Branch data Line data Source code
1 : : /* $OpenBSD: moduli.c,v 1.28 2013/10/24 00:49:49 dtucker Exp $ */
2 : : /*
3 : : * Copyright 1994 Phil Karn <karn@qualcomm.com>
4 : : * Copyright 1996-1998, 2003 William Allen Simpson <wsimpson@greendragon.com>
5 : : * Copyright 2000 Niels Provos <provos@citi.umich.edu>
6 : : * All rights reserved.
7 : : *
8 : : * Redistribution and use in source and binary forms, with or without
9 : : * modification, are permitted provided that the following conditions
10 : : * are met:
11 : : * 1. Redistributions of source code must retain the above copyright
12 : : * notice, this list of conditions and the following disclaimer.
13 : : * 2. Redistributions in binary form must reproduce the above copyright
14 : : * notice, this list of conditions and the following disclaimer in the
15 : : * documentation and/or other materials provided with the distribution.
16 : : *
17 : : * THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR
18 : : * IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES
19 : : * OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED.
20 : : * IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT,
21 : : * INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT
22 : : * NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE,
23 : : * DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY
24 : : * THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT
25 : : * (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF
26 : : * THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
27 : : */
28 : :
29 : : /*
30 : : * Two-step process to generate safe primes for DHGEX
31 : : *
32 : : * Sieve candidates for "safe" primes,
33 : : * suitable for use as Diffie-Hellman moduli;
34 : : * that is, where q = (p-1)/2 is also prime.
35 : : *
36 : : * First step: generate candidate primes (memory intensive)
37 : : * Second step: test primes' safety (processor intensive)
38 : : */
39 : :
40 : : #include "includes.h"
41 : :
42 : : #include <sys/param.h>
43 : : #include <sys/types.h>
44 : :
45 : : #include <openssl/bn.h>
46 : : #include <openssl/dh.h>
47 : :
48 : : #include <errno.h>
49 : : #include <stdio.h>
50 : : #include <stdlib.h>
51 : : #include <string.h>
52 : : #include <stdarg.h>
53 : : #include <time.h>
54 : : #include <unistd.h>
55 : :
56 : : #include "xmalloc.h"
57 : : #include "dh.h"
58 : : #include "log.h"
59 : : #include "misc.h"
60 : :
61 : : #include "openbsd-compat/openssl-compat.h"
62 : :
63 : : /*
64 : : * File output defines
65 : : */
66 : :
67 : : /* need line long enough for largest moduli plus headers */
68 : : #define QLINESIZE (100+8192)
69 : :
70 : : /*
71 : : * Size: decimal.
72 : : * Specifies the number of the most significant bit (0 to M).
73 : : * WARNING: internally, usually 1 to N.
74 : : */
75 : : #define QSIZE_MINIMUM (511)
76 : :
77 : : /*
78 : : * Prime sieving defines
79 : : */
80 : :
81 : : /* Constant: assuming 8 bit bytes and 32 bit words */
82 : : #define SHIFT_BIT (3)
83 : : #define SHIFT_BYTE (2)
84 : : #define SHIFT_WORD (SHIFT_BIT+SHIFT_BYTE)
85 : : #define SHIFT_MEGABYTE (20)
86 : : #define SHIFT_MEGAWORD (SHIFT_MEGABYTE-SHIFT_BYTE)
87 : :
88 : : /*
89 : : * Using virtual memory can cause thrashing. This should be the largest
90 : : * number that is supported without a large amount of disk activity --
91 : : * that would increase the run time from hours to days or weeks!
92 : : */
93 : : #define LARGE_MINIMUM (8UL) /* megabytes */
94 : :
95 : : /*
96 : : * Do not increase this number beyond the unsigned integer bit size.
97 : : * Due to a multiple of 4, it must be LESS than 128 (yielding 2**30 bits).
98 : : */
99 : : #define LARGE_MAXIMUM (127UL) /* megabytes */
100 : :
101 : : /*
102 : : * Constant: when used with 32-bit integers, the largest sieve prime
103 : : * has to be less than 2**32.
104 : : */
105 : : #define SMALL_MAXIMUM (0xffffffffUL)
106 : :
107 : : /* Constant: can sieve all primes less than 2**32, as 65537**2 > 2**32-1. */
108 : : #define TINY_NUMBER (1UL<<16)
109 : :
110 : : /* Ensure enough bit space for testing 2*q. */
111 : : #define TEST_MAXIMUM (1UL<<16)
112 : : #define TEST_MINIMUM (QSIZE_MINIMUM + 1)
113 : : /* real TEST_MINIMUM (1UL << (SHIFT_WORD - TEST_POWER)) */
114 : : #define TEST_POWER (3) /* 2**n, n < SHIFT_WORD */
115 : :
116 : : /* bit operations on 32-bit words */
117 : : #define BIT_CLEAR(a,n) ((a)[(n)>>SHIFT_WORD] &= ~(1L << ((n) & 31)))
118 : : #define BIT_SET(a,n) ((a)[(n)>>SHIFT_WORD] |= (1L << ((n) & 31)))
119 : : #define BIT_TEST(a,n) ((a)[(n)>>SHIFT_WORD] & (1L << ((n) & 31)))
120 : :
121 : : /*
122 : : * Prime testing defines
123 : : */
124 : :
125 : : /* Minimum number of primality tests to perform */
126 : : #define TRIAL_MINIMUM (4)
127 : :
128 : : /*
129 : : * Sieving data (XXX - move to struct)
130 : : */
131 : :
132 : : /* sieve 2**16 */
133 : : static u_int32_t *TinySieve, tinybits;
134 : :
135 : : /* sieve 2**30 in 2**16 parts */
136 : : static u_int32_t *SmallSieve, smallbits, smallbase;
137 : :
138 : : /* sieve relative to the initial value */
139 : : static u_int32_t *LargeSieve, largewords, largetries, largenumbers;
140 : : static u_int32_t largebits, largememory; /* megabytes */
141 : : static BIGNUM *largebase;
142 : :
143 : : int gen_candidates(FILE *, u_int32_t, u_int32_t, BIGNUM *);
144 : : int prime_test(FILE *, FILE *, u_int32_t, u_int32_t, char *, unsigned long,
145 : : unsigned long);
146 : :
147 : : /*
148 : : * print moduli out in consistent form,
149 : : */
150 : : static int
151 : 0 : qfileout(FILE * ofile, u_int32_t otype, u_int32_t otests, u_int32_t otries,
152 : : u_int32_t osize, u_int32_t ogenerator, BIGNUM * omodulus)
153 : : {
154 : : struct tm *gtm;
155 : : time_t time_now;
156 : : int res;
157 : :
158 : 0 : time(&time_now);
159 : 0 : gtm = gmtime(&time_now);
160 : :
161 : 0 : res = fprintf(ofile, "%04d%02d%02d%02d%02d%02d %u %u %u %u %x ",
162 : 0 : gtm->tm_year + 1900, gtm->tm_mon + 1, gtm->tm_mday,
163 : : gtm->tm_hour, gtm->tm_min, gtm->tm_sec,
164 : : otype, otests, otries, osize, ogenerator);
165 : :
166 [ # # ]: 0 : if (res < 0)
167 : : return (-1);
168 : :
169 [ # # ]: 0 : if (BN_print_fp(ofile, omodulus) < 1)
170 : : return (-1);
171 : :
172 : 0 : res = fprintf(ofile, "\n");
173 : 0 : fflush(ofile);
174 : :
175 [ # # ]: 0 : return (res > 0 ? 0 : -1);
176 : : }
177 : :
178 : :
179 : : /*
180 : : ** Sieve p's and q's with small factors
181 : : */
182 : : static void
183 : 0 : sieve_large(u_int32_t s)
184 : : {
185 : : u_int32_t r, u;
186 : :
187 : 0 : debug3("sieve_large %u", s);
188 : 0 : largetries++;
189 : : /* r = largebase mod s */
190 : 0 : r = BN_mod_word(largebase, s);
191 [ # # ]: 0 : if (r == 0)
192 : : u = 0; /* s divides into largebase exactly */
193 : : else
194 : 0 : u = s - r; /* largebase+u is first entry divisible by s */
195 : :
196 [ # # ]: 0 : if (u < largebits * 2) {
197 : : /*
198 : : * The sieve omits p's and q's divisible by 2, so ensure that
199 : : * largebase+u is odd. Then, step through the sieve in
200 : : * increments of 2*s
201 : : */
202 [ # # ]: 0 : if (u & 0x1)
203 : 0 : u += s; /* Make largebase+u odd, and u even */
204 : :
205 : : /* Mark all multiples of 2*s */
206 [ # # ]: 0 : for (u /= 2; u < largebits; u += s)
207 : 0 : BIT_SET(LargeSieve, u);
208 : : }
209 : :
210 : : /* r = p mod s */
211 : 0 : r = (2 * r + 1) % s;
212 [ # # ]: 0 : if (r == 0)
213 : : u = 0; /* s divides p exactly */
214 : : else
215 : 0 : u = s - r; /* p+u is first entry divisible by s */
216 : :
217 [ # # ]: 0 : if (u < largebits * 4) {
218 : : /*
219 : : * The sieve omits p's divisible by 4, so ensure that
220 : : * largebase+u is not. Then, step through the sieve in
221 : : * increments of 4*s
222 : : */
223 [ # # ]: 0 : while (u & 0x3) {
224 [ # # ]: 0 : if (SMALL_MAXIMUM - u < s)
225 : 0 : return;
226 : 0 : u += s;
227 : : }
228 : :
229 : : /* Mark all multiples of 4*s */
230 [ # # ]: 0 : for (u /= 4; u < largebits; u += s)
231 : 0 : BIT_SET(LargeSieve, u);
232 : : }
233 : : }
234 : :
235 : : /*
236 : : * list candidates for Sophie-Germain primes (where q = (p-1)/2)
237 : : * to standard output.
238 : : * The list is checked against small known primes (less than 2**30).
239 : : */
240 : : int
241 : 0 : gen_candidates(FILE *out, u_int32_t memory, u_int32_t power, BIGNUM *start)
242 : : {
243 : : BIGNUM *q;
244 : : u_int32_t j, r, s, t;
245 : 0 : u_int32_t smallwords = TINY_NUMBER >> 6;
246 : 0 : u_int32_t tinywords = TINY_NUMBER >> 6;
247 : : time_t time_start, time_stop;
248 : : u_int32_t i;
249 : 0 : int ret = 0;
250 : :
251 : 0 : largememory = memory;
252 : :
253 [ # # ]: 0 : if (memory != 0 &&
254 : 0 : (memory < LARGE_MINIMUM || memory > LARGE_MAXIMUM)) {
255 : 0 : error("Invalid memory amount (min %ld, max %ld)",
256 : : LARGE_MINIMUM, LARGE_MAXIMUM);
257 : 0 : return (-1);
258 : : }
259 : :
260 : : /*
261 : : * Set power to the length in bits of the prime to be generated.
262 : : * This is changed to 1 less than the desired safe prime moduli p.
263 : : */
264 [ # # ]: 0 : if (power > TEST_MAXIMUM) {
265 : 0 : error("Too many bits: %u > %lu", power, TEST_MAXIMUM);
266 : 0 : return (-1);
267 [ # # ]: 0 : } else if (power < TEST_MINIMUM) {
268 : 0 : error("Too few bits: %u < %u", power, TEST_MINIMUM);
269 : 0 : return (-1);
270 : : }
271 : 0 : power--; /* decrement before squaring */
272 : :
273 : : /*
274 : : * The density of ordinary primes is on the order of 1/bits, so the
275 : : * density of safe primes should be about (1/bits)**2. Set test range
276 : : * to something well above bits**2 to be reasonably sure (but not
277 : : * guaranteed) of catching at least one safe prime.
278 : : */
279 : 0 : largewords = ((power * power) >> (SHIFT_WORD - TEST_POWER));
280 : :
281 : : /*
282 : : * Need idea of how much memory is available. We don't have to use all
283 : : * of it.
284 : : */
285 [ # # ]: 0 : if (largememory > LARGE_MAXIMUM) {
286 : 0 : logit("Limited memory: %u MB; limit %lu MB",
287 : : largememory, LARGE_MAXIMUM);
288 : 0 : largememory = LARGE_MAXIMUM;
289 : : }
290 : :
291 [ # # ]: 0 : if (largewords <= (largememory << SHIFT_MEGAWORD)) {
292 : 0 : logit("Increased memory: %u MB; need %u bytes",
293 : : largememory, (largewords << SHIFT_BYTE));
294 : 0 : largewords = (largememory << SHIFT_MEGAWORD);
295 [ # # ]: 0 : } else if (largememory > 0) {
296 : 0 : logit("Decreased memory: %u MB; want %u bytes",
297 : : largememory, (largewords << SHIFT_BYTE));
298 : 0 : largewords = (largememory << SHIFT_MEGAWORD);
299 : : }
300 : :
301 : 0 : TinySieve = xcalloc(tinywords, sizeof(u_int32_t));
302 : 0 : tinybits = tinywords << SHIFT_WORD;
303 : :
304 : 0 : SmallSieve = xcalloc(smallwords, sizeof(u_int32_t));
305 : 0 : smallbits = smallwords << SHIFT_WORD;
306 : :
307 : : /*
308 : : * dynamically determine available memory
309 : : */
310 [ # # ]: 0 : while ((LargeSieve = calloc(largewords, sizeof(u_int32_t))) == NULL)
311 : 0 : largewords -= (1L << (SHIFT_MEGAWORD - 2)); /* 1/4 MB chunks */
312 : :
313 : 0 : largebits = largewords << SHIFT_WORD;
314 : 0 : largenumbers = largebits * 2; /* even numbers excluded */
315 : :
316 : : /* validation check: count the number of primes tried */
317 : 0 : largetries = 0;
318 [ # # ]: 0 : if ((q = BN_new()) == NULL)
319 : 0 : fatal("BN_new failed");
320 : :
321 : : /*
322 : : * Generate random starting point for subprime search, or use
323 : : * specified parameter.
324 : : */
325 [ # # ]: 0 : if ((largebase = BN_new()) == NULL)
326 : 0 : fatal("BN_new failed");
327 [ # # ]: 0 : if (start == NULL) {
328 [ # # ]: 0 : if (BN_rand(largebase, power, 1, 1) == 0)
329 : 0 : fatal("BN_rand failed");
330 : : } else {
331 [ # # ]: 0 : if (BN_copy(largebase, start) == NULL)
332 : 0 : fatal("BN_copy: failed");
333 : : }
334 : :
335 : : /* ensure odd */
336 [ # # ]: 0 : if (BN_set_bit(largebase, 0) == 0)
337 : 0 : fatal("BN_set_bit: failed");
338 : :
339 : 0 : time(&time_start);
340 : :
341 : 0 : logit("%.24s Sieve next %u plus %u-bit", ctime(&time_start),
342 : : largenumbers, power);
343 : 0 : debug2("start point: 0x%s", BN_bn2hex(largebase));
344 : :
345 : : /*
346 : : * TinySieve
347 : : */
348 [ # # ]: 0 : for (i = 0; i < tinybits; i++) {
349 [ # # ]: 0 : if (BIT_TEST(TinySieve, i))
350 : 0 : continue; /* 2*i+3 is composite */
351 : :
352 : : /* The next tiny prime */
353 : 0 : t = 2 * i + 3;
354 : :
355 : : /* Mark all multiples of t */
356 [ # # ]: 0 : for (j = i + t; j < tinybits; j += t)
357 : 0 : BIT_SET(TinySieve, j);
358 : :
359 : 0 : sieve_large(t);
360 : : }
361 : :
362 : : /*
363 : : * Start the small block search at the next possible prime. To avoid
364 : : * fencepost errors, the last pass is skipped.
365 : : */
366 [ # # ]: 0 : for (smallbase = TINY_NUMBER + 3;
367 : 0 : smallbase < (SMALL_MAXIMUM - TINY_NUMBER);
368 : 0 : smallbase += TINY_NUMBER) {
369 [ # # ]: 0 : for (i = 0; i < tinybits; i++) {
370 [ # # ]: 0 : if (BIT_TEST(TinySieve, i))
371 : 0 : continue; /* 2*i+3 is composite */
372 : :
373 : : /* The next tiny prime */
374 : 0 : t = 2 * i + 3;
375 : 0 : r = smallbase % t;
376 : :
377 [ # # ]: 0 : if (r == 0) {
378 : : s = 0; /* t divides into smallbase exactly */
379 : : } else {
380 : : /* smallbase+s is first entry divisible by t */
381 : 0 : s = t - r;
382 : : }
383 : :
384 : : /*
385 : : * The sieve omits even numbers, so ensure that
386 : : * smallbase+s is odd. Then, step through the sieve
387 : : * in increments of 2*t
388 : : */
389 [ # # ]: 0 : if (s & 1)
390 : 0 : s += t; /* Make smallbase+s odd, and s even */
391 : :
392 : : /* Mark all multiples of 2*t */
393 [ # # ]: 0 : for (s /= 2; s < smallbits; s += t)
394 : 0 : BIT_SET(SmallSieve, s);
395 : : }
396 : :
397 : : /*
398 : : * SmallSieve
399 : : */
400 [ # # ]: 0 : for (i = 0; i < smallbits; i++) {
401 [ # # ]: 0 : if (BIT_TEST(SmallSieve, i))
402 : 0 : continue; /* 2*i+smallbase is composite */
403 : :
404 : : /* The next small prime */
405 : 0 : sieve_large((2 * i) + smallbase);
406 : : }
407 : :
408 : 0 : memset(SmallSieve, 0, smallwords << SHIFT_BYTE);
409 : : }
410 : :
411 : 0 : time(&time_stop);
412 : :
413 : 0 : logit("%.24s Sieved with %u small primes in %ld seconds",
414 : : ctime(&time_stop), largetries, (long) (time_stop - time_start));
415 : :
416 [ # # ]: 0 : for (j = r = 0; j < largebits; j++) {
417 [ # # ]: 0 : if (BIT_TEST(LargeSieve, j))
418 : 0 : continue; /* Definitely composite, skip */
419 : :
420 : 0 : debug2("test q = largebase+%u", 2 * j);
421 [ # # ]: 0 : if (BN_set_word(q, 2 * j) == 0)
422 : 0 : fatal("BN_set_word failed");
423 [ # # ]: 0 : if (BN_add(q, q, largebase) == 0)
424 : 0 : fatal("BN_add failed");
425 [ # # ]: 0 : if (qfileout(out, MODULI_TYPE_SOPHIE_GERMAIN,
426 : : MODULI_TESTS_SIEVE, largetries,
427 : : (power - 1) /* MSB */, (0), q) == -1) {
428 : : ret = -1;
429 : : break;
430 : : }
431 : :
432 : 0 : r++; /* count q */
433 : : }
434 : :
435 : 0 : time(&time_stop);
436 : :
437 : 0 : free(LargeSieve);
438 : 0 : free(SmallSieve);
439 : 0 : free(TinySieve);
440 : :
441 : 0 : logit("%.24s Found %u candidates", ctime(&time_stop), r);
442 : :
443 : 0 : return (ret);
444 : : }
445 : :
446 : : static void
447 : 0 : write_checkpoint(char *cpfile, u_int32_t lineno)
448 : : {
449 : : FILE *fp;
450 : : char tmp[MAXPATHLEN];
451 : : int r;
452 : :
453 : 0 : r = snprintf(tmp, sizeof(tmp), "%s.XXXXXXXXXX", cpfile);
454 [ # # ]: 0 : if (r == -1 || r >= MAXPATHLEN) {
455 : 0 : logit("write_checkpoint: temp pathname too long");
456 : 0 : return;
457 : : }
458 [ # # ]: 0 : if ((r = mkstemp(tmp)) == -1) {
459 : 0 : logit("mkstemp(%s): %s", tmp, strerror(errno));
460 : 0 : return;
461 : : }
462 [ # # ]: 0 : if ((fp = fdopen(r, "w")) == NULL) {
463 : 0 : logit("write_checkpoint: fdopen: %s", strerror(errno));
464 : 0 : close(r);
465 : 0 : return;
466 : : }
467 [ # # ][ # # ]: 0 : if (fprintf(fp, "%lu\n", (unsigned long)lineno) > 0 && fclose(fp) == 0
468 [ # # ]: 0 : && rename(tmp, cpfile) == 0)
469 : 0 : debug3("wrote checkpoint line %lu to '%s'",
470 : : (unsigned long)lineno, cpfile);
471 : : else
472 : 0 : logit("failed to write to checkpoint file '%s': %s", cpfile,
473 : 0 : strerror(errno));
474 : : }
475 : :
476 : : static unsigned long
477 : 0 : read_checkpoint(char *cpfile)
478 : : {
479 : : FILE *fp;
480 : 0 : unsigned long lineno = 0;
481 : :
482 [ # # ]: 0 : if ((fp = fopen(cpfile, "r")) == NULL)
483 : : return 0;
484 [ # # ]: 0 : if (fscanf(fp, "%lu\n", &lineno) < 1)
485 : 0 : logit("Failed to load checkpoint from '%s'", cpfile);
486 : : else
487 : 0 : logit("Loaded checkpoint from '%s' line %lu", cpfile, lineno);
488 : 0 : fclose(fp);
489 : 0 : return lineno;
490 : : }
491 : :
492 : : static unsigned long
493 : 0 : count_lines(FILE *f)
494 : : {
495 : 0 : unsigned long count = 0;
496 : : char lp[QLINESIZE + 1];
497 : :
498 [ # # ]: 0 : if (fseek(f, 0, SEEK_SET) != 0) {
499 : 0 : debug("input file is not seekable");
500 : 0 : return ULONG_MAX;
501 : : }
502 [ # # ]: 0 : while (fgets(lp, QLINESIZE + 1, f) != NULL)
503 : 0 : count++;
504 : 0 : rewind(f);
505 : 0 : debug("input file has %lu lines", count);
506 : 0 : return count;
507 : : }
508 : :
509 : : static char *
510 : 0 : fmt_time(time_t seconds)
511 : : {
512 : : int day, hr, min;
513 : : static char buf[128];
514 : :
515 : 0 : min = (seconds / 60) % 60;
516 : 0 : hr = (seconds / 60 / 60) % 24;
517 : 0 : day = seconds / 60 / 60 / 24;
518 [ # # ]: 0 : if (day > 0)
519 : : snprintf(buf, sizeof buf, "%dd %d:%02d", day, hr, min);
520 : : else
521 : : snprintf(buf, sizeof buf, "%d:%02d", hr, min);
522 : 0 : return buf;
523 : : }
524 : :
525 : : static void
526 : 0 : print_progress(unsigned long start_lineno, unsigned long current_lineno,
527 : : unsigned long end_lineno)
528 : : {
529 : : static time_t time_start, time_prev;
530 : : time_t time_now, elapsed;
531 : : unsigned long num_to_process, processed, remaining, percent, eta;
532 : : double time_per_line;
533 : : char *eta_str;
534 : :
535 : 0 : time_now = monotime();
536 [ # # ]: 0 : if (time_start == 0) {
537 : 0 : time_start = time_prev = time_now;
538 : 0 : return;
539 : : }
540 : : /* print progress after 1m then once per 5m */
541 [ # # ]: 0 : if (time_now - time_prev < 5 * 60)
542 : : return;
543 : 0 : time_prev = time_now;
544 : 0 : elapsed = time_now - time_start;
545 : 0 : processed = current_lineno - start_lineno;
546 : 0 : remaining = end_lineno - current_lineno;
547 : 0 : num_to_process = end_lineno - start_lineno;
548 : 0 : time_per_line = (double)elapsed / processed;
549 : : /* if we don't know how many we're processing just report count+time */
550 : 0 : time(&time_now);
551 [ # # ]: 0 : if (end_lineno == ULONG_MAX) {
552 : 0 : logit("%.24s processed %lu in %s", ctime(&time_now),
553 : : processed, fmt_time(elapsed));
554 : 0 : return;
555 : : }
556 : 0 : percent = 100 * processed / num_to_process;
557 : 0 : eta = time_per_line * remaining;
558 : 0 : eta_str = xstrdup(fmt_time(eta));
559 : 0 : logit("%.24s processed %lu of %lu (%lu%%) in %s, ETA %s",
560 : : ctime(&time_now), processed, num_to_process, percent,
561 : : fmt_time(elapsed), eta_str);
562 : 0 : free(eta_str);
563 : : }
564 : :
565 : : /*
566 : : * perform a Miller-Rabin primality test
567 : : * on the list of candidates
568 : : * (checking both q and p)
569 : : * The result is a list of so-call "safe" primes
570 : : */
571 : : int
572 : 0 : prime_test(FILE *in, FILE *out, u_int32_t trials, u_int32_t generator_wanted,
573 : : char *checkpoint_file, unsigned long start_lineno, unsigned long num_lines)
574 : : {
575 : : BIGNUM *q, *p, *a;
576 : : BN_CTX *ctx;
577 : : char *cp, *lp;
578 : 0 : u_int32_t count_in = 0, count_out = 0, count_possible = 0;
579 : : u_int32_t generator_known, in_tests, in_tries, in_type, in_size;
580 : 0 : unsigned long last_processed = 0, end_lineno;
581 : : time_t time_start, time_stop;
582 : : int res;
583 : :
584 [ # # ]: 0 : if (trials < TRIAL_MINIMUM) {
585 : 0 : error("Minimum primality trials is %d", TRIAL_MINIMUM);
586 : 0 : return (-1);
587 : : }
588 : :
589 [ # # ]: 0 : if (num_lines == 0)
590 : 0 : end_lineno = count_lines(in);
591 : : else
592 : 0 : end_lineno = start_lineno + num_lines;
593 : :
594 : 0 : time(&time_start);
595 : :
596 [ # # ]: 0 : if ((p = BN_new()) == NULL)
597 : 0 : fatal("BN_new failed");
598 [ # # ]: 0 : if ((q = BN_new()) == NULL)
599 : 0 : fatal("BN_new failed");
600 [ # # ]: 0 : if ((ctx = BN_CTX_new()) == NULL)
601 : 0 : fatal("BN_CTX_new failed");
602 : :
603 : 0 : debug2("%.24s Final %u Miller-Rabin trials (%x generator)",
604 : : ctime(&time_start), trials, generator_wanted);
605 : :
606 [ # # ]: 0 : if (checkpoint_file != NULL)
607 : 0 : last_processed = read_checkpoint(checkpoint_file);
608 : 0 : last_processed = start_lineno = MAX(last_processed, start_lineno);
609 [ # # ]: 0 : if (end_lineno == ULONG_MAX)
610 : 0 : debug("process from line %lu from pipe", last_processed);
611 : : else
612 : 0 : debug("process from line %lu to line %lu", last_processed,
613 : : end_lineno);
614 : :
615 : 0 : res = 0;
616 : 0 : lp = xmalloc(QLINESIZE + 1);
617 [ # # ][ # # ]: 0 : while (fgets(lp, QLINESIZE + 1, in) != NULL && count_in < end_lineno) {
618 : 0 : count_in++;
619 [ # # ]: 0 : if (count_in <= last_processed) {
620 : 0 : debug3("skipping line %u, before checkpoint or "
621 : : "specified start line", count_in);
622 : 0 : continue;
623 : : }
624 [ # # ]: 0 : if (checkpoint_file != NULL)
625 : 0 : write_checkpoint(checkpoint_file, count_in);
626 : 0 : print_progress(start_lineno, count_in, end_lineno);
627 [ # # ][ # # ]: 0 : if (strlen(lp) < 14 || *lp == '!' || *lp == '#') {
[ # # ]
628 : 0 : debug2("%10u: comment or short line", count_in);
629 : 0 : continue;
630 : : }
631 : :
632 : : /* XXX - fragile parser */
633 : : /* time */
634 : 0 : cp = &lp[14]; /* (skip) */
635 : :
636 : : /* type */
637 : 0 : in_type = strtoul(cp, &cp, 10);
638 : :
639 : : /* tests */
640 : 0 : in_tests = strtoul(cp, &cp, 10);
641 : :
642 [ # # ]: 0 : if (in_tests & MODULI_TESTS_COMPOSITE) {
643 : 0 : debug2("%10u: known composite", count_in);
644 : 0 : continue;
645 : : }
646 : :
647 : : /* tries */
648 : 0 : in_tries = strtoul(cp, &cp, 10);
649 : :
650 : : /* size (most significant bit) */
651 : 0 : in_size = strtoul(cp, &cp, 10);
652 : :
653 : : /* generator (hex) */
654 : 0 : generator_known = strtoul(cp, &cp, 16);
655 : :
656 : : /* Skip white space */
657 : 0 : cp += strspn(cp, " ");
658 : :
659 : : /* modulus (hex) */
660 [ # # # ]: 0 : switch (in_type) {
661 : : case MODULI_TYPE_SOPHIE_GERMAIN:
662 : 0 : debug2("%10u: (%u) Sophie-Germain", count_in, in_type);
663 : 0 : a = q;
664 [ # # ]: 0 : if (BN_hex2bn(&a, cp) == 0)
665 : 0 : fatal("BN_hex2bn failed");
666 : : /* p = 2*q + 1 */
667 [ # # ]: 0 : if (BN_lshift(p, q, 1) == 0)
668 : 0 : fatal("BN_lshift failed");
669 [ # # ]: 0 : if (BN_add_word(p, 1) == 0)
670 : 0 : fatal("BN_add_word failed");
671 : 0 : in_size += 1;
672 : 0 : generator_known = 0;
673 : 0 : break;
674 : : case MODULI_TYPE_UNSTRUCTURED:
675 : : case MODULI_TYPE_SAFE:
676 : : case MODULI_TYPE_SCHNORR:
677 : : case MODULI_TYPE_STRONG:
678 : : case MODULI_TYPE_UNKNOWN:
679 : 0 : debug2("%10u: (%u)", count_in, in_type);
680 : 0 : a = p;
681 [ # # ]: 0 : if (BN_hex2bn(&a, cp) == 0)
682 : 0 : fatal("BN_hex2bn failed");
683 : : /* q = (p-1) / 2 */
684 [ # # ]: 0 : if (BN_rshift(q, p, 1) == 0)
685 : 0 : fatal("BN_rshift failed");
686 : : break;
687 : : default:
688 : 0 : debug2("Unknown prime type");
689 : 0 : break;
690 : : }
691 : :
692 : : /*
693 : : * due to earlier inconsistencies in interpretation, check
694 : : * the proposed bit size.
695 : : */
696 [ # # ]: 0 : if ((u_int32_t)BN_num_bits(p) != (in_size + 1)) {
697 : 0 : debug2("%10u: bit size %u mismatch", count_in, in_size);
698 : 0 : continue;
699 : : }
700 [ # # ]: 0 : if (in_size < QSIZE_MINIMUM) {
701 : 0 : debug2("%10u: bit size %u too short", count_in, in_size);
702 : 0 : continue;
703 : : }
704 : :
705 [ # # ]: 0 : if (in_tests & MODULI_TESTS_MILLER_RABIN)
706 : 0 : in_tries += trials;
707 : : else
708 : : in_tries = trials;
709 : :
710 : : /*
711 : : * guess unknown generator
712 : : */
713 [ # # ]: 0 : if (generator_known == 0) {
714 [ # # ]: 0 : if (BN_mod_word(p, 24) == 11)
715 : : generator_known = 2;
716 [ # # ]: 0 : else if (BN_mod_word(p, 12) == 5)
717 : : generator_known = 3;
718 : : else {
719 : 0 : u_int32_t r = BN_mod_word(p, 10);
720 : :
721 [ # # ]: 0 : if (r == 3 || r == 7)
722 : 0 : generator_known = 5;
723 : : }
724 : : }
725 : : /*
726 : : * skip tests when desired generator doesn't match
727 : : */
728 [ # # ]: 0 : if (generator_wanted > 0 &&
729 : 0 : generator_wanted != generator_known) {
730 : 0 : debug2("%10u: generator %d != %d",
731 : : count_in, generator_known, generator_wanted);
732 : 0 : continue;
733 : : }
734 : :
735 : : /*
736 : : * Primes with no known generator are useless for DH, so
737 : : * skip those.
738 : : */
739 [ # # ]: 0 : if (generator_known == 0) {
740 : 0 : debug2("%10u: no known generator", count_in);
741 : 0 : continue;
742 : : }
743 : :
744 : 0 : count_possible++;
745 : :
746 : : /*
747 : : * The (1/4)^N performance bound on Miller-Rabin is
748 : : * extremely pessimistic, so don't spend a lot of time
749 : : * really verifying that q is prime until after we know
750 : : * that p is also prime. A single pass will weed out the
751 : : * vast majority of composite q's.
752 : : */
753 [ # # ]: 0 : if (BN_is_prime_ex(q, 1, ctx, NULL) <= 0) {
754 : 0 : debug("%10u: q failed first possible prime test",
755 : : count_in);
756 : 0 : continue;
757 : : }
758 : :
759 : : /*
760 : : * q is possibly prime, so go ahead and really make sure
761 : : * that p is prime. If it is, then we can go back and do
762 : : * the same for q. If p is composite, chances are that
763 : : * will show up on the first Rabin-Miller iteration so it
764 : : * doesn't hurt to specify a high iteration count.
765 : : */
766 [ # # ]: 0 : if (!BN_is_prime_ex(p, trials, ctx, NULL)) {
767 : 0 : debug("%10u: p is not prime", count_in);
768 : 0 : continue;
769 : : }
770 : 0 : debug("%10u: p is almost certainly prime", count_in);
771 : :
772 : : /* recheck q more rigorously */
773 [ # # ]: 0 : if (!BN_is_prime_ex(q, trials - 1, ctx, NULL)) {
774 : 0 : debug("%10u: q is not prime", count_in);
775 : 0 : continue;
776 : : }
777 : 0 : debug("%10u: q is almost certainly prime", count_in);
778 : :
779 [ # # ]: 0 : if (qfileout(out, MODULI_TYPE_SAFE,
780 : : in_tests | MODULI_TESTS_MILLER_RABIN,
781 : : in_tries, in_size, generator_known, p)) {
782 : : res = -1;
783 : : break;
784 : : }
785 : :
786 : 0 : count_out++;
787 : : }
788 : :
789 : 0 : time(&time_stop);
790 : 0 : free(lp);
791 : 0 : BN_free(p);
792 : 0 : BN_free(q);
793 : 0 : BN_CTX_free(ctx);
794 : :
795 [ # # ]: 0 : if (checkpoint_file != NULL)
796 : 0 : unlink(checkpoint_file);
797 : :
798 : 0 : logit("%.24s Found %u safe primes of %u candidates in %ld seconds",
799 : : ctime(&time_stop), count_out, count_possible,
800 : : (long) (time_stop - time_start));
801 : :
802 : 0 : return (res);
803 : : }
|
