Salsa20算法介绍

2021-05-16

简介

Salsa20是一种流式对称加密算法,类似于Chacha20,算法性能相比AES能够快3倍以上。
Salsa20算法通过将32 Byte的key和8 Byte的随机数nonce扩展为2^70 Byte的随机字节流,通过随机字节流和异或操作实现加解密,因此Salsa20算法中随机字节流的生成为关键所在。

随机字节流生成

Salsa20算法生成随机字节流时,一次生成一个64字节的block,每一个block是通过将key、nonce和block number以及部分常量组成64字节的input,通过核函数,输出64字节的output。最终多个block组成长度为2^70的随机字节流,在生成过程中,每个block相互独立。

Input

64字节的input分为16个word,每个word为4字节,由以下8部分组成:

  • 4字节的常量0x61707865
  • key的前16字节
  • 4字节的常量0x3320646e
  • 8字节的随机数nonce
  • 8字节的block-counter
  • 4字节的常量0x79622d32
  • key的剩余16字节
  • 4字节的常量0x6b206574

最终64字节(16 words)组成一个4*4的矩阵。例如,对于key (1, 2, 3, 4, 5, . . . , 32), nonce
(3, 1, 4, 1, 5, 9, 2, 6), 以及 block 7的初始矩阵为:

0x61707865, 0x04030201, 0x08070605, 0x0c0b0a09,
0x100f0e0d, 0x3320646e, 0x01040103, 0x06020905,
0x00000007, 0x00000000, 0x79622d32, 0x14131211,
0x18171615, 0x1c1b1a19, 0x201f1e1d, 0x6b206574.

核函数

Salsa20算法核函数将64字节的输入以矩阵形式作为参数,输出64字节的运算结果.
Salsa20核函数运算主要包括的运算如下,其中a和b皆为32bit(4 Byte)的数据:

  • 32 bit模加:(a + b) mod 2^32
  • 异或:a XOR b
  • 左移:a <<< b,其中b为常量,在Salsa20算法中左移的值为7、9、13、18

针对输入矩阵中的每个word,执行20轮的如下操作:
b ⊕= (a ⊞ c) <<< k,其中为异或,模加,<<<为左移。

经过20轮计算后,将输出的矩阵核原始矩阵相加,得到输出。

Salsa20核函数具体实现如下:

     #define R(a,b) (((a) << (b)) | ((a) >> (32 - (b))))
     void salsa20_word_specification(uint32 out[16],uint32 in[16])
     {
       int i;
       uint32 x[16];
       for (i = 0;i < 16;++i) x[i] = in[i];
       for (i = 20;i > 0;i -= 2) { // 20轮计算
         x[ 4] ^= R(x[ 0]+x[12], 7);  x[ 8] ^= R(x[ 4]+x[ 0], 9);
         x[12] ^= R(x[ 8]+x[ 4],13);  x[ 0] ^= R(x[12]+x[ 8],18);
         x[ 9] ^= R(x[ 5]+x[ 1], 7);  x[13] ^= R(x[ 9]+x[ 5], 9);
         x[ 1] ^= R(x[13]+x[ 9],13);  x[ 5] ^= R(x[ 1]+x[13],18);
         x[14] ^= R(x[10]+x[ 6], 7);  x[ 2] ^= R(x[14]+x[10], 9);
         x[ 6] ^= R(x[ 2]+x[14],13);  x[10] ^= R(x[ 6]+x[ 2],18);
         x[ 3] ^= R(x[15]+x[11], 7);  x[ 7] ^= R(x[ 3]+x[15], 9);
         x[11] ^= R(x[ 7]+x[ 3],13);  x[15] ^= R(x[11]+x[ 7],18);
         x[ 1] ^= R(x[ 0]+x[ 3], 7);  x[ 2] ^= R(x[ 1]+x[ 0], 9);
         x[ 3] ^= R(x[ 2]+x[ 1],13);  x[ 0] ^= R(x[ 3]+x[ 2],18);
         x[ 6] ^= R(x[ 5]+x[ 4], 7);  x[ 7] ^= R(x[ 6]+x[ 5], 9);
         x[ 4] ^= R(x[ 7]+x[ 6],13);  x[ 5] ^= R(x[ 4]+x[ 7],18);
         x[11] ^= R(x[10]+x[ 9], 7);  x[ 8] ^= R(x[11]+x[10], 9);
         x[ 9] ^= R(x[ 8]+x[11],13);  x[10] ^= R(x[ 9]+x[ 8],18);
         x[12] ^= R(x[15]+x[14], 7);  x[13] ^= R(x[12]+x[15], 9);
         x[14] ^= R(x[13]+x[12],13);  x[15] ^= R(x[14]+x[13],18);
       }
       for (i = 0;i < 16;++i) out[i] = x[i] + in[i]; // 输入矩阵经过20轮的计算结果和原始矩阵相加得到最终输出
     }

Output

每一次核函数运算,都能够通过key、nonce、block-counter生成64字节的输出block,经过多次输入和核函数运算,将每一次的生成结果拼接最终组成长度为2^70的字节流

加解密操作

得到随机字节流之后,Salsa算法的加解密操作极其简单。

  • 加密操作
    当加密长度为b字节的明文数据时,通过将明文数据和随机字节流的前b个字节进行异或运算得到密文。
  • 解密操作
    当解密长度为b字节的数据时,通过将密文和b字节的字节流进行异或运算得到明文。

参考

https://cr.yp.to/salsa20.html
https://cr.yp.to/snuffle/salsafamily-20071225.pdf