aesni-x86_64.pl: optimize CBC decrypt.

Give CBC decrypt approximately same treatment as to CTR and collect 25%.

e_aes.c: reserve for future extensions.

gcm128.c: fix linking problems in 32-bit Windows build.

dest4-sparcv9.pl: add clarification comment.

evptests.txt: add XTS test vectors

Use $(PERL) when calling scripts in mk1mf.pl

Typo.

Add support for SPARC T4 DES opcode.

des_enc.m4: add missing #include.

Submitted by: David Miller

Add AES-NI GCM stitch.

aesni-x86_64.pl: fix typo and optimize small block performance.

Call RAND_cleanup in openssl application.
(cherry picked from commit 944bc29f9004cf8851427ebfa83ee70b8399da57)

Enable TLS 1.2 ciphers in DTLS 1.2.

Port TLS 1.2 GCM code to DTLS. Enable use of TLS 1.2 only ciphers when in
DTLS 1.2 mode too.

Update fixed DH requirements.

The relaxed signing requirements for fixed DH certificates apply to DTLS 1.2
too.

DTLS 1.2 cached record support.

Add DTLS1.2 support for cached records when computing handshake macs
instead of the MD5+SHA1 case for DTLS < 1.2 (this is a port of the
equivalent TLS 1.2 code to DTLS).

Make binary curve ASN.1 work in FIPS mode.

Don't check for binary curves by checking methods: the values will
be different in FIPS mode as they are redirected to the validated module
version.

Provisional DTLS 1.2 support.

Add correct flags for DTLS 1.2, update s_server and s_client to handle
DTLS 1.2 methods.

Currently no support for version negotiation: i.e. if client/server selects
DTLS 1.2 it is that or nothing.

Remove versions test from dtls1_buffer_message

Since this is always called from DTLS code it is safe to assume the header
length should be the DTLS value. This avoids the need to check the version
number and should work with any version of DTLS (not just 1.0).

Extend DTLS method macros.

Extend DTLS method creation macros to support version numbers and encryption
methods. Update existing code.

Enable various DTLS extensions.

Some TLS extensions were disabled for DTLS. Possibly because they caused
problems with the old duplicated code. Enable them again.

aesni-x86_64.pl: optimize CTR even further.

Based on suggestions from Shay Gueron and Vlad Krasnov.
PR: 3021

ghash-x86_64.pl: add AVX code path.

aesni-x86_64.pl: optimize CTR even further.

ghash-x86_64.pl: minor optimization.

Disable compression for DTLS.

The only standard compression method is stateful and is incompatible with
DTLS.

Typo.

e_aes_cbc_hmac_sha1.c: fix rare bad record mac on AES-NI plaforms.

PR: 3002

Use enc_flags when deciding protocol variations.

Use the enc_flags field to determine whether we should use explicit IV,
signature algorithms or SHA256 default PRF instead of hard coding which
versions support each requirement.

Use appropriate versions of SSL3_ENC_METHOD

DTLS revision.

Revise DTLS code. There was a *lot* of code duplication in the
DTLS code that generates records. This makes it harder to maintain and
sometimes a TLS update is omitted by accident from the DTLS code.

Specifically almost all of the record generation functions have code like
this:

some_pointer = buffer + HANDSHAKE_HEADER_LENGTH;
... Record creation stuff ...
set_handshake_header(ssl, SSL_MT_SOMETHING, message_len);

...

write_handshake_message(ssl);

Where the "Record creation stuff" is identical between SSL/TLS and DTLS or
in some cases has very minor differences.

By adding a few fields to SSL3_ENC to include the header length, some flags
and function pointers for handshake header setting and handshake writing the
code can cope with both cases.

Note: although this passes "make test" and some simple DTLS tests there may
be some minor differences in the DTLS code that have to be accounted for.

Avoid unnecessary fragmentation.

Encode INTEGER correctly.

If an ASN1_INTEGER structure is allocated but not explicitly set encode
it as zero: don't generate an invalid zero length INTEGER.
(cherry picked from commit 1643edc63c3e15b6db5a15a728bc288f2cc2bbc7)

Typo.
(cherry picked from commit 1546fb780bc11556a18d70c5fb29af4a9d5beaff)

DTLS trace support.

Add DTLS record header parsing, different client hello format and add
HelloVerifyRequest message type.

Add code to d1_pkt.c to send message headers to the message callback.

evptests.txt: additional GCM test vectors.

GCM and CCM test support

Add code to support GCM an CCM modes in evp_test. On encrypt this
will compare the expected ciphertext and tag. On decrypt it will
compare the expected plaintext: tag comparison is done internally.

Add a simple CCM test case and convert all tests from crypto/modes/gcm128.c

Add CCM ciphers to tables.

ghash-x86_64.pl: fix length handling bug.

Thanks to Shay Gueron & Vlad Krasnov for report.

typo

Initial CCM code.

Simple example of CCM code use: translated from the FIPS self tests.

Use CFLAG for LFLAGS instead of the nonexistent CFLAGS.

Ignore mk1mf.pl output directories.

Remove unused variable.

Actually comment out the cpuid asm!

Merge branch 'master' of openssl.net:openssl

Conflicts:
util/mk1mf.pl

Fix WIN32 build.

Make assembly language handling conditional on the "copy" platform
as Windows does its own thing here.

x86cpuid.pl: make it work with older CPUs.

PR: 3005

Only copy headers if they've changed.

Don't make CPUID stuff twice.

Handle assembler files.

Missing MINFO generation.

Override local vars for MINFO build.

Allow variables to be overridden on the command line.

Take the first definition of a variable.

Use "copy" instead of "auto".

Remove pointless diagnostic.

Preserve the C compiler.

Inherit CFLAGS when plaform is "auto".

Include correctly.

Remove empty command.

Spelling.

Add dependency on destination directory.

Spelling.

Add reallyclean target.

x86_64-gf2m.pl: fix typo.

x86_64-gf2m.pl: add missing Windows build fix for #2963.

PR: 3004

Ignore MINFO.

Missing files target.

Add function CMS_RecipientInfo_encrypt

Add CMS_RecipientInfo_encrypt: this function encrypts an existing content
encryption key to match the key in the RecipientInfo structure: this is
useful if a new recpient is added to and existing enveloped data structure.

Add documentation.

Fix error codes.

Demo code for SSL_CONF API

Two example programs one for command line argument processing and
one for configuration file processing.

Update SSL_CONF docs.

Fix some typos and update version number first added: it has now been
backported to OpenSSL 1.0.2.

Fix ignored return value warnings.

Not sure why I am getting these now and not before.

make depend.

Fix POD errors to stop make install_docs dying with pod2man 2.5.0+

podlators 2.5.0 has switched to dying on POD syntax errors. This means
that a bunch of long-standing erroneous POD in the openssl documentation
now leads to fatal errors from pod2man, halting installation.

Unfortunately POD constraints mean that you have to sort numeric lists
in ascending order if they start with 1: you cannot do 1, 0, 2 even if
you want 1 to appear first. I've reshuffled such (alas, I wish there
were a better way but I don't know of one).

sha256-586.pl: code refresh.

sha1-586.pl: code refresh.

ghash-x86[_64].pl: code refresh.

[aesni-]sha1-x86_64.pl: code refresh.

sha512-x86_64.pl: add AVX2 code path.

bn_nist.c: work around clang 3.0 bug.

Upate FAQ.

Add description of "allocate and encode" operation for ASN1 routines.

Document how versioning will for after the letter release reaches
y.

Check DTLS_BAD_VER for version number.

The version check for DTLS1_VERSION was redundant as
DTLS1_VERSION > TLS1_1_VERSION, however we do need to
check for DTLS1_BAD_VER for compatibility.

PR:2984

Fix in ssltest is no-ssl2 configured
(cherry picked from commit cbf9b4aed3e209fe8a39e1d6f55aaf46d1369dc4)

update FAQ

FAQ/README: we are now using Git instead of CVS
(cherry picked from commit f88dbb8385c199a2a28e9525c6bba3a64bda96af)

sparccpuid.S: work around emulator bug on T1.

s3_cbc.c: make CBC_MAC_ROTATE_IN_PLACE universal.

s3_cbc.c: get rid of expensive divisions.

s3_cbc.c: fix warning [in Windows build].

e_aes_cbc_hmac_sha1.c: align calculated MAC at cache line.

It also ensures that valgring is happy.

ssl/*: revert "remove SSL_RECORD->orig_len" and merge "fix IV".

Revert is appropriate because binary compatibility is not an issue
in 1.1.

Fix for EXP-RC2-CBC-MD5

MD5 should use little endian order. Fortunately the only ciphersuite
affected is EXP-RC2-CBC-MD5 (TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5) which
is a rarely used export grade ciphersuite.
(cherry picked from commit f306b87d766e6ecf30824635c7c395b67cff9dbc)

e_aes_cbc_hmac_sha1.c: cleanse temporary copy of HMAC secret.
(cherry picked from commit 529d27ea472fc2c7ba9190a15a58cb84012d4ec6)

e_aes_cbc_hmac_sha1.c: address the CBC decrypt timing issues.

Address CBC decrypt timing issues and reenable the AESNI+SHA1 stitch.
(cherry picked from commit 125093b59f3c2a2d33785b5563d929d0472f1721)

ssl/*: remove SSL3_RECORD->orig_len to restore binary compatibility.

Kludge alert. This is arranged by passing padding length in unused
bits of SSL3_RECORD->type, so that orig_len can be reconstructed.
(cherry picked from commit 8bfd4c659f180a6ce34f21c0e62956b362067fba)

Don't access EVP_MD_CTX internals directly.
(cherry picked from commit 04e45b52ee3be81121359cc1198fd01e38096e9f)

s3/s3_cbc.c: allow for compilations with NO_SHA256|512.
(cherry picked from commit d5371324d978e4096bf99b9d0fe71b2cb65d9dc8)

ssl/s3_cbc.c: md_state alignment portability fix.

RISCs are picky and alignment granted by compiler for md_state can be
insufficient for SHA512.
(cherry picked from commit 36260233e7e3396feed884d3f501283e0453c04f)

ssl/s3_cbc.c: uint64_t portability fix.

Break dependency on uint64_t. It's possible to declare bits as
unsigned int, because TLS packets are limited in size and 32-bit
value can't overflow.
(cherry picked from commit cab13fc8473856a43556d41d8dac5605f4ba1f91)