Commit #16325 fixed one thing but broke DH with certain moduli.

Fix from stable branch.

Add OIDs by CMP (RFC 4210) and CRMF (RFC 4211)

Submitted by: Martin Peylo <martinmeis@googlemail.com>

Fix duplicate error codes.

GOST ENGINE information.

1. Changes for s_client.c to make it return non-zero exit code in case
of handshake failure

2. Changes to x509_certificate_type function (crypto/x509/x509type.c) to
make it recognize GOST certificates as EVP_PKT_SIGN|EVP_PKT_EXCH
(required for s3_srvr to accept GOST client certificates).

3. Changes to EVP
- adding of function EVP_PKEY_CTX_get0_peerkey
- Make function EVP_PKEY_derive_set_peerkey work for context with
  ENCRYPT operation, because we use peerkey field in the context to
  pass non-ephemeral secret key to GOST encrypt operation.
- added EVP_PKEY_CTRL_SET_IV control command. It is really
  GOST-specific, but it is used in SSL code, so it has to go
  in some header file, available during libssl compilation

4. Fix to HMAC to avoid call of OPENSSL_cleanse on undefined data

5. Include des.h if KSSL_DEBUG is defined into some libssl files, to
  make debugging output which depends on constants defined there, work
  and other KSSL_DEBUG output fixes

6. Declaration of real GOST ciphersuites, two authentication methods
   SSL_aGOST94 and SSL_aGOST2001 and one key exchange method SSL_kGOST

7. Implementation  of these methods.

8. Support for sending unsolicited serverhello extension if GOST
  ciphersuite is selected. It is require for interoperability with
  CryptoPro CSP 3.0 and 3.6 and controlled by
  SSL_OP_CRYPTOPRO_TLSEXT_BUG constant.
  This constant is added to SSL_OP_ALL, because it does nothing, if
  non-GOST ciphersuite is selected, and all implementation of GOST
  include compatibility with CryptoPro.

9. Support for CertificateVerify message without length field. It is
   another CryptoPro bug, but support is made unconditional, because it
   does no harm for draft-conforming implementation.

10. In tls1_mac extra copy of stream mac context is no more done.
  When I've written currently commited code I haven't read
  EVP_DigestSignFinal manual carefully enough and haven't noticed that
  it does an internal digest ctx copying.

This implementation was tested against
1. CryptoPro CSP 3.6 client and server
2. Cryptopro CSP 3.0 server

Release OpenSSL 0.9.8g with various fixes to issues introduced with 0.9.8f

Fix from stable branch.

Don't let DTLS ChangeCipherSpec increment handshake sequence number.
PR: 1587

Don't lookup zero length session ID.
PR: 1591

Fix from stable branch.

Make ssl compile [from 098-stable, bug is masked by default].

Bunch of constifications.

Fix warnings in d1_both.c [from 0.9.8-stable].

DTLS fixes from 0.9.8-stable.

Synchronize CHANGES between 0.9.8 and HEAD.

0.9.8f.

Update CHANGES. Keep ordinals consistent.

New release.

Respect cookie length set by app_gen_cookie_cb.

Submitted by: Alex Lam

Make DTLS1 record layer MAC calculation RFC compliant.

Submitted by: Alex Lam

Addendum to commit #16654.

size_t-fy crypto/buffer.

ignore a few additionally generated files

Addendum to commit #16651.

Make it possible to link VC static lib with either /MT or /MD application.
PR: 1230

Prohibit RC4 in DTLS.

Fix from fips branch.

Off by one fix from stable branch.

Switch to bn-s390x (it's faster on keys longer than 512 bits) and mention
s390x assembler pack in CHANAGES.

Oops! This was erroneously left out commit #16632.

Basic idea behind explicit IV is to make it unpredictable for attacker.
Until now it was xor between CBC residue and 1st block from last datagram,
or in other words still predictable.

Make ChangeCipherSpec compliant with DTLS RFC4347.

DTLS RFC4347 says HelloVerifyRequest resets Finished MAC.

DTLS RFC4347 requires client to use rame random field in reply to
HelloVerifyRequest.

Switch to RFC-compliant version encoding in DTLS.

Move no status notification to ssl_check_serverhello_tlsext() to ensure
no status is notified even if no server extensions are present.

Typo.

Yet another ARM update. It appears to be more appropriate to make
developers responsible for -march choice.

Move -march=armv4t to ./config.

Minor ARMv4 update.

ARMv4 assembler pack.

10% performance tweak in 64-bit mode.

Support for certificate status TLS extension.

Make sha512-armv4.pl byte-order neutral.

Clarify commentary in sha512-sparcv9.pl.

Typos
PR: 1578
Submitted by: Charles Longeau <chl@tuxfamily.org>

Port from 0.9.8-stable

Use accept flag for new session ticket write.

properly handle length-zero opaque PRF input values
(which are pointless, but still might occur)

fix length parameter in SSL_set_tlsext_opaque_prf_input() calls

Implement the Opaque PRF Input TLS extension
(draft-rescorla-tls-opaque-prf-input-00.txt), and do some cleanups and
bugfixes on the way.  In particular, this fixes the buffer bounds
checks in ssl_add_clienthello_tlsext() and in ssl_add_serverhello_tlsext().

Note that the opaque PRF Input TLS extension is not compiled by default;
see CHANGES.

Fix indentation in d1_both.c.

Fix dependencies. Make depend.

The other half of make errors.

make errors.

fix warning

Clean up error codes a bit.
(engines/ccgost/ remains utter chaos, though; "make errors" is not happy.)

Addenum to "Constify obj_dat.[ch]."

Minor formatting fixes in crypto/sha/asm.

Wire RC4 key_table to read-only segment.

Constify obj_dat.[ch], as well as minimize linker relocations.

Wire DES weak_keys to read-only segment.

Eliminate redundant make rule.

Minimize stack utilization in probable_prime.

Remove excessive whitespaces from bio.h

Make sure that BN_from_montgomery keeps the BIGNUMS in proper format

Update from stable branch.

Update from stable branch.

Mention aes in enc.pod.
PR: 1529

Mention SHA2 in openssl.pod.
PR: 1575

Remove pq_compat.h.

Minor sha[256|512]-586 performance tweaks.

It's inappropraite to override application signal, nor is it appropriate
to shut down Winsock unless we know it won't be used [and we never do].
PR: 1439

Minor fix in link_[oa].hpux.

BSD run-time linkers apparently demand RPATH on .so objects.
PR: 1381

Make bn2dec work on "SIXTY_FOUR_BIT" platforms.
PR: 1456

Remove sha512-sse2.pl.

Engage new x86 assembler modules.

More Intel cc fix-ups.

Handle empty case in X509_NAME canonical encoding.

Commentary updates.

SHA512 for ARMv4.

SHA256/512 for x86.

Typo? Why did this work, anyway?

Fix warning: print format option not compatible with size_t.

Fix another warning.

Change safestack reimplementation to match 0.9.8.

Fix additional gcc 4.2 value not used warnings.

Fix warnings: computed value not use, incompatible pointer initialization
and cast from pointer to int of different size (linux-x86_64 and align).

Add sha512_block implementation optimized for small register bank.
On x86 it gives same performance, while code size shrinks >10 times.

Update ssl code to support digests other than MD5+SHA1 in handshake.

Submitted by: Victor B. Wagner <vitus@cryptocom.ru>

Constify seed and md2.

Offer darwin64-x86_64-cc as option.

Compress and more aggressively constify ec_curve.c [the latter is
achieved by minimizing link relocations].

Check return code when attempting to receive new session ticket message.

Unify RC4 settings among darwin platforms.

Add darwin64-x86_64-cc target.

aes_ige suffered SIGBUS on RISC platforms.

Improve cache locality in linux64-sparcv9.

Make naming more consistent.