Merge branch 's390x-ghash-refactor' into 'ghash-refactor'

Refactor s390x-specific code for new ghash organization

See merge request nettle/nettle!44

Refactor s390x-specific code for new ghash organization

ppc: Update fat setup for new ghash organization.

ppc: Update vpmsumd ghash to new organization.

Comment fix.

arm64: Update fat setup for new ghash organization.

Fix comment error

arm64: Update pclmul ghash to new organization.

Update fat setup for new ghash organization.

Delete _ghash_digest.

x86_64: Update pclmul ghash to new organization.

x86_64: Update table-based ghash to new organization.

Move _ghash_digest.

Refactor GCM C implementation.

Assembly implementations not yet updated.

* Makefile.in (nettle_SOURCES): Add ghash-set-key.c ghash-update.c.
(DISTFILES): Replaced gcm-internal.h with ghash-internal.h.

* testsuite/gcm-test.c (test_ghash_internal): Updated to use
_ghash_set_key and _ghash_update.

* gcm.c (INC32): Deleted macro, used in only one place.
(gcm_set_key): Update to use _ghash_set_key.
(gcm_hash): Renamed, was _gcm_hash, and implemented in terms of
_ghash_update.
(bswap_if_le): New function (copied from nist-keywrap.c).
(gcm_hash_sizes): Use bswap_if_le and _ghash_update.
(gcm_set_iv): Updated to use gcm_hash and block16_zero.
(gcm_digest): Use _ghash_digest.

* ghash-internal.h: New file, declaring new internal ghash interface.
* gcm-internal.h: Deleted file.
* ghash-update.c (gcm_gf_shift_8): Moved here (from gcm.c)
(gcm_gf_mul): Likewise.
(_ghash_update): New function, extracted from _nettle_gcm_hash_c.
(_ghash_digest): New function.
* ghash-set-key.c (_ghash_set_key): New file and function.
Extracted from _nettle_gcm_init_key_c and _nettle_gcm_set_key.

New function block16_zero.

Delete code for GCM_TABLE_BITS != 8.

x86_64: Fat setup for GCM.

Fix comment typo.

x86_64: Initial implementation of gcm using the pclmulqdq instructions.

Rearrange gcm configuration defines, and add tests for internal functions.

Add tests for edge cases in poly1305 digest folding.

x86_64: Rewrite of poly1305 assembly.

ChangeLog entry for arm64 implementation of chacha.

Merge branch 'arm64-chacha' into 'master'

[Arm64] Optimize Chacha20

See merge request nettle/nettle!37

ChangeLog entries for new ppc64 ecc files.

ecc: Add powerpc64 assembly for ecc_448_modp

Signed-off-by: Martin Schwenke <martin@meltin.net>
Signed-off-by: Amitay Isaacs <amitay@gmail.com>

Move a comment.

ecc: Add powerpc64 assembly for ecc_25519_modp

Signed-off-by: Martin Schwenke <martin@meltin.net>
Signed-off-by: Alastair D'Silva <alastair@d-silva.org>

ecc: Add powerpc64 assembly for ecc_224_modp

Signed-off-by: Amitay Isaacs <amitay@ozlabs.org>

Simplify poly1305-test, more use of tstring length.

Add randomized tests of poly1305.

Arrange so that GMP or mini-gmp is always available for tests.

ChangeLog entries for new ppc64 ecc files.

ecc: Add powerpc64 assembly for ecc_521_modp

Signed-off-by: Martin Schwenke <martin@meltin.net>
Signed-off-by: Alastair D'Silva <alastair@d-silva.org>

ecc: Add powerpc64 assembly for ecc_384_modp

Signed-off-by: Martin Schwenke <martin@meltin.net>
Signed-off-by: Amitay Isaacs <amitay@ozlabs.org>
Signed-off-by: Alastair D'Silva <alastair@d-silva.org>

ecc: Add powerpc64 assembly for ecc_192_modp

Signed-off-by: Amitay Isaacs <amitay@ozlabs.org>

[Arm64] Optimize Chacha20

Merge branch 's390x-chacha' into 'master'

[S390x] Optimize Chacha20 with fat build support

See merge request nettle/nettle!40

[S390x] Optimize Chacha20

tests: Use inline function for dummy definition of test_randomize.

Share ecc point validation function in testutils.c.

* testsuite/testutils.c (test_ecc_point_valid_p): New function,
moved from...
* testsuite/ecdsa-keygen-test.c (ecc_valid_p): ... old copy.
* testsuite/gostdsa-keygen-test.c (ecc_valid_p): ... old copy.
* testsuite/testutils.h: Declare it.

Whitespace cleanup

ppc: Reduce number of registers used for ecc_secp256r1_redc.

ppc: New configure test for ELFV2_ABI

x86_64: Improved ecc_secp256r1_redc

* x86_64/ecc-secp256r1-redc.asm: New folding scheme with one less
carry propagation phase, and fewer registers, avoiding save and
restore of callee-save registers. 17% speedup of this function on
AMD Ryzen 5, resulting in a modest improvement in ecdsa
performance.

ChangeLog for previous change.

ppc: Add powerpc64 assembly for ecc_256_redc

doc: documentation for SM3 hash

To: Niels Möller <nisse@lysator.liu.se>, nettle-bugs@lists.lysator.liu.se
Cc: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>
Date: Mon,  6 Dec 2021 16:57:00 +0800 (1 day, 11 hours, 33 minutes ago)

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

Merge branch 'sm3'

Comment improvements for x86_64 ecc_secp256r1_redc

nettle-benchmark: bench SM3 hashes

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

hmac: add support for SM3 hash function

Add support for calculating HMAC using SM3 hash functions.

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

testsuite: add test for SM3 hash function

Add a testuite for SM3 hash function. Test vectors are based on:
https://datatracker.ietf.org/doc/html/draft-shen-sm3-hash-01

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

Add OSCCA SM3 hash algorithm

Add OSCCA SM3 secure hash (OSCCA GM/T 0004-2012 SM3) generic
hash transformation.

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

Delete function mpz_limbs_read_n.

Delete function mpz_limbs_cmp.

gitlab-ci: Enable randomized tests

Add NETTLE_TEST_SEED=0 when running make check, in all configurations
except the --enable-mini-gmp build.

Randomize more tests

Reduce allocation in modinv test

Fix sqrt_ratio test for v = 0 case.

Reduce allocation in sqrt tests

Move NETTLE_TEST_SEED logic to testutils.c.

* testsuite/testutils.c (get_random_seed): Move function here.
(test_randomize): New function.
* testsuite/ecc-mod-test.c (get_random_seed): Delete old copy.
(test_main): Use test_randomize.
* testsuite/rsa-compute-root-test.c (get_random_seed): Delete old copy.
(test_main): Use test_randomize.

Delete obsolete comment.

Fix and test for sqrt(0) special case.

eccdata: Output ecc_sqrt_z and ECC_SQRT_E only when computed.

Fix comment typo.

Let secp384r1 inverse and sqrt share most of the powering.

* ecc-secp384r1.c (ecc_mod_pow_288m32m1): New function.
(ecc_secp384r1_inv): Use ecc_mod_pow_288m32m1.
(ecc_secp384r1_sqrt): Likewise.

eccdata: Delete generation of unused values ecc_sqrt_t and ECC_SQRT_T_BITS.

eccdata: Generate both redc and non-redc versions of ecc_sqrt_z.

Implement secp224r1 square root, based on patch by Wim Lewis.

New function ecc_mod_equal_p, based on patch by Wim Lewis.

New function ecc_mod_pow_127m1, used for ecc_secp224r1_inv.

Implement secp521r1 square root, based on patch by Wim Lewis.

Implement secp384r1 square root, based on patch by Wim Lewis.

Implement secp256r1 square root, based on patch by Wim Lewis.

Implement secp192r1 square root, based on patch by Wim Lewis.

Renamed sqrt_itch --> sqrt_ratio_itch, and curve25519 and curve448 sqrt functions.

Rename ecc sqrt --> sqrt_ratio.

* ecc-internal.h (ecc_mod_sqrt_ratio_func): Renamed typedef...
(ecc_mod_sqrt_func): ... from old name.
(struct ecc_modulo): Renamed corresponding function pointer to
sqrt_ratio. Updated all uses.

Merge branch 'secp256r1-mod'

Merge branch 's390x-sha1' into 'master'

[S390x] Optimize SHA3 permute using vector facility

This patch optimizes SHA3 permute function by taking advantage of supported vector facility. Vectorizing SHA3 permute fits more than applying SHA3 hardware-accelerator for s390x architecture in terms of implementing the actual permute procedure only rather than executing unneeded extra procedures which are handled by other functions in nettle library. Applying SHA3 hardware-accelerator in a previous patch yielded 12% performance boost while this patch has ~105% performance increase for SHA3 functions.
The optimized core follows the same optimization procedure that used in SHA3 permute implementation for x86_64 architecture.

| Algorithm | C (Mbyte/s) | Vectorized (Mbyte/s) |
| ------ | ------ | ------ |
| sha3_224 | 235.08 | 483.41 |
| sha3_256 | 226.15 | 460.68 |
| sha3_384 | 172.90 | 357.15 |
| sha3_512 | 120.46 | 243.96 |

See merge request nettle/nettle!36

New function ecc_mod_zero_p.

* ecc-mod-arith.c (ecc_mod_zero_p): New function.
* ecc-curve25519.c (ecc_curve25519_zero_p): Use it.
* ecc-curve448.c (ecc_curve448_zero_p): Deleted, usage replaced
with ecc_mod_zero_p.
* testsuite/ecc-modinv-test.c (mod_eq_p): Rewritten to use
ecc_mod_zero_p, and require that one input is canonically reduced.
(zero_p): Deleted, usage replaced with ecc_mod_zero_p.

[S390x] Improvements on documentation and instruction set usage for SHA3 permute

New function sec_zero_p.

[S390x] Remove lgr instructions by using xgrk instead of xgr instruction

Rewrite of secp256r1 mod functions.

Extend ecc-mod-test, with improved coverage of corner cases.

[S390x] Optimize SHA3 permute using vector facility

Change "signature on digest" --> "of digest".

Doc fixes.

Add documented types to the index. Clarify docs on dsa_signature,
ecc_point_clear and ecc_scalar_clear. Fix typo in docs of ecdsa_sign.

Delete a few old FIXME comments

Use @url and https consistently for references. Fix overlong lines.

Use texi2pdf to generate the pdf manual

ChangeLog entries for doc structure improvements.

Divide Cipher section into menu and nodes, and some other minor fixes.

Delete explicit node pointers in nettle.texinfo

Instead, rely on makeinfo's automatic pointer creation.

Change CBC-AES interface

* cbc.h (cbc_aes128_encrypt, cbc_aes192_encrypt)
(cbc_aes256_encrypt): Change interface, take cipher context
pointer and iv as separate arguments. Update C and x86_64
implementations and corresponding glue code.

Test AEAD encrypt/decrypt with message split into pieces.

Merge branch 'aes-cbc' into master

More checks for null pointers in test_aead, to silent static analyzer.

Fix checks of HAVE_NATIVE_cbc_aes*_encrypt