关于 performing-cryptographic-audit-of-application
用于审查应用加密实践的技能，通过自动扫描 Python 代码和配置文件，检查算法、密钥、TLS 设置及密钥管理，面向安全团队和审计人员。
主要功能
- 01检测已弃用的加密算法
- 02标记不安全的加密模式与填充
- 03查找硬编码密钥和密码
- 04检查 TLS 与 KDF 设置
- 05检查随机数并整理审计发现
适用场景
- 01审计 Python 应用及其配置
- 02在测试环境验证加密控制
- 03整理含严重性和修复建议的发现
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/performing-cryptographic-audit-of-application确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEassets/template.mdreferences/api-reference.mdstandards.mdworkflows.mdscripts/agent.pyprocess.py详细介绍
对应用程序进行密码学审计
概述
密码学审计会系统性地审查应用程序对密码学原语、协议和密钥管理的使用情况，以识别弱算法、不安全模式、硬编码密钥、熵不足以及协议错误配置等漏洞。本技能涵盖构建一个自动化密码学审计工具，用于扫描 Python 和配置文件中的常见密码学弱点。
何时使用
- 在进行涉及对应用程序进行密码学审计的安全评估时
- 在遵循相关安全事件的事件响应流程时
- 在执行计划内的安全测试或审计活动时
- 在通过动手测试验证安全控制措施时
先决条件
- 熟悉密码学概念和工具
- 可访问用于安全执行的测试或实验环境
- Python 3.8+ 并已安装所需依赖项
- 对任何测试活动具有适当授权
目标
- 检测已弃用算法的使用（MD5、SHA-1、DES、RC4）
- 识别不安全的密码模式（ECB）和填充方案
- 在源代码中查找硬编码密钥、密码和机密
- 验证 TLS/SSL 配置强度
- 检查密钥派生函数参数
- 验证随机数生成器的使用
- 生成包含发现项和修复建议的结构化审计报告
关键概念
密码学弱点类别
| 类别 | 示例 | 风险等级 |
|---|---|---|
| 弱哈希 | 用于完整性/签名的 MD5、SHA-1 | 高 |
| 不安全加密 | DES、3DES、RC4、Blowfish | 高 |
| 不良密码模式 | 任何分组密码的 ECB 模式 | 高 |
| 密钥长度不足 | RSA < 2048、用于长期用途的 AES-128 | 中 |
| 硬编码机密 | 源代码中的密钥/密码 | 严重 |
| 弱 KDF | 低迭代次数的 PBKDF2、纯 MD5 | 高 |
| 熵不足 | 基于时间的种子、可预测的 IV | 高 |
| 已弃用协议 | SSLv3、TLS 1.0、TLS 1.1 | 高 |
安全注意事项
- 同时审查应用程序代码和配置文件
- 检查第三方依赖项是否存在已知密码学漏洞
- 验证已部署服务器上的证书和 TLS 配置
- 确保机密从环境变量或保险库加载
- 审查密钥存储和轮换实践
验证标准
- 扫描器检测到所有注入的测试弱点
- 用于安全目的的 MD5/SHA-1 使用被标记
- ECB 模式的使用被标记
- 检测到硬编码密钥/密码
- 识别出弱 KDF 参数
- 报告包含严重性、位置和修复建议
- 误报率低于 10%
评论
支持 Markdown