Branch data Line data Source code
1 : : // Copyright (c) 2017-2022 The Bitcoin Core developers
2 : : // Distributed under the MIT software license, see the accompanying
3 : : // file COPYING or http://www.opensource.org/licenses/mit-license.php.
4 : :
5 : : #include <crypto/muhash.h>
6 : :
7 : : #include <crypto/chacha20.h>
8 : : #include <crypto/common.h>
9 : : #include <hash.h>
10 : :
11 : : #include <cassert>
12 : : #include <cstdio>
13 : : #include <limits>
14 : :
15 : : namespace {
16 : :
17 : : using limb_t = Num3072::limb_t;
18 : : using double_limb_t = Num3072::double_limb_t;
19 : : constexpr int LIMB_SIZE = Num3072::LIMB_SIZE;
20 : : /** 2^3072 - 1103717, the largest 3072-bit safe prime number, is used as the modulus. */
21 : : constexpr limb_t MAX_PRIME_DIFF = 1103717;
22 : :
23 : : /** Extract the lowest limb of [c0,c1,c2] into n, and left shift the number by 1 limb. */
24 : 1591363824 : inline void extract3(limb_t& c0, limb_t& c1, limb_t& c2, limb_t& n)
25 : : {
26 : 1591363824 : n = c0;
27 : 1591363824 : c0 = c1;
28 : 1591363824 : c1 = c2;
29 : 1591363824 : c2 = 0;
30 : : }
31 : :
32 : : /** [c0,c1] = a * b */
33 : 13660174 : inline void mul(limb_t& c0, limb_t& c1, const limb_t& a, const limb_t& b)
34 : : {
35 : 13660174 : double_limb_t t = (double_limb_t)a * b;
36 : 13660174 : c1 = t >> LIMB_SIZE;
37 : 13660174 : c0 = t;
38 : : }
39 : :
40 : : /* [c0,c1,c2] += n * [d0,d1,d2]. c2 is 0 initially */
41 : 1558210411 : inline void mulnadd3(limb_t& c0, limb_t& c1, limb_t& c2, limb_t& d0, limb_t& d1, limb_t& d2, const limb_t& n)
42 : : {
43 : 1558210411 : double_limb_t t = (double_limb_t)d0 * n + c0;
44 : 1558210411 : c0 = t;
45 : 1558210411 : t >>= LIMB_SIZE;
46 : 1558210411 : t += (double_limb_t)d1 * n + c1;
47 : 1558210411 : c1 = t;
48 : 1558210411 : t >>= LIMB_SIZE;
49 : 1558210411 : c2 = t + d2 * n;
50 : 1558210411 : }
51 : :
52 : : /* [c0,c1] *= n */
53 : 33153413 : inline void muln2(limb_t& c0, limb_t& c1, const limb_t& n)
54 : : {
55 : 33153413 : double_limb_t t = (double_limb_t)c0 * n;
56 : 33153413 : c0 = t;
57 : 33153413 : t >>= LIMB_SIZE;
58 : 33153413 : t += (double_limb_t)c1 * n;
59 : 33153413 : c1 = t;
60 : : }
61 : :
62 : : /** [c0,c1,c2] += a * b */
63 : 2233392002 : inline void muladd3(limb_t& c0, limb_t& c1, limb_t& c2, const limb_t& a, const limb_t& b)
64 : : {
65 : 2233392002 : double_limb_t t = (double_limb_t)a * b;
66 : 2233392002 : limb_t th = t >> LIMB_SIZE;
67 : 2233392002 : limb_t tl = t;
68 : :
69 : 2233392002 : c0 += tl;
70 [ + + ]: 2233392002 : th += (c0 < tl) ? 1 : 0;
71 : 2233392002 : c1 += th;
72 [ + + ]: 2233392002 : c2 += (c1 < th) ? 1 : 0;
73 : 2233392002 : }
74 : :
75 : : /** [c0,c1,c2] += 2 * a * b */
76 : 37069205688 : inline void muldbladd3(limb_t& c0, limb_t& c1, limb_t& c2, const limb_t& a, const limb_t& b)
77 : : {
78 : 37069205688 : double_limb_t t = (double_limb_t)a * b;
79 : 37069205688 : limb_t th = t >> LIMB_SIZE;
80 : 37069205688 : limb_t tl = t;
81 : :
82 : 37069205688 : c0 += tl;
83 [ + + ]: 37069205688 : limb_t tt = th + ((c0 < tl) ? 1 : 0);
84 : 37069205688 : c1 += tt;
85 [ + + ]: 37069205688 : c2 += (c1 < tt) ? 1 : 0;
86 : 37069205688 : c0 += tl;
87 [ + + ]: 37069205688 : th += (c0 < tl) ? 1 : 0;
88 : 37069205688 : c1 += th;
89 [ + + ]: 37069205688 : c2 += (c1 < th) ? 1 : 0;
90 : 37069205688 : }
91 : :
92 : : /**
93 : : * Add limb a to [c0,c1]: [c0,c1] += a. Then extract the lowest
94 : : * limb of [c0,c1] into n, and left shift the number by 1 limb.
95 : : * */
96 : 1591364352 : inline void addnextract2(limb_t& c0, limb_t& c1, const limb_t& a, limb_t& n)
97 : : {
98 : 1591364352 : limb_t c2 = 0;
99 : :
100 : : // add
101 : 1591364352 : c0 += a;
102 [ + + ]: 1591364352 : if (c0 < a) {
103 : 455996 : c1 += 1;
104 : :
105 : : // Handle case when c1 has overflown
106 [ - + ]: 455996 : if (c1 == 0)
107 : 0 : c2 = 1;
108 : : }
109 : :
110 : : // extract
111 : 1591364352 : n = c0;
112 : 1591364352 : c0 = c1;
113 : 1591364352 : c1 = c2;
114 : 1591364352 : }
115 : :
116 : : /** in_out = in_out^(2^sq) * mul */
117 : 149814 : inline void square_n_mul(Num3072& in_out, const int sq, const Num3072& mul)
118 : : {
119 [ + + ]: 11107638 : for (int j = 0; j < sq; ++j) in_out.Square();
120 : 149814 : in_out.Multiply(mul);
121 : 149814 : }
122 : :
123 : : } // namespace
124 : :
125 : : /** Indicates whether d is larger than the modulus. */
126 : 33185516 : bool Num3072::IsOverflow() const
127 : : {
128 [ + + ]: 33185516 : if (this->limbs[0] <= std::numeric_limits<limb_t>::max() - MAX_PRIME_DIFF) return false;
129 [ + + ]: 528 : for (int i = 1; i < LIMBS; ++i) {
130 [ + - ]: 517 : if (this->limbs[i] != std::numeric_limits<limb_t>::max()) return false;
131 : : }
132 : : return true;
133 : : }
134 : :
135 : 11 : void Num3072::FullReduce()
136 : : {
137 : 11 : limb_t c0 = MAX_PRIME_DIFF;
138 : 11 : limb_t c1 = 0;
139 [ + + ]: 539 : for (int i = 0; i < LIMBS; ++i) {
140 : 528 : addnextract2(c0, c1, this->limbs[i], this->limbs[i]);
141 : : }
142 : 11 : }
143 : :
144 : 10701 : Num3072 Num3072::GetInverse() const
145 : : {
146 : : // For fast exponentiation a sliding window exponentiation with repunit
147 : : // precomputation is utilized. See "Fast Point Decompression for Standard
148 : : // Elliptic Curves" (Brumley, Järvinen, 2008).
149 : :
150 [ + + ]: 139113 : Num3072 p[12]; // p[i] = a^(2^(2^i)-1)
151 : 10701 : Num3072 out;
152 : :
153 : 10701 : p[0] = *this;
154 : :
155 [ + + ]: 128412 : for (int i = 0; i < 11; ++i) {
156 : 117711 : p[i + 1] = p[i];
157 [ + + ]: 22022658 : for (int j = 0; j < (1 << i); ++j) p[i + 1].Square();
158 : 117711 : p[i + 1].Multiply(p[i]);
159 : : }
160 : :
161 : 10701 : out = p[11];
162 : :
163 : 10701 : square_n_mul(out, 512, p[9]);
164 : 10701 : square_n_mul(out, 256, p[8]);
165 : 10701 : square_n_mul(out, 128, p[7]);
166 : 10701 : square_n_mul(out, 64, p[6]);
167 : 10701 : square_n_mul(out, 32, p[5]);
168 : 10701 : square_n_mul(out, 8, p[3]);
169 : 10701 : square_n_mul(out, 2, p[1]);
170 : 10701 : square_n_mul(out, 1, p[0]);
171 : 10701 : square_n_mul(out, 5, p[2]);
172 : 10701 : square_n_mul(out, 3, p[0]);
173 : 10701 : square_n_mul(out, 2, p[0]);
174 : 10701 : square_n_mul(out, 4, p[0]);
175 : 10701 : square_n_mul(out, 4, p[1]);
176 : 10701 : square_n_mul(out, 3, p[0]);
177 : :
178 : 10701 : return out;
179 : : }
180 : :
181 : 290642 : void Num3072::Multiply(const Num3072& a)
182 : : {
183 : 290642 : limb_t c0 = 0, c1 = 0, c2 = 0;
184 : 290642 : Num3072 tmp;
185 : :
186 : : /* Compute limbs 0..N-2 of this*a into tmp, including one reduction. */
187 [ + + ]: 13950816 : for (int j = 0; j < LIMBS - 1; ++j) {
188 : 13660174 : limb_t d0 = 0, d1 = 0, d2 = 0;
189 : 13660174 : mul(d0, d1, this->limbs[1 + j], a.limbs[LIMBS + j - (1 + j)]);
190 [ + + ]: 327844176 : for (int i = 2 + j; i < LIMBS; ++i) muladd3(d0, d1, d2, this->limbs[i], a.limbs[LIMBS + j - i]);
191 : 13660174 : mulnadd3(c0, c1, c2, d0, d1, d2, MAX_PRIME_DIFF);
192 [ + + ]: 341504350 : for (int i = 0; i < j + 1; ++i) muladd3(c0, c1, c2, this->limbs[i], a.limbs[j - i]);
193 : 13660174 : extract3(c0, c1, c2, tmp.limbs[j]);
194 : : }
195 : :
196 : : /* Compute limb N-1 of a*b into tmp. */
197 [ + - ]: 290642 : assert(c2 == 0);
198 [ + + ]: 14241458 : for (int i = 0; i < LIMBS; ++i) muladd3(c0, c1, c2, this->limbs[i], a.limbs[LIMBS - 1 - i]);
199 : 290642 : extract3(c0, c1, c2, tmp.limbs[LIMBS - 1]);
200 : :
201 : : /* Perform a second reduction. */
202 : 290642 : muln2(c0, c1, MAX_PRIME_DIFF);
203 [ + + ]: 14241458 : for (int j = 0; j < LIMBS; ++j) {
204 : 13950816 : addnextract2(c0, c1, tmp.limbs[j], this->limbs[j]);
205 : : }
206 : :
207 [ - + ]: 290642 : assert(c1 == 0);
208 [ - + ]: 290642 : assert(c0 == 0 || c0 == 1);
209 : :
210 : : /* Perform up to two more reductions if the internal state has already
211 : : * overflown the MAX of Num3072 or if it is larger than the modulus or
212 : : * if both are the case.
213 : : * */
214 [ + + ]: 290642 : if (this->IsOverflow()) this->FullReduce();
215 [ - + ]: 290642 : if (c0) this->FullReduce();
216 : 290642 : }
217 : :
218 : 32862771 : void Num3072::Square()
219 : : {
220 : 32862771 : limb_t c0 = 0, c1 = 0, c2 = 0;
221 : 32862771 : Num3072 tmp;
222 : :
223 : : /* Compute limbs 0..N-2 of this*this into tmp, including one reduction. */
224 [ + + ]: 1577413008 : for (int j = 0; j < LIMBS - 1; ++j) {
225 : 1544550237 : limb_t d0 = 0, d1 = 0, d2 = 0;
226 [ + + ]: 19684799829 : for (int i = 0; i < (LIMBS - 1 - j) / 2; ++i) muldbladd3(d0, d1, d2, this->limbs[i + j + 1], this->limbs[LIMBS - 1 - i]);
227 [ + + ]: 1544550237 : if ((j + 1) & 1) muladd3(d0, d1, d2, this->limbs[(LIMBS - 1 - j) / 2 + j + 1], this->limbs[LIMBS - 1 - (LIMBS - 1 - j) / 2]);
228 : 1544550237 : mulnadd3(c0, c1, c2, d0, d1, d2, MAX_PRIME_DIFF);
229 [ + + ]: 19684799829 : for (int i = 0; i < (j + 1) / 2; ++i) muldbladd3(c0, c1, c2, this->limbs[i], this->limbs[j - i]);
230 [ + + ]: 1544550237 : if ((j + 1) & 1) muladd3(c0, c1, c2, this->limbs[(j + 1) / 2], this->limbs[j - (j + 1) / 2]);
231 : 1544550237 : extract3(c0, c1, c2, tmp.limbs[j]);
232 : : }
233 : :
234 [ + - ]: 32862771 : assert(c2 == 0);
235 [ + + ]: 821569275 : for (int i = 0; i < LIMBS / 2; ++i) muldbladd3(c0, c1, c2, this->limbs[i], this->limbs[LIMBS - 1 - i]);
236 : 32862771 : extract3(c0, c1, c2, tmp.limbs[LIMBS - 1]);
237 : :
238 : : /* Perform a second reduction. */
239 : 32862771 : muln2(c0, c1, MAX_PRIME_DIFF);
240 [ + + ]: 1610275779 : for (int j = 0; j < LIMBS; ++j) {
241 : 1577413008 : addnextract2(c0, c1, tmp.limbs[j], this->limbs[j]);
242 : : }
243 : :
244 [ - + ]: 32862771 : assert(c1 == 0);
245 [ - + ]: 32862771 : assert(c0 == 0 || c0 == 1);
246 : :
247 : : /* Perform up to two more reductions if the internal state has already
248 : : * overflown the MAX of Num3072 or if it is larger than the modulus or
249 : : * if both are the case.
250 : : * */
251 [ - + ]: 32862771 : if (this->IsOverflow()) this->FullReduce();
252 [ - + ]: 32862771 : if (c0) this->FullReduce();
253 : 32862771 : }
254 : :
255 : 33314520 : void Num3072::SetToOne()
256 : : {
257 : 33314520 : this->limbs[0] = 1;
258 [ + + ]: 1599096960 : for (int i = 1; i < LIMBS; ++i) this->limbs[i] = 0;
259 : 33314520 : }
260 : :
261 : 10701 : void Num3072::Divide(const Num3072& a)
262 : : {
263 [ + + ]: 10701 : if (this->IsOverflow()) this->FullReduce();
264 : :
265 : 10701 : Num3072 inv{};
266 [ - + ]: 10701 : if (a.IsOverflow()) {
267 : 0 : Num3072 b = a;
268 : 0 : b.FullReduce();
269 : 0 : inv = b.GetInverse();
270 : : } else {
271 : 10701 : inv = a.GetInverse();
272 : : }
273 : :
274 : 10701 : this->Multiply(inv);
275 [ - + ]: 10701 : if (this->IsOverflow()) this->FullReduce();
276 : 10701 : }
277 : :
278 : 12196 : Num3072::Num3072(const unsigned char (&data)[BYTE_SIZE]) {
279 [ + + ]: 597604 : for (int i = 0; i < LIMBS; ++i) {
280 : 585408 : if (sizeof(limb_t) == 4) {
281 : : this->limbs[i] = ReadLE32(data + 4 * i);
282 : 585408 : } else if (sizeof(limb_t) == 8) {
283 : 585408 : this->limbs[i] = ReadLE64(data + 8 * i);
284 : : }
285 : : }
286 : 12196 : }
287 : :
288 : 10701 : void Num3072::ToBytes(unsigned char (&out)[BYTE_SIZE]) {
289 [ + + ]: 524349 : for (int i = 0; i < LIMBS; ++i) {
290 : 513648 : if (sizeof(limb_t) == 4) {
291 : : WriteLE32(out + i * 4, this->limbs[i]);
292 : 513648 : } else if (sizeof(limb_t) == 8) {
293 : 513648 : WriteLE64(out + i * 8, this->limbs[i]);
294 : : }
295 : : }
296 : 10701 : }
297 : :
298 : 12196 : Num3072 MuHash3072::ToNum3072(Span<const unsigned char> in) {
299 : 12196 : unsigned char tmp[Num3072::BYTE_SIZE];
300 : :
301 : 12196 : uint256 hashed_in{(HashWriter{} << in).GetSHA256()};
302 : 12196 : static_assert(sizeof(tmp) % ChaCha20Aligned::BLOCKLEN == 0);
303 : 12196 : ChaCha20Aligned{MakeByteSpan(hashed_in)}.Keystream(MakeWritableByteSpan(tmp));
304 : 12196 : Num3072 out{tmp};
305 : :
306 : 12196 : return out;
307 : : }
308 : :
309 : 186 : MuHash3072::MuHash3072(Span<const unsigned char> in) noexcept
310 : : {
311 : 186 : m_numerator = ToNum3072(in);
312 : 186 : }
313 : :
314 : 10701 : void MuHash3072::Finalize(uint256& out) noexcept
315 : : {
316 : 10701 : m_numerator.Divide(m_denominator);
317 : 10701 : m_denominator.SetToOne(); // Needed to keep the MuHash object valid
318 : :
319 : 10701 : unsigned char data[Num3072::BYTE_SIZE];
320 : 10701 : m_numerator.ToBytes(data);
321 : :
322 : 10701 : out = (HashWriter{} << data).GetSHA256();
323 : 10701 : }
324 : :
325 : 108 : MuHash3072& MuHash3072::operator*=(const MuHash3072& mul) noexcept
326 : : {
327 : 108 : m_numerator.Multiply(mul.m_numerator);
328 : 108 : m_denominator.Multiply(mul.m_denominator);
329 : 108 : return *this;
330 : : }
331 : :
332 : 95 : MuHash3072& MuHash3072::operator/=(const MuHash3072& div) noexcept
333 : : {
334 : 95 : m_numerator.Multiply(div.m_denominator);
335 : 95 : m_denominator.Multiply(div.m_numerator);
336 : 95 : return *this;
337 : : }
338 : :
339 : 11764 : MuHash3072& MuHash3072::Insert(Span<const unsigned char> in) noexcept {
340 : 11764 : m_numerator.Multiply(ToNum3072(in));
341 : 11764 : return *this;
342 : : }
343 : :
344 : 246 : MuHash3072& MuHash3072::Remove(Span<const unsigned char> in) noexcept {
345 : 246 : m_denominator.Multiply(ToNum3072(in));
346 : 246 : return *this;
347 : : }
|
