Limit the number of empty records that will be processed consecutively
in order to prevent ssl3_get_record from never returning.

Reported by "oftc_must_be_destroyed" and George Kadianakis.

Don't SEGFAULT when trying to export a public DSA key as a private key.

This change alters the processing of invalid, RSA pre-master secrets so
that bad encryptions are treated like random session keys in constant
time.

Ignore one-makefile stuff.

Document updates from wiki.

PR#3071

The primary changes made are:
- Updates to the "NAME" section of many pages to correctly reflect the
functions defined on those pages. This section is automatically parsed
by the util/extract-names.pl script, so if it is not correct then
running "man" will not correctly locate the right manual pages.
- Updates to take account of where functions are now deprecated
- Full documentation of the ec sub-library
- A number of other typo corrections and other minor tweaks

Exetended OAEP support.

Extend OAEP support. Generalise the OAEP padding functions to support
arbitrary digests. Extend EVP_PKEY RSA method to handle the new OAEP
padding functions and add ctrls to set the additional parameters.

Typo.

Add support for arbitrary TLS extensions.

Contributed by Trevor Perrin.

Add aesni-sha256-x86_64.

aesni-sha1-x86_64.pl: update performance data.

aesni-sha256-x86_64.pl: harmonize with latest sha512-x86_64.pl.

sha1-x86_64.pl: add AVX2+BMI code path.

sha512-x86_64.pl: upcoming-Atom-specific optimization.

sha[256|512]-586.pl: add more SIMD code paths.

ghash-x86_64.pl: add Haswell performance data.

x86cpuid.pl: fix extended feature flags detection.

Fix PSS signature printing.

Fix PSS signature printing: consistently use 0x prefix for hex values for
padding length and trailer fields.

Reencode with X509_CRL_ctx_sign too.

Ensure that, when generating small primes, the result is actually of the
requested size. Fixes OpenSSL #2701.

This change does not address the cases of generating safe primes, or
where the |add| parameter is non-NULL.

Conflicts:
crypto/bn/bn.h
crypto/bn/bn_err.c

Ensure that x**0 mod 1 = 0.

Add volatile qualifications to two blocks of inline asm to stop GCC from
eliminating them as dead code.

Both volatile and "memory" are used because of some concern that the compiler
may still cache values across the asm block without it, and because this was
such a painful debugging session that I wanted to ensure that it's never
repeated.

Remove added ;.

Missing prototypes.

crypto/bn/bn_exp.c: SPARC portability fix.

aesni-x86_64.pl: optimize XTS.

PR: 3042

aesni-sha1-x86_64.pl: Atom-specific optimization.

sha512-x86_64.pl: +16% optimization for Atom.

(and pending AVX2 changes).

vpaes-x86[_64].pl: minor Atom-specific optimization.

Add AES-SHA256 stitch.

x86_64-xlate.pl: minor size/performance improvement.

aesni-x86_64.pl: minor CTR performance improvement.

Tests pass!

Ugly hack to avoid recompiling the same thing multiple times in parallel.

Reencode certificates in X509_sign_ctx.

Reencode certificates in X509_sign_ctx as well as X509_sign.

This was causing a problem in the x509 application when it modified an
existing certificate.

bsaes-armv7.pl: add bsaes_cbc_encrypt and bsaes_ctr32_encrypt_blocks.

Submitted by: Ard Biesheuvel <ard.biesheuvel@linaro.org>

Contributor claims ~50% improvement in CTR and ~9% in CBC decrypt
on Cortex-A15.

bsaes-armv7.pl: take it into build loop.

Typo.

Fix Windows linking error in GOST test case.

crypto/modes/modes_lcl.h: let STRICT_ALIGNMENT be on ARMv7.

While ARMv7 in general is capable of unaligned access, not all instructions
actually are. And trouble is that compiler doesn't seem to differentiate
those capable and incapable of unaligned access. Side effect is that kernel
goes into endless loop retrying same instruction triggering unaligned trap.
Problem was observed in xts128.c and ccm128.c modules. It's possible to
resolve it by using (volatile u32*) casts, but letting STRICT_ALIGNMENT
be feels more appropriate.

Suite B support for DTLS 1.2

Check for Suite B support using method flags instead of version numbers:
anything supporting TLS 1.2 cipher suites will also support Suite B.

Return an error if an attempt to use DTLS 1.0 is made in Suite B mode.

Always return errors in ssl3_get_client_hello

If we successfully match a cookie don't set return value to 2 as this
results in other error conditions returning 2 as well.

Instead set return value to -2 which can be checked later if everything
else is OK.

Dual DTLS version methods.

Add new methods DTLS_*_method() which support both DTLS 1.0 and DTLS 1.2 and
pick the highest version the peer supports during negotiation.

As with SSL/TLS options can change this behaviour specifically
SSL_OP_NO_DTLSv1 and SSL_OP_NO_DTLSv1_2.

Set s->d1 to NULL after freeing it.

Asm build portability.

Don't use Win32 specific options in mk1mf.pl to build assembly language
files.

Make sure all tests are actually run, plus some fixups for things that
turn out to be made somewhere by existing Makefiles.

Use original alltests target for definitive test list.

Missing semicolon.

Fix non-copy builds.

Only use -MMD and .sinclude in copy builds: other platforms don't
support them.

Missing file.

Make executable.

Helper scripts for one makefile build.

Merge, go back to copy-if-different.

Fix test_ss.

Add new asm target.

Show start/end of tests.

Avoid collisions.

Make session ID test work.

Make S/MIME test work.

Make RSA test work.

Make PKCS#7 test work.

Make OCSP test work.

More progress towards working tests.

Get closer to a working single Makefile with test support.

Fix warnings.

Make TLS 1.2 ciphers work again.

Since s->method does not reflect the final client version when a client
hello is sent for SSLv23_client_method it can't be relied on to indicate
if TLS 1.2 ciphers should be used. So use the client version instead.

cryptlib.c: fix typo in OPENSSL_showfatal.

aesni-x86_64.pl: optimize CBC decrypt.

Give CBC decrypt approximately same treatment as to CTR and collect 25%.

e_aes.c: reserve for future extensions.

gcm128.c: fix linking problems in 32-bit Windows build.

dest4-sparcv9.pl: add clarification comment.

evptests.txt: add XTS test vectors

Use $(PERL) when calling scripts in mk1mf.pl

Typo.

Add support for SPARC T4 DES opcode.

des_enc.m4: add missing #include.

Submitted by: David Miller

Add AES-NI GCM stitch.

aesni-x86_64.pl: fix typo and optimize small block performance.

Call RAND_cleanup in openssl application.
(cherry picked from commit 944bc29f9004cf8851427ebfa83ee70b8399da57)

Enable TLS 1.2 ciphers in DTLS 1.2.

Port TLS 1.2 GCM code to DTLS. Enable use of TLS 1.2 only ciphers when in
DTLS 1.2 mode too.

Update fixed DH requirements.

The relaxed signing requirements for fixed DH certificates apply to DTLS 1.2
too.

DTLS 1.2 cached record support.

Add DTLS1.2 support for cached records when computing handshake macs
instead of the MD5+SHA1 case for DTLS < 1.2 (this is a port of the
equivalent TLS 1.2 code to DTLS).

Make binary curve ASN.1 work in FIPS mode.

Don't check for binary curves by checking methods: the values will
be different in FIPS mode as they are redirected to the validated module
version.

Provisional DTLS 1.2 support.

Add correct flags for DTLS 1.2, update s_server and s_client to handle
DTLS 1.2 methods.

Currently no support for version negotiation: i.e. if client/server selects
DTLS 1.2 it is that or nothing.

Remove versions test from dtls1_buffer_message

Since this is always called from DTLS code it is safe to assume the header
length should be the DTLS value. This avoids the need to check the version
number and should work with any version of DTLS (not just 1.0).

Extend DTLS method macros.

Extend DTLS method creation macros to support version numbers and encryption
methods. Update existing code.

Enable various DTLS extensions.

Some TLS extensions were disabled for DTLS. Possibly because they caused
problems with the old duplicated code. Enable them again.

aesni-x86_64.pl: optimize CTR even further.

Based on suggestions from Shay Gueron and Vlad Krasnov.
PR: 3021

ghash-x86_64.pl: add AVX code path.

aesni-x86_64.pl: optimize CTR even further.

ghash-x86_64.pl: minor optimization.

Disable compression for DTLS.

The only standard compression method is stateful and is incompatible with
DTLS.

Typo.

e_aes_cbc_hmac_sha1.c: fix rare bad record mac on AES-NI plaforms.

PR: 3002

Use enc_flags when deciding protocol variations.

Use the enc_flags field to determine whether we should use explicit IV,
signature algorithms or SHA256 default PRF instead of hard coding which
versions support each requirement.

Use appropriate versions of SSL3_ENC_METHOD

DTLS revision.

Revise DTLS code. There was a *lot* of code duplication in the
DTLS code that generates records. This makes it harder to maintain and
sometimes a TLS update is omitted by accident from the DTLS code.

Specifically almost all of the record generation functions have code like
this:

some_pointer = buffer + HANDSHAKE_HEADER_LENGTH;
... Record creation stuff ...
set_handshake_header(ssl, SSL_MT_SOMETHING, message_len);

...

write_handshake_message(ssl);

Where the "Record creation stuff" is identical between SSL/TLS and DTLS or
in some cases has very minor differences.

By adding a few fields to SSL3_ENC to include the header length, some flags
and function pointers for handshake header setting and handshake writing the
code can cope with both cases.

Note: although this passes "make test" and some simple DTLS tests there may
be some minor differences in the DTLS code that have to be accounted for.

Avoid unnecessary fragmentation.

Encode INTEGER correctly.

If an ASN1_INTEGER structure is allocated but not explicitly set encode
it as zero: don't generate an invalid zero length INTEGER.
(cherry picked from commit 1643edc63c3e15b6db5a15a728bc288f2cc2bbc7)

Typo.
(cherry picked from commit 1546fb780bc11556a18d70c5fb29af4a9d5beaff)

DTLS trace support.

Add DTLS record header parsing, different client hello format and add
HelloVerifyRequest message type.

Add code to d1_pkt.c to send message headers to the message callback.