doc cleanups.
[libgcrypt.git] / doc / gcrypt.texi
index ab007f0..4e8eb99 100644 (file)
@@ -19,7 +19,7 @@ Permission is granted to copy, distribute and/or modify this document
 under the terms of the GNU General Public License as published by the
 Free Software Foundation; either version 2 of the License, or (at your
 option) any later version. The text of the license can be found in the
-section entitled ``Copying''.
+section entitled ``GNU General Public License''.
 @end quotation
 @end copying
 
@@ -77,8 +77,8 @@ section entitled ``Copying''.
 
 Appendices
 
-* FIPS Restrictions::           Restrictions in FIPS mode.
-* FIPS Finite State Machine::   Description of the FIPS FSM.
+* Self-Tests::                  Description of the self-tests.
+* FIPS Mode::                   Description of the FIPS mode.
 * Library Copying::             The GNU Lesser General Public License
                                 says how you can copy and share Libgcrypt.
 * Copying::                     The GNU General Public License says how you
@@ -187,7 +187,7 @@ of the library are verified.
 * Building sources using Automake::  How to build sources with the help of Automake.
 * Initializing the library::    How to initialize the library.
 * Multi-Threading::             How Libgcrypt can be used in a MT environment.
-* FIPS mode::                   How to enable the FIPS mode.
+* Enabling FIPS mode::          How to enable the FIPS mode.
 @end menu
 
 
@@ -316,7 +316,7 @@ but due to problem with the dynamic linker an old version may actually
 be used.  So you may want to check that the version is okay right
 after program startup.
 
-@deftypefun const char *gcry_check_version (const char *@var{req_version})
+@deftypefun {const char *} gcry_check_version (const char *@var{req_version})
 
 The function @code{gcry_check_version} initializes some subsystems used
 by Libgcrypt and must be invoked before any other function in the
@@ -332,7 +332,7 @@ pointer.
 
 Libgcrypt uses a concept known as secure memory, which is a region of
 memory set aside for storing sensitive data.  Because such memory is a
-scare resource, it needs to be setup in advanced to a fixed size.
+scarce resource, it needs to be setup in advanced to a fixed size.
 Further, most operating systems have special requirements on how that
 secure memory can be used.  For example, it might be required to install
 an application as ``setuid(root)'' to allow allocating such memory.
@@ -391,8 +391,8 @@ and freed memory, you need to initialize Libgcrypt this way:
   gcry_control (GCRYCTL_INIT_SECMEM, 16384, 0);
 
 @anchor{sample-use-resume-secmem}
-  /* It is now okay to let Libgcrypt complain when there was/is a problem
-     with the secure memory. */
+  /* It is now okay to let Libgcrypt complain when there was/is
+     a problem with the secure memory. */
   gcry_control (GCRYCTL_RESUME_SECMEM_WARN);
 
   /* ... If required, other initialization goes here.  */
@@ -475,10 +475,10 @@ Synchronization''.  For other thread packages, more relaxed or more
 strict rules may apply.}.
 
 @item
-
 Just like the function @code{gpg_strerror}, the function
 @code{gcry_strerror} is not thread safe.  You have to use
 @code{gpg_strerror_r} instead.
+
 @end itemize
 
 
@@ -488,24 +488,28 @@ necessary thread callbacks for PThread and for GNU Pth:
 @table @code
 @item GCRY_THREAD_OPTION_PTH_IMPL
 
-This macro defines the following (static) symbols: gcry_pth_init,
-gcry_pth_mutex_init, gcry_pth_mutex_destroy, gcry_pth_mutex_lock,
-gcry_pth_mutex_unlock, gcry_pth_read, gcry_pth_write, gcry_pth_select,
-gcry_pth_waitpid, gcry_pth_accept, gcry_pth_connect, gcry_threads_pth.
+This macro defines the following (static) symbols:
+@code{gcry_pth_init}, @code{gcry_pth_mutex_init},
+@code{gcry_pth_mutex_destroy}, @code{gcry_pth_mutex_lock},
+@code{gcry_pth_mutex_unlock}, @code{gcry_pth_read},
+@code{gcry_pth_write}, @code{gcry_pth_select},
+@code{gcry_pth_waitpid}, @code{gcry_pth_accept},
+@code{gcry_pth_connect}, @code{gcry_threads_pth}.
 
-After including this macro, gcry_control() shall be used with a
-command of GCRYCTL_SET_THREAD_CBS in order to register the thread
-callback structure named ``gcry_threads_pth''.
+After including this macro, @code{gcry_control()} shall be used with a
+command of @code{GCRYCTL_SET_THREAD_CBS} in order to register the
+thread callback structure named ``gcry_threads_pth''.
 
 @item GCRY_THREAD_OPTION_PTHREAD_IMPL
 
 This macro defines the following (static) symbols:
-gcry_pthread_mutex_init, gcry_pthread_mutex_destroy, gcry_mutex_lock,
-gcry_mutex_unlock, gcry_threads_pthread.
+@code{gcry_pthread_mutex_init}, @code{gcry_pthread_mutex_destroy},
+@code{gcry_pthread_mutex_lock}, @code{gcry_pthread_mutex_unlock},
+@code{gcry_threads_pthread}.
 
-After including this macro, gcry_control() shall be used with a
-command of GCRYCTL_SET_THREAD_CBS in order to register the thread
-callback structure named ``gcry_threads_pthread''.
+After including this macro, @code{gcry_control()} shall be used with a
+command of @code{GCRYCTL_SET_THREAD_CBS} in order to register the
+thread callback structure named ``gcry_threads_pthread''.
 @end table
 
 Note that these macros need to be terminated with a semicolon.  Keep
@@ -513,12 +517,11 @@ in mind that these are convenient macros for C programmers; C++
 programmers might have to wrap these macros in an ``extern C'' body.
 
 
+@node Enabling FIPS mode
+@section How to enable the FIPS mode
 
-@node FIPS mode
-@section FIPS Mode
-
-Libgcrypt may be used in a FIPS 140 mode.  Note, that this does not
-necessary mean that Libcgrypt is n appoved FIPS 140-2 module.  Check the
+Libgcrypt may be used in a FIPS 140-2 mode.  Note, that this does not
+necessary mean that Libcgrypt is an appoved FIPS 140-2 module.  Check the
 NIST database at @url{http://csrc.nist.gov/groups/STM/cmvp/} to see what
 versions of Libgcrypt are approved.
 
@@ -532,7 +535,7 @@ Libgcrypt into this mode:
 If the file @file{/proc/sys/crypto/fips_enabled} exists and contains a
 numeric value other than @code{0}, Libgcrypt is put into FIPS mode at
 initialization time.  Obviously this works only on systems with a
-@code{proc} file system (ie.e GNU/Linux).
+@code{proc} file system (i.e. GNU/Linux).
 
 @item 
 If the file @file{/etc/gcrypt/fips140.force} exists, Libgcrypt is put
@@ -540,16 +543,16 @@ into FIPS mode at initialization time.  Note that this filename is
 hardwired and does not depend on any configuration options.
 
 @item 
-If the applications requests FIPS mode using the control command
+If the application requests FIPS mode using the control command
 @code{GCRYCTL_FORCE_FIPS_MODE}.  This must be done prior to any
 initialization (i.e. before @code{gcry_check_version}).
 
 @end itemize
 
-Note that once Libgcrypt has been put into FIPS mode, it is not possible
-to switch back to standard mode without terminating the process first.
-If the log verbosity level of Libgcrypt has been set to at least 2, the
-state transitions and the selftests are logged.
+Once Libgcrypt has been put into FIPS mode, it is not possible to
+switch back to standard mode without terminating the process first.
+If the logging verbosity level of Libgcrypt has been set to at least
+2, the state transitions and the self-tests are logged.
 
 
 
@@ -632,11 +635,12 @@ value of 1 to request that default size.
 @item GCRYCTL_TERM_SECMEM; Arguments: none
 This command zeroises the secure memory and destroys the handler.  The
 secure memory pool may not be used anymore after running this command.
-If the secure memory pool as already been destroyed, this command has no
-effect.  Applications might want to run this command from their exit
-handler to make sure that the secure memory gets properly destroyed.
-This command is not necessary thread-safe but that should not be needed
-in cleanup code.  It may be called from a signal handler.
+If the secure memory pool as already been destroyed, this command has
+no effect.  Applications might want to run this command from their
+exit handler to make sure that the secure memory gets properly
+destroyed.  This command is not necessarily thread-safe but that
+should not be needed in cleanup code.  It may be called from a signal
+handler.
 
 @item GCRYCTL_DISABLE_SECMEM_WARN; Arguments: none
 Disable warning messages about problems with the secure memory
@@ -686,30 +690,30 @@ an issue if random of @code{GCRY_VERY_STRONG_RANDOM} quality is
 requested as in this case enough extra entropy gets mixed.  It is also
 not an issue when using Linux (rndlinux driver), because this one
 guarantees to read full 16 bytes from /dev/urandom and thus there is no
-way for an attacker without kernel access to conrol these 16 bytes.
+way for an attacker without kernel access to control these 16 bytes.
 
 @item GCRYCTL_SET_VERBOSITY; Arguments: int level
 This command sets the verbosity of the logging.  A level of 0 disables
 all extra logging whereas positive numbers enable more verbose logging.
 The level may be changed at any time but be aware that no memory
-syncronization is done so the effect of this command might not
+synchronization is done so the effect of this command might not
 immediately show up in other threads.  This command may even be used
-prioe to @code{gcry_check_version}.
+prior to @code{gcry_check_version}.
 
 @item GCRYCTL_SET_DEBUG_FLAGS; Arguments: unsigned int flags
 Set the debug flag bits as given by the argument.  Be aware that that no
-memory syncronization is done so the effect of this command might not
+memory synchronization is done so the effect of this command might not
 immediately show up in other threads.  The debug flags are not
 considered part of the API and thus may change without notice.  As of
 now bit 0 enables debugging of cipher functions and bit 1 debugging of
-multi-precision-integers.  This command may even be used prioe to
+multi-precision-integers.  This command may even be used prior to
 @code{gcry_check_version}.
 
 @item GCRYCTL_CLEAR_DEBUG_FLAGS; Arguments: unsigned int flags
 Set the debug flag bits as given by the argument.  Be aware that that no
-memory syncronization is done so the effect of this command might not
+memory synchronization is done so the effect of this command might not
 immediately show up in other threads.  This command may even be used
-prioe to @code{gcry_check_version}.
+prior to @code{gcry_check_version}.
 
 @item GCRYCTL_DISABLE_INTERNAL_LOCKING; Arguments: none
 This command does nothing.  It exists only for backward compatibility.
@@ -766,7 +770,7 @@ before a gcry_version_check.
 
 @item GCRYCTL_FORCE_FIPS_MODE; Arguments: none
 Running this command puts the library into FIPS mode.  If the library is
-already in FIPS mode, a selftest is triggered and thus the library will
+already in FIPS mode, a self-test is triggered and thus the library will
 be put into operational state.  This command may be used before a call
 to gcry_check_version and that is actually the recommended way to let an
 application switch the library into FIPS mode.  Note that Libgcrypt will
@@ -774,8 +778,8 @@ reject an attempt to switch to fips mode during or after the intialization.
 
 @item GCRYCTL_SELFTEST; Arguments: none
 This may be used at anytime to have the library run all implemented
-selftests.  It works in standard and in FIPS mode.  Returns 0 on
-success or an error code.
+self-tests.  It works in standard and in FIPS mode.  Returns 0 on
+success or an error code on failure.
 
 
 @end table
@@ -1165,7 +1169,8 @@ above:
   gcry_cipher_hd_t handle;
   gcry_error_t err = 0;
 
-  err = gcry_cipher_open (&handle, GCRY_CIPHER_AES, GCRY_CIPHER_MODE_CBC, 0);
+  err = gcry_cipher_open (&handle, GCRY_CIPHER_AES, 
+                          GCRY_CIPHER_MODE_CBC, 0);
   if (err)
     @{
       fprintf (stderr, "Failure: %s/%s\n",
@@ -1507,13 +1512,13 @@ unsigned char *inbuf)
 
 @deftp {Data type} gcry_cipher_stencrypt_t
 Type for the `stencrypt' function, defined as: gcry_err_code_t
-(*gcry_cipher_stencrypt_t) (void *c, const unsigned char *outbuf, const
+(*gcry_@/cipher_@/stencrypt_@/t) (void *c, const unsigned char *outbuf, const
 unsigned char *, unsigned int n)
 @end deftp
 
 @deftp {Data type} gcry_cipher_stdecrypt_t
 Type for the `stdecrypt' function, defined as: gcry_err_code_t
-(*gcry_cipher_stdecrypt_t) (void *c, const unsigned char *outbuf, const
+(*gcry_@/cipher_@/stdecrypt_@/t) (void *c, const unsigned char *outbuf, const
 unsigned char *, unsigned int n)
 @end deftp
 
@@ -1593,10 +1598,11 @@ The cipher mode to use must be specified via @var{mode}.  See
 @xref{Available cipher modes}, for a list of supported cipher modes
 and the according constants.  Note that some modes are incompatible
 with some algorithms - in particular, stream mode
-(GCRY_CIPHER_MODE_STREAM) only works with stream ciphers. Any block
-cipher mode (GCRY_CIPHER_MODE_ECB, GCRY_CIPHER_MODE_CBC,
-GCRY_CIPHER_MODE_CFB, GCRY_CIPHER_MODE_OFB or GCRY_CIPHER_MODE_CTR)
-will work with any block cipher algorithm.
+(@code{GCRY_CIPHER_MODE_STREAM}) only works with stream ciphers. Any
+block cipher mode (@code{GCRY_CIPHER_MODE_ECB},
+@code{GCRY_CIPHER_MODE_CBC}, @code{GCRY_CIPHER_MODE_CFB},
+@code{GCRY_CIPHER_MODE_OFB} or @code{GCRY_CIPHER_MODE_CTR}) will work
+with any block cipher algorithm.
 
 The third argument @var{flags} can either be passed as @code{0} or as
 the bit-wise OR of the following constants.
@@ -1789,7 +1795,7 @@ Returns @code{0} when the specified algorithm is available for use.
 @end deftypefun
 @c end gcry_cipher_algo_info
 
-@deftypefun const char *gcry_cipher_algo_name (int @var{algo})
+@deftypefun {const char *} gcry_cipher_algo_name (int @var{algo})
 
 @code{gcry_cipher_algo_name} returns a string with the name of the
 cipher algorithm @var{algo}.  If the algorithm is not known or another
@@ -1851,9 +1857,10 @@ called S-expressions (see
 @uref{http://people.csail.mit.edu/@/rivest/@/sexp.html}) and does not work
 with contexts as most of the other building blocks of Libgcrypt do.
 
+@noindent
 The following information are stored in S-expressions:
 
-@table @asis
+@itemize @asis
 @item keys
 
 @item plain text data
@@ -1862,7 +1869,7 @@ The following information are stored in S-expressions:
 
 @item signatures
 
-@end table
+@end itemize
 
 @noindent
 To describe how Libgcrypt expect keys, we use examples. Note that
@@ -2269,7 +2276,7 @@ function checks that this data actually can be used with the given key,
 does the padding and encrypts it.
 
 If the function could successfully perform the encryption, the return
-value will be 0 and a new S-expression with the encrypted result is
+value will be 0 and a new S-expression with the encrypted result is
 allocated and assigned to the variable at the address of @var{r_ciph}.
 The caller is responsible to release this value using
 @code{gcry_sexp_release}.  In case of an error, an error code is
@@ -2785,7 +2792,7 @@ Create a copy of the data set @var{data} and store it in
 @var{data_cp}.  FIXME: exact semantics undefined.
 @end deftypefun
 
-@deftypefun unsigned int gcry_ac_data_length (gcry_ac_data_t @var{data})
+@deftypefun {unsigned int} gcry_ac_data_length (gcry_ac_data_t @var{data})
 Returns the number of named MPI values inside of the data set
 @var{data}.
 @end deftypefun
@@ -3006,7 +3013,8 @@ Example code:
   err = gcry_ac_open  (&handle, GCRY_AC_RSA, 0);
   assert (! err);
 
-  err = gcry_ac_key_pair_generate (handle, 1024, &rsa_spec, &key_pair, NULL);
+  err = gcry_ac_key_pair_generate (handle, 1024, &rsa_spec,
+                                   &key_pair, NULL);
   assert (! err);
 @}
 @end example
@@ -3541,7 +3549,7 @@ has an effect. It is implemented as a macro.
 The way to read out the calculated message digest is by using the
 function:
 
-@deftypefun unsigned char *gcry_md_read (gcry_md_hd_t @var{h}, int @var{algo})
+@deftypefun {unsigned char *} gcry_md_read (gcry_md_hd_t @var{h}, int @var{algo})
 
 @code{gcry_md_read} returns the message digest after finalizing the
 calculation.  This function may be used as often as required but it will
@@ -3580,7 +3588,7 @@ Hash algorithms are identified by internal algorithm numbers (see
 used by names, so two functions are available to map between string
 representations and hash algorithm identifiers.
 
-@deftypefun const char *gcry_md_algo_name (int @var{algo})
+@deftypefun {const char *} gcry_md_algo_name (int @var{algo})
 
 Map the digest algorithm id @var{algo} to a string representation of the
 algorithm name.  For unknown algorithms this function returns the
@@ -3624,7 +3632,7 @@ The macro returns 0 if the algorithm @var{algo} is available for use.
 If the length of a message digest is not known, it can be retrieved
 using the following function:
 
-@deftypefun unsigned int gcry_md_get_algo_dlen (int @var{algo})
+@deftypefun {unsigned int} gcry_md_get_algo_dlen (int @var{algo})
 
 Retrieve the length in bytes of the digest yielded by algorithm
 @var{algo}.  This is often used prior to @code{gcry_md_read} to allocate
@@ -3715,19 +3723,19 @@ does implicitly stop debugging.
 
 @acronym{Libgcypt} offers random numbers of different quality levels:
 
-@deftp {Data type} enum gcry_random_level
-The constants for the random quality levels are of this type.
+@deftp {Data type} gcry_random_level_t
+The constants for the random quality levels are of this enum type.
 @end deftp
 
 @table @code
 @item GCRY_WEAK_RANDOM
 For all functions, except for @code{gcry_mpi_randomize}, this level maps
-to GCRY_STRONG_RANDOM. IF you do not want this, consider using
+to GCRY_STRONG_RANDOM.  If you do not want this, consider using
 @code{gcry_create_nonce}.
 @item GCRY_STRONG_RANDOM
-Use this level for e.g. session keys and similar purposes.
+Use this level for session keys and similar purposes.
 @item GCRY_VERY_STRONG_RANDOM
-Use this level for e.g. key material.
+Use this level for long term key material.
 @end table
 
 @node Retrieving random numbers
@@ -3739,14 +3747,14 @@ Fill @var{buffer} with @var{length} random bytes using a random quality
 as defined by @var{level}.
 @end deftypefun
 
-@deftypefun void * gcry_random_bytes (size_t @var{nbytes}, enum gcry_random_level @var{level})
+@deftypefun {void *} gcry_random_bytes (size_t @var{nbytes}, enum gcry_random_level @var{level})
 
 Convenience function to allocate a memory block consisting of
 @var{nbytes} fresh random bytes using a random quality as defined by
 @var{level}.
 @end deftypefun
 
-@deftypefun void * gcry_random_bytes_secure (size_t @var{nbytes}, enum gcry_random_level @var{level})
+@deftypefun {void *} gcry_random_bytes_secure (size_t @var{nbytes}, enum gcry_random_level @var{level})
 
 Convenience function to allocate a memory block consisting of
 @var{nbytes} fresh random bytes using a random quality as defined by
@@ -3999,7 +4007,7 @@ printf ("my name is %.*s\n", (int)len, name);
 @end example
 @end deftypefun
 
-@deftypefun char *gcry_sexp_nth_string (@w{gcry_sexp_t @var{list}}, @w{int @var{number}})
+@deftypefun {char *} gcry_sexp_nth_string (@w{gcry_sexp_t @var{list}}, @w{int @var{number}})
 
 This function is used to get and convert data from a @var{list}. The
 data is assumed to be a Nul terminated string.  The caller must
@@ -4045,8 +4053,8 @@ numbers are called MPIs (multi-precision-integers).
 @node Data types
 @section Data types
 
-@deftp {Data type} gcry_mpi_t
-The @code{gcry_mpi_t} type represents an object to hold an MPI.
+@deftp {Data type} {gcry_mpi_t}
+This type represents an object to hold an MPI.
 @end deftp
 
 @node Basic functions
@@ -4418,8 +4426,7 @@ holding the prime factors and store it in @var{factors}.  @var{flags}
 might be used to influence the prime number generation process.
 @end deftypefun
 
-@deftypefun gcry_prime_group_generator (gcry_mpi_t *@var{r_g},
-gcry_mpi_t @var{prime}, gcry_mpi_t *@var{factors}, gcry_mpi_t @var{start_g})
+@deftypefun gcry_error_t gcry_prime_group_generator (gcry_mpi_t *@var{r_g}, gcry_mpi_t @var{prime}, gcry_mpi_t *@var{factors}, gcry_mpi_t @var{start_g})
 
 Find a generator for @var{prime} where the factorization of
 (@var{prime}-1) is in the @code{NULL} terminated array @var{factors}.
@@ -4456,18 +4463,18 @@ wrong.
 @node Memory allocation
 @section Memory allocation
 
-@deftypefun void *gcry_malloc (size_t @var{n})
+@deftypefun {void *} gcry_malloc (size_t @var{n})
 
 This function tries to allocate @var{n} bytes of memory.  On success
 it returns a pointer to the memory area, in an out-of-core condition,
 it returns NULL.
 @end deftypefun
 
-@deftypefun void *gcry_malloc_secure (size_t @var{n})
+@deftypefun {void *} gcry_malloc_secure (size_t @var{n})
 Like @code{gcry_malloc}, but uses secure memory.
 @end deftypefun
 
-@deftypefun void *gcry_calloc (size_t @var{n})
+@deftypefun {void *} gcry_calloc (size_t @var{n})
 
 This function tries to allocate @var{n} bytes of cleared memory
 (i.e. memory that is initialized with zero bytes).  On success it
@@ -4475,11 +4482,11 @@ returns a pointer to the memory area, in an out-of-core condition, it
 returns NULL.
 @end deftypefun
 
-@deftypefun void *gcry_calloc_secure (size_t @var{n})
+@deftypefun {void *} gcry_calloc_secure (size_t @var{n})
 Like @code{gcry_calloc}, but uses secure memory.
 @end deftypefun
 
-@deftypefun void *gcry_realloc (void *@var{p}, size_t @var{n})
+@deftypefun {void *} gcry_realloc (void *@var{p}, size_t @var{n})
 
 This function tries to resize the memory area pointed to by @var{p} to
 @var{n} bytes.  On success it returns a pointer to the new memory
@@ -4535,8 +4542,8 @@ details.}.
 
 Libgcrypt consists of several subsystems (@pxref{fig:subsystems}) and
 all these subsystems provide a public API; this includes the helper
-subsystems like the one for S-expression.  The API style depends on the
-subsystem; in general an open, use, close approach is implemented.  The
+subsystems like the one for S-expressions.  The API style depends on the
+subsystem; in general an open-use-close approach is implemented.  The
 open returns a handle to a context used for all further operations on
 this handle, several functions may then be used on this handle and a
 final close function releases all resources associated with the handle.
@@ -4605,9 +4612,20 @@ level code (@file{cipher/pubkey.c}).  Thus the internal interface
 between the algorithm modules and the high level functions passes data
 in a custom format.  The interface to the modules is published
 (@file{gcrypt-modules.h}) so that it can used to register external
-implementations of algorithms with Libgcrypt.  However, for some algorithms this
-module interface is to limited and thus for the internal modules an
-extra interface is sometimes used to convey more information.
+implementations of algorithms with Libgcrypt.  However, for some
+algorithms this module interface is to limited and thus for the
+internal modules an extra interface is sometimes used to convey more
+information.
+
+By default Libgcrypt uses a blinding technique for RSA decryption to
+mitigate real world timing attacks over a network: Instead of using
+the RSA decryption directly, a blinded value @math{y = x r^{e} \bmod n}
+is decrypted and the unblinded value @math{x' = y' r^{-1} \bmod n}
+returned.  The blinding value @math{r} is a random value with the size
+of the modulus @math{n} and generated with @code{GCRY_STRONG_RANDOM}
+random level.
+
+
 
 
 @node Symmetric Encryption Subsystem Architecture
@@ -4918,7 +4936,7 @@ before and thus gets initialized on the first use by
 weaker requirements for a nonce generator and to save precious kernel
 entropy for use by the ``real'' random generators.
 
-A self test facility uses a separate context to check the
+A self-test facility uses a separate context to check the
 functionality of the core X9.31 functions using a known answers test.
 During runtime each output block is compared to the previous one to
 detect a stucked generator.
@@ -4979,9 +4997,357 @@ incremented on each use.
 @c **********************************************************
 
 @c ********************************************
-@node FIPS Restrictions
-@appendix Restrictions in FIPS mode
+@node Self-Tests
+@appendix Description of the Self-Tests
+
+In addition to the build time regression test suite, Libgcrypt
+implements self-tests to be performed at runtime.  Which self-tests
+are actually used depends on the mode Libgcrypt is used in.  In
+standard mode a limited set of self-tests is run at the time an
+algorithm is first used.  Note that not all algorithms feature a
+self-test in standard mode.  The @code{GCRYCTL_SELFTEST} control
+command may be used to run all implemented self-tests at any time;
+this will even run more tests than those run in FIPS mode.
+
+If any of the self-tests fails, the library immediately returns an
+error code to the caller.  If Libgcrypt is in FIPS mode the self-tests
+will be performed within the ``Self-Test'' state and any failure puts
+the library into the ``Error'' state.
+
+@c --------------------------------
+@section Power-Up Tests
+
+Power-up tests are only performed if Libgcrypt is in FIPS mode.  
+
+@subsection Symmetric Cipher Algorithm Power-Up Tests
+
+The following symmetric encryption algorithm tests are run during
+power-up:
+
+@table @asis
+@item 3DES
+To test the 3DES 3-key EDE encryption in ECB mode these tests are
+run:
+@enumerate
+@item
+A known answer test is run on a 64 bit test vector processed by 64
+rounds of Single-DES block encryption and decryption using a key
+changed with each round.
+@item
+A known answer test is run on a 64 bit test vector processed by 16
+rounds of 2-key and 3-key Triple-DES block encryption and decryptions
+using a key changed with each round.
+@item
+10 known answer tests using 3-key Triple-DES EDE encryption, comparing
+the ciphertext to the known value, then running a decryption and
+comparing it to the initial plaintext.
+@end enumerate
+(@code{cipher/des.c:selftest})
+
+@item AES-128
+A known answer tests is run using one test vector and one test
+key with AES in ECB mode. (@code{cipher/rijndael.c:selftest_basic_128})
+
+@item AES-192
+A known answer tests is run using one test vector and one test
+key with AES in ECB mode. (@code{cipher/rijndael.c:selftest_basic_192})
+
+@item AES-256
+A known answer tests is run using one test vector and one test key
+with AES in ECB mode. (@code{cipher/rijndael.c:selftest_basic_256})
+@end table
+
+@subsection Hash Algorithm Power-Up Tests
+
+The following hash algorithm tests are run during power-up:
+
+@table @asis
+@item SHA-1
+A known answer test using the string @code{"abc"} is run.
+(@code{cipher/@/sha1.c:@/selftests_sha1})
+@item SHA-224
+A known answer test using the string @code{"abc"} is run.
+(@code{cipher/@/sha256.c:@/selftests_sha224})
+@item SHA-256
+A known answer test using the string @code{"abc"} is run.
+(@code{cipher/@/sha256.c:@/selftests_sha256})
+@item SHA-384
+A known answer test using the string @code{"abc"} is run.
+(@code{cipher/@/sha512.c:@/selftests_sha384})
+@item SHA-512
+A known answer test using the string @code{"abc"} is run.
+(@code{cipher/@/sha512.c:@/selftests_sha512})
+@end table
+
+@subsection MAC Algorithm Power-Up Tests
+
+The following MAC algorithm tests are run during power-up:
+
+@table @asis
+@item HMAC SHA-1
+A known answer test using 9 byte of data and a 64 byte key is run.
+(@code{cipher/hmac-tests.c:selftests_sha1})
+@item HMAC SHA-224
+A known answer test using 28 byte of data and a 4 byte key is run.
+(@code{cipher/hmac-tests.c:selftests_sha224})
+@item HMAC SHA-256
+A known answer test using 28 byte of data and a 4 byte key is run.
+(@code{cipher/hmac-tests.c:selftests_sha256})
+@item HMAC SHA-384
+A known answer test using 28 byte of data and a 4 byte key is run.
+(@code{cipher/hmac-tests.c:selftests_sha384})
+@item HMAC SHA-512
+A known answer test using 28 byte of data and a 4 byte key is run.
+(@code{cipher/hmac-tests.c:selftests_sha512})
+@end table
+
+@subsection Random Number Power-Up Test
+
+The DRNG is tested during power-up this way:
+
+@enumerate
+@item 
+Requesting one block of random using the public interface to check
+general working and the duplicated block detection.
+@item
+3 know answer tests using pre-defined keys, seed and initial DT
+values.  For each test 3 blocks of 16 bytes are requested and compared
+to the expected result.  The DT value is incremented for each block.
+@end enumerate
+
+@subsection Public Key Algorithm Power-Up Tests
+
+The public key algorithms are tested during power-up:
+
+@table @asis
+@item RSA
+A pre-defined 1024 bit RSA key is used and these tests are run
+in turn:
+@enumerate
+@item 
+Conversion of S-expression to internal format. 
+(@code{cipher/@/rsa.c:@/selftests_rsa})
+@item 
+Private key consistency check.
+(@code{cipher/@/rsa.c:@/selftests_rsa})
+@item
+A pre-defined 20 byte value is signed with PKCS#1 padding for SHA-1.
+The result is verified using the public key against the original data
+and against modified data.  (@code{cipher/@/rsa.c:@/selftest_sign_1024})
+@item
+A 1000 bit random value is encrypted and checked that it does not
+match the orginal random value.  The encrtypted result is then
+decrypted and checked that it macthes the original random value.
+(@code{cipher/@/rsa.c:@/selftest_encr_1024})
+@end enumerate
+
+@item DSA
+A pre-defined 1024 bit DSA key is used and these tests are run in turn:
+@enumerate
+@item
+Conversion of S-expression to internal format.
+(@code{cipher/@/dsa.c:@/selftests_dsa})
+@item
+Private key consistency check.
+(@code{cipher/@/dsa.c:@/selftests_dsa})
+@item
+A pre-defined 20 byte value is signed with PKCS#1 padding for
+SHA-1.  The result is verified using the public key against the
+original data and against modified data.
+(@code{cipher/@/dsa.c:@/selftest_sign_1024})
+@end enumerate
+@end table
+
+@subsection Integrity Power-Up Tests
+
+The integrity of the Libgcrypt is tested during power-up but only if
+checking has been enabled at build time.  The check works by computing
+a HMAC SHA-256 checksum over the file used to load Libgcrypt into
+memory.  That checksum is compared against a checksum stored in a file
+of the same name but with a single dot as a prefix and a suffix of
+@file{.hmac}.
+
+
+@subsection Critical Functions Power-Up Tests
+
+The 3DES weak key detection is tested during power-up by calling the
+detection function with keys taken from a table listening all weak
+keys.  The table itself is protected using a SHA-1 hash.
+(@code{cipher/@/des.c:@/selftest})
+
+
+
+@c --------------------------------
+@section Conditional Tests
+
+The conditional tests are performed if a certain contidion is met.
+This may occur at any time; the library does not necessary enter the
+``Self-Test'' state to run these tests but will transit to the
+``Error'' state if a test failed.
+
+@subsection Key-Pair Generation Tests
+
+After an asymmetric key-pair has been generated, Libgcrypt runs a
+pair-wise consistency tests on the generated key.  On failure the
+generated key is not used, an error code is returned and, if in FIPS
+mode, the library is put into the ``Error'' state.
+
+@table @asis
+@item RSA
+The test uses a random number 64 bits less the size of the modulus as
+plaintext and runs an encryption and decryption operation in turn.  The
+encrypted value is checked to not match the plaintext and the result
+of the decryption is checked to match the plaintext.
+
+A new random number of the same size is generated, signed and verified
+to test the correctness of the signing operation.  As a second signing
+test, the signature is modified by incrementing its value and then
+verified with the expected result that the verification fails.
+(@code{cipher/@/dsa.c:@/test_keys})
+@item DSA
+The test uses a random number of the size of the Q parameter to create
+a signature and then checks that the signature verifies.  As a second
+signing test, the data is modified by incrementing its value and then
+verified against the signature with the expected result that the
+verification fails.  (@code{cipher/@/dsa.c:@/test_keys})
+@end table
+
+
+@subsection Software Load Tests
+
+Loading of extra modules into libgcrypt is disabled in FIPS mode and
+thus no tests are
+implemented. (@code{cipher/@/cipher.c:@/gcry_cipher_register},
+@code{cipher/@/md.c:@/gcry_md_register},
+@code{cipher/@/md.c:@/gcry_pk_register})
+
+
+@subsection Manual Key Entry Tests
+
+A manual key entry feature is not implemented in Libgcrypt.
+
+
+@subsection Continuous RNG Tests
+
+The continuous random number test is only used in FIPS mode.  The RNG
+generates blocks of 128 bit size; the first block generated per
+context is saved in the context and another block is generated to be
+returned to the caller.  Each block is compared against the saved
+block and then stored in the context.  If a duplicated block is
+detected an error is signaled and the libray is put into the
+``Fatal-Error'' state.
+(@code{random/@/random-fips.c:@/x931_aes_driver})
+
+
+
+@c --------------------------------
+@section Application Requested Tests
+
+The application may requests tests at any time by means of the
+@code{GCRYCTL_SELFTEST} control command.  Note that using these tests
+is not FIPS conform: Although Libgcrypt rejects all application
+requests for services while running self-tests, it does not ensure
+that no other operations of Libgcrypt are still being executed.  Thus
+in FIPS mode an application requesting self-tests needs to be
+power-cycle Libgcrypt instead.
+
+When self-tests are requested, Libgcrypt runs all the tests it does
+during power-up as well as a few extra checks as described below.
+
+@subsection Symmetric Cipher Algorithm Tests
+
+The following symmetric encryption algorithm tests are run in addition
+to the power-up tests:
+
+@table @asis
+@item AES-128
+A known answer tests with test vectors taken from NIST SP800-38a and
+using the high level functions is run for block modes CFB and OFB.
+
+@end table
+
+@subsection Hash Algorithm Tests
+
+The following hash algorithm tests are run in addition to the 
+power-up tests:
+
+@table @asis
+@item SHA-1
+@itemx SHA-224
+@itemx SHA-256
+@enumerate
+@item
+A known answer test using a 56 byte string is run.
+@item 
+A known answer test using a string of one million letters "a" is run.
+@end enumerate
+(@code{cipher/@/sha1.c:@/selftests_sha1},
+@code{cipher/@/sha256.c:@/selftests_sha224},
+@code{cipher/@/sha256.c:@/selftests_sha256})
+@item SHA-384
+@item SHA-512
+@enumerate
+@item
+A known answer test using a 112 byte string is run.
+@item 
+A known answer test using a string of one million letters "a" is run.
+@end enumerate
+(@code{cipher/@/sha512.c:@/selftests_sha384},
+@code{cipher/@/sha512.c:@/selftests_sha512})
+@end table
+
+@subsection MAC Algorithm Tests
+
+The following MAC algorithm tests are run in addition to the power-up
+tests:
+
+@table @asis
+@item HMAC SHA-1
+@enumerate
+@item
+A known answer test using 9 byte of data and a 20 byte key is run.
+@item
+A known answer test using 9 byte of data and a 100 byte key is run.
+@item
+A known answer test using 9 byte of data and a 49 byte key is run.
+@end enumerate
+(@code{cipher/hmac-tests.c:selftests_sha1})
+@item HMAC SHA-224
+@itemx HMAC SHA-256
+@itemx HMAC SHA-384
+@itemx HMAC SHA-512
+@enumerate
+@item
+A known answer test using 9 byte of data and a 20 byte key is run.
+@item
+A known answer test using 50 byte of data and a 20 byte key is run.
+@item
+A known answer test using 50 byte of data and a 26 byte key is run.
+@item
+A known answer test using 54 byte of data and a 131 byte key is run.
+@item
+A known answer test using 152 byte of data and a 131 byte key is run.
+@end enumerate
+(@code{cipher/@/hmac-tests.c:@/selftests_sha224},
+@code{cipher/@/hmac-tests.c:@/selftests_sha256},
+@code{cipher/@/hmac-tests.c:@/selftests_sha384},
+@code{cipher/@/hmac-tests.c:@/selftests_sha512})
+@end table
+
+
+@c ********************************************
+@node FIPS Mode
+@appendix Description of the FIPS Mode
+
+This appendix gives detailed information pertaining to the FIPS mode.
+In particular, the changes to the standard mode and the finite state
+machine are described.  The self-tests required in this mode are
+described in the appendix on self-tests.
 
+@c -------------------------------
+@section Restrictions in FIPS Mode
+
+@noindent
 If Libgcrypt is used in FIPS mode these restrictions are effective:
 
 @itemize
@@ -5077,8 +5443,7 @@ A handler set by @code{gcry_set_fatalerror_handler} is ignored.
 
 
 @c ********************************************
-@node FIPS Finite State Machine
-@appendix FIPS Finite State Machine
+@section FIPS Finite State Machine
 
 The FIPS mode of libgcrypt implements a finite state machine (FSM) using
 8 states (@pxref{tbl:fips-states}) and checks at runtime that only valid