c0140a35bb43fb40cada55de3ce9306468f5adc6
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10 OpenSSL Releases
11 ----------------
12
13  - [OpenSSL 3.0](#openssl-30)
14  - [OpenSSL 1.1.1](#openssl-111)
15  - [OpenSSL 1.1.0](#openssl-110)
16  - [OpenSSL 1.0.2](#openssl-102)
17  - [OpenSSL 1.0.1](#openssl-101)
18  - [OpenSSL 1.0.0](#openssl-100)
19  - [OpenSSL 0.9.x](#openssl-09x)
20
21 OpenSSL 3.0
22 -----------
23
24 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx]
25
26  * 'Configure' has been changed to figure out the configuration target if
27    none is given on the command line.  Consequently, the 'config' script is
28    now only a mere wrapper.  All documentation is changed to only mention
29    'Configure'.
30
31    *Rich Salz and Richard Levitte*
32
33  * Added a library context that applications as well as other
34    libraries can use to form a separate context within which libcrypto
35    operations are performed.
36
37    There are two ways this can be used:
38
39    - Directly, by passing a library context to functions that take
40      such an argument, such as `EVP_CIPHER_fetch` and similar algorithm
41      fetching functions.
42    - Indirectly, by creating a new library context and then assigning
43      it as the new default, with `OPENSSL_CTX_set0_default`.
44
45    All public OpenSSL functions that take an `OPENSSL_CTX` pointer,
46    apart from the functions directly related to `OPENSSL_CTX`, accept
47    NULL to indicate that the default library context should be used.
48
49    Library code that changes the default library context using
50    `OPENSSL_CTX_set0_default` should take care to restore it with a
51    second call before returning to the caller.
52
53    *Richard Levitte*
54
55  * Handshake now fails if Extended Master Secret extension is dropped
56    on renegotiation.
57
58    *Tomas Mraz*
59
60  * Dropped interactive mode from the 'openssl' program.  From now on,
61    the `openssl` command without arguments is equivalent to `openssl
62    help`.
63
64    *Richard Levitte*
65
66  * Renamed EVP_PKEY_cmp() to EVP_PKEY_eq() and
67    EVP_PKEY_cmp_parameters() to EVP_PKEY_parameters_eq().
68    While the old function names have been retained for backward compatibility
69    they should not be used in new developments
70    because their return values are confusing: Unlike other `_cmp()` functions
71    they do not return 0 in case their arguments are equal.
72
73    *David von Oheimb*
74
75  * Deprecated EC_METHOD_get_field_type(). Applications should switch to
76    EC_GROUP_get_field_type().
77
78    *Billy Bob Brumley*
79
80  * Deprecated EC_GFp_simple_method(), EC_GFp_mont_method(),
81    EC_GF2m_simple_method(), EC_GFp_nist_method(), EC_GFp_nistp224_method()
82    EC_GFp_nistp256_method(), and EC_GFp_nistp521_method().
83    Applications should rely on the library automatically assigning a suitable
84    EC_METHOD internally upon EC_GROUP construction.
85
86    *Billy Bob Brumley*
87
88  * Deprecated EC_GROUP_new(), EC_GROUP_method_of(), and EC_POINT_method_of().
89    EC_METHOD is now an internal-only concept and a suitable EC_METHOD is
90    assigned internally without application intervention.
91    Users of EC_GROUP_new() should switch to a different suitable constructor.
92
93    *Billy Bob Brumley*
94
95  * Add CAdES-BES signature verification support, mostly derived
96    from ESSCertIDv2 TS (RFC 5816) contribution by Marek Klein.
97
98    *Filipe Raimundo da Silva*
99
100  * Add CAdES-BES signature scheme and attributes support (RFC 5126) to CMS API.
101
102    *Antonio Iacono*
103
104  * Deprecated EC_POINT_make_affine() and EC_POINTs_make_affine(). These
105    functions are not widely used and now OpenSSL automatically perform this
106    conversion when needed.
107
108    *Billy Bob Brumley*
109
110  * Deprecated EC_GROUP_precompute_mult(), EC_GROUP_have_precompute_mult(), and
111    EC_KEY_precompute_mult(). These functions are not widely used and
112    applications should instead switch to named curves which OpenSSL has
113    hardcoded lookup tables for.
114
115    *Billy Bob Brumley*
116
117  * Deprecated EC_POINTs_mul(). This function is not widely used and applications
118    should instead use the L<EC_POINT_mul(3)> function.
119
120    *Billy Bob Brumley*
121
122  * Removed FIPS_mode() and FIPS_mode_set(). These functions are legacy API's
123    that are not applicable to the new provider model. Applications should
124    instead use EVP_default_properties_is_fips_enabled() and
125    EVP_default_properties_enable_fips().
126
127    *Shane Lontis*
128
129  * The SSL option SSL_OP_IGNORE_UNEXPECTED_EOF is introduced. If that option
130    is set, an unexpected EOF is ignored, it pretends a close notify was received
131    instead and so the returned error becomes SSL_ERROR_ZERO_RETURN.
132
133    *Dmitry Belyavskiy*
134
135  * Deprecated EC_POINT_set_Jprojective_coordinates_GFp() and
136    EC_POINT_get_Jprojective_coordinates_GFp(). These functions are not widely
137    used and applications should instead use the
138    L<EC_POINT_set_affine_coordinates(3)> and
139    L<EC_POINT_get_affine_coordinates(3)> functions.
140
141    *Billy Bob Brumley*
142
143  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
144    arrays to be more easily constructed via a series of utility functions.
145    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
146    the various push functions and finally convert to a passable OSSL_PARAM
147    array using OSSL_PARAM_BLD_to_param().
148
149    *Paul Dale*
150
151  * The security strength of SHA1 and MD5 based signatures in TLS has been
152    reduced. This results in SSL 3, TLS 1.0, TLS 1.1 and DTLS 1.0 no longer
153    working at the default security level of 1 and instead requires security
154    level 0. The security level can be changed either using the cipher string
155    with @SECLEVEL, or calling SSL_CTX_set_security_level().
156
157    *Kurt Roeckx*
158
159  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
160    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
161    internal keys, if they correspond to one of those built in types.
162
163    *Richard Levitte*
164
165  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
166    contain a provider side internal key.
167
168    *Richard Levitte*
169
170  * ASN1_verify(), ASN1_digest() and ASN1_sign() have been deprecated.
171    They are old functions that we don't use, and that you could disable with
172    the macro NO_ASN1_OLD.  This goes all the way back to OpenSSL 0.9.7.
173
174    *Richard Levitte*
175
176  * Project text documents not yet having a proper file name extension
177    (HACKING, LICENSE, NOTES*, README*, VERSION) have been renamed to *.md
178    as far as reasonable, else to *.txt, for better use with file managers.
179
180    *David von Oheimb*
181
182 *  The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
183    have been converted to Markdown with the goal to produce documents
184    which not only look pretty when viewed online in the browser, but
185    remain well readable inside a plain text editor.
186
187    To achieve this goal, a 'minimalistic' Markdown style has been applied
188    which avoids formatting elements that interfere too much with the
189    reading flow in the text file. For example, it
190
191    * avoids [ATX headings][] and uses [setext headings][] instead
192      (which works for `<h1>` and `<h2>` headings only).
193    * avoids [inline links][] and uses [reference links][] instead.
194    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
195
196      [ATX headings]:         https://github.github.com/gfm/#atx-headings
197      [setext headings]:      https://github.github.com/gfm/#setext-headings
198      [inline links]:         https://github.github.com/gfm/#inline-link
199      [reference links]:      https://github.github.com/gfm/#reference-link
200      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
201      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
202
203    *Matthias St. Pierre*
204
205  * The test suite is changed to preserve results of each test recipe.
206    A new directory test-runs/ with subdirectories named like the
207    test recipes are created in the build tree for this purpose.
208
209    *Richard Levitte*
210
211  * Added an implementation of CMP and CRMF (RFC 4210, RFC 4211 RFC 6712).
212    This adds crypto/cmp/, crpyto/crmf/, apps/cmp.c, and test/cmp_*.
213    See L<openssl-cmp(1)> and L<OSSL_CMP_exec_IR_ses(3)> as starting points.
214
215    *David von Oheimb, Martin Peylo*
216
217  * Generalized the HTTP client code from crypto/ocsp/ into crpyto/http/.
218    The legacy OCSP-focused and only partly documented API is retained.
219    See L<OSSL_CMP_MSG_http_perform(3)> etc. for details.
220
221    *David von Oheimb*
222
223  * BIO_do_connect and BIO_do_handshake have been extended:
224    If domain name resolution yields multiple IP addresses all of them are tried
225    after connect() failures.
226
227    *David von Oheimb*
228
229  * All of the low level RSA functions have been deprecated including:
230
231    RSA_new_method, RSA_size, RSA_security_bits, RSA_get0_pss_params,
232    RSA_get_version, RSA_get0_engine, RSA_generate_key_ex,
233    RSA_generate_multi_prime_key, RSA_X931_derive_ex, RSA_X931_generate_key_ex,
234    RSA_check_key, RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
235    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
236    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
237    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
238    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING, RSA_blinding_on,
239    RSA_blinding_off, RSA_setup_blinding, RSA_padding_add_PKCS1_type_1,
240    RSA_padding_check_PKCS1_type_1, RSA_padding_add_PKCS1_type_2,
241    RSA_padding_check_PKCS1_type_2, PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP,
242    RSA_padding_check_PKCS1_OAEP, RSA_padding_add_PKCS1_OAEP_mgf1,
243    RSA_padding_check_PKCS1_OAEP_mgf1, RSA_padding_add_SSLv23,
244    RSA_padding_check_SSLv23, RSA_padding_add_none, RSA_padding_check_none,
245    RSA_padding_add_X931, RSA_padding_check_X931, RSA_X931_hash_id,
246    RSA_verify_PKCS1_PSS, RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
247    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
248    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
249    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
250    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
251    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
252    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
253    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
254    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
255    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
256    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
257    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
258    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
259
260    Use of these low level functions has been informally discouraged for a long
261    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
262    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
263    L<EVP_PKEY_decrypt(3)>.
264
265    *Paul Dale*
266
267  * X509 certificates signed using SHA1 are no longer allowed at security
268    level 1 and above.
269    In TLS/SSL the default security level is 1. It can be set either
270    using the cipher string with @SECLEVEL, or calling
271    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
272    a call to SSL_CTX_use_certificate() will fail if the security level is not
273    lowered first.
274    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
275    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
276    options of the apps.
277
278    *Kurt Roeckx*
279
280  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
281    modified to use PKEY APIs.  These commands are now in maintenance mode
282    and no new features will be added to them.
283
284    *Paul Dale*
285
286  * The command line utility rsautl has been deprecated.
287    Instead use the pkeyutl program.
288
289    *Paul Dale*
290
291  * The command line utilities genrsa and rsa have been modified to use PKEY
292    APIs  These commands are now in maintenance mode and no new features will
293    be added to them.
294
295    *Paul Dale*
296
297  * All of the low level DH functions have been deprecated including:
298
299    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
300    DH_new_method, DH_size, DH_security_bits, DH_get_ex_new_index,
301    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
302    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
303    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
304    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
305    DH_KDF_X9_42, DH_get0_engine, DH_meth_new, DH_meth_free, DH_meth_dup,
306    DH_meth_get0_name, DH_meth_set1_name, DH_meth_get_flags, DH_meth_set_flags,
307    DH_meth_get0_app_data, DH_meth_set0_app_data, DH_meth_get_generate_key,
308    DH_meth_set_generate_key, DH_meth_get_compute_key, DH_meth_set_compute_key,
309    DH_meth_get_bn_mod_exp, DH_meth_set_bn_mod_exp, DH_meth_get_init,
310    DH_meth_set_init, DH_meth_get_finish, DH_meth_set_finish,
311    DH_meth_get_generate_params and DH_meth_set_generate_params.
312
313    Use of these low level functions has been informally discouraged for a long
314    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
315    and L<EVP_PKEY_derive(3)>.
316
317    *Paul Dale*
318
319  * All of the low level DSA functions have been deprecated including:
320
321    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
322    DSA_get_default_method, DSA_set_method, DSA_get_method,
323    DSA_new_method, DSA_size, DSA_security_bits, DSA_sign_setup, DSA_sign,
324    DSA_verify, DSA_get_ex_new_index, DSA_set_ex_data, DSA_get_ex_data,
325    DSA_generate_parameters_ex, DSA_generate_key, DSA_meth_new, DSA_get0_engine,
326    DSA_meth_free, DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name,
327    DSA_meth_get_flags, DSA_meth_set_flags, DSA_meth_get0_app_data,
328    DSA_meth_set0_app_data, DSA_meth_get_sign, DSA_meth_set_sign,
329    DSA_meth_get_sign_setup, DSA_meth_set_sign_setup, DSA_meth_get_verify,
330    DSA_meth_set_verify, DSA_meth_get_mod_exp, DSA_meth_set_mod_exp,
331    DSA_meth_get_bn_mod_exp, DSA_meth_set_bn_mod_exp, DSA_meth_get_init,
332    DSA_meth_set_init, DSA_meth_get_finish, DSA_meth_set_finish,
333    DSA_meth_get_paramgen, DSA_meth_set_paramgen, DSA_meth_get_keygen and
334    DSA_meth_set_keygen.
335
336    Use of these low level functions has been informally discouraged for a long
337    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
338    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
339
340    *Paul Dale*
341
342  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
343    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
344    This means that applications don't have to look at the curve NID and
345    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
346    However, they still can, that EVP_PKEY_set_alias_type() call acts as
347    a no-op when the EVP_PKEY is already of the given type.
348
349    Parameter and key generation is also reworked to make it possible
350    to generate EVP_PKEY_SM2 parameters and keys without having to go
351    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
352    However, code that does the latter will still work as before.
353
354    *Richard Levitte*
355
356  * Deprecated low level ECDH and ECDSA functions.  These include:
357
358    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
359    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
360    ECDSA_size.
361
362    Use of these low level functions has been informally discouraged for a long
363    time.  Instead applications should use the EVP_PKEY_derive(3),
364    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
365
366    *Paul Dale*
367
368  * Deprecated the EC_KEY_METHOD functions.  These include:
369
370    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
371    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
372    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
373    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
374    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
375    EC_KEY_METHOD_get_verify.
376
377    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
378
379    *Paul Dale*
380
381  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
382    and EVP_PKEY_decrypt() instead.
383    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
384    and EVP_PKEY_encrypt() instead.
385
386    *Richard Levitte*
387
388  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
389    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
390    a new formulation to include all the things it can be used for,
391    as well as words of caution.
392
393    *Richard Levitte*
394
395  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
396    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
397
398    *Paul Dale*
399
400  * All of the low level HMAC functions have been deprecated including:
401
402    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
403    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
404    and HMAC_CTX_get_md.
405
406    Use of these low level functions has been informally discouraged for a long
407    time.  Instead applications should use L<EVP_MAC_new_ctx(3)>,
408    L<EVP_MAC_free_ctx(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
409    and L<EVP_MAC_final(3)>.
410
411    *Paul Dale*
412
413  * Over two thousand fixes were made to the documentation, including:
414    - Common options (such as -rand/-writerand, TLS version control, etc)
415      were refactored and point to newly-enhanced descriptions in openssl.pod.
416    - Added style conformance for all options (with help from Richard Levitte),
417      documented all reported missing options, added a CI build to check
418      that all options are documented and that no unimplemented options
419      are documented.
420    - Documented some internals, such as all use of environment variables.
421    - Addressed all internal broken L<> references.
422
423    *Rich Salz*
424
425  * All of the low level CMAC functions have been deprecated including:
426
427    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
428    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
429
430    Use of these low level functions has been informally discouraged for a long
431    time.  Instead applications should use L<EVP_MAC_new_ctx(3)>,
432    L<EVP_MAC_free_ctx(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
433    and L<EVP_MAC_final(3)>.
434
435    *Paul Dale*
436
437  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
438    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
439    These include:
440
441    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
442    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
443    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
444    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
445    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
446    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
447    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
448    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
449    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
450    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
451
452    Use of these low level functions has been informally discouraged
453    for a long time.  Applications should use the EVP_DigestInit_ex(3),
454    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
455
456    *Paul Dale*
457
458  * Corrected the documentation of the return values from the `EVP_DigestSign*`
459    set of functions.  The documentation mentioned negative values for some
460    errors, but this was never the case, so the mention of negative values
461    was removed.
462
463    Code that followed the documentation and thereby check with something
464    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
465
466    *Richard Levitte*
467
468  * All of the low level cipher functions have been deprecated including:
469
470    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
471    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
472    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
473    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
474    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
475    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
476    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
477    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
478    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
479    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
480    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
481    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
482    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
483    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
484    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
485    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
486    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
487    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
488    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
489    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
490    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
491    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
492    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
493    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
494    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
495    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
496    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
497    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
498    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
499
500    Use of these low level functions has been informally discouraged for
501    a long time. Applications should use the high level EVP APIs, e.g.
502    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
503    equivalently named decrypt functions instead.
504
505    *Matt Caswell and Paul Dale*
506
507  * Removed include/openssl/opensslconf.h.in and replaced it with
508    include/openssl/configuration.h.in, which differs in not including
509    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
510    was added to include both.
511
512    This allows internal hacks where one might need to modify the set
513    of configured macros, for example this if deprecated symbols are
514    still supposed to be available internally:
515
516        #include <openssl/configuration.h>
517
518        #undef OPENSSL_NO_DEPRECATED
519        #define OPENSSL_SUPPRESS_DEPRECATED
520
521        #include <openssl/macros.h>
522
523    This should not be used by applications that use the exported
524    symbols, as that will lead to linking errors.
525
526    *Richard Levitte*
527
528  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
529    used in exponentiation with 512-bit moduli. No EC algorithms are
530    affected. Analysis suggests that attacks against 2-prime RSA1024,
531    3-prime RSA1536, and DSA1024 as a result of this defect would be very
532    difficult to perform and are not believed likely. Attacks against DH512
533    are considered just feasible. However, for an attack the target would
534    have to re-use the DH512 private key, which is not recommended anyway.
535    Also applications directly using the low level API BN_mod_exp may be
536    affected if they use BN_FLG_CONSTTIME.
537    [CVE-2019-1551][]
538
539    *Andy Polyakov*
540
541  * Most memory-debug features have been deprecated, and the functionality
542    replaced with no-ops.
543
544    *Rich Salz*
545
546  * Added documentation for the STACK API. OpenSSL only defines the STACK
547    functions where they are used.
548
549    *Rich Salz*
550
551  * Introduced a new method type and API, OSSL_SERIALIZER, to
552    represent generic serializers.  An implementation is expected to
553    be able to serialize an object associated with a given name (such
554    as an algorithm name for an asymmetric key) into forms given by
555    implementation properties.
556
557    Serializers are primarily used from inside libcrypto, through
558    calls to functions like EVP_PKEY_print_private(),
559    PEM_write_bio_PrivateKey() and similar.
560
561    Serializers are specified in such a way that they can be made to
562    directly handle the provider side portion of an object, if this
563    provider side part comes from the same provider as the serializer
564    itself, but can also be made to handle objects in parametrized
565    form (as an OSSL_PARAM array of data).  This allows a provider to
566    offer generic serializers as a service for any other provider.
567
568    *Richard Levitte*
569
570  * Added a .pragma directive to the syntax of configuration files, to
571    allow varying behavior in a supported and predictable manner.
572    Currently added pragma:
573
574            .pragma dollarid:on
575
576    This allows dollar signs to be a keyword character unless it's
577    followed by a opening brace or parenthesis.  This is useful for
578    platforms where dollar signs are commonly used in names, such as
579    volume names and system directory names on VMS.
580
581    *Richard Levitte*
582
583  * Added functionality to create an EVP_PKEY from user data.  This
584    is effectively the same as creating a RSA, DH or DSA object and
585    then assigning them to an EVP_PKEY, but directly using algorithm
586    agnostic EVP functions.  A benefit is that this should be future
587    proof for public key algorithms to come.
588
589    *Richard Levitte*
590
591  * Change the interpretation of the '--api' configuration option to
592    mean that this is a desired API compatibility level with no
593    further meaning.  The previous interpretation, that this would
594    also mean to remove all deprecated symbols up to and including
595    the given version, no requires that 'no-deprecated' is also used
596    in the configuration.
597
598    When building applications, the desired API compatibility level
599    can be set with the OPENSSL_API_COMPAT macro like before.  For
600    API compatibility version below 3.0, the old style numerical
601    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
602    For version 3.0 and on, the value is expected to be the decimal
603    value calculated from the major and minor version like this:
604
605            MAJOR * 10000 + MINOR * 100
606
607    Examples:
608
609            -DOPENSSL_API_COMPAT=30000             For 3.0
610            -DOPENSSL_API_COMPAT=30200             For 3.2
611
612    To hide declarations that are deprecated up to and including the
613    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
614    given when building the application as well.
615
616    *Richard Levitte*
617
618  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
619    access to certificate and CRL stores via URIs and OSSL_STORE
620    loaders.
621
622    This adds the following functions:
623
624    - X509_LOOKUP_store()
625    - X509_STORE_load_file()
626    - X509_STORE_load_path()
627    - X509_STORE_load_store()
628    - SSL_add_store_cert_subjects_to_stack()
629    - SSL_CTX_set_default_verify_store()
630    - SSL_CTX_load_verify_file()
631    - SSL_CTX_load_verify_dir()
632    - SSL_CTX_load_verify_store()
633
634    *Richard Levitte*
635
636  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
637    The presence of this system service is determined at run-time.
638
639    *Richard Levitte*
640
641  * Added functionality to create an EVP_PKEY context based on data
642    for methods from providers.  This takes an algorithm name and a
643    property query string and simply stores them, with the intent
644    that any operation that uses this context will use those strings
645    to fetch the needed methods implicitly, thereby making the port
646    of application written for pre-3.0 OpenSSL easier.
647
648    *Richard Levitte*
649
650  * The undocumented function NCONF_WIN32() has been deprecated; for
651    conversion details see the HISTORY section of doc/man5/config.pod
652
653    *Rich Salz*
654
655  * Introduced the new functions EVP_DigestSignInit_ex() and
656    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
657    EVP_DigestVerifyUpdate() have been converted to functions. See the man
658    pages for further details.
659
660    *Matt Caswell*
661
662  * Over two thousand fixes were made to the documentation, including:
663    adding missing command flags, better style conformance, documentation
664    of internals, etc.
665
666    *Rich Salz, Richard Levitte*
667
668  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
669    X25519, X448, Ed25519 and Ed448.
670
671    *Patrick Steuer*
672
673  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
674    the first value.
675
676    *Jon Spillett*
677
678  * Deprecated the public definition of ERR_STATE as well as the function
679    ERR_get_state().  This is done in preparation of making ERR_STATE an
680    opaque type.
681
682    *Richard Levitte*
683
684  * Added ERR functionality to give callers access to the stored function
685    names that have replaced the older function code based functions.
686
687    New functions are ERR_get_error_func(), ERR_peek_error_func(),
688    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
689    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
690    and ERR_peek_last_error_all().
691
692    These functions have become deprecated: ERR_get_error_line_data(),
693    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
694    ERR_func_error_string().
695
696    *Richard Levitte*
697
698  * Extended testing to be verbose for failing tests only.  The make variables
699    VERBOSE_FAILURE or VF can be used to enable this:
700
701            $ make VF=1 test                           # Unix
702            $ mms /macro=(VF=1) test                   ! OpenVMS
703            $ nmake VF=1 test                          # Windows
704
705    *Richard Levitte*
706
707  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
708    used even when parsing explicit parameters, when loading a serialized key
709    or calling `EC_GROUP_new_from_ecpkparameters()`/
710    `EC_GROUP_new_from_ecparameters()`.
711    This prevents bypass of security hardening and performance gains,
712    especially for curves with specialized EC_METHODs.
713    By default, if a key encoded with explicit parameters is loaded and later
714    serialized, the output is still encoded with explicit parameters, even if
715    internally a "named" EC_GROUP is used for computation.
716
717    *Nicola Tuveri*
718
719  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
720    this change, EC_GROUP_set_generator would accept order and/or cofactor as
721    NULL. After this change, only the cofactor parameter can be NULL. It also
722    does some minimal sanity checks on the passed order.
723    [CVE-2019-1547][]
724
725    *Billy Bob Brumley*
726
727  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
728    An attack is simple, if the first CMS_recipientInfo is valid but the
729    second CMS_recipientInfo is chosen ciphertext. If the second
730    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
731    encryption key will be replaced by garbage, and the message cannot be
732    decoded, but if the RSA decryption fails, the correct encryption key is
733    used and the recipient will not notice the attack.
734    As a work around for this potential attack the length of the decrypted
735    key must be equal to the cipher default key length, in case the
736    certifiate is not given and all recipientInfo are tried out.
737    The old behaviour can be re-enabled in the CMS code by setting the
738    CMS_DEBUG_DECRYPT flag.
739
740    *Bernd Edlinger*
741
742  * Early start up entropy quality from the DEVRANDOM seed source has been
743    improved for older Linux systems.  The RAND subsystem will wait for
744    /dev/random to be producing output before seeding from /dev/urandom.
745    The seeded state is stored for future library initialisations using
746    a system global shared memory segment.  The shared memory identifier
747    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
748    the desired value.  The default identifier is 114.
749
750    *Paul Dale*
751
752  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
753    when primes for RSA keys are computed.
754    Since we previously always generated primes == 2 (mod 3) for RSA keys,
755    the 2-prime and 3-prime RSA modules were easy to distinguish, since
756    `N = p*q = 1 (mod 3)`, but `N = p*q*r = 2 (mod 3)`. Therefore fingerprinting
757    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
758    This avoids possible fingerprinting of newly generated RSA modules.
759
760    *Bernd Edlinger*
761
762  * Correct the extended master secret constant on EBCDIC systems. Without this
763    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
764    negotiate EMS will fail. Unfortunately this also means that TLS connections
765    between EBCDIC systems with this fix, and EBCDIC systems without this
766    fix will fail if they negotiate EMS.
767
768    *Matt Caswell*
769
770  * Changed the library initialisation so that the config file is now loaded
771    by default. This was already the case for libssl. It now occurs for both
772    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
773    OPENSSL_init_crypto() to suppress automatic loading of a config file.
774
775    *Matt Caswell*
776
777  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
778    where the former acts as a replacement for ERR_put_error(), and the
779    latter replaces the combination ERR_put_error()+ERR_add_error_data().
780    ERR_raise_data() adds more flexibility by taking a format string and
781    an arbitrary number of arguments following it, to be processed with
782    BIO_snprintf().
783
784    *Richard Levitte*
785
786  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
787    to check if a named provider is loaded and available.  When called, it
788    will also activate all fallback providers if such are still present.
789
790    *Richard Levitte*
791
792  * Enforce a minimum DH modulus size of 512 bits.
793
794    *Bernd Edlinger*
795
796  * Changed DH parameters to generate the order q subgroup instead of 2q.
797    Previously generated DH parameters are still accepted by DH_check
798    but DH_generate_key works around that by clearing bit 0 of the
799    private key for those. This avoids leaking bit 0 of the private key.
800
801    *Bernd Edlinger*
802
803  * Significantly reduce secure memory usage by the randomness pools.
804
805    *Paul Dale*
806
807  * `{CRYPTO,OPENSSL}_mem_debug_{push,pop}` are now no-ops and have been
808    deprecated.
809
810    *Rich Salz*
811
812  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
813    algorithms. An implementation of a key exchange algorithm can be obtained
814    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
815    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
816    the older EVP_PKEY_derive_init() function. See the man pages for the new
817    functions for further details.
818
819    *Matt Caswell*
820
821  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
822
823    *Matt Caswell*
824
825  * Removed the function names from error messages and deprecated the
826    xxx_F_xxx define's.
827
828  * Removed NextStep support and the macro OPENSSL_UNISTD
829
830    *Rich Salz*
831
832  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
833    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
834    Also removed "export var as function" capability; we do not export
835    variables, only functions.
836
837    *Rich Salz*
838
839  * RC5_32_set_key has been changed to return an int type, with 0 indicating
840    an error and 1 indicating success. In previous versions of OpenSSL this
841    was a void type. If a key was set longer than the maximum possible this
842    would crash.
843
844    *Matt Caswell*
845
846  * Support SM2 signing and verification schemes with X509 certificate.
847
848    *Paul Yang*
849
850  * Use SHA256 as the default digest for TS query in the ts app.
851
852    *Tomas Mraz*
853
854  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
855    This checks that the salt length is at least 128 bits, the derived key
856    length is at least 112 bits, and that the iteration count is at least 1000.
857    For backwards compatibility these checks are disabled by default in the
858    default provider, but are enabled by default in the fips provider.
859    To enable or disable these checks use the control
860    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
861
862    *Shane Lontis*
863
864  * Default cipher lists/suites are now available via a function, the
865    #defines are deprecated.
866
867    *Todd Short*
868
869  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
870    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
871    for Windows Store apps easier. Also, the "no-uplink" option has been added.
872
873    *Kenji Mouri*
874
875  * Join the directories crypto/x509 and crypto/x509v3
876
877    *Richard Levitte*
878
879  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
880    This changes the size when using the genpkey app when no size is given. It
881    fixes an omission in earlier changes that changed all RSA, DSA and DH
882    generation apps to use 2048 bits by default.
883
884    *Kurt Roeckx*
885
886  * Added command 'openssl kdf' that uses the EVP_KDF API.
887
888    *Shane Lontis*
889
890  * Added command 'openssl mac' that uses the EVP_MAC API.
891
892    *Shane Lontis*
893
894  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
895    as default directories.  Also added the command 'openssl info'
896    for scripting purposes.
897
898    *Richard Levitte*
899
900  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
901    deprecated. These undocumented functions were never integrated into the EVP
902    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
903    Bi-directional IGE mode. These modes were never formally standardised and
904    usage of these functions is believed to be very small. In particular
905    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
906    is ever used. The security implications are believed to be minimal, but
907    this issue was never fixed for backwards compatibility reasons. New code
908    should not use these modes.
909
910    *Matt Caswell*
911
912  * Add prediction resistance to the DRBG reseeding process.
913
914    *Paul Dale*
915
916  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
917    mandated by IEEE Std 1619-2018.
918
919    *Paul Dale*
920
921  * Added newline escaping functionality to a filename when using openssl dgst.
922    This output format is to replicate the output format found in the `*sum`
923    checksum programs. This aims to preserve backward compatibility.
924
925    *Matt Eaton, Richard Levitte, and Paul Dale*
926
927  * Removed the heartbeat message in DTLS feature, as it has very
928    little usage and doesn't seem to fulfill a valuable purpose.
929    The configuration option is now deprecated.
930
931    *Richard Levitte*
932
933  * Changed the output of 'openssl {digestname} < file' to display the
934    digest name in its output.
935
936    *Richard Levitte*
937
938  * Added a new generic trace API which provides support for enabling
939    instrumentation through trace output. This feature is mainly intended
940    as an aid for developers and is disabled by default. To utilize it,
941    OpenSSL needs to be configured with the `enable-trace` option.
942
943    If the tracing API is enabled, the application can activate trace output
944    by registering BIOs as trace channels for a number of tracing and debugging
945    categories.
946
947    The 'openssl' application has been expanded to enable any of the types
948    available via environment variables defined by the user, and serves as
949    one possible example on how to use this functionality.
950
951    *Richard Levitte & Matthias St. Pierre*
952
953  * Added build tests for C++.  These are generated files that only do one
954    thing, to include one public OpenSSL head file each.  This tests that
955    the public header files can be usefully included in a C++ application.
956
957    This test isn't enabled by default.  It can be enabled with the option
958    'enable-buildtest-c++'.
959
960    *Richard Levitte*
961
962  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
963
964    *Shane Lontis*
965
966  * Add KMAC to EVP_MAC.
967
968    *Shane Lontis*
969
970  * Added property based algorithm implementation selection framework to
971    the core.
972
973    *Paul Dale*
974
975  * Added SCA hardening for modular field inversion in EC_GROUP through
976    a new dedicated field_inv() pointer in EC_METHOD.
977    This also addresses a leakage affecting conversions from projective
978    to affine coordinates.
979
980    *Billy Bob Brumley, Nicola Tuveri*
981
982  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
983    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
984    those algorithms that were already supported through the EVP_PKEY API
985    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
986    and scrypt are now wrappers that call EVP_KDF.
987
988    *David Makepeace*
989
990  * Build devcrypto engine as a dynamic engine.
991
992    *Eneas U de Queiroz*
993
994  * Add keyed BLAKE2 to EVP_MAC.
995
996    *Antoine Salon*
997
998  * Fix a bug in the computation of the endpoint-pair shared secret used
999    by DTLS over SCTP. This breaks interoperability with older versions
1000    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
1001    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
1002    interoperability with such broken implementations. However, enabling
1003    this switch breaks interoperability with correct implementations.
1004
1005  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1006    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1007
1008    *Bernd Edlinger*
1009
1010  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1011
1012    *Richard Levitte*
1013
1014  * Change the license to the Apache License v2.0.
1015
1016    *Richard Levitte*
1017
1018  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
1019
1020    - Major releases (indicated by incrementing the MAJOR release number)
1021      may introduce incompatible API/ABI changes.
1022    - Minor releases (indicated by incrementing the MINOR release number)
1023      may introduce new features but retain API/ABI compatibility.
1024    - Patch releases (indicated by incrementing the PATCH number)
1025      are intended for bug fixes and other improvements of existing
1026      features only (like improving performance or adding documentation)
1027      and retain API/ABI compatibility.
1028
1029    *Richard Levitte*
1030
1031  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
1032
1033    *Todd Short*
1034
1035  * Remove the 'dist' target and add a tarball building script.  The
1036    'dist' target has fallen out of use, and it shouldn't be
1037    necessary to configure just to create a source distribution.
1038
1039    *Richard Levitte*
1040
1041  * Recreate the OS390-Unix config target.  It no longer relies on a
1042    special script like it did for OpenSSL pre-1.1.0.
1043
1044    *Richard Levitte*
1045
1046  * Instead of having the source directories listed in Configure, add
1047    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
1048    look into.
1049
1050    *Richard Levitte*
1051
1052  * Add GMAC to EVP_MAC.
1053
1054    *Paul Dale*
1055
1056  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
1057
1058    *Richard Levitte*
1059
1060  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
1061    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
1062    to facilitate the continued use of MACs through raw private keys in
1063    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
1064
1065    *Richard Levitte*
1066
1067  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
1068    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
1069
1070    *Antoine Salon*
1071
1072  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
1073    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
1074    are retained for backwards compatibility.
1075
1076    *Antoine Salon*
1077
1078  * AES-XTS mode now enforces that its two keys are different to mitigate
1079    the attacked described in "Efficient Instantiations of Tweakable
1080    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
1081    Details of this attack can be obtained from:
1082    <http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf>
1083
1084    *Paul Dale*
1085
1086  * Rename the object files, i.e. give them other names than in previous
1087    versions.  Their names now include the name of the final product, as
1088    well as its type mnemonic (bin, lib, shlib).
1089
1090    *Richard Levitte*
1091
1092  * Added new option for 'openssl list', '-objects', which will display the
1093    list of built in objects, i.e. OIDs with names.
1094
1095    *Richard Levitte*
1096
1097  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
1098    improves application performance by removing data copies and providing
1099    applications with zero-copy system calls such as sendfile and splice.
1100
1101    *Boris Pismenny*
1102
1103 OpenSSL 1.1.1
1104 -------------
1105
1106 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx]
1107
1108 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020]
1109
1110  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
1111    while reading in libssl then we would report an error back to the
1112    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
1113    an error to the stack (which means we instead return SSL_ERROR_SSL) and
1114    therefore give a hint as to what went wrong.
1115
1116    *Matt Caswell*
1117
1118  * Check that ed25519 and ed448 are allowed by the security level. Previously
1119    signature algorithms not using an MD were not being checked that they were
1120    allowed by the security level.
1121
1122    *Kurt Roeckx*
1123
1124  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
1125    was not quite right. The behaviour was not consistent between resumption
1126    and normal handshakes, and also not quite consistent with historical
1127    behaviour. The behaviour in various scenarios has been clarified and
1128    it has been updated to make it match historical behaviour as closely as
1129    possible.
1130
1131    *Matt Caswell*
1132
1133  * *[VMS only]* The header files that the VMS compilers include automatically,
1134    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
1135    that the C++ compiler doesn't understand.  This is a shortcoming in the
1136    compiler, but can be worked around with `__cplusplus` guards.
1137
1138    C++ applications that use OpenSSL libraries must be compiled using the
1139    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
1140    functions.  Otherwise, only functions with symbols of less than 31
1141    characters can be used, as the linker will not be able to successfully
1142    resolve symbols with longer names.
1143
1144    *Richard Levitte*
1145
1146  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1147    The presence of this system service is determined at run-time.
1148
1149    *Richard Levitte*
1150
1151  * Added newline escaping functionality to a filename when using openssl dgst.
1152    This output format is to replicate the output format found in the `*sum`
1153    checksum programs. This aims to preserve backward compatibility.
1154
1155    *Matt Eaton, Richard Levitte, and Paul Dale*
1156
1157  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1158    the first value.
1159
1160    *Jon Spillett*
1161
1162 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019]
1163
1164  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1165    number generator (RNG). This was intended to include protection in the
1166    event of a fork() system call in order to ensure that the parent and child
1167    processes did not share the same RNG state. However this protection was not
1168    being used in the default case.
1169
1170    A partial mitigation for this issue is that the output from a high
1171    precision timer is mixed into the RNG state so the likelihood of a parent
1172    and child process sharing state is significantly reduced.
1173
1174    If an application already calls OPENSSL_init_crypto() explicitly using
1175    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1176    [CVE-2019-1549][]
1177
1178    *Matthias St. Pierre*
1179
1180  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1181    used even when parsing explicit parameters, when loading a serialized key
1182    or calling `EC_GROUP_new_from_ecpkparameters()`/
1183    `EC_GROUP_new_from_ecparameters()`.
1184    This prevents bypass of security hardening and performance gains,
1185    especially for curves with specialized EC_METHODs.
1186    By default, if a key encoded with explicit parameters is loaded and later
1187    serialized, the output is still encoded with explicit parameters, even if
1188    internally a "named" EC_GROUP is used for computation.
1189
1190    *Nicola Tuveri*
1191
1192  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1193    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1194    NULL. After this change, only the cofactor parameter can be NULL. It also
1195    does some minimal sanity checks on the passed order.
1196    [CVE-2019-1547][]
1197
1198    *Billy Bob Brumley*
1199
1200  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1201    An attack is simple, if the first CMS_recipientInfo is valid but the
1202    second CMS_recipientInfo is chosen ciphertext. If the second
1203    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1204    encryption key will be replaced by garbage, and the message cannot be
1205    decoded, but if the RSA decryption fails, the correct encryption key is
1206    used and the recipient will not notice the attack.
1207    As a work around for this potential attack the length of the decrypted
1208    key must be equal to the cipher default key length, in case the
1209    certifiate is not given and all recipientInfo are tried out.
1210    The old behaviour can be re-enabled in the CMS code by setting the
1211    CMS_DEBUG_DECRYPT flag.
1212    [CVE-2019-1563][]
1213
1214    *Bernd Edlinger*
1215
1216  * Early start up entropy quality from the DEVRANDOM seed source has been
1217    improved for older Linux systems.  The RAND subsystem will wait for
1218    /dev/random to be producing output before seeding from /dev/urandom.
1219    The seeded state is stored for future library initialisations using
1220    a system global shared memory segment.  The shared memory identifier
1221    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1222    the desired value.  The default identifier is 114.
1223
1224    *Paul Dale*
1225
1226  * Correct the extended master secret constant on EBCDIC systems. Without this
1227    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1228    negotiate EMS will fail. Unfortunately this also means that TLS connections
1229    between EBCDIC systems with this fix, and EBCDIC systems without this
1230    fix will fail if they negotiate EMS.
1231
1232    *Matt Caswell*
1233
1234  * Use Windows installation paths in the mingw builds
1235
1236    Mingw isn't a POSIX environment per se, which means that Windows
1237    paths should be used for installation.
1238    [CVE-2019-1552][]
1239
1240    *Richard Levitte*
1241
1242  * Changed DH_check to accept parameters with order q and 2q subgroups.
1243    With order 2q subgroups the bit 0 of the private key is not secret
1244    but DH_generate_key works around that by clearing bit 0 of the
1245    private key for those. This avoids leaking bit 0 of the private key.
1246
1247    *Bernd Edlinger*
1248
1249  * Significantly reduce secure memory usage by the randomness pools.
1250
1251    *Paul Dale*
1252
1253  * Revert the DEVRANDOM_WAIT feature for Linux systems
1254
1255    The DEVRANDOM_WAIT feature added a select() call to wait for the
1256    /dev/random device to become readable before reading from the
1257    /dev/urandom device.
1258
1259    It turned out that this change had negative side effects on
1260    performance which were not acceptable. After some discussion it
1261    was decided to revert this feature and leave it up to the OS
1262    resp. the platform maintainer to ensure a proper initialization
1263    during early boot time.
1264
1265    *Matthias St. Pierre*
1266
1267 ### Changes between 1.1.1b and 1.1.1c [28 May 2019]
1268
1269  * Add build tests for C++.  These are generated files that only do one
1270    thing, to include one public OpenSSL head file each.  This tests that
1271    the public header files can be usefully included in a C++ application.
1272
1273    This test isn't enabled by default.  It can be enabled with the option
1274    'enable-buildtest-c++'.
1275
1276    *Richard Levitte*
1277
1278  * Enable SHA3 pre-hashing for ECDSA and DSA.
1279
1280    *Patrick Steuer*
1281
1282  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1283    This changes the size when using the genpkey app when no size is given. It
1284    fixes an omission in earlier changes that changed all RSA, DSA and DH
1285    generation apps to use 2048 bits by default.
1286
1287    *Kurt Roeckx*
1288
1289  * Reorganize the manual pages to consistently have RETURN VALUES,
1290    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1291    util/fix-doc-nits accordingly.
1292
1293    *Paul Yang, Joshua Lock*
1294
1295  * Add the missing accessor EVP_PKEY_get0_engine()
1296
1297    *Matt Caswell*
1298
1299  * Have apps like 's_client' and 's_server' output the signature scheme
1300    along with other cipher suite parameters when debugging.
1301
1302    *Lorinczy Zsigmond*
1303
1304  * Make OPENSSL_config() error agnostic again.
1305
1306    *Richard Levitte*
1307
1308  * Do the error handling in RSA decryption constant time.
1309
1310    *Bernd Edlinger*
1311
1312  * Prevent over long nonces in ChaCha20-Poly1305.
1313
1314    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1315    for every encryption operation. RFC 7539 specifies that the nonce value
1316    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1317    and front pads the nonce with 0 bytes if it is less than 12
1318    bytes. However it also incorrectly allows a nonce to be set of up to 16
1319    bytes. In this case only the last 12 bytes are significant and any
1320    additional leading bytes are ignored.
1321
1322    It is a requirement of using this cipher that nonce values are
1323    unique. Messages encrypted using a reused nonce value are susceptible to
1324    serious confidentiality and integrity attacks. If an application changes
1325    the default nonce length to be longer than 12 bytes and then makes a
1326    change to the leading bytes of the nonce expecting the new value to be a
1327    new unique nonce then such an application could inadvertently encrypt
1328    messages with a reused nonce.
1329
1330    Additionally the ignored bytes in a long nonce are not covered by the
1331    integrity guarantee of this cipher. Any application that relies on the
1332    integrity of these ignored leading bytes of a long nonce may be further
1333    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1334    is safe because no such use sets such a long nonce value. However user
1335    applications that use this cipher directly and set a non-default nonce
1336    length to be longer than 12 bytes may be vulnerable.
1337
1338    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1339    Greef of Ronomon.
1340    [CVE-2019-1543][]
1341
1342    *Matt Caswell*
1343
1344  * Add DEVRANDOM_WAIT feature for Linux systems
1345
1346    On older Linux systems where the getrandom() system call is not available,
1347    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1348    Contrary to getrandom(), the /dev/urandom device will not block during
1349    early boot when the kernel CSPRNG has not been seeded yet.
1350
1351    To mitigate this known weakness, use select() to wait for /dev/random to
1352    become readable before reading from /dev/urandom.
1353
1354  * Ensure that SM2 only uses SM3 as digest algorithm
1355
1356    *Paul Yang*
1357
1358 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019]
1359
1360  * Change the info callback signals for the start and end of a post-handshake
1361    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1362    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1363    confused by this and assume that a TLSv1.2 renegotiation has started. This
1364    can break KeyUpdate handling. Instead we no longer signal the start and end
1365    of a post handshake message exchange (although the messages themselves are
1366    still signalled). This could break some applications that were expecting
1367    the old signals. However without this KeyUpdate is not usable for many
1368    applications.
1369
1370    *Matt Caswell*
1371
1372 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018]
1373
1374  * Timing vulnerability in DSA signature generation
1375
1376    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1377    timing side channel attack. An attacker could use variations in the signing
1378    algorithm to recover the private key.
1379
1380    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1381    [CVE-2018-0734][]
1382
1383    *Paul Dale*
1384
1385  * Timing vulnerability in ECDSA signature generation
1386
1387    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1388    timing side channel attack. An attacker could use variations in the signing
1389    algorithm to recover the private key.
1390
1391    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1392    [CVE-2018-0735][]
1393
1394    *Paul Dale*
1395
1396  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1397    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1398    of two gigabytes and the error handling improved.
1399
1400    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1401    categorized as a normal bug, not a security issue, because the DRBG reseeds
1402    automatically and is fully functional even without additional randomness
1403    provided by the application.
1404
1405 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018]
1406
1407  * Add a new ClientHello callback. Provides a callback interface that gives
1408    the application the ability to adjust the nascent SSL object at the
1409    earliest stage of ClientHello processing, immediately after extensions have
1410    been collected but before they have been processed. In particular, this
1411    callback can adjust the supported TLS versions in response to the contents
1412    of the ClientHello
1413
1414    *Benjamin Kaduk*
1415
1416  * Add SM2 base algorithm support.
1417
1418    *Jack Lloyd*
1419
1420  * s390x assembly pack: add (improved) hardware-support for the following
1421    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1422    aes-cfb/cfb8, aes-ecb.
1423
1424    *Patrick Steuer*
1425
1426  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1427    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1428    pem_str is reserved for alias entries only.
1429
1430    *Richard Levitte*
1431
1432  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1433    step for prime curves. The new implementation is based on formulae from
1434    differential addition-and-doubling in homogeneous projective coordinates
1435    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1436    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1437    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1438    to work in projective coordinates.
1439
1440    *Billy Bob Brumley, Nicola Tuveri*
1441
1442  * Change generating and checking of primes so that the error rate of not
1443    being prime depends on the intended use based on the size of the input.
1444    For larger primes this will result in more rounds of Miller-Rabin.
1445    The maximal error rate for primes with more than 1080 bits is lowered
1446    to 2^-128.
1447
1448    *Kurt Roeckx, Annie Yousar*
1449
1450  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1451
1452    *Kurt Roeckx*
1453
1454  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1455    moving between systems, and to avoid confusion when a Windows build is
1456    done with mingw vs with MSVC.  For POSIX installs, there's still a
1457    symlink or copy named 'tsget' to avoid that confusion as well.
1458
1459    *Richard Levitte*
1460
1461  * Revert blinding in ECDSA sign and instead make problematic addition
1462    length-invariant. Switch even to fixed-length Montgomery multiplication.
1463
1464    *Andy Polyakov*
1465
1466  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1467    step for binary curves. The new implementation is based on formulae from
1468    differential addition-and-doubling in mixed Lopez-Dahab projective
1469    coordinates, modified to independently blind the operands.
1470
1471    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1472
1473  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1474    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1475    EC_METHODs to implement their own specialized "ladder step", to take
1476    advantage of more favorable coordinate systems or more efficient
1477    differential addition-and-doubling algorithms.
1478
1479    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1480
1481  * Modified the random device based seed sources to keep the relevant
1482    file descriptors open rather than reopening them on each access.
1483    This allows such sources to operate in a chroot() jail without
1484    the associated device nodes being available. This behaviour can be
1485    controlled using RAND_keep_random_devices_open().
1486
1487    *Paul Dale*
1488
1489  * Numerous side-channel attack mitigations have been applied. This may have
1490    performance impacts for some algorithms for the benefit of improved
1491    security. Specific changes are noted in this change log by their respective
1492    authors.
1493
1494    *Matt Caswell*
1495
1496  * AIX shared library support overhaul. Switch to AIX "natural" way of
1497    handling shared libraries, which means collecting shared objects of
1498    different versions and bitnesses in one common archive. This allows to
1499    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1500    doesn't affect the way 3rd party applications are linked, only how
1501    multi-version installation is managed.
1502
1503    *Andy Polyakov*
1504
1505  * Make ec_group_do_inverse_ord() more robust and available to other
1506    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1507    mitigations are applied to the fallback BN_mod_inverse().
1508    When using this function rather than BN_mod_inverse() directly, new
1509    EC cryptosystem implementations are then safer-by-default.
1510
1511    *Billy Bob Brumley*
1512
1513  * Add coordinate blinding for EC_POINT and implement projective
1514    coordinate blinding for generic prime curves as a countermeasure to
1515    chosen point SCA attacks.
1516
1517    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1518
1519  * Add blinding to ECDSA and DSA signatures to protect against side channel
1520    attacks discovered by Keegan Ryan (NCC Group).
1521
1522    *Matt Caswell*
1523
1524  * Enforce checking in the pkeyutl command line app to ensure that the input
1525    length does not exceed the maximum supported digest length when performing
1526    a sign, verify or verifyrecover operation.
1527
1528    *Matt Caswell*
1529
1530  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1531    I/O in combination with something like select() or poll() will hang. This
1532    can be turned off again using SSL_CTX_clear_mode().
1533    Many applications do not properly handle non-application data records, and
1534    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1535    around the problems in those applications, but can also break some.
1536    It's recommended to read the manpages about SSL_read(), SSL_write(),
1537    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1538    SSL_CTX_set_read_ahead() again.
1539
1540    *Kurt Roeckx*
1541
1542  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1543    now allow empty (zero character) pass phrases.
1544
1545    *Richard Levitte*
1546
1547  * Apply blinding to binary field modular inversion and remove patent
1548    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1549
1550    *Billy Bob Brumley*
1551
1552  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1553    binary and prime elliptic curves.
1554
1555    *Billy Bob Brumley*
1556
1557  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1558    constant time fixed point multiplication.
1559
1560    *Billy Bob Brumley*
1561
1562  * Revise elliptic curve scalar multiplication with timing attack
1563    defenses: ec_wNAF_mul redirects to a constant time implementation
1564    when computing fixed point and variable point multiplication (which
1565    in OpenSSL are mostly used with secret scalars in keygen, sign,
1566    ECDH derive operations).
1567    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1568     Sohaib ul Hassan*
1569
1570  * Updated CONTRIBUTING
1571
1572    *Rich Salz*
1573
1574  * Updated DRBG / RAND to request nonce and additional low entropy
1575    randomness from the system.
1576
1577    *Matthias St. Pierre*
1578
1579  * Updated 'openssl rehash' to use OpenSSL consistent default.
1580
1581    *Richard Levitte*
1582
1583  * Moved the load of the ssl_conf module to libcrypto, which helps
1584    loading engines that libssl uses before libssl is initialised.
1585
1586    *Matt Caswell*
1587
1588  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1589
1590    *Matt Caswell*
1591
1592  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1593
1594    *Ingo Schwarze, Rich Salz*
1595
1596  * Added output of accepting IP address and port for 'openssl s_server'
1597
1598    *Richard Levitte*
1599
1600  * Added a new API for TLSv1.3 ciphersuites:
1601       SSL_CTX_set_ciphersuites()
1602       SSL_set_ciphersuites()
1603
1604    *Matt Caswell*
1605
1606  * Memory allocation failures consistently add an error to the error
1607    stack.
1608
1609    *Rich Salz*
1610
1611  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1612    in libcrypto when run as setuid/setgid.
1613
1614    *Bernd Edlinger*
1615
1616  * Load any config file by default when libssl is used.
1617
1618    *Matt Caswell*
1619
1620  * Added new public header file <openssl/rand_drbg.h> and documentation
1621    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1622
1623    *Matthias St. Pierre*
1624
1625  * QNX support removed (cannot find contributors to get their approval
1626    for the license change).
1627
1628    *Rich Salz*
1629
1630  * TLSv1.3 replay protection for early data has been implemented. See the
1631    SSL_read_early_data() man page for further details.
1632
1633    *Matt Caswell*
1634
1635  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1636    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1637    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1638    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1639    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1640    configuration has been separated out. See the ciphers man page or the
1641    SSL_CTX_set_ciphersuites() man page for more information.
1642
1643    *Matt Caswell*
1644
1645  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1646    in responder mode now supports the new "-multi" option, which
1647    spawns the specified number of child processes to handle OCSP
1648    requests.  The "-timeout" option now also limits the OCSP
1649    responder's patience to wait to receive the full client request
1650    on a newly accepted connection. Child processes are respawned
1651    as needed, and the CA index file is automatically reloaded
1652    when changed.  This makes it possible to run the "ocsp" responder
1653    as a long-running service, making the OpenSSL CA somewhat more
1654    feature-complete.  In this mode, most diagnostic messages logged
1655    after entering the event loop are logged via syslog(3) rather than
1656    written to stderr.
1657
1658    *Viktor Dukhovni*
1659
1660  * Added support for X448 and Ed448. Heavily based on original work by
1661    Mike Hamburg.
1662
1663    *Matt Caswell*
1664
1665  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1666    objects loaded.  This adds the functions OSSL_STORE_expect() and
1667    OSSL_STORE_find() as well as needed tools to construct searches and
1668    get the search data out of them.
1669
1670    *Richard Levitte*
1671
1672  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1673    version of OpenSSL should review their configuration settings to ensure
1674    that they are still appropriate for TLSv1.3. For further information see:
1675    <https://wiki.openssl.org/index.php/TLS1.3>
1676
1677    *Matt Caswell*
1678
1679  * Grand redesign of the OpenSSL random generator
1680
1681    The default RAND method now utilizes an AES-CTR DRBG according to
1682    NIST standard SP 800-90Ar1. The new random generator is essentially
1683    a port of the default random generator from the OpenSSL FIPS 2.0
1684    object module. It is a hybrid deterministic random bit generator
1685    using an AES-CTR bit stream and which seeds and reseeds itself
1686    automatically using trusted system entropy sources.
1687
1688    Some of its new features are:
1689     - Support for multiple DRBG instances with seed chaining.
1690     - The default RAND method makes use of a DRBG.
1691     - There is a public and private DRBG instance.
1692     - The DRBG instances are fork-safe.
1693     - Keep all global DRBG instances on the secure heap if it is enabled.
1694     - The public and private DRBG instance are per thread for lock free
1695       operation
1696
1697    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1698
1699  * Changed Configure so it only says what it does and doesn't dump
1700    so much data.  Instead, ./configdata.pm should be used as a script
1701    to display all sorts of configuration data.
1702
1703    *Richard Levitte*
1704
1705  * Added processing of "make variables" to Configure.
1706
1707    *Richard Levitte*
1708
1709  * Added SHA512/224 and SHA512/256 algorithm support.
1710
1711    *Paul Dale*
1712
1713  * The last traces of Netware support, first removed in 1.1.0, have
1714    now been removed.
1715
1716    *Rich Salz*
1717
1718  * Get rid of Makefile.shared, and in the process, make the processing
1719    of certain files (rc.obj, or the .def/.map/.opt files produced from
1720    the ordinal files) more visible and hopefully easier to trace and
1721    debug (or make silent).
1722
1723    *Richard Levitte*
1724
1725  * Make it possible to have environment variable assignments as
1726    arguments to config / Configure.
1727
1728    *Richard Levitte*
1729
1730  * Add multi-prime RSA (RFC 8017) support.
1731
1732    *Paul Yang*
1733
1734  * Add SM3 implemented according to GB/T 32905-2016
1735    * Jack Lloyd <jack.lloyd@ribose.com>,
1736      Ronald Tse <ronald.tse@ribose.com>,
1737      Erick Borsboom <erick.borsboom@ribose.com> *
1738
1739  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1740    as documented in RFC6066.
1741    Based on a patch from Tomasz Moń
1742
1743    *Filipe Raimundo da Silva*
1744
1745  * Add SM4 implemented according to GB/T 32907-2016.
1746    * Jack Lloyd <jack.lloyd@ribose.com>,
1747      Ronald Tse <ronald.tse@ribose.com>,
1748      Erick Borsboom <erick.borsboom@ribose.com> *
1749
1750  * Reimplement -newreq-nodes and ERR_error_string_n; the
1751    original author does not agree with the license change.
1752
1753    *Rich Salz*
1754
1755  * Add ARIA AEAD TLS support.
1756
1757    *Jon Spillett*
1758
1759  * Some macro definitions to support VS6 have been removed.  Visual
1760    Studio 6 has not worked since 1.1.0
1761
1762    *Rich Salz*
1763
1764  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1765    without clearing the errors.
1766
1767    *Richard Levitte*
1768
1769  * Add "atfork" functions.  If building on a system that without
1770    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1771    requirements.  The RAND facility now uses/requires this.
1772
1773    *Rich Salz*
1774
1775  * Add SHA3.
1776
1777    *Andy Polyakov*
1778
1779  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1780    not possible to disable entirely.  However, it's still possible to
1781    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1782    as a fallback).
1783
1784    To disable, configure with 'no-ui-console'.  'no-ui' is still
1785    possible to use as an alias.  Check at compile time with the
1786    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1787    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1788
1789    *Richard Levitte*
1790
1791  * Add a STORE module, which implements a uniform and URI based reader of
1792    stores that can contain keys, certificates, CRLs and numerous other
1793    objects.  The main API is loosely based on a few stdio functions,
1794    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1795    OSSL_STORE_error and OSSL_STORE_close.
1796    The implementation uses backends called "loaders" to implement arbitrary
1797    URI schemes.  There is one built in "loader" for the 'file' scheme.
1798
1799    *Richard Levitte*
1800
1801  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1802    then adjusted to work on FreeBSD 8.4 as well.
1803    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1804    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1805
1806    *Richard Levitte*
1807
1808  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1809    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1810    error code calls like this:
1811
1812            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1813
1814    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1815    that can be encoded in C.  For the foreseeable future, this will only
1816    affect new modules.
1817
1818    *Richard Levitte and Tim Hudson*
1819
1820  * Removed BSD cryptodev engine.
1821
1822    *Rich Salz*
1823
1824  * Add a build target 'build_all_generated', to build all generated files
1825    and only that.  This can be used to prepare everything that requires
1826    things like perl for a system that lacks perl and then move everything
1827    to that system and do the rest of the build there.
1828
1829    *Richard Levitte*
1830
1831  * In the UI interface, make it possible to duplicate the user data.  This
1832    can be used by engines that need to retain the data for a longer time
1833    than just the call where this user data is passed.
1834
1835    *Richard Levitte*
1836
1837  * Ignore the '-named_curve auto' value for compatibility of applications
1838    with OpenSSL 1.0.2.
1839
1840    *Tomas Mraz <tmraz@fedoraproject.org>*
1841
1842  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1843    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1844    alerts across multiple records (some of which could be empty). In practice
1845    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1846    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1847    support this at all. Supporting it adds significant complexity to the
1848    record layer, and its removal is unlikely to cause interoperability
1849    issues.
1850
1851    *Matt Caswell*
1852
1853  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1854    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1855    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1856    in OpenSSL 1.2.0.
1857
1858    *Richard Levitte*
1859
1860  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1861    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1862
1863    *Richard Levitte, Andy Polyakov*
1864
1865  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1866    does for RSA, etc.
1867
1868    *Richard Levitte*
1869
1870  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1871    platform rather than 'mingw'.
1872
1873    *Richard Levitte*
1874
1875  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1876    success if they are asked to add an object which already exists
1877    in the store. This change cascades to other functions which load
1878    certificates and CRLs.
1879
1880    *Paul Dale*
1881
1882  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1883    facilitate stack unwinding even from assembly subroutines.
1884
1885    *Andy Polyakov*
1886
1887  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1888    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1889
1890    *Richard Levitte*
1891
1892  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1893    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1894    which is the minimum version we support.
1895
1896    *Richard Levitte*
1897
1898  * Certificate time validation (X509_cmp_time) enforces stricter
1899    compliance with RFC 5280. Fractional seconds and timezone offsets
1900    are no longer allowed.
1901
1902    *Emilia Käsper*
1903
1904  * Add support for ARIA
1905
1906    *Paul Dale*
1907
1908  * s_client will now send the Server Name Indication (SNI) extension by
1909    default unless the new "-noservername" option is used. The server name is
1910    based on the host provided to the "-connect" option unless overridden by
1911    using "-servername".
1912
1913    *Matt Caswell*
1914
1915  * Add support for SipHash
1916
1917    *Todd Short*
1918
1919  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1920    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1921    prevent issues where no progress is being made and the peer continually
1922    sends unrecognised record types, using up resources processing them.
1923
1924    *Matt Caswell*
1925
1926  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1927    using the algorithm defined in
1928    <https://www.akkadia.org/drepper/SHA-crypt.txt>
1929
1930    *Richard Levitte*
1931
1932  * Heartbeat support has been removed; the ABI is changed for now.
1933
1934    *Richard Levitte, Rich Salz*
1935
1936  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1937
1938    *Emilia Käsper*
1939
1940  * The RSA "null" method, which was partially supported to avoid patent
1941    issues, has been replaced to always returns NULL.
1942
1943    *Rich Salz*
1944
1945 OpenSSL 1.1.0
1946 -------------
1947
1948 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019]
1949
1950  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1951    used even when parsing explicit parameters, when loading a serialized key
1952    or calling `EC_GROUP_new_from_ecpkparameters()`/
1953    `EC_GROUP_new_from_ecparameters()`.
1954    This prevents bypass of security hardening and performance gains,
1955    especially for curves with specialized EC_METHODs.
1956    By default, if a key encoded with explicit parameters is loaded and later
1957    serialized, the output is still encoded with explicit parameters, even if
1958    internally a "named" EC_GROUP is used for computation.
1959
1960    *Nicola Tuveri*
1961
1962  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1963    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1964    NULL. After this change, only the cofactor parameter can be NULL. It also
1965    does some minimal sanity checks on the passed order.
1966    [CVE-2019-1547][]
1967
1968    *Billy Bob Brumley*
1969
1970  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1971    An attack is simple, if the first CMS_recipientInfo is valid but the
1972    second CMS_recipientInfo is chosen ciphertext. If the second
1973    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1974    encryption key will be replaced by garbage, and the message cannot be
1975    decoded, but if the RSA decryption fails, the correct encryption key is
1976    used and the recipient will not notice the attack.
1977    As a work around for this potential attack the length of the decrypted
1978    key must be equal to the cipher default key length, in case the
1979    certifiate is not given and all recipientInfo are tried out.
1980    The old behaviour can be re-enabled in the CMS code by setting the
1981    CMS_DEBUG_DECRYPT flag.
1982    [CVE-2019-1563][]
1983
1984    *Bernd Edlinger*
1985
1986  * Use Windows installation paths in the mingw builds
1987
1988    Mingw isn't a POSIX environment per se, which means that Windows
1989    paths should be used for installation.
1990    [CVE-2019-1552][]
1991
1992    *Richard Levitte*
1993
1994 ### Changes between 1.1.0j and 1.1.0k [28 May 2019]
1995
1996  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1997    This changes the size when using the genpkey app when no size is given. It
1998    fixes an omission in earlier changes that changed all RSA, DSA and DH
1999    generation apps to use 2048 bits by default.
2000
2001    *Kurt Roeckx*
2002
2003  * Prevent over long nonces in ChaCha20-Poly1305.
2004
2005    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
2006    for every encryption operation. RFC 7539 specifies that the nonce value
2007    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
2008    and front pads the nonce with 0 bytes if it is less than 12
2009    bytes. However it also incorrectly allows a nonce to be set of up to 16
2010    bytes. In this case only the last 12 bytes are significant and any
2011    additional leading bytes are ignored.
2012
2013    It is a requirement of using this cipher that nonce values are
2014    unique. Messages encrypted using a reused nonce value are susceptible to
2015    serious confidentiality and integrity attacks. If an application changes
2016    the default nonce length to be longer than 12 bytes and then makes a
2017    change to the leading bytes of the nonce expecting the new value to be a
2018    new unique nonce then such an application could inadvertently encrypt
2019    messages with a reused nonce.
2020
2021    Additionally the ignored bytes in a long nonce are not covered by the
2022    integrity guarantee of this cipher. Any application that relies on the
2023    integrity of these ignored leading bytes of a long nonce may be further
2024    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
2025    is safe because no such use sets such a long nonce value. However user
2026    applications that use this cipher directly and set a non-default nonce
2027    length to be longer than 12 bytes may be vulnerable.
2028
2029    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
2030    Greef of Ronomon.
2031    [CVE-2019-1543][]
2032
2033    *Matt Caswell*
2034
2035  * Added SCA hardening for modular field inversion in EC_GROUP through
2036    a new dedicated field_inv() pointer in EC_METHOD.
2037    This also addresses a leakage affecting conversions from projective
2038    to affine coordinates.
2039
2040    *Billy Bob Brumley, Nicola Tuveri*
2041
2042  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
2043    re-used X509_PUBKEY object if the second PUBKEY is malformed.
2044
2045    *Bernd Edlinger*
2046
2047  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
2048
2049    *Richard Levitte*
2050
2051  * Remove the 'dist' target and add a tarball building script.  The
2052    'dist' target has fallen out of use, and it shouldn't be
2053    necessary to configure just to create a source distribution.
2054
2055    *Richard Levitte*
2056
2057 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018]
2058
2059  * Timing vulnerability in DSA signature generation
2060
2061    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
2062    timing side channel attack. An attacker could use variations in the signing
2063    algorithm to recover the private key.
2064
2065    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
2066    [CVE-2018-0734][]
2067
2068    *Paul Dale*
2069
2070  * Timing vulnerability in ECDSA signature generation
2071
2072    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
2073    timing side channel attack. An attacker could use variations in the signing
2074    algorithm to recover the private key.
2075
2076    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
2077    [CVE-2018-0735][]
2078
2079    *Paul Dale*
2080
2081  * Add coordinate blinding for EC_POINT and implement projective
2082    coordinate blinding for generic prime curves as a countermeasure to
2083    chosen point SCA attacks.
2084
2085    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
2086
2087 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018]
2088
2089  * Client DoS due to large DH parameter
2090
2091    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
2092    malicious server can send a very large prime value to the client. This will
2093    cause the client to spend an unreasonably long period of time generating a
2094    key for this prime resulting in a hang until the client has finished. This
2095    could be exploited in a Denial Of Service attack.
2096
2097    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
2098    [CVE-2018-0732][]
2099
2100    *Guido Vranken*
2101
2102  * Cache timing vulnerability in RSA Key Generation
2103
2104    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
2105    a cache timing side channel attack. An attacker with sufficient access to
2106    mount cache timing attacks during the RSA key generation process could
2107    recover the private key.
2108
2109    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
2110    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
2111    [CVE-2018-0737][]
2112
2113    *Billy Brumley*
2114
2115  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2116    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2117    pem_str is reserved for alias entries only.
2118
2119    *Richard Levitte*
2120
2121  * Revert blinding in ECDSA sign and instead make problematic addition
2122    length-invariant. Switch even to fixed-length Montgomery multiplication.
2123
2124    *Andy Polyakov*
2125
2126  * Change generating and checking of primes so that the error rate of not
2127    being prime depends on the intended use based on the size of the input.
2128    For larger primes this will result in more rounds of Miller-Rabin.
2129    The maximal error rate for primes with more than 1080 bits is lowered
2130    to 2^-128.
2131
2132    *Kurt Roeckx, Annie Yousar*
2133
2134  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2135
2136    *Kurt Roeckx*
2137
2138  * Add blinding to ECDSA and DSA signatures to protect against side channel
2139    attacks discovered by Keegan Ryan (NCC Group).
2140
2141    *Matt Caswell*
2142
2143  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2144    now allow empty (zero character) pass phrases.
2145
2146    *Richard Levitte*
2147
2148  * Certificate time validation (X509_cmp_time) enforces stricter
2149    compliance with RFC 5280. Fractional seconds and timezone offsets
2150    are no longer allowed.
2151
2152    *Emilia Käsper*
2153
2154  * Fixed a text canonicalisation bug in CMS
2155
2156    Where a CMS detached signature is used with text content the text goes
2157    through a canonicalisation process first prior to signing or verifying a
2158    signature. This process strips trailing space at the end of lines, converts
2159    line terminators to CRLF and removes additional trailing line terminators
2160    at the end of a file. A bug in the canonicalisation process meant that
2161    some characters, such as form-feed, were incorrectly treated as whitespace
2162    and removed. This is contrary to the specification (RFC5485). This fix
2163    could mean that detached text data signed with an earlier version of
2164    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2165    signed with a fixed OpenSSL may fail to verify with an earlier version of
2166    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2167    and use the "-binary" flag (for the "cms" command line application) or set
2168    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2169
2170    *Matt Caswell*
2171
2172 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018]
2173
2174  * Constructed ASN.1 types with a recursive definition could exceed the stack
2175
2176    Constructed ASN.1 types with a recursive definition (such as can be found
2177    in PKCS7) could eventually exceed the stack given malicious input with
2178    excessive recursion. This could result in a Denial Of Service attack. There
2179    are no such structures used within SSL/TLS that come from untrusted sources
2180    so this is considered safe.
2181
2182    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2183    project.
2184    [CVE-2018-0739][]
2185
2186    *Matt Caswell*
2187
2188  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2189
2190    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2191    effectively reduced to only comparing the least significant bit of each
2192    byte. This allows an attacker to forge messages that would be considered as
2193    authenticated in an amount of tries lower than that guaranteed by the
2194    security claims of the scheme. The module can only be compiled by the
2195    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2196
2197    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2198    (IBM).
2199    [CVE-2018-0733][]
2200
2201    *Andy Polyakov*
2202
2203  * Add a build target 'build_all_generated', to build all generated files
2204    and only that.  This can be used to prepare everything that requires
2205    things like perl for a system that lacks perl and then move everything
2206    to that system and do the rest of the build there.
2207
2208    *Richard Levitte*
2209
2210  * Backport SSL_OP_NO_RENGOTIATION
2211
2212    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2213    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2214    changes this is no longer possible in 1.1.0. Therefore the new
2215    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2216    1.1.0 to provide equivalent functionality.
2217
2218    Note that if an application built against 1.1.0h headers (or above) is run
2219    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2220    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2221
2222    *Matt Caswell*
2223
2224  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2225    exist.
2226
2227    *Rich Salz*
2228
2229  * rsaz_1024_mul_avx2 overflow bug on x86_64
2230
2231    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2232    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2233    Analysis suggests that attacks against RSA and DSA as a result of this
2234    defect would be very difficult to perform and are not believed likely.
2235    Attacks against DH1024 are considered just feasible, because most of the
2236    work necessary to deduce information about a private key may be performed
2237    offline. The amount of resources required for such an attack would be
2238    significant. However, for an attack on TLS to be meaningful, the server
2239    would have to share the DH1024 private key among multiple clients, which is
2240    no longer an option since CVE-2016-0701.
2241
2242    This only affects processors that support the AVX2 but not ADX extensions
2243    like Intel Haswell (4th generation).
2244
2245    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2246    was originally found via the OSS-Fuzz project.
2247    [CVE-2017-3738][]
2248
2249    *Andy Polyakov*
2250
2251 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017]
2252
2253  * bn_sqrx8x_internal carry bug on x86_64
2254
2255    There is a carry propagating bug in the x86_64 Montgomery squaring
2256    procedure. No EC algorithms are affected. Analysis suggests that attacks
2257    against RSA and DSA as a result of this defect would be very difficult to
2258    perform and are not believed likely. Attacks against DH are considered just
2259    feasible (although very difficult) because most of the work necessary to
2260    deduce information about a private key may be performed offline. The amount
2261    of resources required for such an attack would be very significant and
2262    likely only accessible to a limited number of attackers. An attacker would
2263    additionally need online access to an unpatched system using the target
2264    private key in a scenario with persistent DH parameters and a private
2265    key that is shared between multiple clients.
2266
2267    This only affects processors that support the BMI1, BMI2 and ADX extensions
2268    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2269
2270    This issue was reported to OpenSSL by the OSS-Fuzz project.
2271    [CVE-2017-3736][]
2272
2273    *Andy Polyakov*
2274
2275  * Malformed X.509 IPAddressFamily could cause OOB read
2276
2277    If an X.509 certificate has a malformed IPAddressFamily extension,
2278    OpenSSL could do a one-byte buffer overread. The most likely result
2279    would be an erroneous display of the certificate in text format.
2280
2281    This issue was reported to OpenSSL by the OSS-Fuzz project.
2282    [CVE-2017-3735][]
2283
2284    *Rich Salz*
2285
2286 ### Changes between 1.1.0e and 1.1.0f [25 May 2017]
2287
2288  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2289    platform rather than 'mingw'.
2290
2291    *Richard Levitte*
2292
2293  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2294    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2295    which is the minimum version we support.
2296
2297    *Richard Levitte*
2298
2299 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017]
2300
2301  * Encrypt-Then-Mac renegotiation crash
2302
2303    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2304    negotiated where it was not in the original handshake (or vice-versa) then
2305    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2306    and servers are affected.
2307
2308    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2309    [CVE-2017-3733][]
2310
2311    *Matt Caswell*
2312
2313 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017]
2314
2315  * Truncated packet could crash via OOB read
2316
2317    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2318    cipher is being used, then a truncated packet can cause that host to
2319    perform an out-of-bounds read, usually resulting in a crash.
2320
2321    This issue was reported to OpenSSL by Robert Święcki of Google.
2322    [CVE-2017-3731][]
2323
2324    *Andy Polyakov*
2325
2326  * Bad (EC)DHE parameters cause a client crash
2327
2328    If a malicious server supplies bad parameters for a DHE or ECDHE key
2329    exchange then this can result in the client attempting to dereference a
2330    NULL pointer leading to a client crash. This could be exploited in a Denial
2331    of Service attack.
2332
2333    This issue was reported to OpenSSL by Guido Vranken.
2334    [CVE-2017-3730][]
2335
2336    *Matt Caswell*
2337
2338  * BN_mod_exp may produce incorrect results on x86_64
2339
2340    There is a carry propagating bug in the x86_64 Montgomery squaring
2341    procedure. No EC algorithms are affected. Analysis suggests that attacks
2342    against RSA and DSA as a result of this defect would be very difficult to
2343    perform and are not believed likely. Attacks against DH are considered just
2344    feasible (although very difficult) because most of the work necessary to
2345    deduce information about a private key may be performed offline. The amount
2346    of resources required for such an attack would be very significant and
2347    likely only accessible to a limited number of attackers. An attacker would
2348    additionally need online access to an unpatched system using the target
2349    private key in a scenario with persistent DH parameters and a private
2350    key that is shared between multiple clients. For example this can occur by
2351    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2352    similar to CVE-2015-3193 but must be treated as a separate problem.
2353
2354    This issue was reported to OpenSSL by the OSS-Fuzz project.
2355    [CVE-2017-3732][]
2356
2357    *Andy Polyakov*
2358
2359 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016]
2360
2361  * ChaCha20/Poly1305 heap-buffer-overflow
2362
2363    TLS connections using `*-CHACHA20-POLY1305` ciphersuites are susceptible to
2364    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2365    crash. This issue is not considered to be exploitable beyond a DoS.
2366
2367    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2368    [CVE-2016-7054][]
2369
2370    *Richard Levitte*
2371
2372  * CMS Null dereference
2373
2374    Applications parsing invalid CMS structures can crash with a NULL pointer
2375    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2376    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2377    structure callback if an attempt is made to free certain invalid encodings.
2378    Only CHOICE structures using a callback which do not handle NULL value are
2379    affected.
2380
2381    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2382    [CVE-2016-7053][]
2383
2384    *Stephen Henson*
2385
2386  * Montgomery multiplication may produce incorrect results
2387
2388    There is a carry propagating bug in the Broadwell-specific Montgomery
2389    multiplication procedure that handles input lengths divisible by, but
2390    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2391    and DH private keys are impossible. This is because the subroutine in
2392    question is not used in operations with the private key itself and an input
2393    of the attacker's direct choice. Otherwise the bug can manifest itself as
2394    transient authentication and key negotiation failures or reproducible
2395    erroneous outcome of public-key operations with specially crafted input.
2396    Among EC algorithms only Brainpool P-512 curves are affected and one
2397    presumably can attack ECDH key negotiation. Impact was not analyzed in
2398    detail, because pre-requisites for attack are considered unlikely. Namely
2399    multiple clients have to choose the curve in question and the server has to
2400    share the private key among them, neither of which is default behaviour.
2401    Even then only clients that chose the curve will be affected.
2402
2403    This issue was publicly reported as transient failures and was not
2404    initially recognized as a security issue. Thanks to Richard Morgan for
2405    providing reproducible case.
2406    [CVE-2016-7055][]
2407
2408    *Andy Polyakov*
2409
2410  * Removed automatic addition of RPATH in shared libraries and executables,
2411    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2412
2413    *Richard Levitte*
2414
2415 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016]
2416
2417  * Fix Use After Free for large message sizes
2418
2419    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2420    message larger than approx 16k is received then the underlying buffer to
2421    store the incoming message is reallocated and moved. Unfortunately a
2422    dangling pointer to the old location is left which results in an attempt to
2423    write to the previously freed location. This is likely to result in a
2424    crash, however it could potentially lead to execution of arbitrary code.
2425
2426    This issue only affects OpenSSL 1.1.0a.
2427
2428    This issue was reported to OpenSSL by Robert Święcki.
2429    [CVE-2016-6309][]
2430
2431    *Matt Caswell*
2432
2433 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016]
2434
2435  * OCSP Status Request extension unbounded memory growth
2436
2437    A malicious client can send an excessively large OCSP Status Request
2438    extension. If that client continually requests renegotiation, sending a
2439    large OCSP Status Request extension each time, then there will be unbounded
2440    memory growth on the server. This will eventually lead to a Denial Of
2441    Service attack through memory exhaustion. Servers with a default
2442    configuration are vulnerable even if they do not support OCSP. Builds using
2443    the "no-ocsp" build time option are not affected.
2444
2445    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2446    [CVE-2016-6304][]
2447
2448    *Matt Caswell*
2449
2450  * SSL_peek() hang on empty record
2451
2452    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2453    sends an empty record. This could be exploited by a malicious peer in a
2454    Denial Of Service attack.
2455
2456    This issue was reported to OpenSSL by Alex Gaynor.
2457    [CVE-2016-6305][]
2458
2459    *Matt Caswell*
2460
2461  * Excessive allocation of memory in tls_get_message_header() and
2462    dtls1_preprocess_fragment()
2463
2464    A (D)TLS message includes 3 bytes for its length in the header for the
2465    message. This would allow for messages up to 16Mb in length. Messages of
2466    this length are excessive and OpenSSL includes a check to ensure that a
2467    peer is sending reasonably sized messages in order to avoid too much memory
2468    being consumed to service a connection. A flaw in the logic of version
2469    1.1.0 means that memory for the message is allocated too early, prior to
2470    the excessive message length check. Due to way memory is allocated in
2471    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2472    to service a connection. This could lead to a Denial of Service through
2473    memory exhaustion. However, the excessive message length check still takes
2474    place, and this would cause the connection to immediately fail. Assuming
2475    that the application calls SSL_free() on the failed connection in a timely
2476    manner then the 21Mb of allocated memory will then be immediately freed
2477    again. Therefore the excessive memory allocation will be transitory in
2478    nature. This then means that there is only a security impact if:
2479
2480    1) The application does not call SSL_free() in a timely manner in the event
2481    that the connection fails
2482    or
2483    2) The application is working in a constrained environment where there is
2484    very little free memory
2485    or
2486    3) The attacker initiates multiple connection attempts such that there are
2487    multiple connections in a state where memory has been allocated for the
2488    connection; SSL_free() has not yet been called; and there is insufficient
2489    memory to service the multiple requests.
2490
2491    Except in the instance of (1) above any Denial Of Service is likely to be
2492    transitory because as soon as the connection fails the memory is
2493    subsequently freed again in the SSL_free() call. However there is an
2494    increased risk during this period of application crashes due to the lack of
2495    memory - which would then mean a more serious Denial of Service.
2496
2497    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2498    (CVE-2016-6307 and CVE-2016-6308)
2499
2500    *Matt Caswell*
2501
2502  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2503    had to be removed. Primary reason is that vendor assembler can't
2504    assemble our modules with -KPIC flag. As result it, assembly
2505    support, was not even available as option. But its lack means
2506    lack of side-channel resistant code, which is incompatible with
2507    security by todays standards. Fortunately gcc is readily available
2508    prepackaged option, which we firmly point at...
2509
2510    *Andy Polyakov*
2511
2512 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016]
2513
2514  * Windows command-line tool supports UTF-8 opt-in option for arguments
2515    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2516    (to any value) allows Windows user to access PKCS#12 file generated
2517    with Windows CryptoAPI and protected with non-ASCII password, as well
2518    as files generated under UTF-8 locale on Linux also protected with
2519    non-ASCII password.
2520
2521    *Andy Polyakov*
2522
2523  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2524    have been disabled by default and removed from DEFAULT, just like RC4.
2525    See the RC4 item below to re-enable both.
2526
2527    *Rich Salz*
2528
2529  * The method for finding the storage location for the Windows RAND seed file
2530    has changed. First we check %RANDFILE%. If that is not set then we check
2531    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2532    all else fails we fall back to C:\.
2533
2534    *Matt Caswell*
2535
2536  * The EVP_EncryptUpdate() function has had its return type changed from void
2537    to int. A return of 0 indicates and error while a return of 1 indicates
2538    success.
2539
2540    *Matt Caswell*
2541
2542  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2543    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2544    off the constant time implementation for RSA, DSA and DH have been made
2545    no-ops and deprecated.
2546
2547    *Matt Caswell*
2548
2549  * Windows RAND implementation was simplified to only get entropy by
2550    calling CryptGenRandom(). Various other RAND-related tickets
2551    were also closed.
2552
2553    *Joseph Wylie Yandle, Rich Salz*
2554
2555  * The stack and lhash API's were renamed to start with `OPENSSL_SK_`
2556    and `OPENSSL_LH_`, respectively.  The old names are available
2557    with API compatibility.  They new names are now completely documented.
2558
2559    *Rich Salz*
2560
2561  * Unify TYPE_up_ref(obj) methods signature.
2562    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2563    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2564    int (instead of void) like all others TYPE_up_ref() methods.
2565    So now these methods also check the return value of CRYPTO_atomic_add(),
2566    and the validity of object reference counter.
2567
2568    *fdasilvayy@gmail.com*
2569
2570  * With Windows Visual Studio builds, the .pdb files are installed
2571    alongside the installed libraries and executables.  For a static
2572    library installation, ossl_static.pdb is the associate compiler
2573    generated .pdb file to be used when linking programs.
2574
2575    *Richard Levitte*
2576
2577  * Remove openssl.spec.  Packaging files belong with the packagers.
2578
2579    *Richard Levitte*
2580
2581  * Automatic Darwin/OSX configuration has had a refresh, it will now
2582    recognise x86_64 architectures automatically.  You can still decide
2583    to build for a different bitness with the environment variable
2584    KERNEL_BITS (can be 32 or 64), for example:
2585
2586            KERNEL_BITS=32 ./config
2587
2588    *Richard Levitte*
2589
2590  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2591    256 bit AES and HMAC with SHA256.
2592
2593    *Steve Henson*
2594
2595  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2596
2597    *Andy Polyakov*
2598
2599  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2600
2601    *Rich Salz*
2602
2603  * To enable users to have their own config files and build file templates,
2604    Configure looks in the directory indicated by the environment variable
2605    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2606    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2607    name and is used as is.
2608
2609    *Richard Levitte*
2610
2611  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2612    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2613    X509_CERT_FILE_CTX was removed.
2614
2615    *Rich Salz*
2616
2617  * "shared" builds are now the default. To create only static libraries use
2618    the "no-shared" Configure option.
2619
2620    *Matt Caswell*
2621
2622  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2623    All of these option have not worked for some while and are fundamental
2624    algorithms.
2625
2626    *Matt Caswell*
2627
2628  * Make various cleanup routines no-ops and mark them as deprecated. Most
2629    global cleanup functions are no longer required because they are handled
2630    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2631    Explicitly de-initing can cause problems (e.g. where a library that uses
2632    OpenSSL de-inits, but an application is still using it). The affected
2633    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2634    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2635    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2636    COMP_zlib_cleanup().
2637
2638    *Matt Caswell*
2639
2640  * --strict-warnings no longer enables runtime debugging options
2641    such as REF_DEBUG. Instead, debug options are automatically
2642    enabled with '--debug' builds.
2643
2644    *Andy Polyakov, Emilia Käsper*
2645
2646  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2647    have been moved out of the public header files. New functions for managing
2648    these have been added.
2649
2650    *Matt Caswell*
2651
2652  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2653    objects have been moved out of the public header files. New
2654    functions for managing these have been added.
2655
2656    *Richard Levitte*
2657
2658  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2659    have been moved out of the public header files. New functions for managing
2660    these have been added.
2661
2662    *Matt Caswell*
2663
2664  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2665    moved out of the public header files. New functions for managing these
2666    have been added.
2667
2668    *Matt Caswell*
2669
2670  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2671
2672    *Matt Caswell*
2673
2674  * Removed the mk1mf build scripts.
2675
2676    *Richard Levitte*
2677
2678  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2679    it is always safe to #include a header now.
2680
2681    *Rich Salz*
2682
2683  * Removed the aged BC-32 config and all its supporting scripts
2684
2685    *Richard Levitte*
2686
2687  * Removed support for Ultrix, Netware, and OS/2.
2688
2689    *Rich Salz*
2690
2691  * Add support for HKDF.
2692
2693    *Alessandro Ghedini*
2694
2695  * Add support for blake2b and blake2s
2696
2697    *Bill Cox*
2698
2699  * Added support for "pipelining". Ciphers that have the
2700    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2701    encryptions/decryptions simultaneously. There are currently no built-in
2702    ciphers with this property but the expectation is that engines will be able
2703    to offer it to significantly improve throughput. Support has been extended
2704    into libssl so that multiple records for a single connection can be
2705    processed in one go (for >=TLS 1.1).
2706
2707    *Matt Caswell*
2708
2709  * Added the AFALG engine. This is an async capable engine which is able to
2710    offload work to the Linux kernel. In this initial version it only supports
2711    AES128-CBC. The kernel must be version 4.1.0 or greater.
2712
2713    *Catriona Lucey*
2714
2715  * OpenSSL now uses a new threading API. It is no longer necessary to
2716    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2717    are two supported threading models: pthreads and windows threads. It is
2718    also possible to configure OpenSSL at compile time for "no-threads". The
2719    old threading API should no longer be used. The functions have been
2720    replaced with "no-op" compatibility macros.
2721
2722    *Alessandro Ghedini, Matt Caswell*
2723
2724  * Modify behavior of ALPN to invoke callback after SNI/servername
2725    callback, such that updates to the SSL_CTX affect ALPN.
2726
2727    *Todd Short*
2728
2729  * Add SSL_CIPHER queries for authentication and key-exchange.
2730
2731    *Todd Short*
2732
2733  * Changes to the DEFAULT cipherlist:
2734    - Prefer (EC)DHE handshakes over plain RSA.
2735    - Prefer AEAD ciphers over legacy ciphers.
2736    - Prefer ECDSA over RSA when both certificates are available.
2737    - Prefer TLSv1.2 ciphers/PRF.
2738    - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2739      default cipherlist.
2740
2741    *Emilia Käsper*
2742
2743  * Change the ECC default curve list to be this, in order: x25519,
2744    secp256r1, secp521r1, secp384r1.
2745
2746    *Rich Salz*
2747
2748  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2749    disabled by default. They can be re-enabled using the
2750    enable-weak-ssl-ciphers option to Configure.
2751
2752    *Matt Caswell*
2753
2754  * If the server has ALPN configured, but supports no protocols that the
2755    client advertises, send a fatal "no_application_protocol" alert.
2756    This behaviour is SHALL in RFC 7301, though it isn't universally
2757    implemented by other servers.
2758
2759    *Emilia Käsper*
2760
2761  * Add X25519 support.
2762    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2763    for public and private key encoding using the format documented in
2764    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2765    key generation and key derivation.
2766
2767    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2768    X25519(29).
2769
2770    *Steve Henson*
2771
2772  * Deprecate SRP_VBASE_get_by_user.
2773    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2774    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2775    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2776    seed, even if the seed is configured.
2777
2778    Users should use SRP_VBASE_get1_by_user instead. Note that in
2779    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2780    also that even though configuring the SRP seed attempts to hide
2781    invalid usernames by continuing the handshake with fake
2782    credentials, this behaviour is not constant time and no strong
2783    guarantees are made that the handshake is indistinguishable from
2784    that of a valid user.
2785
2786    *Emilia Käsper*
2787
2788  * Configuration change; it's now possible to build dynamic engines
2789    without having to build shared libraries and vice versa.  This
2790    only applies to the engines in engines/, those in crypto/engine/
2791    will always be built into libcrypto (i.e. "static").
2792
2793    Building dynamic engines is enabled by default; to disable, use
2794    the configuration option "disable-dynamic-engine".
2795
2796    The only requirements for building dynamic engines are the
2797    presence of the DSO module and building with position independent
2798    code, so they will also automatically be disabled if configuring
2799    with "disable-dso" or "disable-pic".
2800
2801    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2802    are also taken away from openssl/opensslconf.h, as they are
2803    irrelevant.
2804
2805    *Richard Levitte*
2806
2807  * Configuration change; if there is a known flag to compile
2808    position independent code, it will always be applied on the
2809    libcrypto and libssl object files, and never on the application
2810    object files.  This means other libraries that use routines from
2811    libcrypto / libssl can be made into shared libraries regardless
2812    of how OpenSSL was configured.
2813
2814    If this isn't desirable, the configuration options "disable-pic"
2815    or "no-pic" can be used to disable the use of PIC.  This will
2816    also disable building shared libraries and dynamic engines.
2817
2818    *Richard Levitte*
2819
2820  * Removed JPAKE code.  It was experimental and has no wide use.
2821
2822    *Rich Salz*
2823
2824  * The INSTALL_PREFIX Makefile variable has been renamed to
2825    DESTDIR.  That makes for less confusion on what this variable
2826    is for.  Also, the configuration option --install_prefix is
2827    removed.
2828
2829    *Richard Levitte*
2830
2831  * Heartbeat for TLS has been removed and is disabled by default
2832    for DTLS; configure with enable-heartbeats.  Code that uses the
2833    old #define's might need to be updated.
2834
2835    *Emilia Käsper, Rich Salz*
2836
2837  * Rename REF_CHECK to REF_DEBUG.
2838
2839    *Rich Salz*
2840
2841  * New "unified" build system
2842
2843    The "unified" build system is aimed to be a common system for all
2844    platforms we support.  With it comes new support for VMS.
2845
2846    This system builds supports building in a different directory tree
2847    than the source tree.  It produces one Makefile (for unix family
2848    or lookalikes), or one descrip.mms (for VMS).
2849
2850    The source of information to make the Makefile / descrip.mms is
2851    small files called 'build.info', holding the necessary
2852    information for each directory with source to compile, and a
2853    template in Configurations, like unix-Makefile.tmpl or
2854    descrip.mms.tmpl.
2855
2856    With this change, the library names were also renamed on Windows
2857    and on VMS.  They now have names that are closer to the standard
2858    on Unix, and include the major version number, and in certain
2859    cases, the architecture they are built for.  See "Notes on shared
2860    libraries" in INSTALL.
2861
2862    We rely heavily on the perl module Text::Template.
2863
2864    *Richard Levitte*
2865
2866  * Added support for auto-initialisation and de-initialisation of the library.
2867    OpenSSL no longer requires explicit init or deinit routines to be called,
2868    except in certain circumstances. See the OPENSSL_init_crypto() and
2869    OPENSSL_init_ssl() man pages for further information.
2870
2871    *Matt Caswell*
2872
2873  * The arguments to the DTLSv1_listen function have changed. Specifically the
2874    "peer" argument is now expected to be a BIO_ADDR object.
2875
2876  * Rewrite of BIO networking library. The BIO library lacked consistent
2877    support of IPv6, and adding it required some more extensive
2878    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2879    which hold all types of addresses and chains of address information.
2880    It also introduces a new API, with functions like BIO_socket,
2881    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2882    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2883    have been adapted accordingly.
2884
2885    *Richard Levitte*
2886
2887  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2888    the leading 0-byte.
2889
2890    *Emilia Käsper*
2891
2892  * CRIME protection: disable compression by default, even if OpenSSL is
2893    compiled with zlib enabled. Applications can still enable compression
2894    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2895    using the SSL_CONF library to configure compression.
2896
2897    *Emilia Käsper*
2898
2899  * The signature of the session callback configured with
2900    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2901    was explicitly marked as `const unsigned char*` instead of
2902    `unsigned char*`.
2903
2904    *Emilia Käsper*
2905
2906  * Always DPURIFY. Remove the use of uninitialized memory in the
2907    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2908
2909    *Emilia Käsper*
2910
2911  * Removed many obsolete configuration items, including
2912       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2913       MD2_CHAR, MD2_INT, MD2_LONG
2914       BF_PTR, BF_PTR2
2915       IDEA_SHORT, IDEA_LONG
2916       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2917
2918    *Rich Salz, with advice from Andy Polyakov*
2919
2920  * Many BN internals have been moved to an internal header file.
2921
2922    *Rich Salz with help from Andy Polyakov*
2923
2924  * Configuration and writing out the results from it has changed.
2925    Files such as Makefile include/openssl/opensslconf.h and are now
2926    produced through general templates, such as Makefile.in and
2927    crypto/opensslconf.h.in and some help from the perl module
2928    Text::Template.
2929
2930    Also, the center of configuration information is no longer
2931    Makefile.  Instead, Configure produces a perl module in
2932    configdata.pm which holds most of the config data (in the hash
2933    table %config), the target data that comes from the target
2934    configuration in one of the `Configurations/*.conf~ files (in
2935    %target).
2936
2937    *Richard Levitte*
2938
2939  * To clarify their intended purposes, the Configure options
2940    --prefix and --openssldir change their semantics, and become more
2941    straightforward and less interdependent.
2942
2943    --prefix shall be used exclusively to give the location INSTALLTOP
2944    where programs, scripts, libraries, include files and manuals are
2945    going to be installed.  The default is now /usr/local.
2946
2947    --openssldir shall be used exclusively to give the default
2948    location OPENSSLDIR where certificates, private keys, CRLs are
2949    managed.  This is also where the default openssl.cnf gets
2950    installed.
2951    If the directory given with this option is a relative path, the
2952    values of both the --prefix value and the --openssldir value will
2953    be combined to become OPENSSLDIR.
2954    The default for --openssldir is INSTALLTOP/ssl.
2955
2956    Anyone who uses --openssldir to specify where OpenSSL is to be
2957    installed MUST change to use --prefix instead.
2958
2959    *Richard Levitte*
2960
2961  * The GOST engine was out of date and therefore it has been removed. An up
2962    to date GOST engine is now being maintained in an external repository.
2963    See: <https://wiki.openssl.org/index.php/Binaries>. Libssl still retains
2964    support for GOST ciphersuites (these are only activated if a GOST engine
2965    is present).
2966
2967    *Matt Caswell*
2968
2969  * EGD is no longer supported by default; use enable-egd when
2970    configuring.
2971
2972    *Ben Kaduk and Rich Salz*
2973
2974  * The distribution now has Makefile.in files, which are used to
2975    create Makefile's when Configure is run.  *Configure must be run
2976    before trying to build now.*
2977
2978    *Rich Salz*
2979
2980  * The return value for SSL_CIPHER_description() for error conditions
2981    has changed.
2982
2983    *Rich Salz*
2984
2985  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2986
2987    Obtaining and performing DNSSEC validation of TLSA records is
2988    the application's responsibility.  The application provides
2989    the TLSA records of its choice to OpenSSL, and these are then
2990    used to authenticate the peer.
2991
2992    The TLSA records need not even come from DNS.  They can, for
2993    example, be used to implement local end-entity certificate or
2994    trust-anchor "pinning", where the "pin" data takes the form
2995    of TLSA records, which can augment or replace verification
2996    based on the usual WebPKI public certification authorities.
2997
2998    *Viktor Dukhovni*
2999
3000  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
3001    continues to support deprecated interfaces in default builds.
3002    However, applications are strongly advised to compile their
3003    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
3004    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
3005    or the 1.1.0 releases.
3006
3007    In environments in which all applications have been ported to
3008    not use any deprecated interfaces OpenSSL's Configure script
3009    should be used with the --api=1.1.0 option to entirely remove
3010    support for the deprecated features from the library and
3011    unconditionally disable them in the installed headers.
3012    Essentially the same effect can be achieved with the "no-deprecated"
3013    argument to Configure, except that this will always restrict
3014    the build to just the latest API, rather than a fixed API
3015    version.
3016
3017    As applications are ported to future revisions of the API,
3018    they should update their compile-time OPENSSL_API_COMPAT define
3019    accordingly, but in most cases should be able to continue to
3020    compile with later releases.
3021
3022    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
3023    0x10000000L and 0x00908000L, respectively.  However those
3024    versions did not support the OPENSSL_API_COMPAT feature, and
3025    so applications are not typically tested for explicit support
3026    of just the undeprecated features of either release.
3027
3028    *Viktor Dukhovni*
3029
3030  * Add support for setting the minimum and maximum supported protocol.
3031    It can bet set via the SSL_set_min_proto_version() and
3032    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
3033    MaxProtocol.  It's recommended to use the new APIs to disable
3034    protocols instead of disabling individual protocols using
3035    SSL_set_options() or SSL_CONF's Protocol.  This change also
3036    removes support for disabling TLS 1.2 in the OpenSSL TLS
3037    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
3038
3039    *Kurt Roeckx*
3040
3041  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
3042
3043    *Andy Polyakov*
3044
3045  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
3046    and integrates ECDSA and ECDH functionality into EC. Implementations can
3047    now redirect key generation and no longer need to convert to or from
3048    ECDSA_SIG format.
3049
3050    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
3051    include the ec.h header file instead.
3052
3053    *Steve Henson*
3054
3055  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
3056    ciphers who are no longer supported and drops support the ephemeral RSA key
3057    exchange. The LOW ciphers currently doesn't have any ciphers in it.
3058
3059    *Kurt Roeckx*
3060
3061  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
3062    opaque.  For HMAC_CTX, the following constructors and destructors
3063    were added:
3064
3065       HMAC_CTX *HMAC_CTX_new(void);
3066       void HMAC_CTX_free(HMAC_CTX *ctx);
3067
3068    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
3069    destroy such methods has been added.  See EVP_MD_meth_new(3) and
3070    EVP_CIPHER_meth_new(3) for documentation.
3071
3072    Additional changes:
3073    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
3074       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
3075       EVP_MD_CTX_reset() should be called instead to reinitialise
3076       an already created structure.
3077    2) For consistency with the majority of our object creators and
3078       destructors, EVP_MD_CTX_(create|destroy) were renamed to
3079       EVP_MD_CTX_(new|free).  The old names are retained as macros
3080       for deprecated builds.
3081
3082    *Richard Levitte*
3083
3084  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
3085    cryptographic operations to be performed asynchronously as long as an
3086    asynchronous capable engine is used. See the ASYNC_start_job() man page for
3087    further details. Libssl has also had this capability integrated with the
3088    introduction of the new mode SSL_MODE_ASYNC and associated error
3089    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
3090    pages. This work was developed in partnership with Intel Corp.
3091
3092    *Matt Caswell*
3093
3094  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
3095    always enabled now.  If you want to disable the support you should
3096    exclude it using the list of supported ciphers. This also means that the
3097    "-no_ecdhe" option has been removed from s_server.
3098
3099    *Kurt Roeckx*
3100
3101  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
3102    SSL_{CTX_}set1_curves() which can set a list.
3103
3104    *Kurt Roeckx*
3105
3106  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
3107    curve you want to support using SSL_{CTX_}set1_curves().
3108
3109    *Kurt Roeckx*
3110
3111  * State machine rewrite. The state machine code has been significantly
3112    refactored in order to remove much duplication of code and solve issues
3113    with the old code (see [ssl/statem/README.md](ssl/statem/README.md) for
3114    further details). This change does have some associated API changes.
3115    Notably the SSL_state() function has been removed and replaced by
3116    SSL_get_state which now returns an "OSSL_HANDSHAKE_STATE" instead of an int.
3117    SSL_set_state() has been removed altogether. The previous handshake states
3118    defined in ssl.h and ssl3.h have also been removed.
3119
3120    *Matt Caswell*
3121
3122  * All instances of the string "ssleay" in the public API were replaced
3123    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
3124    Some error codes related to internal RSA_eay API's were renamed.
3125
3126    *Rich Salz*
3127
3128  * The demo files in crypto/threads were moved to demo/threads.
3129
3130    *Rich Salz*
3131
3132  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
3133    sureware and ubsec.
3134
3135    *Matt Caswell, Rich Salz*
3136
3137  * New ASN.1 embed macro.
3138
3139    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
3140    structure is not allocated: it is part of the parent. That is instead of
3141
3142            FOO *x;
3143
3144    it must be:
3145
3146            FOO x;
3147
3148    This reduces memory fragmentation and make it impossible to accidentally
3149    set a mandatory field to NULL.
3150
3151    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3152    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3153    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3154    SEQUENCE OF.
3155
3156    *Steve Henson*
3157
3158  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3159
3160    *Emilia Käsper*
3161
3162  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3163    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3164    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3165    DES and RC4 ciphersuites.
3166
3167    *Matt Caswell*
3168
3169  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3170    This changes the decoding behaviour for some invalid messages,
3171    though the change is mostly in the more lenient direction, and
3172    legacy behaviour is preserved as much as possible.
3173
3174    *Emilia Käsper*
3175
3176  * Fix no-stdio build.
3177    * David Woodhouse <David.Woodhouse@intel.com> and also
3178     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3179
3180  * New testing framework
3181    The testing framework has been largely rewritten and is now using
3182    perl and the perl modules Test::Harness and an extended variant of
3183    Test::More called OpenSSL::Test to do its work.  All test scripts in
3184    test/ have been rewritten into test recipes, and all direct calls to
3185    executables in test/Makefile have become individual recipes using the
3186    simplified testing OpenSSL::Test::Simple.
3187
3188    For documentation on our testing modules, do:
3189
3190            perldoc test/testlib/OpenSSL/Test/Simple.pm
3191            perldoc test/testlib/OpenSSL/Test.pm
3192
3193    *Richard Levitte*
3194
3195  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3196    are used; the latter aborts on memory leaks (usually checked on exit).
3197    Some undocumented "set malloc, etc., hooks" functions were removed
3198    and others were changed.  All are now documented.
3199
3200    *Rich Salz*
3201
3202  * In DSA_generate_parameters_ex, if the provided seed is too short,
3203    return an error
3204
3205    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3206
3207  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3208    from RFC4279, RFC4785, RFC5487, RFC5489.
3209
3210    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3211    original RSA_PSK patch.
3212
3213    *Steve Henson*
3214
3215  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3216    era flag was never set throughout the codebase (only read). Also removed
3217    SSL3_FLAGS_POP_BUFFER which was only used if
3218    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3219
3220    *Matt Caswell*
3221
3222  * Changed the default name options in the "ca", "crl", "req" and "x509"
3223    to be "oneline" instead of "compat".
3224
3225    *Richard Levitte*
3226
3227  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3228    not aware of clients that still exhibit this bug, and the workaround
3229    hasn't been working properly for a while.
3230
3231    *Emilia Käsper*
3232
3233  * The return type of BIO_number_read() and BIO_number_written() as well as
3234    the corresponding num_read and num_write members in the BIO structure has
3235    changed from unsigned long to uint64_t. On platforms where an unsigned
3236    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3237    transferred.
3238
3239    *Matt Caswell*
3240
3241  * Given the pervasive nature of TLS extensions it is inadvisable to run
3242    OpenSSL without support for them. It also means that maintaining
3243    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3244    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3245
3246    *Matt Caswell*
3247
3248  * Removed support for the two export grade static DH ciphersuites
3249    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3250    were newly added (along with a number of other static DH ciphersuites) to
3251    1.0.2. However the two export ones have *never* worked since they were
3252    introduced. It seems strange in any case to be adding new export
3253    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3254
3255    *Matt Caswell*
3256
3257  * Version negotiation has been rewritten. In particular SSLv23_method(),
3258    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3259    and turned into macros which simply call the new preferred function names
3260    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3261    should use the new names instead. Also as part of this change the ssl23.h
3262    header file has been removed.
3263
3264    *Matt Caswell*
3265
3266  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3267    code and the associated standard is no longer considered fit-for-purpose.
3268
3269    *Matt Caswell*
3270
3271  * RT2547 was closed.  When generating a private key, try to make the
3272    output file readable only by the owner.  This behavior change might
3273    be noticeable when interacting with other software.
3274
3275  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3276    Added a test.
3277
3278    *Rich Salz*
3279
3280  * Added HTTP GET support to the ocsp command.
3281
3282    *Rich Salz*
3283
3284  * Changed default digest for the dgst and enc commands from MD5 to
3285    sha256
3286
3287    *Rich Salz*
3288
3289  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3290
3291    *Matt Caswell*
3292
3293  * Added support for TLS extended master secret from
3294    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3295    initial patch which was a great help during development.
3296
3297    *Steve Henson*
3298
3299  * All libssl internal structures have been removed from the public header
3300    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3301    now redundant). Users should not attempt to access internal structures
3302    directly. Instead they should use the provided API functions.
3303
3304    *Matt Caswell*
3305
3306  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3307    Access to deprecated functions can be re-enabled by running config with
3308    "enable-deprecated". In addition applications wishing to use deprecated
3309    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3310    will, by default, disable some transitive includes that previously existed
3311    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3312
3313    *Matt Caswell*
3314
3315  * Added support for OCB mode. OpenSSL has been granted a patent license
3316    compatible with the OpenSSL license for use of OCB. Details are available
3317    at <https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf>. Support
3318    for OCB can be removed by calling config with no-ocb.
3319
3320    *Matt Caswell*
3321
3322  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3323    compatible client hello.
3324
3325    *Kurt Roeckx*
3326
3327  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3328    done while fixing the error code for the key-too-small case.
3329
3330    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3331
3332  * CA.sh has been removed; use CA.pl instead.
3333
3334    *Rich Salz*
3335
3336  * Removed old DES API.
3337
3338    *Rich Salz*
3339
3340  * Remove various unsupported platforms:
3341       Sony NEWS4
3342       BEOS and BEOS_R5
3343       NeXT
3344       SUNOS
3345       MPE/iX
3346       Sinix/ReliantUNIX RM400
3347       DGUX
3348       NCR
3349       Tandem
3350       Cray
3351       16-bit platforms such as WIN16
3352
3353    *Rich Salz*
3354
3355  * Clean up OPENSSL_NO_xxx #define's
3356    - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3357    - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3358    - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3359    - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3360    - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3361    - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3362      OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3363      OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3364      OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3365    - Remove MS_STATIC; it's a relic from platforms <32 bits.
3366
3367    *Rich Salz*
3368
3369  * Cleaned up dead code
3370      Remove all but one '#ifdef undef' which is to be looked at.
3371
3372    *Rich Salz*
3373
3374  * Clean up calling of xxx_free routines.
3375       Just like free(), fix most of the xxx_free routines to accept
3376       NULL.  Remove the non-null checks from callers.  Save much code.
3377
3378    *Rich Salz*
3379
3380  * Add secure heap for storage of private keys (when possible).
3381    Add BIO_s_secmem(), CBIGNUM, etc.
3382    Contributed by Akamai Technologies under our Corporate CLA.
3383
3384    *Rich Salz*
3385
3386  * Experimental support for a new, fast, unbiased prime candidate generator,
3387    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3388
3389    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3390
3391  * New output format NSS in the sess_id command line tool. This allows
3392    exporting the session id and the master key in NSS keylog format.
3393
3394    *Martin Kaiser <martin@kaiser.cx>*
3395
3396  * Harmonize version and its documentation. -f flag is used to display
3397    compilation flags.
3398
3399    *mancha <mancha1@zoho.com>*
3400
3401  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3402    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3403
3404    *mancha <mancha1@zoho.com>*
3405
3406  * Fix some double frees. These are not thought to be exploitable.
3407
3408    *mancha <mancha1@zoho.com>*
3409
3410  * A missing bounds check in the handling of the TLS heartbeat extension
3411    can be used to reveal up to 64k of memory to a connected client or
3412    server.
3413
3414    Thanks for Neel Mehta of Google Security for discovering this bug and to
3415    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3416    preparing the fix [CVE-2014-0160][]
3417
3418    *Adam Langley, Bodo Moeller*
3419
3420  * Fix for the attack described in the paper "Recovering OpenSSL
3421    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3422    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3423    <http://eprint.iacr.org/2014/140>
3424
3425    Thanks to Yuval Yarom and Naomi Benger for discovering this
3426    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3427
3428    *Yuval Yarom and Naomi Benger*
3429
3430  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3431    this fixes a limitation in previous versions of OpenSSL.
3432
3433    *Steve Henson*
3434
3435  * Experimental encrypt-then-mac support.
3436
3437    Experimental support for encrypt then mac from
3438    draft-gutmann-tls-encrypt-then-mac-02.txt
3439
3440    To enable it set the appropriate extension number (0x42 for the test
3441    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3442
3443    For non-compliant peers (i.e. just about everything) this should have no
3444    effect.
3445
3446    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3447
3448    *Steve Henson*
3449
3450  * Add EVP support for key wrapping algorithms, to avoid problems with
3451    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3452    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3453    algorithms and include tests cases.
3454
3455    *Steve Henson*
3456
3457  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3458    enveloped data.
3459
3460    *Steve Henson*
3461
3462  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3463    MGF1 digest and OAEP label.
3464
3465    *Steve Henson*
3466
3467  * Make openssl verify return errors.
3468
3469    *Chris Palmer <palmer@google.com> and Ben Laurie*
3470
3471  * New function ASN1_TIME_diff to calculate the difference between two
3472    ASN1_TIME structures or one structure and the current time.
3473
3474    *Steve Henson*
3475
3476  * Update fips_test_suite to support multiple command line options. New
3477    test to induce all self test errors in sequence and check expected
3478    failures.
3479
3480    *Steve Henson*
3481
3482  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3483    sign or verify all in one operation.
3484
3485    *Steve Henson*
3486
3487  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3488    test programs and fips_test_suite. Includes functionality to parse
3489    the minimal script output of fipsalgest.pl directly.
3490
3491    *Steve Henson*
3492
3493  * Add authorisation parameter to FIPS_module_mode_set().
3494
3495    *Steve Henson*
3496
3497  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3498
3499    *Steve Henson*
3500
3501  * Use separate DRBG fields for internal and external flags. New function
3502    FIPS_drbg_health_check() to perform on demand health checking. Add
3503    generation tests to fips_test_suite with reduced health check interval to
3504    demonstrate periodic health checking. Add "nodh" option to
3505    fips_test_suite to skip very slow DH test.
3506
3507    *Steve Henson*
3508
3509  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3510    based on NID.
3511
3512    *Steve Henson*
3513
3514  * More extensive health check for DRBG checking many more failure modes.
3515    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3516    combination: call this in fips_test_suite.
3517
3518    *Steve Henson*
3519
3520  * Add support for canonical generation of DSA parameter 'g'. See
3521    FIPS 186-3 A.2.3.
3522
3523  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3524    POST to handle HMAC cases.
3525
3526    *Steve Henson*
3527
3528  * Add functions FIPS_module_version() and FIPS_module_version_text()
3529    to return numerical and string versions of the FIPS module number.
3530
3531    *Steve Henson*
3532
3533  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3534    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3535    outside the validated module in the FIPS capable OpenSSL.
3536
3537    *Steve Henson*
3538
3539  * Minor change to DRBG entropy callback semantics. In some cases
3540    there is no multiple of the block length between min_len and
3541    max_len. Allow the callback to return more than max_len bytes
3542    of entropy but discard any extra: it is the callback's responsibility
3543    to ensure that the extra data discarded does not impact the
3544    requested amount of entropy.
3545
3546    *Steve Henson*
3547
3548  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3549    information in FIPS186-3, SP800-57 and SP800-131A.
3550
3551    *Steve Henson*
3552
3553  * CCM support via EVP. Interface is very similar to GCM case except we
3554    must supply all data in one chunk (i.e. no update, final) and the
3555    message length must be supplied if AAD is used. Add algorithm test
3556    support.
3557
3558    *Steve Henson*
3559
3560  * Initial version of POST overhaul. Add POST callback to allow the status
3561    of POST to be monitored and/or failures induced. Modify fips_test_suite
3562    to use callback. Always run all selftests even if one fails.
3563
3564    *Steve Henson*
3565
3566  * XTS support including algorithm test driver in the fips_gcmtest program.
3567    Note: this does increase the maximum key length from 32 to 64 bytes but
3568    there should be no binary compatibility issues as existing applications
3569    will never use XTS mode.
3570
3571    *Steve Henson*
3572
3573  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3574    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3575    performs algorithm blocking for unapproved PRNG types. Also do not
3576    set PRNG type in FIPS_mode_set(): leave this to the application.
3577    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3578    the standard OpenSSL PRNG: set additional data to a date time vector.
3579
3580    *Steve Henson*
3581
3582  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3583    This shouldn't present any incompatibility problems because applications
3584    shouldn't be using these directly and any that are will need to rethink
3585    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3586
3587    *Steve Henson*
3588
3589  * Extensive self tests and health checking required by SP800-90 DRBG.
3590    Remove strength parameter from FIPS_drbg_instantiate and always
3591    instantiate at maximum supported strength.
3592
3593    *Steve Henson*
3594
3595  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3596
3597    *Steve Henson*
3598
3599  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3600
3601    *Steve Henson*
3602
3603  * New function DH_compute_key_padded() to compute a DH key and pad with
3604    leading zeroes if needed: this complies with SP800-56A et al.
3605
3606    *Steve Henson*
3607
3608  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3609    anything, incomplete, subject to change and largely untested at present.
3610
3611    *Steve Henson*
3612
3613  * Modify fipscanisteronly build option to only build the necessary object
3614    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3615
3616    *Steve Henson*
3617
3618  * Add experimental option FIPSSYMS to give all symbols in
3619    fipscanister.o and FIPS or fips prefix. This will avoid
3620    conflicts with future versions of OpenSSL. Add perl script
3621    util/fipsas.pl to preprocess assembly language source files
3622    and rename any affected symbols.
3623
3624    *Steve Henson*
3625
3626  * Add selftest checks and algorithm block of non-fips algorithms in
3627    FIPS mode. Remove DES2 from selftests.
3628
3629    *Steve Henson*
3630
3631  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3632    return internal method without any ENGINE dependencies. Add new
3633    tiny fips sign and verify functions.
3634
3635    *Steve Henson*
3636
3637  * New build option no-ec2m to disable characteristic 2 code.
3638
3639    *Steve Henson*
3640
3641  * New build option "fipscanisteronly". This only builds fipscanister.o
3642    and (currently) associated fips utilities. Uses the file Makefile.fips
3643    instead of Makefile.org as the prototype.
3644
3645    *Steve Henson*
3646
3647  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3648    Update fips_gcmtest to use IV generator.
3649
3650    *Steve Henson*
3651
3652  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3653    setting output buffer to NULL. The `*Final` function must be
3654    called although it will not retrieve any additional data. The tag
3655    can be set or retrieved with a ctrl. The IV length is by default 12
3656    bytes (96 bits) but can be set to an alternative value. If the IV
3657    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3658    set before the key.
3659
3660    *Steve Henson*
3661
3662  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3663    underlying do_cipher function handles all cipher semantics itself
3664    including padding and finalisation. This is useful if (for example)
3665    an ENGINE cipher handles block padding itself. The behaviour of
3666    do_cipher is subtly changed if this flag is set: the return value
3667    is the number of characters written to the output buffer (zero is
3668    no longer an error code) or a negative error code. Also if the
3669    input buffer is NULL and length 0 finalisation should be performed.
3670
3671    *Steve Henson*
3672
3673  * If a candidate issuer certificate is already part of the constructed
3674    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3675
3676    *Steve Henson*
3677
3678  * Improve forward-security support: add functions
3679
3680            void SSL_CTX_set_not_resumable_session_callback(
3681                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3682            void SSL_set_not_resumable_session_callback(
3683                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3684
3685    for use by SSL/TLS servers; the callback function will be called whenever a
3686    new session is created, and gets to decide whether the session may be
3687    cached to make it resumable (return 0) or not (return 1).  (As by the
3688    SSL/TLS protocol specifications, the session_id sent by the server will be
3689    empty to indicate that the session is not resumable; also, the server will
3690    not generate RFC 4507 (RFC 5077) session tickets.)
3691
3692    A simple reasonable callback implementation is to return is_forward_secure.
3693    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3694    by the SSL/TLS server library, indicating whether it can provide forward
3695    security.
3696
3697    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3698
3699  * New -verify_name option in command line utilities to set verification
3700    parameters by name.
3701
3702    *Steve Henson*
3703
3704  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3705    Add CMAC pkey methods.
3706
3707    *Steve Henson*
3708
3709  * Experimental renegotiation in s_server -www mode. If the client
3710    browses /reneg connection is renegotiated. If /renegcert it is
3711    renegotiated requesting a certificate.
3712
3713    *Steve Henson*
3714
3715  * Add an "external" session cache for debugging purposes to s_server. This
3716    should help trace issues which normally are only apparent in deployed
3717    multi-process servers.
3718
3719    *Steve Henson*
3720
3721  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3722    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3723    BIO_set_cipher() and some obscure PEM functions were changed so they
3724    can now return an error. The RAND changes required a change to the
3725    RAND_METHOD structure.
3726
3727    *Steve Henson*
3728
3729  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3730    a gcc attribute to warn if the result of a function is ignored. This
3731    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3732    whose return value is often ignored.
3733
3734    *Steve Henson*
3735
3736  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3737    These allow SCTs (signed certificate timestamps) to be requested and
3738    validated when establishing a connection.
3739
3740    *Rob Percival <robpercival@google.com>*
3741
3742 OpenSSL 1.0.2
3743 -------------
3744
3745 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019]
3746
3747  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3748    used even when parsing explicit parameters, when loading a serialized key
3749    or calling `EC_GROUP_new_from_ecpkparameters()`/
3750    `EC_GROUP_new_from_ecparameters()`.
3751    This prevents bypass of security hardening and performance gains,
3752    especially for curves with specialized EC_METHODs.
3753    By default, if a key encoded with explicit parameters is loaded and later
3754    serialized, the output is still encoded with explicit parameters, even if
3755    internally a "named" EC_GROUP is used for computation.
3756
3757    *Nicola Tuveri*
3758
3759  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3760    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3761    NULL. After this change, only the cofactor parameter can be NULL. It also
3762    does some minimal sanity checks on the passed order.
3763    [CVE-2019-1547][]
3764
3765    *Billy Bob Brumley*
3766
3767  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3768    An attack is simple, if the first CMS_recipientInfo is valid but the
3769    second CMS_recipientInfo is chosen ciphertext. If the second
3770    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3771    encryption key will be replaced by garbage, and the message cannot be
3772    decoded, but if the RSA decryption fails, the correct encryption key is
3773    used and the recipient will not notice the attack.
3774    As a work around for this potential attack the length of the decrypted
3775    key must be equal to the cipher default key length, in case the
3776    certifiate is not given and all recipientInfo are tried out.
3777    The old behaviour can be re-enabled in the CMS code by setting the
3778    CMS_DEBUG_DECRYPT flag.
3779    [CVE-2019-1563][]
3780
3781    *Bernd Edlinger*
3782
3783  * Document issue with installation paths in diverse Windows builds
3784
3785    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3786    binaries and run-time config file.
3787    [CVE-2019-1552][]
3788
3789    *Richard Levitte*
3790
3791 ### Changes between 1.0.2r and 1.0.2s [28 May 2019]
3792
3793  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3794    This changes the size when using the genpkey app when no size is given. It
3795    fixes an omission in earlier changes that changed all RSA, DSA and DH
3796    generation apps to use 2048 bits by default.
3797
3798    *Kurt Roeckx*
3799
3800  * Add FIPS support for Android Arm 64-bit
3801
3802    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3803    Module in Version 2.0.10. For some reason, the corresponding target
3804    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3805    built with FIPS support on Android Arm 64-bit. This omission has been
3806    fixed.
3807
3808    *Matthias St. Pierre*
3809
3810 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019]
3811
3812  * 0-byte record padding oracle
3813
3814    If an application encounters a fatal protocol error and then calls
3815    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3816    then OpenSSL can respond differently to the calling application if a 0 byte
3817    record is received with invalid padding compared to if a 0 byte record is
3818    received with an invalid MAC. If the application then behaves differently
3819    based on that in a way that is detectable to the remote peer, then this
3820    amounts to a padding oracle that could be used to decrypt data.
3821
3822    In order for this to be exploitable "non-stitched" ciphersuites must be in
3823    use. Stitched ciphersuites are optimised implementations of certain
3824    commonly used ciphersuites. Also the application must call SSL_shutdown()
3825    twice even if a protocol error has occurred (applications should not do
3826    this but some do anyway).
3827
3828    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3829    Aviram, with additional investigation by Steven Collison and Andrew
3830    Hourselt. It was reported to OpenSSL on 10th December 2018.
3831    [CVE-2019-1559][]
3832
3833    *Matt Caswell*
3834
3835  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3836
3837    *Richard Levitte*
3838
3839 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018]
3840
3841  * Microarchitecture timing vulnerability in ECC scalar multiplication
3842
3843    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3844    shown to be vulnerable to a microarchitecture timing side channel attack.
3845    An attacker with sufficient access to mount local timing attacks during
3846    ECDSA signature generation could recover the private key.
3847
3848    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3849    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3850    Nicola Tuveri.
3851    [CVE-2018-5407][]
3852
3853    *Billy Brumley*
3854
3855  * Timing vulnerability in DSA signature generation
3856
3857    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3858    timing side channel attack. An attacker could use variations in the signing
3859    algorithm to recover the private key.
3860
3861    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3862    [CVE-2018-0734][]
3863
3864    *Paul Dale*
3865
3866  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3867    Module, accidentally introduced while backporting security fixes from the
3868    development branch and hindering the use of ECC in FIPS mode.
3869
3870    *Nicola Tuveri*
3871
3872 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018]
3873
3874  * Client DoS due to large DH parameter
3875
3876    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3877    malicious server can send a very large prime value to the client. This will
3878    cause the client to spend an unreasonably long period of time generating a
3879    key for this prime resulting in a hang until the client has finished. This
3880    could be exploited in a Denial Of Service attack.
3881
3882    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3883    [CVE-2018-0732][]
3884
3885    *Guido Vranken*
3886
3887  * Cache timing vulnerability in RSA Key Generation
3888
3889    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3890    a cache timing side channel attack. An attacker with sufficient access to
3891    mount cache timing attacks during the RSA key generation process could
3892    recover the private key.
3893
3894    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3895    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3896    [CVE-2018-0737][]
3897
3898    *Billy Brumley*
3899
3900  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3901    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3902    pem_str is reserved for alias entries only.
3903
3904    *Richard Levitte*
3905
3906  * Revert blinding in ECDSA sign and instead make problematic addition
3907    length-invariant. Switch even to fixed-length Montgomery multiplication.
3908
3909    *Andy Polyakov*
3910
3911  * Change generating and checking of primes so that the error rate of not
3912    being prime depends on the intended use based on the size of the input.
3913    For larger primes this will result in more rounds of Miller-Rabin.
3914    The maximal error rate for primes with more than 1080 bits is lowered
3915    to 2^-128.
3916
3917    *Kurt Roeckx, Annie Yousar*
3918
3919  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3920
3921    *Kurt Roeckx*
3922
3923  * Add blinding to ECDSA and DSA signatures to protect against side channel
3924    attacks discovered by Keegan Ryan (NCC Group).
3925
3926    *Matt Caswell*
3927
3928  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3929    now allow empty (zero character) pass phrases.
3930
3931    *Richard Levitte*
3932
3933  * Certificate time validation (X509_cmp_time) enforces stricter
3934    compliance with RFC 5280. Fractional seconds and timezone offsets
3935    are no longer allowed.
3936
3937    *Emilia Käsper*
3938
3939 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018]
3940
3941  * Constructed ASN.1 types with a recursive definition could exceed the stack
3942
3943    Constructed ASN.1 types with a recursive definition (such as can be found
3944    in PKCS7) could eventually exceed the stack given malicious input with
3945    excessive recursion. This could result in a Denial Of Service attack. There
3946    are no such structures used within SSL/TLS that come from untrusted sources
3947    so this is considered safe.
3948
3949    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3950    project.
3951    [CVE-2018-0739][]
3952
3953    *Matt Caswell*
3954
3955 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017]
3956
3957  * Read/write after SSL object in error state
3958
3959    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3960    mechanism. The intent was that if a fatal error occurred during a handshake
3961    then OpenSSL would move into the error state and would immediately fail if
3962    you attempted to continue the handshake. This works as designed for the
3963    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3964    SSL_connect()), however due to a bug it does not work correctly if
3965    SSL_read() or SSL_write() is called directly. In that scenario, if the
3966    handshake fails then a fatal error will be returned in the initial function
3967    call. If SSL_read()/SSL_write() is subsequently called by the application
3968    for the same SSL object then it will succeed and the data is passed without
3969    being decrypted/encrypted directly from the SSL/TLS record layer.
3970
3971    In order to exploit this issue an application bug would have to be present
3972    that resulted in a call to SSL_read()/SSL_write() being issued after having
3973    already received a fatal error.
3974
3975    This issue was reported to OpenSSL by David Benjamin (Google).
3976    [CVE-2017-3737][]
3977
3978    *Matt Caswell*
3979
3980  * rsaz_1024_mul_avx2 overflow bug on x86_64
3981
3982    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3983    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3984    Analysis suggests that attacks against RSA and DSA as a result of this
3985    defect would be very difficult to perform and are not believed likely.
3986    Attacks against DH1024 are considered just feasible, because most of the
3987    work necessary to deduce information about a private key may be performed
3988    offline. The amount of resources required for such an attack would be
3989    significant. However, for an attack on TLS to be meaningful, the server
3990    would have to share the DH1024 private key among multiple clients, which is
3991    no longer an option since CVE-2016-0701.
3992
3993    This only affects processors that support the AVX2 but not ADX extensions
3994    like Intel Haswell (4th generation).
3995
3996    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3997    was originally found via the OSS-Fuzz project.
3998    [CVE-2017-3738][]
3999
4000    *Andy Polyakov*
4001
4002 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017]
4003
4004  * bn_sqrx8x_internal carry bug on x86_64
4005
4006    There is a carry propagating bug in the x86_64 Montgomery squaring
4007    procedure. No EC algorithms are affected. Analysis suggests that attacks
4008    against RSA and DSA as a result of this defect would be very difficult to
4009    perform and are not believed likely. Attacks against DH are considered just
4010    feasible (although very difficult) because most of the work necessary to
4011    deduce information about a private key may be performed offline. The amount
4012    of resources required for such an attack would be very significant and
4013    likely only accessible to a limited number of attackers. An attacker would
4014    additionally need online access to an unpatched system using the target
4015    private key in a scenario with persistent DH parameters and a private
4016    key that is shared between multiple clients.
4017
4018    This only affects processors that support the BMI1, BMI2 and ADX extensions
4019    like Intel Broadwell (5th generation) and later or AMD Ryzen.
4020
4021    This issue was reported to OpenSSL by the OSS-Fuzz project.
4022    [CVE-2017-3736][]
4023
4024    *Andy Polyakov*
4025
4026  * Malformed X.509 IPAddressFamily could cause OOB read
4027
4028    If an X.509 certificate has a malformed IPAddressFamily extension,
4029    OpenSSL could do a one-byte buffer overread. The most likely result
4030    would be an erroneous display of the certificate in text format.
4031
4032    This issue was reported to OpenSSL by the OSS-Fuzz project.
4033    [CVE-2017-3735][]
4034
4035    *Rich Salz*
4036
4037 ### Changes between 1.0.2k and 1.0.2l [25 May 2017]
4038
4039  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
4040    platform rather than 'mingw'.
4041
4042    *Richard Levitte*
4043
4044 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017]
4045
4046  * Truncated packet could crash via OOB read
4047
4048    If one side of an SSL/TLS path is running on a 32-bit host and a specific
4049    cipher is being used, then a truncated packet can cause that host to
4050    perform an out-of-bounds read, usually resulting in a crash.
4051
4052    This issue was reported to OpenSSL by Robert Święcki of Google.
4053    [CVE-2017-3731][]
4054
4055    *Andy Polyakov*
4056
4057  * BN_mod_exp may produce incorrect results on x86_64
4058
4059    There is a carry propagating bug in the x86_64 Montgomery squaring
4060    procedure. No EC algorithms are affected. Analysis suggests that attacks
4061    against RSA and DSA as a result of this defect would be very difficult to
4062    perform and are not believed likely. Attacks against DH are considered just
4063    feasible (although very difficult) because most of the work necessary to
4064    deduce information about a private key may be performed offline. The amount
4065    of resources required for such an attack would be very significant and
4066    likely only accessible to a limited number of attackers. An attacker would
4067    additionally need online access to an unpatched system using the target
4068    private key in a scenario with persistent DH parameters and a private
4069    key that is shared between multiple clients. For example this can occur by
4070    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
4071    similar to CVE-2015-3193 but must be treated as a separate problem.
4072
4073    This issue was reported to OpenSSL by the OSS-Fuzz project.
4074    [CVE-2017-3732][]
4075
4076    *Andy Polyakov*
4077
4078  * Montgomery multiplication may produce incorrect results
4079
4080    There is a carry propagating bug in the Broadwell-specific Montgomery
4081    multiplication procedure that handles input lengths divisible by, but
4082    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
4083    and DH private keys are impossible. This is because the subroutine in
4084    question is not used in operations with the private key itself and an input
4085    of the attacker's direct choice. Otherwise the bug can manifest itself as
4086    transient authentication and key negotiation failures or reproducible
4087    erroneous outcome of public-key operations with specially crafted input.
4088    Among EC algorithms only Brainpool P-512 curves are affected and one
4089    presumably can attack ECDH key negotiation. Impact was not analyzed in
4090    detail, because pre-requisites for attack are considered unlikely. Namely
4091    multiple clients have to choose the curve in question and the server has to
4092    share the private key among them, neither of which is default behaviour.
4093    Even then only clients that chose the curve will be affected.
4094
4095    This issue was publicly reported as transient failures and was not
4096    initially recognized as a security issue. Thanks to Richard Morgan for
4097    providing reproducible case.
4098    [CVE-2016-7055][]
4099
4100    *Andy Polyakov*
4101
4102  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
4103    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
4104    prevent issues where no progress is being made and the peer continually
4105    sends unrecognised record types, using up resources processing them.
4106
4107    *Matt Caswell*
4108
4109 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016]
4110
4111  * Missing CRL sanity check
4112
4113    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
4114    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
4115    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
4116
4117    This issue only affects the OpenSSL 1.0.2i
4118    [CVE-2016-7052][]
4119
4120    *Matt Caswell*
4121
4122 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016]
4123
4124  * OCSP Status Request extension unbounded memory growth
4125
4126    A malicious client can send an excessively large OCSP Status Request
4127    extension. If that client continually requests renegotiation, sending a
4128    large OCSP Status Request extension each time, then there will be unbounded
4129    memory growth on the server. This will eventually lead to a Denial Of
4130    Service attack through memory exhaustion. Servers with a default
4131    configuration are vulnerable even if they do not support OCSP. Builds using
4132    the "no-ocsp" build time option are not affected.
4133
4134    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4135    [CVE-2016-6304][]
4136
4137    *Matt Caswell*
4138
4139  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
4140    HIGH to MEDIUM.
4141
4142    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
4143    Leurent (INRIA)
4144    [CVE-2016-2183][]
4145
4146    *Rich Salz*
4147
4148  * OOB write in MDC2_Update()
4149
4150    An overflow can occur in MDC2_Update() either if called directly or
4151    through the EVP_DigestUpdate() function using MDC2. If an attacker
4152    is able to supply very large amounts of input data after a previous
4153    call to EVP_EncryptUpdate() with a partial block then a length check
4154    can overflow resulting in a heap corruption.
4155
4156    The amount of data needed is comparable to SIZE_MAX which is impractical
4157    on most platforms.
4158
4159    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4160    [CVE-2016-6303][]
4161
4162    *Stephen Henson*
4163
4164  * Malformed SHA512 ticket DoS
4165
4166    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4167    DoS attack where a malformed ticket will result in an OOB read which will
4168    ultimately crash.
4169
4170    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4171    a custom server callback and ticket lookup mechanism.
4172
4173    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4174    [CVE-2016-6302][]
4175
4176    *Stephen Henson*
4177
4178  * OOB write in BN_bn2dec()
4179
4180    The function BN_bn2dec() does not check the return value of BN_div_word().
4181    This can cause an OOB write if an application uses this function with an
4182    overly large BIGNUM. This could be a problem if an overly large certificate
4183    or CRL is printed out from an untrusted source. TLS is not affected because
4184    record limits will reject an oversized certificate before it is parsed.
4185
4186    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4187    [CVE-2016-2182][]
4188
4189    *Stephen Henson*
4190
4191  * OOB read in TS_OBJ_print_bio()
4192
4193    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4194    the total length the OID text representation would use and not the amount
4195    of data written. This will result in OOB reads when large OIDs are
4196    presented.
4197
4198    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4199    [CVE-2016-2180][]
4200
4201    *Stephen Henson*
4202
4203  * Pointer arithmetic undefined behaviour
4204
4205    Avoid some undefined pointer arithmetic
4206
4207    A common idiom in the codebase is to check limits in the following manner:
4208    "p + len > limit"
4209
4210    Where "p" points to some malloc'd data of SIZE bytes and
4211    limit == p + SIZE
4212
4213    "len" here could be from some externally supplied data (e.g. from a TLS
4214    message).
4215
4216    The rules of C pointer arithmetic are such that "p + len" is only well
4217    defined where len <= SIZE. Therefore the above idiom is actually
4218    undefined behaviour.
4219
4220    For example this could cause problems if some malloc implementation
4221    provides an address for "p" such that "p + len" actually overflows for
4222    values of len that are too big and therefore p + len < limit.
4223
4224    This issue was reported to OpenSSL by Guido Vranken
4225    [CVE-2016-2177][]
4226
4227    *Matt Caswell*
4228
4229  * Constant time flag not preserved in DSA signing
4230
4231    Operations in the DSA signing algorithm should run in constant time in
4232    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4233    implementation means that a non-constant time codepath is followed for
4234    certain operations. This has been demonstrated through a cache-timing
4235    attack to be sufficient for an attacker to recover the private DSA key.
4236
4237    This issue was reported by César Pereida (Aalto University), Billy Brumley
4238    (Tampere University of Technology), and Yuval Yarom (The University of
4239    Adelaide and NICTA).
4240    [CVE-2016-2178][]
4241
4242    *César Pereida*
4243
4244  * DTLS buffered message DoS
4245
4246    In a DTLS connection where handshake messages are delivered out-of-order
4247    those messages that OpenSSL is not yet ready to process will be buffered
4248    for later use. Under certain circumstances, a flaw in the logic means that
4249    those messages do not get removed from the buffer even though the handshake
4250    has been completed. An attacker could force up to approx. 15 messages to
4251    remain in the buffer when they are no longer required. These messages will
4252    be cleared when the DTLS connection is closed. The default maximum size for
4253    a message is 100k. Therefore the attacker could force an additional 1500k
4254    to be consumed per connection. By opening many simulataneous connections an
4255    attacker could cause a DoS attack through memory exhaustion.
4256
4257    This issue was reported to OpenSSL by Quan Luo.
4258    [CVE-2016-2179][]
4259
4260    *Matt Caswell*
4261
4262  * DTLS replay protection DoS
4263
4264    A flaw in the DTLS replay attack protection mechanism means that records
4265    that arrive for future epochs update the replay protection "window" before
4266    the MAC for the record has been validated. This could be exploited by an
4267    attacker by sending a record for the next epoch (which does not have to
4268    decrypt or have a valid MAC), with a very large sequence number. This means
4269    that all subsequent legitimate packets are dropped causing a denial of
4270    service for a specific DTLS connection.
4271
4272    This issue was reported to OpenSSL by the OCAP audit team.
4273    [CVE-2016-2181][]
4274
4275    *Matt Caswell*
4276
4277  * Certificate message OOB reads
4278
4279    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4280    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4281    theoretical DoS risk but this has not been observed in practice on common
4282    platforms.
4283
4284    The messages affected are client certificate, client certificate request
4285    and server certificate. As a result the attack can only be performed
4286    against a client or a server which enables client authentication.
4287
4288    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4289    [CVE-2016-6306][]
4290
4291    *Stephen Henson*
4292
4293 ### Changes between 1.0.2g and 1.0.2h [3 May 2016]
4294
4295  * Prevent padding oracle in AES-NI CBC MAC check
4296
4297    A MITM attacker can use a padding oracle attack to decrypt traffic
4298    when the connection uses an AES CBC cipher and the server support
4299    AES-NI.
4300
4301    This issue was introduced as part of the fix for Lucky 13 padding
4302    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4303    constant time by making sure that always the same bytes are read and
4304    compared against either the MAC or padding bytes. But it no longer
4305    checked that there was enough data to have both the MAC and padding
4306    bytes.
4307
4308    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4309    [CVE-2016-2107][]
4310
4311    *Kurt Roeckx*
4312
4313  * Fix EVP_EncodeUpdate overflow
4314
4315    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4316    Base64 encoding of binary data. If an attacker is able to supply very large
4317    amounts of input data then a length check can overflow resulting in a heap
4318    corruption.
4319
4320    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4321    the `PEM_write_bio*` family of functions. These are mainly used within the
4322    OpenSSL command line applications, so any application which processes data
4323    from an untrusted source and outputs it as a PEM file should be considered
4324    vulnerable to this issue. User applications that call these APIs directly
4325    with large amounts of untrusted data may also be vulnerable.
4326
4327    This issue was reported by Guido Vranken.
4328    [CVE-2016-2105][]
4329
4330    *Matt Caswell*
4331
4332  * Fix EVP_EncryptUpdate overflow
4333
4334    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4335    is able to supply very large amounts of input data after a previous call to
4336    EVP_EncryptUpdate() with a partial block then a length check can overflow
4337    resulting in a heap corruption. Following an analysis of all OpenSSL
4338    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4339    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4340    the first called function after an EVP_EncryptInit(), and therefore that
4341    specific call must be safe. The second form is where the length passed to
4342    EVP_EncryptUpdate() can be seen from the code to be some small value and
4343    therefore there is no possibility of an overflow. Since all instances are
4344    one of these two forms, it is believed that there can be no overflows in
4345    internal code due to this problem. It should be noted that
4346    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4347    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4348    of these calls have also been analysed too and it is believed there are no
4349    instances in internal usage where an overflow could occur.
4350
4351    This issue was reported by Guido Vranken.
4352    [CVE-2016-2106][]
4353
4354    *Matt Caswell*
4355
4356  * Prevent ASN.1 BIO excessive memory allocation
4357
4358    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4359    a short invalid encoding can cause allocation of large amounts of memory
4360    potentially consuming excessive resources or exhausting memory.
4361
4362    Any application parsing untrusted data through d2i BIO functions is
4363    affected. The memory based functions such as d2i_X509() are *not* affected.
4364    Since the memory based functions are used by the TLS library, TLS
4365    applications are not affected.
4366
4367    This issue was reported by Brian Carpenter.
4368    [CVE-2016-2109][]
4369
4370    *Stephen Henson*
4371
4372  * EBCDIC overread
4373
4374    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4375    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4376    in arbitrary stack data being returned in the buffer.
4377
4378    This issue was reported by Guido Vranken.
4379    [CVE-2016-2176][]
4380
4381    *Matt Caswell*
4382
4383  * Modify behavior of ALPN to invoke callback after SNI/servername
4384    callback, such that updates to the SSL_CTX affect ALPN.
4385
4386    *Todd Short*
4387
4388  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4389    default.
4390
4391    *Kurt Roeckx*
4392
4393  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4394    methods are enabled and ssl2 is disabled the methods return NULL.
4395
4396    *Kurt Roeckx*
4397
4398 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016]
4399
4400 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4401   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4402   provide any "EXPORT" or "LOW" strength ciphers.
4403
4404   *Viktor Dukhovni*
4405
4406 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4407   is by default disabled at build-time.  Builds that are not configured with
4408   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4409   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4410   will need to explicitly call either of:
4411
4412       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4413   or
4414       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4415
4416   as appropriate.  Even if either of those is used, or the application
4417   explicitly uses the version-specific SSLv2_method() or its client and
4418   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4419   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4420   ciphers, and SSLv2 56-bit DES are no longer available.
4421   [CVE-2016-0800][]
4422
4423    *Viktor Dukhovni*
4424
4425  * Fix a double-free in DSA code
4426
4427    A double free bug was discovered when OpenSSL parses malformed DSA private
4428    keys and could lead to a DoS attack or memory corruption for applications
4429    that receive DSA private keys from untrusted sources.  This scenario is
4430    considered rare.
4431
4432    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4433    libFuzzer.
4434    [CVE-2016-0705][]
4435
4436    *Stephen Henson*
4437
4438  * Disable SRP fake user seed to address a server memory leak.
4439
4440    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4441
4442    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4443    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4444    was changed to ignore the "fake user" SRP seed, even if the seed
4445    is configured.
4446
4447    Users should use SRP_VBASE_get1_by_user instead. Note that in
4448    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4449    also that even though configuring the SRP seed attempts to hide
4450    invalid usernames by continuing the handshake with fake
4451    credentials, this behaviour is not constant time and no strong
4452    guarantees are made that the handshake is indistinguishable from
4453    that of a valid user.
4454    [CVE-2016-0798][]
4455
4456    *Emilia Käsper*
4457
4458  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4459
4460    In the BN_hex2bn function the number of hex digits is calculated using an
4461    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4462    large values of |i| this can result in |bn_expand| not allocating any
4463    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4464    field as NULL leading to a subsequent NULL ptr deref. For very large values
4465    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4466    In this case memory is allocated to the internal BIGNUM data field, but it
4467    is insufficiently sized leading to heap corruption. A similar issue exists
4468    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4469    is ever called by user applications with very large untrusted hex/dec data.
4470    This is anticipated to be a rare occurrence.
4471
4472    All OpenSSL internal usage of these functions use data that is not expected
4473    to be untrusted, e.g. config file data or application command line
4474    arguments. If user developed applications generate config file data based
4475    on untrusted data then it is possible that this could also lead to security
4476    consequences. This is also anticipated to be rare.
4477
4478    This issue was reported to OpenSSL by Guido Vranken.
4479    [CVE-2016-0797][]
4480
4481    *Matt Caswell*
4482
4483  * Fix memory issues in `BIO_*printf` functions
4484
4485    The internal |fmtstr| function used in processing a "%s" format string in
4486    the `BIO_*printf` functions could overflow while calculating the length of a
4487    string and cause an OOB read when printing very long strings.
4488
4489    Additionally the internal |doapr_outch| function can attempt to write to an
4490    OOB memory location (at an offset from the NULL pointer) in the event of a
4491    memory allocation failure. In 1.0.2 and below this could be caused where
4492    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4493    could be in processing a very long "%s" format string. Memory leaks can
4494    also occur.
4495
4496    The first issue may mask the second issue dependent on compiler behaviour.
4497    These problems could enable attacks where large amounts of untrusted data
4498    is passed to the `BIO_*printf` functions. If applications use these functions
4499    in this way then they could be vulnerable. OpenSSL itself uses these
4500    functions when printing out human-readable dumps of ASN.1 data. Therefore
4501    applications that print this data could be vulnerable if the data is from