int crypto_kem_sntrup761x25519_tinynacl_keypair(unsigned char *pk,
                                                unsigned char *sk) {
  int r = 0;
  long long i;
  unsigned char b;
  r |= crypto_kem_sntrup761_tinynacl_keypair(pk, sk);
  randombytes(sk + 1763, 32);
  r |= crypto_scalarmult_curve25519_tinynacl_base(pk + 1158, sk + 1763);
  b = ~returnmask(r);
  for (i = 0; i < 1158 + 32; ++i)
    pk[i] &= b;
  for (i = 0; i < 1763 + 32; ++i)
    sk[i] &= b;
  return r;
}


x86 assembly (clang, -O0):
<crypto_kem_sntrup761x25519_tinynacl_keypair>:
push   %rbp
mov    %rsp,%rbp
sub    $0x30,%rsp
mov    %rdi,-0x8(%rbp)
mov    %rsi,-0x10(%rbp)
movl   $0x0,-0x14(%rbp)
mov    -0x8(%rbp),%rdi
mov    -0x10(%rbp),%rsi
mov    $0x0,%al
call   1030 <crypto_kem_sntrup761_tinynacl_keypair@plt>
or     -0x14(%rbp),%eax
mov    %eax,-0x14(%rbp)
mov    -0x10(%rbp),%rdi
add    $0x6e3,%rdi
mov    $0x20,%esi
mov    $0x0,%al
call   1040 <randombytes@plt>
mov    -0x8(%rbp),%rdi
add    $0x486,%rdi
mov    -0x10(%rbp),%rsi
add    $0x6e3,%rsi
mov    $0x0,%al
call   1060 <crypto_scalarmult_curve25519_tinynacl_base@plt>
or     -0x14(%rbp),%eax
mov    %eax,-0x14(%rbp)
mov    -0x14(%rbp),%edi
mov    $0x0,%al
call   1050 <returnmask@plt>
xor    $0xffffffff,%eax
mov    %al,-0x21(%rbp)
movq   $0x0,-0x20(%rbp)
cmpq   $0x4a6,-0x20(%rbp)
jge    11f2 <crypto_kem_sntrup761x25519_tinynacl_keypair+0xb2>
movzbl -0x21(%rbp),%esi
mov    -0x8(%rbp),%rax
mov    -0x20(%rbp),%rcx
movzbl (%rax,%rcx,1),%edx
and    %esi,%edx
mov    %dl,(%rax,%rcx,1)
mov    -0x20(%rbp),%rax
add    $0x1,%rax
mov    %rax,-0x20(%rbp)
jmp    11be <crypto_kem_sntrup761x25519_tinynacl_keypair+0x7e>
movq   $0x0,-0x20(%rbp)
cmpq   $0x703,-0x20(%rbp)
jge    122e <crypto_kem_sntrup761x25519_tinynacl_keypair+0xee>
movzbl -0x21(%rbp),%esi
mov    -0x10(%rbp),%rax
mov    -0x20(%rbp),%rcx
movzbl (%rax,%rcx,1),%edx
and    %esi,%edx
mov    %dl,(%rax,%rcx,1)
mov    -0x20(%rbp),%rax
add    $0x1,%rax
mov    %rax,-0x20(%rbp)
jmp    11fa <crypto_kem_sntrup761x25519_tinynacl_keypair+0xba>
mov    -0x14(%rbp),%eax
add    $0x30,%rsp
pop    %rbp
ret

x86 assembly (clang, -O2):
<crypto_kem_sntrup761x25519_tinynacl_keypair>:
push   %rbp
push   %r15
push   %r14
push   %rbx
push   %rax
mov    %rsi,%rbx
mov    %rdi,%rbp
xor    %eax,%eax
call   1030 <crypto_kem_sntrup761_tinynacl_keypair@plt>
mov    %eax,%r15d
lea    0x6e3(%rbx),%r14
mov    %r14,%rdi
mov    $0x20,%esi
xor    %eax,%eax
call   1040 <randombytes@plt>
lea    0x486(%rbp),%rdi
mov    %r14,%rsi
xor    %eax,%eax
call   1060 <crypto_scalarmult_curve25519_tinynacl_base@plt>
mov    %eax,%r14d
or     %r15d,%r14d
mov    %r14d,%edi
xor    %eax,%eax
call   1050 <returnmask@plt>
not    %al
movzbl %al,%ecx
movd   %ecx,%xmm0
punpcklbw %xmm0,%xmm0
pshuflw $0x0,%xmm0,%xmm0
pshufd $0x0,%xmm0,%xmm0
mov    $0x30,%ecx
nopw   0x0(%rax,%rax,1)
movdqu -0x30(%rbp,%rcx,1),%xmm1
movdqu -0x20(%rbp,%rcx,1),%xmm2
pand   %xmm0,%xmm1
pand   %xmm0,%xmm2
movdqu %xmm1,-0x30(%rbp,%rcx,1)
movdqu %xmm2,-0x20(%rbp,%rcx,1)
cmp    $0x4b0,%rcx
je     11ff <crypto_kem_sntrup761x25519_tinynacl_keypair+0xbf>
movdqu -0x10(%rbp,%rcx,1),%xmm1
movdqu 0x0(%rbp,%rcx,1),%xmm2
pand   %xmm0,%xmm1
pand   %xmm0,%xmm2
movdqu %xmm1,-0x10(%rbp,%rcx,1)
movdqu %xmm2,0x0(%rbp,%rcx,1)
add    $0x40,%rcx
jmp    11b0 <crypto_kem_sntrup761x25519_tinynacl_keypair+0x70>
and    %al,0x4a0(%rbp)
and    %al,0x4a1(%rbp)
and    %al,0x4a2(%rbp)
and    %al,0x4a3(%rbp)
and    %al,0x4a4(%rbp)
and    %al,0x4a5(%rbp)
mov    $0x30,%ecx
nopl   0x0(%rax,%rax,1)
movdqu -0x30(%rbx,%rcx,1),%xmm1
movdqu -0x20(%rbx,%rcx,1),%xmm2
movdqu -0x10(%rbx,%rcx,1),%xmm3
movdqu (%rbx,%rcx,1),%xmm4
pand   %xmm0,%xmm1
pand   %xmm0,%xmm2
movdqu %xmm1,-0x30(%rbx,%rcx,1)
movdqu %xmm2,-0x20(%rbx,%rcx,1)
pand   %xmm0,%xmm3
pand   %xmm0,%xmm4
movdqu %xmm3,-0x10(%rbx,%rcx,1)
movdqu %xmm4,(%rbx,%rcx,1)
add    $0x40,%rcx
cmp    $0x730,%rcx
jne    1230 <crypto_kem_sntrup761x25519_tinynacl_keypair+0xf0>
and    %al,0x700(%rbx)
and    %al,0x701(%rbx)
and    %al,0x702(%rbx)
mov    %r14d,%eax
add    $0x8,%rsp
pop    %rbx
pop    %r14
pop    %r15
pop    %rbp
ret

LLVM IR (-O0):
define i32 @crypto_kem_sntrup761x25519_tinynacl_keypair(i8* %0, i8* %1) {
%3 = alloca i8*
%4 = alloca i8*
%5 = alloca i32
%6 = alloca i64
%7 = alloca i8
store i8* %0, i8** %3
store i8* %1, i8** %4
store i32 0, i32* %5
%8 = load i8*, i8** %3
%9 = load i8*, i8** %4
%10 = call i32 (i8*, i8*, ...) bitcast (i32 (...)* @crypto_kem_sntrup761_tinynacl_keypair to i32 (i8*, i8*, ...)*)(i8* %8, i8* %9)
%11 = load i32, i32* %5
%12 = or i32 %11, %10
store i32 %12, i32* %5
%13 = load i8*, i8** %4
%14 = getelementptr inbounds i8, i8* %13, i64 1763
%15 = call i32 (i8*, i32, ...) bitcast (i32 (...)* @randombytes to i32 (i8*, i32, ...)*)(i8* %14, i32 32)
%16 = load i8*, i8** %3
%17 = getelementptr inbounds i8, i8* %16, i64 1158
%18 = load i8*, i8** %4
%19 = getelementptr inbounds i8, i8* %18, i64 1763
%20 = call i32 (i8*, i8*, ...) bitcast (i32 (...)* @crypto_scalarmult_curve25519_tinynacl_base to i32 (i8*, i8*, ...)*)(i8* %17, i8* %19)
%21 = load i32, i32* %5
%22 = or i32 %21, %20
store i32 %22, i32* %5
%23 = load i32, i32* %5
%24 = call i32 (i32, ...) bitcast (i32 (...)* @returnmask to i32 (i32, ...)*)(i32 %23)
%25 = xor i32 %24, -1
%26 = trunc i32 %25 to i8
store i8 %26, i8* %7
store i64 0, i64* %6
br label %27
27: ; preds = %40, %2
%28 = load i64, i64* %6
%29 = icmp slt i64 %28, 1190
br i1 %29, label %30, label %43
30: ; preds = %27
%31 = load i8, i8* %7
%32 = zext i8 %31 to i32
%33 = load i8*, i8** %3
%34 = load i64, i64* %6
%35 = getelementptr inbounds i8, i8* %33, i64 %34
%36 = load i8, i8* %35
%37 = zext i8 %36 to i32
%38 = and i32 %37, %32
%39 = trunc i32 %38 to i8
store i8 %39, i8* %35
br label %40
40: ; preds = %30
%41 = load i64, i64* %6
%42 = add nsw i64 %41, 1
store i64 %42, i64* %6
br label %27
43: ; preds = %27
store i64 0, i64* %6
br label %44
44: ; preds = %57, %43
%45 = load i64, i64* %6
%46 = icmp slt i64 %45, 1795
br i1 %46, label %47, label %60
47: ; preds = %44
%48 = load i8, i8* %7
%49 = zext i8 %48 to i32
%50 = load i8*, i8** %4
%51 = load i64, i64* %6
%52 = getelementptr inbounds i8, i8* %50, i64 %51
%53 = load i8, i8* %52
%54 = zext i8 %53 to i32
%55 = and i32 %54, %49
%56 = trunc i32 %55 to i8
store i8 %56, i8* %52
br label %57
57: ; preds = %47
%58 = load i64, i64* %6
%59 = add nsw i64 %58, 1
store i64 %59, i64* %6
br label %44
60: ; preds = %44
%61 = load i32, i32* %5
ret i32 %61
}

LLVM IR (-O2):
define i32 @crypto_kem_sntrup761x25519_tinynacl_keypair(i8* %0, i8* %1) {
%3 = tail call i32 (i8*, i8*, ...) bitcast (i32 (...)* @crypto_kem_sntrup761_tinynacl_keypair to i32 (i8*, i8*, ...)*)(i8* %0, i8* %1)
%4 = getelementptr inbounds i8, i8* %1, i64 1763
%5 = tail call i32 (i8*, i32, ...) bitcast (i32 (...)* @randombytes to i32 (i8*, i32, ...)*)(i8* %4, i32 32)
%6 = getelementptr inbounds i8, i8* %0, i64 1158
%7 = tail call i32 (i8*, i8*, ...) bitcast (i32 (...)* @crypto_scalarmult_curve25519_tinynacl_base to i32 (i8*, i8*, ...)*)(i8* %6, i8* %4)
%8 = or i32 %7, %3
%9 = tail call i32 (i32, ...) bitcast (i32 (...)* @returnmask to i32 (i32, ...)*)(i32 %8)
%10 = trunc i32 %9 to i8
%11 = xor i8 %10, -1
%12 = insertelement <16 x i8> poison, i8 %11, i64 0
%13 = shufflevector <16 x i8> %12, <16 x i8> poison, <16 x i32> zeroinitializer
%14 = insertelement <16 x i8> poison, i8 %11, i64 0
%15 = shufflevector <16 x i8> %14, <16 x i8> poison, <16 x i32> zeroinitializer
br label %16
16: ; preds = %30, %2
%17 = phi i64 [ 0, %2 ], [ %41, %30 ]
%18 = getelementptr inbounds i8, i8* %0, i64 %17
%19 = bitcast i8* %18 to <16 x i8>*
%20 = load <16 x i8>, <16 x i8>* %19
%21 = getelementptr inbounds i8, i8* %18, i64 16
%22 = bitcast i8* %21 to <16 x i8>*
%23 = load <16 x i8>, <16 x i8>* %22
%24 = and <16 x i8> %20, %13
%25 = and <16 x i8> %23, %15
%26 = bitcast i8* %18 to <16 x i8>*
store <16 x i8> %24, <16 x i8>* %26
%27 = bitcast i8* %21 to <16 x i8>*
store <16 x i8> %25, <16 x i8>* %27
%28 = or i64 %17, 32
%29 = icmp eq i64 %28, 1184
br i1 %29, label %42, label %30
30: ; preds = %16
%31 = getelementptr inbounds i8, i8* %0, i64 %28
%32 = bitcast i8* %31 to <16 x i8>*
%33 = load <16 x i8>, <16 x i8>* %32
%34 = getelementptr inbounds i8, i8* %31, i64 16
%35 = bitcast i8* %34 to <16 x i8>*
%36 = load <16 x i8>, <16 x i8>* %35
%37 = and <16 x i8> %33, %13
%38 = and <16 x i8> %36, %15
%39 = bitcast i8* %31 to <16 x i8>*
store <16 x i8> %37, <16 x i8>* %39
%40 = bitcast i8* %34 to <16 x i8>*
store <16 x i8> %38, <16 x i8>* %40
%41 = add nuw nsw i64 %17, 64
br label %16
42: ; preds = %16
%43 = getelementptr inbounds i8, i8* %0, i64 1184
%44 = load i8, i8* %43
%45 = and i8 %44, %11
store i8 %45, i8* %43
%46 = getelementptr inbounds i8, i8* %0, i64 1185
%47 = load i8, i8* %46
%48 = and i8 %47, %11
store i8 %48, i8* %46
%49 = getelementptr inbounds i8, i8* %0, i64 1186
%50 = load i8, i8* %49
%51 = and i8 %50, %11
store i8 %51, i8* %49
%52 = getelementptr inbounds i8, i8* %0, i64 1187
%53 = load i8, i8* %52
%54 = and i8 %53, %11
store i8 %54, i8* %52
%55 = getelementptr inbounds i8, i8* %0, i64 1188
%56 = load i8, i8* %55
%57 = and i8 %56, %11
store i8 %57, i8* %55
%58 = getelementptr inbounds i8, i8* %0, i64 1189
%59 = load i8, i8* %58
%60 = and i8 %59, %11
store i8 %60, i8* %58
%61 = insertelement <16 x i8> poison, i8 %11, i64 0
%62 = shufflevector <16 x i8> %61, <16 x i8> poison, <16 x i32> zeroinitializer
%63 = insertelement <16 x i8> poison, i8 %11, i64 0
%64 = shufflevector <16 x i8> %63, <16 x i8> poison, <16 x i32> zeroinitializer
br label %65
65: ; preds = %65, %42
%66 = phi i64 [ 0, %42 ], [ %88, %65 ]
%67 = getelementptr inbounds i8, i8* %1, i64 %66
%68 = bitcast i8* %67 to <16 x i8>*
%69 = load <16 x i8>, <16 x i8>* %68
%70 = getelementptr inbounds i8, i8* %67, i64 16
%71 = bitcast i8* %70 to <16 x i8>*
%72 = load <16 x i8>, <16 x i8>* %71
%73 = and <16 x i8> %69, %62
%74 = and <16 x i8> %72, %64
%75 = bitcast i8* %67 to <16 x i8>*
store <16 x i8> %73, <16 x i8>* %75
%76 = bitcast i8* %70 to <16 x i8>*
store <16 x i8> %74, <16 x i8>* %76
%77 = or i64 %66, 32
%78 = getelementptr inbounds i8, i8* %1, i64 %77
%79 = bitcast i8* %78 to <16 x i8>*
%80 = load <16 x i8>, <16 x i8>* %79
%81 = getelementptr inbounds i8, i8* %78, i64 16
%82 = bitcast i8* %81 to <16 x i8>*
%83 = load <16 x i8>, <16 x i8>* %82
%84 = and <16 x i8> %80, %62
%85 = and <16 x i8> %83, %64
%86 = bitcast i8* %78 to <16 x i8>*
store <16 x i8> %84, <16 x i8>* %86
%87 = bitcast i8* %81 to <16 x i8>*
store <16 x i8> %85, <16 x i8>* %87
%88 = add nuw nsw i64 %66, 64
%89 = icmp eq i64 %88, 1792
br i1 %89, label %90, label %65
90: ; preds = %65
%91 = getelementptr inbounds i8, i8* %1, i64 1792
%92 = load i8, i8* %91
%93 = and i8 %92, %11
store i8 %93, i8* %91
%94 = getelementptr inbounds i8, i8* %1, i64 1793
%95 = load i8, i8* %94
%96 = and i8 %95, %11
store i8 %96, i8* %94
%97 = getelementptr inbounds i8, i8* %1, i64 1794
%98 = load i8, i8* %97
%99 = and i8 %98, %11
store i8 %99, i8* %97
ret i32 %8
}