wycheproof

Überblick über den wycheproof-Skill

Wofür wycheproof gedacht ist

Der wycheproof-Skill hilft dir, Wycheproof-Testvektoren zu verwenden, um kryptografische Implementierungen gegen bekannte Edge Cases und Angriffsmuster zu validieren. Er eignet sich besonders für einen Security-Audit-Workflow, wenn du prüfen musst, ob eine Bibliothek, ein Dienst oder ein Produkt die richtigen Eingaben akzeptiert, die falschen ablehnt und bei mehrdeutigen Fällen sicher fehlschlägt.

Wer ihn installieren sollte

Installiere den wycheproof-Skill, wenn du Kryptografie-Code auditierst, eine sicherheitskritische Anwendung betreust oder eine reproduzierbare Methode brauchst, um Primitive wie AES-GCM, ECDSA, ECDH oder RSA zu testen. Er ist besonders nützlich, wenn ein schneller Prompt nicht ausreicht, weil der Fehlerfall subtil ist: Der Code kann bei Happy-Path-Beispielen „funktionieren“ und trotzdem angreifbar sein.

Was ihn unterscheidet

Wycheproof ist kein allgemeines Kryptografie-Tutorial. Der Mehrwert des wycheproof-Skills liegt darin, dass er sich auf bekanntermaßen problematische Eingaben, strukturierte Testgruppen und Pass-/Fail-/Acceptable-Ergebnisse konzentriert. Das macht ihn nützlicher als einen generischen Prompt wie „Teste meine Kryptografie“, wenn du für ein Review oder einen Fix belastbare Entscheidungsergebnisse brauchst.

So verwendest du den wycheproof-Skill

Skill installieren und prüfen

Nutze den Installationsablauf für wycheproof in deinem Skills-Manager und öffne dann zuerst SKILL.md. In diesem Repo ist SKILL.md die einzige Support-Datei, es gibt also keine separate Script- oder Regel-Ebene, die du zusätzlich lernen musst. Deine Hauptaufgabe besteht deshalb darin, den Workflow, die Testkategorien und die Einschränkungen direkt aus dem Skill-Text herauszulesen.

Aus einem groben Ziel einen nützlichen Prompt machen

Die Nutzung von wycheproof funktioniert am besten, wenn du das kryptografische Primitive, die Implementierungssprache und das Testziel von Anfang an mitlieferst. Eine schwache Anfrage ist: „Prüf meinen Kryptografie-Code.“ Besser ist: „Nutze den wycheproof-Skill, um unseren Java-ECDSA-Verifier gegen fehlerhafte Signaturen und Grenzfälle zu testen; gib an, welche Vektoren bestehen sollten, fehlschlagen sollten oder nach unserer Policy als akzeptabel gelten.“

Mit den richtigen Eingaben starten

Für die besten Ergebnisse solltest du angeben:

• den Algorithmus oder das Protokoll
• die Sprache oder Bibliothek
• was in deiner Umgebung als Erfolg gilt
• ob du Regressionstests, Audit-Unterstützung oder die Analyse eines Fehlers brauchst
• Einschränkungen wie FIPS-Modus, Legacy-Kompatibilität oder Plattformgrenzen

Diese Angaben sind wichtig, weil sich das wycheproof-Ergebnis je nachdem ändert, ob du strikte Ablehnung, Kompatibilitätsverhalten oder eine bekannte Ausnahmeliste validierst.

Den Workflow in der richtigen Reihenfolge lesen

Ein praxisnaher wycheproof-Leitfaden sollte so gelesen werden: Hintergrund, Kernkonzepte, Einsatzzeitpunkt, dann die Abschnitte zum Test-Workflow. Wenn du ihn für einen Security Audit nutzt, achte besonders darauf, wie der Skill gültige, ungültige und akzeptable Vektoren voneinander trennt, denn genau diese Klassifikation verhindert Fehlinterpretationen.

wycheproof-Skill-FAQ

Ist wycheproof nur für Security Audits?

Nein. Der wycheproof-Skill ist zwar für Audits wertvoll, aber auch während Implementierung und Regressionstests nützlich. Wenn du Kryptografie auslieferst, hilft dir dieser Skill, Probleme zu finden, bevor sie zu Audit-Befunden werden.

Muss ich vorher schon Kryptografie-Experte sein?

Nein, aber du brauchst genug Kontext, um das Primitive zu benennen und das erwartete Verhalten zu beschreiben. Wenn du nicht sagen kannst, ob ein Vektor bestehen, fehlschlagen oder aufgrund einer Kompatibilitätsregel akzeptiert werden soll, ist das Ergebnis weniger handlungsfähig.

Worin unterscheidet sich das von einem normalen Prompt?

Ein normaler Prompt liefert oft nur eine generische Checkliste. Der wycheproof-Skill ist besser, wenn du strukturiertes Testvektor-Denken und Abdeckung von Edge Cases brauchst. Er reduziert Rätselraten, weil er die Aufgabe an bekannten Angriffsmustern statt an allgemeinen Ratschlägen ausrichtet.

Wann sollte ich ihn nicht verwenden?

Verwende wycheproof nicht, wenn du ein Kryptografieprotokoll von Grund auf entwerfen oder Kryptografie auf hoher Ebene erklären willst. Er ist für Validierung und Tests gedacht, nicht für theoretische Lehre oder Produktarchitektur.

So verbesserst du den wycheproof-Skill

Gib dem Skill das exakte kryptografische Ziel

Der größte Qualitätssprung entsteht, wenn du das Primitive, die Implementierung und den Fehlermodus genau benennst. Zum Beispiel ist „RSA-PSS-Verifier in Python cryptography, schlägt bei bestimmten Salt-Längen fehl“ deutlich besser als „mein Signaturcode ist kaputt“. Je genauer das Ziel, desto leichter lassen sich die passenden Wycheproof-Vektoren zuordnen.

Nenne deine Akzeptanzrichtlinie früh

Ein häufiger Fehler bei wycheproof-Arbeit ist, Sicherheitskorrektheit und Produktkompatibilität zu vermischen. Sage klar, ob du die strikte Ablehnung ungültiger Vektoren willst, Kompatibilität mit Legacy-Eingaben oder eine dokumentierte Allowlist. Diese Unterscheidung verändert das Ergebnis und verhindert unnötiges Hin und Her nach dem ersten Durchlauf.

Iteriere auf der Vektorklasse, nicht nur auf dem Bug

Wenn die erste Ausgabe einen Fehler findet, verfeinere die nächste Anfrage mit angrenzenden Fällen: nahe Schlüsselgrößen, fehlerhafte Encodings, abgeschnittene Eingaben oder Grenzwerte aus derselben Testgruppe. Das ist meist hilfreicher als ein pauschaler neuer Durchlauf, weil die Stärke von Wycheproof in der Abdeckung ganzer Familien von Edge Cases liegt.

Nutze die Ausgabe für Regressionstests

Nachdem du einen Befund bestätigt hast, überführe den fehlschlagenden Fall als dauerhaften Test in deine eigene Test-Suite. Der wycheproof-Skill ist besonders wertvoll, wenn er einen belastbaren Security-Audit-Nachweis erzeugt: welcher Vektor fehlgeschlagen ist, warum er fehlgeschlagen ist und welche Bedingung in künftigen Releases erzwungen werden sollte.