cryptoptic

اكتشف التشفير المخفي في شفرتك قبل أن تكتشفه الحواسيب الكمومية نيابةً عنك.

يستخدم cryptoptic كلاً من CodeQL وGitHub Actions لفحص مستودع واحد أو مؤسسة GitHub بأكملها، وإنتاج جرد لكل دالة تشفيرية قيد الاستخدام، والمكتبة التي تنتمي إليها، ومكان استدعائها.

---

لماذا وُجد هذا

يعني الوصول المتوقع للحوسبة الكمومية ذات الصلة بالتشفير أن العديد من الخوارزميات المستخدمة على نطاق واسع اليوم لن تظل قادرة على حماية البيانات. إن مبدأ "اجمع الآن، وفكّ التشفير لاحقاً" يجعل هذا خطراً حاضراً، لا خطراً مستقبلياً.

قبل أن تتمكن أي مؤسسة من الانتقال إلى خوارزميات ما بعد الكم، تحتاج إلى فهم أين يُستخدم التشفير في شفرتها. يساعد cryptoptic في إنشاء قائمة مكونات التشفير (CBOM)، بحيث يمكن استبدال الخوارزميات الضعيفة ببدائل آمنة كمومياً أو إدارتها بشفافية.

تم بناء cryptoptic ويُستخدم داخلياً في Nationwide Building Society. وهو يُنشر هنا للمجتمع الأوسع.

ما الذي يفعله

• يفحص مستودعاً واحداً، أو كل مستودع في مؤسسة.
• يحدد استدعاءات الدوال التشفيرية، والمكتبة التي تنتمي إليها كل دالة، والملف والموقع لكل استخدام.
• يعمل داخل GitHub Actions، دون الحاجة إلى خدمة خارجية ودون مغادرة الشفرة لـ GitHub.
• يُخرج النتائج بصيغة SARIF، والتي يمكن عرضها في تشغيل Actions واستهلاكها بواسطة الأدوات اللاحقة.

اللغات المدعومة

البدء

المتطلبات الأساسية

• حساب GitHub مع صلاحية الوصول إلى المستودع أو المؤسسة التي تريد فحصها.
• تمكين GitHub Actions على المستودع الذي يشغّل الفحص.

تشغيل فحص

1. استنسخ هذا المستودع وافتحه في محرر من اختيارك.

2. حرّر .github/workflows/org-codeql-sarif-run.yml واضبط قيم سير العمل المطلوبة.

إعدادات سير العمل

3. أرسل التغييرات وادفعها (commit and push).

4. انتقل إلى تبويب Actions في GitHub واختر CodeQL org run (crypto inventory) من الشريط الجانبي الأيسر.

5. انقر على Run workflow، واختر الفرع الذي تريد التشغيل عليه، ثم انقر على زر Run workflow الأخضر.

عرض النتائج

تُنشر الملفات الناتجة كـ artifacts في تشغيل سير العمل:

• عمليات الفحص على مستوى المؤسسة → تحت CodeQL org run.
• عمليات الفحص لمستودع واحد → تحت Security Scanning Workflow.

التطوير

للعمل على cryptoptic نفسه، ستحتاج إلى:

• Python 3
• إما CodeQL CLI أو إضافة CodeQL لـ Visual Studio Code

خارطة الطريق

• دعم Java.
• توسيع تغطية الاستعلامات للغات المدعومة حالياً.

المساهمة

المساهمات مرحّب بها، بما في ذلك الشفرة والاستعلامات والتوثيق والاختبارات وتقارير الأخطاء. يُرجى قراءة مدونة قواعد السلوك قبل المشاركة؛ فهي تنطبق على كل مساحة في المشروع.

• افتح GitHub Issue للأخطاء وطلبات الميزات.
• ناقش التغييرات الجوهرية في Issue أو Discussion قبل التنفيذ؛ فهي تحتاج إلى موافقة اثنين من المشرفين على الأقل.
• قدّم عملك كـ pull request. من خلال المساهمة، فإنك توافق على أن مساهمتك مرخّصة بموجب Apache License 2.0.
• يجب على المساهمين التوقيع على الـ commits باستخدام عملية شهادة المطوّر (Developer Certificate of Origin) الموضحة في CONTRIBUTING.md. قد لا تُقبل المساهمات التي لا تتضمن توقيع DCO صالحاً.
• يجوز للمشرفين رفض المساهمات وفقاً لتقديرهم، بما في ذلك عندما تثير مخاوف قانونية أو أمنية أو متعلقة بالجودة أو العقوبات أو ضوابط التصدير أو حوكمة المشروع.

راجع GOVERNANCE.md لمعرفة كيفية اتخاذ القرارات، وMAINTAINERS.md لمعرفة بمن تتواصل.

الأمان

يُرجى عدم الإبلاغ عن الثغرات الأمنية عبر قضايا GitHub العامة. راجع SECURITY.md لمعرفة كيفية الإبلاغ بشكل خاص وما يمكن توقعه بعد ذلك.

الترخيص

هذا المشروع مرخّص بموجب Apache License, Version 2.0. يجب تضمين نسخة من الترخيص في المستودع في ملف باسم LICENCE أو LICENSE. ينبغي للمستخدمين مراجعة شروط الترخيص قبل استخدام المشروع أو تعديله أو توزيعه.

عند إعادة توزيع المشروع، يتطلب Apache License 2.0 الحفاظ على إشعارات حقوق النشر والبراءات والعلامات التجارية والإسناد المعمول بها، وتضمين نسخة من الترخيص، وإشعارات الملفات المعدّلة حيث ينطبق ذلك، والتعامل المناسب مع أي ملف NOTICE مضمّن مع المشروع.

إشعار

إذا تضمّن المستودع ملف NOTICE، فيجب على المستخدمين وإعادة الموزّعين الحفاظ على إشعارات الإسناد الواردة في ذلك الملف وفقاً لـ Apache License 2.0. ينبغي إبقاء ملف NOTICE دقيقاً وأن يعكس الإشعارات المنطبقة على محتويات التوزيع.

العلامات التجارية والهوية

لا يمنح Apache License 2.0 إذناً باستخدام أسماء Nationwide أو شعاراتها أو علاماتها التجارية أو هويتها. يجب أن يتوافق أي استخدام لهوية Nationwide أو الهوية الخاصة بالمشروع مع سياسة العلامات التجارية المنفصلة للمشروع.

لا ضمان / لا مسؤولية

كما هو موضح في Apache License 2.0، يُقدَّم المشروع على أساس "كما هو"، دون ضمانات من أي نوع. يتحمل المستخدمون مسؤولية تحديد ما إذا كان المشروع مناسباً لاستخدامهم والتحقق من صحة أي مخرجات قبل الاعتماد عليها.

مستندات المستودع

• LICENSE النص الكامل لـ Apache License 2.0.
• NOTICE الإسناد والإشعارات الأخرى المنطبقة على التوزيع.
• CODE_OF_CONDUCT.md معايير المجتمع للمشاركة.
• CONTRIBUTING.md عملية المساهمة ومتطلبات توقيع المساهمين.
• SECURITY.md عملية الإبلاغ عن الثغرات.
• TRADEMARK.md قواعد استخدام هوية Nationwide وهوية المشروع.
• GOVERNANCE.md حوكمة المشروع ونموذج اتخاذ القرار لدى المشرفين.
• MAINTAINERS.md المشرفون الحاليون على المشروع.