src/core/gnunet-service-core_kx.c

   1 /*
   2      This file is part of GNUnet.
   3      Copyright (C) 2009-2013 GNUnet e.V.
   4
   5      GNUnet is free software; you can redistribute it and/or modify
   6      it under the terms of the GNU General Public License as published
   7      by the Free Software Foundation; either version 3, or (at your
   8      option) any later version.
   9
  10      GNUnet is distributed in the hope that it will be useful, but
  11      WITHOUT ANY WARRANTY; without even the implied warranty of
  12      MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the GNU
  13      General Public License for more details.
  14
  15      You should have received a copy of the GNU General Public License
  16      along with GNUnet; see the file COPYING.  If not, write to the
  17      Free Software Foundation, Inc., 51 Franklin Street, Fifth Floor,
  18      Boston, MA 02110-1301, USA.
  19 */
  20
  21 /**
  22  * @file core/gnunet-service-core_kx.c
  23  * @brief code for managing the key exchange (SET_KEY, PING, PONG) with other peers
  24  * @author Christian Grothoff
  25  */
  26 #include "platform.h"
  27 #include "gnunet-service-core_kx.h"
  28 #include "gnunet-service-core.h"
  29 #include "gnunet-service-core_clients.h"
  30 #include "gnunet-service-core_neighbours.h"
  31 #include "gnunet-service-core_sessions.h"
  32 #include "gnunet_statistics_service.h"
  33 #include "gnunet_constants.h"
  34 #include "gnunet_signatures.h"
  35 #include "gnunet_protocols.h"
  36 #include "core.h"
  37
  38
  39 /**
  40  * How long do we wait for SET_KEY confirmation initially?
  41  */
  42 #define INITIAL_SET_KEY_RETRY_FREQUENCY GNUNET_TIME_relative_multiply (GNUNET_TIME_UNIT_SECONDS, 10)
  43
  44 /**
  45  * What is the minimum frequency for a PING message?
  46  */
  47 #define MIN_PING_FREQUENCY GNUNET_TIME_relative_multiply (GNUNET_TIME_UNIT_SECONDS, 5)
  48
  49 /**
  50  * How often do we rekey?
  51  */
  52 #define REKEY_FREQUENCY GNUNET_TIME_relative_multiply (GNUNET_TIME_UNIT_HOURS, 12)
  53
  54 /**
  55  * What time difference do we tolerate?
  56  */
  57 #define REKEY_TOLERANCE GNUNET_TIME_relative_multiply (GNUNET_TIME_UNIT_MINUTES, 5)
  58
  59 /**
  60  * What is the maximum age of a message for us to consider processing
  61  * it?  Note that this looks at the timestamp used by the other peer,
  62  * so clock skew between machines does come into play here.  So this
  63  * should be picked high enough so that a little bit of clock skew
  64  * does not prevent peers from connecting to us.
  65  */
  66 #define MAX_MESSAGE_AGE GNUNET_TIME_UNIT_DAYS
  67
  68
  69
  70 GNUNET_NETWORK_STRUCT_BEGIN
  71
  72 /**
  73  * Message transmitted with the signed ephemeral key of a peer.  The
  74  * session key is then derived from the two ephemeral keys (ECDHE).
  75  */
  76 struct EphemeralKeyMessage
  77 {
  78
  79   /**
  80    * Message type is #GNUNET_MESSAGE_TYPE_CORE_EPHEMERAL_KEY.
  81    */
  82   struct GNUNET_MessageHeader header;
  83
  84   /**
  85    * Status of the sender (should be in `enum PeerStateMachine`), nbo.
  86    */
  87   int32_t sender_status GNUNET_PACKED;
  88
  89   /**
  90    * An ECC signature of the @e origin_identity asserting the validity of
  91    * the given ephemeral key.
  92    */
  93   struct GNUNET_CRYPTO_EddsaSignature signature;
  94
  95   /**
  96    * Information about what is being signed.
  97    */
  98   struct GNUNET_CRYPTO_EccSignaturePurpose purpose;
  99
 100   /**
 101    * At what time was this key created (beginning of validity).
 102    */
 103   struct GNUNET_TIME_AbsoluteNBO creation_time;
 104
 105   /**
 106    * When does the given ephemeral key expire (end of validity).
 107    */
 108   struct GNUNET_TIME_AbsoluteNBO expiration_time;
 109
 110   /**
 111    * Ephemeral public ECC key.
 112    */
 113   struct GNUNET_CRYPTO_EcdhePublicKey ephemeral_key;
 114
 115   /**
 116    * Public key of the signing peer (persistent version, not the ephemeral public key).
 117    */
 118   struct GNUNET_PeerIdentity origin_identity;
 119
 120 };
 121
 122
 123 /**
 124  * We're sending an (encrypted) PING to the other peer to check if he
 125  * can decrypt.  The other peer should respond with a PONG with the
 126  * same content, except this time encrypted with the receiver's key.
 127  */
 128 struct PingMessage
 129 {
 130   /**
 131    * Message type is #GNUNET_MESSAGE_TYPE_CORE_PING.
 132    */
 133   struct GNUNET_MessageHeader header;
 134
 135   /**
 136    * Seed for the IV
 137    */
 138   uint32_t iv_seed GNUNET_PACKED;
 139
 140   /**
 141    * Intended target of the PING, used primarily to check
 142    * that decryption actually worked.
 143    */
 144   struct GNUNET_PeerIdentity target;
 145
 146   /**
 147    * Random number chosen to make replay harder.
 148    */
 149   uint32_t challenge GNUNET_PACKED;
 150 };
 151
 152
 153 /**
 154  * Response to a PING.  Includes data from the original PING.
 155  */
 156 struct PongMessage
 157 {
 158   /**
 159    * Message type is #GNUNET_MESSAGE_TYPE_CORE_PONG.
 160    */
 161   struct GNUNET_MessageHeader header;
 162
 163   /**
 164    * Seed for the IV
 165    */
 166   uint32_t iv_seed GNUNET_PACKED;
 167
 168   /**
 169    * Random number to make replay attacks harder.
 170    */
 171   uint32_t challenge GNUNET_PACKED;
 172
 173   /**
 174    * Reserved, always zero.
 175    */
 176   uint32_t reserved;
 177
 178   /**
 179    * Intended target of the PING, used primarily to check
 180    * that decryption actually worked.
 181    */
 182   struct GNUNET_PeerIdentity target;
 183 };
 184
 185
 186 /**
 187  * Encapsulation for encrypted messages exchanged between
 188  * peers.  Followed by the actual encrypted data.
 189  */
 190 struct EncryptedMessage
 191 {
 192   /**
 193    * Message type is #GNUNET_MESSAGE_TYPE_CORE_ENCRYPTED_MESSAGE.
 194    */
 195   struct GNUNET_MessageHeader header;
 196
 197   /**
 198    * Random value used for IV generation.
 199    */
 200   uint32_t iv_seed GNUNET_PACKED;
 201
 202   /**
 203    * MAC of the encrypted message (starting at @e sequence_number),
 204    * used to verify message integrity. Everything after this value
 205    * (excluding this value itself) will be encrypted and authenticated.
 206    * #ENCRYPTED_HEADER_SIZE must be set to the offset of the *next* field.
 207    */
 208   struct GNUNET_HashCode hmac;
 209
 210   /**
 211    * Sequence number, in network byte order.  This field
 212    * must be the first encrypted/decrypted field
 213    */
 214   uint32_t sequence_number GNUNET_PACKED;
 215
 216   /**
 217    * Reserved, always zero.
 218    */
 219   uint32_t reserved;
 220
 221   /**
 222    * Timestamp.  Used to prevent replay of ancient messages
 223    * (recent messages are caught with the sequence number).
 224    */
 225   struct GNUNET_TIME_AbsoluteNBO timestamp;
 226
 227 };
 228 GNUNET_NETWORK_STRUCT_END
 229
 230
 231 /**
 232  * Number of bytes (at the beginning) of `struct EncryptedMessage`
 233  * that are NOT encrypted.
 234  */
 235 #define ENCRYPTED_HEADER_SIZE (offsetof(struct EncryptedMessage, sequence_number))
 236
 237
 238 /**
 239  * Information about the status of a key exchange with another peer.
 240  */
 241 struct GSC_KeyExchangeInfo
 242 {
 243
 244   /**
 245    * DLL.
 246    */
 247   struct GSC_KeyExchangeInfo *next;
 248
 249   /**
 250    * DLL.
 251    */
 252   struct GSC_KeyExchangeInfo *prev;
 253
 254   /**
 255    * Identity of the peer.
 256    */
 257   struct GNUNET_PeerIdentity peer;
 258
 259   /**
 260    * PING message we transmit to the other peer.
 261    */
 262   struct PingMessage ping;
 263
 264   /**
 265    * Ephemeral public ECC key of the other peer.
 266    */
 267   struct GNUNET_CRYPTO_EcdhePublicKey other_ephemeral_key;
 268
 269   /**
 270    * Key we use to encrypt our messages for the other peer
 271    * (initialized by us when we do the handshake).
 272    */
 273   struct GNUNET_CRYPTO_SymmetricSessionKey encrypt_key;
 274
 275   /**
 276    * Key we use to decrypt messages from the other peer
 277    * (given to us by the other peer during the handshake).
 278    */
 279   struct GNUNET_CRYPTO_SymmetricSessionKey decrypt_key;
 280
 281   /**
 282    * At what time did the other peer generate the decryption key?
 283    */
 284   struct GNUNET_TIME_Absolute foreign_key_expires;
 285
 286   /**
 287    * When should the session time out (if there are no PONGs)?
 288    */
 289   struct GNUNET_TIME_Absolute timeout;
 290
 291   /**
 292    * What was the last timeout we informed our monitors about?
 293    */
 294   struct GNUNET_TIME_Absolute last_notify_timeout;
 295
 296   /**
 297    * At what frequency are we currently re-trying SET_KEY messages?
 298    */
 299   struct GNUNET_TIME_Relative set_key_retry_frequency;
 300
 301   /**
 302    * ID of task used for re-trying SET_KEY and PING message.
 303    */
 304   struct GNUNET_SCHEDULER_Task *retry_set_key_task;
 305
 306   /**
 307    * ID of task used for sending keep-alive pings.
 308    */
 309   struct GNUNET_SCHEDULER_Task *keep_alive_task;
 310
 311   /**
 312    * Bit map indicating which of the 32 sequence numbers before the last
 313    * were received (good for accepting out-of-order packets and
 314    * estimating reliability of the connection)
 315    */
 316   unsigned int last_packets_bitmap;
 317
 318   /**
 319    * last sequence number received on this connection (highest)
 320    */
 321   uint32_t last_sequence_number_received;
 322
 323   /**
 324    * last sequence number transmitted
 325    */
 326   uint32_t last_sequence_number_sent;
 327
 328   /**
 329    * What was our PING challenge number (for this peer)?
 330    */
 331   uint32_t ping_challenge;
 332
 333   /**
 334    * What is our connection status?
 335    */
 336   enum GNUNET_CORE_KxState status;
 337
 338 };
 339
 340
 341 /**
 342  * Our private key.
 343  */
 344 static struct GNUNET_CRYPTO_EddsaPrivateKey *my_private_key;
 345
 346 /**
 347  * Our ephemeral private key.
 348  */
 349 static struct GNUNET_CRYPTO_EcdhePrivateKey *my_ephemeral_key;
 350
 351 /**
 352  * Current message we send for a key exchange.
 353  */
 354 static struct EphemeralKeyMessage current_ekm;
 355
 356 /**
 357  * Our message stream tokenizer (for encrypted payload).
 358  */
 359 static struct GNUNET_SERVER_MessageStreamTokenizer *mst;
 360
 361 /**
 362  * DLL head.
 363  */
 364 static struct GSC_KeyExchangeInfo *kx_head;
 365
 366 /**
 367  * DLL tail.
 368  */
 369 static struct GSC_KeyExchangeInfo *kx_tail;
 370
 371 /**
 372  * Task scheduled for periodic re-generation (and thus rekeying) of our
 373  * ephemeral key.
 374  */
 375 static struct GNUNET_SCHEDULER_Task *rekey_task;
 376
 377 /**
 378  * Notification context for all monitors.
 379  */
 380 static struct GNUNET_SERVER_NotificationContext *nc;
 381
 382
 383 /**
 384  * Inform the given monitor about the KX state of
 385  * the given peer.
 386  *
 387  * @param client client to inform
 388  * @param kx key exchange state to inform about
 389  */
 390 static void
 391 monitor_notify (struct GNUNET_SERVER_Client *client,
 392                 struct GSC_KeyExchangeInfo *kx)
 393 {
 394   struct MonitorNotifyMessage msg;
 395
 396   msg.header.type = htons (GNUNET_MESSAGE_TYPE_CORE_MONITOR_NOTIFY);
 397   msg.header.size = htons (sizeof (msg));
 398   msg.state = htonl ((uint32_t) kx->status);
 399   msg.peer = kx->peer;
 400   msg.timeout = GNUNET_TIME_absolute_hton (kx->timeout);
 401   GNUNET_SERVER_notification_context_unicast (nc,
 402                                               client,
 403                                               &msg.header,
 404                                               GNUNET_NO);
 405 }
 406
 407
 408 /**
 409  * Calculate seed value we should use for a message.
 410  *
 411  * @param kx key exchange context
 412  */
 413 static uint32_t
 414 calculate_seed (struct GSC_KeyExchangeInfo *kx)
 415 {
 416   /* Note: may want to make this non-random and instead
 417      derive from key material to avoid having an undetectable
 418      side-channel */
 419   return htonl (GNUNET_CRYPTO_random_u32
 420                 (GNUNET_CRYPTO_QUALITY_NONCE, UINT32_MAX));
 421 }
 422
 423
 424 /**
 425  * Inform all monitors about the KX state of the given peer.
 426  *
 427  * @param kx key exchange state to inform about
 428  */
 429 static void
 430 monitor_notify_all (struct GSC_KeyExchangeInfo *kx)
 431 {
 432   struct MonitorNotifyMessage msg;
 433
 434   msg.header.type = htons (GNUNET_MESSAGE_TYPE_CORE_MONITOR_NOTIFY);
 435   msg.header.size = htons (sizeof (msg));
 436   msg.state = htonl ((uint32_t) kx->status);
 437   msg.peer = kx->peer;
 438   msg.timeout = GNUNET_TIME_absolute_hton (kx->timeout);
 439   GNUNET_SERVER_notification_context_broadcast (nc,
 440                                                 &msg.header,
 441                                                 GNUNET_NO);
 442   kx->last_notify_timeout = kx->timeout;
 443 }
 444
 445
 446 /**
 447  * Derive an authentication key from "set key" information
 448  *
 449  * @param akey authentication key to derive
 450  * @param skey session key to use
 451  * @param seed seed to use
 452  */
 453 static void
 454 derive_auth_key (struct GNUNET_CRYPTO_AuthKey *akey,
 455                  const struct GNUNET_CRYPTO_SymmetricSessionKey *skey,
 456                  uint32_t seed)
 457 {
 458   static const char ctx[] = "authentication key";
 459
 460   GNUNET_CRYPTO_hmac_derive_key (akey, skey,
 461                                  &seed, sizeof (seed),
 462                                  skey, sizeof (struct GNUNET_CRYPTO_SymmetricSessionKey),
 463                                  ctx, sizeof (ctx),
 464                                  NULL);
 465 }
 466
 467
 468 /**
 469  * Derive an IV from packet information
 470  *
 471  * @param iv initialization vector to initialize
 472  * @param skey session key to use
 473  * @param seed seed to use
 474  * @param identity identity of the other peer to use
 475  */
 476 static void
 477 derive_iv (struct GNUNET_CRYPTO_SymmetricInitializationVector *iv,
 478            const struct GNUNET_CRYPTO_SymmetricSessionKey *skey,
 479            uint32_t seed,
 480            const struct GNUNET_PeerIdentity *identity)
 481 {
 482   static const char ctx[] = "initialization vector";
 483
 484   GNUNET_CRYPTO_symmetric_derive_iv (iv, skey,
 485                                      &seed, sizeof (seed),
 486                                      identity,
 487                                      sizeof (struct GNUNET_PeerIdentity), ctx,
 488                                      sizeof (ctx), NULL);
 489 }
 490
 491
 492 /**
 493  * Derive an IV from pong packet information
 494  *
 495  * @param iv initialization vector to initialize
 496  * @param skey session key to use
 497  * @param seed seed to use
 498  * @param challenge nonce to use
 499  * @param identity identity of the other peer to use
 500  */
 501 static void
 502 derive_pong_iv (struct GNUNET_CRYPTO_SymmetricInitializationVector *iv,
 503                 const struct GNUNET_CRYPTO_SymmetricSessionKey *skey,
 504                 uint32_t seed,
 505                 uint32_t challenge,
 506                 const struct GNUNET_PeerIdentity *identity)
 507 {
 508   static const char ctx[] = "pong initialization vector";
 509
 510   GNUNET_CRYPTO_symmetric_derive_iv (iv, skey,
 511                                      &seed, sizeof (seed),
 512                                      identity,
 513                                      sizeof (struct GNUNET_PeerIdentity),
 514                                      &challenge, sizeof (challenge),
 515                                      ctx, sizeof (ctx),
 516                                      NULL);
 517 }
 518
 519
 520 /**
 521  * Derive an AES key from key material
 522  *
 523  * @param sender peer identity of the sender
 524  * @param receiver peer identity of the sender
 525  * @param key_material high entropy key material to use
 526  * @param skey set to derived session key
 527  */
 528 static void
 529 derive_aes_key (const struct GNUNET_PeerIdentity *sender,
 530                 const struct GNUNET_PeerIdentity *receiver,
 531                 const struct GNUNET_HashCode *key_material,
 532                 struct GNUNET_CRYPTO_SymmetricSessionKey *skey)
 533 {
 534   static const char ctx[] = "aes key generation vector";
 535
 536   GNUNET_CRYPTO_kdf (skey, sizeof (struct GNUNET_CRYPTO_SymmetricSessionKey),
 537                      ctx, sizeof (ctx),
 538                      key_material, sizeof (struct GNUNET_HashCode),
 539                      sender, sizeof (struct GNUNET_PeerIdentity),
 540                      receiver, sizeof (struct GNUNET_PeerIdentity),
 541                      NULL);
 542 }
 543
 544
 545 /**
 546  * Encrypt size bytes from @a in and write the result to @a out.  Use the
 547  * @a kx key for outbound traffic of the given neighbour.
 548  *
 549  * @param kx key information context
 550  * @param iv initialization vector to use
 551  * @param in ciphertext
 552  * @param out plaintext
 553  * @param size size of @a in/@a out
 554  * @return #GNUNET_OK on success
 555  */
 556 static int
 557 do_encrypt (struct GSC_KeyExchangeInfo *kx,
 558             const struct GNUNET_CRYPTO_SymmetricInitializationVector *iv,
 559             const void *in,
 560             void *out,
 561             size_t size)
 562 {
 563   if (size != (uint16_t) size)
 564   {
 565     GNUNET_break (0);
 566     return GNUNET_NO;
 567   }
 568   GNUNET_assert (size ==
 569                  GNUNET_CRYPTO_symmetric_encrypt (in, (uint16_t) size,
 570                                             &kx->encrypt_key, iv, out));
 571   GNUNET_STATISTICS_update (GSC_stats, gettext_noop ("# bytes encrypted"), size,
 572                             GNUNET_NO);
 573   /* the following is too sensitive to write to log files by accident,
 574      so we require manual intervention to get this one... */
 575 #if 0
 576   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
 577               "Encrypted %u bytes for `%s' using key %u, IV %u\n",
 578               (unsigned int) size,
 579               GNUNET_i2s (&kx->peer),
 580               (unsigned int) kx->encrypt_key.crc32, GNUNET_CRYPTO_crc32_n (iv,
 581                                                                            sizeof
 582                                                                            (iv)));
 583 #endif
 584   return GNUNET_OK;
 585 }
 586
 587
 588 /**
 589  * Decrypt size bytes from @a in and write the result to @a out.  Use the
 590  * @a kx key for inbound traffic of the given neighbour.  This function does
 591  * NOT do any integrity-checks on the result.
 592  *
 593  * @param kx key information context
 594  * @param iv initialization vector to use
 595  * @param in ciphertext
 596  * @param out plaintext
 597  * @param size size of @a in / @a out
 598  * @return #GNUNET_OK on success
 599  */
 600 static int
 601 do_decrypt (struct GSC_KeyExchangeInfo *kx,
 602             const struct GNUNET_CRYPTO_SymmetricInitializationVector *iv,
 603             const void *in,
 604             void *out,
 605             size_t size)
 606 {
 607   if (size != (uint16_t) size)
 608   {
 609     GNUNET_break (0);
 610     return GNUNET_NO;
 611   }
 612   if ( (kx->status != GNUNET_CORE_KX_STATE_KEY_RECEIVED) &&
 613        (kx->status != GNUNET_CORE_KX_STATE_UP) &&
 614        (kx->status != GNUNET_CORE_KX_STATE_REKEY_SENT) )
 615   {
 616     GNUNET_break_op (0);
 617     return GNUNET_SYSERR;
 618   }
 619   if (size !=
 620       GNUNET_CRYPTO_symmetric_decrypt (in,
 621                                        (uint16_t) size,
 622                                        &kx->decrypt_key,
 623                                        iv,
 624                                        out))
 625   {
 626     GNUNET_break (0);
 627     return GNUNET_SYSERR;
 628   }
 629   GNUNET_STATISTICS_update (GSC_stats,
 630                             gettext_noop ("# bytes decrypted"),
 631                             size,
 632                             GNUNET_NO);
 633   /* the following is too sensitive to write to log files by accident,
 634      so we require manual intervention to get this one... */
 635 #if 0
 636   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
 637               "Decrypted %u bytes from `%s' using key %u, IV %u\n",
 638               (unsigned int) size,
 639               GNUNET_i2s (&kx->peer),
 640               (unsigned int) kx->decrypt_key.crc32,
 641               GNUNET_CRYPTO_crc32_n (iv,
 642                                      sizeof
 643                                      (*iv)));
 644 #endif
 645   return GNUNET_OK;
 646 }
 647
 648
 649 /**
 650  * Send our key (and encrypted PING) to the other peer.
 651  *
 652  * @param kx key exchange context
 653  */
 654 static void
 655 send_key (struct GSC_KeyExchangeInfo *kx);
 656
 657
 658 /**
 659  * Task that will retry #send_key() if our previous attempt failed.
 660  *
 661  * @param cls our `struct GSC_KeyExchangeInfo`
 662  * @param tc scheduler context
 663  */
 664 static void
 665 set_key_retry_task (void *cls,
 666                     const struct GNUNET_SCHEDULER_TaskContext *tc)
 667 {
 668   struct GSC_KeyExchangeInfo *kx = cls;
 669
 670   kx->retry_set_key_task = NULL;
 671   kx->set_key_retry_frequency = GNUNET_TIME_STD_BACKOFF (kx->set_key_retry_frequency);
 672   GNUNET_assert (GNUNET_CORE_KX_STATE_DOWN != kx->status);
 673   send_key (kx);
 674 }
 675
 676
 677 /**
 678  * Create a fresh PING message for transmission to the other peer.
 679  *
 680  * @param kx key exchange context to create PING for
 681  */
 682 static void
 683 setup_fresh_ping (struct GSC_KeyExchangeInfo *kx)
 684 {
 685   struct PingMessage pp;
 686   struct PingMessage *pm;
 687   struct GNUNET_CRYPTO_SymmetricInitializationVector iv;
 688
 689   pm = &kx->ping;
 690   kx->ping_challenge = GNUNET_CRYPTO_random_u32 (GNUNET_CRYPTO_QUALITY_WEAK,
 691                                                  UINT32_MAX);
 692   pm->header.size = htons (sizeof (struct PingMessage));
 693   pm->header.type = htons (GNUNET_MESSAGE_TYPE_CORE_PING);
 694   pm->iv_seed = calculate_seed (kx);
 695   derive_iv (&iv, &kx->encrypt_key, pm->iv_seed, &kx->peer);
 696   pp.challenge = kx->ping_challenge;
 697   pp.target = kx->peer;
 698   do_encrypt (kx, &iv, &pp.target, &pm->target,
 699               sizeof (struct PingMessage) - ((void *) &pm->target -
 700                                              (void *) pm));
 701 }
 702
 703
 704 /**
 705  * Start the key exchange with the given peer.
 706  *
 707  * @param pid identity of the peer to do a key exchange with
 708  * @return key exchange information context
 709  */
 710 struct GSC_KeyExchangeInfo *
 711 GSC_KX_start (const struct GNUNET_PeerIdentity *pid)
 712 {
 713   struct GSC_KeyExchangeInfo *kx;
 714   struct GNUNET_HashCode h1;
 715   struct GNUNET_HashCode h2;
 716
 717   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
 718               "Initiating key exchange with `%s'\n",
 719               GNUNET_i2s (pid));
 720   GNUNET_STATISTICS_update (GSC_stats,
 721                             gettext_noop ("# key exchanges initiated"),
 722                             1,
 723                             GNUNET_NO);
 724   kx = GNUNET_new (struct GSC_KeyExchangeInfo);
 725   kx->peer = *pid;
 726   kx->set_key_retry_frequency = INITIAL_SET_KEY_RETRY_FREQUENCY;
 727   GNUNET_CONTAINER_DLL_insert (kx_head,
 728                                kx_tail,
 729                                kx);
 730   kx->status = GNUNET_CORE_KX_STATE_KEY_SENT;
 731   monitor_notify_all (kx);
 732   GNUNET_CRYPTO_hash (pid,
 733                       sizeof (struct GNUNET_PeerIdentity),
 734                       &h1);
 735   GNUNET_CRYPTO_hash (&GSC_my_identity,
 736                       sizeof (struct GNUNET_PeerIdentity),
 737                       &h2);
 738   if (0 < GNUNET_CRYPTO_hash_cmp (&h1,
 739                                   &h2))
 740   {
 741     /* peer with "lower" identity starts KX, otherwise we typically end up
 742        with both peers starting the exchange and transmit the 'set key'
 743        message twice */
 744     send_key (kx);
 745   }
 746   else
 747   {
 748     /* peer with "higher" identity starts a delayed  KX, if the "lower" peer
 749      * does not start a KX since he sees no reasons to do so  */
 750     kx->retry_set_key_task = GNUNET_SCHEDULER_add_delayed (GNUNET_TIME_UNIT_SECONDS,
 751                                                            &set_key_retry_task,
 752                                                            kx);
 753   }
 754   return kx;
 755 }
 756
 757
 758 /**
 759  * Stop key exchange with the given peer.  Clean up key material.
 760  *
 761  * @param kx key exchange to stop
 762  */
 763 void
 764 GSC_KX_stop (struct GSC_KeyExchangeInfo *kx)
 765 {
 766   GSC_SESSIONS_end (&kx->peer);
 767   GNUNET_STATISTICS_update (GSC_stats, gettext_noop ("# key exchanges stopped"),
 768                             1, GNUNET_NO);
 769   if (NULL != kx->retry_set_key_task)
 770   {
 771     GNUNET_SCHEDULER_cancel (kx->retry_set_key_task);
 772     kx->retry_set_key_task = NULL;
 773   }
 774   if (NULL != kx->keep_alive_task)
 775   {
 776     GNUNET_SCHEDULER_cancel (kx->keep_alive_task);
 777     kx->keep_alive_task = NULL;
 778   }
 779   kx->status = GNUNET_CORE_KX_PEER_DISCONNECT;
 780   monitor_notify_all (kx);
 781   GNUNET_CONTAINER_DLL_remove (kx_head,
 782                                kx_tail,
 783                                kx);
 784   GNUNET_free (kx);
 785 }
 786
 787
 788 /**
 789  * Send our PING to the other peer.
 790  *
 791  * @param kx key exchange context
 792  */
 793 static void
 794 send_ping (struct GSC_KeyExchangeInfo *kx)
 795 {
 796   GNUNET_STATISTICS_update (GSC_stats,
 797                             gettext_noop ("# PING messages transmitted"),
 798                             1,
 799                             GNUNET_NO);
 800   GSC_NEIGHBOURS_transmit (&kx->peer,
 801                            &kx->ping.header,
 802                            kx->set_key_retry_frequency);
 803 }
 804
 805
 806 /**
 807  * Derive fresh session keys from the current ephemeral keys.
 808  *
 809  * @param kx session to derive keys for
 810  */
 811 static void
 812 derive_session_keys (struct GSC_KeyExchangeInfo *kx)
 813 {
 814   struct GNUNET_HashCode key_material;
 815
 816   if (GNUNET_OK !=
 817       GNUNET_CRYPTO_ecc_ecdh (my_ephemeral_key,
 818                               &kx->other_ephemeral_key,
 819                               &key_material))
 820   {
 821     GNUNET_break (0);
 822     return;
 823   }
 824   derive_aes_key (&GSC_my_identity,
 825                   &kx->peer,
 826                   &key_material,
 827                   &kx->encrypt_key);
 828   derive_aes_key (&kx->peer,
 829                   &GSC_my_identity,
 830                   &key_material,
 831                   &kx->decrypt_key);
 832   memset (&key_material, 0, sizeof (key_material));
 833   /* fresh key, reset sequence numbers */
 834   kx->last_sequence_number_received = 0;
 835   kx->last_packets_bitmap = 0;
 836   setup_fresh_ping (kx);
 837 }
 838
 839
 840 /**
 841  * We received a #GNUNET_MESSAGE_TYPE_CORE_EPHEMERAL_KEY message.
 842  * Validate and update our key material and status.
 843  *
 844  * @param kx key exchange status for the corresponding peer
 845  * @param msg the set key message we received
 846  */
 847 void
 848 GSC_KX_handle_ephemeral_key (struct GSC_KeyExchangeInfo *kx,
 849                              const struct GNUNET_MessageHeader *msg)
 850 {
 851   const struct EphemeralKeyMessage *m;
 852   struct GNUNET_TIME_Absolute start_t;
 853   struct GNUNET_TIME_Absolute end_t;
 854   struct GNUNET_TIME_Absolute now;
 855   enum GNUNET_CORE_KxState sender_status;
 856   uint16_t size;
 857
 858   size = ntohs (msg->size);
 859   if (sizeof (struct EphemeralKeyMessage) != size)
 860   {
 861     GNUNET_break_op (0);
 862     return;
 863   }
 864   m = (const struct EphemeralKeyMessage *) msg;
 865   end_t = GNUNET_TIME_absolute_ntoh (m->expiration_time);
 866   if ( ( (GNUNET_CORE_KX_STATE_KEY_RECEIVED == kx->status) ||
 867          (GNUNET_CORE_KX_STATE_UP == kx->status) ||
 868          (GNUNET_CORE_KX_STATE_REKEY_SENT == kx->status) ) &&
 869        (end_t.abs_value_us < kx->foreign_key_expires.abs_value_us) )
 870   {
 871     GNUNET_STATISTICS_update (GSC_stats,
 872                               gettext_noop ("# old ephemeral keys ignored"),
 873                               1, GNUNET_NO);
 874     return;
 875   }
 876   start_t = GNUNET_TIME_absolute_ntoh (m->creation_time);
 877
 878   GNUNET_STATISTICS_update (GSC_stats,
 879                             gettext_noop ("# ephemeral keys received"),
 880                             1, GNUNET_NO);
 881
 882   if (0 !=
 883       memcmp (&m->origin_identity,
 884               &kx->peer,
 885               sizeof (struct GNUNET_PeerIdentity)))
 886   {
 887     GNUNET_log (GNUNET_ERROR_TYPE_ERROR,
 888                 "Received EPHEMERAL_KEY from %s, but expected %s\n",
 889                 GNUNET_i2s (&m->origin_identity),
 890                 GNUNET_i2s_full (&kx->peer));
 891     GNUNET_break_op (0);
 892     return;
 893   }
 894   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
 895               "Core service receives EPHEMERAL_KEY request from `%s'.\n",
 896               GNUNET_i2s (&kx->peer));
 897   if ((ntohl (m->purpose.size) !=
 898        sizeof (struct GNUNET_CRYPTO_EccSignaturePurpose) +
 899        sizeof (struct GNUNET_TIME_AbsoluteNBO) +
 900        sizeof (struct GNUNET_TIME_AbsoluteNBO) +
 901        sizeof (struct GNUNET_CRYPTO_EddsaPublicKey) +
 902        sizeof (struct GNUNET_CRYPTO_EddsaPublicKey)) ||
 903       (GNUNET_OK !=
 904        GNUNET_CRYPTO_eddsa_verify (GNUNET_SIGNATURE_PURPOSE_SET_ECC_KEY,
 905                                    &m->purpose,
 906                                    &m->signature,
 907                                    &m->origin_identity.public_key)))
 908   {
 909     /* invalid signature */
 910     GNUNET_break_op (0);
 911     return;
 912   }
 913   now = GNUNET_TIME_absolute_get ();
 914   if ( (end_t.abs_value_us < GNUNET_TIME_absolute_subtract (now, REKEY_TOLERANCE).abs_value_us) ||
 915        (start_t.abs_value_us > GNUNET_TIME_absolute_add (now, REKEY_TOLERANCE).abs_value_us) )
 916   {
 917     GNUNET_log (GNUNET_ERROR_TYPE_WARNING,
 918                 _("Ephemeral key message from peer `%s' rejected as its validity range does not match our system time (%llu not in [%llu,%llu]).\n"),
 919                 GNUNET_i2s (&kx->peer),
 920                 now.abs_value_us,
 921                 start_t.abs_value_us,
 922                 end_t.abs_value_us);
 923     return;
 924   }
 925   kx->other_ephemeral_key = m->ephemeral_key;
 926   kx->foreign_key_expires = end_t;
 927   derive_session_keys (kx);
 928   GNUNET_STATISTICS_update (GSC_stats,
 929                             gettext_noop ("# EPHEMERAL_KEY messages received"), 1,
 930                             GNUNET_NO);
 931
 932   /* check if we still need to send the sender our key */
 933   sender_status = (enum GNUNET_CORE_KxState) ntohl (m->sender_status);
 934   switch (sender_status)
 935   {
 936   case GNUNET_CORE_KX_STATE_DOWN:
 937     GNUNET_break_op (0);
 938     break;
 939   case GNUNET_CORE_KX_STATE_KEY_SENT:
 940     /* fine, need to send our key after updating our status, see below */
 941     GSC_SESSIONS_reinit (&kx->peer);
 942     break;
 943   case GNUNET_CORE_KX_STATE_KEY_RECEIVED:
 944     /* other peer already got our key, but typemap did go down */
 945     GSC_SESSIONS_reinit (&kx->peer);
 946     break;
 947   case GNUNET_CORE_KX_STATE_UP:
 948     /* other peer already got our key, typemap NOT down */
 949     break;
 950   case GNUNET_CORE_KX_STATE_REKEY_SENT:
 951     /* other peer already got our key, typemap NOT down */
 952     break;
 953   default:
 954     GNUNET_break (0);
 955     break;
 956   }
 957   /* check if we need to confirm everything is fine via PING + PONG */
 958   switch (kx->status)
 959   {
 960   case GNUNET_CORE_KX_STATE_DOWN:
 961     GNUNET_assert (NULL == kx->keep_alive_task);
 962     kx->status = GNUNET_CORE_KX_STATE_KEY_RECEIVED;
 963     monitor_notify_all (kx);
 964     if (GNUNET_CORE_KX_STATE_KEY_SENT == sender_status)
 965       send_key (kx);
 966     else
 967       send_ping (kx);
 968     break;
 969   case GNUNET_CORE_KX_STATE_KEY_SENT:
 970     GNUNET_assert (NULL == kx->keep_alive_task);
 971     kx->status = GNUNET_CORE_KX_STATE_KEY_RECEIVED;
 972     monitor_notify_all (kx);
 973     if (GNUNET_CORE_KX_STATE_KEY_SENT == sender_status)
 974       send_key (kx);
 975     else
 976       send_ping (kx);
 977     break;
 978   case GNUNET_CORE_KX_STATE_KEY_RECEIVED:
 979     GNUNET_assert (NULL == kx->keep_alive_task);
 980     if (GNUNET_CORE_KX_STATE_KEY_SENT == sender_status)
 981       send_key (kx);
 982     else
 983       send_ping (kx);
 984     break;
 985   case GNUNET_CORE_KX_STATE_UP:
 986     kx->status = GNUNET_CORE_KX_STATE_REKEY_SENT;
 987     monitor_notify_all (kx);
 988     if (GNUNET_CORE_KX_STATE_KEY_SENT == sender_status)
 989       send_key (kx);
 990     else
 991       send_ping (kx);
 992     break;
 993   case GNUNET_CORE_KX_STATE_REKEY_SENT:
 994     if (GNUNET_CORE_KX_STATE_KEY_SENT == sender_status)
 995       send_key (kx);
 996     else
 997       send_ping (kx);
 998     break;
 999   default:
1000     GNUNET_break (0);
1001     break;
1002   }
1003 }
1004
1005
1006 /**
1007  * We received a PING message.  Validate and transmit
1008  * a PONG message.
1009  *
1010  * @param kx key exchange status for the corresponding peer
1011  * @param msg the encrypted PING message itself
1012  */
1013 void
1014 GSC_KX_handle_ping (struct GSC_KeyExchangeInfo *kx,
1015                     const struct GNUNET_MessageHeader *msg)
1016 {
1017   const struct PingMessage *m;
1018   struct PingMessage t;
1019   struct PongMessage tx;
1020   struct PongMessage tp;
1021   struct GNUNET_CRYPTO_SymmetricInitializationVector iv;
1022   uint16_t msize;
1023
1024   msize = ntohs (msg->size);
1025   if (msize != sizeof (struct PingMessage))
1026   {
1027     GNUNET_break_op (0);
1028     return;
1029   }
1030   GNUNET_STATISTICS_update (GSC_stats,
1031                             gettext_noop ("# PING messages received"),
1032                             1,
1033                             GNUNET_NO);
1034   if ( (kx->status != GNUNET_CORE_KX_STATE_KEY_RECEIVED) &&
1035        (kx->status != GNUNET_CORE_KX_STATE_UP) &&
1036        (kx->status != GNUNET_CORE_KX_STATE_REKEY_SENT))
1037   {
1038     /* ignore */
1039     GNUNET_STATISTICS_update (GSC_stats,
1040                               gettext_noop ("# PING messages dropped (out of order)"),
1041                               1,
1042                               GNUNET_NO);
1043     return;
1044   }
1045   m = (const struct PingMessage *) msg;
1046   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1047               "Core service receives PING request from `%s'.\n",
1048               GNUNET_i2s (&kx->peer));
1049   derive_iv (&iv, &kx->decrypt_key, m->iv_seed, &GSC_my_identity);
1050   if (GNUNET_OK !=
1051       do_decrypt (kx, &iv, &m->target, &t.target,
1052                   sizeof (struct PingMessage) - ((void *) &m->target -
1053                                                  (void *) m)))
1054   {
1055     GNUNET_break_op (0);
1056     return;
1057   }
1058   if (0 !=
1059       memcmp (&t.target,
1060               &GSC_my_identity,
1061               sizeof (struct GNUNET_PeerIdentity)))
1062   {
1063     if (GNUNET_CORE_KX_STATE_REKEY_SENT != kx->status)
1064       GNUNET_log (GNUNET_ERROR_TYPE_WARNING,
1065                   "Decryption of PING from peer `%s' failed\n",
1066                   GNUNET_i2s (&kx->peer));
1067     else
1068       GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1069                   "Decryption of PING from peer `%s' failed after rekey (harmless)\n",
1070                   GNUNET_i2s (&kx->peer));
1071     GNUNET_break_op (0);
1072     return;
1073   }
1074   /* construct PONG */
1075   tx.reserved = 0;
1076   tx.challenge = t.challenge;
1077   tx.target = t.target;
1078   tp.header.type = htons (GNUNET_MESSAGE_TYPE_CORE_PONG);
1079   tp.header.size = htons (sizeof (struct PongMessage));
1080   tp.iv_seed = calculate_seed (kx);
1081   derive_pong_iv (&iv,
1082                   &kx->encrypt_key,
1083                   tp.iv_seed,
1084                   t.challenge,
1085                   &kx->peer);
1086   do_encrypt (kx,
1087               &iv,
1088               &tx.challenge,
1089               &tp.challenge,
1090               sizeof (struct PongMessage) - ((void *) &tp.challenge -
1091                                              (void *) &tp));
1092   GNUNET_STATISTICS_update (GSC_stats,
1093                             gettext_noop ("# PONG messages created"),
1094                             1,
1095                             GNUNET_NO);
1096   GSC_NEIGHBOURS_transmit (&kx->peer,
1097                            &tp.header,
1098                            kx->set_key_retry_frequency);
1099 }
1100
1101
1102 /**
1103  * Task triggered when a neighbour entry is about to time out
1104  * (and we should prevent this by sending a PING).
1105  *
1106  * @param cls the `struct GSC_KeyExchangeInfo`
1107  * @param tc scheduler context (not used)
1108  */
1109 static void
1110 send_keep_alive (void *cls,
1111                  const struct GNUNET_SCHEDULER_TaskContext *tc)
1112 {
1113   struct GSC_KeyExchangeInfo *kx = cls;
1114   struct GNUNET_TIME_Relative retry;
1115   struct GNUNET_TIME_Relative left;
1116
1117   kx->keep_alive_task = NULL;
1118   left = GNUNET_TIME_absolute_get_remaining (kx->timeout);
1119   if (0 == left.rel_value_us)
1120   {
1121     GNUNET_STATISTICS_update (GSC_stats,
1122                               gettext_noop ("# sessions terminated by timeout"),
1123                               1,
1124                               GNUNET_NO);
1125     GSC_SESSIONS_end (&kx->peer);
1126     kx->status = GNUNET_CORE_KX_STATE_KEY_SENT;
1127     monitor_notify_all (kx);
1128     send_key (kx);
1129     return;
1130   }
1131   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1132               "Sending KEEPALIVE to `%s'\n",
1133               GNUNET_i2s (&kx->peer));
1134   GNUNET_STATISTICS_update (GSC_stats,
1135                             gettext_noop ("# keepalive messages sent"),
1136                             1,
1137                             GNUNET_NO);
1138   setup_fresh_ping (kx);
1139   send_ping (kx);
1140   retry =
1141       GNUNET_TIME_relative_max (GNUNET_TIME_relative_divide (left, 2),
1142                                 MIN_PING_FREQUENCY);
1143   kx->keep_alive_task =
1144       GNUNET_SCHEDULER_add_delayed (retry,
1145                                     &send_keep_alive,
1146                                     kx);
1147 }
1148
1149
1150 /**
1151  * We've seen a valid message from the other peer.
1152  * Update the time when the session would time out
1153  * and delay sending our keep alive message further.
1154  *
1155  * @param kx key exchange where we saw activity
1156  */
1157 static void
1158 update_timeout (struct GSC_KeyExchangeInfo *kx)
1159 {
1160   struct GNUNET_TIME_Relative delta;
1161
1162   kx->timeout =
1163       GNUNET_TIME_relative_to_absolute
1164       (GNUNET_CONSTANTS_IDLE_CONNECTION_TIMEOUT);
1165   delta = GNUNET_TIME_absolute_get_difference (kx->last_notify_timeout,
1166                                                kx->timeout);
1167   if (delta.rel_value_us > 5LL * 1000LL * 1000LL)
1168   {
1169     /* we only notify monitors about timeout changes if those
1170        are bigger than the threshold (5s) */
1171     monitor_notify_all (kx);
1172   }
1173   if (NULL != kx->keep_alive_task)
1174     GNUNET_SCHEDULER_cancel (kx->keep_alive_task);
1175   kx->keep_alive_task =
1176       GNUNET_SCHEDULER_add_delayed (GNUNET_TIME_relative_divide
1177                                     (GNUNET_CONSTANTS_IDLE_CONNECTION_TIMEOUT,
1178                                      2),
1179                                     &send_keep_alive,
1180                                     kx);
1181 }
1182
1183
1184 /**
1185  * We received a PONG message.  Validate and update our status.
1186  *
1187  * @param kx key exchange context for the the PONG
1188  * @param msg the encrypted PONG message itself
1189  */
1190 void
1191 GSC_KX_handle_pong (struct GSC_KeyExchangeInfo *kx,
1192                     const struct GNUNET_MessageHeader *msg)
1193 {
1194   const struct PongMessage *m;
1195   struct PongMessage t;
1196   struct GNUNET_CRYPTO_SymmetricInitializationVector iv;
1197   uint16_t msize;
1198
1199   msize = ntohs (msg->size);
1200   if (sizeof (struct PongMessage) != msize)
1201   {
1202     GNUNET_break_op (0);
1203     return;
1204   }
1205   GNUNET_STATISTICS_update (GSC_stats,
1206                             gettext_noop ("# PONG messages received"),
1207                             1,
1208                             GNUNET_NO);
1209   switch (kx->status)
1210   {
1211   case GNUNET_CORE_KX_STATE_DOWN:
1212     GNUNET_STATISTICS_update (GSC_stats,
1213                               gettext_noop ("# PONG messages dropped (connection down)"), 1,
1214                               GNUNET_NO);
1215     return;
1216   case GNUNET_CORE_KX_STATE_KEY_SENT:
1217     GNUNET_STATISTICS_update (GSC_stats,
1218                               gettext_noop ("# PONG messages dropped (out of order)"), 1,
1219                               GNUNET_NO);
1220     return;
1221   case GNUNET_CORE_KX_STATE_KEY_RECEIVED:
1222     break;
1223   case GNUNET_CORE_KX_STATE_UP:
1224     break;
1225   case GNUNET_CORE_KX_STATE_REKEY_SENT:
1226     break;
1227   default:
1228     GNUNET_break (0);
1229     return;
1230   }
1231   m = (const struct PongMessage *) msg;
1232   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1233               "Core service receives PONG response from `%s'.\n",
1234               GNUNET_i2s (&kx->peer));
1235   /* mark as garbage, just to be sure */
1236   memset (&t, 255, sizeof (t));
1237   derive_pong_iv (&iv,
1238                   &kx->decrypt_key,
1239                   m->iv_seed,
1240                   kx->ping_challenge,
1241                   &GSC_my_identity);
1242   if (GNUNET_OK !=
1243       do_decrypt (kx,
1244                   &iv,
1245                   &m->challenge,
1246                   &t.challenge,
1247                   sizeof (struct PongMessage) - ((void *) &m->challenge -
1248                                                  (void *) m)))
1249   {
1250     GNUNET_break_op (0);
1251     return;
1252   }
1253   GNUNET_STATISTICS_update (GSC_stats,
1254                             gettext_noop ("# PONG messages decrypted"),
1255                             1,
1256                             GNUNET_NO);
1257   if ((0 != memcmp (&t.target,
1258                     &kx->peer,
1259                     sizeof (struct GNUNET_PeerIdentity))) ||
1260       (kx->ping_challenge != t.challenge))
1261   {
1262     /* PONG malformed */
1263     GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1264                 "Received malformed PONG wanted sender `%s' with challenge %u\n",
1265                 GNUNET_i2s (&kx->peer),
1266                 (unsigned int) kx->ping_challenge);
1267     GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1268                 "Received malformed PONG received from `%s' with challenge %u\n",
1269                 GNUNET_i2s (&t.target),
1270                 (unsigned int) t.challenge);
1271     return;
1272   }
1273   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1274               "Received PONG from `%s'\n",
1275               GNUNET_i2s (&kx->peer));
1276   /* no need to resend key any longer */
1277   if (NULL != kx->retry_set_key_task)
1278   {
1279     GNUNET_SCHEDULER_cancel (kx->retry_set_key_task);
1280     kx->retry_set_key_task = NULL;
1281   }
1282   switch (kx->status)
1283   {
1284   case GNUNET_CORE_KX_STATE_DOWN:
1285     GNUNET_assert (0);           /* should be impossible */
1286     return;
1287   case GNUNET_CORE_KX_STATE_KEY_SENT:
1288     GNUNET_assert (0);           /* should be impossible */
1289     return;
1290   case GNUNET_CORE_KX_STATE_KEY_RECEIVED:
1291     GNUNET_STATISTICS_update (GSC_stats,
1292                               gettext_noop ("# session keys confirmed via PONG"),
1293                               1,
1294                               GNUNET_NO);
1295     kx->status = GNUNET_CORE_KX_STATE_UP;
1296     monitor_notify_all (kx);
1297     GSC_SESSIONS_create (&kx->peer, kx);
1298     GNUNET_assert (NULL == kx->keep_alive_task);
1299     update_timeout (kx);
1300     break;
1301   case GNUNET_CORE_KX_STATE_UP:
1302     GNUNET_STATISTICS_update (GSC_stats,
1303                               gettext_noop ("# timeouts prevented via PONG"),
1304                               1,
1305                               GNUNET_NO);
1306     update_timeout (kx);
1307     break;
1308   case GNUNET_CORE_KX_STATE_REKEY_SENT:
1309     GNUNET_STATISTICS_update (GSC_stats,
1310                               gettext_noop ("# rekey operations confirmed via PONG"),
1311                               1,
1312                               GNUNET_NO);
1313     kx->status = GNUNET_CORE_KX_STATE_UP;
1314     monitor_notify_all (kx);
1315     update_timeout (kx);
1316     break;
1317   default:
1318     GNUNET_break (0);
1319     break;
1320   }
1321 }
1322
1323
1324 /**
1325  * Send our key to the other peer.
1326  *
1327  * @param kx key exchange context
1328  */
1329 static void
1330 send_key (struct GSC_KeyExchangeInfo *kx)
1331 {
1332   GNUNET_assert (GNUNET_CORE_KX_STATE_DOWN != kx->status);
1333   if (NULL != kx->retry_set_key_task)
1334   {
1335      GNUNET_SCHEDULER_cancel (kx->retry_set_key_task);
1336      kx->retry_set_key_task = NULL;
1337   }
1338   /* always update sender status in SET KEY message */
1339   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1340               "Sending key to `%s' (my status: %d)\n",
1341               GNUNET_i2s (&kx->peer),
1342               kx->status);
1343   current_ekm.sender_status = htonl ((int32_t) (kx->status));
1344   GSC_NEIGHBOURS_transmit (&kx->peer,
1345                            &current_ekm.header,
1346                            kx->set_key_retry_frequency);
1347   if (GNUNET_CORE_KX_STATE_KEY_SENT != kx->status)
1348     send_ping (kx);
1349   kx->retry_set_key_task =
1350       GNUNET_SCHEDULER_add_delayed (kx->set_key_retry_frequency,
1351                                     &set_key_retry_task,
1352                                     kx);
1353 }
1354
1355
1356 /**
1357  * Encrypt and transmit a message with the given payload.
1358  *
1359  * @param kx key exchange context
1360  * @param payload payload of the message
1361  * @param payload_size number of bytes in @a payload
1362  */
1363 void
1364 GSC_KX_encrypt_and_transmit (struct GSC_KeyExchangeInfo *kx,
1365                              const void *payload,
1366                              size_t payload_size)
1367 {
1368   size_t used = payload_size + sizeof (struct EncryptedMessage);
1369   char pbuf[used];              /* plaintext */
1370   char cbuf[used];              /* ciphertext */
1371   struct EncryptedMessage *em;  /* encrypted message */
1372   struct EncryptedMessage *ph;  /* plaintext header */
1373   struct GNUNET_CRYPTO_SymmetricInitializationVector iv;
1374   struct GNUNET_CRYPTO_AuthKey auth_key;
1375
1376   ph = (struct EncryptedMessage *) pbuf;
1377   ph->sequence_number = htonl (++kx->last_sequence_number_sent);
1378   ph->iv_seed = calculate_seed (kx);
1379   ph->reserved = 0;
1380   ph->timestamp = GNUNET_TIME_absolute_hton (GNUNET_TIME_absolute_get ());
1381   memcpy (&ph[1],
1382           payload,
1383           payload_size);
1384
1385   em = (struct EncryptedMessage *) cbuf;
1386   em->header.size = htons (used);
1387   em->header.type = htons (GNUNET_MESSAGE_TYPE_CORE_ENCRYPTED_MESSAGE);
1388   em->iv_seed = ph->iv_seed;
1389   derive_iv (&iv,
1390              &kx->encrypt_key,
1391              ph->iv_seed,
1392              &kx->peer);
1393   GNUNET_assert (GNUNET_OK ==
1394                  do_encrypt (kx,
1395                              &iv,
1396                              &ph->sequence_number,
1397                              &em->sequence_number,
1398                              used - ENCRYPTED_HEADER_SIZE));
1399   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1400               "Encrypted %u bytes for %s\n",
1401               used - ENCRYPTED_HEADER_SIZE,
1402               GNUNET_i2s (&kx->peer));
1403   derive_auth_key (&auth_key,
1404                    &kx->encrypt_key,
1405                    ph->iv_seed);
1406   GNUNET_CRYPTO_hmac (&auth_key,
1407                       &em->sequence_number,
1408                       used - ENCRYPTED_HEADER_SIZE,
1409                       &em->hmac);
1410   GSC_NEIGHBOURS_transmit (&kx->peer,
1411                            &em->header,
1412                            GNUNET_TIME_UNIT_FOREVER_REL);
1413 }
1414
1415
1416 /**
1417  * Closure for #deliver_message()
1418  */
1419 struct DeliverMessageContext
1420 {
1421
1422   /**
1423    * Key exchange context.
1424    */
1425   struct GSC_KeyExchangeInfo *kx;
1426
1427   /**
1428    * Sender of the message.
1429    */
1430   const struct GNUNET_PeerIdentity *peer;
1431 };
1432
1433
1434 /**
1435  * We received an encrypted message.  Decrypt, validate and
1436  * pass on to the appropriate clients.
1437  *
1438  * @param kx key exchange context for encrypting the message
1439  * @param msg encrypted message
1440  */
1441 void
1442 GSC_KX_handle_encrypted_message (struct GSC_KeyExchangeInfo *kx,
1443                                  const struct GNUNET_MessageHeader *msg)
1444 {
1445   const struct EncryptedMessage *m;
1446   struct EncryptedMessage *pt;  /* plaintext */
1447   struct GNUNET_HashCode ph;
1448   uint32_t snum;
1449   struct GNUNET_TIME_Absolute t;
1450   struct GNUNET_CRYPTO_SymmetricInitializationVector iv;
1451   struct GNUNET_CRYPTO_AuthKey auth_key;
1452   struct DeliverMessageContext dmc;
1453   uint16_t size = ntohs (msg->size);
1454   char buf[size] GNUNET_ALIGN;
1455
1456   if (size <
1457       sizeof (struct EncryptedMessage) + sizeof (struct GNUNET_MessageHeader))
1458   {
1459     GNUNET_break_op (0);
1460     return;
1461   }
1462   m = (const struct EncryptedMessage *) msg;
1463   if (GNUNET_CORE_KX_STATE_UP != kx->status)
1464   {
1465     GNUNET_STATISTICS_update (GSC_stats,
1466                               gettext_noop ("# DATA message dropped (out of order)"),
1467                               1,
1468                               GNUNET_NO);
1469     return;
1470   }
1471   if (0 == GNUNET_TIME_absolute_get_remaining (kx->foreign_key_expires).rel_value_us)
1472   {
1473     GNUNET_log (GNUNET_ERROR_TYPE_WARNING,
1474                 _("Session to peer `%s' went down due to key expiration (should not happen)\n"),
1475                 GNUNET_i2s (&kx->peer));
1476     GNUNET_STATISTICS_update (GSC_stats,
1477                               gettext_noop ("# sessions terminated by key expiration"),
1478                               1, GNUNET_NO);
1479     GSC_SESSIONS_end (&kx->peer);
1480     if (NULL != kx->keep_alive_task)
1481     {
1482       GNUNET_SCHEDULER_cancel (kx->keep_alive_task);
1483       kx->keep_alive_task = NULL;
1484     }
1485     kx->status = GNUNET_CORE_KX_STATE_KEY_SENT;
1486     monitor_notify_all (kx);
1487     send_key (kx);
1488     return;
1489   }
1490
1491   /* validate hash */
1492   derive_auth_key (&auth_key,
1493                    &kx->decrypt_key,
1494                    m->iv_seed);
1495   GNUNET_CRYPTO_hmac (&auth_key,
1496                       &m->sequence_number,
1497                       size - ENCRYPTED_HEADER_SIZE,
1498                       &ph);
1499   if (0 != memcmp (&ph,
1500                    &m->hmac,
1501                    sizeof (struct GNUNET_HashCode)))
1502   {
1503     /* checksum failed */
1504     GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1505                 "Failed checksum validation for a message from `%s'\n",
1506                 GNUNET_i2s (&kx->peer));
1507     return;
1508   }
1509   derive_iv (&iv,
1510              &kx->decrypt_key,
1511              m->iv_seed,
1512              &GSC_my_identity);
1513   /* decrypt */
1514   if (GNUNET_OK !=
1515       do_decrypt (kx,
1516                   &iv,
1517                   &m->sequence_number,
1518                   &buf[ENCRYPTED_HEADER_SIZE],
1519                   size - ENCRYPTED_HEADER_SIZE))
1520     return;
1521   GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1522               "Decrypted %u bytes from %s\n",
1523               size - ENCRYPTED_HEADER_SIZE,
1524               GNUNET_i2s (&kx->peer));
1525   pt = (struct EncryptedMessage *) buf;
1526
1527   /* validate sequence number */
1528   snum = ntohl (pt->sequence_number);
1529   if (kx->last_sequence_number_received == snum)
1530   {
1531     GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1532                 "Received duplicate message, ignoring.\n");
1533     /* duplicate, ignore */
1534     GNUNET_STATISTICS_update (GSC_stats,
1535                               gettext_noop ("# bytes dropped (duplicates)"),
1536                               size,
1537                               GNUNET_NO);
1538     return;
1539   }
1540   if ((kx->last_sequence_number_received > snum) &&
1541       (kx->last_sequence_number_received - snum > 32))
1542   {
1543     GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1544                 "Received ancient out of sequence message, ignoring.\n");
1545     /* ancient out of sequence, ignore */
1546     GNUNET_STATISTICS_update (GSC_stats,
1547                               gettext_noop
1548                               ("# bytes dropped (out of sequence)"), size,
1549                               GNUNET_NO);
1550     return;
1551   }
1552   if (kx->last_sequence_number_received > snum)
1553   {
1554     unsigned int rotbit = 1 << (kx->last_sequence_number_received - snum - 1);
1555
1556     if ((kx->last_packets_bitmap & rotbit) != 0)
1557     {
1558       GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1559                   "Received duplicate message, ignoring.\n");
1560       GNUNET_STATISTICS_update (GSC_stats,
1561                                 gettext_noop ("# bytes dropped (duplicates)"),
1562                                 size, GNUNET_NO);
1563       /* duplicate, ignore */
1564       return;
1565     }
1566     kx->last_packets_bitmap |= rotbit;
1567   }
1568   if (kx->last_sequence_number_received < snum)
1569   {
1570     unsigned int shift = (snum - kx->last_sequence_number_received);
1571
1572     if (shift >= 8 * sizeof (kx->last_packets_bitmap))
1573       kx->last_packets_bitmap = 0;
1574     else
1575       kx->last_packets_bitmap <<= shift;
1576     kx->last_sequence_number_received = snum;
1577   }
1578
1579   /* check timestamp */
1580   t = GNUNET_TIME_absolute_ntoh (pt->timestamp);
1581   if (GNUNET_TIME_absolute_get_duration (t).rel_value_us >
1582       MAX_MESSAGE_AGE.rel_value_us)
1583   {
1584     GNUNET_log (GNUNET_ERROR_TYPE_DEBUG,
1585                 "Message received far too old (%s). Content ignored.\n",
1586                 GNUNET_STRINGS_relative_time_to_string (GNUNET_TIME_absolute_get_duration (t),
1587                                                         GNUNET_YES));
1588     GNUNET_STATISTICS_update (GSC_stats,
1589                               gettext_noop
1590                               ("# bytes dropped (ancient message)"), size,
1591                               GNUNET_NO);
1592     return;
1593   }
1594
1595   /* process decrypted message(s) */
1596   update_timeout (kx);
1597   GNUNET_STATISTICS_update (GSC_stats,
1598                             gettext_noop ("# bytes of payload decrypted"),
1599                             size - sizeof (struct EncryptedMessage),
1600                             GNUNET_NO);
1601   dmc.kx = kx;
1602   dmc.peer = &kx->peer;
1603   if (GNUNET_OK !=
1604       GNUNET_SERVER_mst_receive (mst, &dmc,
1605                                  &buf[sizeof (struct EncryptedMessage)],
1606                                  size - sizeof (struct EncryptedMessage),
1607                                  GNUNET_YES,
1608                                  GNUNET_NO))
1609     GNUNET_break_op (0);
1610 }
1611
1612
1613 /**
1614  * Deliver P2P message to interested clients.
1615  * Invokes send twice, once for clients that want the full message, and once
1616  * for clients that only want the header
1617  *
1618  * @param cls always NULL
1619  * @param client who sent us the message (struct GSC_KeyExchangeInfo)
1620  * @param m the message
1621  */
1622 static int
1623 deliver_message (void *cls,
1624                  void *client,
1625                  const struct GNUNET_MessageHeader *m)
1626 {
1627   struct DeliverMessageContext *dmc = client;
1628
1629   if (GNUNET_CORE_KX_STATE_UP != dmc->kx->status)
1630   {
1631     GNUNET_STATISTICS_update (GSC_stats,
1632                               gettext_noop ("# PAYLOAD dropped (out of order)"),
1633                               1,
1634                               GNUNET_NO);
1635     return GNUNET_OK;
1636   }
1637   switch (ntohs (m->type))
1638   {
1639   case GNUNET_MESSAGE_TYPE_CORE_BINARY_TYPE_MAP:
1640   case GNUNET_MESSAGE_TYPE_CORE_COMPRESSED_TYPE_MAP:
1641     GSC_SESSIONS_set_typemap (dmc->peer, m);
1642     return GNUNET_OK;
1643   case GNUNET_MESSAGE_TYPE_CORE_CONFIRM_TYPE_MAP:
1644     GSC_SESSIONS_confirm_typemap (dmc->peer, m);
1645     return GNUNET_OK;
1646   default:
1647     GSC_CLIENTS_deliver_message (dmc->peer, m,
1648                                  ntohs (m->size),
1649                                  GNUNET_CORE_OPTION_SEND_FULL_INBOUND);
1650     GSC_CLIENTS_deliver_message (dmc->peer, m,
1651                                  sizeof (struct GNUNET_MessageHeader),
1652                                  GNUNET_CORE_OPTION_SEND_HDR_INBOUND);
1653   }
1654   return GNUNET_OK;
1655 }
1656
1657
1658 /**
1659  * Setup the message that links the ephemeral key to our persistent
1660  * public key and generate the appropriate signature.
1661  */
1662 static void
1663 sign_ephemeral_key ()
1664 {
1665   current_ekm.header.size = htons (sizeof (struct EphemeralKeyMessage));
1666   current_ekm.header.type = htons (GNUNET_MESSAGE_TYPE_CORE_EPHEMERAL_KEY);
1667   current_ekm.sender_status = 0; /* to be set later */
1668   current_ekm.purpose.purpose = htonl (GNUNET_SIGNATURE_PURPOSE_SET_ECC_KEY);
1669   current_ekm.purpose.size = htonl (sizeof (struct GNUNET_CRYPTO_EccSignaturePurpose) +
1670                                     sizeof (struct GNUNET_TIME_AbsoluteNBO) +
1671                                     sizeof (struct GNUNET_TIME_AbsoluteNBO) +
1672                                     sizeof (struct GNUNET_CRYPTO_EcdhePublicKey) +
1673                                     sizeof (struct GNUNET_PeerIdentity));
1674   current_ekm.creation_time = GNUNET_TIME_absolute_hton (GNUNET_TIME_absolute_get ());
1675   if (GNUNET_YES ==
1676       GNUNET_CONFIGURATION_get_value_yesno (GSC_cfg,
1677                                             "core",
1678                                             "USE_EPHEMERAL_KEYS"))
1679   {
1680     current_ekm.expiration_time = GNUNET_TIME_absolute_hton (GNUNET_TIME_relative_to_absolute (GNUNET_TIME_relative_add (REKEY_FREQUENCY,
1681                                                                                                                          REKEY_TOLERANCE)));
1682   }
1683   else
1684   {
1685     current_ekm.expiration_time = GNUNET_TIME_absolute_hton (GNUNET_TIME_UNIT_FOREVER_ABS);
1686   }
1687   GNUNET_CRYPTO_ecdhe_key_get_public (my_ephemeral_key,
1688                                       &current_ekm.ephemeral_key);
1689   current_ekm.origin_identity = GSC_my_identity;
1690   GNUNET_assert (GNUNET_OK ==
1691                  GNUNET_CRYPTO_eddsa_sign (my_private_key,
1692                                          &current_ekm.purpose,
1693                                          &current_ekm.signature));
1694 }
1695
1696
1697 /**
1698  * Task run to trigger rekeying.
1699  *
1700  * @param cls closure, NULL
1701  * @param tc scheduler context
1702  */
1703 static void
1704 do_rekey (void *cls,
1705           const struct GNUNET_SCHEDULER_TaskContext *tc)
1706 {
1707   struct GSC_KeyExchangeInfo *pos;
1708
1709   rekey_task = GNUNET_SCHEDULER_add_delayed (REKEY_FREQUENCY,
1710                                              &do_rekey,
1711                                              NULL);
1712   if (NULL != my_ephemeral_key)
1713     GNUNET_free (my_ephemeral_key);
1714   GNUNET_log (GNUNET_ERROR_TYPE_INFO,
1715               "Rekeying\n");
1716   my_ephemeral_key = GNUNET_CRYPTO_ecdhe_key_create ();
1717   GNUNET_assert (NULL != my_ephemeral_key);
1718   sign_ephemeral_key ();
1719   for (pos = kx_head; NULL != pos; pos = pos->next)
1720   {
1721     if (GNUNET_CORE_KX_STATE_UP == pos->status)
1722     {
1723       pos->status = GNUNET_CORE_KX_STATE_REKEY_SENT;
1724       monitor_notify_all (pos);
1725       derive_session_keys (pos);
1726     }
1727     if (GNUNET_CORE_KX_STATE_DOWN == pos->status)
1728     {
1729       pos->status = GNUNET_CORE_KX_STATE_KEY_SENT;
1730       monitor_notify_all (pos);
1731     }
1732     monitor_notify_all (pos);
1733     send_key (pos);
1734   }
1735 }
1736
1737
1738 /**
1739  * Initialize KX subsystem.
1740  *
1741  * @param pk private key to use for the peer
1742  * @param server the server of the CORE service
1743  * @return #GNUNET_OK on success, #GNUNET_SYSERR on failure
1744  */
1745 int
1746 GSC_KX_init (struct GNUNET_CRYPTO_EddsaPrivateKey *pk,
1747              struct GNUNET_SERVER_Handle *server)
1748 {
1749   nc = GNUNET_SERVER_notification_context_create (server,
1750                                                   1);
1751   my_private_key = pk;
1752   GNUNET_CRYPTO_eddsa_key_get_public (my_private_key,
1753                                                   &GSC_my_identity.public_key);
1754   my_ephemeral_key = GNUNET_CRYPTO_ecdhe_key_create ();
1755   if (NULL == my_ephemeral_key)
1756   {
1757     GNUNET_break (0);
1758     GNUNET_free (my_private_key);
1759     my_private_key = NULL;
1760     return GNUNET_SYSERR;
1761   }
1762   sign_ephemeral_key ();
1763   rekey_task = GNUNET_SCHEDULER_add_delayed (REKEY_FREQUENCY,
1764                                              &do_rekey,
1765                                              NULL);
1766   mst = GNUNET_SERVER_mst_create (&deliver_message, NULL);
1767   return GNUNET_OK;
1768 }
1769
1770
1771 /**
1772  * Shutdown KX subsystem.
1773  */
1774 void
1775 GSC_KX_done ()
1776 {
1777   if (NULL != rekey_task)
1778   {
1779     GNUNET_SCHEDULER_cancel (rekey_task);
1780     rekey_task = NULL;
1781   }
1782   if (NULL != my_ephemeral_key)
1783   {
1784     GNUNET_free (my_ephemeral_key);
1785     my_ephemeral_key = NULL;
1786   }
1787   if (NULL != my_private_key)
1788   {
1789     GNUNET_free (my_private_key);
1790     my_private_key = NULL;
1791   }
1792   if (NULL != mst)
1793   {
1794     GNUNET_SERVER_mst_destroy (mst);
1795     mst = NULL;
1796   }
1797   if (NULL != nc)
1798   {
1799     GNUNET_SERVER_notification_context_destroy (nc);
1800     nc = NULL;
1801   }
1802 }
1803
1804
1805 /**
1806  * Handle #GNUNET_MESSAGE_TYPE_CORE_MONITOR_PEERS request.  For this
1807  * request type, the client does not have to have transmitted an INIT
1808  * request.  All current peers are returned, regardless of which
1809  * message types they accept.
1810  *
1811  * @param cls unused
1812  * @param client client sending the iteration request
1813  * @param message iteration request message
1814  */
1815 void
1816 GSC_KX_handle_client_monitor_peers (void *cls,
1817                                     struct GNUNET_SERVER_Client *client,
1818                                     const struct GNUNET_MessageHeader *message)
1819 {
1820   struct MonitorNotifyMessage done_msg;
1821   struct GSC_KeyExchangeInfo *kx;
1822
1823   GNUNET_SERVER_receive_done (client, GNUNET_OK);
1824   GNUNET_SERVER_notification_context_add (nc,
1825                                           client);
1826   for (kx = kx_head; NULL != kx; kx = kx->next)
1827     monitor_notify (client, kx);
1828   done_msg.header.size = htons (sizeof (struct MonitorNotifyMessage));
1829   done_msg.header.type = htons (GNUNET_MESSAGE_TYPE_CORE_MONITOR_NOTIFY);
1830   done_msg.state = htonl ((uint32_t) GNUNET_CORE_KX_ITERATION_FINISHED);
1831   memset (&done_msg.peer, 0, sizeof (struct GNUNET_PeerIdentity));
1832   done_msg.timeout = GNUNET_TIME_absolute_hton (GNUNET_TIME_UNIT_FOREVER_ABS);
1833   GNUNET_SERVER_notification_context_unicast (nc,
1834                                               client,
1835                                               &done_msg.header,
1836                                               GNUNET_NO);
1837 }
1838
1839
1840 /* end of gnunet-service-core_kx.c */