Cleanup of custom extension stuff.

serverinfo rejects non-empty extensions.

Omit extension if no relevant serverinfo data.

Improve error-handling in serverinfo callback.

Cosmetic cleanups.

s_client documentation.

s_server documentation.

SSL_CTX_serverinfo documentation.

Cleaup -1 and NULL callback handling for custom extensions, add tests.

Cleanup ssl_rsa.c serverinfo code.

Whitespace cleanup.

Improve comments in ssl.h for serverinfo.

Whitespace.

Cosmetic cleanup.

Reject non-zero-len serverinfo extensions.

Whitespace.

Make it build.

SPARC T4 DES support: fix typo.

Optimize SPARC T4 MONTMUL support.

Improve RSA sing performance by 20-30% by:
- switching from floating-point to integer conditional moves;
- daisy-chaining sqr-sqr-sqr-sqr-sqr-mul sequences;
- using MONTMUL even during powers table setup;

PA-RISC assembler pack: switch to bve in 64-bit builds.

PR: 3074

Add secure DSA nonce flag.

This change adds the option to calculate (EC)DSA nonces by hashing the
message and private key along with entropy to avoid leaking the private
key if the PRNG fails.

Limit the number of empty records that will be processed consecutively
in order to prevent ssl3_get_record from never returning.

Reported by "oftc_must_be_destroyed" and George Kadianakis.

Don't SEGFAULT when trying to export a public DSA key as a private key.

This change alters the processing of invalid, RSA pre-master secrets so
that bad encryptions are treated like random session keys in constant
time.

Ignore one-makefile stuff.

Document updates from wiki.

PR#3071

The primary changes made are:
- Updates to the "NAME" section of many pages to correctly reflect the
functions defined on those pages. This section is automatically parsed
by the util/extract-names.pl script, so if it is not correct then
running "man" will not correctly locate the right manual pages.
- Updates to take account of where functions are now deprecated
- Full documentation of the ec sub-library
- A number of other typo corrections and other minor tweaks

Exetended OAEP support.

Extend OAEP support. Generalise the OAEP padding functions to support
arbitrary digests. Extend EVP_PKEY RSA method to handle the new OAEP
padding functions and add ctrls to set the additional parameters.

Typo.

Add support for arbitrary TLS extensions.

Contributed by Trevor Perrin.

Add aesni-sha256-x86_64.

aesni-sha1-x86_64.pl: update performance data.

aesni-sha256-x86_64.pl: harmonize with latest sha512-x86_64.pl.

sha1-x86_64.pl: add AVX2+BMI code path.

sha512-x86_64.pl: upcoming-Atom-specific optimization.

sha[256|512]-586.pl: add more SIMD code paths.

ghash-x86_64.pl: add Haswell performance data.

x86cpuid.pl: fix extended feature flags detection.

Fix PSS signature printing.

Fix PSS signature printing: consistently use 0x prefix for hex values for
padding length and trailer fields.

Reencode with X509_CRL_ctx_sign too.

Ensure that, when generating small primes, the result is actually of the
requested size. Fixes OpenSSL #2701.

This change does not address the cases of generating safe primes, or
where the |add| parameter is non-NULL.

Conflicts:
crypto/bn/bn.h
crypto/bn/bn_err.c

Ensure that x**0 mod 1 = 0.

Add volatile qualifications to two blocks of inline asm to stop GCC from
eliminating them as dead code.

Both volatile and "memory" are used because of some concern that the compiler
may still cache values across the asm block without it, and because this was
such a painful debugging session that I wanted to ensure that it's never
repeated.

Remove added ;.

Missing prototypes.

crypto/bn/bn_exp.c: SPARC portability fix.

aesni-x86_64.pl: optimize XTS.

PR: 3042

aesni-sha1-x86_64.pl: Atom-specific optimization.

sha512-x86_64.pl: +16% optimization for Atom.

(and pending AVX2 changes).

vpaes-x86[_64].pl: minor Atom-specific optimization.

Add AES-SHA256 stitch.

x86_64-xlate.pl: minor size/performance improvement.

aesni-x86_64.pl: minor CTR performance improvement.

Tests pass!

Ugly hack to avoid recompiling the same thing multiple times in parallel.

Reencode certificates in X509_sign_ctx.

Reencode certificates in X509_sign_ctx as well as X509_sign.

This was causing a problem in the x509 application when it modified an
existing certificate.

bsaes-armv7.pl: add bsaes_cbc_encrypt and bsaes_ctr32_encrypt_blocks.

Submitted by: Ard Biesheuvel <ard.biesheuvel@linaro.org>

Contributor claims ~50% improvement in CTR and ~9% in CBC decrypt
on Cortex-A15.

bsaes-armv7.pl: take it into build loop.

Typo.

Fix Windows linking error in GOST test case.

crypto/modes/modes_lcl.h: let STRICT_ALIGNMENT be on ARMv7.

While ARMv7 in general is capable of unaligned access, not all instructions
actually are. And trouble is that compiler doesn't seem to differentiate
those capable and incapable of unaligned access. Side effect is that kernel
goes into endless loop retrying same instruction triggering unaligned trap.
Problem was observed in xts128.c and ccm128.c modules. It's possible to
resolve it by using (volatile u32*) casts, but letting STRICT_ALIGNMENT
be feels more appropriate.

Suite B support for DTLS 1.2

Check for Suite B support using method flags instead of version numbers:
anything supporting TLS 1.2 cipher suites will also support Suite B.

Return an error if an attempt to use DTLS 1.0 is made in Suite B mode.

Always return errors in ssl3_get_client_hello

If we successfully match a cookie don't set return value to 2 as this
results in other error conditions returning 2 as well.

Instead set return value to -2 which can be checked later if everything
else is OK.

Dual DTLS version methods.

Add new methods DTLS_*_method() which support both DTLS 1.0 and DTLS 1.2 and
pick the highest version the peer supports during negotiation.

As with SSL/TLS options can change this behaviour specifically
SSL_OP_NO_DTLSv1 and SSL_OP_NO_DTLSv1_2.

Set s->d1 to NULL after freeing it.

Asm build portability.

Don't use Win32 specific options in mk1mf.pl to build assembly language
files.

Make sure all tests are actually run, plus some fixups for things that
turn out to be made somewhere by existing Makefiles.

Use original alltests target for definitive test list.

Missing semicolon.

Fix non-copy builds.

Only use -MMD and .sinclude in copy builds: other platforms don't
support them.

Missing file.

Make executable.

Helper scripts for one makefile build.

Merge, go back to copy-if-different.

Fix test_ss.

Add new asm target.

Show start/end of tests.

Avoid collisions.

Make session ID test work.

Make S/MIME test work.

Make RSA test work.

Make PKCS#7 test work.

Make OCSP test work.

More progress towards working tests.

Get closer to a working single Makefile with test support.

Fix warnings.

Make TLS 1.2 ciphers work again.

Since s->method does not reflect the final client version when a client
hello is sent for SSLv23_client_method it can't be relied on to indicate
if TLS 1.2 ciphers should be used. So use the client version instead.

cryptlib.c: fix typo in OPENSSL_showfatal.

aesni-x86_64.pl: optimize CBC decrypt.

Give CBC decrypt approximately same treatment as to CTR and collect 25%.

e_aes.c: reserve for future extensions.

gcm128.c: fix linking problems in 32-bit Windows build.

dest4-sparcv9.pl: add clarification comment.

evptests.txt: add XTS test vectors

Use $(PERL) when calling scripts in mk1mf.pl

Typo.

Add support for SPARC T4 DES opcode.

des_enc.m4: add missing #include.

Submitted by: David Miller

Add AES-NI GCM stitch.

aesni-x86_64.pl: fix typo and optimize small block performance.

Call RAND_cleanup in openssl application.
(cherry picked from commit 944bc29f9004cf8851427ebfa83ee70b8399da57)

Enable TLS 1.2 ciphers in DTLS 1.2.

Port TLS 1.2 GCM code to DTLS. Enable use of TLS 1.2 only ciphers when in
DTLS 1.2 mode too.

Update fixed DH requirements.

The relaxed signing requirements for fixed DH certificates apply to DTLS 1.2
too.

DTLS 1.2 cached record support.

Add DTLS1.2 support for cached records when computing handshake macs
instead of the MD5+SHA1 case for DTLS < 1.2 (this is a port of the
equivalent TLS 1.2 code to DTLS).

Make binary curve ASN.1 work in FIPS mode.

Don't check for binary curves by checking methods: the values will
be different in FIPS mode as they are redirected to the validated module
version.

Provisional DTLS 1.2 support.

Add correct flags for DTLS 1.2, update s_server and s_client to handle
DTLS 1.2 methods.

Currently no support for version negotiation: i.e. if client/server selects
DTLS 1.2 it is that or nothing.

Remove versions test from dtls1_buffer_message

Since this is always called from DTLS code it is safe to assume the header
length should be the DTLS value. This avoids the need to check the version
number and should work with any version of DTLS (not just 1.0).

Extend DTLS method macros.

Extend DTLS method creation macros to support version numbers and encryption
methods. Update existing code.

Enable various DTLS extensions.

Some TLS extensions were disabled for DTLS. Possibly because they caused
problems with the old duplicated code. Enable them again.

aesni-x86_64.pl: optimize CTR even further.

Based on suggestions from Shay Gueron and Vlad Krasnov.
PR: 3021

ghash-x86_64.pl: add AVX code path.

aesni-x86_64.pl: optimize CTR even further.

ghash-x86_64.pl: minor optimization.

Disable compression for DTLS.

The only standard compression method is stateful and is incompatible with
DTLS.

Typo.

e_aes_cbc_hmac_sha1.c: fix rare bad record mac on AES-NI plaforms.

PR: 3002

Use enc_flags when deciding protocol variations.

Use the enc_flags field to determine whether we should use explicit IV,
signature algorithms or SHA256 default PRF instead of hard coding which
versions support each requirement.

Use appropriate versions of SSL3_ENC_METHOD