Move the change note for partial chain verification: this is code from
the main branch (http://cvs.openssl.org/chngview?cn=19322) later added
to the 1.0.2 branch (http://cvs.openssl.org/chngview?cn=23113), and
thus not a change "between 1.0.2 and 1.1.0".

Redo deletion of some serverinfo code that supplemental data code mistakenly reinstated.

Sync CHANGES and NEWS files.

(Various changes from the master branch are now in the 1.0.2 branch too.)

Fix overly lenient comparisons:

    - EC_GROUP_cmp shouldn't consider curves equal just because
      the curve name is the same. (They really *should* be the same
      in this case, but there's an EC_GROUP_set_curve_name API,
      which could be misused.)

    - EC_POINT_cmp shouldn't return 0 for ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED
      or EC_R_INCOMPATIBLE_OBJECTS errors because in a cmp API, 0 indicates
      equality (not an error).

    Reported by: king cope

crypto/armcap.c: fix typo in rdtsc subroutine.

PR: 3125
Submitted by: Kyle McMartin

Add support for Cygwin-x86_64.

PR: 3110
Submitted by Corinna Vinschen.

bsaes-armv7.pl: remove partial register operations in CTR subroutine.

bsaes-armv7.pl: remove byte order dependency and minor optimization.

Added support for ARM/NEON based bit sliced AES in XTS mode

Signed-off-by: Ard Biesheuvel <ard.biesheuvel@linaro.org>

Update CHANGES.

Tidy up comments.

Use TLS version supplied by client when fingerprinting Safari.

Fix compilation with no-ec and/or no-tlsext.

typo

Initialize next_proto in s_server - resolves incorrect attempts to free

Constification.

crypto/modes/asm/aesni-gcm-x86_64.pl: minor optimization.

Avoid occasional up to 8% performance drops.

crypto/bn/asm/x86_64-mont.pl: minor optimization.

Remove ancient PATENTS section and FAQ reference.

Partial path fix.

When verifying a partial path always check to see if the EE certificate
is explicitly trusted: the path could contain other untrusted certificates.

Document extension clash.

Experimental encrypt-then-mac support.

Experimental support for encrypt then mac from
draft-gutmann-tls-encrypt-then-mac-02.txt

To enable it set the appropriate extension number (0x10 for the test server)
using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x10

For non-compliant peers (i.e. just about everything) this should have no
effect.

Set TLS v1.2 disabled mask properly.

Const fix.

Free generated supp data after handshake completion, add comment regarding use of num_renegotiations in TLS and supp data generation callbacks

More cleanup.

Make it build.

Add callbacks supporting generation and retrieval of supplemental data entries, facilitating RFC 5878 (TLS auth extensions)
Removed prior audit proof logic - audit proof support was implemented using the generic TLS extension API
Tests exercising the new supplemental data registration and callback api can be found in ssltest.c.
Implemented changes to s_server and s_client to exercise supplemental data callbacks via the -auth argument, as well as additional flags to exercise supplemental data being sent only during renegotiation.

s/recommend/recommended/

misspellings fixes by https://github.com/vlajos/misspell_fixer

Clean up layout.

Add an "-xmpphost" option to s_client

 * Many XMPP servers are configured with multiple domains (virtual hosts)
 * In order to establish successfully the TLS connection you have to specify
   which virtual host you are trying to connect.
 * Test this, for example with ::
   * Fail:
       openssl s_client -connect talk.google.com:5222 -starttls xmpp
   * Works:
       openssl s_client -connect talk.google.com:5222 -starttls xmpp -xmpphost gmail.com

Add "xmpp" to the list of supported starttls protocols on s_client manpage

Fix infinite loop on s_client starttls xmpp

 * When the host used in "-connect" is not what the remote XMPP server expects
   the server will return an error like this:
     <stream:error>
       <host-unknown xmlns='urn:ietf:params:xml:ns:xmpp-streams'/>
     </stream:error>
 * But the actual code will stay on the loop forever because the stop condition
   "/stream:features>" will never happen,
 * Make this more robust: The stop condition should be that BIO_read failed
 * Test if for example with ::

    openssl s_client  -connect random.jabb3r.net:5222 -starttls xmpp

Fix XMPP code detection on s_client starttls xmpp

 * Some XMPP Servers (OpenFire) use double quotes.
 * This makes s_client starttls work with this servers.
 * Tested with OpenFire servers from http://xmpp.net/ ::

     openssl s_client -connect coderollers.com:5222 -starttls xmpp

Don't prefer ECDHE-ECDSA ciphers when the client appears to be Safari on OS X.
OS X 10.8..10.8.3 has broken support for ECDHE-ECDSA ciphers.

Document supported curve functions.

Document -force_pubkey option.

Correct ECDSA example.

Correctly test for no-ec.

Fix compile errors.

Typo: don't call RAND_cleanup during app startup.
(cherry picked from commit 90e7f983b573c3f3c722a02db4491a1b1cd87e8c)

Add documentation.

Preliminary documentation for chain and verify stores and certificate chain
setting functions.

Don't run ECDH CMS tests if EC disabled.

Make no-ec compilation work.

Return 1 when setting ECDH auto mode.

Add the server 'hang' issue to the FAQ

DTLS message_sequence number wrong in rehandshake ServerHello

This fix ensures that
* A HelloRequest is retransmitted if not responded by a ClientHello
* The HelloRequest "consumes" the sequence number 0. The subsequent
ServerHello uses the sequence number 1.
* The client also expects the sequence number of the ServerHello to
be 1 if a HelloRequest was received earlier.
This patch fixes the RFC violation.

DTLS handshake fix.

Reported by: Prashant Jaikumar <rmstar@gmail.com>

Fix handling of application data received before a handshake.

Fix for PEM_X509_INFO_read_bio.

PR: 3028
Fix bug introduced in PEM_X509_INFO_bio which wouldn't process RSA keys
correctly if they appeared first.

Update cms docs.

Add X9.42 DH test.

Add X9.42 DH certificate to S/MIME test

CMS RFC2631 X9.42 DH enveloped data support.

Add KDF for DH.

Add X9.42 DH KDF. Move sharedinfo generation code to CMS library as the
same structure is used by DH and ECDH.

Move ASN1_OBJECT typedef to ossl_typ.h so it can be picked up by dh headers
without the need to use ASN1.

Extend DH parameter generation support.

Add support for DH parameter generation using DSA methods including
FIPS 186-3.

Enhance DH dup functions.

Make DHparams_dup work properly with X9.42 DH parameters.

If present print j, seed and counter values for DH

Minor optimisation to KDF algorithm.

Don't need to use temporary buffer if remaining length equals digest length.

Algorithm parameter support.

Check and set AlgorithmIdenfier parameters for key wrap algorithms.
Currently these just set parameters to NULL.

crypto/evp/e_aes.c: fix logical pre-processor bug and formatting.

Bug would emerge when XTS is added to bsaes-armv7.pl. Pointed out by
Ard Biesheuvel of Linaro.

crypto/bn/asm/rsax-x86_64.pl: make it work on Darwin.

crypto/sha/asm/sha*-x86_64.pl: comply with Win64 ABI.

Various custom extension fixes.

Force no SSL2 when custom extensions in use.
Don't clear extension state when cert is set.
Clear on renegotiate.

Add tests for ALPN functionality.

Conflicts:
ssl/ssltest.c

Add a no-opt 64-bit target.

Support ALPN.

This change adds support for ALPN[1] in OpenSSL. ALPN is the IETF
blessed version of NPN and we'll be supporting both ALPN and NPN for
some time yet.

[1] https://tools.ietf.org/html/draft-ietf-tls-applayerprotoneg-00

Conflicts:
ssl/ssl3.h
ssl/t1_lib.c

Make ecdsatest work with nonces.

Update ecdsatest to use ECDSA_sign_setup and ECDSA_sign_ex, this
avoids the nonce generation which would otherwise break the test.

Reinstate ecdsatest.

Temporarily disable ECDSA test.

Disable ECDSA test temporarily: it is incompatible with ECDSA nonces.

New CMS tests.

Add some ECDH CMS tests.

Scripts to recreate S/MIME test certificates.

Add a script to generate keys and certificates for the S/MIME and CMS
tests.

Update certificates and add EC examples.

Custom key wrap option for cms utility.

Return correct enveloped data type in ASN1 methods.

For RSA and DSA keys return an appropriate RecipientInfo type. By setting
CMS_RECIPINFO_NONE for DSA keys an appropriate error is returned if
an attempt is made to use DSA with enveloped data.

Add support for ECDH KARI.

Add support for ECDH in enveloped data. The CMS ctrls for the EC ASN1
method decode/encode the appropriate parameters from the CMS ASN1 data
and send appropriate data to the EC public key method.

Add support for X9.62 KDF.

Add X9.62 KDF to EC EVP_PKEY_METHOD.

Add new OIDs from RFC5753

Add OIDs for KDF schemes from RFC5753 and add cross references for
each type and the appropriate digest to use.

CMS support for key agreeement recipient info.

Add hooks to support key agreement recipient info type (KARI) using
algorithm specific code in the relevant public key ASN1 method.

Set CMS EnvelopedData version correctly.

EVP support for wrapping algorithms.

Add support for key wrap algorithms via EVP interface.

Generalise AES wrap algorithm and add to modes, making existing
AES wrap algorithm a special case.

Move test code to evptests.txt

Typo.

Avoid need to change function code.

Keep original function names for nonce versions so we don't have to change
error function codes.

Make `safe' (EC)DSA nonces the default.

This change updates 8a99cb29 to make the generation of (EC)DSA nonces
using the message digest the default. It also reverts the changes to
(EC)DSA_METHOD structure.

In addition to making it the default, removing the flag from EC_KEY
means that FIPS modules will no longer have an ABI mismatch.

bn/asm/rsaz-avx2.pl: Windows-specific fix.

Fix verify loop with CRL checking.

PR #3090
Reported by: Franck Youssef <fry@open.ch>

If no new reason codes are obtained after checking a CRL exit with an
error to avoid repeatedly checking the same CRL.

This will only happen if verify errors such as invalid CRL scope are
overridden in a callback.

Clarify FIXME.

Note non-export of CC.

Support new rsaz asm stuff.

s/rsaz_eligible/rsaz_avx2_eligible/.

sha512-586.pl: fix typo.

Submitted by: Gisle Vanem

Remove RSAX engine, superseded by RSAZ module.

Take RSAZ modules into build loop, add glue and engage.

RT: 2582, 2850

Add RSAZ assembly modules.

RT: 2582, 2850

bn/asm/x86_86-mont.pl: optimize reduction for Intel Core family.

bn/bn_exp.c: harmonize.

Fix multiple cosmetic typos.

Initialise CMS signature buffer length properly.

config: fix executable format detection on latest FreeBSD.

Submitted by: Bryan Drewery
PR: 3075

bn/bn_exp.c: Solaris-specific fix, T4 MONTMUL relies on alloca.

x86_64-xlate.pl: Windows fixes.

aesni-sha256-x86_64.pl: fix typo in Windows SEH.