DTLS message_sequence number wrong in rehandshake ServerHello

This fix ensures that
* A HelloRequest is retransmitted if not responded by a ClientHello
* The HelloRequest "consumes" the sequence number 0. The subsequent
ServerHello uses the sequence number 1.
* The client also expects the sequence number of the ServerHello to
be 1 if a HelloRequest was received earlier.
This patch fixes the RFC violation.

DTLS handshake fix.

Reported by: Prashant Jaikumar <rmstar@gmail.com>

Fix handling of application data received before a handshake.

Fix for PEM_X509_INFO_read_bio.

PR: 3028
Fix bug introduced in PEM_X509_INFO_bio which wouldn't process RSA keys
correctly if they appeared first.

Update cms docs.

Add X9.42 DH test.

Add X9.42 DH certificate to S/MIME test

CMS RFC2631 X9.42 DH enveloped data support.

Add KDF for DH.

Add X9.42 DH KDF. Move sharedinfo generation code to CMS library as the
same structure is used by DH and ECDH.

Move ASN1_OBJECT typedef to ossl_typ.h so it can be picked up by dh headers
without the need to use ASN1.

Extend DH parameter generation support.

Add support for DH parameter generation using DSA methods including
FIPS 186-3.

Enhance DH dup functions.

Make DHparams_dup work properly with X9.42 DH parameters.

If present print j, seed and counter values for DH

Minor optimisation to KDF algorithm.

Don't need to use temporary buffer if remaining length equals digest length.

Algorithm parameter support.

Check and set AlgorithmIdenfier parameters for key wrap algorithms.
Currently these just set parameters to NULL.

crypto/evp/e_aes.c: fix logical pre-processor bug and formatting.

Bug would emerge when XTS is added to bsaes-armv7.pl. Pointed out by
Ard Biesheuvel of Linaro.

crypto/bn/asm/rsax-x86_64.pl: make it work on Darwin.

crypto/sha/asm/sha*-x86_64.pl: comply with Win64 ABI.

Various custom extension fixes.

Force no SSL2 when custom extensions in use.
Don't clear extension state when cert is set.
Clear on renegotiate.

Add tests for ALPN functionality.

Conflicts:
ssl/ssltest.c

Add a no-opt 64-bit target.

Support ALPN.

This change adds support for ALPN[1] in OpenSSL. ALPN is the IETF
blessed version of NPN and we'll be supporting both ALPN and NPN for
some time yet.

[1] https://tools.ietf.org/html/draft-ietf-tls-applayerprotoneg-00

Conflicts:
ssl/ssl3.h
ssl/t1_lib.c

Make ecdsatest work with nonces.

Update ecdsatest to use ECDSA_sign_setup and ECDSA_sign_ex, this
avoids the nonce generation which would otherwise break the test.

Reinstate ecdsatest.

Temporarily disable ECDSA test.

Disable ECDSA test temporarily: it is incompatible with ECDSA nonces.

New CMS tests.

Add some ECDH CMS tests.

Scripts to recreate S/MIME test certificates.

Add a script to generate keys and certificates for the S/MIME and CMS
tests.

Update certificates and add EC examples.

Custom key wrap option for cms utility.

Return correct enveloped data type in ASN1 methods.

For RSA and DSA keys return an appropriate RecipientInfo type. By setting
CMS_RECIPINFO_NONE for DSA keys an appropriate error is returned if
an attempt is made to use DSA with enveloped data.

Add support for ECDH KARI.

Add support for ECDH in enveloped data. The CMS ctrls for the EC ASN1
method decode/encode the appropriate parameters from the CMS ASN1 data
and send appropriate data to the EC public key method.

Add support for X9.62 KDF.

Add X9.62 KDF to EC EVP_PKEY_METHOD.

Add new OIDs from RFC5753

Add OIDs for KDF schemes from RFC5753 and add cross references for
each type and the appropriate digest to use.

CMS support for key agreeement recipient info.

Add hooks to support key agreement recipient info type (KARI) using
algorithm specific code in the relevant public key ASN1 method.

Set CMS EnvelopedData version correctly.

EVP support for wrapping algorithms.

Add support for key wrap algorithms via EVP interface.

Generalise AES wrap algorithm and add to modes, making existing
AES wrap algorithm a special case.

Move test code to evptests.txt

Typo.

Avoid need to change function code.

Keep original function names for nonce versions so we don't have to change
error function codes.

Make `safe' (EC)DSA nonces the default.

This change updates 8a99cb29 to make the generation of (EC)DSA nonces
using the message digest the default. It also reverts the changes to
(EC)DSA_METHOD structure.

In addition to making it the default, removing the flag from EC_KEY
means that FIPS modules will no longer have an ABI mismatch.

bn/asm/rsaz-avx2.pl: Windows-specific fix.

Fix verify loop with CRL checking.

PR #3090
Reported by: Franck Youssef <fry@open.ch>

If no new reason codes are obtained after checking a CRL exit with an
error to avoid repeatedly checking the same CRL.

This will only happen if verify errors such as invalid CRL scope are
overridden in a callback.

Clarify FIXME.

Note non-export of CC.

Support new rsaz asm stuff.

s/rsaz_eligible/rsaz_avx2_eligible/.

sha512-586.pl: fix typo.

Submitted by: Gisle Vanem

Remove RSAX engine, superseded by RSAZ module.

Take RSAZ modules into build loop, add glue and engage.

RT: 2582, 2850

Add RSAZ assembly modules.

RT: 2582, 2850

bn/asm/x86_86-mont.pl: optimize reduction for Intel Core family.

bn/bn_exp.c: harmonize.

Fix multiple cosmetic typos.

Initialise CMS signature buffer length properly.

config: fix executable format detection on latest FreeBSD.

Submitted by: Bryan Drewery
PR: 3075

bn/bn_exp.c: Solaris-specific fix, T4 MONTMUL relies on alloca.

x86_64-xlate.pl: Windows fixes.

aesni-sha256-x86_64.pl: fix typo in Windows SEH.

Cosmetic touchups.

Fix duplicate error code.

Update CHANGES

Update cms docs.

Document use of -keyopt to use RSA-PSS and RSA-OAEP modes.

Add new CMS tests.

Add new tests to cms-test.pl covering PSS and OAEP.

Add -keyopt option to cms utility.

Add support for custom public key parameters in the cms utility using
the -keyopt switch. Works for -sign and also -encrypt if -recip is used.

CMS RSA-OAEP and RSA-PSS support.

Extend RSA ASN1 method to support CMS PSS signatures for both sign
and verify.

For signing the EVP_PKEY_CTX parameters are read and the appropriate
CMS structures set up.

For verification the CMS structures are analysed and the corresponding
parameters in the EVP_PKEY_CTX set.

Also add RSA-OAEP support.

For encrypt the EVP_PKEY_CTX parameters are used.

For decrypt the CMS structure is uses to set the appropriate EVP_PKEY_CTX
parameters.

CMS public key parameter support.

Add support for customisation of CMS handling of signed and enveloped
data from custom public key parameters.

This will provide support for RSA-PSS and RSA-OAEP but could also be
applied to other algorithms.

Update to OAEP support.

Add OAEP ctrls to retrieve MD and label. Return errors if
an attempt is made to set or retrieve OAEP parameters when
padding mode is not OAEP.

Add control to retrieve signature MD.

Add new OID to pSpecified from PKCS#1

Cleanup of custom extension stuff.

serverinfo rejects non-empty extensions.

Omit extension if no relevant serverinfo data.

Improve error-handling in serverinfo callback.

Cosmetic cleanups.

s_client documentation.

s_server documentation.

SSL_CTX_serverinfo documentation.

Cleaup -1 and NULL callback handling for custom extensions, add tests.

Cleanup ssl_rsa.c serverinfo code.

Whitespace cleanup.

Improve comments in ssl.h for serverinfo.

Whitespace.

Cosmetic cleanup.

Reject non-zero-len serverinfo extensions.

Whitespace.

Make it build.

SPARC T4 DES support: fix typo.

Optimize SPARC T4 MONTMUL support.

Improve RSA sing performance by 20-30% by:
- switching from floating-point to integer conditional moves;
- daisy-chaining sqr-sqr-sqr-sqr-sqr-mul sequences;
- using MONTMUL even during powers table setup;

PA-RISC assembler pack: switch to bve in 64-bit builds.

PR: 3074

Add secure DSA nonce flag.

This change adds the option to calculate (EC)DSA nonces by hashing the
message and private key along with entropy to avoid leaking the private
key if the PRNG fails.

Limit the number of empty records that will be processed consecutively
in order to prevent ssl3_get_record from never returning.

Reported by "oftc_must_be_destroyed" and George Kadianakis.

Don't SEGFAULT when trying to export a public DSA key as a private key.

This change alters the processing of invalid, RSA pre-master secrets so
that bad encryptions are treated like random session keys in constant
time.

Ignore one-makefile stuff.

Document updates from wiki.

PR#3071

The primary changes made are:
- Updates to the "NAME" section of many pages to correctly reflect the
functions defined on those pages. This section is automatically parsed
by the util/extract-names.pl script, so if it is not correct then
running "man" will not correctly locate the right manual pages.
- Updates to take account of where functions are now deprecated
- Full documentation of the ec sub-library
- A number of other typo corrections and other minor tweaks

Exetended OAEP support.

Extend OAEP support. Generalise the OAEP padding functions to support
arbitrary digests. Extend EVP_PKEY RSA method to handle the new OAEP
padding functions and add ctrls to set the additional parameters.

Typo.

Add support for arbitrary TLS extensions.

Contributed by Trevor Perrin.

Add aesni-sha256-x86_64.

aesni-sha1-x86_64.pl: update performance data.

aesni-sha256-x86_64.pl: harmonize with latest sha512-x86_64.pl.

sha1-x86_64.pl: add AVX2+BMI code path.

sha512-x86_64.pl: upcoming-Atom-specific optimization.

sha[256|512]-586.pl: add more SIMD code paths.

ghash-x86_64.pl: add Haswell performance data.

x86cpuid.pl: fix extended feature flags detection.

Fix PSS signature printing.

Fix PSS signature printing: consistently use 0x prefix for hex values for
padding length and trailer fields.

Reencode with X509_CRL_ctx_sign too.

Ensure that, when generating small primes, the result is actually of the
requested size. Fixes OpenSSL #2701.

This change does not address the cases of generating safe primes, or
where the |add| parameter is non-NULL.

Conflicts:
crypto/bn/bn.h
crypto/bn/bn_err.c

Ensure that x**0 mod 1 = 0.

Add volatile qualifications to two blocks of inline asm to stop GCC from
eliminating them as dead code.

Both volatile and "memory" are used because of some concern that the compiler
may still cache values across the asm block without it, and because this was
such a painful debugging session that I wanted to ensure that it's never
repeated.

Remove added ;.

Missing prototypes.

crypto/bn/bn_exp.c: SPARC portability fix.

aesni-x86_64.pl: optimize XTS.

PR: 3042

aesni-sha1-x86_64.pl: Atom-specific optimization.

sha512-x86_64.pl: +16% optimization for Atom.

(and pending AVX2 changes).

vpaes-x86[_64].pl: minor Atom-specific optimization.

Add AES-SHA256 stitch.

x86_64-xlate.pl: minor size/performance improvement.

aesni-x86_64.pl: minor CTR performance improvement.