#define NULL ((void *)0)
typedef unsigned long size_t; // Customize by platform.
typedef long intptr_t;
typedef unsigned long uintptr_t;
typedef long scalar_t__; // Either arithmetic or pointer type.
/* By default, we understand bool (as a convenience). */
typedef int bool;
#define false 0
#define true 1

/* Forward declarations */

/* Type definitions */

/* Variables and functions */
int /*<<< orphan*/ add(unsigned int *, unsigned int *);
int /*<<< orphan*/ freeze(unsigned int *);
int /*<<< orphan*/ mulmod(unsigned int *, unsigned int *);
int crypto_onetimeauth(unsigned char *out, const unsigned char *in,
                       unsigned long long inlen, const unsigned char *k) {
  unsigned int j;
  unsigned int r[17];
  unsigned int h[17];
  unsigned int c[17];
  r[0] = k[0];
  r[1] = k[1];
  r[2] = k[2];
  r[3] = k[3] & 15;
  r[4] = k[4] & 252;
  r[5] = k[5];
  r[6] = k[6];
  r[7] = k[7] & 15;
  r[8] = k[8] & 252;
  r[9] = k[9];
  r[10] = k[10];
  r[11] = k[11] & 15;
  r[12] = k[12] & 252;
  r[13] = k[13];
  r[14] = k[14];
  r[15] = k[15] & 15;
  r[16] = 0;
  for (j = 0; j < 17; ++j)
    h[j] = 0;
  while (inlen > 0) {
    for (j = 0; j < 17; ++j)
      c[j] = 0;
    for (j = 0; (j < 16) && (j < inlen); ++j)
      c[j] = in[j];
    c[j] = 1;
    in += j;
    inlen -= j;
    add(h, c);
    mulmod(h, r);
  }
  freeze(h);
  for (j = 0; j < 16; ++j)
    c[j] = k[j + 16];
  c[16] = 0;
  add(h, c);
  for (j = 0; j < 16; ++j)
    out[j] = h[j];
  return 0;
}


x86 assembly (clang, -O0):
<crypto_onetimeauth>:
push   %rbp
mov    %rsp,%rbp
sub    $0x120,%rsp
mov    %rdi,-0x8(%rbp)
mov    %rsi,-0x10(%rbp)
mov    %rdx,-0x18(%rbp)
mov    %rcx,-0x20(%rbp)
mov    -0x20(%rbp),%rax
movzbl (%rax),%eax
mov    %eax,-0x70(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0x1(%rax),%eax
mov    %eax,-0x6c(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0x2(%rax),%eax
mov    %eax,-0x68(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0x3(%rax),%eax
and    $0xf,%eax
mov    %eax,-0x64(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0x4(%rax),%eax
and    $0xfc,%eax
mov    %eax,-0x60(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0x5(%rax),%eax
mov    %eax,-0x5c(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0x6(%rax),%eax
mov    %eax,-0x58(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0x7(%rax),%eax
and    $0xf,%eax
mov    %eax,-0x54(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0x8(%rax),%eax
and    $0xfc,%eax
mov    %eax,-0x50(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0x9(%rax),%eax
mov    %eax,-0x4c(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0xa(%rax),%eax
mov    %eax,-0x48(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0xb(%rax),%eax
and    $0xf,%eax
mov    %eax,-0x44(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0xc(%rax),%eax
and    $0xfc,%eax
mov    %eax,-0x40(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0xd(%rax),%eax
mov    %eax,-0x3c(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0xe(%rax),%eax
mov    %eax,-0x38(%rbp)
mov    -0x20(%rbp),%rax
movzbl 0xf(%rax),%eax
and    $0xf,%eax
mov    %eax,-0x34(%rbp)
movl   $0x0,-0x30(%rbp)
movl   $0x0,-0x24(%rbp)
cmpl   $0x11,-0x24(%rbp)
jae    1249 <crypto_onetimeauth+0x119>
mov    -0x24(%rbp),%eax
movl   $0x0,-0xc0(%rbp,%rax,4)
mov    -0x24(%rbp),%eax
add    $0x1,%eax
mov    %eax,-0x24(%rbp)
jmp    1223 <crypto_onetimeauth+0xf3>
jmp    124e <crypto_onetimeauth+0x11e>
cmpq   $0x0,-0x18(%rbp)
jbe    133b <crypto_onetimeauth+0x20b>
movl   $0x0,-0x24(%rbp)
cmpl   $0x11,-0x24(%rbp)
jae    1286 <crypto_onetimeauth+0x156>
mov    -0x24(%rbp),%eax
movl   $0x0,-0x110(%rbp,%rax,4)
mov    -0x24(%rbp),%eax
add    $0x1,%eax
mov    %eax,-0x24(%rbp)
jmp    1260 <crypto_onetimeauth+0x130>
movl   $0x0,-0x24(%rbp)
xor    %eax,%eax
cmpl   $0x10,-0x24(%rbp)
mov    %al,-0x111(%rbp)
jae    12af <crypto_onetimeauth+0x17f>
mov    -0x24(%rbp),%eax
cmp    -0x18(%rbp),%rax
setb   %al
mov    %al,-0x111(%rbp)
mov    -0x111(%rbp),%al
test   $0x1,%al
jne    12c2 <crypto_onetimeauth+0x192>
jmp    12e5 <crypto_onetimeauth+0x1b5>
mov    -0x10(%rbp),%rax
mov    -0x24(%rbp),%ecx
movzbl (%rax,%rcx,1),%ecx
mov    -0x24(%rbp),%eax
mov    %ecx,-0x110(%rbp,%rax,4)
mov    -0x24(%rbp),%eax
add    $0x1,%eax
mov    %eax,-0x24(%rbp)
jmp    128d <crypto_onetimeauth+0x15d>
mov    -0x24(%rbp),%eax
movl   $0x1,-0x110(%rbp,%rax,4)
mov    -0x24(%rbp),%ecx
mov    -0x10(%rbp),%rax
mov    %ecx,%ecx
add    %rcx,%rax
mov    %rax,-0x10(%rbp)
mov    -0x24(%rbp),%eax
mov    %eax,%ecx
mov    -0x18(%rbp),%rax
sub    %rcx,%rax
mov    %rax,-0x18(%rbp)
lea    -0xc0(%rbp),%rdi
lea    -0x110(%rbp),%rsi
call   1030 <add@plt>
lea    -0xc0(%rbp),%rdi
lea    -0x70(%rbp),%rsi
call   1040 <mulmod@plt>
jmp    124e <crypto_onetimeauth+0x11e>
lea    -0xc0(%rbp),%rdi
call   1050 <freeze@plt>
movl   $0x0,-0x24(%rbp)
cmpl   $0x10,-0x24(%rbp)
jae    1380 <crypto_onetimeauth+0x250>
mov    -0x20(%rbp),%rax
mov    -0x24(%rbp),%ecx
add    $0x10,%ecx
mov    %ecx,%ecx
movzbl (%rax,%rcx,1),%ecx
mov    -0x24(%rbp),%eax
mov    %ecx,-0x110(%rbp,%rax,4)
mov    -0x24(%rbp),%eax
add    $0x1,%eax
mov    %eax,-0x24(%rbp)
jmp    134e <crypto_onetimeauth+0x21e>
movl   $0x0,-0xd0(%rbp)
lea    -0xc0(%rbp),%rdi
lea    -0x110(%rbp),%rsi
call   1030 <add@plt>
movl   $0x0,-0x24(%rbp)
cmpl   $0x10,-0x24(%rbp)
jae    13d2 <crypto_onetimeauth+0x2a2>
mov    -0x24(%rbp),%eax
mov    -0xc0(%rbp,%rax,4),%eax
mov    %al,%dl
mov    -0x8(%rbp),%rax
mov    -0x24(%rbp),%ecx
mov    %dl,(%rax,%rcx,1)
mov    -0x24(%rbp),%eax
add    $0x1,%eax
mov    %eax,-0x24(%rbp)
jmp    13a4 <crypto_onetimeauth+0x274>
xor    %eax,%eax
add    $0x120,%rsp
pop    %rbp
ret

x86 assembly (clang, -O2):
<crypto_onetimeauth>:
push   %rbp
push   %r15
push   %r14
push   %r13
push   %r12
push   %rbx
sub    $0xe8,%rsp
mov    %rcx,%r15
mov    %rdi,0x98(%rsp)
movzbl (%rcx),%eax
mov    %eax,0x50(%rsp)
movzbl 0x1(%rcx),%eax
mov    %eax,0x54(%rsp)
movzbl 0x2(%rcx),%eax
mov    %eax,0x58(%rsp)
movzbl 0x3(%rcx),%eax
and    $0xf,%eax
mov    %eax,0x5c(%rsp)
movzbl 0x4(%rcx),%eax
and    $0xfffffffc,%eax
mov    %eax,0x60(%rsp)
movzbl 0x5(%rcx),%eax
mov    %eax,0x64(%rsp)
movzbl 0x6(%rcx),%eax
mov    %eax,0x68(%rsp)
movzbl 0x7(%rcx),%eax
and    $0xf,%eax
mov    %eax,0x6c(%rsp)
movzbl 0x8(%rcx),%eax
and    $0xfffffffc,%eax
mov    %eax,0x70(%rsp)
movzbl 0x9(%rcx),%eax
mov    %eax,0x74(%rsp)
movzbl 0xa(%rcx),%eax
mov    %eax,0x78(%rsp)
movzbl 0xb(%rcx),%eax
and    $0xf,%eax
mov    %eax,0x7c(%rsp)
movzbl 0xc(%rcx),%eax
and    $0xfffffffc,%eax
mov    %eax,0x80(%rsp)
movzbl 0xd(%rcx),%eax
mov    %eax,0x84(%rsp)
movzbl 0xe(%rcx),%eax
mov    %eax,0x88(%rsp)
movzbl 0xf(%rcx),%eax
and    $0xf,%eax
mov    %eax,0x8c(%rsp)
movl   $0x0,0x90(%rsp)
pxor   %xmm0,%xmm0
movdqa %xmm0,0xa0(%rsp)
movdqa %xmm0,0xb0(%rsp)
movdqa %xmm0,0xc0(%rsp)
movdqa %xmm0,0xd0(%rsp)
movl   $0x0,0xe0(%rsp)
test   %rdx,%rdx
je     13d2 <crypto_onetimeauth+0x2a2>
mov    %rdx,%r12
mov    %rsi,%rbx
lea    0xa0(%rsp),%r13
lea    0x50(%rsp),%r14
jmp    1279 <crypto_onetimeauth+0x149>
nopl   0x0(%rax,%rax,1)
movl   $0x1,(%rsp,%rbp,4)
add    %rbp,%rbx
mov    %r13,%rdi
mov    %rsp,%rsi
call   1030 <add@plt>
mov    %r13,%rdi
mov    %r14,%rsi
call   1040 <mulmod@plt>
sub    %rbp,%r12
je     13d2 <crypto_onetimeauth+0x2a2>
pxor   %xmm1,%xmm1
movdqa %xmm1,0x30(%rsp)
movdqa %xmm1,0x20(%rsp)
movdqa %xmm1,0x10(%rsp)
movdqa %xmm1,(%rsp)
movl   $0x0,0x40(%rsp)
cmp    $0x2,%r12
mov    $0x1,%eax
cmovae %r12,%rax
add    $0xffffffffffffffff,%rax
cmp    $0xf,%rax
mov    $0xf,%ecx
cmovae %rcx,%rax
cmp    $0x3,%rax
jae    12d0 <crypto_onetimeauth+0x1a0>
xor    %ebp,%ebp
jmp    13b0 <crypto_onetimeauth+0x280>
nopw   0x0(%rax,%rax,1)
add    $0x1,%rax
mov    %eax,%ebp
and    $0x1c,%ebp
lea    -0x4(%rbp),%rdx
mov    %rdx,%rsi
shr    $0x2,%rsi
add    $0x1,%rsi
mov    %esi,%ecx
and    $0x3,%ecx
cmp    $0xc,%rdx
jae    1300 <crypto_onetimeauth+0x1d0>
xor    %edx,%edx
jmp    1368 <crypto_onetimeauth+0x238>
nopw   0x0(%rax,%rax,1)
and    $0xfffffffffffffffc,%rsi
xor    %edx,%edx
cs nopw 0x0(%rax,%rax,1)
movd   (%rbx,%rdx,1),%xmm0
punpcklbw %xmm1,%xmm0
punpcklwd %xmm1,%xmm0
movdqa %xmm0,(%rsp,%rdx,4)
movd   0x4(%rbx,%rdx,1),%xmm0
punpcklbw %xmm1,%xmm0
punpcklwd %xmm1,%xmm0
movdqa %xmm0,0x10(%rsp,%rdx,4)
movd   0x8(%rbx,%rdx,1),%xmm0
punpcklbw %xmm1,%xmm0
punpcklwd %xmm1,%xmm0
movdqa %xmm0,0x20(%rsp,%rdx,4)
movd   0xc(%rbx,%rdx,1),%xmm0
punpcklbw %xmm1,%xmm0
punpcklwd %xmm1,%xmm0
movdqa %xmm0,0x30(%rsp,%rdx,4)
add    $0x10,%rdx
add    $0xfffffffffffffffc,%rsi
jne    1310 <crypto_onetimeauth+0x1e0>
test   %rcx,%rcx
je     139b <crypto_onetimeauth+0x26b>
lea    (%rsp,%rdx,4),%rsi
add    %rbx,%rdx
shl    $0x2,%rcx
xor    %edi,%edi
nopw   0x0(%rax,%rax,1)
movd   (%rdx,%rdi,1),%xmm0
punpcklbw %xmm1,%xmm0
punpcklwd %xmm1,%xmm0
movdqa %xmm0,(%rsi,%rdi,4)
add    $0x4,%rdi
cmp    %rdi,%rcx
jne    1380 <crypto_onetimeauth+0x250>
cmp    %rbp,%rax
je     1250 <crypto_onetimeauth+0x120>
cs nopw 0x0(%rax,%rax,1)
xchg   %ax,%ax
mov    %rbp,%rax
movzbl (%rbx,%rbp,1),%ecx
mov    %ecx,(%rsp,%rbp,4)
add    $0x1,%rbp
cmp    $0xe,%rax
ja     1250 <crypto_onetimeauth+0x120>
cmp    %rbp,%r12
ja     13b0 <crypto_onetimeauth+0x280>
jmp    1250 <crypto_onetimeauth+0x120>
lea    0xa0(%rsp),%rbx
mov    %rbx,%rdi
call   1050 <freeze@plt>
movd   0x10(%r15),%xmm0
pxor   %xmm1,%xmm1
punpcklbw %xmm1,%xmm0
punpcklwd %xmm1,%xmm0
movdqa %xmm0,(%rsp)
movd   0x14(%r15),%xmm0
punpcklbw %xmm1,%xmm0
punpcklwd %xmm1,%xmm0
movdqa %xmm0,0x10(%rsp)
movd   0x18(%r15),%xmm0
punpcklbw %xmm1,%xmm0
punpcklwd %xmm1,%xmm0
movdqa %xmm0,0x20(%rsp)
movd   0x1c(%r15),%xmm0
punpcklbw %xmm1,%xmm0
punpcklwd %xmm1,%xmm0
movdqa %xmm0,0x30(%rsp)
movl   $0x0,0x40(%rsp)
mov    %rsp,%rsi
mov    %rbx,%rdi
call   1030 <add@plt>
movdqa 0xbb0(%rip),%xmm0
movdqa 0xa0(%rsp),%xmm1
pand   %xmm0,%xmm1
packuswb %xmm1,%xmm1
packuswb %xmm1,%xmm1
mov    0x98(%rsp),%rax
movd   %xmm1,(%rax)
movdqa 0xb0(%rsp),%xmm1
pand   %xmm0,%xmm1
packuswb %xmm1,%xmm1
packuswb %xmm1,%xmm1
movd   %xmm1,0x4(%rax)
movdqa 0xc0(%rsp),%xmm1
pand   %xmm0,%xmm1
packuswb %xmm1,%xmm1
packuswb %xmm1,%xmm1
movd   %xmm1,0x8(%rax)
pand   0xd0(%rsp),%xmm0
packuswb %xmm0,%xmm0
packuswb %xmm0,%xmm0
movd   %xmm0,0xc(%rax)
xor    %eax,%eax
add    $0xe8,%rsp
pop    %rbx
pop    %r12
pop    %r13
pop    %r14
pop    %r15
pop    %rbp
ret

LLVM IR (-O0):
define i32 @crypto_onetimeauth(i8* %0, i8* %1, i64 %2, i8* %3) {
%5 = alloca i8*
%6 = alloca i8*
%7 = alloca i64
%8 = alloca i8*
%9 = alloca i32
%10 = alloca [17 x i32]
%11 = alloca [17 x i32]
%12 = alloca [17 x i32]
store i8* %0, i8** %5
store i8* %1, i8** %6
store i64 %2, i64* %7
store i8* %3, i8** %8
%13 = load i8*, i8** %8
%14 = getelementptr inbounds i8, i8* %13, i64 0
%15 = load i8, i8* %14
%16 = zext i8 %15 to i32
%17 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 0
store i32 %16, i32* %17
%18 = load i8*, i8** %8
%19 = getelementptr inbounds i8, i8* %18, i64 1
%20 = load i8, i8* %19
%21 = zext i8 %20 to i32
%22 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 1
store i32 %21, i32* %22
%23 = load i8*, i8** %8
%24 = getelementptr inbounds i8, i8* %23, i64 2
%25 = load i8, i8* %24
%26 = zext i8 %25 to i32
%27 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 2
store i32 %26, i32* %27
%28 = load i8*, i8** %8
%29 = getelementptr inbounds i8, i8* %28, i64 3
%30 = load i8, i8* %29
%31 = zext i8 %30 to i32
%32 = and i32 %31, 15
%33 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 3
store i32 %32, i32* %33
%34 = load i8*, i8** %8
%35 = getelementptr inbounds i8, i8* %34, i64 4
%36 = load i8, i8* %35
%37 = zext i8 %36 to i32
%38 = and i32 %37, 252
%39 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 4
store i32 %38, i32* %39
%40 = load i8*, i8** %8
%41 = getelementptr inbounds i8, i8* %40, i64 5
%42 = load i8, i8* %41
%43 = zext i8 %42 to i32
%44 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 5
store i32 %43, i32* %44
%45 = load i8*, i8** %8
%46 = getelementptr inbounds i8, i8* %45, i64 6
%47 = load i8, i8* %46
%48 = zext i8 %47 to i32
%49 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 6
store i32 %48, i32* %49
%50 = load i8*, i8** %8
%51 = getelementptr inbounds i8, i8* %50, i64 7
%52 = load i8, i8* %51
%53 = zext i8 %52 to i32
%54 = and i32 %53, 15
%55 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 7
store i32 %54, i32* %55
%56 = load i8*, i8** %8
%57 = getelementptr inbounds i8, i8* %56, i64 8
%58 = load i8, i8* %57
%59 = zext i8 %58 to i32
%60 = and i32 %59, 252
%61 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 8
store i32 %60, i32* %61
%62 = load i8*, i8** %8
%63 = getelementptr inbounds i8, i8* %62, i64 9
%64 = load i8, i8* %63
%65 = zext i8 %64 to i32
%66 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 9
store i32 %65, i32* %66
%67 = load i8*, i8** %8
%68 = getelementptr inbounds i8, i8* %67, i64 10
%69 = load i8, i8* %68
%70 = zext i8 %69 to i32
%71 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 10
store i32 %70, i32* %71
%72 = load i8*, i8** %8
%73 = getelementptr inbounds i8, i8* %72, i64 11
%74 = load i8, i8* %73
%75 = zext i8 %74 to i32
%76 = and i32 %75, 15
%77 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 11
store i32 %76, i32* %77
%78 = load i8*, i8** %8
%79 = getelementptr inbounds i8, i8* %78, i64 12
%80 = load i8, i8* %79
%81 = zext i8 %80 to i32
%82 = and i32 %81, 252
%83 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 12
store i32 %82, i32* %83
%84 = load i8*, i8** %8
%85 = getelementptr inbounds i8, i8* %84, i64 13
%86 = load i8, i8* %85
%87 = zext i8 %86 to i32
%88 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 13
store i32 %87, i32* %88
%89 = load i8*, i8** %8
%90 = getelementptr inbounds i8, i8* %89, i64 14
%91 = load i8, i8* %90
%92 = zext i8 %91 to i32
%93 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 14
store i32 %92, i32* %93
%94 = load i8*, i8** %8
%95 = getelementptr inbounds i8, i8* %94, i64 15
%96 = load i8, i8* %95
%97 = zext i8 %96 to i32
%98 = and i32 %97, 15
%99 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 15
store i32 %98, i32* %99
%100 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 16
store i32 0, i32* %100
store i32 0, i32* %9
br label %101
101: ; preds = %108, %4
%102 = load i32, i32* %9
%103 = icmp ult i32 %102, 17
br i1 %103, label %104, label %111
104: ; preds = %101
%105 = load i32, i32* %9
%106 = zext i32 %105 to i64
%107 = getelementptr inbounds [17 x i32], [17 x i32]* %11, i64 0, i64 %106
store i32 0, i32* %107
br label %108
108: ; preds = %104
%109 = load i32, i32* %9
%110 = add i32 %109, 1
store i32 %110, i32* %9
br label %101
111: ; preds = %101
br label %112
112: ; preds = %150, %111
%113 = load i64, i64* %7
%114 = icmp ugt i64 %113, 0
br i1 %114, label %115, label %168
115: ; preds = %112
store i32 0, i32* %9
br label %116
116: ; preds = %123, %115
%117 = load i32, i32* %9
%118 = icmp ult i32 %117, 17
br i1 %118, label %119, label %126
119: ; preds = %116
%120 = load i32, i32* %9
%121 = zext i32 %120 to i64
%122 = getelementptr inbounds [17 x i32], [17 x i32]* %12, i64 0, i64 %121
store i32 0, i32* %122
br label %123
123: ; preds = %119
%124 = load i32, i32* %9
%125 = add i32 %124, 1
store i32 %125, i32* %9
br label %116
126: ; preds = %116
store i32 0, i32* %9
br label %127
127: ; preds = %147, %126
%128 = load i32, i32* %9
%129 = icmp ult i32 %128, 16
br i1 %129, label %130, label %135
130: ; preds = %127
%131 = load i32, i32* %9
%132 = zext i32 %131 to i64
%133 = load i64, i64* %7
%134 = icmp ult i64 %132, %133
br label %135
135: ; preds = %130, %127
%136 = phi i1 [ false, %127 ], [ %134, %130 ]
br i1 %136, label %137, label %150
137: ; preds = %135
%138 = load i8*, i8** %6
%139 = load i32, i32* %9
%140 = zext i32 %139 to i64
%141 = getelementptr inbounds i8, i8* %138, i64 %140
%142 = load i8, i8* %141
%143 = zext i8 %142 to i32
%144 = load i32, i32* %9
%145 = zext i32 %144 to i64
%146 = getelementptr inbounds [17 x i32], [17 x i32]* %12, i64 0, i64 %145
store i32 %143, i32* %146
br label %147
147: ; preds = %137
%148 = load i32, i32* %9
%149 = add i32 %148, 1
store i32 %149, i32* %9
br label %127
150: ; preds = %135
%151 = load i32, i32* %9
%152 = zext i32 %151 to i64
%153 = getelementptr inbounds [17 x i32], [17 x i32]* %12, i64 0, i64 %152
store i32 1, i32* %153
%154 = load i32, i32* %9
%155 = load i8*, i8** %6
%156 = zext i32 %154 to i64
%157 = getelementptr inbounds i8, i8* %155, i64 %156
store i8* %157, i8** %6
%158 = load i32, i32* %9
%159 = zext i32 %158 to i64
%160 = load i64, i64* %7
%161 = sub i64 %160, %159
store i64 %161, i64* %7
%162 = getelementptr inbounds [17 x i32], [17 x i32]* %11, i64 0, i64 0
%163 = getelementptr inbounds [17 x i32], [17 x i32]* %12, i64 0, i64 0
%164 = call i32 @add(i32* %162, i32* %163)
%165 = getelementptr inbounds [17 x i32], [17 x i32]* %11, i64 0, i64 0
%166 = getelementptr inbounds [17 x i32], [17 x i32]* %10, i64 0, i64 0
%167 = call i32 @mulmod(i32* %165, i32* %166)
br label %112
168: ; preds = %112
%169 = getelementptr inbounds [17 x i32], [17 x i32]* %11, i64 0, i64 0
%170 = call i32 @freeze(i32* %169)
store i32 0, i32* %9
br label %171
171: ; preds = %185, %168
%172 = load i32, i32* %9
%173 = icmp ult i32 %172, 16
br i1 %173, label %174, label %188
174: ; preds = %171
%175 = load i8*, i8** %8
%176 = load i32, i32* %9
%177 = add i32 %176, 16
%178 = zext i32 %177 to i64
%179 = getelementptr inbounds i8, i8* %175, i64 %178
%180 = load i8, i8* %179
%181 = zext i8 %180 to i32
%182 = load i32, i32* %9
%183 = zext i32 %182 to i64
%184 = getelementptr inbounds [17 x i32], [17 x i32]* %12, i64 0, i64 %183
store i32 %181, i32* %184
br label %185
185: ; preds = %174
%186 = load i32, i32* %9
%187 = add i32 %186, 1
store i32 %187, i32* %9
br label %171
188: ; preds = %171
%189 = getelementptr inbounds [17 x i32], [17 x i32]* %12, i64 0, i64 16
store i32 0, i32* %189
%190 = getelementptr inbounds [17 x i32], [17 x i32]* %11, i64 0, i64 0
%191 = getelementptr inbounds [17 x i32], [17 x i32]* %12, i64 0, i64 0
%192 = call i32 @add(i32* %190, i32* %191)
store i32 0, i32* %9
br label %193
193: ; preds = %206, %188
%194 = load i32, i32* %9
%195 = icmp ult i32 %194, 16
br i1 %195, label %196, label %209
196: ; preds = %193
%197 = load i32, i32* %9
%198 = zext i32 %197 to i64
%199 = getelementptr inbounds [17 x i32], [17 x i32]* %11, i64 0, i64 %198
%200 = load i32, i32* %199
%201 = trunc i32 %200 to i8
%202 = load i8*, i8** %5
%203 = load i32, i32* %9
%204 = zext i32 %203 to i64
%205 = getelementptr inbounds i8, i8* %202, i64 %204
store i8 %201, i8* %205
br label %206
206: ; preds = %196
%207 = load i32, i32* %9
%208 = add i32 %207, 1
store i32 %208, i32* %9
br label %193
209: ; preds = %193
ret i32 0
}

LLVM IR (-O2):
define i32 @crypto_onetimeauth(i8* nocapture writeonly %0, i8* nocapture %1, i64 %2, i8* nocapture %3) {
%5 = alloca [17 x i32]
%6 = alloca [17 x i32]
%7 = bitcast [17 x i32]* %6 to i8*
%8 = alloca [17 x i32]
%9 = bitcast [17 x i32]* %8 to i8*
%10 = bitcast [17 x i32]* %5 to i8*
%11 = load i8, i8* %3
%12 = zext i8 %11 to i32
%13 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 0
store i32 %12, i32* %13
%14 = getelementptr inbounds i8, i8* %3, i64 1
%15 = load i8, i8* %14
%16 = zext i8 %15 to i32
%17 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 1
store i32 %16, i32* %17
%18 = getelementptr inbounds i8, i8* %3, i64 2
%19 = load i8, i8* %18
%20 = zext i8 %19 to i32
%21 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 2
store i32 %20, i32* %21
%22 = getelementptr inbounds i8, i8* %3, i64 3
%23 = load i8, i8* %22
%24 = and i8 %23, 15
%25 = zext i8 %24 to i32
%26 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 3
store i32 %25, i32* %26
%27 = getelementptr inbounds i8, i8* %3, i64 4
%28 = load i8, i8* %27
%29 = and i8 %28, -4
%30 = zext i8 %29 to i32
%31 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 4
store i32 %30, i32* %31
%32 = getelementptr inbounds i8, i8* %3, i64 5
%33 = load i8, i8* %32
%34 = zext i8 %33 to i32
%35 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 5
store i32 %34, i32* %35
%36 = getelementptr inbounds i8, i8* %3, i64 6
%37 = load i8, i8* %36
%38 = zext i8 %37 to i32
%39 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 6
store i32 %38, i32* %39
%40 = getelementptr inbounds i8, i8* %3, i64 7
%41 = load i8, i8* %40
%42 = and i8 %41, 15
%43 = zext i8 %42 to i32
%44 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 7
store i32 %43, i32* %44
%45 = getelementptr inbounds i8, i8* %3, i64 8
%46 = load i8, i8* %45
%47 = and i8 %46, -4
%48 = zext i8 %47 to i32
%49 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 8
store i32 %48, i32* %49
%50 = getelementptr inbounds i8, i8* %3, i64 9
%51 = load i8, i8* %50
%52 = zext i8 %51 to i32
%53 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 9
store i32 %52, i32* %53
%54 = getelementptr inbounds i8, i8* %3, i64 10
%55 = load i8, i8* %54
%56 = zext i8 %55 to i32
%57 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 10
store i32 %56, i32* %57
%58 = getelementptr inbounds i8, i8* %3, i64 11
%59 = load i8, i8* %58
%60 = and i8 %59, 15
%61 = zext i8 %60 to i32
%62 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 11
store i32 %61, i32* %62
%63 = getelementptr inbounds i8, i8* %3, i64 12
%64 = load i8, i8* %63
%65 = and i8 %64, -4
%66 = zext i8 %65 to i32
%67 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 12
store i32 %66, i32* %67
%68 = getelementptr inbounds i8, i8* %3, i64 13
%69 = load i8, i8* %68
%70 = zext i8 %69 to i32
%71 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 13
store i32 %70, i32* %71
%72 = getelementptr inbounds i8, i8* %3, i64 14
%73 = load i8, i8* %72
%74 = zext i8 %73 to i32
%75 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 14
store i32 %74, i32* %75
%76 = getelementptr inbounds i8, i8* %3, i64 15
%77 = load i8, i8* %76
%78 = and i8 %77, 15
%79 = zext i8 %78 to i32
%80 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 15
store i32 %79, i32* %80
%81 = getelementptr inbounds [17 x i32], [17 x i32]* %5, i64 0, i64 16
store i32 0, i32* %81
%82 = icmp eq i64 %2, 0
br i1 %82, label %173, label %83
83: ; preds = %4
%84 = getelementptr inbounds [17 x i32], [17 x i32]* %6, i64 0, i64 0
%85 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 0
br label %86
86: ; preds = %83, %165
%87 = phi i8* [ %1, %83 ], [ %168, %165 ]
%88 = phi i64 [ %2, %83 ], [ %169, %165 ]
%89 = call i64 @llvm.umax.i64(i64 %88, i64 1)
%90 = add i64 %89, -1
%91 = call i64 @llvm.umin.i64(i64 %90, i64 15)
%92 = add nuw nsw i64 %91, 1
%93 = icmp ult i64 %91, 3
br i1 %93, label %153, label %94
94: ; preds = %86
%95 = and i64 %92, 28
%96 = add nsw i64 %95, -4
%97 = lshr exact i64 %96, 2
%98 = add nuw nsw i64 %97, 1
%99 = and i64 %98, 3
%100 = icmp ult i64 %96, 12
br i1 %100, label %136, label %101
101: ; preds = %94
%102 = and i64 %98, 9223372036854775804
br label %103
103: ; preds = %103, %101
%104 = phi i64 [ 0, %101 ], [ %133, %103 ]
%105 = phi i64 [ 0, %101 ], [ %134, %103 ]
%106 = getelementptr inbounds i8, i8* %87, i64 %104
%107 = bitcast i8* %106 to <4 x i8>*
%108 = load <4 x i8>, <4 x i8>* %107
%109 = zext <4 x i8> %108 to <4 x i32>
%110 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 %104
%111 = bitcast i32* %110 to <4 x i32>*
store <4 x i32> %109, <4 x i32>* %111
%112 = or i64 %104, 4
%113 = getelementptr inbounds i8, i8* %87, i64 %112
%114 = bitcast i8* %113 to <4 x i8>*
%115 = load <4 x i8>, <4 x i8>* %114
%116 = zext <4 x i8> %115 to <4 x i32>
%117 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 %112
%118 = bitcast i32* %117 to <4 x i32>*
store <4 x i32> %116, <4 x i32>* %118
%119 = or i64 %104, 8
%120 = getelementptr inbounds i8, i8* %87, i64 %119
%121 = bitcast i8* %120 to <4 x i8>*
%122 = load <4 x i8>, <4 x i8>* %121
%123 = zext <4 x i8> %122 to <4 x i32>
%124 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 %119
%125 = bitcast i32* %124 to <4 x i32>*
store <4 x i32> %123, <4 x i32>* %125
%126 = or i64 %104, 12
%127 = getelementptr inbounds i8, i8* %87, i64 %126
%128 = bitcast i8* %127 to <4 x i8>*
%129 = load <4 x i8>, <4 x i8>* %128
%130 = zext <4 x i8> %129 to <4 x i32>
%131 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 %126
%132 = bitcast i32* %131 to <4 x i32>*
store <4 x i32> %130, <4 x i32>* %132
%133 = add nuw i64 %104, 16
%134 = add nuw i64 %105, 4
%135 = icmp eq i64 %134, %102
br i1 %135, label %136, label %103
136: ; preds = %103, %94
%137 = phi i64 [ 0, %94 ], [ %133, %103 ]
%138 = icmp eq i64 %99, 0
br i1 %138, label %151, label %139
139: ; preds = %136, %139
%140 = phi i64 [ %148, %139 ], [ %137, %136 ]
%141 = phi i64 [ %149, %139 ], [ 0, %136 ]
%142 = getelementptr inbounds i8, i8* %87, i64 %140
%143 = bitcast i8* %142 to <4 x i8>*
%144 = load <4 x i8>, <4 x i8>* %143
%145 = zext <4 x i8> %144 to <4 x i32>
%146 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 %140
%147 = bitcast i32* %146 to <4 x i32>*
store <4 x i32> %145, <4 x i32>* %147
%148 = add nuw i64 %140, 4
%149 = add i64 %141, 1
%150 = icmp eq i64 %149, %99
br i1 %150, label %151, label %139
151: ; preds = %139, %136
%152 = icmp eq i64 %92, %95
br i1 %152, label %165, label %153
153: ; preds = %86, %151
%154 = phi i64 [ 0, %86 ], [ %95, %151 ]
br label %155
155: ; preds = %153, %155
%156 = phi i64 [ %161, %155 ], [ %154, %153 ]
%157 = getelementptr inbounds i8, i8* %87, i64 %156
%158 = load i8, i8* %157
%159 = zext i8 %158 to i32
%160 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 %156
store i32 %159, i32* %160
%161 = add nuw nsw i64 %156, 1
%162 = icmp ult i64 %156, 15
%163 = icmp ugt i64 %88, %161
%164 = select i1 %162, i1 %163, i1 false
br i1 %164, label %155, label %165
165: ; preds = %155, %151
%166 = phi i64 [ %95, %151 ], [ %161, %155 ]
%167 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 %166
store i32 1, i32* %167
%168 = getelementptr inbounds i8, i8* %87, i64 %166
%169 = sub i64 %88, %166
%170 = call i32 @add(i32* %84, i32* %85)
%171 = call i32 @mulmod(i32* %84, i32* %13)
%172 = icmp eq i64 %169, 0
br i1 %172, label %173, label %86
173: ; preds = %165, %4
%174 = getelementptr inbounds [17 x i32], [17 x i32]* %6, i64 0, i64 0
%175 = call i32 @freeze(i32* %174)
%176 = getelementptr inbounds i8, i8* %3, i64 16
%177 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 0
%178 = bitcast i8* %176 to <4 x i8>*
%179 = load <4 x i8>, <4 x i8>* %178
%180 = zext <4 x i8> %179 to <4 x i32>
%181 = bitcast [17 x i32]* %8 to <4 x i32>*
store <4 x i32> %180, <4 x i32>* %181
%182 = getelementptr inbounds i8, i8* %3, i64 20
%183 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 4
%184 = bitcast i8* %182 to <4 x i8>*
%185 = load <4 x i8>, <4 x i8>* %184
%186 = zext <4 x i8> %185 to <4 x i32>
%187 = bitcast i32* %183 to <4 x i32>*
store <4 x i32> %186, <4 x i32>* %187
%188 = getelementptr inbounds i8, i8* %3, i64 24
%189 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 8
%190 = bitcast i8* %188 to <4 x i8>*
%191 = load <4 x i8>, <4 x i8>* %190
%192 = zext <4 x i8> %191 to <4 x i32>
%193 = bitcast i32* %189 to <4 x i32>*
store <4 x i32> %192, <4 x i32>* %193
%194 = getelementptr inbounds i8, i8* %3, i64 28
%195 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 12
%196 = bitcast i8* %194 to <4 x i8>*
%197 = load <4 x i8>, <4 x i8>* %196
%198 = zext <4 x i8> %197 to <4 x i32>
%199 = bitcast i32* %195 to <4 x i32>*
store <4 x i32> %198, <4 x i32>* %199
%200 = getelementptr inbounds [17 x i32], [17 x i32]* %8, i64 0, i64 16
store i32 0, i32* %200
%201 = call i32 @add(i32* %174, i32* %177)
%202 = bitcast [17 x i32]* %6 to <4 x i32>*
%203 = load <4 x i32>, <4 x i32>* %202
%204 = trunc <4 x i32> %203 to <4 x i8>
%205 = bitcast i8* %0 to <4 x i8>*
store <4 x i8> %204, <4 x i8>* %205
%206 = getelementptr inbounds [17 x i32], [17 x i32]* %6, i64 0, i64 4
%207 = getelementptr inbounds i8, i8* %0, i64 4
%208 = bitcast i32* %206 to <4 x i32>*
%209 = load <4 x i32>, <4 x i32>* %208
%210 = trunc <4 x i32> %209 to <4 x i8>
%211 = bitcast i8* %207 to <4 x i8>*
store <4 x i8> %210, <4 x i8>* %211
%212 = getelementptr inbounds [17 x i32], [17 x i32]* %6, i64 0, i64 8
%213 = getelementptr inbounds i8, i8* %0, i64 8
%214 = bitcast i32* %212 to <4 x i32>*
%215 = load <4 x i32>, <4 x i32>* %214
%216 = trunc <4 x i32> %215 to <4 x i8>
%217 = bitcast i8* %213 to <4 x i8>*
store <4 x i8> %216, <4 x i8>* %217
%218 = getelementptr inbounds [17 x i32], [17 x i32]* %6, i64 0, i64 12
%219 = getelementptr inbounds i8, i8* %0, i64 12
%220 = bitcast i32* %218 to <4 x i32>*
%221 = load <4 x i32>, <4 x i32>* %220
%222 = trunc <4 x i32> %221 to <4 x i8>
%223 = bitcast i8* %219 to <4 x i8>*
store <4 x i8> %222, <4 x i8>* %223
ret i32 0
}