wycheproof

Visão geral do skill wycheproof

Para que serve o wycheproof

O skill wycheproof ajuda você a usar vetores de teste do Wycheproof para validar implementações criptográficas contra casos-limite conhecidos e padrões de ataque. Ele é ideal para um fluxo de trabalho de Security Audit quando você precisa verificar se uma biblioteca, serviço ou produto aceita as entradas corretas, rejeita as erradas e falha com segurança em casos ambíguos.

Quem deve instalá-lo

Instale o skill wycheproof se você faz auditoria de código criptográfico, mantém uma aplicação sensível a segurança ou precisa de uma forma repetível de testar primitivas como AES-GCM, ECDSA, ECDH ou RSA. Ele é especialmente útil quando um prompt rápido não basta porque o modo de falha é sutil: o código pode até “funcionar” em exemplos do caminho feliz e ainda assim estar vulnerável.

O que o torna diferente

Wycheproof não é um tutorial geral de criptografia. O valor do skill wycheproof está em focar em entradas sabidamente problemáticas, grupos de teste estruturados e resultados de aprovado/reprovado/aceitável. Isso o torna mais útil do que um prompt genérico de “teste minha criptografia” quando você precisa de resultados confiáveis para uma revisão ou correção.

Como usar o skill wycheproof

Instale e inspecione o skill

Use o fluxo de instalação do wycheproof no seu gerenciador de skills e, em seguida, abra primeiro SKILL.md. Neste repo, SKILL.md é o único arquivo de apoio, então não existe uma camada separada de scripts ou regras para aprender. Isso significa que sua principal tarefa é extrair o fluxo de trabalho, as categorias de teste e as restrições diretamente do corpo do skill.

Transforme um objetivo vago em um prompt útil

O uso do wycheproof funciona melhor quando você informa logo de início a primitiva criptográfica, a linguagem da implementação e o objetivo do teste. Um pedido fraco é: “Cheque meu código de crypto.” Um pedido mais forte é: “Use o skill wycheproof para testar nosso verificador ECDSA em Java contra assinaturas malformadas e casos-limite; informe quais vetores devem passar, falhar ou ser tratados como aceitáveis pela nossa política.”

Comece com as entradas certas

Para obter os melhores resultados, inclua:

• o algoritmo ou protocolo
• a linguagem ou biblioteca
• o que conta como sucesso no seu ambiente
• se você quer teste de regressão, apoio a auditoria ou triagem de um caso com falha
• quaisquer restrições, como modo FIPS, compatibilidade legada ou limites da plataforma

Esses detalhes importam porque a saída do wycheproof muda dependendo de você estar validando rejeição estrita, comportamento de compatibilidade ou uma lista conhecida de exceções.

Leia o fluxo na ordem certa

Um guia prático de wycheproof deve ser lido nesta ordem: contexto, conceitos principais, quando usar e, depois, as seções de fluxo de teste. Se você estiver usando para uma Security Audit, preste atenção especial em como o skill distingue vetores válidos de inválidos ou aceitáveis, porque essa classificação é o que mais evita conclusões falsas.

FAQ do skill wycheproof

O wycheproof é só para auditorias de segurança?

Não. O skill wycheproof é valioso para auditorias, mas também é útil durante a implementação e os testes de regressão. Se você distribui criptografia, esse skill ajuda a detectar problemas antes que virem achados de auditoria.

Preciso ser especialista em criptografia antes?

Não, mas você precisa de contexto suficiente para nomear a primitiva e descrever o comportamento esperado. Se você não consegue dizer se um vetor deve passar, falhar ou ser aceito sob uma regra de compatibilidade, a saída será menos acionável.

Como isso é diferente de um prompt comum?

Um prompt comum pode gerar uma checklist genérica. O skill wycheproof é melhor quando você precisa de raciocínio estruturado sobre vetores de teste e cobertura de casos-limite. Ele reduz o chute ao ancorar a tarefa em padrões de ataque conhecidos, em vez de conselhos amplos.

Quando não devo usá-lo?

Não use o wycheproof se você estiver tentando projetar um protocolo criptográfico do zero ou explicar criptografia em alto nível. Ele serve para validação e testes, não para ensino teórico nem arquitetura de produto.

Como melhorar o skill wycheproof

Dê ao skill o alvo criptográfico exato

O maior ganho de qualidade vem de nomear a primitiva, a implementação e o modo de falha. Por exemplo, “verificador RSA-PSS em Python cryptography, falhando em certos comprimentos de salt” é muito melhor do que “meu código de assinatura está quebrado”. Quanto mais exato for o alvo, mais fácil fica mapear os vetores corretos do Wycheproof.

Declare sua política de aceitação cedo

Um modo de falha comum no trabalho com wycheproof é misturar correção de segurança com compatibilidade de produto. Diga se você quer rejeição estrita de vetores inválidos, compatibilidade com entradas legadas ou uma allowlist documentada. Essa distinção muda o resultado e evita idas e voltas desnecessárias depois da primeira rodada.

Itere na classe de vetores, não só no bug

Se a primeira saída encontrar uma falha, refine o próximo pedido solicitando casos adjacentes: tamanhos de chave próximos, codificações malformadas, entradas truncadas ou valores de limite do mesmo grupo de teste. Isso costuma ser mais útil do que pedir uma nova execução genérica, porque a força do Wycheproof está na cobertura de famílias de casos-limite.

Use a saída para alimentar testes de regressão

Depois de confirmar um achado, converta o caso com falha em um teste permanente na sua própria suíte. O skill wycheproof é mais valioso quando produz uma trilha de auditoria de segurança durável: qual vetor falhou, por que falhou e qual condição deve ser imposta nas próximas versões.