zeroize-audit

zeroize-audit 快速入门

Trail of Bits 出品的”敏感数据清零”审计 Skill,确保密钥、密码、个人信息在内存中用完后真的被擦除,不留痕迹。

🏷️ 标签说明

• 免费: 核心功能完全免费，无强制付费墙
• 安全: 聚焦安全审计、漏洞检测和安全测试
• 代码审查: 提供 AI 驱动的代码审查和质量分析

这是什么?解决什么问题?

zeroize-audit 是 Trail of Bits 14 个 Skill 中专门做”内存清零审计”的那一个。它关注一个密码学/Rust/系统编程里很现实的问题:敏感数据(密钥、密码、token)在内存里用完后,默认值是”留给 GC 自由清理”,但 GC 不保证立即执行,内存快照、core dump、swap、core file 都可能泄漏这些数据。 这个 Skill 扫描你的代码,确保你用了”显式清零”机制(比如 Rust 的 zeroize crate),并把审计标准梳理成检查清单。它特别针对 RustCrypto 实战场景,也覆盖 C/C++ 中的 memset_s、explicit_bzero 等安全函数。 对小白来说,这个 Skill 解决的是”我的密钥在内存里被泄漏了怎么办”的问题。即使你的加密逻辑完全正确,只要密钥在 Ctrl+C 之后还在内存里,攻击者就能拿到。

准备工作

• 支持 Agent:Claude Code(主推)、支持 Skills 协议的 Agent。
• 运行环境:Rust 1.70+(分析 Rust 项目);GCC 12+ 或 Clang 15+(分析 C/C++ 项目,需支持 __attribute__((zero_call_used_regs)))。
• 目标项目:含敏感数据处理的代码,如加密库、认证模块、token 管理。
• 依赖库:zeroize crate(Rust)、libsodium(C)。

3 步快速上手

第 1 步:获取 Skill

git clone https://github.com/trailofbits/skills.git
cp -r skills/zeroize-audit ~/.claude/skills/

第 2 步:在 Claude Code 中扫描

cd your-crypto-project
claude

发起任务:

请用 zeroize-audit Skill 扫描 src/key_manager.rs,确保所有敏感数据(密钥、nonce、token)都使用 zeroize crate 显式清零。

第 3 步:运行时验证

# 启用 zeroize 的零内存特性
RUSTFLAGS="-C overflow-checks=on" cargo build --release
# 跑测试,验证清零后内存值确实是 0
cargo test zeroize_

常见踩坑

1. 用普通 mem::zeroed() 替代 zeroize:mem::zeroed 在某些优化下会被编译器”洗掉”,zeroize crate 有 Zeroize trait 保证不被优化掉。
2. Drop 不调用 zeroize:实现 Drop 时忘了调 self.zeroize(),Skill 会主动提示。
3. String 类型不能用 zeroize 直接清零:String 是堆分配,内部 buffer 复用时残留。Skill 提示用 Zeroizing<String> 包装。
4. 跨 FFI 边界泄漏:Rust 调用 C 函数时如果传了 &[u8],C 端可能做内存副本,Skill 提示注意 C 端清零。
5. core dump 未禁用:生产环境应该 ulimit -c 0,否则程序崩溃时敏感数据落盘。
6. swap 区未加密:即使内存清零,操作系统 swap 可能把页面换出去。Skill 提示生产环境禁用 swap 或加密 swap。

初级用法

• 密钥生命周期审计:每个生成、使用、销毁的密钥都要清零,Skill 给出完整清单。
• token 管理加固:登录 token、refresh token 用完即清。
• 密码处理:用户输入的密码哈希计算后,原始明文 buffer 要清零。

高级玩法

• 敏感日志过滤:确保日志系统不打印密钥/token(配合 security-and-hardening Skill)。
• 常量化策略:把”清零”作为公司代码评审 checklist 必查项。
• 与 constant-time-analysis 联动:两个 Skill 一起用,覆盖密码学代码完整安全属性(时间 + 内存)。

小技巧

• Rust 项目里 Zeroizing<T> 是 RAII 包装,作用域结束自动清零,优先用它。
• 调试时如果用 dbg!() 宏打印密钥,即使代码逻辑清零了,日志里也泄漏了。Skill 提示严格审查日志。
• secrecy crate 提供 Secret<T> 包装,主动防止 Display/Debug 意外输出,配合 zeroize 使用更佳。
• 编译器开 -C opt-level=3 时,zeroize 仍能保证不被优化掉,放心用。
• 关注 zeroize crate 的更新,新版本会跟进编译器优化对抗。

常见问题 FAQ

Q1: 这个 Skill 跟 zeroize-audit 有什么关系?必须装吗? A: Skill 是给 AI Agent 用的”技能包”,能告诉 Agent 怎么按特定规范工作。不是必须装——如果你的项目规模小、要求不高,不装也能用。但装上能让 Agent 输出的质量更高、更符合最佳实践,推荐装。

Q2: 这个 Skill 适合哪些 AI Agent?Cursor?Claude Code?其他? A: zeroize-audit 来自 TrailOfBits,主要面向支持 Skill 机制的 Agent。常见兼容 Agent 包括 Claude Code、Cursor、OpenCode、Windsurf 等。具体兼容性请查 Skill 官方文档。

Q3: 装了这个 Skill 后,会拖慢 Agent 响应吗? A: 会的——Skill 通常会增加 prompt 长度,导致响应变慢、token 消耗增加。但质量提升明显。建议:1) 只装项目必需的 Skill;2) 用 Skill 启动/加载/卸载机制按需加载;3) 定期清理不用的 Skill。

Q4: 怎么验证 Skill 装对了? A: 在 Agent 中输入”列出已加载的 Skill”或类似命令。如果 Skill 出现在列表里,说明装对了。然后用 Skill 跑一个相关任务,看输出是否符合 Skill 规范。

Q5: 这个 Skill 有许可证吗?能商用吗? A: 取决于 zeroize-audit 的许可证。常见许可证包括 MIT(完全自由)、Apache-2.0(自由但有专利条款)、源可用(可看不能用)、GPL(强开源)。商用前请查仓库 LICENSE 文件。

参考链接

• 官方仓库
• 该 Skill 目录
• zeroize crate
• secrecy crate
• RustCrypto 项目
• Trail of Bits 博客
• 内存安全实践