xref: /dflybsd-src/crypto/openssh/cipher-chachapoly-libcrypto.c (revision ba1276acd1c8c22d225b1bcf370a14c878644f44)
1*ba1276acSMatthew Dillon /* $OpenBSD: cipher-chachapoly-libcrypto.c,v 1.2 2023/07/17 05:26:38 djm Exp $ */
20cbfa66cSDaniel Fojt /*
30cbfa66cSDaniel Fojt  * Copyright (c) 2013 Damien Miller <djm@mindrot.org>
40cbfa66cSDaniel Fojt  *
50cbfa66cSDaniel Fojt  * Permission to use, copy, modify, and distribute this software for any
60cbfa66cSDaniel Fojt  * purpose with or without fee is hereby granted, provided that the above
70cbfa66cSDaniel Fojt  * copyright notice and this permission notice appear in all copies.
80cbfa66cSDaniel Fojt  *
90cbfa66cSDaniel Fojt  * THE SOFTWARE IS PROVIDED "AS IS" AND THE AUTHOR DISCLAIMS ALL WARRANTIES
100cbfa66cSDaniel Fojt  * WITH REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF
110cbfa66cSDaniel Fojt  * MERCHANTABILITY AND FITNESS. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR
120cbfa66cSDaniel Fojt  * ANY SPECIAL, DIRECT, INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES
130cbfa66cSDaniel Fojt  * WHATSOEVER RESULTING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN AN
140cbfa66cSDaniel Fojt  * ACTION OF CONTRACT, NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF
150cbfa66cSDaniel Fojt  * OR IN CONNECTION WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.
160cbfa66cSDaniel Fojt  */
170cbfa66cSDaniel Fojt 
180cbfa66cSDaniel Fojt #include "includes.h"
190cbfa66cSDaniel Fojt #ifdef WITH_OPENSSL
200cbfa66cSDaniel Fojt #include "openbsd-compat/openssl-compat.h"
210cbfa66cSDaniel Fojt #endif
220cbfa66cSDaniel Fojt 
230cbfa66cSDaniel Fojt #if defined(HAVE_EVP_CHACHA20) && !defined(HAVE_BROKEN_CHACHA20)
240cbfa66cSDaniel Fojt 
250cbfa66cSDaniel Fojt #include <sys/types.h>
260cbfa66cSDaniel Fojt #include <stdarg.h> /* needed for log.h */
270cbfa66cSDaniel Fojt #include <string.h>
280cbfa66cSDaniel Fojt #include <stdio.h>  /* needed for misc.h */
290cbfa66cSDaniel Fojt 
300cbfa66cSDaniel Fojt #include <openssl/evp.h>
310cbfa66cSDaniel Fojt 
320cbfa66cSDaniel Fojt #include "log.h"
330cbfa66cSDaniel Fojt #include "sshbuf.h"
340cbfa66cSDaniel Fojt #include "ssherr.h"
350cbfa66cSDaniel Fojt #include "cipher-chachapoly.h"
360cbfa66cSDaniel Fojt 
370cbfa66cSDaniel Fojt struct chachapoly_ctx {
380cbfa66cSDaniel Fojt 	EVP_CIPHER_CTX *main_evp, *header_evp;
390cbfa66cSDaniel Fojt };
400cbfa66cSDaniel Fojt 
410cbfa66cSDaniel Fojt struct chachapoly_ctx *
chachapoly_new(const u_char * key,u_int keylen)420cbfa66cSDaniel Fojt chachapoly_new(const u_char *key, u_int keylen)
430cbfa66cSDaniel Fojt {
440cbfa66cSDaniel Fojt 	struct chachapoly_ctx *ctx;
450cbfa66cSDaniel Fojt 
460cbfa66cSDaniel Fojt 	if (keylen != (32 + 32)) /* 2 x 256 bit keys */
470cbfa66cSDaniel Fojt 		return NULL;
480cbfa66cSDaniel Fojt 	if ((ctx = calloc(1, sizeof(*ctx))) == NULL)
490cbfa66cSDaniel Fojt 		return NULL;
500cbfa66cSDaniel Fojt 	if ((ctx->main_evp = EVP_CIPHER_CTX_new()) == NULL ||
510cbfa66cSDaniel Fojt 	    (ctx->header_evp = EVP_CIPHER_CTX_new()) == NULL)
520cbfa66cSDaniel Fojt 		goto fail;
530cbfa66cSDaniel Fojt 	if (!EVP_CipherInit(ctx->main_evp, EVP_chacha20(), key, NULL, 1))
540cbfa66cSDaniel Fojt 		goto fail;
550cbfa66cSDaniel Fojt 	if (!EVP_CipherInit(ctx->header_evp, EVP_chacha20(), key + 32, NULL, 1))
560cbfa66cSDaniel Fojt 		goto fail;
570cbfa66cSDaniel Fojt 	if (EVP_CIPHER_CTX_iv_length(ctx->header_evp) != 16)
580cbfa66cSDaniel Fojt 		goto fail;
590cbfa66cSDaniel Fojt 	return ctx;
600cbfa66cSDaniel Fojt  fail:
610cbfa66cSDaniel Fojt 	chachapoly_free(ctx);
620cbfa66cSDaniel Fojt 	return NULL;
630cbfa66cSDaniel Fojt }
640cbfa66cSDaniel Fojt 
650cbfa66cSDaniel Fojt void
chachapoly_free(struct chachapoly_ctx * cpctx)660cbfa66cSDaniel Fojt chachapoly_free(struct chachapoly_ctx *cpctx)
670cbfa66cSDaniel Fojt {
680cbfa66cSDaniel Fojt 	if (cpctx == NULL)
690cbfa66cSDaniel Fojt 		return;
700cbfa66cSDaniel Fojt 	EVP_CIPHER_CTX_free(cpctx->main_evp);
710cbfa66cSDaniel Fojt 	EVP_CIPHER_CTX_free(cpctx->header_evp);
720cbfa66cSDaniel Fojt 	freezero(cpctx, sizeof(*cpctx));
730cbfa66cSDaniel Fojt }
740cbfa66cSDaniel Fojt 
750cbfa66cSDaniel Fojt /*
760cbfa66cSDaniel Fojt  * chachapoly_crypt() operates as following:
770cbfa66cSDaniel Fojt  * En/decrypt with header key 'aadlen' bytes from 'src', storing result
780cbfa66cSDaniel Fojt  * to 'dest'. The ciphertext here is treated as additional authenticated
790cbfa66cSDaniel Fojt  * data for MAC calculation.
800cbfa66cSDaniel Fojt  * En/decrypt 'len' bytes at offset 'aadlen' from 'src' to 'dest'. Use
810cbfa66cSDaniel Fojt  * POLY1305_TAGLEN bytes at offset 'len'+'aadlen' as the authentication
820cbfa66cSDaniel Fojt  * tag. This tag is written on encryption and verified on decryption.
830cbfa66cSDaniel Fojt  */
840cbfa66cSDaniel Fojt int
chachapoly_crypt(struct chachapoly_ctx * ctx,u_int seqnr,u_char * dest,const u_char * src,u_int len,u_int aadlen,u_int authlen,int do_encrypt)850cbfa66cSDaniel Fojt chachapoly_crypt(struct chachapoly_ctx *ctx, u_int seqnr, u_char *dest,
860cbfa66cSDaniel Fojt     const u_char *src, u_int len, u_int aadlen, u_int authlen, int do_encrypt)
870cbfa66cSDaniel Fojt {
880cbfa66cSDaniel Fojt 	u_char seqbuf[16]; /* layout: u64 counter || u64 seqno */
890cbfa66cSDaniel Fojt 	int r = SSH_ERR_INTERNAL_ERROR;
900cbfa66cSDaniel Fojt 	u_char expected_tag[POLY1305_TAGLEN], poly_key[POLY1305_KEYLEN];
910cbfa66cSDaniel Fojt 
920cbfa66cSDaniel Fojt 	/*
930cbfa66cSDaniel Fojt 	 * Run ChaCha20 once to generate the Poly1305 key. The IV is the
940cbfa66cSDaniel Fojt 	 * packet sequence number.
950cbfa66cSDaniel Fojt 	 */
960cbfa66cSDaniel Fojt 	memset(seqbuf, 0, sizeof(seqbuf));
970cbfa66cSDaniel Fojt 	POKE_U64(seqbuf + 8, seqnr);
980cbfa66cSDaniel Fojt 	memset(poly_key, 0, sizeof(poly_key));
990cbfa66cSDaniel Fojt 	if (!EVP_CipherInit(ctx->main_evp, NULL, NULL, seqbuf, 1) ||
1000cbfa66cSDaniel Fojt 	    EVP_Cipher(ctx->main_evp, poly_key,
1010cbfa66cSDaniel Fojt 	    poly_key, sizeof(poly_key)) < 0) {
1020cbfa66cSDaniel Fojt 		r = SSH_ERR_LIBCRYPTO_ERROR;
1030cbfa66cSDaniel Fojt 		goto out;
1040cbfa66cSDaniel Fojt 	}
1050cbfa66cSDaniel Fojt 
1060cbfa66cSDaniel Fojt 	/* If decrypting, check tag before anything else */
1070cbfa66cSDaniel Fojt 	if (!do_encrypt) {
1080cbfa66cSDaniel Fojt 		const u_char *tag = src + aadlen + len;
1090cbfa66cSDaniel Fojt 
1100cbfa66cSDaniel Fojt 		poly1305_auth(expected_tag, src, aadlen + len, poly_key);
1110cbfa66cSDaniel Fojt 		if (timingsafe_bcmp(expected_tag, tag, POLY1305_TAGLEN) != 0) {
1120cbfa66cSDaniel Fojt 			r = SSH_ERR_MAC_INVALID;
1130cbfa66cSDaniel Fojt 			goto out;
1140cbfa66cSDaniel Fojt 		}
1150cbfa66cSDaniel Fojt 	}
1160cbfa66cSDaniel Fojt 
1170cbfa66cSDaniel Fojt 	/* Crypt additional data */
1180cbfa66cSDaniel Fojt 	if (aadlen) {
1190cbfa66cSDaniel Fojt 		if (!EVP_CipherInit(ctx->header_evp, NULL, NULL, seqbuf, 1) ||
1200cbfa66cSDaniel Fojt 		    EVP_Cipher(ctx->header_evp, dest, src, aadlen) < 0) {
1210cbfa66cSDaniel Fojt 			r = SSH_ERR_LIBCRYPTO_ERROR;
1220cbfa66cSDaniel Fojt 			goto out;
1230cbfa66cSDaniel Fojt 		}
1240cbfa66cSDaniel Fojt 	}
1250cbfa66cSDaniel Fojt 
1260cbfa66cSDaniel Fojt 	/* Set Chacha's block counter to 1 */
1270cbfa66cSDaniel Fojt 	seqbuf[0] = 1;
1280cbfa66cSDaniel Fojt 	if (!EVP_CipherInit(ctx->main_evp, NULL, NULL, seqbuf, 1) ||
1290cbfa66cSDaniel Fojt 	    EVP_Cipher(ctx->main_evp, dest + aadlen, src + aadlen, len) < 0) {
1300cbfa66cSDaniel Fojt 		r = SSH_ERR_LIBCRYPTO_ERROR;
1310cbfa66cSDaniel Fojt 		goto out;
1320cbfa66cSDaniel Fojt 	}
1330cbfa66cSDaniel Fojt 
1340cbfa66cSDaniel Fojt 	/* If encrypting, calculate and append tag */
1350cbfa66cSDaniel Fojt 	if (do_encrypt) {
1360cbfa66cSDaniel Fojt 		poly1305_auth(dest + aadlen + len, dest, aadlen + len,
1370cbfa66cSDaniel Fojt 		    poly_key);
1380cbfa66cSDaniel Fojt 	}
1390cbfa66cSDaniel Fojt 	r = 0;
1400cbfa66cSDaniel Fojt  out:
1410cbfa66cSDaniel Fojt 	explicit_bzero(expected_tag, sizeof(expected_tag));
1420cbfa66cSDaniel Fojt 	explicit_bzero(seqbuf, sizeof(seqbuf));
1430cbfa66cSDaniel Fojt 	explicit_bzero(poly_key, sizeof(poly_key));
1440cbfa66cSDaniel Fojt 	return r;
1450cbfa66cSDaniel Fojt }
1460cbfa66cSDaniel Fojt 
1470cbfa66cSDaniel Fojt /* Decrypt and extract the encrypted packet length */
1480cbfa66cSDaniel Fojt int
chachapoly_get_length(struct chachapoly_ctx * ctx,u_int * plenp,u_int seqnr,const u_char * cp,u_int len)1490cbfa66cSDaniel Fojt chachapoly_get_length(struct chachapoly_ctx *ctx,
1500cbfa66cSDaniel Fojt     u_int *plenp, u_int seqnr, const u_char *cp, u_int len)
1510cbfa66cSDaniel Fojt {
1520cbfa66cSDaniel Fojt 	u_char buf[4], seqbuf[16];
1530cbfa66cSDaniel Fojt 
1540cbfa66cSDaniel Fojt 	if (len < 4)
1550cbfa66cSDaniel Fojt 		return SSH_ERR_MESSAGE_INCOMPLETE;
1560cbfa66cSDaniel Fojt 	memset(seqbuf, 0, sizeof(seqbuf));
1570cbfa66cSDaniel Fojt 	POKE_U64(seqbuf + 8, seqnr);
1580cbfa66cSDaniel Fojt 	if (!EVP_CipherInit(ctx->header_evp, NULL, NULL, seqbuf, 0))
1590cbfa66cSDaniel Fojt 		return SSH_ERR_LIBCRYPTO_ERROR;
1600cbfa66cSDaniel Fojt 	if (EVP_Cipher(ctx->header_evp, buf, (u_char *)cp, sizeof(buf)) < 0)
1610cbfa66cSDaniel Fojt 		return SSH_ERR_LIBCRYPTO_ERROR;
1620cbfa66cSDaniel Fojt 	*plenp = PEEK_U32(buf);
1630cbfa66cSDaniel Fojt 	return 0;
1640cbfa66cSDaniel Fojt }
1650cbfa66cSDaniel Fojt #endif /* defined(HAVE_EVP_CHACHA20) && !defined(HAVE_BROKEN_CHACHA20) */
166