4231    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4232    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4233    in arbitrary stack data being returned in the buffer.
4234
4235    This issue was reported by Guido Vranken.
4236    [CVE-2016-2176][]
4237
4238    *Matt Caswell*
4239
4240  * Modify behavior of ALPN to invoke callback after SNI/servername
4241    callback, such that updates to the SSL_CTX affect ALPN.
4242
4243    *Todd Short*
4244
4245  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4246    default.
4247
4248    *Kurt Roeckx*
4249
4250  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4251    methods are enabled and ssl2 is disabled the methods return NULL.
4252
4253    *Kurt Roeckx*
4254
4255 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016] ###
4256
4257 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4258   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4259   provide any "EXPORT" or "LOW" strength ciphers.
4260
4261   *Viktor Dukhovni*
4262
4263 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4264   is by default disabled at build-time.  Builds that are not configured with
4265   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4266   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4267   will need to explicitly call either of:
4268
4269       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4270   or
4271       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4272
4273   as appropriate.  Even if either of those is used, or the application
4274   explicitly uses the version-specific SSLv2_method() or its client and
4275   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4276   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4277   ciphers, and SSLv2 56-bit DES are no longer available.
4278   [CVE-2016-0800][]
4279
4280    *Viktor Dukhovni*
4281
4282  * Fix a double-free in DSA code
4283
4284    A double free bug was discovered when OpenSSL parses malformed DSA private
4285    keys and could lead to a DoS attack or memory corruption for applications
4286    that receive DSA private keys from untrusted sources.  This scenario is
4287    considered rare.
4288
4289    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4290    libFuzzer.
4291    [CVE-2016-0705][]
4292
4293    *Stephen Henson*
4294
4295  * Disable SRP fake user seed to address a server memory leak.
4296
4297    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4298
4299    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4300    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4301    was changed to ignore the "fake user" SRP seed, even if the seed
4302    is configured.
4303
4304    Users should use SRP_VBASE_get1_by_user instead. Note that in
4305    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4306    also that even though configuring the SRP seed attempts to hide
4307    invalid usernames by continuing the handshake with fake
4308    credentials, this behaviour is not constant time and no strong
4309    guarantees are made that the handshake is indistinguishable from
4310    that of a valid user.
4311    [CVE-2016-0798][]
4312
4313    *Emilia Käsper*
4314
4315  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4316
4317    In the BN_hex2bn function the number of hex digits is calculated using an
4318    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4319    large values of |i| this can result in |bn_expand| not allocating any
4320    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4321    field as NULL leading to a subsequent NULL ptr deref. For very large values
4322    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4323    In this case memory is allocated to the internal BIGNUM data field, but it
4324    is insufficiently sized leading to heap corruption. A similar issue exists
4325    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4326    is ever called by user applications with very large untrusted hex/dec data.
4327    This is anticipated to be a rare occurrence.
4328
4329    All OpenSSL internal usage of these functions use data that is not expected
4330    to be untrusted, e.g. config file data or application command line
4331    arguments. If user developed applications generate config file data based
4332    on untrusted data then it is possible that this could also lead to security
4333    consequences. This is also anticipated to be rare.
4334
4335    This issue was reported to OpenSSL by Guido Vranken.
4336    [CVE-2016-0797][]
4337
4338    *Matt Caswell*
4339
4340  * Fix memory issues in BIO_*printf functions
4341
4342    The internal |fmtstr| function used in processing a "%s" format string in
4343    the BIO_*printf functions could overflow while calculating the length of a
4344    string and cause an OOB read when printing very long strings.
4345
4346    Additionally the internal |doapr_outch| function can attempt to write to an
4347    OOB memory location (at an offset from the NULL pointer) in the event of a
4348    memory allocation failure. In 1.0.2 and below this could be caused where
4349    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4350    could be in processing a very long "%s" format string. Memory leaks can
4351    also occur.
4352
4353    The first issue may mask the second issue dependent on compiler behaviour.
4354    These problems could enable attacks where large amounts of untrusted data
4355    is passed to the BIO_*printf functions. If applications use these functions
4356    in this way then they could be vulnerable. OpenSSL itself uses these
4357    functions when printing out human-readable dumps of ASN.1 data. Therefore
4358    applications that print this data could be vulnerable if the data is from
4359    untrusted sources. OpenSSL command line applications could also be
4360    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4361    as command line arguments.
4362
4363    Libssl is not considered directly vulnerable. Additionally certificates etc
4364    received via remote connections via libssl are also unlikely to be able to
4365    trigger these issues because of message size limits enforced within libssl.
4366
4367    This issue was reported to OpenSSL Guido Vranken.
4368    [CVE-2016-0799][]
4369
4370    *Matt Caswell*
4371
4372  * Side channel attack on modular exponentiation
4373
4374    A side-channel attack was found which makes use of cache-bank conflicts on
4375    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4376    of RSA keys.  The ability to exploit this issue is limited as it relies on
4377    an attacker who has control of code in a thread running on the same
4378    hyper-threaded core as the victim thread which is performing decryptions.
4379
4380    This issue was reported to OpenSSL by Yuval Yarom, The University of
4381    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4382    Nadia Heninger, University of Pennsylvania with more information at
4383    http://cachebleed.info.
4384    [CVE-2016-0702][]
4385
4386    *Andy Polyakov*
4387
4388  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4389    if no keysize is specified with default_bits. This fixes an
4390    omission in an earlier change that changed all RSA/DSA key generation
4391    apps to use 2048 bits by default.
4392
4393    *Emilia Käsper*
4394
4395 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016] ###
4396  * DH small subgroups
4397
4398    Historically OpenSSL only ever generated DH parameters based on "safe"
4399    primes. More recently (in version 1.0.2) support was provided for
4400    generating X9.42 style parameter files such as those required for RFC 5114
4401    support. The primes used in such files may not be "safe". Where an
4402    application is using DH configured with parameters based on primes that are
4403    not "safe" then an attacker could use this fact to find a peer's private
4404    DH exponent. This attack requires that the attacker complete multiple
4405    handshakes in which the peer uses the same private DH exponent. For example
4406    this could be used to discover a TLS server's private DH exponent if it's
4407    reusing the private DH exponent or it's using a static DH ciphersuite.
4408
4409    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4410    TLS. It is not on by default. If the option is not set then the server
4411    reuses the same private DH exponent for the life of the server process and
4412    would be vulnerable to this attack. It is believed that many popular
4413    applications do set this option and would therefore not be at risk.
4414
4415    The fix for this issue adds an additional check where a "q" parameter is
4416    available (as is the case in X9.42 based parameters). This detects the
4417    only known attack, and is the only possible defense for static DH
4418    ciphersuites. This could have some performance impact.
4419
4420    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
4421    default and cannot be disabled. This could have some performance impact.
4422
4423    This issue was reported to OpenSSL by Antonio Sanso (Adobe).
4424    [CVE-2016-0701][]
4425
4426    *Matt Caswell*
4427
4428  * SSLv2 doesn't block disabled ciphers
4429
4430    A malicious client can negotiate SSLv2 ciphers that have been disabled on
4431    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
4432    been disabled, provided that the SSLv2 protocol was not also disabled via
4433    SSL_OP_NO_SSLv2.
4434
4435    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
4436    and Sebastian Schinzel.
4437    [CVE-2015-3197][]
4438
4439    *Viktor Dukhovni*
4440
4441 ### Changes between 1.0.2d and 1.0.2e [3 Dec 2015] ###
4442
4443  * BN_mod_exp may produce incorrect results on x86_64
4444
4445    There is a carry propagating bug in the x86_64 Montgomery squaring
4446    procedure. No EC algorithms are affected. Analysis suggests that attacks
4447    against RSA and DSA as a result of this defect would be very difficult to
4448    perform and are not believed likely. Attacks against DH are considered just
4449    feasible (although very difficult) because most of the work necessary to
4450    deduce information about a private key may be performed offline. The amount
4451    of resources required for such an attack would be very significant and
4452    likely only accessible to a limited number of attackers. An attacker would
4453    additionally need online access to an unpatched system using the target
4454    private key in a scenario with persistent DH parameters and a private
4455    key that is shared between multiple clients. For example this can occur by
4456    default in OpenSSL DHE based SSL/TLS ciphersuites.
4457
4458    This issue was reported to OpenSSL by Hanno Böck.
4459    [CVE-2015-3193][]
4460
4461    *Andy Polyakov*
4462
4463  * Certificate verify crash with missing PSS parameter
4464
4465    The signature verification routines will crash with a NULL pointer
4466    dereference if presented with an ASN.1 signature using the RSA PSS
4467    algorithm and absent mask generation function parameter. Since these
4468    routines are used to verify certificate signature algorithms this can be
4469    used to crash any certificate verification operation and exploited in a
4470    DoS attack. Any application which performs certificate verification is
4471    vulnerable including OpenSSL clients and servers which enable client
4472    authentication.
4473
4474    This issue was reported to OpenSSL by Loïc Jonas Etienne (Qnective AG).
4475    [CVE-2015-3194][]
4476
4477    *Stephen Henson*
4478
4479  * X509_ATTRIBUTE memory leak
4480
4481    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
4482    memory. This structure is used by the PKCS#7 and CMS routines so any
4483    application which reads PKCS#7 or CMS data from untrusted sources is
4484    affected. SSL/TLS is not affected.
4485
4486    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
4487    libFuzzer.
4488    [CVE-2015-3195][]
4489
4490    *Stephen Henson*
4491
4492  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.