Some documentation fixes.

Added generic HKDF implementation.

Added POWER8 implementation for AES/CTR+CBC-MAC (for CCM and EAX modes).

Made Base64 decoding constant-time (with regards to actual data byte contents).

Added support code for RSA and EC key encoding (including reconstruction of all public and private key elements from the private key structure), with raw and PKCS#8 formats, both in DER and PEM.

Added AESCTR_DRBG implementation (beta).

Added RSA key generation code (i15, i31, i62).

Fixed computation of product size.

Added support for CCM and CCM_8 cipher suites.

Added guard code to avoid issue when decoding PEM but not keeping data.

Fixed some typographic errors in comments.

Small typo fixes (harmless).

Added RSA/OAEP implementation.

Added stricter rule on input for RSA private key operation (mathematically correct but out-of-range values are now rejected).

Made client stricter in cipher suite selection (better consistency with server behaviour).

Fixed bug in bit length computation (implied some wrong RSA signatures in case of carry propagation with some specific key/factor lengths).

Simple documentation fix.

Added API to share precomputations in EAX.

Fixed test code (removed static reference to aes_x86ni code).

Make Rules.mk more compatible with merges and local diffs.

Added generic EAX and CCM implementations.

Worked around some compiler errors with GCC 4.4 and 4.5.

Added seeder API. Also overhauled compile-time detection of features.

Switch C compiler to the generic 'cc' (to use the default compiler, not necessarily GCC -- this is for systems that offer both GCC and Clang, and use Clang as default).

Extra Makefile hack for compatibility with OpenBSD 'make'.

Some more extra casts to avoid alignment warnings with Clang and -Wcast-align on 32-bit systems with 64-bit alignment requirements (e.g. ARMv7).

Added intermediate casts to void* to prevent spurious warnings (with Clang and -Wcast-align).

Some more renaming to avoid shadowing.

Some renaming to avoid spurious warnings on some old GCC versions.

Fixed documentation (new include file for AEAD).

Added Twrch support.

Fixed br_ssl_session_cache_lru_forget().

Added name for new ChaCha20 implementation.

Added ChaCha20 implementation with SSE2 opcodes.

Added function to forget saved session parameters (for tests).

Added general-purpose API for AEAD algorithms, and GCM implementation.

Fixed behaviour in case of rejected renegotiation.

Fixed selection of ECDHE_RSA suites for pre-1.2 TLS versions.

Added implementation of keying material export (RFC 5705) (API for PRF implementations changed, to handle chunked seeds).

Fixed modular reduction bug in the special field for P-256 (in some rare cases, value would end up being negative, which would corrupt subsequent operations).

Fixed mishandling of tree structure in the cache for session parameters.

Added an explicit initialisation to a stack buffer to prevent an (harmless) uninitialised read reported by valgrind.

Fixed IV processing for CBC decryption with AES (x86ni implementation) when data length is not multiple of 64 bytes (the bug was breaking TLS 1.0 AES/CBC on recent x86 systems).

Added encoded OID for hash functions (for use with PKCS#1 v1.5 signatures) into the public API.

Fixed proper handling of clients with no "secure renegotiation" support.

Fixed handling of incoming application data after sending a close_notify (data shall be discarded silently, not trigger an error). Also fixed a couple of bugs in the command-line test tool.

Added minimal support of Certificate Policies extension (ability to ignore its contents even if marked critical, in situations where it's safe to do that).

Small fix on sample server code (displaying of IPv6 addresses).

Workaround for compiler bug (GCC 4.8 and 4.9 when targetting 32-bit x86).

When using Clang, use it also for linking (compatibility with core FreeBSD systems).

Made headers compatible with C++.

Documentation fixes.

Small patch to allow compilation on old systems that predate the IPV6_V6ONLY option (Debian 2.2 "potato").

Small improvement to tolerate PEM files missing the terminating newline in the brssl command-line tool.

Fixed typo in C preprocessor expression.

New "i62" code for big integers with 64x64->128 opcodes; also improved "i31" modular exponentiation.

Optimised code for encoding/decoding integers when the underlying architecture has the right endianness and allows unaligned accesses.

Added "ctmulq" implementation of Poly1305 (using 64->128 multiplications when available).

Fixed compilation for GCC 4.4 to 4.8 (AES-NI opcodes; intrinsics headers require target options to be set).

Improved GHASH pclmul implementation (parallel processing of four blocks, +70% speed).

New AES and GHASH implementations using POWER8 crypto opcodes.

Cosmetic fixes in comments.

Added AES+GHASH implementation using AES-NI opcodes; also ARM-Thumb assembly for faster Montgomery multiplication on Cortex-M0+. Added selection functions for "default" implementations.

Improved modular exponentiation (automatic window optimisation if there is enough room).

Slight speed improvement for Curve25519 (m15 implementation on Cortex-M0+).

New Makefile structure; added compatibility with Windows + Visual C + nmake.

Some cleanups (removed unused files, split i15 code into per-function files).

Added optimised implementation of P-256 that uses 32->64 multiplications (MUL31).

Two new Curve25519 implementations (generic "i31" code, and optimised code with MUL31).

Activated Curve25519 support for ECDHE cipher suites.

New implementation of Curve25519 (using multiplications of words of 15 bits or so, should be much faster on Cortex M0).

New basic implementation of Curve25519 (generic i15 code, experimental).

Added API for external hashing of ServerKeyExchange, and signature algorithm identifiers in the 0x080* format (preparatory steps for EdDSA support).

More optimisations for EC P-256 "i15" (specialised squaring function, mixed coordinates addition with a 4-bit window when the base point is the conventional generator).

Improved performance on dedicated P-256/i15 EC implementation.

Simple grammar fix in header.

Fixed wrong check on length overflow (unsigned/signed issue).

Two new Poly1305 implementations: ctmul32 uses pure 32-bit multiplications (MUL15, constant-time on about everything); i15 uses the generic i15 big integers (MUL15 again), which is quite slow but also small.

New "i15" implementation of big integers (faster, and constant-time, on ARM Cortex M0/M0+); imported into EC, ECDSA, RSA.

New experimental EC implementation (P-256, only 32-bit multiplications, meant for Cortex-M0/M0+).

Fixed RSA "i32" PKCS#1 v1.5 signature generation.

New simplified initialisation function for X.509 minimal engine.

Added ALPN support (client and server).

Fixed scheduling error (jumping back to failed engine, could lead to segfault).

Added speed benchmark for Poly1305.

Fixed definition of function (wrong name).

Fixed description of TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 in the command-line tool.

Added ChaCha20+Poly1305 support (stand-alone, cipher suites).

Added certificate name extraction API (from subject DN and SAN extension).

Optimised T0 generated code: when possible (at most 256 words), word calls are encoded over one byte, even in the 128..255 range.

Added support for client certificates (both client-side and server-side, but still missing an API for extracting the client identity from the certificate).

Small documentation fixes.

Fixed buffer overrun (read only, usually harmless, but sloppy nonetheless).

More Doxygen-compatible documentation (SSL API).

Some more Doxygen API documentation (X.509 processing).

More API documentation (Doxygen format) for EC code.

Fixed buffer overflow, and also NULL pointer dereference, in ECDSA signature handling.

More API documentation in Doxygen format (block ciphers, PEM).

Fixed handling of CR+LF line endings in PEM objects.

Added API to save and restore session parameters (for controllable session resumption on the client side).