src/librand/chacha.rs

   1 // Copyright 2014 The Rust Project Developers. See the COPYRIGHT
   2 // file at the top-level directory of this distribution and at
   3 // http://rust-lang.org/COPYRIGHT.
   4 //
   5 // Licensed under the Apache License, Version 2.0 <LICENSE-APACHE or
   6 // http://www.apache.org/licenses/LICENSE-2.0> or the MIT license
   7 // <LICENSE-MIT or http://opensource.org/licenses/MIT>, at your
   8 // option. This file may not be copied, modified, or distributed
   9 // except according to those terms.
  10
  11 //! The ChaCha random number generator.
  12
  13 use core::prelude::*;
  14 use core::num::Int;
  15
  16 use {Rng, SeedableRng, Rand};
  17
  18 const KEY_WORDS    : uint =  8; // 8 words for the 256-bit key
  19 const STATE_WORDS  : uint = 16;
  20 const CHACHA_ROUNDS: uint = 20; // Cryptographically secure from 8 upwards as of this writing
  21
  22 /// A random number generator that uses the ChaCha20 algorithm [1].
  23 ///
  24 /// The ChaCha algorithm is widely accepted as suitable for
  25 /// cryptographic purposes, but this implementation has not been
  26 /// verified as such. Prefer a generator like `OsRng` that defers to
  27 /// the operating system for cases that need high security.
  28 ///
  29 /// [1]: D. J. Bernstein, [*ChaCha, a variant of
  30 /// Salsa20*](http://cr.yp.to/chacha.html)
  31
  32 pub struct ChaChaRng {
  33     buffer:  [u32, ..STATE_WORDS], // Internal buffer of output
  34     state:   [u32, ..STATE_WORDS], // Initial state
  35     index:   uint,                 // Index into state
  36 }
  37
  38 static EMPTY: ChaChaRng = ChaChaRng {
  39     buffer:  [0, ..STATE_WORDS],
  40     state:   [0, ..STATE_WORDS],
  41     index:   STATE_WORDS
  42 };
  43
  44
  45 macro_rules! quarter_round{
  46     ($a: expr, $b: expr, $c: expr, $d: expr) => {{
  47         $a += $b; $d ^= $a; $d = $d.rotate_left(16);
  48         $c += $d; $b ^= $c; $b = $b.rotate_left(12);
  49         $a += $b; $d ^= $a; $d = $d.rotate_left( 8);
  50         $c += $d; $b ^= $c; $b = $b.rotate_left( 7);
  51     }}
  52 }
  53
  54 macro_rules! double_round{
  55     ($x: expr) => {{
  56         // Column round
  57         quarter_round!($x[ 0], $x[ 4], $x[ 8], $x[12]);
  58         quarter_round!($x[ 1], $x[ 5], $x[ 9], $x[13]);
  59         quarter_round!($x[ 2], $x[ 6], $x[10], $x[14]);
  60         quarter_round!($x[ 3], $x[ 7], $x[11], $x[15]);
  61         // Diagonal round
  62         quarter_round!($x[ 0], $x[ 5], $x[10], $x[15]);
  63         quarter_round!($x[ 1], $x[ 6], $x[11], $x[12]);
  64         quarter_round!($x[ 2], $x[ 7], $x[ 8], $x[13]);
  65         quarter_round!($x[ 3], $x[ 4], $x[ 9], $x[14]);
  66     }}
  67 }
  68
  69 #[inline]
  70 fn core(output: &mut [u32, ..STATE_WORDS], input: &[u32, ..STATE_WORDS]) {
  71     *output = *input;
  72
  73     for _ in range(0, CHACHA_ROUNDS / 2) {
  74         double_round!(output);
  75     }
  76
  77     for i in range(0, STATE_WORDS) {
  78         output[i] += input[i];
  79     }
  80 }
  81
  82 impl ChaChaRng {
  83
  84     /// Create an ChaCha random number generator using the default
  85     /// fixed key of 8 zero words.
  86     pub fn new_unseeded() -> ChaChaRng {
  87         let mut rng = EMPTY;
  88         rng.init(&[0, ..KEY_WORDS]);
  89         rng
  90     }
  91
  92     /// Sets the internal 128-bit ChaCha counter to
  93     /// a user-provided value. This permits jumping
  94     /// arbitrarily ahead (or backwards) in the pseudorandom stream.
  95     ///
  96     /// Since the nonce words are used to extend the counter to 128 bits,
  97     /// users wishing to obtain the conventional ChaCha pseudorandom stream
  98     /// associated with a particular nonce can call this function with
  99     /// arguments `0, desired_nonce`.
 100     pub fn set_counter(&mut self, counter_low: u64, counter_high: u64) {
 101         self.state[12] = (counter_low >>  0) as u32;
 102         self.state[13] = (counter_low >> 32) as u32;
 103         self.state[14] = (counter_high >>  0) as u32;
 104         self.state[15] = (counter_high >> 32) as u32;
 105         self.index = STATE_WORDS; // force recomputation
 106     }
 107
 108     /// Initializes `self.state` with the appropriate key and constants
 109     ///
 110     /// We deviate slightly from the ChaCha specification regarding
 111     /// the nonce, which is used to extend the counter to 128 bits.
 112     /// This is provably as strong as the original cipher, though,
 113     /// since any distinguishing attack on our variant also works
 114     /// against ChaCha with a chosen-nonce. See the XSalsa20 [1]
 115     /// security proof for a more involved example of this.
 116     ///
 117     /// The modified word layout is:
 118     /// ```notrust
 119     /// constant constant constant constant
 120     /// key      key      key      key
 121     /// key      key      key      key
 122     /// counter  counter  counter  counter
 123     /// ```
 124     /// [1]: Daniel J. Bernstein. [*Extending the Salsa20
 125     /// nonce.*](http://cr.yp.to/papers.html#xsalsa)
 126     fn init(&mut self, key: &[u32, ..KEY_WORDS]) {
 127         self.state[0] = 0x61707865;
 128         self.state[1] = 0x3320646E;
 129         self.state[2] = 0x79622D32;
 130         self.state[3] = 0x6B206574;
 131
 132         for i in range(0, KEY_WORDS) {
 133             self.state[4+i] = key[i];
 134         }
 135
 136         self.state[12] = 0;
 137         self.state[13] = 0;
 138         self.state[14] = 0;
 139         self.state[15] = 0;
 140
 141         self.index = STATE_WORDS;
 142     }
 143
 144     /// Refill the internal output buffer (`self.buffer`)
 145     fn update(&mut self) {
 146         core(&mut self.buffer, &self.state);
 147         self.index = 0;
 148         // update 128-bit counter
 149         self.state[12] += 1;
 150         if self.state[12] != 0 { return };
 151         self.state[13] += 1;
 152         if self.state[13] != 0 { return };
 153         self.state[14] += 1;
 154         if self.state[14] != 0 { return };
 155         self.state[15] += 1;
 156     }
 157 }
 158
 159 impl Rng for ChaChaRng {
 160     #[inline]
 161     fn next_u32(&mut self) -> u32 {
 162         if self.index == STATE_WORDS {
 163             self.update();
 164         }
 165
 166         let value = self.buffer[self.index % STATE_WORDS];
 167         self.index += 1;
 168         value
 169     }
 170 }
 171
 172 impl<'a> SeedableRng<&'a [u32]> for ChaChaRng {
 173
 174     fn reseed(&mut self, seed: &'a [u32]) {
 175         // reset state
 176         self.init(&[0u32, ..KEY_WORDS]);
 177         // set key in place
 178         let key = self.state.slice_mut(4, 4+KEY_WORDS);
 179         for (k, s) in key.iter_mut().zip(seed.iter()) {
 180             *k = *s;
 181         }
 182     }
 183
 184     /// Create a ChaCha generator from a seed,
 185     /// obtained from a variable-length u32 array.
 186     /// Only up to 8 words are used; if less than 8
 187     /// words are used, the remaining are set to zero.
 188     fn from_seed(seed: &'a [u32]) -> ChaChaRng {
 189         let mut rng = EMPTY;
 190         rng.reseed(seed);
 191         rng
 192     }
 193 }
 194
 195 impl Rand for ChaChaRng {
 196     fn rand<R: Rng>(other: &mut R) -> ChaChaRng {
 197         let mut key : [u32, ..KEY_WORDS] = [0, ..KEY_WORDS];
 198         for word in key.iter_mut() {
 199             *word = other.gen();
 200         }
 201         SeedableRng::from_seed(key.as_slice())
 202     }
 203 }
 204
 205
 206 #[cfg(test)]
 207 mod test {
 208     use std::prelude::*;
 209
 210     use core::iter::order;
 211     use {Rng, SeedableRng};
 212     use super::ChaChaRng;
 213
 214     #[test]
 215     fn test_rng_rand_seeded() {
 216         let s = ::test::rng().gen_iter::<u32>().take(8).collect::<Vec<u32>>();
 217         let mut ra: ChaChaRng = SeedableRng::from_seed(s.as_slice());
 218         let mut rb: ChaChaRng = SeedableRng::from_seed(s.as_slice());
 219         assert!(order::equals(ra.gen_ascii_chars().take(100),
 220                               rb.gen_ascii_chars().take(100)));
 221     }
 222
 223     #[test]
 224     fn test_rng_seeded() {
 225         let seed : &[_] = &[0,1,2,3,4,5,6,7];
 226         let mut ra: ChaChaRng = SeedableRng::from_seed(seed);
 227         let mut rb: ChaChaRng = SeedableRng::from_seed(seed);
 228         assert!(order::equals(ra.gen_ascii_chars().take(100),
 229                               rb.gen_ascii_chars().take(100)));
 230     }
 231
 232     #[test]
 233     fn test_rng_reseed() {
 234         let s = ::test::rng().gen_iter::<u32>().take(8).collect::<Vec<u32>>();
 235         let mut r: ChaChaRng = SeedableRng::from_seed(s.as_slice());
 236         let string1: String = r.gen_ascii_chars().take(100).collect();
 237
 238         r.reseed(s.as_slice());
 239
 240         let string2: String = r.gen_ascii_chars().take(100).collect();
 241         assert_eq!(string1, string2);
 242     }
 243
 244     #[test]
 245     fn test_rng_true_values() {
 246         // Test vectors 1 and 2 from
 247         // http://tools.ietf.org/html/draft-nir-cfrg-chacha20-poly1305-04
 248         let seed : &[_] = &[0u32, ..8];
 249         let mut ra: ChaChaRng = SeedableRng::from_seed(seed);
 250
 251         let v = Vec::from_fn(16, |_| ra.next_u32());
 252         assert_eq!(v,
 253                    vec!(0xade0b876, 0x903df1a0, 0xe56a5d40, 0x28bd8653,
 254                         0xb819d2bd, 0x1aed8da0, 0xccef36a8, 0xc70d778b,
 255                         0x7c5941da, 0x8d485751, 0x3fe02477, 0x374ad8b8,
 256                         0xf4b8436a, 0x1ca11815, 0x69b687c3, 0x8665eeb2));
 257
 258         let v = Vec::from_fn(16, |_| ra.next_u32());
 259         assert_eq!(v,
 260                    vec!(0xbee7079f, 0x7a385155, 0x7c97ba98, 0x0d082d73,
 261                         0xa0290fcb, 0x6965e348, 0x3e53c612, 0xed7aee32,
 262                         0x7621b729, 0x434ee69c, 0xb03371d5, 0xd539d874,
 263                         0x281fed31, 0x45fb0a51, 0x1f0ae1ac, 0x6f4d794b));
 264
 265
 266         let seed : &[_] = &[0,1,2,3,4,5,6,7];
 267         let mut ra: ChaChaRng = SeedableRng::from_seed(seed);
 268
 269         // Store the 17*i-th 32-bit word,
 270         // i.e., the i-th word of the i-th 16-word block
 271         let mut v : Vec<u32> = Vec::new();
 272         for _ in range(0u, 16) {
 273             v.push(ra.next_u32());
 274             for _ in range(0u, 16) {
 275                 ra.next_u32();
 276             }
 277         }
 278
 279         assert_eq!(v,
 280                    vec!(0xf225c81a, 0x6ab1be57, 0x04d42951, 0x70858036,
 281                         0x49884684, 0x64efec72, 0x4be2d186, 0x3615b384,
 282                         0x11cfa18e, 0xd3c50049, 0x75c775f6, 0x434c6530,
 283                         0x2c5bad8f, 0x898881dc, 0x5f1c86d9, 0xc1f8e7f4));
 284     }
 285 }
 286