Merge tag 'acpi-5.14-rc1' of git://git.kernel.org/pub/scm/linux/kernel/git/rafael...
[linux-2.6-microblaze.git] / crypto / sm2.c
1 /* SPDX-License-Identifier: GPL-2.0-or-later */
2 /*
3  * SM2 asymmetric public-key algorithm
4  * as specified by OSCCA GM/T 0003.1-2012 -- 0003.5-2012 SM2 and
5  * described at https://tools.ietf.org/html/draft-shen-sm2-ecdsa-02
6  *
7  * Copyright (c) 2020, Alibaba Group.
8  * Authors: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>
9  */
10
11 #include <linux/module.h>
12 #include <linux/mpi.h>
13 #include <crypto/internal/akcipher.h>
14 #include <crypto/akcipher.h>
15 #include <crypto/hash.h>
16 #include <crypto/sm3_base.h>
17 #include <crypto/rng.h>
18 #include <crypto/sm2.h>
19 #include "sm2signature.asn1.h"
20
21 #define MPI_NBYTES(m)   ((mpi_get_nbits(m) + 7) / 8)
22
23 struct ecc_domain_parms {
24         const char *desc;           /* Description of the curve.  */
25         unsigned int nbits;         /* Number of bits.  */
26         unsigned int fips:1; /* True if this is a FIPS140-2 approved curve */
27
28         /* The model describing this curve.  This is mainly used to select
29          * the group equation.
30          */
31         enum gcry_mpi_ec_models model;
32
33         /* The actual ECC dialect used.  This is used for curve specific
34          * optimizations and to select encodings etc.
35          */
36         enum ecc_dialects dialect;
37
38         const char *p;              /* The prime defining the field.  */
39         const char *a, *b;          /* The coefficients.  For Twisted Edwards
40                                      * Curves b is used for d.  For Montgomery
41                                      * Curves (a,b) has ((A-2)/4,B^-1).
42                                      */
43         const char *n;              /* The order of the base point.  */
44         const char *g_x, *g_y;      /* Base point.  */
45         unsigned int h;             /* Cofactor.  */
46 };
47
48 static const struct ecc_domain_parms sm2_ecp = {
49         .desc = "sm2p256v1",
50         .nbits = 256,
51         .fips = 0,
52         .model = MPI_EC_WEIERSTRASS,
53         .dialect = ECC_DIALECT_STANDARD,
54         .p   = "0xfffffffeffffffffffffffffffffffffffffffff00000000ffffffffffffffff",
55         .a   = "0xfffffffeffffffffffffffffffffffffffffffff00000000fffffffffffffffc",
56         .b   = "0x28e9fa9e9d9f5e344d5a9e4bcf6509a7f39789f515ab8f92ddbcbd414d940e93",
57         .n   = "0xfffffffeffffffffffffffffffffffff7203df6b21c6052b53bbf40939d54123",
58         .g_x = "0x32c4ae2c1f1981195f9904466a39c9948fe30bbff2660be1715a4589334c74c7",
59         .g_y = "0xbc3736a2f4f6779c59bdcee36b692153d0a9877cc62a474002df32e52139f0a0",
60         .h = 1
61 };
62
63 static int sm2_ec_ctx_init(struct mpi_ec_ctx *ec)
64 {
65         const struct ecc_domain_parms *ecp = &sm2_ecp;
66         MPI p, a, b;
67         MPI x, y;
68         int rc = -EINVAL;
69
70         p = mpi_scanval(ecp->p);
71         a = mpi_scanval(ecp->a);
72         b = mpi_scanval(ecp->b);
73         if (!p || !a || !b)
74                 goto free_p;
75
76         x = mpi_scanval(ecp->g_x);
77         y = mpi_scanval(ecp->g_y);
78         if (!x || !y)
79                 goto free;
80
81         rc = -ENOMEM;
82
83         ec->Q = mpi_point_new(0);
84         if (!ec->Q)
85                 goto free;
86
87         /* mpi_ec_setup_elliptic_curve */
88         ec->G = mpi_point_new(0);
89         if (!ec->G) {
90                 mpi_point_release(ec->Q);
91                 goto free;
92         }
93
94         mpi_set(ec->G->x, x);
95         mpi_set(ec->G->y, y);
96         mpi_set_ui(ec->G->z, 1);
97
98         rc = -EINVAL;
99         ec->n = mpi_scanval(ecp->n);
100         if (!ec->n) {
101                 mpi_point_release(ec->Q);
102                 mpi_point_release(ec->G);
103                 goto free;
104         }
105
106         ec->h = ecp->h;
107         ec->name = ecp->desc;
108         mpi_ec_init(ec, ecp->model, ecp->dialect, 0, p, a, b);
109
110         rc = 0;
111
112 free:
113         mpi_free(x);
114         mpi_free(y);
115 free_p:
116         mpi_free(p);
117         mpi_free(a);
118         mpi_free(b);
119
120         return rc;
121 }
122
123 static void sm2_ec_ctx_deinit(struct mpi_ec_ctx *ec)
124 {
125         mpi_ec_deinit(ec);
126
127         memset(ec, 0, sizeof(*ec));
128 }
129
130 /* RESULT must have been initialized and is set on success to the
131  * point given by VALUE.
132  */
133 static int sm2_ecc_os2ec(MPI_POINT result, MPI value)
134 {
135         int rc;
136         size_t n;
137         unsigned char *buf;
138         MPI x, y;
139
140         n = MPI_NBYTES(value);
141         buf = kmalloc(n, GFP_KERNEL);
142         if (!buf)
143                 return -ENOMEM;
144
145         rc = mpi_print(GCRYMPI_FMT_USG, buf, n, &n, value);
146         if (rc)
147                 goto err_freebuf;
148
149         rc = -EINVAL;
150         if (n < 1 || ((n - 1) % 2))
151                 goto err_freebuf;
152         /* No support for point compression */
153         if (*buf != 0x4)
154                 goto err_freebuf;
155
156         rc = -ENOMEM;
157         n = (n - 1) / 2;
158         x = mpi_read_raw_data(buf + 1, n);
159         if (!x)
160                 goto err_freebuf;
161         y = mpi_read_raw_data(buf + 1 + n, n);
162         if (!y)
163                 goto err_freex;
164
165         mpi_normalize(x);
166         mpi_normalize(y);
167         mpi_set(result->x, x);
168         mpi_set(result->y, y);
169         mpi_set_ui(result->z, 1);
170
171         rc = 0;
172
173         mpi_free(y);
174 err_freex:
175         mpi_free(x);
176 err_freebuf:
177         kfree(buf);
178         return rc;
179 }
180
181 struct sm2_signature_ctx {
182         MPI sig_r;
183         MPI sig_s;
184 };
185
186 int sm2_get_signature_r(void *context, size_t hdrlen, unsigned char tag,
187                                 const void *value, size_t vlen)
188 {
189         struct sm2_signature_ctx *sig = context;
190
191         if (!value || !vlen)
192                 return -EINVAL;
193
194         sig->sig_r = mpi_read_raw_data(value, vlen);
195         if (!sig->sig_r)
196                 return -ENOMEM;
197
198         return 0;
199 }
200
201 int sm2_get_signature_s(void *context, size_t hdrlen, unsigned char tag,
202                                 const void *value, size_t vlen)
203 {
204         struct sm2_signature_ctx *sig = context;
205
206         if (!value || !vlen)
207                 return -EINVAL;
208
209         sig->sig_s = mpi_read_raw_data(value, vlen);
210         if (!sig->sig_s)
211                 return -ENOMEM;
212
213         return 0;
214 }
215
216 static int sm2_z_digest_update(struct shash_desc *desc,
217                         MPI m, unsigned int pbytes)
218 {
219         static const unsigned char zero[32];
220         unsigned char *in;
221         unsigned int inlen;
222
223         in = mpi_get_buffer(m, &inlen, NULL);
224         if (!in)
225                 return -EINVAL;
226
227         if (inlen < pbytes) {
228                 /* padding with zero */
229                 crypto_sm3_update(desc, zero, pbytes - inlen);
230                 crypto_sm3_update(desc, in, inlen);
231         } else if (inlen > pbytes) {
232                 /* skip the starting zero */
233                 crypto_sm3_update(desc, in + inlen - pbytes, pbytes);
234         } else {
235                 crypto_sm3_update(desc, in, inlen);
236         }
237
238         kfree(in);
239         return 0;
240 }
241
242 static int sm2_z_digest_update_point(struct shash_desc *desc,
243                 MPI_POINT point, struct mpi_ec_ctx *ec, unsigned int pbytes)
244 {
245         MPI x, y;
246         int ret = -EINVAL;
247
248         x = mpi_new(0);
249         y = mpi_new(0);
250
251         if (!mpi_ec_get_affine(x, y, point, ec) &&
252                 !sm2_z_digest_update(desc, x, pbytes) &&
253                 !sm2_z_digest_update(desc, y, pbytes))
254                 ret = 0;
255
256         mpi_free(x);
257         mpi_free(y);
258         return ret;
259 }
260
261 int sm2_compute_z_digest(struct crypto_akcipher *tfm,
262                         const unsigned char *id, size_t id_len,
263                         unsigned char dgst[SM3_DIGEST_SIZE])
264 {
265         struct mpi_ec_ctx *ec = akcipher_tfm_ctx(tfm);
266         uint16_t bits_len;
267         unsigned char entl[2];
268         SHASH_DESC_ON_STACK(desc, NULL);
269         unsigned int pbytes;
270
271         if (id_len > (USHRT_MAX / 8) || !ec->Q)
272                 return -EINVAL;
273
274         bits_len = (uint16_t)(id_len * 8);
275         entl[0] = bits_len >> 8;
276         entl[1] = bits_len & 0xff;
277
278         pbytes = MPI_NBYTES(ec->p);
279
280         /* ZA = H256(ENTLA | IDA | a | b | xG | yG | xA | yA) */
281         sm3_base_init(desc);
282         crypto_sm3_update(desc, entl, 2);
283         crypto_sm3_update(desc, id, id_len);
284
285         if (sm2_z_digest_update(desc, ec->a, pbytes) ||
286                 sm2_z_digest_update(desc, ec->b, pbytes) ||
287                 sm2_z_digest_update_point(desc, ec->G, ec, pbytes) ||
288                 sm2_z_digest_update_point(desc, ec->Q, ec, pbytes))
289                 return -EINVAL;
290
291         crypto_sm3_final(desc, dgst);
292         return 0;
293 }
294 EXPORT_SYMBOL(sm2_compute_z_digest);
295
296 static int _sm2_verify(struct mpi_ec_ctx *ec, MPI hash, MPI sig_r, MPI sig_s)
297 {
298         int rc = -EINVAL;
299         struct gcry_mpi_point sG, tP;
300         MPI t = NULL;
301         MPI x1 = NULL, y1 = NULL;
302
303         mpi_point_init(&sG);
304         mpi_point_init(&tP);
305         x1 = mpi_new(0);
306         y1 = mpi_new(0);
307         t = mpi_new(0);
308
309         /* r, s in [1, n-1] */
310         if (mpi_cmp_ui(sig_r, 1) < 0 || mpi_cmp(sig_r, ec->n) > 0 ||
311                 mpi_cmp_ui(sig_s, 1) < 0 || mpi_cmp(sig_s, ec->n) > 0) {
312                 goto leave;
313         }
314
315         /* t = (r + s) % n, t == 0 */
316         mpi_addm(t, sig_r, sig_s, ec->n);
317         if (mpi_cmp_ui(t, 0) == 0)
318                 goto leave;
319
320         /* sG + tP = (x1, y1) */
321         rc = -EBADMSG;
322         mpi_ec_mul_point(&sG, sig_s, ec->G, ec);
323         mpi_ec_mul_point(&tP, t, ec->Q, ec);
324         mpi_ec_add_points(&sG, &sG, &tP, ec);
325         if (mpi_ec_get_affine(x1, y1, &sG, ec))
326                 goto leave;
327
328         /* R = (e + x1) % n */
329         mpi_addm(t, hash, x1, ec->n);
330
331         /* check R == r */
332         rc = -EKEYREJECTED;
333         if (mpi_cmp(t, sig_r))
334                 goto leave;
335
336         rc = 0;
337
338 leave:
339         mpi_point_free_parts(&sG);
340         mpi_point_free_parts(&tP);
341         mpi_free(x1);
342         mpi_free(y1);
343         mpi_free(t);
344
345         return rc;
346 }
347
348 static int sm2_verify(struct akcipher_request *req)
349 {
350         struct crypto_akcipher *tfm = crypto_akcipher_reqtfm(req);
351         struct mpi_ec_ctx *ec = akcipher_tfm_ctx(tfm);
352         unsigned char *buffer;
353         struct sm2_signature_ctx sig;
354         MPI hash;
355         int ret;
356
357         if (unlikely(!ec->Q))
358                 return -EINVAL;
359
360         buffer = kmalloc(req->src_len + req->dst_len, GFP_KERNEL);
361         if (!buffer)
362                 return -ENOMEM;
363
364         sg_pcopy_to_buffer(req->src,
365                 sg_nents_for_len(req->src, req->src_len + req->dst_len),
366                 buffer, req->src_len + req->dst_len, 0);
367
368         sig.sig_r = NULL;
369         sig.sig_s = NULL;
370         ret = asn1_ber_decoder(&sm2signature_decoder, &sig,
371                                 buffer, req->src_len);
372         if (ret)
373                 goto error;
374
375         ret = -ENOMEM;
376         hash = mpi_read_raw_data(buffer + req->src_len, req->dst_len);
377         if (!hash)
378                 goto error;
379
380         ret = _sm2_verify(ec, hash, sig.sig_r, sig.sig_s);
381
382         mpi_free(hash);
383 error:
384         mpi_free(sig.sig_r);
385         mpi_free(sig.sig_s);
386         kfree(buffer);
387         return ret;
388 }
389
390 static int sm2_set_pub_key(struct crypto_akcipher *tfm,
391                         const void *key, unsigned int keylen)
392 {
393         struct mpi_ec_ctx *ec = akcipher_tfm_ctx(tfm);
394         MPI a;
395         int rc;
396
397         /* include the uncompressed flag '0x04' */
398         a = mpi_read_raw_data(key, keylen);
399         if (!a)
400                 return -ENOMEM;
401
402         mpi_normalize(a);
403         rc = sm2_ecc_os2ec(ec->Q, a);
404         mpi_free(a);
405
406         return rc;
407 }
408
409 static unsigned int sm2_max_size(struct crypto_akcipher *tfm)
410 {
411         /* Unlimited max size */
412         return PAGE_SIZE;
413 }
414
415 static int sm2_init_tfm(struct crypto_akcipher *tfm)
416 {
417         struct mpi_ec_ctx *ec = akcipher_tfm_ctx(tfm);
418
419         return sm2_ec_ctx_init(ec);
420 }
421
422 static void sm2_exit_tfm(struct crypto_akcipher *tfm)
423 {
424         struct mpi_ec_ctx *ec = akcipher_tfm_ctx(tfm);
425
426         sm2_ec_ctx_deinit(ec);
427 }
428
429 static struct akcipher_alg sm2 = {
430         .verify = sm2_verify,
431         .set_pub_key = sm2_set_pub_key,
432         .max_size = sm2_max_size,
433         .init = sm2_init_tfm,
434         .exit = sm2_exit_tfm,
435         .base = {
436                 .cra_name = "sm2",
437                 .cra_driver_name = "sm2-generic",
438                 .cra_priority = 100,
439                 .cra_module = THIS_MODULE,
440                 .cra_ctxsize = sizeof(struct mpi_ec_ctx),
441         },
442 };
443
444 static int sm2_init(void)
445 {
446         return crypto_register_akcipher(&sm2);
447 }
448
449 static void sm2_exit(void)
450 {
451         crypto_unregister_akcipher(&sm2);
452 }
453
454 subsys_initcall(sm2_init);
455 module_exit(sm2_exit);
456
457 MODULE_LICENSE("GPL");
458 MODULE_AUTHOR("Tianjia Zhang <tianjia.zhang@linux.alibaba.com>");
459 MODULE_DESCRIPTION("SM2 generic algorithm");
460 MODULE_ALIAS_CRYPTO("sm2-generic");