acb4c904bbcd8cb36ce71939009a671a23ea1be0
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10 OpenSSL Releases
11 ----------------
12
13  - [OpenSSL 3.0](#openssl-30)
14  - [OpenSSL 1.1.1](#openssl-111)
15  - [OpenSSL 1.1.0](#openssl-110)
16  - [OpenSSL 1.0.2](#openssl-102)
17  - [OpenSSL 1.0.1](#openssl-101)
18  - [OpenSSL 1.0.0](#openssl-100)
19  - [OpenSSL 0.9.x](#openssl-09x)
20
21 OpenSSL 3.0
22 -----------
23
24 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx]
25
26  * Renamed EVP_PKEY_cmp() to EVP_PKEY_eq() and
27    EVP_PKEY_cmp_parameters() to EVP_PKEY_parameters_eq().
28    While the old function names have been retained for backward compatibility
29    they should not be used in new developments
30    because their return values are confusing: Unlike other `_cmp()` functions
31    they do not return 0 in case their arguments are equal.
32
33    *David von Oheimb*
34
35  * Deprecated EC_METHOD_get_field_type(). Applications should switch to
36    EC_GROUP_get_field_type().
37
38    *Billy Bob Brumley*
39
40  * Deprecated EC_GFp_simple_method(), EC_GFp_mont_method(),
41    EC_GF2m_simple_method(), EC_GFp_nist_method(), EC_GFp_nistp224_method()
42    EC_GFp_nistp256_method(), and EC_GFp_nistp521_method().
43    Applications should rely on the library automatically assigning a suitable
44    EC_METHOD internally upon EC_GROUP construction.
45
46    *Billy Bob Brumley*
47
48  * Deprecated EC_GROUP_new(), EC_GROUP_method_of(), and EC_POINT_method_of().
49    EC_METHOD is now an internal-only concept and a suitable EC_METHOD is
50    assigned internally without application intervention.
51    Users of EC_GROUP_new() should switch to a different suitable constructor.
52
53    *Billy Bob Brumley*
54
55  * Add CAdES-BES signature verification support, mostly derived
56    from ESSCertIDv2 TS (RFC 5816) contribution by Marek Klein.
57
58    *Filipe Raimundo da Silva*
59
60  * Add CAdES-BES signature scheme and attributes support (RFC 5126) to CMS API.
61
62    *Antonio Iacono*
63
64  * Deprecated EC_POINT_make_affine() and EC_POINTs_make_affine(). These
65    functions are not widely used and now OpenSSL automatically perform this
66    conversion when needed.
67
68    *Billy Bob Brumley*
69
70  * Deprecated EC_GROUP_precompute_mult(), EC_GROUP_have_precompute_mult(), and
71    EC_KEY_precompute_mult(). These functions are not widely used and
72    applications should instead switch to named curves which OpenSSL has
73    hardcoded lookup tables for.
74
75    *Billy Bob Brumley*
76
77  * Deprecated EC_POINTs_mul(). This function is not widely used and applications
78    should instead use the L<EC_POINT_mul(3)> function.
79
80    *Billy Bob Brumley*
81
82  * Removed FIPS_mode() and FIPS_mode_set(). These functions are legacy API's
83    that are not applicable to the new provider model. Applications should
84    instead use EVP_default_properties_is_fips_enabled() and
85    EVP_default_properties_enable_fips().
86
87    *Shane Lontis*
88
89  * The SSL option SSL_OP_IGNORE_UNEXPECTED_EOF is introduced. If that option
90    is set, an unexpected EOF is ignored, it pretends a close notify was received
91    instead and so the returned error becomes SSL_ERROR_ZERO_RETURN.
92
93    *Dmitry Belyavskiy*
94
95  * Deprecated EC_POINT_set_Jprojective_coordinates_GFp() and
96    EC_POINT_get_Jprojective_coordinates_GFp(). These functions are not widely
97    used and applications should instead use the
98    L<EC_POINT_set_affine_coordinates(3)> and
99    L<EC_POINT_get_affine_coordinates(3)> functions.
100
101    *Billy Bob Brumley*
102
103  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
104    arrays to be more easily constructed via a series of utility functions.
105    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
106    the various push functions and finally convert to a passable OSSL_PARAM
107    array using OSSL_PARAM_BLD_to_param().
108
109    *Paul Dale*
110
111  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
112    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
113    internal keys, if they correspond to one of those built in types.
114
115    *Richard Levitte*
116
117  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
118    contain a provider side internal key.
119
120    *Richard Levitte*
121
122  * ASN1_verify(), ASN1_digest() and ASN1_sign() have been deprecated.
123    They are old functions that we don't use, and that you could disable with
124    the macro NO_ASN1_OLD.  This goes all the way back to OpenSSL 0.9.7.
125
126    *Richard Levitte*
127
128  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
129    have been converted to Markdown with the goal to produce documents
130    which not only look pretty when viewed online in the browser, but
131    remain well readable inside a plain text editor.
132
133    To achieve this goal, a 'minimalistic' Markdown style has been applied
134    which avoids formatting elements that interfere too much with the
135    reading flow in the text file. For example, it
136
137    * avoids [ATX headings][] and uses [setext headings][] instead
138      (which works for `<h1>` and `<h2>` headings only).
139    * avoids [inline links][] and uses [reference links][] instead.
140    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
141
142      [ATX headings]:         https://github.github.com/gfm/#atx-headings
143      [setext headings]:      https://github.github.com/gfm/#setext-headings
144      [inline links]:         https://github.github.com/gfm/#inline-link
145      [reference links]:      https://github.github.com/gfm/#reference-link
146      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
147      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
148
149    *Matthias St. Pierre*
150
151  * The test suite is changed to preserve results of each test recipe.
152    A new directory test-runs/ with subdirectories named like the
153    test recipes are created in the build tree for this purpose.
154
155    *Richard Levitte*
156
157  * Added an implementation of CMP and CRMF (RFC 4210, RFC 4211 RFC 6712).
158    This adds crypto/cmp/, crpyto/crmf/, apps/cmp.c, and test/cmp_*.
159    See L<openssl-cmp(1)> and L<OSSL_CMP_exec_IR_ses(3)> as starting points.
160
161    *David von Oheimb, Martin Peylo*
162
163  * Generalized the HTTP client code from crypto/ocsp/ into crpyto/http/.
164    The legacy OCSP-focused and only partly documented API is retained.
165    See L<OSSL_CMP_MSG_http_perform(3)> etc. for details.
166
167    *David von Oheimb*
168
169  * All of the low level RSA functions have been deprecated including:
170
171    RSA_new_method, RSA_size, RSA_security_bits, RSA_get0_pss_params,
172    RSA_get_version, RSA_get0_engine, RSA_generate_key_ex,
173    RSA_generate_multi_prime_key, RSA_X931_derive_ex, RSA_X931_generate_key_ex,
174    RSA_check_key, RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
175    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
176    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
177    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
178    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING, RSA_blinding_on,
179    RSA_blinding_off, RSA_setup_blinding, RSA_padding_add_PKCS1_type_1,
180    RSA_padding_check_PKCS1_type_1, RSA_padding_add_PKCS1_type_2,
181    RSA_padding_check_PKCS1_type_2, PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP,
182    RSA_padding_check_PKCS1_OAEP, RSA_padding_add_PKCS1_OAEP_mgf1,
183    RSA_padding_check_PKCS1_OAEP_mgf1, RSA_padding_add_SSLv23,
184    RSA_padding_check_SSLv23, RSA_padding_add_none, RSA_padding_check_none,
185    RSA_padding_add_X931, RSA_padding_check_X931, RSA_X931_hash_id,
186    RSA_verify_PKCS1_PSS, RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
187    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
188    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
189    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
190    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
191    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
192    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
193    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
194    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
195    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
196    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
197    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
198    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
199
200    Use of these low level functions has been informally discouraged for a long
201    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
202    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
203    L<EVP_PKEY_decrypt(3)>.
204
205    *Paul Dale*
206
207  * X509 certificates signed using SHA1 are no longer allowed at security
208    level 1 and above.
209    In TLS/SSL the default security level is 1. It can be set either
210    using the cipher string with @SECLEVEL, or calling
211    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
212    a call to SSL_CTX_use_certificate() will fail if the security level is not
213    lowered first.
214    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
215    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
216    options of the apps.
217
218    *Kurt Roeckx*
219
220  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
221    modified to use PKEY APIs.  These commands are now in maintenance mode
222    and no new features will be added to them.
223
224    *Paul Dale*
225
226  * The command line utility rsautl has been deprecated.
227    Instead use the pkeyutl program.
228
229    *Paul Dale*
230
231  * The command line utilities genrsa and rsa have been modified to use PKEY
232    APIs  These commands are now in maintenance mode and no new features will
233    be added to them.
234
235    *Paul Dale*
236
237  * All of the low level DH functions have been deprecated including:
238
239    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
240    DH_new_method, DH_size, DH_security_bits, DH_get_ex_new_index,
241    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
242    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
243    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
244    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
245    DH_KDF_X9_42, DH_get0_engine, DH_meth_new, DH_meth_free, DH_meth_dup,
246    DH_meth_get0_name, DH_meth_set1_name, DH_meth_get_flags, DH_meth_set_flags,
247    DH_meth_get0_app_data, DH_meth_set0_app_data, DH_meth_get_generate_key,
248    DH_meth_set_generate_key, DH_meth_get_compute_key, DH_meth_set_compute_key,
249    DH_meth_get_bn_mod_exp, DH_meth_set_bn_mod_exp, DH_meth_get_init,
250    DH_meth_set_init, DH_meth_get_finish, DH_meth_set_finish,
251    DH_meth_get_generate_params and DH_meth_set_generate_params.
252
253    Use of these low level functions has been informally discouraged for a long
254    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
255    and L<EVP_PKEY_derive(3)>.
256
257    *Paul Dale*
258
259  * All of the low level DSA functions have been deprecated including:
260
261    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
262    DSA_get_default_method, DSA_set_method, DSA_get_method,
263    DSA_new_method, DSA_size, DSA_security_bits, DSA_sign_setup, DSA_sign,
264    DSA_verify, DSA_get_ex_new_index, DSA_set_ex_data, DSA_get_ex_data,
265    DSA_generate_parameters_ex, DSA_generate_key, DSA_meth_new, DSA_get0_engine,
266    DSA_meth_free, DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name,
267    DSA_meth_get_flags, DSA_meth_set_flags, DSA_meth_get0_app_data,
268    DSA_meth_set0_app_data, DSA_meth_get_sign, DSA_meth_set_sign,
269    DSA_meth_get_sign_setup, DSA_meth_set_sign_setup, DSA_meth_get_verify,
270    DSA_meth_set_verify, DSA_meth_get_mod_exp, DSA_meth_set_mod_exp,
271    DSA_meth_get_bn_mod_exp, DSA_meth_set_bn_mod_exp, DSA_meth_get_init,
272    DSA_meth_set_init, DSA_meth_get_finish, DSA_meth_set_finish,
273    DSA_meth_get_paramgen, DSA_meth_set_paramgen, DSA_meth_get_keygen and
274    DSA_meth_set_keygen.
275
276    Use of these low level functions has been informally discouraged for a long
277    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
278    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
279
280    *Paul Dale*
281
282  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
283    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
284    This means that applications don't have to look at the curve NID and
285    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
286    However, they still can, that EVP_PKEY_set_alias_type() call acts as
287    a no-op when the EVP_PKEY is already of the given type.
288
289    Parameter and key generation is also reworked to make it possible
290    to generate EVP_PKEY_SM2 parameters and keys without having to go
291    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
292    However, code that does the latter will still work as before.
293
294    *Richard Levitte*
295
296  * Deprecated low level ECDH and ECDSA functions.  These include:
297
298    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
299    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
300    ECDSA_size.
301
302    Use of these low level functions has been informally discouraged for a long
303    time.  Instead applications should use the EVP_PKEY_derive(3),
304    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
305
306    *Paul Dale*
307
308  * Deprecated the EC_KEY_METHOD functions.  These include:
309
310    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
311    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
312    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
313    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
314    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
315    EC_KEY_METHOD_get_verify.
316
317    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
318
319    *Paul Dale*
320
321  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
322    and EVP_PKEY_decrypt() instead.
323    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
324    and EVP_PKEY_encrypt() instead.
325
326    *Richard Levitte*
327
328  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
329    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
330    a new formulation to include all the things it can be used for,
331    as well as words of caution.
332
333    *Richard Levitte*
334
335  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
336    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
337
338    *Paul Dale*
339
340  * All of the low level HMAC functions have been deprecated including:
341
342    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
343    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
344    and HMAC_CTX_get_md.
345
346    Use of these low level functions has been informally discouraged for a long
347    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
348    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
349    and L<EVP_MAC_final(3)>.
350
351    *Paul Dale*
352
353  * Over two thousand fixes were made to the documentation, including:
354    - Common options (such as -rand/-writerand, TLS version control, etc)
355      were refactored and point to newly-enhanced descriptions in openssl.pod.
356    - Added style conformance for all options (with help from Richard Levitte),
357      documented all reported missing options, added a CI build to check
358      that all options are documented and that no unimplemented options
359      are documented.
360    - Documented some internals, such as all use of environment variables.
361    - Addressed all internal broken L<> references.
362
363    *Rich Salz*
364
365  * All of the low level CMAC functions have been deprecated including:
366
367    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
368    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
369
370    Use of these low level functions has been informally discouraged for a long
371    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
372    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
373    and L<EVP_MAC_final(3)>.
374
375    *Paul Dale*
376
377  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
378    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
379    These include:
380
381    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
382    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
383    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
384    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
385    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
386    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
387    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
388    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
389    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
390    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
391
392    Use of these low level functions has been informally discouraged
393    for a long time.  Applications should use the EVP_DigestInit_ex(3),
394    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
395
396    *Paul Dale*
397
398  * Corrected the documentation of the return values from the `EVP_DigestSign*`
399    set of functions.  The documentation mentioned negative values for some
400    errors, but this was never the case, so the mention of negative values
401    was removed.
402
403    Code that followed the documentation and thereby check with something
404    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
405
406    *Richard Levitte*
407
408  * All of the low level cipher functions have been deprecated including:
409
410    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
411    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
412    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
413    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
414    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
415    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
416    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
417    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
418    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
419    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
420    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
421    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
422    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
423    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
424    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
425    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
426    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
427    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
428    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
429    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
430    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
431    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
432    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
433    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
434    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
435    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
436    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
437    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
438    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
439
440    Use of these low level functions has been informally discouraged for
441    a long time. Applications should use the high level EVP APIs, e.g.
442    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
443    equivalently named decrypt functions instead.
444
445    *Matt Caswell and Paul Dale*
446
447  * Removed include/openssl/opensslconf.h.in and replaced it with
448    include/openssl/configuration.h.in, which differs in not including
449    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
450    was added to include both.
451
452    This allows internal hacks where one might need to modify the set
453    of configured macros, for example this if deprecated symbols are
454    still supposed to be available internally:
455
456        #include <openssl/configuration.h>
457
458        #undef OPENSSL_NO_DEPRECATED
459        #define OPENSSL_SUPPRESS_DEPRECATED
460
461        #include <openssl/macros.h>
462
463    This should not be used by applications that use the exported
464    symbols, as that will lead to linking errors.
465
466    *Richard Levitte*
467
468  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
469    used in exponentiation with 512-bit moduli. No EC algorithms are
470    affected. Analysis suggests that attacks against 2-prime RSA1024,
471    3-prime RSA1536, and DSA1024 as a result of this defect would be very
472    difficult to perform and are not believed likely. Attacks against DH512
473    are considered just feasible. However, for an attack the target would
474    have to re-use the DH512 private key, which is not recommended anyway.
475    Also applications directly using the low level API BN_mod_exp may be
476    affected if they use BN_FLG_CONSTTIME.
477    [CVE-2019-1551][]
478
479    *Andy Polyakov*
480
481  * Most memory-debug features have been deprecated, and the functionality
482    replaced with no-ops.
483
484    *Rich Salz*
485
486  * Added documentation for the STACK API. OpenSSL only defines the STACK
487    functions where they are used.
488
489    *Rich Salz*
490
491  * Introduced a new method type and API, OSSL_SERIALIZER, to
492    represent generic serializers.  An implementation is expected to
493    be able to serialize an object associated with a given name (such
494    as an algorithm name for an asymmetric key) into forms given by
495    implementation properties.
496
497    Serializers are primarily used from inside libcrypto, through
498    calls to functions like EVP_PKEY_print_private(),
499    PEM_write_bio_PrivateKey() and similar.
500
501    Serializers are specified in such a way that they can be made to
502    directly handle the provider side portion of an object, if this
503    provider side part comes from the same provider as the serializer
504    itself, but can also be made to handle objects in parametrized
505    form (as an OSSL_PARAM array of data).  This allows a provider to
506    offer generic serializers as a service for any other provider.
507
508    *Richard Levitte*
509
510  * Added a .pragma directive to the syntax of configuration files, to
511    allow varying behavior in a supported and predictable manner.
512    Currently added pragma:
513
514            .pragma dollarid:on
515
516    This allows dollar signs to be a keyword character unless it's
517    followed by a opening brace or parenthesis.  This is useful for
518    platforms where dollar signs are commonly used in names, such as
519    volume names and system directory names on VMS.
520
521    *Richard Levitte*
522
523  * Added functionality to create an EVP_PKEY from user data.  This
524    is effectively the same as creating a RSA, DH or DSA object and
525    then assigning them to an EVP_PKEY, but directly using algorithm
526    agnostic EVP functions.  A benefit is that this should be future
527    proof for public key algorithms to come.
528
529    *Richard Levitte*
530
531  * Change the interpretation of the '--api' configuration option to
532    mean that this is a desired API compatibility level with no
533    further meaning.  The previous interpretation, that this would
534    also mean to remove all deprecated symbols up to and including
535    the given version, no requires that 'no-deprecated' is also used
536    in the configuration.
537
538    When building applications, the desired API compatibility level
539    can be set with the OPENSSL_API_COMPAT macro like before.  For
540    API compatibility version below 3.0, the old style numerical
541    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
542    For version 3.0 and on, the value is expected to be the decimal
543    value calculated from the major and minor version like this:
544
545            MAJOR * 10000 + MINOR * 100
546
547    Examples:
548
549            -DOPENSSL_API_COMPAT=30000             For 3.0
550            -DOPENSSL_API_COMPAT=30200             For 3.2
551
552    To hide declarations that are deprecated up to and including the
553    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
554    given when building the application as well.
555
556    *Richard Levitte*
557
558  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
559    access to certificate and CRL stores via URIs and OSSL_STORE
560    loaders.
561
562    This adds the following functions:
563
564    - X509_LOOKUP_store()
565    - X509_STORE_load_file()
566    - X509_STORE_load_path()
567    - X509_STORE_load_store()
568    - SSL_add_store_cert_subjects_to_stack()
569    - SSL_CTX_set_default_verify_store()
570    - SSL_CTX_load_verify_file()
571    - SSL_CTX_load_verify_dir()
572    - SSL_CTX_load_verify_store()
573
574    *Richard Levitte*
575
576  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
577    The presence of this system service is determined at run-time.
578
579    *Richard Levitte*
580
581  * Added functionality to create an EVP_PKEY context based on data
582    for methods from providers.  This takes an algorithm name and a
583    property query string and simply stores them, with the intent
584    that any operation that uses this context will use those strings
585    to fetch the needed methods implicitly, thereby making the port
586    of application written for pre-3.0 OpenSSL easier.
587
588    *Richard Levitte*
589
590  * The undocumented function NCONF_WIN32() has been deprecated; for
591    conversion details see the HISTORY section of doc/man5/config.pod
592
593    *Rich Salz*
594
595  * Introduced the new functions EVP_DigestSignInit_ex() and
596    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
597    EVP_DigestVerifyUpdate() have been converted to functions. See the man
598    pages for further details.
599
600    *Matt Caswell*
601
602  * Over two thousand fixes were made to the documentation, including:
603    adding missing command flags, better style conformance, documentation
604    of internals, etc.
605
606    *Rich Salz, Richard Levitte*
607
608  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
609    X25519, X448, Ed25519 and Ed448.
610
611    *Patrick Steuer*
612
613  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
614    the first value.
615
616    *Jon Spillett*
617
618  * Deprecated the public definition of ERR_STATE as well as the function
619    ERR_get_state().  This is done in preparation of making ERR_STATE an
620    opaque type.
621
622    *Richard Levitte*
623
624  * Added ERR functionality to give callers access to the stored function
625    names that have replaced the older function code based functions.
626
627    New functions are ERR_get_error_func(), ERR_peek_error_func(),
628    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
629    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
630    and ERR_peek_last_error_all().
631
632    These functions have become deprecated: ERR_get_error_line_data(),
633    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
634    ERR_func_error_string().
635
636    *Richard Levitte*
637
638  * Extended testing to be verbose for failing tests only.  The make variables
639    VERBOSE_FAILURE or VF can be used to enable this:
640
641            $ make VF=1 test                           # Unix
642            $ mms /macro=(VF=1) test                   ! OpenVMS
643            $ nmake VF=1 test                          # Windows
644
645    *Richard Levitte*
646
647  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
648    used even when parsing explicit parameters, when loading a serialized key
649    or calling `EC_GROUP_new_from_ecpkparameters()`/
650    `EC_GROUP_new_from_ecparameters()`.
651    This prevents bypass of security hardening and performance gains,
652    especially for curves with specialized EC_METHODs.
653    By default, if a key encoded with explicit parameters is loaded and later
654    serialized, the output is still encoded with explicit parameters, even if
655    internally a "named" EC_GROUP is used for computation.
656
657    *Nicola Tuveri*
658
659  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
660    this change, EC_GROUP_set_generator would accept order and/or cofactor as
661    NULL. After this change, only the cofactor parameter can be NULL. It also
662    does some minimal sanity checks on the passed order.
663    [CVE-2019-1547][]
664
665    *Billy Bob Brumley*
666
667  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
668    An attack is simple, if the first CMS_recipientInfo is valid but the
669    second CMS_recipientInfo is chosen ciphertext. If the second
670    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
671    encryption key will be replaced by garbage, and the message cannot be
672    decoded, but if the RSA decryption fails, the correct encryption key is
673    used and the recipient will not notice the attack.
674    As a work around for this potential attack the length of the decrypted
675    key must be equal to the cipher default key length, in case the
676    certifiate is not given and all recipientInfo are tried out.
677    The old behaviour can be re-enabled in the CMS code by setting the
678    CMS_DEBUG_DECRYPT flag.
679
680    *Bernd Edlinger*
681
682  * Early start up entropy quality from the DEVRANDOM seed source has been
683    improved for older Linux systems.  The RAND subsystem will wait for
684    /dev/random to be producing output before seeding from /dev/urandom.
685    The seeded state is stored for future library initialisations using
686    a system global shared memory segment.  The shared memory identifier
687    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
688    the desired value.  The default identifier is 114.
689
690    *Paul Dale*
691
692  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
693    when primes for RSA keys are computed.
694    Since we previously always generated primes == 2 (mod 3) for RSA keys,
695    the 2-prime and 3-prime RSA modules were easy to distinguish, since
696    `N = p*q = 1 (mod 3)`, but `N = p*q*r = 2 (mod 3)`. Therefore fingerprinting
697    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
698    This avoids possible fingerprinting of newly generated RSA modules.
699
700    *Bernd Edlinger*
701
702  * Correct the extended master secret constant on EBCDIC systems. Without this
703    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
704    negotiate EMS will fail. Unfortunately this also means that TLS connections
705    between EBCDIC systems with this fix, and EBCDIC systems without this
706    fix will fail if they negotiate EMS.
707
708    *Matt Caswell*
709
710  * Changed the library initialisation so that the config file is now loaded
711    by default. This was already the case for libssl. It now occurs for both
712    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
713    OPENSSL_init_crypto() to suppress automatic loading of a config file.
714
715    *Matt Caswell*
716
717  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
718    where the former acts as a replacement for ERR_put_error(), and the
719    latter replaces the combination ERR_put_error()+ERR_add_error_data().
720    ERR_raise_data() adds more flexibility by taking a format string and
721    an arbitrary number of arguments following it, to be processed with
722    BIO_snprintf().
723
724    *Richard Levitte*
725
726  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
727    to check if a named provider is loaded and available.  When called, it
728    will also activate all fallback providers if such are still present.
729
730    *Richard Levitte*
731
732  * Enforce a minimum DH modulus size of 512 bits.
733
734    *Bernd Edlinger*
735
736  * Changed DH parameters to generate the order q subgroup instead of 2q.
737    Previously generated DH parameters are still accepted by DH_check
738    but DH_generate_key works around that by clearing bit 0 of the
739    private key for those. This avoids leaking bit 0 of the private key.
740
741    *Bernd Edlinger*
742
743  * Significantly reduce secure memory usage by the randomness pools.
744
745    *Paul Dale*
746
747  * `{CRYPTO,OPENSSL}_mem_debug_{push,pop}` are now no-ops and have been
748    deprecated.
749
750    *Rich Salz*
751
752  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
753    algorithms. An implementation of a key exchange algorithm can be obtained
754    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
755    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
756    the older EVP_PKEY_derive_init() function. See the man pages for the new
757    functions for further details.
758
759    *Matt Caswell*
760
761  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
762
763    *Matt Caswell*
764
765  * Removed the function names from error messages and deprecated the
766    xxx_F_xxx define's.
767
768  * Removed NextStep support and the macro OPENSSL_UNISTD
769
770    *Rich Salz*
771
772  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
773    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
774    Also removed "export var as function" capability; we do not export
775    variables, only functions.
776
777    *Rich Salz*
778
779  * RC5_32_set_key has been changed to return an int type, with 0 indicating
780    an error and 1 indicating success. In previous versions of OpenSSL this
781    was a void type. If a key was set longer than the maximum possible this
782    would crash.
783
784    *Matt Caswell*
785
786  * Support SM2 signing and verification schemes with X509 certificate.
787
788    *Paul Yang*
789
790  * Use SHA256 as the default digest for TS query in the ts app.
791
792    *Tomas Mraz*
793
794  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
795    This checks that the salt length is at least 128 bits, the derived key
796    length is at least 112 bits, and that the iteration count is at least 1000.
797    For backwards compatibility these checks are disabled by default in the
798    default provider, but are enabled by default in the fips provider.
799    To enable or disable these checks use the control
800    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
801
802    *Shane Lontis*
803
804  * Default cipher lists/suites are now available via a function, the
805    #defines are deprecated.
806
807    *Todd Short*
808
809  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
810    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
811    for Windows Store apps easier. Also, the "no-uplink" option has been added.
812
813    *Kenji Mouri*
814
815  * Join the directories crypto/x509 and crypto/x509v3
816
817    *Richard Levitte*
818
819  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
820    This changes the size when using the genpkey app when no size is given. It
821    fixes an omission in earlier changes that changed all RSA, DSA and DH
822    generation apps to use 2048 bits by default.
823
824    *Kurt Roeckx*
825
826  * Added command 'openssl kdf' that uses the EVP_KDF API.
827
828    *Shane Lontis*
829
830  * Added command 'openssl mac' that uses the EVP_MAC API.
831
832    *Shane Lontis*
833
834  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
835    as default directories.  Also added the command 'openssl info'
836    for scripting purposes.
837
838    *Richard Levitte*
839
840  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
841    deprecated. These undocumented functions were never integrated into the EVP
842    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
843    Bi-directional IGE mode. These modes were never formally standardised and
844    usage of these functions is believed to be very small. In particular
845    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
846    is ever used. The security implications are believed to be minimal, but
847    this issue was never fixed for backwards compatibility reasons. New code
848    should not use these modes.
849
850    *Matt Caswell*
851
852  * Add prediction resistance to the DRBG reseeding process.
853
854    *Paul Dale*
855
856  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
857    mandated by IEEE Std 1619-2018.
858
859    *Paul Dale*
860
861  * Added newline escaping functionality to a filename when using openssl dgst.
862    This output format is to replicate the output format found in the `*sum`
863    checksum programs. This aims to preserve backward compatibility.
864
865    *Matt Eaton, Richard Levitte, and Paul Dale*
866
867  * Removed the heartbeat message in DTLS feature, as it has very
868    little usage and doesn't seem to fulfill a valuable purpose.
869    The configuration option is now deprecated.
870
871    *Richard Levitte*
872
873  * Changed the output of 'openssl {digestname} < file' to display the
874    digest name in its output.
875
876    *Richard Levitte*
877
878  * Added a new generic trace API which provides support for enabling
879    instrumentation through trace output. This feature is mainly intended
880    as an aid for developers and is disabled by default. To utilize it,
881    OpenSSL needs to be configured with the `enable-trace` option.
882
883    If the tracing API is enabled, the application can activate trace output
884    by registering BIOs as trace channels for a number of tracing and debugging
885    categories.
886
887    The 'openssl' application has been expanded to enable any of the types
888    available via environment variables defined by the user, and serves as
889    one possible example on how to use this functionality.
890
891    *Richard Levitte & Matthias St. Pierre*
892
893  * Added build tests for C++.  These are generated files that only do one
894    thing, to include one public OpenSSL head file each.  This tests that
895    the public header files can be usefully included in a C++ application.
896
897    This test isn't enabled by default.  It can be enabled with the option
898    'enable-buildtest-c++'.
899
900    *Richard Levitte*
901
902  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
903
904    *Shane Lontis*
905
906  * Add KMAC to EVP_MAC.
907
908    *Shane Lontis*
909
910  * Added property based algorithm implementation selection framework to
911    the core.
912
913    *Paul Dale*
914
915  * Added SCA hardening for modular field inversion in EC_GROUP through
916    a new dedicated field_inv() pointer in EC_METHOD.
917    This also addresses a leakage affecting conversions from projective
918    to affine coordinates.
919
920    *Billy Bob Brumley, Nicola Tuveri*
921
922  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
923    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
924    those algorithms that were already supported through the EVP_PKEY API
925    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
926    and scrypt are now wrappers that call EVP_KDF.
927
928    *David Makepeace*
929
930  * Build devcrypto engine as a dynamic engine.
931
932    *Eneas U de Queiroz*
933
934  * Add keyed BLAKE2 to EVP_MAC.
935
936    *Antoine Salon*
937
938  * Fix a bug in the computation of the endpoint-pair shared secret used
939    by DTLS over SCTP. This breaks interoperability with older versions
940    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
941    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
942    interoperability with such broken implementations. However, enabling
943    this switch breaks interoperability with correct implementations.
944
945  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
946    re-used X509_PUBKEY object if the second PUBKEY is malformed.
947
948    *Bernd Edlinger*
949
950  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
951
952    *Richard Levitte*
953
954  * Change the license to the Apache License v2.0.
955
956    *Richard Levitte*
957
958  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
959
960    - Major releases (indicated by incrementing the MAJOR release number)
961      may introduce incompatible API/ABI changes.
962    - Minor releases (indicated by incrementing the MINOR release number)
963      may introduce new features but retain API/ABI compatibility.
964    - Patch releases (indicated by incrementing the PATCH number)
965      are intended for bug fixes and other improvements of existing
966      features only (like improving performance or adding documentation)
967      and retain API/ABI compatibility.
968
969    *Richard Levitte*
970
971  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
972
973    *Todd Short*
974
975  * Remove the 'dist' target and add a tarball building script.  The
976    'dist' target has fallen out of use, and it shouldn't be
977    necessary to configure just to create a source distribution.
978
979    *Richard Levitte*
980
981  * Recreate the OS390-Unix config target.  It no longer relies on a
982    special script like it did for OpenSSL pre-1.1.0.
983
984    *Richard Levitte*
985
986  * Instead of having the source directories listed in Configure, add
987    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
988    look into.
989
990    *Richard Levitte*
991
992  * Add GMAC to EVP_MAC.
993
994    *Paul Dale*
995
996  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
997
998    *Richard Levitte*
999
1000  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
1001    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
1002    to facilitate the continued use of MACs through raw private keys in
1003    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
1004
1005    *Richard Levitte*
1006
1007  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
1008    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
1009
1010    *Antoine Salon*
1011
1012  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
1013    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
1014    are retained for backwards compatibility.
1015
1016    *Antoine Salon*
1017
1018  * AES-XTS mode now enforces that its two keys are different to mitigate
1019    the attacked described in "Efficient Instantiations of Tweakable
1020    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
1021    Details of this attack can be obtained from:
1022    <http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf>
1023
1024    *Paul Dale*
1025
1026  * Rename the object files, i.e. give them other names than in previous
1027    versions.  Their names now include the name of the final product, as
1028    well as its type mnemonic (bin, lib, shlib).
1029
1030    *Richard Levitte*
1031
1032  * Added new option for 'openssl list', '-objects', which will display the
1033    list of built in objects, i.e. OIDs with names.
1034
1035    *Richard Levitte*
1036
1037  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
1038    improves application performance by removing data copies and providing
1039    applications with zero-copy system calls such as sendfile and splice.
1040
1041    *Boris Pismenny*
1042
1043 OpenSSL 1.1.1
1044 -------------
1045
1046 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx]
1047
1048 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020]
1049
1050  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
1051    while reading in libssl then we would report an error back to the
1052    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
1053    an error to the stack (which means we instead return SSL_ERROR_SSL) and
1054    therefore give a hint as to what went wrong.
1055
1056    *Matt Caswell*
1057
1058  * Check that ed25519 and ed448 are allowed by the security level. Previously
1059    signature algorithms not using an MD were not being checked that they were
1060    allowed by the security level.
1061
1062    *Kurt Roeckx*
1063
1064  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
1065    was not quite right. The behaviour was not consistent between resumption
1066    and normal handshakes, and also not quite consistent with historical
1067    behaviour. The behaviour in various scenarios has been clarified and
1068    it has been updated to make it match historical behaviour as closely as
1069    possible.
1070
1071    *Matt Caswell*
1072
1073  * *[VMS only]* The header files that the VMS compilers include automatically,
1074    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
1075    that the C++ compiler doesn't understand.  This is a shortcoming in the
1076    compiler, but can be worked around with `__cplusplus` guards.
1077
1078    C++ applications that use OpenSSL libraries must be compiled using the
1079    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
1080    functions.  Otherwise, only functions with symbols of less than 31
1081    characters can be used, as the linker will not be able to successfully
1082    resolve symbols with longer names.
1083
1084    *Richard Levitte*
1085
1086  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1087    The presence of this system service is determined at run-time.
1088
1089    *Richard Levitte*
1090
1091  * Added newline escaping functionality to a filename when using openssl dgst.
1092    This output format is to replicate the output format found in the `*sum`
1093    checksum programs. This aims to preserve backward compatibility.
1094
1095    *Matt Eaton, Richard Levitte, and Paul Dale*
1096
1097  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1098    the first value.
1099
1100    *Jon Spillett*
1101
1102 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019]
1103
1104  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1105    number generator (RNG). This was intended to include protection in the
1106    event of a fork() system call in order to ensure that the parent and child
1107    processes did not share the same RNG state. However this protection was not
1108    being used in the default case.
1109
1110    A partial mitigation for this issue is that the output from a high
1111    precision timer is mixed into the RNG state so the likelihood of a parent
1112    and child process sharing state is significantly reduced.
1113
1114    If an application already calls OPENSSL_init_crypto() explicitly using
1115    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1116    [CVE-2019-1549][]
1117
1118    *Matthias St. Pierre*
1119
1120  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1121    used even when parsing explicit parameters, when loading a serialized key
1122    or calling `EC_GROUP_new_from_ecpkparameters()`/
1123    `EC_GROUP_new_from_ecparameters()`.
1124    This prevents bypass of security hardening and performance gains,
1125    especially for curves with specialized EC_METHODs.
1126    By default, if a key encoded with explicit parameters is loaded and later
1127    serialized, the output is still encoded with explicit parameters, even if
1128    internally a "named" EC_GROUP is used for computation.
1129
1130    *Nicola Tuveri*
1131
1132  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1133    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1134    NULL. After this change, only the cofactor parameter can be NULL. It also
1135    does some minimal sanity checks on the passed order.
1136    [CVE-2019-1547][]
1137
1138    *Billy Bob Brumley*
1139
1140  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1141    An attack is simple, if the first CMS_recipientInfo is valid but the
1142    second CMS_recipientInfo is chosen ciphertext. If the second
1143    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1144    encryption key will be replaced by garbage, and the message cannot be
1145    decoded, but if the RSA decryption fails, the correct encryption key is
1146    used and the recipient will not notice the attack.
1147    As a work around for this potential attack the length of the decrypted
1148    key must be equal to the cipher default key length, in case the
1149    certifiate is not given and all recipientInfo are tried out.
1150    The old behaviour can be re-enabled in the CMS code by setting the
1151    CMS_DEBUG_DECRYPT flag.
1152    [CVE-2019-1563][]
1153
1154    *Bernd Edlinger*
1155
1156  * Early start up entropy quality from the DEVRANDOM seed source has been
1157    improved for older Linux systems.  The RAND subsystem will wait for
1158    /dev/random to be producing output before seeding from /dev/urandom.
1159    The seeded state is stored for future library initialisations using
1160    a system global shared memory segment.  The shared memory identifier
1161    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1162    the desired value.  The default identifier is 114.
1163
1164    *Paul Dale*
1165
1166  * Correct the extended master secret constant on EBCDIC systems. Without this
1167    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1168    negotiate EMS will fail. Unfortunately this also means that TLS connections
1169    between EBCDIC systems with this fix, and EBCDIC systems without this
1170    fix will fail if they negotiate EMS.
1171
1172    *Matt Caswell*
1173
1174  * Use Windows installation paths in the mingw builds
1175
1176    Mingw isn't a POSIX environment per se, which means that Windows
1177    paths should be used for installation.
1178    [CVE-2019-1552][]
1179
1180    *Richard Levitte*
1181
1182  * Changed DH_check to accept parameters with order q and 2q subgroups.
1183    With order 2q subgroups the bit 0 of the private key is not secret
1184    but DH_generate_key works around that by clearing bit 0 of the
1185    private key for those. This avoids leaking bit 0 of the private key.
1186
1187    *Bernd Edlinger*
1188
1189  * Significantly reduce secure memory usage by the randomness pools.
1190
1191    *Paul Dale*
1192
1193  * Revert the DEVRANDOM_WAIT feature for Linux systems
1194
1195    The DEVRANDOM_WAIT feature added a select() call to wait for the
1196    /dev/random device to become readable before reading from the
1197    /dev/urandom device.
1198
1199    It turned out that this change had negative side effects on
1200    performance which were not acceptable. After some discussion it
1201    was decided to revert this feature and leave it up to the OS
1202    resp. the platform maintainer to ensure a proper initialization
1203    during early boot time.
1204
1205    *Matthias St. Pierre*
1206
1207 ### Changes between 1.1.1b and 1.1.1c [28 May 2019]
1208
1209  * Add build tests for C++.  These are generated files that only do one
1210    thing, to include one public OpenSSL head file each.  This tests that
1211    the public header files can be usefully included in a C++ application.
1212
1213    This test isn't enabled by default.  It can be enabled with the option
1214    'enable-buildtest-c++'.
1215
1216    *Richard Levitte*
1217
1218  * Enable SHA3 pre-hashing for ECDSA and DSA.
1219
1220    *Patrick Steuer*
1221
1222  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1223    This changes the size when using the genpkey app when no size is given. It
1224    fixes an omission in earlier changes that changed all RSA, DSA and DH
1225    generation apps to use 2048 bits by default.
1226
1227    *Kurt Roeckx*
1228
1229  * Reorganize the manual pages to consistently have RETURN VALUES,
1230    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1231    util/fix-doc-nits accordingly.
1232
1233    *Paul Yang, Joshua Lock*
1234
1235  * Add the missing accessor EVP_PKEY_get0_engine()
1236
1237    *Matt Caswell*
1238
1239  * Have apps like 's_client' and 's_server' output the signature scheme
1240    along with other cipher suite parameters when debugging.
1241
1242    *Lorinczy Zsigmond*
1243
1244  * Make OPENSSL_config() error agnostic again.
1245
1246    *Richard Levitte*
1247
1248  * Do the error handling in RSA decryption constant time.
1249
1250    *Bernd Edlinger*
1251
1252  * Prevent over long nonces in ChaCha20-Poly1305.
1253
1254    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1255    for every encryption operation. RFC 7539 specifies that the nonce value
1256    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1257    and front pads the nonce with 0 bytes if it is less than 12
1258    bytes. However it also incorrectly allows a nonce to be set of up to 16
1259    bytes. In this case only the last 12 bytes are significant and any
1260    additional leading bytes are ignored.
1261
1262    It is a requirement of using this cipher that nonce values are
1263    unique. Messages encrypted using a reused nonce value are susceptible to
1264    serious confidentiality and integrity attacks. If an application changes
1265    the default nonce length to be longer than 12 bytes and then makes a
1266    change to the leading bytes of the nonce expecting the new value to be a
1267    new unique nonce then such an application could inadvertently encrypt
1268    messages with a reused nonce.
1269
1270    Additionally the ignored bytes in a long nonce are not covered by the
1271    integrity guarantee of this cipher. Any application that relies on the
1272    integrity of these ignored leading bytes of a long nonce may be further
1273    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1274    is safe because no such use sets such a long nonce value. However user
1275    applications that use this cipher directly and set a non-default nonce
1276    length to be longer than 12 bytes may be vulnerable.
1277
1278    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1279    Greef of Ronomon.
1280    [CVE-2019-1543][]
1281
1282    *Matt Caswell*
1283
1284  * Add DEVRANDOM_WAIT feature for Linux systems
1285
1286    On older Linux systems where the getrandom() system call is not available,
1287    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1288    Contrary to getrandom(), the /dev/urandom device will not block during
1289    early boot when the kernel CSPRNG has not been seeded yet.
1290
1291    To mitigate this known weakness, use select() to wait for /dev/random to
1292    become readable before reading from /dev/urandom.
1293
1294  * Ensure that SM2 only uses SM3 as digest algorithm
1295
1296    *Paul Yang*
1297
1298 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019]
1299
1300  * Change the info callback signals for the start and end of a post-handshake
1301    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1302    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1303    confused by this and assume that a TLSv1.2 renegotiation has started. This
1304    can break KeyUpdate handling. Instead we no longer signal the start and end
1305    of a post handshake message exchange (although the messages themselves are
1306    still signalled). This could break some applications that were expecting
1307    the old signals. However without this KeyUpdate is not usable for many
1308    applications.
1309
1310    *Matt Caswell*
1311
1312 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018]
1313
1314  * Timing vulnerability in DSA signature generation
1315
1316    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1317    timing side channel attack. An attacker could use variations in the signing
1318    algorithm to recover the private key.
1319
1320    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1321    [CVE-2018-0734][]
1322
1323    *Paul Dale*
1324
1325  * Timing vulnerability in ECDSA signature generation
1326
1327    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1328    timing side channel attack. An attacker could use variations in the signing
1329    algorithm to recover the private key.
1330
1331    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1332    [CVE-2018-0735][]
1333
1334    *Paul Dale*
1335
1336  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1337    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1338    of two gigabytes and the error handling improved.
1339
1340    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1341    categorized as a normal bug, not a security issue, because the DRBG reseeds
1342    automatically and is fully functional even without additional randomness
1343    provided by the application.
1344
1345 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018]
1346
1347  * Add a new ClientHello callback. Provides a callback interface that gives
1348    the application the ability to adjust the nascent SSL object at the
1349    earliest stage of ClientHello processing, immediately after extensions have
1350    been collected but before they have been processed. In particular, this
1351    callback can adjust the supported TLS versions in response to the contents
1352    of the ClientHello
1353
1354    *Benjamin Kaduk*
1355
1356  * Add SM2 base algorithm support.
1357
1358    *Jack Lloyd*
1359
1360  * s390x assembly pack: add (improved) hardware-support for the following
1361    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1362    aes-cfb/cfb8, aes-ecb.
1363
1364    *Patrick Steuer*
1365
1366  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1367    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1368    pem_str is reserved for alias entries only.
1369
1370    *Richard Levitte*
1371
1372  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1373    step for prime curves. The new implementation is based on formulae from
1374    differential addition-and-doubling in homogeneous projective coordinates
1375    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1376    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1377    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1378    to work in projective coordinates.
1379
1380    *Billy Bob Brumley, Nicola Tuveri*
1381
1382  * Change generating and checking of primes so that the error rate of not
1383    being prime depends on the intended use based on the size of the input.
1384    For larger primes this will result in more rounds of Miller-Rabin.
1385    The maximal error rate for primes with more than 1080 bits is lowered
1386    to 2^-128.
1387
1388    *Kurt Roeckx, Annie Yousar*
1389
1390  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1391
1392    *Kurt Roeckx*
1393
1394  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1395    moving between systems, and to avoid confusion when a Windows build is
1396    done with mingw vs with MSVC.  For POSIX installs, there's still a
1397    symlink or copy named 'tsget' to avoid that confusion as well.
1398
1399    *Richard Levitte*
1400
1401  * Revert blinding in ECDSA sign and instead make problematic addition
1402    length-invariant. Switch even to fixed-length Montgomery multiplication.
1403
1404    *Andy Polyakov*
1405
1406  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1407    step for binary curves. The new implementation is based on formulae from
1408    differential addition-and-doubling in mixed Lopez-Dahab projective
1409    coordinates, modified to independently blind the operands.
1410
1411    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1412
1413  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1414    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1415    EC_METHODs to implement their own specialized "ladder step", to take
1416    advantage of more favorable coordinate systems or more efficient
1417    differential addition-and-doubling algorithms.
1418
1419    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1420
1421  * Modified the random device based seed sources to keep the relevant
1422    file descriptors open rather than reopening them on each access.
1423    This allows such sources to operate in a chroot() jail without
1424    the associated device nodes being available. This behaviour can be
1425    controlled using RAND_keep_random_devices_open().
1426
1427    *Paul Dale*
1428
1429  * Numerous side-channel attack mitigations have been applied. This may have
1430    performance impacts for some algorithms for the benefit of improved
1431    security. Specific changes are noted in this change log by their respective
1432    authors.
1433
1434    *Matt Caswell*
1435
1436  * AIX shared library support overhaul. Switch to AIX "natural" way of
1437    handling shared libraries, which means collecting shared objects of
1438    different versions and bitnesses in one common archive. This allows to
1439    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1440    doesn't affect the way 3rd party applications are linked, only how
1441    multi-version installation is managed.
1442
1443    *Andy Polyakov*
1444
1445  * Make ec_group_do_inverse_ord() more robust and available to other
1446    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1447    mitigations are applied to the fallback BN_mod_inverse().
1448    When using this function rather than BN_mod_inverse() directly, new
1449    EC cryptosystem implementations are then safer-by-default.
1450
1451    *Billy Bob Brumley*
1452
1453  * Add coordinate blinding for EC_POINT and implement projective
1454    coordinate blinding for generic prime curves as a countermeasure to
1455    chosen point SCA attacks.
1456
1457    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1458
1459  * Add blinding to ECDSA and DSA signatures to protect against side channel
1460    attacks discovered by Keegan Ryan (NCC Group).
1461
1462    *Matt Caswell*
1463
1464  * Enforce checking in the pkeyutl command line app to ensure that the input
1465    length does not exceed the maximum supported digest length when performing
1466    a sign, verify or verifyrecover operation.
1467
1468    *Matt Caswell*
1469
1470  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1471    I/O in combination with something like select() or poll() will hang. This
1472    can be turned off again using SSL_CTX_clear_mode().
1473    Many applications do not properly handle non-application data records, and
1474    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1475    around the problems in those applications, but can also break some.
1476    It's recommended to read the manpages about SSL_read(), SSL_write(),
1477    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1478    SSL_CTX_set_read_ahead() again.
1479
1480    *Kurt Roeckx*
1481
1482  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1483    now allow empty (zero character) pass phrases.
1484
1485    *Richard Levitte*
1486
1487  * Apply blinding to binary field modular inversion and remove patent
1488    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1489
1490    *Billy Bob Brumley*
1491
1492  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1493    binary and prime elliptic curves.
1494
1495    *Billy Bob Brumley*
1496
1497  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1498    constant time fixed point multiplication.
1499
1500    *Billy Bob Brumley*
1501
1502  * Revise elliptic curve scalar multiplication with timing attack
1503    defenses: ec_wNAF_mul redirects to a constant time implementation
1504    when computing fixed point and variable point multiplication (which
1505    in OpenSSL are mostly used with secret scalars in keygen, sign,
1506    ECDH derive operations).
1507    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1508     Sohaib ul Hassan*
1509
1510  * Updated CONTRIBUTING
1511
1512    *Rich Salz*
1513
1514  * Updated DRBG / RAND to request nonce and additional low entropy
1515    randomness from the system.
1516
1517    *Matthias St. Pierre*
1518
1519  * Updated 'openssl rehash' to use OpenSSL consistent default.
1520
1521    *Richard Levitte*
1522
1523  * Moved the load of the ssl_conf module to libcrypto, which helps
1524    loading engines that libssl uses before libssl is initialised.
1525
1526    *Matt Caswell*
1527
1528  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1529
1530    *Matt Caswell*
1531
1532  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1533
1534    *Ingo Schwarze, Rich Salz*
1535
1536  * Added output of accepting IP address and port for 'openssl s_server'
1537
1538    *Richard Levitte*
1539
1540  * Added a new API for TLSv1.3 ciphersuites:
1541       SSL_CTX_set_ciphersuites()
1542       SSL_set_ciphersuites()
1543
1544    *Matt Caswell*
1545
1546  * Memory allocation failures consistently add an error to the error
1547    stack.
1548
1549    *Rich Salz*
1550
1551  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1552    in libcrypto when run as setuid/setgid.
1553
1554    *Bernd Edlinger*
1555
1556  * Load any config file by default when libssl is used.
1557
1558    *Matt Caswell*
1559
1560  * Added new public header file <openssl/rand_drbg.h> and documentation
1561    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1562
1563    *Matthias St. Pierre*
1564
1565  * QNX support removed (cannot find contributors to get their approval
1566    for the license change).
1567
1568    *Rich Salz*
1569
1570  * TLSv1.3 replay protection for early data has been implemented. See the
1571    SSL_read_early_data() man page for further details.
1572
1573    *Matt Caswell*
1574
1575  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1576    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1577    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1578    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1579    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1580    configuration has been separated out. See the ciphers man page or the
1581    SSL_CTX_set_ciphersuites() man page for more information.
1582
1583    *Matt Caswell*
1584
1585  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1586    in responder mode now supports the new "-multi" option, which
1587    spawns the specified number of child processes to handle OCSP
1588    requests.  The "-timeout" option now also limits the OCSP
1589    responder's patience to wait to receive the full client request
1590    on a newly accepted connection. Child processes are respawned
1591    as needed, and the CA index file is automatically reloaded
1592    when changed.  This makes it possible to run the "ocsp" responder
1593    as a long-running service, making the OpenSSL CA somewhat more
1594    feature-complete.  In this mode, most diagnostic messages logged
1595    after entering the event loop are logged via syslog(3) rather than
1596    written to stderr.
1597
1598    *Viktor Dukhovni*
1599
1600  * Added support for X448 and Ed448. Heavily based on original work by
1601    Mike Hamburg.
1602
1603    *Matt Caswell*
1604
1605  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1606    objects loaded.  This adds the functions OSSL_STORE_expect() and
1607    OSSL_STORE_find() as well as needed tools to construct searches and
1608    get the search data out of them.
1609
1610    *Richard Levitte*
1611
1612  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1613    version of OpenSSL should review their configuration settings to ensure
1614    that they are still appropriate for TLSv1.3. For further information see:
1615    <https://wiki.openssl.org/index.php/TLS1.3>
1616
1617    *Matt Caswell*
1618
1619  * Grand redesign of the OpenSSL random generator
1620
1621    The default RAND method now utilizes an AES-CTR DRBG according to
1622    NIST standard SP 800-90Ar1. The new random generator is essentially
1623    a port of the default random generator from the OpenSSL FIPS 2.0
1624    object module. It is a hybrid deterministic random bit generator
1625    using an AES-CTR bit stream and which seeds and reseeds itself
1626    automatically using trusted system entropy sources.
1627
1628    Some of its new features are:
1629     - Support for multiple DRBG instances with seed chaining.
1630     - The default RAND method makes use of a DRBG.
1631     - There is a public and private DRBG instance.
1632     - The DRBG instances are fork-safe.
1633     - Keep all global DRBG instances on the secure heap if it is enabled.
1634     - The public and private DRBG instance are per thread for lock free
1635       operation
1636
1637    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1638
1639  * Changed Configure so it only says what it does and doesn't dump
1640    so much data.  Instead, ./configdata.pm should be used as a script
1641    to display all sorts of configuration data.
1642
1643    *Richard Levitte*
1644
1645  * Added processing of "make variables" to Configure.
1646
1647    *Richard Levitte*
1648
1649  * Added SHA512/224 and SHA512/256 algorithm support.
1650
1651    *Paul Dale*
1652
1653  * The last traces of Netware support, first removed in 1.1.0, have
1654    now been removed.
1655
1656    *Rich Salz*
1657
1658  * Get rid of Makefile.shared, and in the process, make the processing
1659    of certain files (rc.obj, or the .def/.map/.opt files produced from
1660    the ordinal files) more visible and hopefully easier to trace and
1661    debug (or make silent).
1662
1663    *Richard Levitte*
1664
1665  * Make it possible to have environment variable assignments as
1666    arguments to config / Configure.
1667
1668    *Richard Levitte*
1669
1670  * Add multi-prime RSA (RFC 8017) support.
1671
1672    *Paul Yang*
1673
1674  * Add SM3 implemented according to GB/T 32905-2016
1675    * Jack Lloyd <jack.lloyd@ribose.com>,
1676      Ronald Tse <ronald.tse@ribose.com>,
1677      Erick Borsboom <erick.borsboom@ribose.com> *
1678
1679  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1680    as documented in RFC6066.
1681    Based on a patch from Tomasz Moń
1682
1683    *Filipe Raimundo da Silva*
1684
1685  * Add SM4 implemented according to GB/T 32907-2016.
1686    * Jack Lloyd <jack.lloyd@ribose.com>,
1687      Ronald Tse <ronald.tse@ribose.com>,
1688      Erick Borsboom <erick.borsboom@ribose.com> *
1689
1690  * Reimplement -newreq-nodes and ERR_error_string_n; the
1691    original author does not agree with the license change.
1692
1693    *Rich Salz*
1694
1695  * Add ARIA AEAD TLS support.
1696
1697    *Jon Spillett*
1698
1699  * Some macro definitions to support VS6 have been removed.  Visual
1700    Studio 6 has not worked since 1.1.0
1701
1702    *Rich Salz*
1703
1704  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1705    without clearing the errors.
1706
1707    *Richard Levitte*
1708
1709  * Add "atfork" functions.  If building on a system that without
1710    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1711    requirements.  The RAND facility now uses/requires this.
1712
1713    *Rich Salz*
1714
1715  * Add SHA3.
1716
1717    *Andy Polyakov*
1718
1719  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1720    not possible to disable entirely.  However, it's still possible to
1721    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1722    as a fallback).
1723
1724    To disable, configure with 'no-ui-console'.  'no-ui' is still
1725    possible to use as an alias.  Check at compile time with the
1726    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1727    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1728
1729    *Richard Levitte*
1730
1731  * Add a STORE module, which implements a uniform and URI based reader of
1732    stores that can contain keys, certificates, CRLs and numerous other
1733    objects.  The main API is loosely based on a few stdio functions,
1734    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1735    OSSL_STORE_error and OSSL_STORE_close.
1736    The implementation uses backends called "loaders" to implement arbitrary
1737    URI schemes.  There is one built in "loader" for the 'file' scheme.
1738
1739    *Richard Levitte*
1740
1741  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1742    then adjusted to work on FreeBSD 8.4 as well.
1743    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1744    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1745
1746    *Richard Levitte*
1747
1748  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1749    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1750    error code calls like this:
1751
1752            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1753
1754    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1755    that can be encoded in C.  For the foreseeable future, this will only
1756    affect new modules.
1757
1758    *Richard Levitte and Tim Hudson*
1759
1760  * Removed BSD cryptodev engine.
1761
1762    *Rich Salz*
1763
1764  * Add a build target 'build_all_generated', to build all generated files
1765    and only that.  This can be used to prepare everything that requires
1766    things like perl for a system that lacks perl and then move everything
1767    to that system and do the rest of the build there.
1768
1769    *Richard Levitte*
1770
1771  * In the UI interface, make it possible to duplicate the user data.  This
1772    can be used by engines that need to retain the data for a longer time
1773    than just the call where this user data is passed.
1774
1775    *Richard Levitte*
1776
1777  * Ignore the '-named_curve auto' value for compatibility of applications
1778    with OpenSSL 1.0.2.
1779
1780    *Tomas Mraz <tmraz@fedoraproject.org>*
1781
1782  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1783    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1784    alerts across multiple records (some of which could be empty). In practice
1785    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1786    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1787    support this at all. Supporting it adds significant complexity to the
1788    record layer, and its removal is unlikely to cause interoperability
1789    issues.
1790
1791    *Matt Caswell*
1792
1793  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1794    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1795    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1796    in OpenSSL 1.2.0.
1797
1798    *Richard Levitte*
1799
1800  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1801    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1802
1803    *Richard Levitte, Andy Polyakov*
1804
1805  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1806    does for RSA, etc.
1807
1808    *Richard Levitte*
1809
1810  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1811    platform rather than 'mingw'.
1812
1813    *Richard Levitte*
1814
1815  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1816    success if they are asked to add an object which already exists
1817    in the store. This change cascades to other functions which load
1818    certificates and CRLs.
1819
1820    *Paul Dale*
1821
1822  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1823    facilitate stack unwinding even from assembly subroutines.
1824
1825    *Andy Polyakov*
1826
1827  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1828    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1829
1830    *Richard Levitte*
1831
1832  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1833    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1834    which is the minimum version we support.
1835
1836    *Richard Levitte*
1837
1838  * Certificate time validation (X509_cmp_time) enforces stricter
1839    compliance with RFC 5280. Fractional seconds and timezone offsets
1840    are no longer allowed.
1841
1842    *Emilia Käsper*
1843
1844  * Add support for ARIA
1845
1846    *Paul Dale*
1847
1848  * s_client will now send the Server Name Indication (SNI) extension by
1849    default unless the new "-noservername" option is used. The server name is
1850    based on the host provided to the "-connect" option unless overridden by
1851    using "-servername".
1852
1853    *Matt Caswell*
1854
1855  * Add support for SipHash
1856
1857    *Todd Short*
1858
1859  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1860    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1861    prevent issues where no progress is being made and the peer continually
1862    sends unrecognised record types, using up resources processing them.
1863
1864    *Matt Caswell*
1865
1866  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1867    using the algorithm defined in
1868    <https://www.akkadia.org/drepper/SHA-crypt.txt>
1869
1870    *Richard Levitte*
1871
1872  * Heartbeat support has been removed; the ABI is changed for now.
1873
1874    *Richard Levitte, Rich Salz*
1875
1876  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1877
1878    *Emilia Käsper*
1879
1880  * The RSA "null" method, which was partially supported to avoid patent
1881    issues, has been replaced to always returns NULL.
1882
1883    *Rich Salz*
1884
1885 OpenSSL 1.1.0
1886 -------------
1887
1888 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019]
1889
1890  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1891    used even when parsing explicit parameters, when loading a serialized key
1892    or calling `EC_GROUP_new_from_ecpkparameters()`/
1893    `EC_GROUP_new_from_ecparameters()`.
1894    This prevents bypass of security hardening and performance gains,
1895    especially for curves with specialized EC_METHODs.
1896    By default, if a key encoded with explicit parameters is loaded and later
1897    serialized, the output is still encoded with explicit parameters, even if
1898    internally a "named" EC_GROUP is used for computation.
1899
1900    *Nicola Tuveri*
1901
1902  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1903    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1904    NULL. After this change, only the cofactor parameter can be NULL. It also
1905    does some minimal sanity checks on the passed order.
1906    [CVE-2019-1547][]
1907
1908    *Billy Bob Brumley*
1909
1910  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1911    An attack is simple, if the first CMS_recipientInfo is valid but the
1912    second CMS_recipientInfo is chosen ciphertext. If the second
1913    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1914    encryption key will be replaced by garbage, and the message cannot be
1915    decoded, but if the RSA decryption fails, the correct encryption key is
1916    used and the recipient will not notice the attack.
1917    As a work around for this potential attack the length of the decrypted
1918    key must be equal to the cipher default key length, in case the
1919    certifiate is not given and all recipientInfo are tried out.
1920    The old behaviour can be re-enabled in the CMS code by setting the
1921    CMS_DEBUG_DECRYPT flag.
1922    [CVE-2019-1563][]
1923
1924    *Bernd Edlinger*
1925
1926  * Use Windows installation paths in the mingw builds
1927
1928    Mingw isn't a POSIX environment per se, which means that Windows
1929    paths should be used for installation.
1930    [CVE-2019-1552][]
1931
1932    *Richard Levitte*
1933
1934 ### Changes between 1.1.0j and 1.1.0k [28 May 2019]
1935
1936  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1937    This changes the size when using the genpkey app when no size is given. It
1938    fixes an omission in earlier changes that changed all RSA, DSA and DH
1939    generation apps to use 2048 bits by default.
1940
1941    *Kurt Roeckx*
1942
1943  * Prevent over long nonces in ChaCha20-Poly1305.
1944
1945    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1946    for every encryption operation. RFC 7539 specifies that the nonce value
1947    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1948    and front pads the nonce with 0 bytes if it is less than 12
1949    bytes. However it also incorrectly allows a nonce to be set of up to 16
1950    bytes. In this case only the last 12 bytes are significant and any
1951    additional leading bytes are ignored.
1952
1953    It is a requirement of using this cipher that nonce values are
1954    unique. Messages encrypted using a reused nonce value are susceptible to
1955    serious confidentiality and integrity attacks. If an application changes
1956    the default nonce length to be longer than 12 bytes and then makes a
1957    change to the leading bytes of the nonce expecting the new value to be a
1958    new unique nonce then such an application could inadvertently encrypt
1959    messages with a reused nonce.
1960
1961    Additionally the ignored bytes in a long nonce are not covered by the
1962    integrity guarantee of this cipher. Any application that relies on the
1963    integrity of these ignored leading bytes of a long nonce may be further
1964    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1965    is safe because no such use sets such a long nonce value. However user
1966    applications that use this cipher directly and set a non-default nonce
1967    length to be longer than 12 bytes may be vulnerable.
1968
1969    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1970    Greef of Ronomon.
1971    [CVE-2019-1543][]
1972
1973    *Matt Caswell*
1974
1975  * Added SCA hardening for modular field inversion in EC_GROUP through
1976    a new dedicated field_inv() pointer in EC_METHOD.
1977    This also addresses a leakage affecting conversions from projective
1978    to affine coordinates.
1979
1980    *Billy Bob Brumley, Nicola Tuveri*
1981
1982  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1983    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1984
1985    *Bernd Edlinger*
1986
1987  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1988
1989    *Richard Levitte*
1990
1991  * Remove the 'dist' target and add a tarball building script.  The
1992    'dist' target has fallen out of use, and it shouldn't be
1993    necessary to configure just to create a source distribution.
1994
1995    *Richard Levitte*
1996
1997 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018]
1998
1999  * Timing vulnerability in DSA signature generation
2000
2001    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
2002    timing side channel attack. An attacker could use variations in the signing
2003    algorithm to recover the private key.
2004
2005    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
2006    [CVE-2018-0734][]
2007
2008    *Paul Dale*
2009
2010  * Timing vulnerability in ECDSA signature generation
2011
2012    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
2013    timing side channel attack. An attacker could use variations in the signing
2014    algorithm to recover the private key.
2015
2016    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
2017    [CVE-2018-0735][]
2018
2019    *Paul Dale*
2020
2021  * Add coordinate blinding for EC_POINT and implement projective
2022    coordinate blinding for generic prime curves as a countermeasure to
2023    chosen point SCA attacks.
2024
2025    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
2026
2027 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018]
2028
2029  * Client DoS due to large DH parameter
2030
2031    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
2032    malicious server can send a very large prime value to the client. This will
2033    cause the client to spend an unreasonably long period of time generating a
2034    key for this prime resulting in a hang until the client has finished. This
2035    could be exploited in a Denial Of Service attack.
2036
2037    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
2038    [CVE-2018-0732][]
2039
2040    *Guido Vranken*
2041
2042  * Cache timing vulnerability in RSA Key Generation
2043
2044    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
2045    a cache timing side channel attack. An attacker with sufficient access to
2046    mount cache timing attacks during the RSA key generation process could
2047    recover the private key.
2048
2049    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
2050    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
2051    [CVE-2018-0737][]
2052
2053    *Billy Brumley*
2054
2055  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2056    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2057    pem_str is reserved for alias entries only.
2058
2059    *Richard Levitte*
2060
2061  * Revert blinding in ECDSA sign and instead make problematic addition
2062    length-invariant. Switch even to fixed-length Montgomery multiplication.
2063
2064    *Andy Polyakov*
2065
2066  * Change generating and checking of primes so that the error rate of not
2067    being prime depends on the intended use based on the size of the input.
2068    For larger primes this will result in more rounds of Miller-Rabin.
2069    The maximal error rate for primes with more than 1080 bits is lowered
2070    to 2^-128.
2071
2072    *Kurt Roeckx, Annie Yousar*
2073
2074  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2075
2076    *Kurt Roeckx*
2077
2078  * Add blinding to ECDSA and DSA signatures to protect against side channel
2079    attacks discovered by Keegan Ryan (NCC Group).
2080
2081    *Matt Caswell*
2082
2083  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2084    now allow empty (zero character) pass phrases.
2085
2086    *Richard Levitte*
2087
2088  * Certificate time validation (X509_cmp_time) enforces stricter
2089    compliance with RFC 5280. Fractional seconds and timezone offsets
2090    are no longer allowed.
2091
2092    *Emilia Käsper*
2093
2094  * Fixed a text canonicalisation bug in CMS
2095
2096    Where a CMS detached signature is used with text content the text goes
2097    through a canonicalisation process first prior to signing or verifying a
2098    signature. This process strips trailing space at the end of lines, converts
2099    line terminators to CRLF and removes additional trailing line terminators
2100    at the end of a file. A bug in the canonicalisation process meant that
2101    some characters, such as form-feed, were incorrectly treated as whitespace
2102    and removed. This is contrary to the specification (RFC5485). This fix
2103    could mean that detached text data signed with an earlier version of
2104    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2105    signed with a fixed OpenSSL may fail to verify with an earlier version of
2106    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2107    and use the "-binary" flag (for the "cms" command line application) or set
2108    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2109
2110    *Matt Caswell*
2111
2112 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018]
2113
2114  * Constructed ASN.1 types with a recursive definition could exceed the stack
2115
2116    Constructed ASN.1 types with a recursive definition (such as can be found
2117    in PKCS7) could eventually exceed the stack given malicious input with
2118    excessive recursion. This could result in a Denial Of Service attack. There
2119    are no such structures used within SSL/TLS that come from untrusted sources
2120    so this is considered safe.
2121
2122    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2123    project.
2124    [CVE-2018-0739][]
2125
2126    *Matt Caswell*
2127
2128  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2129
2130    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2131    effectively reduced to only comparing the least significant bit of each
2132    byte. This allows an attacker to forge messages that would be considered as
2133    authenticated in an amount of tries lower than that guaranteed by the
2134    security claims of the scheme. The module can only be compiled by the
2135    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2136
2137    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2138    (IBM).
2139    [CVE-2018-0733][]
2140
2141    *Andy Polyakov*
2142
2143  * Add a build target 'build_all_generated', to build all generated files
2144    and only that.  This can be used to prepare everything that requires
2145    things like perl for a system that lacks perl and then move everything
2146    to that system and do the rest of the build there.
2147
2148    *Richard Levitte*
2149
2150  * Backport SSL_OP_NO_RENGOTIATION
2151
2152    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2153    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2154    changes this is no longer possible in 1.1.0. Therefore the new
2155    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2156    1.1.0 to provide equivalent functionality.
2157
2158    Note that if an application built against 1.1.0h headers (or above) is run
2159    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2160    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2161
2162    *Matt Caswell*
2163
2164  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2165    exist.
2166
2167    *Rich Salz*
2168
2169  * rsaz_1024_mul_avx2 overflow bug on x86_64
2170
2171    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2172    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2173    Analysis suggests that attacks against RSA and DSA as a result of this
2174    defect would be very difficult to perform and are not believed likely.
2175    Attacks against DH1024 are considered just feasible, because most of the
2176    work necessary to deduce information about a private key may be performed
2177    offline. The amount of resources required for such an attack would be
2178    significant. However, for an attack on TLS to be meaningful, the server
2179    would have to share the DH1024 private key among multiple clients, which is
2180    no longer an option since CVE-2016-0701.
2181
2182    This only affects processors that support the AVX2 but not ADX extensions
2183    like Intel Haswell (4th generation).
2184
2185    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2186    was originally found via the OSS-Fuzz project.
2187    [CVE-2017-3738][]
2188
2189    *Andy Polyakov*
2190
2191 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017]
2192
2193  * bn_sqrx8x_internal carry bug on x86_64
2194
2195    There is a carry propagating bug in the x86_64 Montgomery squaring
2196    procedure. No EC algorithms are affected. Analysis suggests that attacks
2197    against RSA and DSA as a result of this defect would be very difficult to
2198    perform and are not believed likely. Attacks against DH are considered just
2199    feasible (although very difficult) because most of the work necessary to
2200    deduce information about a private key may be performed offline. The amount
2201    of resources required for such an attack would be very significant and
2202    likely only accessible to a limited number of attackers. An attacker would
2203    additionally need online access to an unpatched system using the target
2204    private key in a scenario with persistent DH parameters and a private
2205    key that is shared between multiple clients.
2206
2207    This only affects processors that support the BMI1, BMI2 and ADX extensions
2208    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2209
2210    This issue was reported to OpenSSL by the OSS-Fuzz project.
2211    [CVE-2017-3736][]
2212
2213    *Andy Polyakov*
2214
2215  * Malformed X.509 IPAddressFamily could cause OOB read
2216
2217    If an X.509 certificate has a malformed IPAddressFamily extension,
2218    OpenSSL could do a one-byte buffer overread. The most likely result
2219    would be an erroneous display of the certificate in text format.
2220
2221    This issue was reported to OpenSSL by the OSS-Fuzz project.
2222    [CVE-2017-3735][]
2223
2224    *Rich Salz*
2225
2226 ### Changes between 1.1.0e and 1.1.0f [25 May 2017]
2227
2228  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2229    platform rather than 'mingw'.
2230
2231    *Richard Levitte*
2232
2233  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2234    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2235    which is the minimum version we support.
2236
2237    *Richard Levitte*
2238
2239 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017]
2240
2241  * Encrypt-Then-Mac renegotiation crash
2242
2243    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2244    negotiated where it was not in the original handshake (or vice-versa) then
2245    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2246    and servers are affected.
2247
2248    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2249    [CVE-2017-3733][]
2250
2251    *Matt Caswell*
2252
2253 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017]
2254
2255  * Truncated packet could crash via OOB read
2256
2257    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2258    cipher is being used, then a truncated packet can cause that host to
2259    perform an out-of-bounds read, usually resulting in a crash.
2260
2261    This issue was reported to OpenSSL by Robert Święcki of Google.
2262    [CVE-2017-3731][]
2263
2264    *Andy Polyakov*
2265
2266  * Bad (EC)DHE parameters cause a client crash
2267
2268    If a malicious server supplies bad parameters for a DHE or ECDHE key
2269    exchange then this can result in the client attempting to dereference a
2270    NULL pointer leading to a client crash. This could be exploited in a Denial
2271    of Service attack.
2272
2273    This issue was reported to OpenSSL by Guido Vranken.
2274    [CVE-2017-3730][]
2275
2276    *Matt Caswell*
2277
2278  * BN_mod_exp may produce incorrect results on x86_64
2279
2280    There is a carry propagating bug in the x86_64 Montgomery squaring
2281    procedure. No EC algorithms are affected. Analysis suggests that attacks
2282    against RSA and DSA as a result of this defect would be very difficult to
2283    perform and are not believed likely. Attacks against DH are considered just
2284    feasible (although very difficult) because most of the work necessary to
2285    deduce information about a private key may be performed offline. The amount
2286    of resources required for such an attack would be very significant and
2287    likely only accessible to a limited number of attackers. An attacker would
2288    additionally need online access to an unpatched system using the target
2289    private key in a scenario with persistent DH parameters and a private
2290    key that is shared between multiple clients. For example this can occur by
2291    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2292    similar to CVE-2015-3193 but must be treated as a separate problem.
2293
2294    This issue was reported to OpenSSL by the OSS-Fuzz project.
2295    [CVE-2017-3732][]
2296
2297    *Andy Polyakov*
2298
2299 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016]
2300
2301  * ChaCha20/Poly1305 heap-buffer-overflow
2302
2303    TLS connections using `*-CHACHA20-POLY1305` ciphersuites are susceptible to
2304    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2305    crash. This issue is not considered to be exploitable beyond a DoS.
2306
2307    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2308    [CVE-2016-7054][]
2309
2310    *Richard Levitte*
2311
2312  * CMS Null dereference
2313
2314    Applications parsing invalid CMS structures can crash with a NULL pointer
2315    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2316    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2317    structure callback if an attempt is made to free certain invalid encodings.
2318    Only CHOICE structures using a callback which do not handle NULL value are
2319    affected.
2320
2321    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2322    [CVE-2016-7053][]
2323
2324    *Stephen Henson*
2325
2326  * Montgomery multiplication may produce incorrect results
2327
2328    There is a carry propagating bug in the Broadwell-specific Montgomery
2329    multiplication procedure that handles input lengths divisible by, but
2330    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2331    and DH private keys are impossible. This is because the subroutine in
2332    question is not used in operations with the private key itself and an input
2333    of the attacker's direct choice. Otherwise the bug can manifest itself as
2334    transient authentication and key negotiation failures or reproducible
2335    erroneous outcome of public-key operations with specially crafted input.
2336    Among EC algorithms only Brainpool P-512 curves are affected and one
2337    presumably can attack ECDH key negotiation. Impact was not analyzed in
2338    detail, because pre-requisites for attack are considered unlikely. Namely
2339    multiple clients have to choose the curve in question and the server has to
2340    share the private key among them, neither of which is default behaviour.
2341    Even then only clients that chose the curve will be affected.
2342
2343    This issue was publicly reported as transient failures and was not
2344    initially recognized as a security issue. Thanks to Richard Morgan for
2345    providing reproducible case.
2346    [CVE-2016-7055][]
2347
2348    *Andy Polyakov*
2349
2350  * Removed automatic addition of RPATH in shared libraries and executables,
2351    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2352
2353    *Richard Levitte*
2354
2355 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016]
2356
2357  * Fix Use After Free for large message sizes
2358
2359    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2360    message larger than approx 16k is received then the underlying buffer to
2361    store the incoming message is reallocated and moved. Unfortunately a
2362    dangling pointer to the old location is left which results in an attempt to
2363    write to the previously freed location. This is likely to result in a
2364    crash, however it could potentially lead to execution of arbitrary code.
2365
2366    This issue only affects OpenSSL 1.1.0a.
2367
2368    This issue was reported to OpenSSL by Robert Święcki.
2369    [CVE-2016-6309][]
2370
2371    *Matt Caswell*
2372
2373 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016]
2374
2375  * OCSP Status Request extension unbounded memory growth
2376
2377    A malicious client can send an excessively large OCSP Status Request
2378    extension. If that client continually requests renegotiation, sending a
2379    large OCSP Status Request extension each time, then there will be unbounded
2380    memory growth on the server. This will eventually lead to a Denial Of
2381    Service attack through memory exhaustion. Servers with a default
2382    configuration are vulnerable even if they do not support OCSP. Builds using
2383    the "no-ocsp" build time option are not affected.
2384
2385    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2386    [CVE-2016-6304][]
2387
2388    *Matt Caswell*
2389
2390  * SSL_peek() hang on empty record
2391
2392    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2393    sends an empty record. This could be exploited by a malicious peer in a
2394    Denial Of Service attack.
2395
2396    This issue was reported to OpenSSL by Alex Gaynor.
2397    [CVE-2016-6305][]
2398
2399    *Matt Caswell*
2400
2401  * Excessive allocation of memory in tls_get_message_header() and
2402    dtls1_preprocess_fragment()
2403
2404    A (D)TLS message includes 3 bytes for its length in the header for the
2405    message. This would allow for messages up to 16Mb in length. Messages of
2406    this length are excessive and OpenSSL includes a check to ensure that a
2407    peer is sending reasonably sized messages in order to avoid too much memory
2408    being consumed to service a connection. A flaw in the logic of version
2409    1.1.0 means that memory for the message is allocated too early, prior to
2410    the excessive message length check. Due to way memory is allocated in
2411    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2412    to service a connection. This could lead to a Denial of Service through
2413    memory exhaustion. However, the excessive message length check still takes
2414    place, and this would cause the connection to immediately fail. Assuming
2415    that the application calls SSL_free() on the failed connection in a timely
2416    manner then the 21Mb of allocated memory will then be immediately freed
2417    again. Therefore the excessive memory allocation will be transitory in
2418    nature. This then means that there is only a security impact if:
2419
2420    1) The application does not call SSL_free() in a timely manner in the event
2421    that the connection fails
2422    or
2423    2) The application is working in a constrained environment where there is
2424    very little free memory
2425    or
2426    3) The attacker initiates multiple connection attempts such that there are
2427    multiple connections in a state where memory has been allocated for the
2428    connection; SSL_free() has not yet been called; and there is insufficient
2429    memory to service the multiple requests.
2430
2431    Except in the instance of (1) above any Denial Of Service is likely to be
2432    transitory because as soon as the connection fails the memory is
2433    subsequently freed again in the SSL_free() call. However there is an
2434    increased risk during this period of application crashes due to the lack of
2435    memory - which would then mean a more serious Denial of Service.
2436
2437    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2438    (CVE-2016-6307 and CVE-2016-6308)
2439
2440    *Matt Caswell*
2441
2442  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2443    had to be removed. Primary reason is that vendor assembler can't
2444    assemble our modules with -KPIC flag. As result it, assembly
2445    support, was not even available as option. But its lack means
2446    lack of side-channel resistant code, which is incompatible with
2447    security by todays standards. Fortunately gcc is readily available
2448    prepackaged option, which we firmly point at...
2449
2450    *Andy Polyakov*
2451
2452 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016]
2453
2454  * Windows command-line tool supports UTF-8 opt-in option for arguments
2455    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2456    (to any value) allows Windows user to access PKCS#12 file generated
2457    with Windows CryptoAPI and protected with non-ASCII password, as well
2458    as files generated under UTF-8 locale on Linux also protected with
2459    non-ASCII password.
2460
2461    *Andy Polyakov*
2462
2463  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2464    have been disabled by default and removed from DEFAULT, just like RC4.
2465    See the RC4 item below to re-enable both.
2466
2467    *Rich Salz*
2468
2469  * The method for finding the storage location for the Windows RAND seed file
2470    has changed. First we check %RANDFILE%. If that is not set then we check
2471    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2472    all else fails we fall back to C:\.
2473
2474    *Matt Caswell*
2475
2476  * The EVP_EncryptUpdate() function has had its return type changed from void
2477    to int. A return of 0 indicates and error while a return of 1 indicates
2478    success.
2479
2480    *Matt Caswell*
2481
2482  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2483    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2484    off the constant time implementation for RSA, DSA and DH have been made
2485    no-ops and deprecated.
2486
2487    *Matt Caswell*
2488
2489  * Windows RAND implementation was simplified to only get entropy by
2490    calling CryptGenRandom(). Various other RAND-related tickets
2491    were also closed.
2492
2493    *Joseph Wylie Yandle, Rich Salz*
2494
2495  * The stack and lhash API's were renamed to start with `OPENSSL_SK_`
2496    and `OPENSSL_LH_`, respectively.  The old names are available
2497    with API compatibility.  They new names are now completely documented.
2498
2499    *Rich Salz*
2500
2501  * Unify TYPE_up_ref(obj) methods signature.
2502    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2503    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2504    int (instead of void) like all others TYPE_up_ref() methods.
2505    So now these methods also check the return value of CRYPTO_atomic_add(),
2506    and the validity of object reference counter.
2507
2508    *fdasilvayy@gmail.com*
2509
2510  * With Windows Visual Studio builds, the .pdb files are installed
2511    alongside the installed libraries and executables.  For a static
2512    library installation, ossl_static.pdb is the associate compiler
2513    generated .pdb file to be used when linking programs.
2514
2515    *Richard Levitte*
2516
2517  * Remove openssl.spec.  Packaging files belong with the packagers.
2518
2519    *Richard Levitte*
2520
2521  * Automatic Darwin/OSX configuration has had a refresh, it will now
2522    recognise x86_64 architectures automatically.  You can still decide
2523    to build for a different bitness with the environment variable
2524    KERNEL_BITS (can be 32 or 64), for example:
2525
2526            KERNEL_BITS=32 ./config
2527
2528    *Richard Levitte*
2529
2530  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2531    256 bit AES and HMAC with SHA256.
2532
2533    *Steve Henson*
2534
2535  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2536
2537    *Andy Polyakov*
2538
2539  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2540
2541    *Rich Salz*
2542
2543  * To enable users to have their own config files and build file templates,
2544    Configure looks in the directory indicated by the environment variable
2545    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2546    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2547    name and is used as is.
2548
2549    *Richard Levitte*
2550
2551  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2552    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2553    X509_CERT_FILE_CTX was removed.
2554
2555    *Rich Salz*
2556
2557  * "shared" builds are now the default. To create only static libraries use
2558    the "no-shared" Configure option.
2559
2560    *Matt Caswell*
2561
2562  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2563    All of these option have not worked for some while and are fundamental
2564    algorithms.
2565
2566    *Matt Caswell*
2567
2568  * Make various cleanup routines no-ops and mark them as deprecated. Most
2569    global cleanup functions are no longer required because they are handled
2570    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2571    Explicitly de-initing can cause problems (e.g. where a library that uses
2572    OpenSSL de-inits, but an application is still using it). The affected
2573    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2574    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2575    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2576    COMP_zlib_cleanup().
2577
2578    *Matt Caswell*
2579
2580  * --strict-warnings no longer enables runtime debugging options
2581    such as REF_DEBUG. Instead, debug options are automatically
2582    enabled with '--debug' builds.
2583
2584    *Andy Polyakov, Emilia Käsper*
2585
2586  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2587    have been moved out of the public header files. New functions for managing
2588    these have been added.
2589
2590    *Matt Caswell*
2591
2592  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2593    objects have been moved out of the public header files. New
2594    functions for managing these have been added.
2595
2596    *Richard Levitte*
2597
2598  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2599    have been moved out of the public header files. New functions for managing
2600    these have been added.
2601
2602    *Matt Caswell*
2603
2604  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2605    moved out of the public header files. New functions for managing these
2606    have been added.
2607
2608    *Matt Caswell*
2609
2610  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2611
2612    *Matt Caswell*
2613
2614  * Removed the mk1mf build scripts.
2615
2616    *Richard Levitte*
2617
2618  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2619    it is always safe to #include a header now.
2620
2621    *Rich Salz*
2622
2623  * Removed the aged BC-32 config and all its supporting scripts
2624
2625    *Richard Levitte*
2626
2627  * Removed support for Ultrix, Netware, and OS/2.
2628
2629    *Rich Salz*
2630
2631  * Add support for HKDF.
2632
2633    *Alessandro Ghedini*
2634
2635  * Add support for blake2b and blake2s
2636
2637    *Bill Cox*
2638
2639  * Added support for "pipelining". Ciphers that have the
2640    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2641    encryptions/decryptions simultaneously. There are currently no built-in
2642    ciphers with this property but the expectation is that engines will be able
2643    to offer it to significantly improve throughput. Support has been extended
2644    into libssl so that multiple records for a single connection can be
2645    processed in one go (for >=TLS 1.1).
2646
2647    *Matt Caswell*
2648
2649  * Added the AFALG engine. This is an async capable engine which is able to
2650    offload work to the Linux kernel. In this initial version it only supports
2651    AES128-CBC. The kernel must be version 4.1.0 or greater.
2652
2653    *Catriona Lucey*
2654
2655  * OpenSSL now uses a new threading API. It is no longer necessary to
2656    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2657    are two supported threading models: pthreads and windows threads. It is
2658    also possible to configure OpenSSL at compile time for "no-threads". The
2659    old threading API should no longer be used. The functions have been
2660    replaced with "no-op" compatibility macros.
2661
2662    *Alessandro Ghedini, Matt Caswell*
2663
2664  * Modify behavior of ALPN to invoke callback after SNI/servername
2665    callback, such that updates to the SSL_CTX affect ALPN.
2666
2667    *Todd Short*
2668
2669  * Add SSL_CIPHER queries for authentication and key-exchange.
2670
2671    *Todd Short*
2672
2673  * Changes to the DEFAULT cipherlist:
2674    - Prefer (EC)DHE handshakes over plain RSA.
2675    - Prefer AEAD ciphers over legacy ciphers.
2676    - Prefer ECDSA over RSA when both certificates are available.
2677    - Prefer TLSv1.2 ciphers/PRF.
2678    - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2679      default cipherlist.
2680
2681    *Emilia Käsper*
2682
2683  * Change the ECC default curve list to be this, in order: x25519,
2684    secp256r1, secp521r1, secp384r1.
2685
2686    *Rich Salz*
2687
2688  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2689    disabled by default. They can be re-enabled using the
2690    enable-weak-ssl-ciphers option to Configure.
2691
2692    *Matt Caswell*
2693
2694  * If the server has ALPN configured, but supports no protocols that the
2695    client advertises, send a fatal "no_application_protocol" alert.
2696    This behaviour is SHALL in RFC 7301, though it isn't universally
2697    implemented by other servers.
2698
2699    *Emilia Käsper*
2700
2701  * Add X25519 support.
2702    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2703    for public and private key encoding using the format documented in
2704    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2705    key generation and key derivation.
2706
2707    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2708    X25519(29).
2709
2710    *Steve Henson*
2711
2712  * Deprecate SRP_VBASE_get_by_user.
2713    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2714    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2715    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2716    seed, even if the seed is configured.
2717
2718    Users should use SRP_VBASE_get1_by_user instead. Note that in
2719    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2720    also that even though configuring the SRP seed attempts to hide
2721    invalid usernames by continuing the handshake with fake
2722    credentials, this behaviour is not constant time and no strong
2723    guarantees are made that the handshake is indistinguishable from
2724    that of a valid user.
2725
2726    *Emilia Käsper*
2727
2728  * Configuration change; it's now possible to build dynamic engines
2729    without having to build shared libraries and vice versa.  This
2730    only applies to the engines in engines/, those in crypto/engine/
2731    will always be built into libcrypto (i.e. "static").
2732
2733    Building dynamic engines is enabled by default; to disable, use
2734    the configuration option "disable-dynamic-engine".
2735
2736    The only requirements for building dynamic engines are the
2737    presence of the DSO module and building with position independent
2738    code, so they will also automatically be disabled if configuring
2739    with "disable-dso" or "disable-pic".
2740
2741    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2742    are also taken away from openssl/opensslconf.h, as they are
2743    irrelevant.
2744
2745    *Richard Levitte*
2746
2747  * Configuration change; if there is a known flag to compile
2748    position independent code, it will always be applied on the
2749    libcrypto and libssl object files, and never on the application
2750    object files.  This means other libraries that use routines from
2751    libcrypto / libssl can be made into shared libraries regardless
2752    of how OpenSSL was configured.
2753
2754    If this isn't desirable, the configuration options "disable-pic"
2755    or "no-pic" can be used to disable the use of PIC.  This will
2756    also disable building shared libraries and dynamic engines.
2757
2758    *Richard Levitte*
2759
2760  * Removed JPAKE code.  It was experimental and has no wide use.
2761
2762    *Rich Salz*
2763
2764  * The INSTALL_PREFIX Makefile variable has been renamed to
2765    DESTDIR.  That makes for less confusion on what this variable
2766    is for.  Also, the configuration option --install_prefix is
2767    removed.
2768
2769    *Richard Levitte*
2770
2771  * Heartbeat for TLS has been removed and is disabled by default
2772    for DTLS; configure with enable-heartbeats.  Code that uses the
2773    old #define's might need to be updated.
2774
2775    *Emilia Käsper, Rich Salz*
2776
2777  * Rename REF_CHECK to REF_DEBUG.
2778
2779    *Rich Salz*
2780
2781  * New "unified" build system
2782
2783    The "unified" build system is aimed to be a common system for all
2784    platforms we support.  With it comes new support for VMS.
2785
2786    This system builds supports building in a different directory tree
2787    than the source tree.  It produces one Makefile (for unix family
2788    or lookalikes), or one descrip.mms (for VMS).
2789
2790    The source of information to make the Makefile / descrip.mms is
2791    small files called 'build.info', holding the necessary
2792    information for each directory with source to compile, and a
2793    template in Configurations, like unix-Makefile.tmpl or
2794    descrip.mms.tmpl.
2795
2796    With this change, the library names were also renamed on Windows
2797    and on VMS.  They now have names that are closer to the standard
2798    on Unix, and include the major version number, and in certain
2799    cases, the architecture they are built for.  See "Notes on shared
2800    libraries" in INSTALL.
2801
2802    We rely heavily on the perl module Text::Template.
2803
2804    *Richard Levitte*
2805
2806  * Added support for auto-initialisation and de-initialisation of the library.
2807    OpenSSL no longer requires explicit init or deinit routines to be called,
2808    except in certain circumstances. See the OPENSSL_init_crypto() and
2809    OPENSSL_init_ssl() man pages for further information.
2810
2811    *Matt Caswell*
2812
2813  * The arguments to the DTLSv1_listen function have changed. Specifically the
2814    "peer" argument is now expected to be a BIO_ADDR object.
2815
2816  * Rewrite of BIO networking library. The BIO library lacked consistent
2817    support of IPv6, and adding it required some more extensive
2818    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2819    which hold all types of addresses and chains of address information.
2820    It also introduces a new API, with functions like BIO_socket,
2821    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2822    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2823    have been adapted accordingly.
2824
2825    *Richard Levitte*
2826
2827  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2828    the leading 0-byte.
2829
2830    *Emilia Käsper*
2831
2832  * CRIME protection: disable compression by default, even if OpenSSL is
2833    compiled with zlib enabled. Applications can still enable compression
2834    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2835    using the SSL_CONF library to configure compression.
2836
2837    *Emilia Käsper*
2838
2839  * The signature of the session callback configured with
2840    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2841    was explicitly marked as `const unsigned char*` instead of
2842    `unsigned char*`.
2843
2844    *Emilia Käsper*
2845
2846  * Always DPURIFY. Remove the use of uninitialized memory in the
2847    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2848
2849    *Emilia Käsper*
2850
2851  * Removed many obsolete configuration items, including
2852       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2853       MD2_CHAR, MD2_INT, MD2_LONG
2854       BF_PTR, BF_PTR2
2855       IDEA_SHORT, IDEA_LONG
2856       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2857
2858    *Rich Salz, with advice from Andy Polyakov*
2859
2860  * Many BN internals have been moved to an internal header file.
2861
2862    *Rich Salz with help from Andy Polyakov*
2863
2864  * Configuration and writing out the results from it has changed.
2865    Files such as Makefile include/openssl/opensslconf.h and are now
2866    produced through general templates, such as Makefile.in and
2867    crypto/opensslconf.h.in and some help from the perl module
2868    Text::Template.
2869
2870    Also, the center of configuration information is no longer
2871    Makefile.  Instead, Configure produces a perl module in
2872    configdata.pm which holds most of the config data (in the hash
2873    table %config), the target data that comes from the target
2874    configuration in one of the `Configurations/*.conf~ files (in
2875    %target).
2876
2877    *Richard Levitte*
2878
2879  * To clarify their intended purposes, the Configure options
2880    --prefix and --openssldir change their semantics, and become more
2881    straightforward and less interdependent.
2882
2883    --prefix shall be used exclusively to give the location INSTALLTOP
2884    where programs, scripts, libraries, include files and manuals are
2885    going to be installed.  The default is now /usr/local.
2886
2887    --openssldir shall be used exclusively to give the default
2888    location OPENSSLDIR where certificates, private keys, CRLs are
2889    managed.  This is also where the default openssl.cnf gets
2890    installed.
2891    If the directory given with this option is a relative path, the
2892    values of both the --prefix value and the --openssldir value will
2893    be combined to become OPENSSLDIR.
2894    The default for --openssldir is INSTALLTOP/ssl.
2895
2896    Anyone who uses --openssldir to specify where OpenSSL is to be
2897    installed MUST change to use --prefix instead.
2898
2899    *Richard Levitte*
2900
2901  * The GOST engine was out of date and therefore it has been removed. An up
2902    to date GOST engine is now being maintained in an external repository.
2903    See: <https://wiki.openssl.org/index.php/Binaries>. Libssl still retains
2904    support for GOST ciphersuites (these are only activated if a GOST engine
2905    is present).
2906
2907    *Matt Caswell*
2908
2909  * EGD is no longer supported by default; use enable-egd when
2910    configuring.
2911
2912    *Ben Kaduk and Rich Salz*
2913
2914  * The distribution now has Makefile.in files, which are used to
2915    create Makefile's when Configure is run.  *Configure must be run
2916    before trying to build now.*
2917
2918    *Rich Salz*
2919
2920  * The return value for SSL_CIPHER_description() for error conditions
2921    has changed.
2922
2923    *Rich Salz*
2924
2925  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2926
2927    Obtaining and performing DNSSEC validation of TLSA records is
2928    the application's responsibility.  The application provides
2929    the TLSA records of its choice to OpenSSL, and these are then
2930    used to authenticate the peer.
2931
2932    The TLSA records need not even come from DNS.  They can, for
2933    example, be used to implement local end-entity certificate or
2934    trust-anchor "pinning", where the "pin" data takes the form
2935    of TLSA records, which can augment or replace verification
2936    based on the usual WebPKI public certification authorities.
2937
2938    *Viktor Dukhovni*
2939
2940  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2941    continues to support deprecated interfaces in default builds.
2942    However, applications are strongly advised to compile their
2943    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2944    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2945    or the 1.1.0 releases.
2946
2947    In environments in which all applications have been ported to
2948    not use any deprecated interfaces OpenSSL's Configure script
2949    should be used with the --api=1.1.0 option to entirely remove
2950    support for the deprecated features from the library and
2951    unconditionally disable them in the installed headers.
2952    Essentially the same effect can be achieved with the "no-deprecated"
2953    argument to Configure, except that this will always restrict
2954    the build to just the latest API, rather than a fixed API
2955    version.
2956
2957    As applications are ported to future revisions of the API,
2958    they should update their compile-time OPENSSL_API_COMPAT define
2959    accordingly, but in most cases should be able to continue to
2960    compile with later releases.
2961
2962    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2963    0x10000000L and 0x00908000L, respectively.  However those
2964    versions did not support the OPENSSL_API_COMPAT feature, and
2965    so applications are not typically tested for explicit support
2966    of just the undeprecated features of either release.
2967
2968    *Viktor Dukhovni*
2969
2970  * Add support for setting the minimum and maximum supported protocol.
2971    It can bet set via the SSL_set_min_proto_version() and
2972    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2973    MaxProtocol.  It's recommended to use the new APIs to disable
2974    protocols instead of disabling individual protocols using
2975    SSL_set_options() or SSL_CONF's Protocol.  This change also
2976    removes support for disabling TLS 1.2 in the OpenSSL TLS
2977    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2978
2979    *Kurt Roeckx*
2980
2981  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2982
2983    *Andy Polyakov*
2984
2985  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2986    and integrates ECDSA and ECDH functionality into EC. Implementations can
2987    now redirect key generation and no longer need to convert to or from
2988    ECDSA_SIG format.
2989
2990    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2991    include the ec.h header file instead.
2992
2993    *Steve Henson*
2994
2995  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2996    ciphers who are no longer supported and drops support the ephemeral RSA key
2997    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2998
2999    *Kurt Roeckx*
3000
3001  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
3002    opaque.  For HMAC_CTX, the following constructors and destructors
3003    were added:
3004
3005       HMAC_CTX *HMAC_CTX_new(void);
3006       void HMAC_CTX_free(HMAC_CTX *ctx);
3007
3008    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
3009    destroy such methods has been added.  See EVP_MD_meth_new(3) and
3010    EVP_CIPHER_meth_new(3) for documentation.
3011
3012    Additional changes:
3013    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
3014       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
3015       EVP_MD_CTX_reset() should be called instead to reinitialise
3016       an already created structure.
3017    2) For consistency with the majority of our object creators and
3018       destructors, EVP_MD_CTX_(create|destroy) were renamed to
3019       EVP_MD_CTX_(new|free).  The old names are retained as macros
3020       for deprecated builds.
3021
3022    *Richard Levitte*
3023
3024  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
3025    cryptographic operations to be performed asynchronously as long as an
3026    asynchronous capable engine is used. See the ASYNC_start_job() man page for
3027    further details. Libssl has also had this capability integrated with the
3028    introduction of the new mode SSL_MODE_ASYNC and associated error
3029    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
3030    pages. This work was developed in partnership with Intel Corp.
3031
3032    *Matt Caswell*
3033
3034  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
3035    always enabled now.  If you want to disable the support you should
3036    exclude it using the list of supported ciphers. This also means that the
3037    "-no_ecdhe" option has been removed from s_server.
3038
3039    *Kurt Roeckx*
3040
3041  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
3042    SSL_{CTX_}set1_curves() which can set a list.
3043
3044    *Kurt Roeckx*
3045
3046  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
3047    curve you want to support using SSL_{CTX_}set1_curves().
3048
3049    *Kurt Roeckx*
3050
3051  * State machine rewrite. The state machine code has been significantly
3052    refactored in order to remove much duplication of code and solve issues
3053    with the old code (see ssl/statem/README for further details). This change
3054    does have some associated API changes. Notably the SSL_state() function
3055    has been removed and replaced by SSL_get_state which now returns an
3056    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
3057    altogether. The previous handshake states defined in ssl.h and ssl3.h have
3058    also been removed.
3059
3060    *Matt Caswell*
3061
3062  * All instances of the string "ssleay" in the public API were replaced
3063    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
3064    Some error codes related to internal RSA_eay API's were renamed.
3065
3066    *Rich Salz*
3067
3068  * The demo files in crypto/threads were moved to demo/threads.
3069
3070    *Rich Salz*
3071
3072  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
3073    sureware and ubsec.
3074
3075    *Matt Caswell, Rich Salz*
3076
3077  * New ASN.1 embed macro.
3078
3079    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
3080    structure is not allocated: it is part of the parent. That is instead of
3081
3082            FOO *x;
3083
3084    it must be:
3085
3086            FOO x;
3087
3088    This reduces memory fragmentation and make it impossible to accidentally
3089    set a mandatory field to NULL.
3090
3091    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3092    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3093    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3094    SEQUENCE OF.
3095
3096    *Steve Henson*
3097
3098  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3099
3100    *Emilia Käsper*
3101
3102  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3103    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3104    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3105    DES and RC4 ciphersuites.
3106
3107    *Matt Caswell*
3108
3109  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3110    This changes the decoding behaviour for some invalid messages,
3111    though the change is mostly in the more lenient direction, and
3112    legacy behaviour is preserved as much as possible.
3113
3114    *Emilia Käsper*
3115
3116  * Fix no-stdio build.
3117    * David Woodhouse <David.Woodhouse@intel.com> and also
3118     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3119
3120  * New testing framework
3121    The testing framework has been largely rewritten and is now using
3122    perl and the perl modules Test::Harness and an extended variant of
3123    Test::More called OpenSSL::Test to do its work.  All test scripts in
3124    test/ have been rewritten into test recipes, and all direct calls to
3125    executables in test/Makefile have become individual recipes using the
3126    simplified testing OpenSSL::Test::Simple.
3127
3128    For documentation on our testing modules, do:
3129
3130            perldoc test/testlib/OpenSSL/Test/Simple.pm
3131            perldoc test/testlib/OpenSSL/Test.pm
3132
3133    *Richard Levitte*
3134
3135  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3136    are used; the latter aborts on memory leaks (usually checked on exit).
3137    Some undocumented "set malloc, etc., hooks" functions were removed
3138    and others were changed.  All are now documented.
3139
3140    *Rich Salz*
3141
3142  * In DSA_generate_parameters_ex, if the provided seed is too short,
3143    return an error
3144
3145    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3146
3147  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3148    from RFC4279, RFC4785, RFC5487, RFC5489.
3149
3150    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3151    original RSA_PSK patch.
3152
3153    *Steve Henson*
3154
3155  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3156    era flag was never set throughout the codebase (only read). Also removed
3157    SSL3_FLAGS_POP_BUFFER which was only used if
3158    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3159
3160    *Matt Caswell*
3161
3162  * Changed the default name options in the "ca", "crl", "req" and "x509"
3163    to be "oneline" instead of "compat".
3164
3165    *Richard Levitte*
3166
3167  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3168    not aware of clients that still exhibit this bug, and the workaround
3169    hasn't been working properly for a while.
3170
3171    *Emilia Käsper*
3172
3173  * The return type of BIO_number_read() and BIO_number_written() as well as
3174    the corresponding num_read and num_write members in the BIO structure has
3175    changed from unsigned long to uint64_t. On platforms where an unsigned
3176    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3177    transferred.
3178
3179    *Matt Caswell*
3180
3181  * Given the pervasive nature of TLS extensions it is inadvisable to run
3182    OpenSSL without support for them. It also means that maintaining
3183    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3184    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3185
3186    *Matt Caswell*
3187
3188  * Removed support for the two export grade static DH ciphersuites
3189    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3190    were newly added (along with a number of other static DH ciphersuites) to
3191    1.0.2. However the two export ones have *never* worked since they were
3192    introduced. It seems strange in any case to be adding new export
3193    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3194
3195    *Matt Caswell*
3196
3197  * Version negotiation has been rewritten. In particular SSLv23_method(),
3198    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3199    and turned into macros which simply call the new preferred function names
3200    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3201    should use the new names instead. Also as part of this change the ssl23.h
3202    header file has been removed.
3203
3204    *Matt Caswell*
3205
3206  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3207    code and the associated standard is no longer considered fit-for-purpose.
3208
3209    *Matt Caswell*
3210
3211  * RT2547 was closed.  When generating a private key, try to make the
3212    output file readable only by the owner.  This behavior change might
3213    be noticeable when interacting with other software.
3214
3215  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3216    Added a test.
3217
3218    *Rich Salz*
3219
3220  * Added HTTP GET support to the ocsp command.
3221
3222    *Rich Salz*
3223
3224  * Changed default digest for the dgst and enc commands from MD5 to
3225    sha256
3226
3227    *Rich Salz*
3228
3229  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3230
3231    *Matt Caswell*
3232
3233  * Added support for TLS extended master secret from
3234    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3235    initial patch which was a great help during development.
3236
3237    *Steve Henson*
3238
3239  * All libssl internal structures have been removed from the public header
3240    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3241    now redundant). Users should not attempt to access internal structures
3242    directly. Instead they should use the provided API functions.
3243
3244    *Matt Caswell*
3245
3246  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3247    Access to deprecated functions can be re-enabled by running config with
3248    "enable-deprecated". In addition applications wishing to use deprecated
3249    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3250    will, by default, disable some transitive includes that previously existed
3251    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3252
3253    *Matt Caswell*
3254
3255  * Added support for OCB mode. OpenSSL has been granted a patent license
3256    compatible with the OpenSSL license for use of OCB. Details are available
3257    at <https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf>. Support
3258    for OCB can be removed by calling config with no-ocb.
3259
3260    *Matt Caswell*
3261
3262  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3263    compatible client hello.
3264
3265    *Kurt Roeckx*
3266
3267  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3268    done while fixing the error code for the key-too-small case.
3269
3270    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3271
3272  * CA.sh has been removed; use CA.pl instead.
3273
3274    *Rich Salz*
3275
3276  * Removed old DES API.
3277
3278    *Rich Salz*
3279
3280  * Remove various unsupported platforms:
3281       Sony NEWS4
3282       BEOS and BEOS_R5
3283       NeXT
3284       SUNOS
3285       MPE/iX
3286       Sinix/ReliantUNIX RM400
3287       DGUX
3288       NCR
3289       Tandem
3290       Cray
3291       16-bit platforms such as WIN16
3292
3293    *Rich Salz*
3294
3295  * Clean up OPENSSL_NO_xxx #define's
3296    - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3297    - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3298    - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3299    - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3300    - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3301    - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3302      OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3303      OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3304      OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3305    - Remove MS_STATIC; it's a relic from platforms <32 bits.
3306
3307    *Rich Salz*
3308
3309  * Cleaned up dead code
3310      Remove all but one '#ifdef undef' which is to be looked at.
3311
3312    *Rich Salz*
3313
3314  * Clean up calling of xxx_free routines.
3315       Just like free(), fix most of the xxx_free routines to accept
3316       NULL.  Remove the non-null checks from callers.  Save much code.
3317
3318    *Rich Salz*
3319
3320  * Add secure heap for storage of private keys (when possible).
3321    Add BIO_s_secmem(), CBIGNUM, etc.
3322    Contributed by Akamai Technologies under our Corporate CLA.
3323
3324    *Rich Salz*
3325
3326  * Experimental support for a new, fast, unbiased prime candidate generator,
3327    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3328
3329    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3330
3331  * New output format NSS in the sess_id command line tool. This allows
3332    exporting the session id and the master key in NSS keylog format.
3333
3334    *Martin Kaiser <martin@kaiser.cx>*
3335
3336  * Harmonize version and its documentation. -f flag is used to display
3337    compilation flags.
3338
3339    *mancha <mancha1@zoho.com>*
3340
3341  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3342    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3343
3344    *mancha <mancha1@zoho.com>*
3345
3346  * Fix some double frees. These are not thought to be exploitable.
3347
3348    *mancha <mancha1@zoho.com>*
3349
3350  * A missing bounds check in the handling of the TLS heartbeat extension
3351    can be used to reveal up to 64k of memory to a connected client or
3352    server.
3353
3354    Thanks for Neel Mehta of Google Security for discovering this bug and to
3355    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3356    preparing the fix [CVE-2014-0160][]
3357
3358    *Adam Langley, Bodo Moeller*
3359
3360  * Fix for the attack described in the paper "Recovering OpenSSL
3361    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3362    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3363    <http://eprint.iacr.org/2014/140>
3364
3365    Thanks to Yuval Yarom and Naomi Benger for discovering this
3366    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3367
3368    *Yuval Yarom and Naomi Benger*
3369
3370  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3371    this fixes a limitation in previous versions of OpenSSL.
3372
3373    *Steve Henson*
3374
3375  * Experimental encrypt-then-mac support.
3376
3377    Experimental support for encrypt then mac from
3378    draft-gutmann-tls-encrypt-then-mac-02.txt
3379
3380    To enable it set the appropriate extension number (0x42 for the test
3381    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3382
3383    For non-compliant peers (i.e. just about everything) this should have no
3384    effect.
3385
3386    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3387
3388    *Steve Henson*
3389
3390  * Add EVP support for key wrapping algorithms, to avoid problems with
3391    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3392    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3393    algorithms and include tests cases.
3394
3395    *Steve Henson*
3396
3397  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3398    enveloped data.
3399
3400    *Steve Henson*
3401
3402  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3403    MGF1 digest and OAEP label.
3404
3405    *Steve Henson*
3406
3407  * Make openssl verify return errors.
3408
3409    *Chris Palmer <palmer@google.com> and Ben Laurie*
3410
3411  * New function ASN1_TIME_diff to calculate the difference between two
3412    ASN1_TIME structures or one structure and the current time.
3413
3414    *Steve Henson*
3415
3416  * Update fips_test_suite to support multiple command line options. New
3417    test to induce all self test errors in sequence and check expected
3418    failures.
3419
3420    *Steve Henson*
3421
3422  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3423    sign or verify all in one operation.
3424
3425    *Steve Henson*
3426
3427  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3428    test programs and fips_test_suite. Includes functionality to parse
3429    the minimal script output of fipsalgest.pl directly.
3430
3431    *Steve Henson*
3432
3433  * Add authorisation parameter to FIPS_module_mode_set().
3434
3435    *Steve Henson*
3436
3437  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3438
3439    *Steve Henson*
3440
3441  * Use separate DRBG fields for internal and external flags. New function
3442    FIPS_drbg_health_check() to perform on demand health checking. Add
3443    generation tests to fips_test_suite with reduced health check interval to
3444    demonstrate periodic health checking. Add "nodh" option to
3445    fips_test_suite to skip very slow DH test.
3446
3447    *Steve Henson*
3448
3449  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3450    based on NID.
3451
3452    *Steve Henson*
3453
3454  * More extensive health check for DRBG checking many more failure modes.
3455    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3456    combination: call this in fips_test_suite.
3457
3458    *Steve Henson*
3459
3460  * Add support for canonical generation of DSA parameter 'g'. See
3461    FIPS 186-3 A.2.3.
3462
3463  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3464    POST to handle HMAC cases.
3465
3466    *Steve Henson*
3467
3468  * Add functions FIPS_module_version() and FIPS_module_version_text()
3469    to return numerical and string versions of the FIPS module number.
3470
3471    *Steve Henson*
3472
3473  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3474    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3475    outside the validated module in the FIPS capable OpenSSL.
3476
3477    *Steve Henson*
3478
3479  * Minor change to DRBG entropy callback semantics. In some cases
3480    there is no multiple of the block length between min_len and
3481    max_len. Allow the callback to return more than max_len bytes
3482    of entropy but discard any extra: it is the callback's responsibility
3483    to ensure that the extra data discarded does not impact the
3484    requested amount of entropy.
3485
3486    *Steve Henson*
3487
3488  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3489    information in FIPS186-3, SP800-57 and SP800-131A.
3490
3491    *Steve Henson*
3492
3493  * CCM support via EVP. Interface is very similar to GCM case except we
3494    must supply all data in one chunk (i.e. no update, final) and the
3495    message length must be supplied if AAD is used. Add algorithm test
3496    support.
3497
3498    *Steve Henson*
3499
3500  * Initial version of POST overhaul. Add POST callback to allow the status
3501    of POST to be monitored and/or failures induced. Modify fips_test_suite
3502    to use callback. Always run all selftests even if one fails.
3503
3504    *Steve Henson*
3505
3506  * XTS support including algorithm test driver in the fips_gcmtest program.
3507    Note: this does increase the maximum key length from 32 to 64 bytes but
3508    there should be no binary compatibility issues as existing applications
3509    will never use XTS mode.
3510
3511    *Steve Henson*
3512
3513  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3514    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3515    performs algorithm blocking for unapproved PRNG types. Also do not
3516    set PRNG type in FIPS_mode_set(): leave this to the application.
3517    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3518    the standard OpenSSL PRNG: set additional data to a date time vector.
3519
3520    *Steve Henson*
3521
3522  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3523    This shouldn't present any incompatibility problems because applications
3524    shouldn't be using these directly and any that are will need to rethink
3525    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3526
3527    *Steve Henson*
3528
3529  * Extensive self tests and health checking required by SP800-90 DRBG.
3530    Remove strength parameter from FIPS_drbg_instantiate and always
3531    instantiate at maximum supported strength.
3532
3533    *Steve Henson*
3534
3535  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3536
3537    *Steve Henson*
3538
3539  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3540
3541    *Steve Henson*
3542
3543  * New function DH_compute_key_padded() to compute a DH key and pad with
3544    leading zeroes if needed: this complies with SP800-56A et al.
3545
3546    *Steve Henson*
3547
3548  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3549    anything, incomplete, subject to change and largely untested at present.
3550
3551    *Steve Henson*
3552
3553  * Modify fipscanisteronly build option to only build the necessary object
3554    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3555
3556    *Steve Henson*
3557
3558  * Add experimental option FIPSSYMS to give all symbols in
3559    fipscanister.o and FIPS or fips prefix. This will avoid
3560    conflicts with future versions of OpenSSL. Add perl script
3561    util/fipsas.pl to preprocess assembly language source files
3562    and rename any affected symbols.
3563
3564    *Steve Henson*
3565
3566  * Add selftest checks and algorithm block of non-fips algorithms in
3567    FIPS mode. Remove DES2 from selftests.
3568
3569    *Steve Henson*
3570
3571  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3572    return internal method without any ENGINE dependencies. Add new
3573    tiny fips sign and verify functions.
3574
3575    *Steve Henson*
3576
3577  * New build option no-ec2m to disable characteristic 2 code.
3578
3579    *Steve Henson*
3580
3581  * New build option "fipscanisteronly". This only builds fipscanister.o
3582    and (currently) associated fips utilities. Uses the file Makefile.fips
3583    instead of Makefile.org as the prototype.
3584
3585    *Steve Henson*
3586
3587  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3588    Update fips_gcmtest to use IV generator.
3589
3590    *Steve Henson*
3591
3592  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3593    setting output buffer to NULL. The `*Final` function must be
3594    called although it will not retrieve any additional data. The tag
3595    can be set or retrieved with a ctrl. The IV length is by default 12
3596    bytes (96 bits) but can be set to an alternative value. If the IV
3597    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3598    set before the key.
3599
3600    *Steve Henson*
3601
3602  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3603    underlying do_cipher function handles all cipher semantics itself
3604    including padding and finalisation. This is useful if (for example)
3605    an ENGINE cipher handles block padding itself. The behaviour of
3606    do_cipher is subtly changed if this flag is set: the return value
3607    is the number of characters written to the output buffer (zero is
3608    no longer an error code) or a negative error code. Also if the
3609    input buffer is NULL and length 0 finalisation should be performed.
3610
3611    *Steve Henson*
3612
3613  * If a candidate issuer certificate is already part of the constructed
3614    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3615
3616    *Steve Henson*
3617
3618  * Improve forward-security support: add functions
3619
3620            void SSL_CTX_set_not_resumable_session_callback(
3621                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3622            void SSL_set_not_resumable_session_callback(
3623                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3624
3625    for use by SSL/TLS servers; the callback function will be called whenever a
3626    new session is created, and gets to decide whether the session may be
3627    cached to make it resumable (return 0) or not (return 1).  (As by the
3628    SSL/TLS protocol specifications, the session_id sent by the server will be
3629    empty to indicate that the session is not resumable; also, the server will
3630    not generate RFC 4507 (RFC 5077) session tickets.)
3631
3632    A simple reasonable callback implementation is to return is_forward_secure.
3633    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3634    by the SSL/TLS server library, indicating whether it can provide forward
3635    security.
3636
3637    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3638
3639  * New -verify_name option in command line utilities to set verification
3640    parameters by name.
3641
3642    *Steve Henson*
3643
3644  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3645    Add CMAC pkey methods.
3646
3647    *Steve Henson*
3648
3649  * Experimental renegotiation in s_server -www mode. If the client
3650    browses /reneg connection is renegotiated. If /renegcert it is
3651    renegotiated requesting a certificate.
3652
3653    *Steve Henson*
3654
3655  * Add an "external" session cache for debugging purposes to s_server. This
3656    should help trace issues which normally are only apparent in deployed
3657    multi-process servers.
3658
3659    *Steve Henson*
3660
3661  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3662    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3663    BIO_set_cipher() and some obscure PEM functions were changed so they
3664    can now return an error. The RAND changes required a change to the
3665    RAND_METHOD structure.
3666
3667    *Steve Henson*
3668
3669  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3670    a gcc attribute to warn if the result of a function is ignored. This
3671    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3672    whose return value is often ignored.
3673
3674    *Steve Henson*
3675
3676  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3677    These allow SCTs (signed certificate timestamps) to be requested and
3678    validated when establishing a connection.
3679
3680    *Rob Percival <robpercival@google.com>*
3681
3682 OpenSSL 1.0.2
3683 -------------
3684
3685 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019]
3686
3687  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3688    used even when parsing explicit parameters, when loading a serialized key
3689    or calling `EC_GROUP_new_from_ecpkparameters()`/
3690    `EC_GROUP_new_from_ecparameters()`.
3691    This prevents bypass of security hardening and performance gains,
3692    especially for curves with specialized EC_METHODs.
3693    By default, if a key encoded with explicit parameters is loaded and later
3694    serialized, the output is still encoded with explicit parameters, even if
3695    internally a "named" EC_GROUP is used for computation.
3696
3697    *Nicola Tuveri*
3698
3699  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3700    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3701    NULL. After this change, only the cofactor parameter can be NULL. It also
3702    does some minimal sanity checks on the passed order.
3703    [CVE-2019-1547][]
3704
3705    *Billy Bob Brumley*
3706
3707  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3708    An attack is simple, if the first CMS_recipientInfo is valid but the
3709    second CMS_recipientInfo is chosen ciphertext. If the second
3710    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3711    encryption key will be replaced by garbage, and the message cannot be
3712    decoded, but if the RSA decryption fails, the correct encryption key is
3713    used and the recipient will not notice the attack.
3714    As a work around for this potential attack the length of the decrypted
3715    key must be equal to the cipher default key length, in case the
3716    certifiate is not given and all recipientInfo are tried out.
3717    The old behaviour can be re-enabled in the CMS code by setting the
3718    CMS_DEBUG_DECRYPT flag.
3719    [CVE-2019-1563][]
3720
3721    *Bernd Edlinger*
3722
3723  * Document issue with installation paths in diverse Windows builds
3724
3725    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3726    binaries and run-time config file.
3727    [CVE-2019-1552][]
3728
3729    *Richard Levitte*
3730
3731 ### Changes between 1.0.2r and 1.0.2s [28 May 2019]
3732
3733  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3734    This changes the size when using the genpkey app when no size is given. It
3735    fixes an omission in earlier changes that changed all RSA, DSA and DH
3736    generation apps to use 2048 bits by default.
3737
3738    *Kurt Roeckx*
3739
3740  * Add FIPS support for Android Arm 64-bit
3741
3742    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3743    Module in Version 2.0.10. For some reason, the corresponding target
3744    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3745    built with FIPS support on Android Arm 64-bit. This omission has been
3746    fixed.
3747
3748    *Matthias St. Pierre*
3749
3750 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019]
3751
3752  * 0-byte record padding oracle
3753
3754    If an application encounters a fatal protocol error and then calls
3755    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3756    then OpenSSL can respond differently to the calling application if a 0 byte
3757    record is received with invalid padding compared to if a 0 byte record is
3758    received with an invalid MAC. If the application then behaves differently
3759    based on that in a way that is detectable to the remote peer, then this
3760    amounts to a padding oracle that could be used to decrypt data.
3761
3762    In order for this to be exploitable "non-stitched" ciphersuites must be in
3763    use. Stitched ciphersuites are optimised implementations of certain
3764    commonly used ciphersuites. Also the application must call SSL_shutdown()
3765    twice even if a protocol error has occurred (applications should not do
3766    this but some do anyway).
3767
3768    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3769    Aviram, with additional investigation by Steven Collison and Andrew
3770    Hourselt. It was reported to OpenSSL on 10th December 2018.
3771    [CVE-2019-1559][]
3772
3773    *Matt Caswell*
3774
3775  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3776
3777    *Richard Levitte*
3778
3779 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018]
3780
3781  * Microarchitecture timing vulnerability in ECC scalar multiplication
3782
3783    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3784    shown to be vulnerable to a microarchitecture timing side channel attack.
3785    An attacker with sufficient access to mount local timing attacks during
3786    ECDSA signature generation could recover the private key.
3787
3788    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3789    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3790    Nicola Tuveri.
3791    [CVE-2018-5407][]
3792
3793    *Billy Brumley*
3794
3795  * Timing vulnerability in DSA signature generation
3796
3797    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3798    timing side channel attack. An attacker could use variations in the signing
3799    algorithm to recover the private key.
3800
3801    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3802    [CVE-2018-0734][]
3803
3804    *Paul Dale*
3805
3806  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3807    Module, accidentally introduced while backporting security fixes from the
3808    development branch and hindering the use of ECC in FIPS mode.
3809
3810    *Nicola Tuveri*
3811
3812 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018]
3813
3814  * Client DoS due to large DH parameter
3815
3816    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3817    malicious server can send a very large prime value to the client. This will
3818    cause the client to spend an unreasonably long period of time generating a
3819    key for this prime resulting in a hang until the client has finished. This
3820    could be exploited in a Denial Of Service attack.
3821
3822    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3823    [CVE-2018-0732][]
3824
3825    *Guido Vranken*
3826
3827  * Cache timing vulnerability in RSA Key Generation
3828
3829    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3830    a cache timing side channel attack. An attacker with sufficient access to
3831    mount cache timing attacks during the RSA key generation process could
3832    recover the private key.
3833
3834    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3835    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3836    [CVE-2018-0737][]
3837
3838    *Billy Brumley*
3839
3840  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3841    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3842    pem_str is reserved for alias entries only.
3843
3844    *Richard Levitte*
3845
3846  * Revert blinding in ECDSA sign and instead make problematic addition
3847    length-invariant. Switch even to fixed-length Montgomery multiplication.
3848
3849    *Andy Polyakov*
3850
3851  * Change generating and checking of primes so that the error rate of not
3852    being prime depends on the intended use based on the size of the input.
3853    For larger primes this will result in more rounds of Miller-Rabin.
3854    The maximal error rate for primes with more than 1080 bits is lowered
3855    to 2^-128.
3856
3857    *Kurt Roeckx, Annie Yousar*
3858
3859  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3860
3861    *Kurt Roeckx*
3862
3863  * Add blinding to ECDSA and DSA signatures to protect against side channel
3864    attacks discovered by Keegan Ryan (NCC Group).
3865
3866    *Matt Caswell*
3867
3868  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3869    now allow empty (zero character) pass phrases.
3870
3871    *Richard Levitte*
3872
3873  * Certificate time validation (X509_cmp_time) enforces stricter
3874    compliance with RFC 5280. Fractional seconds and timezone offsets
3875    are no longer allowed.
3876
3877    *Emilia Käsper*
3878
3879 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018]
3880
3881  * Constructed ASN.1 types with a recursive definition could exceed the stack
3882
3883    Constructed ASN.1 types with a recursive definition (such as can be found
3884    in PKCS7) could eventually exceed the stack given malicious input with
3885    excessive recursion. This could result in a Denial Of Service attack. There
3886    are no such structures used within SSL/TLS that come from untrusted sources
3887    so this is considered safe.
3888
3889    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3890    project.
3891    [CVE-2018-0739][]
3892
3893    *Matt Caswell*
3894
3895 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017]
3896
3897  * Read/write after SSL object in error state
3898
3899    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3900    mechanism. The intent was that if a fatal error occurred during a handshake
3901    then OpenSSL would move into the error state and would immediately fail if
3902    you attempted to continue the handshake. This works as designed for the
3903    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3904    SSL_connect()), however due to a bug it does not work correctly if
3905    SSL_read() or SSL_write() is called directly. In that scenario, if the
3906    handshake fails then a fatal error will be returned in the initial function
3907    call. If SSL_read()/SSL_write() is subsequently called by the application
3908    for the same SSL object then it will succeed and the data is passed without
3909    being decrypted/encrypted directly from the SSL/TLS record layer.
3910
3911    In order to exploit this issue an application bug would have to be present
3912    that resulted in a call to SSL_read()/SSL_write() being issued after having
3913    already received a fatal error.
3914
3915    This issue was reported to OpenSSL by David Benjamin (Google).
3916    [CVE-2017-3737][]
3917
3918    *Matt Caswell*
3919
3920  * rsaz_1024_mul_avx2 overflow bug on x86_64
3921
3922    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3923    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3924    Analysis suggests that attacks against RSA and DSA as a result of this
3925    defect would be very difficult to perform and are not believed likely.
3926    Attacks against DH1024 are considered just feasible, because most of the
3927    work necessary to deduce information about a private key may be performed
3928    offline. The amount of resources required for such an attack would be
3929    significant. However, for an attack on TLS to be meaningful, the server
3930    would have to share the DH1024 private key among multiple clients, which is
3931    no longer an option since CVE-2016-0701.
3932
3933    This only affects processors that support the AVX2 but not ADX extensions
3934    like Intel Haswell (4th generation).
3935
3936    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3937    was originally found via the OSS-Fuzz project.
3938    [CVE-2017-3738][]
3939
3940    *Andy Polyakov*
3941
3942 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017]
3943
3944  * bn_sqrx8x_internal carry bug on x86_64
3945
3946    There is a carry propagating bug in the x86_64 Montgomery squaring
3947    procedure. No EC algorithms are affected. Analysis suggests that attacks
3948    against RSA and DSA as a result of this defect would be very difficult to
3949    perform and are not believed likely. Attacks against DH are considered just
3950    feasible (although very difficult) because most of the work necessary to
3951    deduce information about a private key may be performed offline. The amount
3952    of resources required for such an attack would be very significant and
3953    likely only accessible to a limited number of attackers. An attacker would
3954    additionally need online access to an unpatched system using the target
3955    private key in a scenario with persistent DH parameters and a private
3956    key that is shared between multiple clients.
3957
3958    This only affects processors that support the BMI1, BMI2 and ADX extensions
3959    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3960
3961    This issue was reported to OpenSSL by the OSS-Fuzz project.
3962    [CVE-2017-3736][]
3963
3964    *Andy Polyakov*
3965
3966  * Malformed X.509 IPAddressFamily could cause OOB read
3967
3968    If an X.509 certificate has a malformed IPAddressFamily extension,
3969    OpenSSL could do a one-byte buffer overread. The most likely result
3970    would be an erroneous display of the certificate in text format.
3971
3972    This issue was reported to OpenSSL by the OSS-Fuzz project.
3973    [CVE-2017-3735][]
3974
3975    *Rich Salz*
3976
3977 ### Changes between 1.0.2k and 1.0.2l [25 May 2017]
3978
3979  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3980    platform rather than 'mingw'.
3981
3982    *Richard Levitte*
3983
3984 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017]
3985
3986  * Truncated packet could crash via OOB read
3987
3988    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3989    cipher is being used, then a truncated packet can cause that host to
3990    perform an out-of-bounds read, usually resulting in a crash.
3991
3992    This issue was reported to OpenSSL by Robert Święcki of Google.
3993    [CVE-2017-3731][]
3994
3995    *Andy Polyakov*
3996
3997  * BN_mod_exp may produce incorrect results on x86_64
3998
3999    There is a carry propagating bug in the x86_64 Montgomery squaring
4000    procedure. No EC algorithms are affected. Analysis suggests that attacks
4001    against RSA and DSA as a result of this defect would be very difficult to
4002    perform and are not believed likely. Attacks against DH are considered just
4003    feasible (although very difficult) because most of the work necessary to
4004    deduce information about a private key may be performed offline. The amount
4005    of resources required for such an attack would be very significant and
4006    likely only accessible to a limited number of attackers. An attacker would
4007    additionally need online access to an unpatched system using the target
4008    private key in a scenario with persistent DH parameters and a private
4009    key that is shared between multiple clients. For example this can occur by
4010    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
4011    similar to CVE-2015-3193 but must be treated as a separate problem.
4012
4013    This issue was reported to OpenSSL by the OSS-Fuzz project.
4014    [CVE-2017-3732][]
4015
4016    *Andy Polyakov*
4017
4018  * Montgomery multiplication may produce incorrect results
4019
4020    There is a carry propagating bug in the Broadwell-specific Montgomery
4021    multiplication procedure that handles input lengths divisible by, but
4022    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
4023    and DH private keys are impossible. This is because the subroutine in
4024    question is not used in operations with the private key itself and an input
4025    of the attacker's direct choice. Otherwise the bug can manifest itself as
4026    transient authentication and key negotiation failures or reproducible
4027    erroneous outcome of public-key operations with specially crafted input.
4028    Among EC algorithms only Brainpool P-512 curves are affected and one
4029    presumably can attack ECDH key negotiation. Impact was not analyzed in
4030    detail, because pre-requisites for attack are considered unlikely. Namely
4031    multiple clients have to choose the curve in question and the server has to
4032    share the private key among them, neither of which is default behaviour.
4033    Even then only clients that chose the curve will be affected.
4034
4035    This issue was publicly reported as transient failures and was not
4036    initially recognized as a security issue. Thanks to Richard Morgan for
4037    providing reproducible case.
4038    [CVE-2016-7055][]
4039
4040    *Andy Polyakov*
4041
4042  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
4043    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
4044    prevent issues where no progress is being made and the peer continually
4045    sends unrecognised record types, using up resources processing them.
4046
4047    *Matt Caswell*
4048
4049 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016]
4050
4051  * Missing CRL sanity check
4052
4053    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
4054    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
4055    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
4056
4057    This issue only affects the OpenSSL 1.0.2i
4058    [CVE-2016-7052][]
4059
4060    *Matt Caswell*
4061
4062 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016]
4063
4064  * OCSP Status Request extension unbounded memory growth
4065
4066    A malicious client can send an excessively large OCSP Status Request
4067    extension. If that client continually requests renegotiation, sending a
4068    large OCSP Status Request extension each time, then there will be unbounded
4069    memory growth on the server. This will eventually lead to a Denial Of
4070    Service attack through memory exhaustion. Servers with a default
4071    configuration are vulnerable even if they do not support OCSP. Builds using
4072    the "no-ocsp" build time option are not affected.
4073
4074    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4075    [CVE-2016-6304][]
4076
4077    *Matt Caswell*
4078
4079  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
4080    HIGH to MEDIUM.
4081
4082    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
4083    Leurent (INRIA)
4084    [CVE-2016-2183][]
4085
4086    *Rich Salz*
4087
4088  * OOB write in MDC2_Update()
4089
4090    An overflow can occur in MDC2_Update() either if called directly or
4091    through the EVP_DigestUpdate() function using MDC2. If an attacker
4092    is able to supply very large amounts of input data after a previous
4093    call to EVP_EncryptUpdate() with a partial block then a length check
4094    can overflow resulting in a heap corruption.
4095
4096    The amount of data needed is comparable to SIZE_MAX which is impractical
4097    on most platforms.
4098
4099    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4100    [CVE-2016-6303][]
4101
4102    *Stephen Henson*
4103
4104  * Malformed SHA512 ticket DoS
4105
4106    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4107    DoS attack where a malformed ticket will result in an OOB read which will
4108    ultimately crash.
4109
4110    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4111    a custom server callback and ticket lookup mechanism.
4112
4113    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4114    [CVE-2016-6302][]
4115
4116    *Stephen Henson*
4117
4118  * OOB write in BN_bn2dec()
4119
4120    The function BN_bn2dec() does not check the return value of BN_div_word().
4121    This can cause an OOB write if an application uses this function with an
4122    overly large BIGNUM. This could be a problem if an overly large certificate
4123    or CRL is printed out from an untrusted source. TLS is not affected because
4124    record limits will reject an oversized certificate before it is parsed.
4125
4126    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4127    [CVE-2016-2182][]
4128
4129    *Stephen Henson*
4130
4131  * OOB read in TS_OBJ_print_bio()
4132
4133    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4134    the total length the OID text representation would use and not the amount
4135    of data written. This will result in OOB reads when large OIDs are
4136    presented.
4137
4138    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4139    [CVE-2016-2180][]
4140
4141    *Stephen Henson*
4142
4143  * Pointer arithmetic undefined behaviour
4144
4145    Avoid some undefined pointer arithmetic
4146
4147    A common idiom in the codebase is to check limits in the following manner:
4148    "p + len > limit"
4149
4150    Where "p" points to some malloc'd data of SIZE bytes and
4151    limit == p + SIZE
4152
4153    "len" here could be from some externally supplied data (e.g. from a TLS
4154    message).
4155
4156    The rules of C pointer arithmetic are such that "p + len" is only well
4157    defined where len <= SIZE. Therefore the above idiom is actually
4158    undefined behaviour.
4159
4160    For example this could cause problems if some malloc implementation
4161    provides an address for "p" such that "p + len" actually overflows for
4162    values of len that are too big and therefore p + len < limit.
4163
4164    This issue was reported to OpenSSL by Guido Vranken
4165    [CVE-2016-2177][]
4166
4167    *Matt Caswell*
4168
4169  * Constant time flag not preserved in DSA signing
4170
4171    Operations in the DSA signing algorithm should run in constant time in
4172    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4173    implementation means that a non-constant time codepath is followed for
4174    certain operations. This has been demonstrated through a cache-timing
4175    attack to be sufficient for an attacker to recover the private DSA key.
4176
4177    This issue was reported by César Pereida (Aalto University), Billy Brumley
4178    (Tampere University of Technology), and Yuval Yarom (The University of
4179    Adelaide and NICTA).
4180    [CVE-2016-2178][]
4181
4182    *César Pereida*
4183
4184  * DTLS buffered message DoS
4185
4186    In a DTLS connection where handshake messages are delivered out-of-order
4187    those messages that OpenSSL is not yet ready to process will be buffered
4188    for later use. Under certain circumstances, a flaw in the logic means that
4189    those messages do not get removed from the buffer even though the handshake
4190    has been completed. An attacker could force up to approx. 15 messages to
4191    remain in the buffer when they are no longer required. These messages will
4192    be cleared when the DTLS connection is closed. The default maximum size for
4193    a message is 100k. Therefore the attacker could force an additional 1500k
4194    to be consumed per connection. By opening many simulataneous connections an
4195    attacker could cause a DoS attack through memory exhaustion.
4196
4197    This issue was reported to OpenSSL by Quan Luo.
4198    [CVE-2016-2179][]
4199
4200    *Matt Caswell*
4201
4202  * DTLS replay protection DoS
4203
4204    A flaw in the DTLS replay attack protection mechanism means that records
4205    that arrive for future epochs update the replay protection "window" before
4206    the MAC for the record has been validated. This could be exploited by an
4207    attacker by sending a record for the next epoch (which does not have to
4208    decrypt or have a valid MAC), with a very large sequence number. This means
4209    that all subsequent legitimate packets are dropped causing a denial of
4210    service for a specific DTLS connection.
4211
4212    This issue was reported to OpenSSL by the OCAP audit team.
4213    [CVE-2016-2181][]
4214
4215    *Matt Caswell*
4216
4217  * Certificate message OOB reads
4218
4219    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4220    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4221    theoretical DoS risk but this has not been observed in practice on common
4222    platforms.
4223
4224    The messages affected are client certificate, client certificate request
4225    and server certificate. As a result the attack can only be performed
4226    against a client or a server which enables client authentication.
4227
4228    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4229    [CVE-2016-6306][]
4230
4231    *Stephen Henson*
4232
4233 ### Changes between 1.0.2g and 1.0.2h [3 May 2016]
4234
4235  * Prevent padding oracle in AES-NI CBC MAC check
4236
4237    A MITM attacker can use a padding oracle attack to decrypt traffic
4238    when the connection uses an AES CBC cipher and the server support
4239    AES-NI.
4240
4241    This issue was introduced as part of the fix for Lucky 13 padding
4242    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4243    constant time by making sure that always the same bytes are read and
4244    compared against either the MAC or padding bytes. But it no longer
4245    checked that there was enough data to have both the MAC and padding
4246    bytes.
4247
4248    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4249    [CVE-2016-2107][]
4250
4251    *Kurt Roeckx*
4252
4253  * Fix EVP_EncodeUpdate overflow
4254
4255    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4256    Base64 encoding of binary data. If an attacker is able to supply very large
4257    amounts of input data then a length check can overflow resulting in a heap
4258    corruption.
4259
4260    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4261    the `PEM_write_bio*` family of functions. These are mainly used within the
4262    OpenSSL command line applications, so any application which processes data
4263    from an untrusted source and outputs it as a PEM file should be considered
4264    vulnerable to this issue. User applications that call these APIs directly
4265    with large amounts of untrusted data may also be vulnerable.
4266
4267    This issue was reported by Guido Vranken.
4268    [CVE-2016-2105][]
4269
4270    *Matt Caswell*
4271
4272  * Fix EVP_EncryptUpdate overflow
4273
4274    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4275    is able to supply very large amounts of input data after a previous call to
4276    EVP_EncryptUpdate() with a partial block then a length check can overflow
4277    resulting in a heap corruption. Following an analysis of all OpenSSL
4278    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4279    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4280    the first called function after an EVP_EncryptInit(), and therefore that
4281    specific call must be safe. The second form is where the length passed to
4282    EVP_EncryptUpdate() can be seen from the code to be some small value and
4283    therefore there is no possibility of an overflow. Since all instances are
4284    one of these two forms, it is believed that there can be no overflows in
4285    internal code due to this problem. It should be noted that
4286    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4287    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4288    of these calls have also been analysed too and it is believed there are no
4289    instances in internal usage where an overflow could occur.
4290
4291    This issue was reported by Guido Vranken.
4292    [CVE-2016-2106][]
4293
4294    *Matt Caswell*
4295
4296  * Prevent ASN.1 BIO excessive memory allocation
4297
4298    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4299    a short invalid encoding can cause allocation of large amounts of memory
4300    potentially consuming excessive resources or exhausting memory.
4301
4302    Any application parsing untrusted data through d2i BIO functions is
4303    affected. The memory based functions such as d2i_X509() are *not* affected.
4304    Since the memory based functions are used by the TLS library, TLS
4305    applications are not affected.
4306
4307    This issue was reported by Brian Carpenter.
4308    [CVE-2016-2109][]
4309
4310    *Stephen Henson*
4311
4312  * EBCDIC overread
4313
4314    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4315    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4316    in arbitrary stack data being returned in the buffer.
4317
4318    This issue was reported by Guido Vranken.
4319    [CVE-2016-2176][]
4320
4321    *Matt Caswell*
4322
4323  * Modify behavior of ALPN to invoke callback after SNI/servername
4324    callback, such that updates to the SSL_CTX affect ALPN.
4325
4326    *Todd Short*
4327
4328  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4329    default.
4330
4331    *Kurt Roeckx*
4332
4333  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4334    methods are enabled and ssl2 is disabled the methods return NULL.
4335
4336    *Kurt Roeckx*
4337
4338 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016]
4339
4340 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4341   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4342   provide any "EXPORT" or "LOW" strength ciphers.
4343
4344   *Viktor Dukhovni*
4345
4346 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4347   is by default disabled at build-time.  Builds that are not configured with
4348   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4349   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4350   will need to explicitly call either of:
4351
4352       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4353   or
4354       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4355
4356   as appropriate.  Even if either of those is used, or the application
4357   explicitly uses the version-specific SSLv2_method() or its client and
4358   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4359   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4360   ciphers, and SSLv2 56-bit DES are no longer available.
4361   [CVE-2016-0800][]
4362
4363    *Viktor Dukhovni*
4364
4365  * Fix a double-free in DSA code
4366
4367    A double free bug was discovered when OpenSSL parses malformed DSA private
4368    keys and could lead to a DoS attack or memory corruption for applications
4369    that receive DSA private keys from untrusted sources.  This scenario is
4370    considered rare.
4371
4372    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4373    libFuzzer.
4374    [CVE-2016-0705][]
4375
4376    *Stephen Henson*
4377
4378  * Disable SRP fake user seed to address a server memory leak.
4379
4380    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4381
4382    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4383    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4384    was changed to ignore the "fake user" SRP seed, even if the seed
4385    is configured.
4386
4387    Users should use SRP_VBASE_get1_by_user instead. Note that in
4388    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4389    also that even though configuring the SRP seed attempts to hide
4390    invalid usernames by continuing the handshake with fake
4391    credentials, this behaviour is not constant time and no strong
4392    guarantees are made that the handshake is indistinguishable from
4393    that of a valid user.
4394    [CVE-2016-0798][]
4395
4396    *Emilia Käsper*
4397
4398  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4399
4400    In the BN_hex2bn function the number of hex digits is calculated using an
4401    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4402    large values of |i| this can result in |bn_expand| not allocating any
4403    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4404    field as NULL leading to a subsequent NULL ptr deref. For very large values
4405    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4406    In this case memory is allocated to the internal BIGNUM data field, but it
4407    is insufficiently sized leading to heap corruption. A similar issue exists
4408    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4409    is ever called by user applications with very large untrusted hex/dec data.
4410    This is anticipated to be a rare occurrence.
4411
4412    All OpenSSL internal usage of these functions use data that is not expected
4413    to be untrusted, e.g. config file data or application command line
4414    arguments. If user developed applications generate config file data based
4415    on untrusted data then it is possible that this could also lead to security
4416    consequences. This is also anticipated to be rare.
4417
4418    This issue was reported to OpenSSL by Guido Vranken.
4419    [CVE-2016-0797][]
4420
4421    *Matt Caswell*
4422
4423  * Fix memory issues in `BIO_*printf` functions
4424
4425    The internal |fmtstr| function used in processing a "%s" format string in
4426    the `BIO_*printf` functions could overflow while calculating the length of a
4427    string and cause an OOB read when printing very long strings.
4428
4429    Additionally the internal |doapr_outch| function can attempt to write to an
4430    OOB memory location (at an offset from the NULL pointer) in the event of a
4431    memory allocation failure. In 1.0.2 and below this could be caused where
4432    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4433    could be in processing a very long "%s" format string. Memory leaks can
4434    also occur.
4435
4436    The first issue may mask the second issue dependent on compiler behaviour.
4437    These problems could enable attacks where large amounts of untrusted data
4438    is passed to the `BIO_*printf` functions. If applications use these functions
4439    in this way then they could be vulnerable. OpenSSL itself uses these
4440    functions when printing out human-readable dumps of ASN.1 data. Therefore
4441    applications that print this data could be vulnerable if the data is from
4442    untrusted sources. OpenSSL command line applications could also be
4443    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4444    as command line arguments.
4445
4446    Libssl is not considered directly vulnerable. Additionally certificates etc
4447    received via remote connections via libssl are also unlikely to be able to
4448    trigger these issues because of message size limits enforced within libssl.
4449
4450    This issue was reported to OpenSSL Guido Vranken.
4451    [CVE-2016-0799][]
4452
4453    *Matt Caswell*
4454
4455  * Side channel attack on modular exponentiation
4456
4457    A side-channel attack was found which makes use of cache-bank conflicts on
4458    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4459    of RSA keys.  The ability to exploit this issue is limited as it relies on
4460    an attacker who has control of code in a thread running on the same
4461    hyper-threaded core as the victim thread which is performing decryptions.
4462
4463    This issue was reported to OpenSSL by Yuval Yarom, The University of
4464    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4465    Nadia Heninger, University of Pennsylvania with more information at
4466    <http://cachebleed.info>.
4467    [CVE-2016-0702][]
4468
4469    *Andy Polyakov*
4470
4471  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4472    if no keysize is specified with default_bits. This fixes an
4473    omission in an earlier change that changed all RSA/DSA key generation
4474    apps to use 2048 bits by default.
4475
4476    *Emilia Käsper*
4477
4478 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016]
4479
4480  * DH small subgroups
4481
4482    Historically OpenSSL only ever generated DH parameters based on "safe"
4483    primes. More recently (in version 1.0.2) support was provided for
4484    generating X9.42 style parameter files such as those required for RFC 5114
4485    support. The primes used in such files may not be "safe". Where an
4486    application is using DH configured with parameters based on primes that are
4487    not "safe" then an attacker could use this fact to find a peer's private
4488    DH exponent. This attack requires that the attacker complete multiple
4489    handshakes in which the peer uses the same private DH exponent. For example
4490    this could be used to discover a TLS server's private DH exponent if it's
4491    reusing the private DH exponent or it's using a static DH ciphersuite.
4492
4493    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4494    TLS. It is not on by default. If the option is not set then the server
4495    reuses the same private DH exponent for the life of the server process and
4496    would be vulnerable to this attack. It is believed that many popular
4497    applications do set this option