test/ecdsatest.c

   1 /*
   2  * Written by Nils Larsch for the OpenSSL project.
   3  */
   4 /* ====================================================================
   5  * Copyright (c) 2000-2005 The OpenSSL Project.  All rights reserved.
   6  *
   7  * Redistribution and use in source and binary forms, with or without
   8  * modification, are permitted provided that the following conditions
   9  * are met:
  10  *
  11  * 1. Redistributions of source code must retain the above copyright
  12  *    notice, this list of conditions and the following disclaimer.
  13  *
  14  * 2. Redistributions in binary form must reproduce the above copyright
  15  *    notice, this list of conditions and the following disclaimer in
  16  *    the documentation and/or other materials provided with the
  17  *    distribution.
  18  *
  19  * 3. All advertising materials mentioning features or use of this
  20  *    software must display the following acknowledgment:
  21  *    "This product includes software developed by the OpenSSL Project
  22  *    for use in the OpenSSL Toolkit. (http://www.OpenSSL.org/)"
  23  *
  24  * 4. The names "OpenSSL Toolkit" and "OpenSSL Project" must not be used to
  25  *    endorse or promote products derived from this software without
  26  *    prior written permission. For written permission, please contact
  27  *    licensing@OpenSSL.org.
  28  *
  29  * 5. Products derived from this software may not be called "OpenSSL"
  30  *    nor may "OpenSSL" appear in their names without prior written
  31  *    permission of the OpenSSL Project.
  32  *
  33  * 6. Redistributions of any form whatsoever must retain the following
  34  *    acknowledgment:
  35  *    "This product includes software developed by the OpenSSL Project
  36  *    for use in the OpenSSL Toolkit (http://www.OpenSSL.org/)"
  37  *
  38  * THIS SOFTWARE IS PROVIDED BY THE OpenSSL PROJECT ``AS IS'' AND ANY
  39  * EXPRESSED OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  40  * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR
  41  * PURPOSE ARE DISCLAIMED.  IN NO EVENT SHALL THE OpenSSL PROJECT OR
  42  * ITS CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL,
  43  * SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT
  44  * NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES;
  45  * LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  46  * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT,
  47  * STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE)
  48  * ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED
  49  * OF THE POSSIBILITY OF SUCH DAMAGE.
  50  * ====================================================================
  51  *
  52  * This product includes cryptographic software written by Eric Young
  53  * (eay@cryptsoft.com).  This product includes software written by Tim
  54  * Hudson (tjh@cryptsoft.com).
  55  *
  56  */
  57 /* ====================================================================
  58  * Copyright 2002 Sun Microsystems, Inc. ALL RIGHTS RESERVED.
  59  *
  60  * Portions of the attached software ("Contribution") are developed by
  61  * SUN MICROSYSTEMS, INC., and are contributed to the OpenSSL project.
  62  *
  63  * The Contribution is licensed pursuant to the OpenSSL open source
  64  * license provided above.
  65  *
  66  * The elliptic curve binary polynomial software is originally written by
  67  * Sheueling Chang Shantz and Douglas Stebila of Sun Microsystems Laboratories.
  68  *
  69  */
  70
  71 #include <stdio.h>
  72 #include <stdlib.h>
  73 #include <string.h>
  74
  75 #include <openssl/opensslconf.h> /* To see if OPENSSL_NO_EC is defined */
  76
  77 #ifdef OPENSSL_NO_EC
  78 int main(int argc, char *argv[])
  79 {
  80     puts("Elliptic curves are disabled.");
  81     return 0;
  82 }
  83 #else
  84
  85 # include <openssl/crypto.h>
  86 # include <openssl/bio.h>
  87 # include <openssl/evp.h>
  88 # include <openssl/bn.h>
  89 # include <openssl/ec.h>
  90 # ifndef OPENSSL_NO_ENGINE
  91 #  include <openssl/engine.h>
  92 # endif
  93 # include <openssl/err.h>
  94 # include <openssl/rand.h>
  95
  96 static const char rnd_seed[] = "string to make the random number generator "
  97     "think it has entropy";
  98
  99 /* declaration of the test functions */
 100 int x9_62_tests(BIO *);
 101 int x9_62_test_internal(BIO *out, int nid, const char *r, const char *s);
 102 int test_builtin(BIO *);
 103
 104 /* functions to change the RAND_METHOD */
 105 int change_rand(void);
 106 int restore_rand(void);
 107 int fbytes(unsigned char *buf, int num);
 108
 109 static RAND_METHOD fake_rand;
 110 static const RAND_METHOD *old_rand;
 111
 112 int change_rand(void)
 113 {
 114     /* save old rand method */
 115     if ((old_rand = RAND_get_rand_method()) == NULL)
 116         return 0;
 117
 118     fake_rand.seed = old_rand->seed;
 119     fake_rand.cleanup = old_rand->cleanup;
 120     fake_rand.add = old_rand->add;
 121     fake_rand.status = old_rand->status;
 122     /* use own random function */
 123     fake_rand.bytes = fbytes;
 124     fake_rand.pseudorand = old_rand->bytes;
 125     /* set new RAND_METHOD */
 126     if (!RAND_set_rand_method(&fake_rand))
 127         return 0;
 128     return 1;
 129 }
 130
 131 int restore_rand(void)
 132 {
 133     if (!RAND_set_rand_method(old_rand))
 134         return 0;
 135     else
 136         return 1;
 137 }
 138
 139 static int fbytes_counter = 0, use_fake = 0;
 140 static const char *numbers[8] = {
 141     "651056770906015076056810763456358567190100156695615665659",
 142     "6140507067065001063065065565667405560006161556565665656654",
 143     "8763001015071075675010661307616710783570106710677817767166"
 144         "71676178726717",
 145     "7000000175690566466555057817571571075705015757757057795755"
 146         "55657156756655",
 147     "1275552191113212300012030439187146164646146646466749494799",
 148     "1542725565216523985789236956265265265235675811949404040041",
 149     "1456427555219115346513212300075341203043918714616464614664"
 150         "64667494947990",
 151     "1712787255652165239672857892369562652652652356758119494040"
 152         "40041670216363"
 153 };
 154
 155 int fbytes(unsigned char *buf, int num)
 156 {
 157     int ret;
 158     BIGNUM *tmp = NULL;
 159
 160     if (use_fake == 0)
 161         return old_rand->bytes(buf, num);
 162
 163     use_fake = 0;
 164
 165     if (fbytes_counter >= 8)
 166         return 0;
 167     tmp = BN_new();
 168     if (!tmp)
 169         return 0;
 170     if (!BN_dec2bn(&tmp, numbers[fbytes_counter])) {
 171         BN_free(tmp);
 172         return 0;
 173     }
 174     fbytes_counter++;
 175     if (num != BN_num_bytes(tmp) || !BN_bn2bin(tmp, buf))
 176         ret = 0;
 177     else
 178         ret = 1;
 179     BN_free(tmp);
 180     return ret;
 181 }
 182
 183 /* some tests from the X9.62 draft */
 184 int x9_62_test_internal(BIO *out, int nid, const char *r_in, const char *s_in)
 185 {
 186     int ret = 0;
 187     const char message[] = "abc";
 188     unsigned char digest[20];
 189     unsigned int dgst_len = 0;
 190     EVP_MD_CTX *md_ctx = EVP_MD_CTX_new();
 191     EC_KEY *key = NULL;
 192     ECDSA_SIG *signature = NULL;
 193     BIGNUM *r = NULL, *s = NULL;
 194     BIGNUM *kinv = NULL, *rp = NULL;
 195     BIGNUM *sig_r, *sig_s;
 196
 197     if (md_ctx == NULL)
 198         goto x962_int_err;
 199
 200     /* get the message digest */
 201     if (!EVP_DigestInit(md_ctx, EVP_sha1())
 202         || !EVP_DigestUpdate(md_ctx, (const void *)message, 3)
 203         || !EVP_DigestFinal(md_ctx, digest, &dgst_len))
 204         goto x962_int_err;
 205
 206     BIO_printf(out, "testing %s: ", OBJ_nid2sn(nid));
 207     /* create the key */
 208     if ((key = EC_KEY_new_by_curve_name(nid)) == NULL)
 209         goto x962_int_err;
 210     use_fake = 1;
 211     if (!EC_KEY_generate_key(key))
 212         goto x962_int_err;
 213     BIO_printf(out, ".");
 214     (void)BIO_flush(out);
 215     /* create the signature */
 216     use_fake = 1;
 217     /* Use ECDSA_sign_setup to avoid use of ECDSA nonces */
 218     if (!ECDSA_sign_setup(key, NULL, &kinv, &rp))
 219         goto x962_int_err;
 220     signature = ECDSA_do_sign_ex(digest, 20, kinv, rp, key);
 221     if (signature == NULL)
 222         goto x962_int_err;
 223     BIO_printf(out, ".");
 224     (void)BIO_flush(out);
 225     /* compare the created signature with the expected signature */
 226     if ((r = BN_new()) == NULL || (s = BN_new()) == NULL)
 227         goto x962_int_err;
 228     if (!BN_dec2bn(&r, r_in) || !BN_dec2bn(&s, s_in))
 229         goto x962_int_err;
 230     ECDSA_SIG_get0(&sig_r, &sig_s, signature);
 231     if (BN_cmp(sig_r, r) || BN_cmp(sig_s, s))
 232         goto x962_int_err;
 233     BIO_printf(out, ".");
 234     (void)BIO_flush(out);
 235     /* verify the signature */
 236     if (ECDSA_do_verify(digest, 20, signature, key) != 1)
 237         goto x962_int_err;
 238     BIO_printf(out, ".");
 239     (void)BIO_flush(out);
 240
 241     BIO_printf(out, " ok\n");
 242     ret = 1;
 243  x962_int_err:
 244     if (!ret)
 245         BIO_printf(out, " failed\n");
 246     EC_KEY_free(key);
 247     ECDSA_SIG_free(signature);
 248     BN_free(r);
 249     BN_free(s);
 250     EVP_MD_CTX_free(md_ctx);
 251     BN_clear_free(kinv);
 252     BN_clear_free(rp);
 253     return ret;
 254 }
 255
 256 int x9_62_tests(BIO *out)
 257 {
 258     int ret = 0;
 259
 260     BIO_printf(out, "some tests from X9.62:\n");
 261
 262     /* set own rand method */
 263     if (!change_rand())
 264         goto x962_err;
 265
 266     if (!x9_62_test_internal(out, NID_X9_62_prime192v1,
 267                              "3342403536405981729393488334694600415596881826869351677613",
 268                              "5735822328888155254683894997897571951568553642892029982342"))
 269         goto x962_err;
 270     if (!x9_62_test_internal(out, NID_X9_62_prime239v1,
 271                              "3086361431751678114926225473006680188549593787585317781474"
 272                              "62058306432176",
 273                              "3238135532097973577080787768312505059318910517550078427819"
 274                              "78505179448783"))
 275         goto x962_err;
 276 # ifndef OPENSSL_NO_EC2M
 277     if (!x9_62_test_internal(out, NID_X9_62_c2tnb191v1,
 278                              "87194383164871543355722284926904419997237591535066528048",
 279                              "308992691965804947361541664549085895292153777025772063598"))
 280         goto x962_err;
 281     if (!x9_62_test_internal(out, NID_X9_62_c2tnb239v1,
 282                              "2159633321041961198501834003903461262881815148684178964245"
 283                              "5876922391552",
 284                              "1970303740007316867383349976549972270528498040721988191026"
 285                              "49413465737174"))
 286         goto x962_err;
 287 # endif
 288     ret = 1;
 289  x962_err:
 290     if (!restore_rand())
 291         ret = 0;
 292     return ret;
 293 }
 294
 295 int test_builtin(BIO *out)
 296 {
 297     EC_builtin_curve *curves = NULL;
 298     size_t crv_len = 0, n = 0;
 299     EC_KEY *eckey = NULL, *wrong_eckey = NULL;
 300     EC_GROUP *group;
 301     ECDSA_SIG *ecdsa_sig = NULL;
 302     unsigned char digest[20], wrong_digest[20];
 303     unsigned char *signature = NULL;
 304     const unsigned char *sig_ptr;
 305     unsigned char *sig_ptr2;
 306     unsigned char *raw_buf = NULL;
 307     BIGNUM *sig_r, *sig_s;
 308     unsigned int sig_len, degree, r_len, s_len, bn_len, buf_len;
 309     int nid, ret = 0;
 310
 311     /* fill digest values with some random data */
 312     if (RAND_bytes(digest, 20) <= 0 || RAND_bytes(wrong_digest, 20) <= 0) {
 313         BIO_printf(out, "ERROR: unable to get random data\n");
 314         goto builtin_err;
 315     }
 316
 317     /*
 318      * create and verify a ecdsa signature with every availble curve (with )
 319      */
 320     BIO_printf(out, "\ntesting ECDSA_sign() and ECDSA_verify() "
 321                "with some internal curves:\n");
 322
 323     /* get a list of all internal curves */
 324     crv_len = EC_get_builtin_curves(NULL, 0);
 325     curves = OPENSSL_malloc(sizeof(*curves) * crv_len);
 326     if (curves == NULL) {
 327         BIO_printf(out, "malloc error\n");
 328         goto builtin_err;
 329     }
 330
 331     if (!EC_get_builtin_curves(curves, crv_len)) {
 332         BIO_printf(out, "unable to get internal curves\n");
 333         goto builtin_err;
 334     }
 335
 336     /* now create and verify a signature for every curve */
 337     for (n = 0; n < crv_len; n++) {
 338         unsigned char dirt, offset;
 339
 340         nid = curves[n].nid;
 341         if (nid == NID_ipsec4 || nid == NID_X25519)
 342             continue;
 343         /* create new ecdsa key (== EC_KEY) */
 344         if ((eckey = EC_KEY_new()) == NULL)
 345             goto builtin_err;
 346         group = EC_GROUP_new_by_curve_name(nid);
 347         if (group == NULL)
 348             goto builtin_err;
 349         if (EC_KEY_set_group(eckey, group) == 0)
 350             goto builtin_err;
 351         EC_GROUP_free(group);
 352         degree = EC_GROUP_get_degree(EC_KEY_get0_group(eckey));
 353         if (degree < 160) {
 354             /* drop the curve */
 355             EC_KEY_free(eckey);
 356             eckey = NULL;
 357             continue;
 358         }
 359         BIO_printf(out, "%s: ", OBJ_nid2sn(nid));
 360         /* create key */
 361         if (!EC_KEY_generate_key(eckey)) {
 362             BIO_printf(out, " failed\n");
 363             goto builtin_err;
 364         }
 365         /* create second key */
 366         if ((wrong_eckey = EC_KEY_new()) == NULL)
 367             goto builtin_err;
 368         group = EC_GROUP_new_by_curve_name(nid);
 369         if (group == NULL)
 370             goto builtin_err;
 371         if (EC_KEY_set_group(wrong_eckey, group) == 0)
 372             goto builtin_err;
 373         EC_GROUP_free(group);
 374         if (!EC_KEY_generate_key(wrong_eckey)) {
 375             BIO_printf(out, " failed\n");
 376             goto builtin_err;
 377         }
 378
 379         BIO_printf(out, ".");
 380         (void)BIO_flush(out);
 381         /* check key */
 382         if (!EC_KEY_check_key(eckey)) {
 383             BIO_printf(out, " failed\n");
 384             goto builtin_err;
 385         }
 386         BIO_printf(out, ".");
 387         (void)BIO_flush(out);
 388         /* create signature */
 389         sig_len = ECDSA_size(eckey);
 390         if ((signature = OPENSSL_malloc(sig_len)) == NULL)
 391             goto builtin_err;
 392         if (!ECDSA_sign(0, digest, 20, signature, &sig_len, eckey)) {
 393             BIO_printf(out, " failed\n");
 394             goto builtin_err;
 395         }
 396         BIO_printf(out, ".");
 397         (void)BIO_flush(out);
 398         /* verify signature */
 399         if (ECDSA_verify(0, digest, 20, signature, sig_len, eckey) != 1) {
 400             BIO_printf(out, " failed\n");
 401             goto builtin_err;
 402         }
 403         BIO_printf(out, ".");
 404         (void)BIO_flush(out);
 405         /* verify signature with the wrong key */
 406         if (ECDSA_verify(0, digest, 20, signature, sig_len, wrong_eckey) == 1) {
 407             BIO_printf(out, " failed\n");
 408             goto builtin_err;
 409         }
 410         BIO_printf(out, ".");
 411         (void)BIO_flush(out);
 412         /* wrong digest */
 413         if (ECDSA_verify(0, wrong_digest, 20, signature, sig_len, eckey) == 1) {
 414             BIO_printf(out, " failed\n");
 415             goto builtin_err;
 416         }
 417         BIO_printf(out, ".");
 418         (void)BIO_flush(out);
 419         /* wrong length */
 420         if (ECDSA_verify(0, digest, 20, signature, sig_len - 1, eckey) == 1) {
 421             BIO_printf(out, " failed\n");
 422             goto builtin_err;
 423         }
 424         BIO_printf(out, ".");
 425         (void)BIO_flush(out);
 426
 427         /*
 428          * Modify a single byte of the signature: to ensure we don't garble
 429          * the ASN1 structure, we read the raw signature and modify a byte in
 430          * one of the bignums directly.
 431          */
 432         sig_ptr = signature;
 433         if ((ecdsa_sig = d2i_ECDSA_SIG(NULL, &sig_ptr, sig_len)) == NULL) {
 434             BIO_printf(out, " failed\n");
 435             goto builtin_err;
 436         }
 437
 438         ECDSA_SIG_get0(&sig_r, &sig_s, ecdsa_sig);
 439
 440         /* Store the two BIGNUMs in raw_buf. */
 441         r_len = BN_num_bytes(sig_r);
 442         s_len = BN_num_bytes(sig_s);
 443         bn_len = (degree + 7) / 8;
 444         if ((r_len > bn_len) || (s_len > bn_len)) {
 445             BIO_printf(out, " failed\n");
 446             goto builtin_err;
 447         }
 448         buf_len = 2 * bn_len;
 449         if ((raw_buf = OPENSSL_zalloc(buf_len)) == NULL)
 450             goto builtin_err;
 451         BN_bn2bin(sig_r, raw_buf + bn_len - r_len);
 452         BN_bn2bin(sig_s, raw_buf + buf_len - s_len);
 453
 454         /* Modify a single byte in the buffer. */
 455         offset = raw_buf[10] % buf_len;
 456         dirt = raw_buf[11] ? raw_buf[11] : 1;
 457         raw_buf[offset] ^= dirt;
 458         /* Now read the BIGNUMs back in from raw_buf. */
 459         if ((BN_bin2bn(raw_buf, bn_len, sig_r) == NULL) ||
 460             (BN_bin2bn(raw_buf + bn_len, bn_len, sig_s) == NULL))
 461             goto builtin_err;
 462
 463         sig_ptr2 = signature;
 464         sig_len = i2d_ECDSA_SIG(ecdsa_sig, &sig_ptr2);
 465         if (ECDSA_verify(0, digest, 20, signature, sig_len, eckey) == 1) {
 466             BIO_printf(out, " failed\n");
 467             goto builtin_err;
 468         }
 469         /*
 470          * Sanity check: undo the modification and verify signature.
 471          */
 472         raw_buf[offset] ^= dirt;
 473         if ((BN_bin2bn(raw_buf, bn_len, sig_r) == NULL) ||
 474             (BN_bin2bn(raw_buf + bn_len, bn_len, sig_s) == NULL))
 475             goto builtin_err;
 476
 477         sig_ptr2 = signature;
 478         sig_len = i2d_ECDSA_SIG(ecdsa_sig, &sig_ptr2);
 479         if (ECDSA_verify(0, digest, 20, signature, sig_len, eckey) != 1) {
 480             BIO_printf(out, " failed\n");
 481             goto builtin_err;
 482         }
 483         BIO_printf(out, ".");
 484         (void)BIO_flush(out);
 485
 486         BIO_printf(out, " ok\n");
 487         /* cleanup */
 488         /* clean bogus errors */
 489         ERR_clear_error();
 490         OPENSSL_free(signature);
 491         signature = NULL;
 492         EC_KEY_free(eckey);
 493         eckey = NULL;
 494         EC_KEY_free(wrong_eckey);
 495         wrong_eckey = NULL;
 496         ECDSA_SIG_free(ecdsa_sig);
 497         ecdsa_sig = NULL;
 498         OPENSSL_free(raw_buf);
 499         raw_buf = NULL;
 500     }
 501
 502     ret = 1;
 503  builtin_err:
 504     EC_KEY_free(eckey);
 505     EC_KEY_free(wrong_eckey);
 506     ECDSA_SIG_free(ecdsa_sig);
 507     OPENSSL_free(signature);
 508     OPENSSL_free(raw_buf);
 509     OPENSSL_free(curves);
 510
 511     return ret;
 512 }
 513
 514 int main(void)
 515 {
 516     int ret = 1;
 517     BIO *out;
 518     char *p;
 519
 520     out = BIO_new_fp(stdout, BIO_NOCLOSE | BIO_FP_TEXT);
 521
 522     p = getenv("OPENSSL_DEBUG_MEMORY");
 523     if (p != NULL && strcmp(p, "on") == 0)
 524         CRYPTO_set_mem_debug(1);
 525
 526     /* initialize the prng */
 527     RAND_seed(rnd_seed, sizeof(rnd_seed));
 528
 529     /* the tests */
 530     if (!x9_62_tests(out))
 531         goto err;
 532     if (!test_builtin(out))
 533         goto err;
 534
 535     ret = 0;
 536  err:
 537     if (ret)
 538         BIO_printf(out, "\nECDSA test failed\n");
 539     else
 540         BIO_printf(out, "\nECDSA test passed\n");
 541     if (ret)
 542         ERR_print_errors(out);
 543
 544 #ifndef OPENSSL_NO_CRYPTO_MDEBUG
 545     if (CRYPTO_mem_leaks(out) <= 0)
 546         ret = 1;
 547 #endif
 548     BIO_free(out);
 549     return ret;
 550 }
 551 #endif