Merge tag 'mtd/fixes-for-6.6-rc7' of git://git.kernel.org/pub/scm/linux/kernel/git...
[platform/kernel/linux-rpi.git] / crypto / sm2.c
1 // SPDX-License-Identifier: GPL-2.0-or-later
2 /*
3  * SM2 asymmetric public-key algorithm
4  * as specified by OSCCA GM/T 0003.1-2012 -- 0003.5-2012 SM2 and
5  * described at https://tools.ietf.org/html/draft-shen-sm2-ecdsa-02
6  *
7  * Copyright (c) 2020, Alibaba Group.
8  * Authors: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>
9  */
10
11 #include <linux/module.h>
12 #include <linux/mpi.h>
13 #include <crypto/internal/akcipher.h>
14 #include <crypto/akcipher.h>
15 #include <crypto/hash.h>
16 #include <crypto/rng.h>
17 #include <crypto/sm2.h>
18 #include "sm2signature.asn1.h"
19
20 /* The default user id as specified in GM/T 0009-2012 */
21 #define SM2_DEFAULT_USERID "1234567812345678"
22 #define SM2_DEFAULT_USERID_LEN 16
23
24 #define MPI_NBYTES(m)   ((mpi_get_nbits(m) + 7) / 8)
25
26 struct ecc_domain_parms {
27         const char *desc;           /* Description of the curve.  */
28         unsigned int nbits;         /* Number of bits.  */
29         unsigned int fips:1; /* True if this is a FIPS140-2 approved curve */
30
31         /* The model describing this curve.  This is mainly used to select
32          * the group equation.
33          */
34         enum gcry_mpi_ec_models model;
35
36         /* The actual ECC dialect used.  This is used for curve specific
37          * optimizations and to select encodings etc.
38          */
39         enum ecc_dialects dialect;
40
41         const char *p;              /* The prime defining the field.  */
42         const char *a, *b;          /* The coefficients.  For Twisted Edwards
43                                      * Curves b is used for d.  For Montgomery
44                                      * Curves (a,b) has ((A-2)/4,B^-1).
45                                      */
46         const char *n;              /* The order of the base point.  */
47         const char *g_x, *g_y;      /* Base point.  */
48         unsigned int h;             /* Cofactor.  */
49 };
50
51 static const struct ecc_domain_parms sm2_ecp = {
52         .desc = "sm2p256v1",
53         .nbits = 256,
54         .fips = 0,
55         .model = MPI_EC_WEIERSTRASS,
56         .dialect = ECC_DIALECT_STANDARD,
57         .p   = "0xfffffffeffffffffffffffffffffffffffffffff00000000ffffffffffffffff",
58         .a   = "0xfffffffeffffffffffffffffffffffffffffffff00000000fffffffffffffffc",
59         .b   = "0x28e9fa9e9d9f5e344d5a9e4bcf6509a7f39789f515ab8f92ddbcbd414d940e93",
60         .n   = "0xfffffffeffffffffffffffffffffffff7203df6b21c6052b53bbf40939d54123",
61         .g_x = "0x32c4ae2c1f1981195f9904466a39c9948fe30bbff2660be1715a4589334c74c7",
62         .g_y = "0xbc3736a2f4f6779c59bdcee36b692153d0a9877cc62a474002df32e52139f0a0",
63         .h = 1
64 };
65
66 static int __sm2_set_pub_key(struct mpi_ec_ctx *ec,
67                              const void *key, unsigned int keylen);
68
69 static int sm2_ec_ctx_init(struct mpi_ec_ctx *ec)
70 {
71         const struct ecc_domain_parms *ecp = &sm2_ecp;
72         MPI p, a, b;
73         MPI x, y;
74         int rc = -EINVAL;
75
76         p = mpi_scanval(ecp->p);
77         a = mpi_scanval(ecp->a);
78         b = mpi_scanval(ecp->b);
79         if (!p || !a || !b)
80                 goto free_p;
81
82         x = mpi_scanval(ecp->g_x);
83         y = mpi_scanval(ecp->g_y);
84         if (!x || !y)
85                 goto free;
86
87         rc = -ENOMEM;
88
89         ec->Q = mpi_point_new(0);
90         if (!ec->Q)
91                 goto free;
92
93         /* mpi_ec_setup_elliptic_curve */
94         ec->G = mpi_point_new(0);
95         if (!ec->G) {
96                 mpi_point_release(ec->Q);
97                 goto free;
98         }
99
100         mpi_set(ec->G->x, x);
101         mpi_set(ec->G->y, y);
102         mpi_set_ui(ec->G->z, 1);
103
104         rc = -EINVAL;
105         ec->n = mpi_scanval(ecp->n);
106         if (!ec->n) {
107                 mpi_point_release(ec->Q);
108                 mpi_point_release(ec->G);
109                 goto free;
110         }
111
112         ec->h = ecp->h;
113         ec->name = ecp->desc;
114         mpi_ec_init(ec, ecp->model, ecp->dialect, 0, p, a, b);
115
116         rc = 0;
117
118 free:
119         mpi_free(x);
120         mpi_free(y);
121 free_p:
122         mpi_free(p);
123         mpi_free(a);
124         mpi_free(b);
125
126         return rc;
127 }
128
129 static void sm2_ec_ctx_deinit(struct mpi_ec_ctx *ec)
130 {
131         mpi_ec_deinit(ec);
132
133         memset(ec, 0, sizeof(*ec));
134 }
135
136 /* RESULT must have been initialized and is set on success to the
137  * point given by VALUE.
138  */
139 static int sm2_ecc_os2ec(MPI_POINT result, MPI value)
140 {
141         int rc;
142         size_t n;
143         unsigned char *buf;
144         MPI x, y;
145
146         n = MPI_NBYTES(value);
147         buf = kmalloc(n, GFP_KERNEL);
148         if (!buf)
149                 return -ENOMEM;
150
151         rc = mpi_print(GCRYMPI_FMT_USG, buf, n, &n, value);
152         if (rc)
153                 goto err_freebuf;
154
155         rc = -EINVAL;
156         if (n < 1 || ((n - 1) % 2))
157                 goto err_freebuf;
158         /* No support for point compression */
159         if (*buf != 0x4)
160                 goto err_freebuf;
161
162         rc = -ENOMEM;
163         n = (n - 1) / 2;
164         x = mpi_read_raw_data(buf + 1, n);
165         if (!x)
166                 goto err_freebuf;
167         y = mpi_read_raw_data(buf + 1 + n, n);
168         if (!y)
169                 goto err_freex;
170
171         mpi_normalize(x);
172         mpi_normalize(y);
173         mpi_set(result->x, x);
174         mpi_set(result->y, y);
175         mpi_set_ui(result->z, 1);
176
177         rc = 0;
178
179         mpi_free(y);
180 err_freex:
181         mpi_free(x);
182 err_freebuf:
183         kfree(buf);
184         return rc;
185 }
186
187 struct sm2_signature_ctx {
188         MPI sig_r;
189         MPI sig_s;
190 };
191
192 int sm2_get_signature_r(void *context, size_t hdrlen, unsigned char tag,
193                                 const void *value, size_t vlen)
194 {
195         struct sm2_signature_ctx *sig = context;
196
197         if (!value || !vlen)
198                 return -EINVAL;
199
200         sig->sig_r = mpi_read_raw_data(value, vlen);
201         if (!sig->sig_r)
202                 return -ENOMEM;
203
204         return 0;
205 }
206
207 int sm2_get_signature_s(void *context, size_t hdrlen, unsigned char tag,
208                                 const void *value, size_t vlen)
209 {
210         struct sm2_signature_ctx *sig = context;
211
212         if (!value || !vlen)
213                 return -EINVAL;
214
215         sig->sig_s = mpi_read_raw_data(value, vlen);
216         if (!sig->sig_s)
217                 return -ENOMEM;
218
219         return 0;
220 }
221
222 static int sm2_z_digest_update(struct shash_desc *desc,
223                                MPI m, unsigned int pbytes)
224 {
225         static const unsigned char zero[32];
226         unsigned char *in;
227         unsigned int inlen;
228         int err;
229
230         in = mpi_get_buffer(m, &inlen, NULL);
231         if (!in)
232                 return -EINVAL;
233
234         if (inlen < pbytes) {
235                 /* padding with zero */
236                 err = crypto_shash_update(desc, zero, pbytes - inlen) ?:
237                       crypto_shash_update(desc, in, inlen);
238         } else if (inlen > pbytes) {
239                 /* skip the starting zero */
240                 err = crypto_shash_update(desc, in + inlen - pbytes, pbytes);
241         } else {
242                 err = crypto_shash_update(desc, in, inlen);
243         }
244
245         kfree(in);
246         return err;
247 }
248
249 static int sm2_z_digest_update_point(struct shash_desc *desc,
250                                      MPI_POINT point, struct mpi_ec_ctx *ec,
251                                      unsigned int pbytes)
252 {
253         MPI x, y;
254         int ret = -EINVAL;
255
256         x = mpi_new(0);
257         y = mpi_new(0);
258
259         ret = mpi_ec_get_affine(x, y, point, ec) ? -EINVAL :
260               sm2_z_digest_update(desc, x, pbytes) ?:
261               sm2_z_digest_update(desc, y, pbytes);
262
263         mpi_free(x);
264         mpi_free(y);
265         return ret;
266 }
267
268 int sm2_compute_z_digest(struct shash_desc *desc,
269                          const void *key, unsigned int keylen, void *dgst)
270 {
271         struct mpi_ec_ctx *ec;
272         unsigned int bits_len;
273         unsigned int pbytes;
274         u8 entl[2];
275         int err;
276
277         ec = kmalloc(sizeof(*ec), GFP_KERNEL);
278         if (!ec)
279                 return -ENOMEM;
280
281         err = sm2_ec_ctx_init(ec);
282         if (err)
283                 goto out_free_ec;
284
285         err = __sm2_set_pub_key(ec, key, keylen);
286         if (err)
287                 goto out_deinit_ec;
288
289         bits_len = SM2_DEFAULT_USERID_LEN * 8;
290         entl[0] = bits_len >> 8;
291         entl[1] = bits_len & 0xff;
292
293         pbytes = MPI_NBYTES(ec->p);
294
295         /* ZA = H256(ENTLA | IDA | a | b | xG | yG | xA | yA) */
296         err = crypto_shash_init(desc);
297         if (err)
298                 goto out_deinit_ec;
299
300         err = crypto_shash_update(desc, entl, 2);
301         if (err)
302                 goto out_deinit_ec;
303
304         err = crypto_shash_update(desc, SM2_DEFAULT_USERID,
305                                   SM2_DEFAULT_USERID_LEN);
306         if (err)
307                 goto out_deinit_ec;
308
309         err = sm2_z_digest_update(desc, ec->a, pbytes) ?:
310               sm2_z_digest_update(desc, ec->b, pbytes) ?:
311               sm2_z_digest_update_point(desc, ec->G, ec, pbytes) ?:
312               sm2_z_digest_update_point(desc, ec->Q, ec, pbytes);
313         if (err)
314                 goto out_deinit_ec;
315
316         err = crypto_shash_final(desc, dgst);
317
318 out_deinit_ec:
319         sm2_ec_ctx_deinit(ec);
320 out_free_ec:
321         kfree(ec);
322         return err;
323 }
324 EXPORT_SYMBOL_GPL(sm2_compute_z_digest);
325
326 static int _sm2_verify(struct mpi_ec_ctx *ec, MPI hash, MPI sig_r, MPI sig_s)
327 {
328         int rc = -EINVAL;
329         struct gcry_mpi_point sG, tP;
330         MPI t = NULL;
331         MPI x1 = NULL, y1 = NULL;
332
333         mpi_point_init(&sG);
334         mpi_point_init(&tP);
335         x1 = mpi_new(0);
336         y1 = mpi_new(0);
337         t = mpi_new(0);
338
339         /* r, s in [1, n-1] */
340         if (mpi_cmp_ui(sig_r, 1) < 0 || mpi_cmp(sig_r, ec->n) > 0 ||
341                 mpi_cmp_ui(sig_s, 1) < 0 || mpi_cmp(sig_s, ec->n) > 0) {
342                 goto leave;
343         }
344
345         /* t = (r + s) % n, t == 0 */
346         mpi_addm(t, sig_r, sig_s, ec->n);
347         if (mpi_cmp_ui(t, 0) == 0)
348                 goto leave;
349
350         /* sG + tP = (x1, y1) */
351         rc = -EBADMSG;
352         mpi_ec_mul_point(&sG, sig_s, ec->G, ec);
353         mpi_ec_mul_point(&tP, t, ec->Q, ec);
354         mpi_ec_add_points(&sG, &sG, &tP, ec);
355         if (mpi_ec_get_affine(x1, y1, &sG, ec))
356                 goto leave;
357
358         /* R = (e + x1) % n */
359         mpi_addm(t, hash, x1, ec->n);
360
361         /* check R == r */
362         rc = -EKEYREJECTED;
363         if (mpi_cmp(t, sig_r))
364                 goto leave;
365
366         rc = 0;
367
368 leave:
369         mpi_point_free_parts(&sG);
370         mpi_point_free_parts(&tP);
371         mpi_free(x1);
372         mpi_free(y1);
373         mpi_free(t);
374
375         return rc;
376 }
377
378 static int sm2_verify(struct akcipher_request *req)
379 {
380         struct crypto_akcipher *tfm = crypto_akcipher_reqtfm(req);
381         struct mpi_ec_ctx *ec = akcipher_tfm_ctx(tfm);
382         unsigned char *buffer;
383         struct sm2_signature_ctx sig;
384         MPI hash;
385         int ret;
386
387         if (unlikely(!ec->Q))
388                 return -EINVAL;
389
390         buffer = kmalloc(req->src_len + req->dst_len, GFP_KERNEL);
391         if (!buffer)
392                 return -ENOMEM;
393
394         sg_pcopy_to_buffer(req->src,
395                 sg_nents_for_len(req->src, req->src_len + req->dst_len),
396                 buffer, req->src_len + req->dst_len, 0);
397
398         sig.sig_r = NULL;
399         sig.sig_s = NULL;
400         ret = asn1_ber_decoder(&sm2signature_decoder, &sig,
401                                 buffer, req->src_len);
402         if (ret)
403                 goto error;
404
405         ret = -ENOMEM;
406         hash = mpi_read_raw_data(buffer + req->src_len, req->dst_len);
407         if (!hash)
408                 goto error;
409
410         ret = _sm2_verify(ec, hash, sig.sig_r, sig.sig_s);
411
412         mpi_free(hash);
413 error:
414         mpi_free(sig.sig_r);
415         mpi_free(sig.sig_s);
416         kfree(buffer);
417         return ret;
418 }
419
420 static int sm2_set_pub_key(struct crypto_akcipher *tfm,
421                         const void *key, unsigned int keylen)
422 {
423         struct mpi_ec_ctx *ec = akcipher_tfm_ctx(tfm);
424
425         return __sm2_set_pub_key(ec, key, keylen);
426
427 }
428
429 static int __sm2_set_pub_key(struct mpi_ec_ctx *ec,
430                              const void *key, unsigned int keylen)
431 {
432         MPI a;
433         int rc;
434
435         /* include the uncompressed flag '0x04' */
436         a = mpi_read_raw_data(key, keylen);
437         if (!a)
438                 return -ENOMEM;
439
440         mpi_normalize(a);
441         rc = sm2_ecc_os2ec(ec->Q, a);
442         mpi_free(a);
443
444         return rc;
445 }
446
447 static unsigned int sm2_max_size(struct crypto_akcipher *tfm)
448 {
449         /* Unlimited max size */
450         return PAGE_SIZE;
451 }
452
453 static int sm2_init_tfm(struct crypto_akcipher *tfm)
454 {
455         struct mpi_ec_ctx *ec = akcipher_tfm_ctx(tfm);
456
457         return sm2_ec_ctx_init(ec);
458 }
459
460 static void sm2_exit_tfm(struct crypto_akcipher *tfm)
461 {
462         struct mpi_ec_ctx *ec = akcipher_tfm_ctx(tfm);
463
464         sm2_ec_ctx_deinit(ec);
465 }
466
467 static struct akcipher_alg sm2 = {
468         .verify = sm2_verify,
469         .set_pub_key = sm2_set_pub_key,
470         .max_size = sm2_max_size,
471         .init = sm2_init_tfm,
472         .exit = sm2_exit_tfm,
473         .base = {
474                 .cra_name = "sm2",
475                 .cra_driver_name = "sm2-generic",
476                 .cra_priority = 100,
477                 .cra_module = THIS_MODULE,
478                 .cra_ctxsize = sizeof(struct mpi_ec_ctx),
479         },
480 };
481
482 static int __init sm2_init(void)
483 {
484         return crypto_register_akcipher(&sm2);
485 }
486
487 static void __exit sm2_exit(void)
488 {
489         crypto_unregister_akcipher(&sm2);
490 }
491
492 subsys_initcall(sm2_init);
493 module_exit(sm2_exit);
494
495 MODULE_LICENSE("GPL");
496 MODULE_AUTHOR("Tianjia Zhang <tianjia.zhang@linux.alibaba.com>");
497 MODULE_DESCRIPTION("SM2 generic algorithm");
498 MODULE_ALIAS_CRYPTO("sm2-generic");