Пакет - неделимый фрагмент данных, подаваемых на функции шифрования CPEncrypt(), CPCEncrypt(),CPDecrypt(), CPCDecrypt(). Пакет состоит из полей:

При шифровании пакетов поддерживаются режимы шифрования: CRYPT_MODE_CNT, CRYPT_MODE_CFB, CRYPT_MODE_CBCSTRICT, CRYPT_MODE_CTR, CRYPT_MODE_MGM. Во всех режимах шифрования может быть использован флаг CRYPT_SIMPLEMIX_MODE. В режимах шифрования CRYPT_MODE_CNT, CRYPT_MODE_CFB, CRYPT_MODE_CBCSTRICT может быть использован флаг CRYPT_PROMIX_MODE. В режиме шифрования CRYPT_MODE_CTR может быть использован флаг CRYPT_ACPKM_MODE.

В пакетном режиме шифрования длина пакетов остаётся неизменной.

В режиме CBC общая длина шифруемых данных должна быть кратна 8, также должна быть кратной 8 длина каждого шифруемого элемента IOVEC, в противном случае возвращается ошибка NTE_BAD_DATA. Пакеты обрабатываются с сохранением размера полей, паддинг в режиме CBC игнорируется.

Флаги CP_CHP_IV_RANDOM, CP_CHP_IV_USER, CP_CHP_HASH_PACKET предназначены для обработки пакетов в потоках с возможным нарушением порядка следования пакетов, с возможной потерей пакетов.

Флаги CP_CHP_IV_CHAIN, CP_CHP_HASH_CHAIN, CP_CHP_HASH_NONE предназначены для обработки пакетов в потоках, гарантирующих доставку всех пакетов в неизменной последовательности.

В следующей таблице приведены условия использовантя режимов ширования пакетов:

Во всех режимах объект функции хэширования после завершения обработки пакета подготовлен для обработки следующего пакета. При этом, в случае CP_CHP_HASH_CHAIN и CP_CHP_HASH_NONE объект открыт для продолжения хэширования потока, в случае CP_CHP_HASH_PACKET объект инициализирован.

При расшифровании пакета в случае его искажения в канале, приводящего к несовпадению значения HASH, передаваемого в составе пакета, с вновь рассчитанным значением, функция CPDecrypt() возвращают ошибку (FALSE), функции CPCDecrypt() и GetLastError() возвращают NTE_BAD_HASH, объект функции хэширования функциями CPDecrypt(), CPCDecrypt() не инициализируется. В этом случае приложение может получить рассчитанное значение HASH вызовом CPGetHashParam() и должно принять решение о завершении обрабатываемого потока (например: поток, обрабатываемый с флагом CP_CHP_HASH_CHAIN, должен быть закрыт; поток, обрабатываемый с флагом CP_CHP_HASH_PACKET может быть продолжен). В случае продолжения обработки потока приложение должно открыть (создать новый) объект функции хэширования.

Во входных параметрах функций шифрования и хэширования пакет может быть представлен как буфером, определяемым указателем pbData и длиной cbData, так и вектором IOVEC ввода/вывода, определяемым указателем pbData на вершину массива структур CSP_iovec и числом элементов массива cbData. Режим использования векторной формы представления ввода/вывода определяется флагом CP_CRYPT_DATA_IOVEC, в настоящей версии СКЗИ режим CP_CRYPT_DATA_IOVEC является подрежимом пакетной обработки.

В режиме пакетной обработки возможно получение ключа шифрования и имитозащиты пакета диверсификацией базовых ключей, ассоциированных с hKey и hHash. Диверсификация осуществляется по алгоритму CALG_PRO_DIVERS с использованием даных CRYPT_DIVERSBLOB, размещённых в предзаголовке пакета. Если используется представление данных в форме вектора ввода-вывода, блоб диверсификации должен передаваться в первой координате вектора целиком. Признаком использования диверсификации ключей является установленный флаг CP_CHP_STARTMIX. Диверсифицированное значение ключей сохраняется для использования для обработки последующих пакетов. Диверсификация ключей не приводит к изменению значений базовых ключей.

В режиме пакетной обработки возможна SIMD параллельная обработка до 16 пакетов при использовании аппаратной платформы, поддерживающей расширения SSSE3, AVX. Все пакеты обрабатываются на ключах с одним значением для шифрования и с обним значением для функции хэшироваия. Пакеты должны быть упакованы в массиве структур CSP_Multipacket. Признаком использования мультипакетной обработки является установленный флаг CP_CHP_MULTIPACKET. Пакеты могут быть представлены как линейным буфером, так и вектором IOVEC ввода/вывода. Требуется, чтобы все пакеты были однотипными, тип пакетов определяется флагом CP_CRYPT_DATA_IOVEC. В мультипакетном режиме использование предварительной диверсификации ключа, определяемой флагом CP_CHP_STARTMIX, не допускается. См. Мультипакетная обработка .

Флаг CP_CRYPT_NOKEYWLOCK используется для организации шифрования\расшифрования пакетов в многопоточном режиме, при этом ключ шифрования\расшифрования блокируется только на чтение. Для обеспечения данного режима работы необходимо заранее создать специальный объект HCRYPTMODULE с помощью функции CPCGetProvParam() с флагом PP_CREATE_THREAD_CSP; данный объект в дальнейшем следует передавать функциям CPCEncrypt() и CPCDecrypt() в качестве первого параметра.

Использование флага CP_CRYPT_NOKEYWLOCK разрешается только совместно с флагом CP_CRYPT_HASH_PACKET, при значении параметра Final == TRUE; использование флага при шифровании\расшифровании на ключе с режимом преобразования (KP_MIXMODE), отличным от CRYPT_SIMPLEMIX_MODE, а также совместно с флагом CP_CHP_IV_CHAIN не допускается.

Пример

	    
 CPCGetProvParam(hCSP, hProv, PP_CREATE_THREAD_CSP, NULL, &dwThreadCSPData, 0);

 pbThreadCSPData = (BYTE*)malloc(dwThreadCSPData);

 CPCGetProvParam(hCSP, hProv, PP_CREATE_THREAD_CSP, pbThreadCSPData, &dwThreadCSPData, 0);

 hThreadCSP = (HCRYPTMODULE)pbThreadCSPData;

 CPCEncrypt(hThreadCSP, hProv, hKey, hHash, TRUE, CP_CHP(CP_CHP_HASH_ENCRYPT | CP_CHP_IV_RANDOM | CP_CHP_STARTMIX |
 CP_CHP_HASH_PACKET | CP_CRYPT_NOKEYWLOCK, HEADER_BYTE_SIZE, TRAILER_BYTE_SIZE, HASH_DWORD_SIZE), pbThreadPacketData, &cbThreadPacketData, cbThreadPacketData);
	

Умолчания:

1. В случае hHash=0, значение функции хэширования не рассчитывается.

2. Представление данных в виде IOVEC является производным от представления, определяемого флагами. Имеется ввиду, что IOVEC представляет данные, а описание структуры данных содержится во флагах.

3. Максимальное количество элементов IOVEC зависит от реализации. Любая реализация должна предоставлять возможность использовать 16 элементов IOVEC.

4. Поле длины элемента IOVEC >= 0.

Структура пакета и порядок обработки полей пакета определяются значениями флагов параметра dwFlags, объединяемыми операцией OR; значения флагов зависимы, не все сочетания значений полей допустимы. Для формирования флагов рекомендуется использовать макрос CP_CHP().

См. также

CPEncrypt (CP_CRYPT_HASH_PACKET) ,CPDecrypt (CP_CRYPT_HASH_PACKET) ,CP_CHP()