Optimised chacha20 loading & unloading

Testing inside the loop caused a noticeable slow down.  Now the whole
thing looks kinda like a copy-pasta job, but the alternative was a less
readable data flow anyway.

Adds high-level aliases to some low-level primitives

Some low-level primitives are actually suitable as high-level functions.
However, using them as such makes naming inconsistent and confusing.
Proper aliases have been added to make user code more consistent.

Macros (#define) have been used instead of function pointers to avoid
various compilation problems.

Wipe ALL temporary buffers

Fixed #15

I missed many buffers for some reason.  The fix affects performance in
some cases (especially Argon2i).  We should be able to recover most of
it.

Made the header more suitable as a quick reference

Some people won't read the manual.  Others will read it, then forget it.
Almost no one remembers the API perfectly —not even I.

removed useless check

If the public key is not in the curve, the verification will simply
fail.  There is little point verifying the validity of a signing public
key, since you have to trust its origin in the first place.

low-level primitives warnings in the header

Fixes #78

Merge pull request #76 from mikejsavage/moremanualtweaks

More manual tweaks

More .Fa, more "Length of"

Use "Length of .Fa x , in bytes."

turned test utils into header only

Simplifies the makefiles a bit

Factored speed tests

speed-sodium uses utils

removed monocypher dependency from utils.h

Credit where credit's due (take 2)

Credit where credit's due

Wrong path in the readme

Speed benchmark for libsodium

Merge pull request #77 from CuleX/master+prototypes

Fix wrong or missing const in man pages

Use Fo/Fa/Fc in synopsis blocks

Fix wrong or missing const in man pages

Avoid :

More manual tweaks

Merge pull request #75 from mikejsavage/miscmanualtweaks

Misc manual tweaks

Apply Loup's feedback

Misc manual tweaks

Manual: reset dates (#58)

Manual: examples (#58)

Manual: Applying CuleX's advice

Manual: xx byte => xx-byte

Manual: add missing args blocks

Manual: warning about incremental signature verification

Just so users don't mistakenly trust messages before the verification is
finished.

Related to #58

Fixed #74 (crypto_verify bug)

Added tests for comparison functions

They are crafted to catch many possible errors, such as using an
operator instead of another.

And catch an error it did...

Manual: applying CuleX's corrections

Added a warning about incremental authentication

Mentinned the Double Ratchet Algorithm

This is better than the half assed explanation about authenticating keys
with `crypto_lock`

Merge pull request #73 from mikejsavage/poly1305feedback

Poly1305 manual tweaks based on Loup's comments

Poly1305 manual tweaks based on Loup's comments

Merge pull request #72 from mikejsavage/keyexchangereview

Key exchange manual tweaks

Merge pull request #70 from mikejsavage/lockincreview

Incremental crypto_lock manual tweaks

Merge pull request #71 from mikejsavage/poly1305review

Poly1305 manual tweaks

Key exchange manual tweaks

Re-add the paragraph about corruption being 3x slower to detect

More tweaking

Poly1305 keys are 32 _bytes_!

Poly1305 manual tweaks

"can happen because of" -> "can be caused by"

Incremental crypto_lock manual tweaks

Merge pull request #69 from mikejsavage/verifyreview

crypto_verify manual tweaks

Merge pull request #68 from mikejsavage/cryptosignreview

crypto_sign manual tweaks

Merge pull request #67 from mikejsavage/cryptosignincrementalreview

Incremental crypto_sign manual tweaks

Merge pull request #66 from mikejsavage/chacha20review

chacha20 manual tweaks

Merge pull request #65 from mikejsavage/blakereview

BLAKE2b manual tweaks

Merge pull request #64 from mikejsavage/chacha20hreview

chacha20_H manual tweaks

Merge pull request #63 from mikejsavage/wipereview

crypto_wipe manual tweaks

Remove parens around "like memcmp"

Formatting fix

64 bit -> 64-byte

crypto_wipe manual tweaks

crypto_verify manual tweaks

Incremental crypto_sign manual tweaks

chacha20 manual tweaks

crypto_sign manual tweaks

chacha20_H manual tweaks

BLAKE2b manual tweaks

Merge pull request #62 from CuleX/master+add-missing-symlink

Add symlink for crypto_argon2i_general.3monocypher

Add symlink for crypto_argon2i_general.3monocypher

This also adds it to intro(3monocypher).

Reviewing  mikejsavage's manual tweaks

Merge pull request #59 from mikejsavage/cryptolockdoc

crypto_lock manual tweaks

Merge pull request #60 from mikejsavage/argondoc

Argon manual tweaks

Merge pull request #61 from mikejsavage/introdoc

Explicitly talk about compression being harmful in the intro

Reword CRIME sentence

Explicitly mention compression, see intro for details

Argon manual tweaks

tw=72

New lines after .

crypto_lock manual tweaks

Explicitly talk about data compression being harmful in the intro

Changed Argon2i API

- Removed the key and ad from crypto_argon2i()
- Added crypto_argon2i_general(), which conform to the old API, to
  compensate.
- Updated the manual.

Related to #58
Rationale: the key and ad arguments are rarely used.  Regular users
shouldn't be burdened with them.

Faster Blake2b.

Between 25% and 30% faster on my corei5 skylake laptop.

more warnings for multiplication timings

Following CuleX's advice.

Whitelisted x86, x86_64, ARM, and ARM64.  Users should check
how multiplication is done on other platforms.

Manual review: applying CuleX's advice

Renamed crypto_poly1305_auth to crypto_poly1305

Manual review: intro

Manual review: applying CuleX's advice

Forgot to wipe a temporary buffer

Manual review: applying CuleX's advice

Manual review: crypto_sign_init

Removed "The *** function" patterns

Manual review: applying CuleX's advice

Manual review: spell check

Manual review: crypto_sign

Manual review: crypto_lock_init

Forgot to wipe a temporary buffer

Manual review: applying CuleX's advice

Manual review: crypto_lock

Automatically wipe Argon2i work area

crypto_wipe() wipes byte by byte.  This is fine for small buffers, but
for the Argon2i work area, it means losing about 20% performance.

This has a direct impact on security: users are advised to chose the
highest settings they are comfortable with.  A 20% slow down will mean
a 20% edge for the attacker.) Users must then chose between
sacrificing 20% of security, or exposing themselves to side channel
attacks.

---

There is a faster way to wipe that work area: word by word.  Since it
is already required to be aligned for 8-byte words, we can wipe it in
8-bytes chunks.  This is much faster than crypto_wipe, and slows down
the whole process by only 2-3%.

This is a bit ad-hoc, though, and it wouldn't make much sense to add a
crypto_wipe_fast() function or something to handle that special case.
Instead, I've chosen to integrate it in Argon2i itself.  Now users
don't have to wipe the work area any more.

The drawback is, the output hash buffer must not overlap with the work
area, or it will be wiped with it.  This shouldn't be a problem in
practice.

Manual review: applying CuleX's advice

Replaced 'evil' by 'malicious'

Merge pull request #57 from mikejsavage/deterministically

eterministically -> deterministically

Merge branch 'master' into deterministically