1*a1157835SDaniel Fojt /*
2*a1157835SDaniel Fojt * AES SIV (RFC 5297)
3*a1157835SDaniel Fojt * Copyright (c) 2013 Cozybit, Inc.
4*a1157835SDaniel Fojt *
5*a1157835SDaniel Fojt * This software may be distributed under the terms of the BSD license.
6*a1157835SDaniel Fojt * See README for more details.
7*a1157835SDaniel Fojt */
8*a1157835SDaniel Fojt
9*a1157835SDaniel Fojt #include "includes.h"
10*a1157835SDaniel Fojt
11*a1157835SDaniel Fojt #include "common.h"
12*a1157835SDaniel Fojt #include "aes.h"
13*a1157835SDaniel Fojt #include "aes_wrap.h"
14*a1157835SDaniel Fojt #include "aes_siv.h"
15*a1157835SDaniel Fojt
16*a1157835SDaniel Fojt
17*a1157835SDaniel Fojt static const u8 zero[AES_BLOCK_SIZE];
18*a1157835SDaniel Fojt
19*a1157835SDaniel Fojt
dbl(u8 * pad)20*a1157835SDaniel Fojt static void dbl(u8 *pad)
21*a1157835SDaniel Fojt {
22*a1157835SDaniel Fojt int i, carry;
23*a1157835SDaniel Fojt
24*a1157835SDaniel Fojt carry = pad[0] & 0x80;
25*a1157835SDaniel Fojt for (i = 0; i < AES_BLOCK_SIZE - 1; i++)
26*a1157835SDaniel Fojt pad[i] = (pad[i] << 1) | (pad[i + 1] >> 7);
27*a1157835SDaniel Fojt pad[AES_BLOCK_SIZE - 1] <<= 1;
28*a1157835SDaniel Fojt if (carry)
29*a1157835SDaniel Fojt pad[AES_BLOCK_SIZE - 1] ^= 0x87;
30*a1157835SDaniel Fojt }
31*a1157835SDaniel Fojt
32*a1157835SDaniel Fojt
xor(u8 * a,const u8 * b)33*a1157835SDaniel Fojt static void xor(u8 *a, const u8 *b)
34*a1157835SDaniel Fojt {
35*a1157835SDaniel Fojt int i;
36*a1157835SDaniel Fojt
37*a1157835SDaniel Fojt for (i = 0; i < AES_BLOCK_SIZE; i++)
38*a1157835SDaniel Fojt *a++ ^= *b++;
39*a1157835SDaniel Fojt }
40*a1157835SDaniel Fojt
41*a1157835SDaniel Fojt
xorend(u8 * a,int alen,const u8 * b,int blen)42*a1157835SDaniel Fojt static void xorend(u8 *a, int alen, const u8 *b, int blen)
43*a1157835SDaniel Fojt {
44*a1157835SDaniel Fojt int i;
45*a1157835SDaniel Fojt
46*a1157835SDaniel Fojt if (alen < blen)
47*a1157835SDaniel Fojt return;
48*a1157835SDaniel Fojt
49*a1157835SDaniel Fojt for (i = 0; i < blen; i++)
50*a1157835SDaniel Fojt a[alen - blen + i] ^= b[i];
51*a1157835SDaniel Fojt }
52*a1157835SDaniel Fojt
53*a1157835SDaniel Fojt
pad_block(u8 * pad,const u8 * addr,size_t len)54*a1157835SDaniel Fojt static void pad_block(u8 *pad, const u8 *addr, size_t len)
55*a1157835SDaniel Fojt {
56*a1157835SDaniel Fojt os_memset(pad, 0, AES_BLOCK_SIZE);
57*a1157835SDaniel Fojt os_memcpy(pad, addr, len);
58*a1157835SDaniel Fojt
59*a1157835SDaniel Fojt if (len < AES_BLOCK_SIZE)
60*a1157835SDaniel Fojt pad[len] = 0x80;
61*a1157835SDaniel Fojt }
62*a1157835SDaniel Fojt
63*a1157835SDaniel Fojt
aes_s2v(const u8 * key,size_t key_len,size_t num_elem,const u8 * addr[],size_t * len,u8 * mac)64*a1157835SDaniel Fojt static int aes_s2v(const u8 *key, size_t key_len,
65*a1157835SDaniel Fojt size_t num_elem, const u8 *addr[], size_t *len, u8 *mac)
66*a1157835SDaniel Fojt {
67*a1157835SDaniel Fojt u8 tmp[AES_BLOCK_SIZE], tmp2[AES_BLOCK_SIZE];
68*a1157835SDaniel Fojt u8 *buf = NULL;
69*a1157835SDaniel Fojt int ret;
70*a1157835SDaniel Fojt size_t i;
71*a1157835SDaniel Fojt const u8 *data[1];
72*a1157835SDaniel Fojt size_t data_len[1];
73*a1157835SDaniel Fojt
74*a1157835SDaniel Fojt if (!num_elem) {
75*a1157835SDaniel Fojt os_memcpy(tmp, zero, sizeof(zero));
76*a1157835SDaniel Fojt tmp[AES_BLOCK_SIZE - 1] = 1;
77*a1157835SDaniel Fojt data[0] = tmp;
78*a1157835SDaniel Fojt data_len[0] = sizeof(tmp);
79*a1157835SDaniel Fojt return omac1_aes_vector(key, key_len, 1, data, data_len, mac);
80*a1157835SDaniel Fojt }
81*a1157835SDaniel Fojt
82*a1157835SDaniel Fojt data[0] = zero;
83*a1157835SDaniel Fojt data_len[0] = sizeof(zero);
84*a1157835SDaniel Fojt ret = omac1_aes_vector(key, key_len, 1, data, data_len, tmp);
85*a1157835SDaniel Fojt if (ret)
86*a1157835SDaniel Fojt return ret;
87*a1157835SDaniel Fojt
88*a1157835SDaniel Fojt for (i = 0; i < num_elem - 1; i++) {
89*a1157835SDaniel Fojt ret = omac1_aes_vector(key, key_len, 1, &addr[i], &len[i],
90*a1157835SDaniel Fojt tmp2);
91*a1157835SDaniel Fojt if (ret)
92*a1157835SDaniel Fojt return ret;
93*a1157835SDaniel Fojt
94*a1157835SDaniel Fojt dbl(tmp);
95*a1157835SDaniel Fojt xor(tmp, tmp2);
96*a1157835SDaniel Fojt }
97*a1157835SDaniel Fojt if (len[i] >= AES_BLOCK_SIZE) {
98*a1157835SDaniel Fojt buf = os_memdup(addr[i], len[i]);
99*a1157835SDaniel Fojt if (!buf)
100*a1157835SDaniel Fojt return -ENOMEM;
101*a1157835SDaniel Fojt
102*a1157835SDaniel Fojt xorend(buf, len[i], tmp, AES_BLOCK_SIZE);
103*a1157835SDaniel Fojt data[0] = buf;
104*a1157835SDaniel Fojt ret = omac1_aes_vector(key, key_len, 1, data, &len[i], mac);
105*a1157835SDaniel Fojt bin_clear_free(buf, len[i]);
106*a1157835SDaniel Fojt return ret;
107*a1157835SDaniel Fojt }
108*a1157835SDaniel Fojt
109*a1157835SDaniel Fojt dbl(tmp);
110*a1157835SDaniel Fojt pad_block(tmp2, addr[i], len[i]);
111*a1157835SDaniel Fojt xor(tmp, tmp2);
112*a1157835SDaniel Fojt
113*a1157835SDaniel Fojt data[0] = tmp;
114*a1157835SDaniel Fojt data_len[0] = sizeof(tmp);
115*a1157835SDaniel Fojt return omac1_aes_vector(key, key_len, 1, data, data_len, mac);
116*a1157835SDaniel Fojt }
117*a1157835SDaniel Fojt
118*a1157835SDaniel Fojt
aes_siv_encrypt(const u8 * key,size_t key_len,const u8 * pw,size_t pwlen,size_t num_elem,const u8 * addr[],const size_t * len,u8 * out)119*a1157835SDaniel Fojt int aes_siv_encrypt(const u8 *key, size_t key_len,
120*a1157835SDaniel Fojt const u8 *pw, size_t pwlen,
121*a1157835SDaniel Fojt size_t num_elem, const u8 *addr[], const size_t *len,
122*a1157835SDaniel Fojt u8 *out)
123*a1157835SDaniel Fojt {
124*a1157835SDaniel Fojt const u8 *_addr[6];
125*a1157835SDaniel Fojt size_t _len[6];
126*a1157835SDaniel Fojt const u8 *k1, *k2;
127*a1157835SDaniel Fojt u8 v[AES_BLOCK_SIZE];
128*a1157835SDaniel Fojt size_t i;
129*a1157835SDaniel Fojt u8 *iv, *crypt_pw;
130*a1157835SDaniel Fojt
131*a1157835SDaniel Fojt if (num_elem > ARRAY_SIZE(_addr) - 1 ||
132*a1157835SDaniel Fojt (key_len != 32 && key_len != 48 && key_len != 64))
133*a1157835SDaniel Fojt return -1;
134*a1157835SDaniel Fojt
135*a1157835SDaniel Fojt key_len /= 2;
136*a1157835SDaniel Fojt k1 = key;
137*a1157835SDaniel Fojt k2 = key + key_len;
138*a1157835SDaniel Fojt
139*a1157835SDaniel Fojt for (i = 0; i < num_elem; i++) {
140*a1157835SDaniel Fojt _addr[i] = addr[i];
141*a1157835SDaniel Fojt _len[i] = len[i];
142*a1157835SDaniel Fojt }
143*a1157835SDaniel Fojt _addr[num_elem] = pw;
144*a1157835SDaniel Fojt _len[num_elem] = pwlen;
145*a1157835SDaniel Fojt
146*a1157835SDaniel Fojt if (aes_s2v(k1, key_len, num_elem + 1, _addr, _len, v))
147*a1157835SDaniel Fojt return -1;
148*a1157835SDaniel Fojt
149*a1157835SDaniel Fojt iv = out;
150*a1157835SDaniel Fojt crypt_pw = out + AES_BLOCK_SIZE;
151*a1157835SDaniel Fojt
152*a1157835SDaniel Fojt os_memcpy(iv, v, AES_BLOCK_SIZE);
153*a1157835SDaniel Fojt os_memcpy(crypt_pw, pw, pwlen);
154*a1157835SDaniel Fojt
155*a1157835SDaniel Fojt /* zero out 63rd and 31st bits of ctr (from right) */
156*a1157835SDaniel Fojt v[8] &= 0x7f;
157*a1157835SDaniel Fojt v[12] &= 0x7f;
158*a1157835SDaniel Fojt return aes_ctr_encrypt(k2, key_len, v, crypt_pw, pwlen);
159*a1157835SDaniel Fojt }
160*a1157835SDaniel Fojt
161*a1157835SDaniel Fojt
aes_siv_decrypt(const u8 * key,size_t key_len,const u8 * iv_crypt,size_t iv_c_len,size_t num_elem,const u8 * addr[],const size_t * len,u8 * out)162*a1157835SDaniel Fojt int aes_siv_decrypt(const u8 *key, size_t key_len,
163*a1157835SDaniel Fojt const u8 *iv_crypt, size_t iv_c_len,
164*a1157835SDaniel Fojt size_t num_elem, const u8 *addr[], const size_t *len,
165*a1157835SDaniel Fojt u8 *out)
166*a1157835SDaniel Fojt {
167*a1157835SDaniel Fojt const u8 *_addr[6];
168*a1157835SDaniel Fojt size_t _len[6];
169*a1157835SDaniel Fojt const u8 *k1, *k2;
170*a1157835SDaniel Fojt size_t crypt_len;
171*a1157835SDaniel Fojt size_t i;
172*a1157835SDaniel Fojt int ret;
173*a1157835SDaniel Fojt u8 iv[AES_BLOCK_SIZE];
174*a1157835SDaniel Fojt u8 check[AES_BLOCK_SIZE];
175*a1157835SDaniel Fojt
176*a1157835SDaniel Fojt if (iv_c_len < AES_BLOCK_SIZE || num_elem > ARRAY_SIZE(_addr) - 1 ||
177*a1157835SDaniel Fojt (key_len != 32 && key_len != 48 && key_len != 64))
178*a1157835SDaniel Fojt return -1;
179*a1157835SDaniel Fojt crypt_len = iv_c_len - AES_BLOCK_SIZE;
180*a1157835SDaniel Fojt key_len /= 2;
181*a1157835SDaniel Fojt k1 = key;
182*a1157835SDaniel Fojt k2 = key + key_len;
183*a1157835SDaniel Fojt
184*a1157835SDaniel Fojt for (i = 0; i < num_elem; i++) {
185*a1157835SDaniel Fojt _addr[i] = addr[i];
186*a1157835SDaniel Fojt _len[i] = len[i];
187*a1157835SDaniel Fojt }
188*a1157835SDaniel Fojt _addr[num_elem] = out;
189*a1157835SDaniel Fojt _len[num_elem] = crypt_len;
190*a1157835SDaniel Fojt
191*a1157835SDaniel Fojt os_memcpy(iv, iv_crypt, AES_BLOCK_SIZE);
192*a1157835SDaniel Fojt os_memcpy(out, iv_crypt + AES_BLOCK_SIZE, crypt_len);
193*a1157835SDaniel Fojt
194*a1157835SDaniel Fojt iv[8] &= 0x7f;
195*a1157835SDaniel Fojt iv[12] &= 0x7f;
196*a1157835SDaniel Fojt
197*a1157835SDaniel Fojt ret = aes_ctr_encrypt(k2, key_len, iv, out, crypt_len);
198*a1157835SDaniel Fojt if (ret)
199*a1157835SDaniel Fojt return ret;
200*a1157835SDaniel Fojt
201*a1157835SDaniel Fojt ret = aes_s2v(k1, key_len, num_elem + 1, _addr, _len, check);
202*a1157835SDaniel Fojt if (ret)
203*a1157835SDaniel Fojt return ret;
204*a1157835SDaniel Fojt if (os_memcmp(check, iv_crypt, AES_BLOCK_SIZE) == 0)
205*a1157835SDaniel Fojt return 0;
206*a1157835SDaniel Fojt
207*a1157835SDaniel Fojt return -1;
208*a1157835SDaniel Fojt }
209