# crypto-audit

Проверяет, как в проекте реализована криптография: режимы шифрования, параметры KDF, работу с IV и nonce, проверку подписей. Пригодится, когда код выглядит правильно, но утекает данные.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 353 установки · ★ 435
- Автор: briiirussell
- Лицензия: MIT · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/briiirussell/cybersecurity-skills/tree/HEAD/skills/crypto-audit/SKILL.md
- Обновлён: 2026-05-27
- HTML: https://affpapa.org/nevibecode/skills/crypto-audit

## Что делает

Скилл разбирает реализацию криптографии в приложении: выбор алгоритма, параметры, режимы и паттерны вызова. Он глубже, чем `owasp-audit` A02, который ловит очевидные случаи вроде MD5 для паролей или отключённой проверки сертификата. Здесь речь о тонких ошибках: примитив верный, а режим не тот — ECB вместо GCM; алгоритм верный, а число итераций PBKDF2 занижено; библиотека верная, а порядок вызовов сломан.

Внутри — чек-лист по алгоритмам и режимам, производным ключам, обработке IV и nonce, аутентифицированному шифрованию, проверке подписей, источникам случайности, настройке TLS и ротации ключей. Для каждого пункта даны grep-шаблоны: `AES.*ECB`, `pbkdf2_hmac`, `jwt.decode` без последующего `verify`, `Math.random`, захардкоженные IV. Отдельно разобраны ловушки конкретных языков — `Cipher.getInstance("AES")` в Java и `AES.new(key)` в PyCryptodome по умолчанию дают ECB.

Вердикт по самодельным схемам шифрования скилл выносит сразу: берите libsodium, Tink или WebCrypto. Есть и жёсткие требования к параметрам — bcrypt с cost не ниже 12, PBKDF2-HMAC-SHA256 от 600 000 итераций, nonce в AES-GCM не повторяется никогда. Если в проекте старые значения, это повод проверить их до релиза.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill crypto-audit -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/crypto-audit/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/crypto-audit/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill crypto-audit -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/crypto-audit/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill crypto-audit -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/crypto-audit/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install briiirussell/cybersecurity-skills crypto-audit
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/crypto-audit/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill crypto-audit -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/briiirussell/cybersecurity-skills --path skills/crypto-audit
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/crypto-audit/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add briiirussell/cybersecurity-skills --skill crypto-audit -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/briiirussell/cybersecurity-skills/tree/HEAD/skills/crypto-audit/SKILL.md

## Когда брать
- поймать повторное использование nonce в AES-GCM до того, как оно утечёт открытый текст
- отличить безопасный режим шифрования от ECB в коде на Java или Python
- проверить число итераций PBKDF2 и cost у bcrypt
- найти проверку подписи JWT, которая обходится через `alg: none`
- убедиться, что токены и сессионные идентификаторы берут случайность из CSPRNG

## Примеры запросов агенту
- проверь криптографию в этом модуле — режимы, KDF, работу с nonce
- сделай crypto review для сервиса аутентификации
- посмотри настройку TLS и шифры в конфиге

## Похожие
- [audit-prep-assistant](https://affpapa.org/nevibecode/skills/audit-prep-assistant.md) — скилл · 5700 установок
- [lattice-crypto-attacks](https://affpapa.org/nevibecode/skills/lattice-crypto-attacks.md) — скилл · 3500 установок
- [production-code-audit](https://affpapa.org/nevibecode/skills/sickn33-production-code-audit.md) — скилл · 1200 установок
- [mcp-security-audit](https://affpapa.org/nevibecode/skills/mcp-security-audit.md) — скилл · 1100 установок
- [audit-integrity](https://affpapa.org/nevibecode/skills/audit-integrity.md) — скилл · 202 установки
- [dependencies-audit](https://affpapa.org/nevibecode/skills/dependencies-audit.md) — скилл · 1900 установок

Из того же набора: [briiirussell/cybersecurity-skills](https://affpapa.org/nevibecode/by/briiirussell/cybersecurity-skills.md) — 25 карточек

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md