1*91593100SDamien Miller /*
2*91593100SDamien Miller chacha-merged.c version 20080118
3*91593100SDamien Miller D. J. Bernstein
4*91593100SDamien Miller Public domain.
5*91593100SDamien Miller */
6*91593100SDamien Miller 
7*91593100SDamien Miller /* $OpenBSD: chacha_private.h,v 1.2 2013/10/04 07:02:27 djm Exp $ */
8*91593100SDamien Miller 
9*91593100SDamien Miller typedef unsigned char u8;
10*91593100SDamien Miller typedef unsigned int u32;
11*91593100SDamien Miller 
12*91593100SDamien Miller typedef struct
13*91593100SDamien Miller {
14*91593100SDamien Miller   u32 input[16]; /* could be compressed */
15*91593100SDamien Miller } chacha_ctx;
16*91593100SDamien Miller 
17*91593100SDamien Miller #define U8C(v) (v##U)
18*91593100SDamien Miller #define U32C(v) (v##U)
19*91593100SDamien Miller 
20*91593100SDamien Miller #define U8V(v) ((u8)(v) & U8C(0xFF))
21*91593100SDamien Miller #define U32V(v) ((u32)(v) & U32C(0xFFFFFFFF))
22*91593100SDamien Miller 
23*91593100SDamien Miller #define ROTL32(v, n) \
24*91593100SDamien Miller   (U32V((v) << (n)) | ((v) >> (32 - (n))))
25*91593100SDamien Miller 
26*91593100SDamien Miller #define U8TO32_LITTLE(p) \
27*91593100SDamien Miller   (((u32)((p)[0])      ) | \
28*91593100SDamien Miller    ((u32)((p)[1]) <<  8) | \
29*91593100SDamien Miller    ((u32)((p)[2]) << 16) | \
30*91593100SDamien Miller    ((u32)((p)[3]) << 24))
31*91593100SDamien Miller 
32*91593100SDamien Miller #define U32TO8_LITTLE(p, v) \
33*91593100SDamien Miller   do { \
34*91593100SDamien Miller     (p)[0] = U8V((v)      ); \
35*91593100SDamien Miller     (p)[1] = U8V((v) >>  8); \
36*91593100SDamien Miller     (p)[2] = U8V((v) >> 16); \
37*91593100SDamien Miller     (p)[3] = U8V((v) >> 24); \
38*91593100SDamien Miller   } while (0)
39*91593100SDamien Miller 
40*91593100SDamien Miller #define ROTATE(v,c) (ROTL32(v,c))
41*91593100SDamien Miller #define XOR(v,w) ((v) ^ (w))
42*91593100SDamien Miller #define PLUS(v,w) (U32V((v) + (w)))
43*91593100SDamien Miller #define PLUSONE(v) (PLUS((v),1))
44*91593100SDamien Miller 
45*91593100SDamien Miller #define QUARTERROUND(a,b,c,d) \
46*91593100SDamien Miller   a = PLUS(a,b); d = ROTATE(XOR(d,a),16); \
47*91593100SDamien Miller   c = PLUS(c,d); b = ROTATE(XOR(b,c),12); \
48*91593100SDamien Miller   a = PLUS(a,b); d = ROTATE(XOR(d,a), 8); \
49*91593100SDamien Miller   c = PLUS(c,d); b = ROTATE(XOR(b,c), 7);
50*91593100SDamien Miller 
51*91593100SDamien Miller static const char sigma[16] = "expand 32-byte k";
52*91593100SDamien Miller static const char tau[16] = "expand 16-byte k";
53*91593100SDamien Miller 
54*91593100SDamien Miller static void
chacha_keysetup(chacha_ctx * x,const u8 * k,u32 kbits,u32 ivbits)55*91593100SDamien Miller chacha_keysetup(chacha_ctx *x,const u8 *k,u32 kbits,u32 ivbits)
56*91593100SDamien Miller {
57*91593100SDamien Miller   const char *constants;
58*91593100SDamien Miller 
59*91593100SDamien Miller   x->input[4] = U8TO32_LITTLE(k + 0);
60*91593100SDamien Miller   x->input[5] = U8TO32_LITTLE(k + 4);
61*91593100SDamien Miller   x->input[6] = U8TO32_LITTLE(k + 8);
62*91593100SDamien Miller   x->input[7] = U8TO32_LITTLE(k + 12);
63*91593100SDamien Miller   if (kbits == 256) { /* recommended */
64*91593100SDamien Miller     k += 16;
65*91593100SDamien Miller     constants = sigma;
66*91593100SDamien Miller   } else { /* kbits == 128 */
67*91593100SDamien Miller     constants = tau;
68*91593100SDamien Miller   }
69*91593100SDamien Miller   x->input[8] = U8TO32_LITTLE(k + 0);
70*91593100SDamien Miller   x->input[9] = U8TO32_LITTLE(k + 4);
71*91593100SDamien Miller   x->input[10] = U8TO32_LITTLE(k + 8);
72*91593100SDamien Miller   x->input[11] = U8TO32_LITTLE(k + 12);
73*91593100SDamien Miller   x->input[0] = U8TO32_LITTLE(constants + 0);
74*91593100SDamien Miller   x->input[1] = U8TO32_LITTLE(constants + 4);
75*91593100SDamien Miller   x->input[2] = U8TO32_LITTLE(constants + 8);
76*91593100SDamien Miller   x->input[3] = U8TO32_LITTLE(constants + 12);
77*91593100SDamien Miller }
78*91593100SDamien Miller 
79*91593100SDamien Miller static void
chacha_ivsetup(chacha_ctx * x,const u8 * iv)80*91593100SDamien Miller chacha_ivsetup(chacha_ctx *x,const u8 *iv)
81*91593100SDamien Miller {
82*91593100SDamien Miller   x->input[12] = 0;
83*91593100SDamien Miller   x->input[13] = 0;
84*91593100SDamien Miller   x->input[14] = U8TO32_LITTLE(iv + 0);
85*91593100SDamien Miller   x->input[15] = U8TO32_LITTLE(iv + 4);
86*91593100SDamien Miller }
87*91593100SDamien Miller 
88*91593100SDamien Miller static void
chacha_encrypt_bytes(chacha_ctx * x,const u8 * m,u8 * c,u32 bytes)89*91593100SDamien Miller chacha_encrypt_bytes(chacha_ctx *x,const u8 *m,u8 *c,u32 bytes)
90*91593100SDamien Miller {
91*91593100SDamien Miller   u32 x0, x1, x2, x3, x4, x5, x6, x7, x8, x9, x10, x11, x12, x13, x14, x15;
92*91593100SDamien Miller   u32 j0, j1, j2, j3, j4, j5, j6, j7, j8, j9, j10, j11, j12, j13, j14, j15;
93*91593100SDamien Miller   u8 *ctarget = NULL;
94*91593100SDamien Miller   u8 tmp[64];
95*91593100SDamien Miller   u_int i;
96*91593100SDamien Miller 
97*91593100SDamien Miller   if (!bytes) return;
98*91593100SDamien Miller 
99*91593100SDamien Miller   j0 = x->input[0];
100*91593100SDamien Miller   j1 = x->input[1];
101*91593100SDamien Miller   j2 = x->input[2];
102*91593100SDamien Miller   j3 = x->input[3];
103*91593100SDamien Miller   j4 = x->input[4];
104*91593100SDamien Miller   j5 = x->input[5];
105*91593100SDamien Miller   j6 = x->input[6];
106*91593100SDamien Miller   j7 = x->input[7];
107*91593100SDamien Miller   j8 = x->input[8];
108*91593100SDamien Miller   j9 = x->input[9];
109*91593100SDamien Miller   j10 = x->input[10];
110*91593100SDamien Miller   j11 = x->input[11];
111*91593100SDamien Miller   j12 = x->input[12];
112*91593100SDamien Miller   j13 = x->input[13];
113*91593100SDamien Miller   j14 = x->input[14];
114*91593100SDamien Miller   j15 = x->input[15];
115*91593100SDamien Miller 
116*91593100SDamien Miller   for (;;) {
117*91593100SDamien Miller     if (bytes < 64) {
118*91593100SDamien Miller       for (i = 0;i < bytes;++i) tmp[i] = m[i];
119*91593100SDamien Miller       m = tmp;
120*91593100SDamien Miller       ctarget = c;
121*91593100SDamien Miller       c = tmp;
122*91593100SDamien Miller     }
123*91593100SDamien Miller     x0 = j0;
124*91593100SDamien Miller     x1 = j1;
125*91593100SDamien Miller     x2 = j2;
126*91593100SDamien Miller     x3 = j3;
127*91593100SDamien Miller     x4 = j4;
128*91593100SDamien Miller     x5 = j5;
129*91593100SDamien Miller     x6 = j6;
130*91593100SDamien Miller     x7 = j7;
131*91593100SDamien Miller     x8 = j8;
132*91593100SDamien Miller     x9 = j9;
133*91593100SDamien Miller     x10 = j10;
134*91593100SDamien Miller     x11 = j11;
135*91593100SDamien Miller     x12 = j12;
136*91593100SDamien Miller     x13 = j13;
137*91593100SDamien Miller     x14 = j14;
138*91593100SDamien Miller     x15 = j15;
139*91593100SDamien Miller     for (i = 20;i > 0;i -= 2) {
140*91593100SDamien Miller       QUARTERROUND( x0, x4, x8,x12)
141*91593100SDamien Miller       QUARTERROUND( x1, x5, x9,x13)
142*91593100SDamien Miller       QUARTERROUND( x2, x6,x10,x14)
143*91593100SDamien Miller       QUARTERROUND( x3, x7,x11,x15)
144*91593100SDamien Miller       QUARTERROUND( x0, x5,x10,x15)
145*91593100SDamien Miller       QUARTERROUND( x1, x6,x11,x12)
146*91593100SDamien Miller       QUARTERROUND( x2, x7, x8,x13)
147*91593100SDamien Miller       QUARTERROUND( x3, x4, x9,x14)
148*91593100SDamien Miller     }
149*91593100SDamien Miller     x0 = PLUS(x0,j0);
150*91593100SDamien Miller     x1 = PLUS(x1,j1);
151*91593100SDamien Miller     x2 = PLUS(x2,j2);
152*91593100SDamien Miller     x3 = PLUS(x3,j3);
153*91593100SDamien Miller     x4 = PLUS(x4,j4);
154*91593100SDamien Miller     x5 = PLUS(x5,j5);
155*91593100SDamien Miller     x6 = PLUS(x6,j6);
156*91593100SDamien Miller     x7 = PLUS(x7,j7);
157*91593100SDamien Miller     x8 = PLUS(x8,j8);
158*91593100SDamien Miller     x9 = PLUS(x9,j9);
159*91593100SDamien Miller     x10 = PLUS(x10,j10);
160*91593100SDamien Miller     x11 = PLUS(x11,j11);
161*91593100SDamien Miller     x12 = PLUS(x12,j12);
162*91593100SDamien Miller     x13 = PLUS(x13,j13);
163*91593100SDamien Miller     x14 = PLUS(x14,j14);
164*91593100SDamien Miller     x15 = PLUS(x15,j15);
165*91593100SDamien Miller 
166*91593100SDamien Miller #ifndef KEYSTREAM_ONLY
167*91593100SDamien Miller     x0 = XOR(x0,U8TO32_LITTLE(m + 0));
168*91593100SDamien Miller     x1 = XOR(x1,U8TO32_LITTLE(m + 4));
169*91593100SDamien Miller     x2 = XOR(x2,U8TO32_LITTLE(m + 8));
170*91593100SDamien Miller     x3 = XOR(x3,U8TO32_LITTLE(m + 12));
171*91593100SDamien Miller     x4 = XOR(x4,U8TO32_LITTLE(m + 16));
172*91593100SDamien Miller     x5 = XOR(x5,U8TO32_LITTLE(m + 20));
173*91593100SDamien Miller     x6 = XOR(x6,U8TO32_LITTLE(m + 24));
174*91593100SDamien Miller     x7 = XOR(x7,U8TO32_LITTLE(m + 28));
175*91593100SDamien Miller     x8 = XOR(x8,U8TO32_LITTLE(m + 32));
176*91593100SDamien Miller     x9 = XOR(x9,U8TO32_LITTLE(m + 36));
177*91593100SDamien Miller     x10 = XOR(x10,U8TO32_LITTLE(m + 40));
178*91593100SDamien Miller     x11 = XOR(x11,U8TO32_LITTLE(m + 44));
179*91593100SDamien Miller     x12 = XOR(x12,U8TO32_LITTLE(m + 48));
180*91593100SDamien Miller     x13 = XOR(x13,U8TO32_LITTLE(m + 52));
181*91593100SDamien Miller     x14 = XOR(x14,U8TO32_LITTLE(m + 56));
182*91593100SDamien Miller     x15 = XOR(x15,U8TO32_LITTLE(m + 60));
183*91593100SDamien Miller #endif
184*91593100SDamien Miller 
185*91593100SDamien Miller     j12 = PLUSONE(j12);
186*91593100SDamien Miller     if (!j12) {
187*91593100SDamien Miller       j13 = PLUSONE(j13);
188*91593100SDamien Miller       /* stopping at 2^70 bytes per nonce is user's responsibility */
189*91593100SDamien Miller     }
190*91593100SDamien Miller 
191*91593100SDamien Miller     U32TO8_LITTLE(c + 0,x0);
192*91593100SDamien Miller     U32TO8_LITTLE(c + 4,x1);
193*91593100SDamien Miller     U32TO8_LITTLE(c + 8,x2);
194*91593100SDamien Miller     U32TO8_LITTLE(c + 12,x3);
195*91593100SDamien Miller     U32TO8_LITTLE(c + 16,x4);
196*91593100SDamien Miller     U32TO8_LITTLE(c + 20,x5);
197*91593100SDamien Miller     U32TO8_LITTLE(c + 24,x6);
198*91593100SDamien Miller     U32TO8_LITTLE(c + 28,x7);
199*91593100SDamien Miller     U32TO8_LITTLE(c + 32,x8);
200*91593100SDamien Miller     U32TO8_LITTLE(c + 36,x9);
201*91593100SDamien Miller     U32TO8_LITTLE(c + 40,x10);
202*91593100SDamien Miller     U32TO8_LITTLE(c + 44,x11);
203*91593100SDamien Miller     U32TO8_LITTLE(c + 48,x12);
204*91593100SDamien Miller     U32TO8_LITTLE(c + 52,x13);
205*91593100SDamien Miller     U32TO8_LITTLE(c + 56,x14);
206*91593100SDamien Miller     U32TO8_LITTLE(c + 60,x15);
207*91593100SDamien Miller 
208*91593100SDamien Miller     if (bytes <= 64) {
209*91593100SDamien Miller       if (bytes < 64) {
210*91593100SDamien Miller         for (i = 0;i < bytes;++i) ctarget[i] = c[i];
211*91593100SDamien Miller       }
212*91593100SDamien Miller       x->input[12] = j12;
213*91593100SDamien Miller       x->input[13] = j13;
214*91593100SDamien Miller       return;
215*91593100SDamien Miller     }
216*91593100SDamien Miller     bytes -= 64;
217*91593100SDamien Miller     c += 64;
218*91593100SDamien Miller #ifndef KEYSTREAM_ONLY
219*91593100SDamien Miller     m += 64;
220*91593100SDamien Miller #endif
221*91593100SDamien Miller   }
222*91593100SDamien Miller }
223