# constant-time-analysis

Статически проверяет ассемблер и байткод криптографического кода на утечки по времени. Находит деление на секретные данные и ранние выходы из сравнений.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 5400 установок · ★ 7805
- Автор: trailofbits
- Лицензия: CC-BY-SA-4.0 · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/trailofbits/skills/tree/HEAD/plugins/constant-time-analysis/skills/constant-time-analysis/SKILL.md
- Обновлён: 2026-10-24
- HTML: https://affpapa.org/nevibecode/skills/constant-time-analysis

## Что делает

Скилл компилирует исходный файл и разбирает полученный ассемблер или байткод виртуальной машины. Анализатор ищет инструкции с переменным временем выполнения, деление и табличные выборки. Он работает статически. Бинарник в процессе проверки не запускается, потому что для замеров времени исполнения применяются отдельные утилиты вроде dudect.

Проверка запускается скриптом `ct_analyzer/analyzer.py` через `uv`. Анализатор распознаёт язык по расширению файла. Поддерживаются C, C++, Rust, Go, Swift, Java, C#, PHP, JavaScript, Python и Ruby. Для нативного кода доступны флаги выбора компилятора, целевой архитектуры через `--arch` и уровня оптимизации через `--opt-level`.

Запуск без флага `--warnings` скрывает критичные ошибки. По умолчанию анализатор молчит об уязвимостях вроде раннего выхода из `memcmp` или зависимости ветвления от секретов. Чистый отчёт на одной конфигурации не гарантирует безопасность на другой: инструкция `cmov` на уровне `-O2` легко превратится в ветвление на `-O0`.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add trailofbits/skills --skill constant-time-analysis -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/constant-time-analysis/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/constant-time-analysis/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add trailofbits/skills --skill constant-time-analysis -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/constant-time-analysis/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add trailofbits/skills --skill constant-time-analysis -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/constant-time-analysis/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install trailofbits/skills constant-time-analysis
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/constant-time-analysis/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add trailofbits/skills --skill constant-time-analysis -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/trailofbits/skills --path plugins/constant-time-analysis/skills/constant-time-analysis
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/constant-time-analysis/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add trailofbits/skills --skill constant-time-analysis -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/trailofbits/skills/tree/HEAD/plugins/constant-time-analysis/skills/constant-time-analysis/SKILL.md

## Когда брать
- найти операции деления и взятия остатка над секретными значениями
- выявить ранний выход из сравнения хэшей или тегов аутентификации
- проверить сгенерированный ассемблер под разными архитектурами и флагами оптимизации
- обнаружить переходы в коде, зависящие от ключа или открытого текста

## Примеры запросов агенту
- Проверь функцию verify в crypto/sign.c на утечки по времени с флагом --warnings.
- Запусти анализ constant-time для src/kem.rs под целевую архитектуру arm64.
- Найди ветвления от секретных данных в auth_tag.py через ct_analyzer.

## Похожие
- [malware-analysis-dragonflyTomb-avast](https://affpapa.org/nevibecode/skills/malware-analysis-dragonflytomb-avast.md) — скилл · 1000 установок
- [static-analysis](https://affpapa.org/nevibecode/skills/static-analysis.md) — скилл · 1200 установок
- [crypto-audit](https://affpapa.org/nevibecode/skills/crypto-audit.md) — скилл · 353 установки
- [skill-scanner](https://affpapa.org/nevibecode/skills/skill-scanner.md) — скилл · 3800 установок
- [code-review-pro](https://affpapa.org/nevibecode/skills/code-review-pro.md) — скилл · 2600 установок
- [semgrep](https://affpapa.org/nevibecode/skills/semgrep-semgrep.md) — скилл · 2200 установок

Из того же набора: [trailofbits/skills](https://affpapa.org/nevibecode/by/trailofbits/skills.md) — 77 карточек

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md