Fix for definition of _gcm_hash.

Define _gcm_hash alias in gcm-internal.h

Add tests for internal ghash functions

x86_64: Rewrite of poly1305 assembly.

ChangeLog entry for arm64 implementation of chacha.

Merge branch 'arm64-chacha' into 'master'

[Arm64] Optimize Chacha20

See merge request nettle/nettle!37

ChangeLog entries for new ppc64 ecc files.

ecc: Add powerpc64 assembly for ecc_448_modp

Signed-off-by: Martin Schwenke <martin@meltin.net>
Signed-off-by: Amitay Isaacs <amitay@gmail.com>

Move a comment.

ecc: Add powerpc64 assembly for ecc_25519_modp

Signed-off-by: Martin Schwenke <martin@meltin.net>
Signed-off-by: Alastair D'Silva <alastair@d-silva.org>

ecc: Add powerpc64 assembly for ecc_224_modp

Signed-off-by: Amitay Isaacs <amitay@ozlabs.org>

Simplify poly1305-test, more use of tstring length.

Add randomized tests of poly1305.

Arrange so that GMP or mini-gmp is always available for tests.

ChangeLog entries for new ppc64 ecc files.

ecc: Add powerpc64 assembly for ecc_521_modp

Signed-off-by: Martin Schwenke <martin@meltin.net>
Signed-off-by: Alastair D'Silva <alastair@d-silva.org>

ecc: Add powerpc64 assembly for ecc_384_modp

Signed-off-by: Martin Schwenke <martin@meltin.net>
Signed-off-by: Amitay Isaacs <amitay@ozlabs.org>
Signed-off-by: Alastair D'Silva <alastair@d-silva.org>

ecc: Add powerpc64 assembly for ecc_192_modp

Signed-off-by: Amitay Isaacs <amitay@ozlabs.org>

[Arm64] Optimize Chacha20

Merge branch 's390x-chacha' into 'master'

[S390x] Optimize Chacha20 with fat build support

See merge request nettle/nettle!40

[S390x] Optimize Chacha20

tests: Use inline function for dummy definition of test_randomize.

Share ecc point validation function in testutils.c.

* testsuite/testutils.c (test_ecc_point_valid_p): New function,
moved from...
* testsuite/ecdsa-keygen-test.c (ecc_valid_p): ... old copy.
* testsuite/gostdsa-keygen-test.c (ecc_valid_p): ... old copy.
* testsuite/testutils.h: Declare it.

Whitespace cleanup

ppc: Reduce number of registers used for ecc_secp256r1_redc.

ppc: New configure test for ELFV2_ABI

x86_64: Improved ecc_secp256r1_redc

* x86_64/ecc-secp256r1-redc.asm: New folding scheme with one less
carry propagation phase, and fewer registers, avoiding save and
restore of callee-save registers. 17% speedup of this function on
AMD Ryzen 5, resulting in a modest improvement in ecdsa
performance.

ChangeLog for previous change.

ppc: Add powerpc64 assembly for ecc_256_redc

doc: documentation for SM3 hash

To: Niels Möller <nisse@lysator.liu.se>, nettle-bugs@lists.lysator.liu.se
Cc: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>
Date: Mon,  6 Dec 2021 16:57:00 +0800 (1 day, 11 hours, 33 minutes ago)

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

Merge branch 'sm3'

Comment improvements for x86_64 ecc_secp256r1_redc

nettle-benchmark: bench SM3 hashes

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

hmac: add support for SM3 hash function

Add support for calculating HMAC using SM3 hash functions.

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

testsuite: add test for SM3 hash function

Add a testuite for SM3 hash function. Test vectors are based on:
https://datatracker.ietf.org/doc/html/draft-shen-sm3-hash-01

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

Add OSCCA SM3 hash algorithm

Add OSCCA SM3 secure hash (OSCCA GM/T 0004-2012 SM3) generic
hash transformation.

Signed-off-by: Tianjia Zhang <tianjia.zhang@linux.alibaba.com>

Delete function mpz_limbs_read_n.

Delete function mpz_limbs_cmp.

gitlab-ci: Enable randomized tests

Add NETTLE_TEST_SEED=0 when running make check, in all configurations
except the --enable-mini-gmp build.

Randomize more tests

Reduce allocation in modinv test

Fix sqrt_ratio test for v = 0 case.

Reduce allocation in sqrt tests

Move NETTLE_TEST_SEED logic to testutils.c.

* testsuite/testutils.c (get_random_seed): Move function here.
(test_randomize): New function.
* testsuite/ecc-mod-test.c (get_random_seed): Delete old copy.
(test_main): Use test_randomize.
* testsuite/rsa-compute-root-test.c (get_random_seed): Delete old copy.
(test_main): Use test_randomize.

Delete obsolete comment.

Fix and test for sqrt(0) special case.

eccdata: Output ecc_sqrt_z and ECC_SQRT_E only when computed.

Fix comment typo.

Let secp384r1 inverse and sqrt share most of the powering.

* ecc-secp384r1.c (ecc_mod_pow_288m32m1): New function.
(ecc_secp384r1_inv): Use ecc_mod_pow_288m32m1.
(ecc_secp384r1_sqrt): Likewise.

eccdata: Delete generation of unused values ecc_sqrt_t and ECC_SQRT_T_BITS.

eccdata: Generate both redc and non-redc versions of ecc_sqrt_z.

Implement secp224r1 square root, based on patch by Wim Lewis.

New function ecc_mod_equal_p, based on patch by Wim Lewis.

New function ecc_mod_pow_127m1, used for ecc_secp224r1_inv.

Implement secp521r1 square root, based on patch by Wim Lewis.

Implement secp384r1 square root, based on patch by Wim Lewis.

Implement secp256r1 square root, based on patch by Wim Lewis.

Implement secp192r1 square root, based on patch by Wim Lewis.

Renamed sqrt_itch --> sqrt_ratio_itch, and curve25519 and curve448 sqrt functions.

Rename ecc sqrt --> sqrt_ratio.

* ecc-internal.h (ecc_mod_sqrt_ratio_func): Renamed typedef...
(ecc_mod_sqrt_func): ... from old name.
(struct ecc_modulo): Renamed corresponding function pointer to
sqrt_ratio. Updated all uses.

Merge branch 'secp256r1-mod'

Merge branch 's390x-sha1' into 'master'

[S390x] Optimize SHA3 permute using vector facility

This patch optimizes SHA3 permute function by taking advantage of supported vector facility. Vectorizing SHA3 permute fits more than applying SHA3 hardware-accelerator for s390x architecture in terms of implementing the actual permute procedure only rather than executing unneeded extra procedures which are handled by other functions in nettle library. Applying SHA3 hardware-accelerator in a previous patch yielded 12% performance boost while this patch has ~105% performance increase for SHA3 functions.
The optimized core follows the same optimization procedure that used in SHA3 permute implementation for x86_64 architecture.

| Algorithm | C (Mbyte/s) | Vectorized (Mbyte/s) |
| ------ | ------ | ------ |
| sha3_224 | 235.08 | 483.41 |
| sha3_256 | 226.15 | 460.68 |
| sha3_384 | 172.90 | 357.15 |
| sha3_512 | 120.46 | 243.96 |

See merge request nettle/nettle!36

New function ecc_mod_zero_p.

* ecc-mod-arith.c (ecc_mod_zero_p): New function.
* ecc-curve25519.c (ecc_curve25519_zero_p): Use it.
* ecc-curve448.c (ecc_curve448_zero_p): Deleted, usage replaced
with ecc_mod_zero_p.
* testsuite/ecc-modinv-test.c (mod_eq_p): Rewritten to use
ecc_mod_zero_p, and require that one input is canonically reduced.
(zero_p): Deleted, usage replaced with ecc_mod_zero_p.

[S390x] Improvements on documentation and instruction set usage for SHA3 permute

New function sec_zero_p.

[S390x] Remove lgr instructions by using xgrk instead of xgr instruction

Rewrite of secp256r1 mod functions.

Extend ecc-mod-test, with improved coverage of corner cases.

[S390x] Optimize SHA3 permute using vector facility

Change "signature on digest" --> "of digest".

Doc fixes.

Add documented types to the index. Clarify docs on dsa_signature,
ecc_point_clear and ecc_scalar_clear. Fix typo in docs of ecdsa_sign.

Delete a few old FIXME comments

Use @url and https consistently for references. Fix overlong lines.

Use texi2pdf to generate the pdf manual

ChangeLog entries for doc structure improvements.

Divide Cipher section into menu and nodes, and some other minor fixes.

Delete explicit node pointers in nettle.texinfo

Instead, rely on makeinfo's automatic pointer creation.

Change CBC-AES interface

* cbc.h (cbc_aes128_encrypt, cbc_aes192_encrypt)
(cbc_aes256_encrypt): Change interface, take cipher context
pointer and iv as separate arguments. Update C and x86_64
implementations and corresponding glue code.

Test AEAD encrypt/decrypt with message split into pieces.

Merge branch 'aes-cbc' into master

More checks for null pointers in test_aead, to silent static analyzer.

Fix checks of HAVE_NATIVE_cbc_aes*_encrypt

Fix fat builds for x86_64 windows

x86_64: Fat setup for assembly CBC AES.

x86_64: Assembly CBC AES aesni functions.

Add specialized functions for cbc-aes.

Merge branch 'x86_64-aes-refactor' into master

ChangeLog entries for recent contributions.

gitlab-ci: Use mini-gmp for big-endian powerpc64 cross build

gitlab-ci: Explicitly install cross libgmp-dev packages

gitlab-ci: No-assembly cross-build for s390x, to test big-endian

gitlab-ci: Delete mips build

It's no longer a debian release arch, and not supported by the build
images used for cross builds.

Merge branch 's390x-sha1' into 'master'

[S390x] Optimize SHA256 and SHA512 compress functions

This patch optimizes SHA256 and SHA512 compress functions for s390x architecture, the testsuite passes the tests. Benchmark on Z15:
| Algorithm | C | Hardware-accelerated |
| ------ | ------ | ------ |
| SHA265 | 242.76 Mbyte/s | 869.00 Mbyte/s |
| SHA512 | 373.18 Mbyte/s | 1555.21 Mbyte/s |

See merge request nettle/nettle!35

[S390x] Optimize SHA256 and SHA512 compress functions

Merge branch 's390x-sha1' into 'master'

[S390x] Optimize SHA1 compress with fat build support

See merge request nettle/nettle!33

x86_64: New 2-way aesni loop also for aes256

x86_64: Refactor aesni assembly, with specific functions for each key size.

[S390x] Optimize SHA1 compress

Merge branch 'arm64-aes' into 'master'

[AArch64] Optimize AES with fat build support

This patch optimizes AES encrypt/decrypt functions with each key size has its own implementation to load the key expansion just once at function prologue which yields a considerable performance increase over loading the key expansion for every block iteration. The patch also adds fat build support for the AES functions.
`make check` passes all tests. Benchmark of executing `examples/nettle-benchmark`:
| Algorithm | mode | C (Mbyte/s) | OpenSSL (Mbyte/s) | This patch (Mbyte/s) |
| ------ | ------ | ------ | ------ | ------ |
| aes128 | ECB encrypt | 95.01 | 1037.85 | 2579.62 |
| aes128 | ECB decrypt | 93.47 | 1005.15 | 2577.53 |
| aes192 | ECB encrypt | 79.60 | 893.34 | 2205.53 |
| aes192 | ECB decrypt | 78.34 | 889.17 | 2204.41 |
| aes256 | ECB encrypt | 66.64 | 782.21 | 1925.73 |
| aes256 | ECB decrypt | 65.81 | 781.37 | 1925.79 |

See merge request nettle/nettle!34

[AArch64] Utilize AES 1-block macros in 4-block macros