chiark / gitweb /
Some basic formatting fixes.
[catacomb] / pub / rsa-gen.c
1 /* -*-c-*-
2  *
3  * RSA parameter generation
4  *
5  * (c) 1999 Straylight/Edgeware
6  */
7
8 /*----- Licensing notice --------------------------------------------------*
9  *
10  * This file is part of Catacomb.
11  *
12  * Catacomb is free software; you can redistribute it and/or modify
13  * it under the terms of the GNU Library General Public License as
14  * published by the Free Software Foundation; either version 2 of the
15  * License, or (at your option) any later version.
16  *
17  * Catacomb is distributed in the hope that it will be useful,
18  * but WITHOUT ANY WARRANTY; without even the implied warranty of
19  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
20  * GNU Library General Public License for more details.
21  *
22  * You should have received a copy of the GNU Library General Public
23  * License along with Catacomb; if not, write to the Free
24  * Software Foundation, Inc., 59 Temple Place - Suite 330, Boston,
25  * MA 02111-1307, USA.
26  */
27
28 /*----- Header files ------------------------------------------------------*/
29
30 #include <mLib/dstr.h>
31
32 #include "grand.h"
33 #include "mp.h"
34 #include "mpint.h"
35 #include "pgen.h"
36 #include "rsa.h"
37 #include "strongprime.h"
38
39 /*----- Main code ---------------------------------------------------------*/
40
41 /* --- @rsa_gen@ --- *
42  *
43  * Arguments:   @rsa_priv *rp@ = pointer to block to be filled in
44  *              @unsigned nbits@ = required modulus size in bits
45  *              @grand *r@ = random number source
46  *              @unsigned n@ = number of attempts to make
47  *              @pgen_proc *event@ = event handler function
48  *              @void *ectx@ = argument for the event handler
49  *
50  * Returns:     Zero if all went well, nonzero otherwise.
51  *
52  * Use:         Constructs a pair of strong RSA primes and other useful RSA
53  *              parameters.  A small encryption exponent is chosen if
54  *              possible.
55  */
56
57 int rsa_gen(rsa_priv *rp, unsigned nbits, grand *r, unsigned n,
58             pgen_proc *event, void *ectx)
59 {
60   pgen_gcdstepctx g;
61   mp *phi = MP_NEW;
62
63   /* --- Bits of initialization --- */
64
65   rp->e = mp_fromulong(MP_NEW, 0x10001);
66   rp->d = MP_NEW;
67
68   /* --- Generate strong primes %$p$% and %$q$% --- *
69    *
70    * Constrain the GCD of @q@ to ensure that overly small private exponents
71    * are impossible.  Current results suggest that if %$d < n^{0.29}$% then
72    * it can be guessed fairly easily.  This implementation is rather more
73    * conservative about that sort of thing.
74    */
75
76 again:
77   if ((rp->p = strongprime("p", MP_NEWSEC, nbits/2, r, n, event, ectx)) == 0)
78     goto fail_p;
79
80   /* --- Do painful fiddling with GCD steppers --- */
81
82   {
83     mp *q;
84     rabin rb;
85
86     if ((q = strongprime_setup("q", MP_NEWSEC, &g.jp, nbits / 2,
87                                r, n, event, ectx)) == 0)
88       goto fail_q;
89     g.r = mp_lsr(MP_NEW, rp->p, 1);
90     g.g = MP_NEW;
91     g.max = MP_256;
92     q = pgen("q", q, q, event, ectx, n, pgen_gcdstep, &g,
93              rabin_iters(nbits/2), pgen_test, &rb);
94     pfilt_destroy(&g.jp);
95     mp_drop(g.r);
96     if (!q) {
97       mp_drop(g.g);
98       if (n)
99         goto fail_q;
100       mp_drop(rp->p);
101       goto again;
102     }
103     rp->q = q;
104   }
105
106   /* --- Ensure that %$p > q$% --- *
107    *
108    * Also ensure that %$p$% and %$q$% are sufficiently different to deter
109    * square-root-based factoring methods.
110    */
111
112   phi = mp_sub(phi, rp->p, rp->q);
113   if (MP_LEN(phi) * 4 < MP_LEN(rp->p) * 3 ||
114       MP_LEN(phi) * 4 < MP_LEN(rp->q) * 3) {
115     mp_drop(rp->p);
116     mp_drop(g.g);
117     if (n)
118       goto fail_q;
119     mp_drop(rp->q);
120     goto again;
121   }
122
123   if (MP_NEGP(phi)) {
124     mp *z = rp->p;
125     rp->p = rp->q;
126     rp->q = z;
127   }
128
129   /* --- Work out the modulus and the CRT coefficient --- */
130
131   rp->n = mp_mul(MP_NEW, rp->p, rp->q);
132   rp->q_inv = mp_modinv(MP_NEW, rp->q, rp->p);
133
134   /* --- Work out %$\varphi(n) = (p - 1)(q - 1)$% --- *
135    *
136    * Save on further multiplications by noting that %$n = pq$% is known and
137    * that %$(p - 1)(q - 1) = pq - p - q + 1$%.  To minimize the size of @d@
138    * (useful for performance reasons, although not very because an overly
139    * small @d@ will be rejected for security reasons) this is then divided by
140    * %$\gcd(p - 1, q - 1)$%.
141    */
142
143   phi = mp_sub(phi, rp->n, rp->p);
144   phi = mp_sub(phi, phi, rp->q);
145   phi = mp_add(phi, phi, MP_ONE);
146   phi = mp_lsr(phi, phi, 1);
147   mp_div(&phi, 0, phi, g.g);
148
149   /* --- Decide on a public exponent --- *
150    *
151    * Simultaneously compute the private exponent.
152    */
153
154   mp_gcd(&g.g, 0, &rp->d, phi, rp->e);
155   if (!MP_EQ(g.g, MP_ONE) && MP_LEN(rp->d) * 4 > MP_LEN(rp->n) * 3)
156     goto fail_e;
157
158   /* --- Work out exponent residues --- */
159
160   rp->dp = MP_NEW; phi = mp_sub(phi, rp->p, MP_ONE);
161   mp_div(0, &rp->dp, rp->d, phi);
162
163   rp->dq = MP_NEW; phi = mp_sub(phi, rp->q, MP_ONE);
164   mp_div(0, &rp->dq, rp->d, phi);
165
166   /* --- Done --- */
167
168   mp_drop(phi);
169   mp_drop(g.g);
170   return (0);
171
172   /* --- Tidy up when something goes wrong --- */
173
174 fail_e:
175   mp_drop(g.g);
176   mp_drop(phi);
177   mp_drop(rp->n);
178   mp_drop(rp->q_inv);
179   mp_drop(rp->q);
180 fail_q:
181   mp_drop(rp->p);
182 fail_p:
183   mp_drop(rp->e);
184   if (rp->d)
185     mp_drop(rp->d);
186   return (-1);
187 }
188
189 /*----- That's all, folks -------------------------------------------------*/