aont/oaep.go

   1 /*
   2 GoVPN -- simple secure free software virtual private network daemon
   3 Copyright (C) 2014-2019 Sergey Matveev <stargrave@stargrave.org>
   4
   5 This program is free software: you can redistribute it and/or modify
   6 it under the terms of the GNU General Public License as published by
   7 the Free Software Foundation, version 3 of the License.
   8
   9 This program is distributed in the hope that it will be useful,
  10 but WITHOUT ANY WARRANTY; without even the implied warranty of
  11 MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  12 GNU General Public License for more details.
  13
  14 You should have received a copy of the GNU General Public License
  15 along with this program.  If not, see <http://www.gnu.org/licenses/>.
  16 */
  17
  18 // All-Or-Nothing-Transform, based on OAEP.
  19 //
  20 // This package implements OAEP (Optimal Asymmetric Encryption Padding)
  21 // (http://cseweb.ucsd.edu/~mihir/papers/oaep.html)
  22 // used there as All-Or-Nothing-Transformation
  23 // (http://theory.lcs.mit.edu/~cis/pubs/rivest/fusion.ps).
  24 // We do not fix OAEP parts length, instead we add hash-based
  25 // checksum like in SAEP+
  26 // (http://crypto.stanford.edu/~dabo/abstracts/saep.html).
  27 //
  28 // AONT takes 128-bit random r, data M to be encoded and produce the
  29 // package PKG:
  30 //
  31 //     PKG = P1 || P2
  32 //      P1 = ChaCha20(key=r, nonce=0x00, 0x00) XOR (M || BLAKE2b(r || M))
  33 //      P2 = BLAKE2b(P1) XOR r
  34 package aont
  35
  36 import (
  37         "crypto/subtle"
  38         "errors"
  39
  40         "go.cypherpunks.ru/govpn/v7/internal/chacha20"
  41
  42         "golang.org/x/crypto/blake2b"
  43 )
  44
  45 const (
  46         HSize = 32
  47         RSize = 16
  48 )
  49
  50 var (
  51         dummyNonce = new([16]byte)
  52 )
  53
  54 // Encode the data, produce AONT package. Data size will be larger than
  55 // the original one for 48 bytes.
  56 func Encode(r *[RSize]byte, in []byte) ([]byte, error) {
  57         out := make([]byte, len(in)+HSize+RSize)
  58         copy(out, in)
  59         h, err := blake2b.New256(nil)
  60         if err != nil {
  61                 return nil, err
  62         }
  63         h.Write(r[:])
  64         h.Write(in)
  65         copy(out[len(in):], h.Sum(nil))
  66         chachaKey := new([32]byte)
  67         copy(chachaKey[:], r[:])
  68         chacha20.XORKeyStream(out, out, dummyNonce, chachaKey)
  69         h.Reset()
  70         h.Write(out[:len(in)+32])
  71         for i, b := range h.Sum(nil)[:RSize] {
  72                 out[len(in)+32+i] = b ^ r[i]
  73         }
  74         return out, nil
  75 }
  76
  77 // Decode the data from AONT package. Data size will be smaller than the
  78 // original one for 48 bytes.
  79 func Decode(in []byte) ([]byte, error) {
  80         if len(in) < HSize+RSize {
  81                 return nil, errors.New("Too small input buffer")
  82         }
  83         h, err := blake2b.New256(nil)
  84         if err != nil {
  85                 return nil, err
  86         }
  87         h.Write(in[:len(in)-RSize])
  88         chachaKey := new([32]byte)
  89         for i, b := range h.Sum(nil)[:RSize] {
  90                 chachaKey[i] = b ^ in[len(in)-RSize+i]
  91         }
  92         h.Reset()
  93         h.Write(chachaKey[:RSize])
  94         out := make([]byte, len(in)-RSize)
  95         chacha20.XORKeyStream(out, in[:len(in)-RSize], dummyNonce, chachaKey)
  96         h.Write(out[:len(out)-HSize])
  97         if subtle.ConstantTimeCompare(h.Sum(nil), out[len(out)-HSize:]) != 1 {
  98                 return nil, errors.New("Invalid checksum")
  99         }
 100         return out[:len(out)-HSize], nil
 101 }