e_aes_cbc_hmac_sha1.c: align calculated MAC at cache line.

It also ensures that valgring is happy.

ssl/*: revert "remove SSL_RECORD->orig_len" and merge "fix IV".

Revert is appropriate because binary compatibility is not an issue
in 1.1.

Fix for EXP-RC2-CBC-MD5

MD5 should use little endian order. Fortunately the only ciphersuite
affected is EXP-RC2-CBC-MD5 (TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5) which
is a rarely used export grade ciphersuite.
(cherry picked from commit f306b87d766e6ecf30824635c7c395b67cff9dbc)

e_aes_cbc_hmac_sha1.c: cleanse temporary copy of HMAC secret.
(cherry picked from commit 529d27ea472fc2c7ba9190a15a58cb84012d4ec6)

e_aes_cbc_hmac_sha1.c: address the CBC decrypt timing issues.

Address CBC decrypt timing issues and reenable the AESNI+SHA1 stitch.
(cherry picked from commit 125093b59f3c2a2d33785b5563d929d0472f1721)

ssl/*: remove SSL3_RECORD->orig_len to restore binary compatibility.

Kludge alert. This is arranged by passing padding length in unused
bits of SSL3_RECORD->type, so that orig_len can be reconstructed.
(cherry picked from commit 8bfd4c659f180a6ce34f21c0e62956b362067fba)

Don't access EVP_MD_CTX internals directly.
(cherry picked from commit 04e45b52ee3be81121359cc1198fd01e38096e9f)

s3/s3_cbc.c: allow for compilations with NO_SHA256|512.
(cherry picked from commit d5371324d978e4096bf99b9d0fe71b2cb65d9dc8)

ssl/s3_cbc.c: md_state alignment portability fix.

RISCs are picky and alignment granted by compiler for md_state can be
insufficient for SHA512.
(cherry picked from commit 36260233e7e3396feed884d3f501283e0453c04f)

ssl/s3_cbc.c: uint64_t portability fix.

Break dependency on uint64_t. It's possible to declare bits as
unsigned int, because TLS packets are limited in size and 32-bit
value can't overflow.
(cherry picked from commit cab13fc8473856a43556d41d8dac5605f4ba1f91)

typo.
(cherry picked from commit 34ab3c8c711ff79c2b768f0b17e4b2a78fd1df5d)

Add ordinal for CRYPTO_memcmp: since this will affect multiple
branches it needs to be in a "gap".
(cherry picked from commit 81ce0e14e72e8e255ad1bd9c7cfaa47a6291919c)

Timing fix mitigation for FIPS mode.
We have to use EVP in FIPS mode so we can only partially mitigate
timing differences.

Make an extra call to EVP_DigestSignUpdate to hash additonal blocks
to cover any timing differences caused by removal of padding.
(cherry picked from commit b908e88ec15aa0a74805e3f2236fc4f83f2789c2)

Oops. Add missing file.
(cherry picked from commit 014265eb02e26f35c8db58e2ccbf100b0b2f0072)

Update DTLS code to match CBC decoding in TLS.

This change updates the DTLS code to match the constant-time CBC
behaviour in the TLS.
(cherry picked from commit 9f27de170d1b7bef3d46d41382dc4dafde8b3900)

Don't crash when processing a zero-length, TLS >= 1.1 record.

The previous CBC patch was bugged in that there was a path through enc()
in s3_pkt.c/d1_pkt.c which didn't set orig_len. orig_len would be left
at the previous value which could suggest that the packet was a
sufficient length when it wasn't.
(cherry picked from commit 6cb19b7681f600b2f165e4adc57547b097b475fd)

Make CBC decoding constant time.

This patch makes the decoding of SSLv3 and TLS CBC records constant
time. Without this, a timing side-channel can be used to build a padding
oracle and mount Vaudenay's attack.

This patch also disables the stitched AESNI+SHA mode pending a similar
fix to that code.

In order to be easy to backport, this change is implemented in ssl/,
rather than as a generic AEAD mode. In the future this should be changed
around so that HMAC isn't in ssl/, but crypto/ as FIPS expects.
(cherry picked from commit e130841bccfc0bb9da254dc84e23bc6a1c78a64e)

Add and use a constant-time memcmp.

This change adds CRYPTO_memcmp, which compares two vectors of bytes in
an amount of time that's independent of their contents. It also changes
several MAC compares in the code to use this over the standard memcmp,
which may leak information about the size of a matching prefix.
(cherry picked from commit 2ee798880a246d648ecddadc5b91367bee4a5d98)

Fix for trace code: SSL3 doesn't include a length value for
encrypted premaster secret value.

x86_64 assembly pack: keep making Windows build more robust.

PR: 2963 and a number of others

Don't use C++ style comments.

Fix warning: lenmax isn't used any more.

Don't include comp.h in cmd_cd.c if OPENSSL_NO_COMP set

fix domd

x86_64 assembly pack: make Windows build more robust.

PR: 2963 and a number of others

TABLE update.

Configure: update linux-mips* lines.

bn/asm/mips.pl: hardwire local call to bn_div_words.

sha512-ppc.pl: minimize stack frame.

gost2814789t.c: portability fixes.

Fix warnings.

Don't include comp.h if no-comp set.

Improve WINCE support.

Submitted by: Pierre Delaage

Merge branch 'master' of openssl.net:openssl

More .gitignore adjustments.

Merge branch 'master' of openssl.net:openssl

Remove kludge to use RC4 asm.

Build/test cleanly on MacOS.

gost_crypt.c: add assertions.

Submitted by: Seguei Leontiev
PR: 2821

engines/ccgost: add test case.

Submitted by: Serguei Leontiev
PR: 2821

sha512-ppc.pl: add PPC32 code, >2x improvement on in-order cores.

Remove extraneous brackets (clang doesn't like them).

Can't check a size_t for < 0.

Make "make depend" work on MacOS out of the box.

.gitignore adjustments

Typo (PR2959).

Fix some clang warnings.

Correct EVP_PKEY_verifyrecover to EVP_PKEY_verify_recover (RT 2955).

Change default bits to 1024

Add some missing files, make paths absolute.

Fix warning.

Initial .gitignore

make no-comp compile

make JPAKE work again, fix memory leaks

stop warning when compiling with no-comp

Portability fix: use BIO_snprintf and pick up strcasecmp alternative
definitions from e_os.h

missing tab

typo

Fix tocsp: we don't need -trust_other any more.

Fix typo.

Make partial chain checking work if we only have the EE certificate in
the trust store.

add missing newline

revert OCSP_basic_verify changes: they aren't needed now we support partial chain verification and can pass verify options to ocsp utility

Update test OCSP script "tocsp" to use shell functions and to use
December 17th as check date to avoid certificate expiry errors.

gost_crypt.c: more intuitive ceiling.

correct CHANGES

engines/cchost/gost_crypt.c: fix typo.

engines/e_capi.c: fix typo.

Submitted by: Pierre Delaage

engine/cchost: fix bugs.

PR: 2821
Submitted by: Dmitry Belyavsky, Serguei Leontiev

dso/dso_win32.c: fix compiler warning.

util/pl/VC-32.pl fix typo.

Use client version when deciding which cipher suites to disable.

util/pl/VC-32.pl: refresh, switch to ws2, add crypt32, fix typo (based on
suggestions from Pierre Delaage).

VC-32.pl: fix typo.

Submitted by: Pierre Delaage

d1_lib.c,bss_dgram.c: eliminate dependency on _ftime.

add -rmd option to set OCSP response signing digest

Check chain is not NULL before assuming we have a validated chain.

The modification to the OCSP helper purpose breaks normal OCSP verification.
It is no longer needed now we can trust partial chains.

Return success when the responder is active.

Don't verify our own responses.

typo

Add support for '-' as input and output filenames in ocsp utility.

Recognise verification arguments.

oops, revert, committed in error

apps/ocsp.c

Documentation improvements by Chris Palmer (Google).

fips/fipsld: improve cross-compile support.

Use new partial chain flag instead of modifying input parameters.

New verify flag to return success if we have any certificate in the
trusted store instead of the default which is to return an error if
we can't build the complete chain.

Document -pubkey.

Improve my 64-bit debug target.

add -crl_download option to s_server

add -cert_chain option to s_client

Make openssl verify return errors.

Update ignores.

Tabification. Remove accidental duplication.

revert SUITEB128ONLY patch, anything wanting to use P-384 can use SUITEB128 instead

add -badsig option to ocsp utility too.

allow ECDSA+SHA384 signature algorithm in SUITEB128ONLY mode

send out the raw SSL/TLS headers to the msg_callback and display them in SSL_trace

Fix OCSP checking.

typo

really fix automatic ;-)

documentation fixes