cyberjez/pqc-scanner
Der PQC Network Scanner ist ein quantenfokussiertes Netzwerk-Assessment-Tool, das TLS/SSL-Zertifikate in Unternehmensumgebungen scannt, um Systeme zu identifizieren, die anfällig für zukünftige Quantenangriffe sind. Es ist sowohl als Windows-Executable als auch als Python-Skript verfügbar, was die Bereitstellung in einem breiten Spektrum von Netzwerken erleichtert.
Der PQC Network Scanner ist ein eigens entwickeltes Bewertungstool, das Organisationen dabei unterstützt, ihre kryptografische Gefährdung zu verstehen, während sie den Übergang zu einer Post-Quanten-Sicherheitslage vollziehen. Im Gegensatz zu herkömmlichen TLS-Scannern, die sich ausschließlich auf die Zertifikatsgültigkeit oder die klassische kryptografische Stärke konzentrieren, bewertet dieser Scanner Endpunkte aus einer quantenbewussten Perspektive. Er untersucht nicht nur RSA- und Elliptische-Kurven-Schlüssel, sondern identifiziert auch aufkommende Post-Quanten-Algorithmen, hybride Bereitstellungen und experimentelle PQC-Indikatoren, die in Zertifikaten, Erweiterungen und Cipher Suites eingebettet sind. Damit ist er in besonderer Weise für Umgebungen geeignet, die sich auf den kryptografischen Wandel vorbereiten, der durch die PQC-Standardisierung des NIST und die wachsende Bedrohung durch „Jetzt ernten, später entschlüsseln“-Angreifer angetrieben wird.
Im Kern führt der Scanner eine eingehende Prüfung von TLS-Endpunkten in einem internen Netzwerk durch. Er ruft vollständige Zertifikatsketten ab und analysiert sie, bewertet Schlüsseltypen und -größen, erkennt PQC-bezogene OIDs und identifiziert hybride Schlüsselaustauschmechanismen wie X25519+Kyber. Das Tool untersucht außerdem TLS-Protokollversionen und Cipher Suites, um festzustellen, ob Endpunkte Perfect Forward Secrecy (PFS) unterstützen oder auf veraltete, quantenverwundbare Konfigurationen angewiesen sind. Durch die Kombination dieser Aspekte bietet der Scanner einen umfassenden Überblick über die kryptografische Resilienz sowohl im klassischen als auch im Quantenzeitalter.
Über die Kryptografie hinaus integriert der Scanner eine intelligente Geräteidentifikation. Er korreliert Zertifikatsmetadaten, DNS-Informationen und Namenskonventionen, um Endpunkte wie Router, Firewalls, VPN-Gateways, Webserver und Anwendungs-Hosts zu klassifizieren. Dieses Kontextbewusstsein hilft Sicherheitsteams zu verstehen, nicht nur welche Kryptografie eingesetzt wird, sondern auch wo sie sich im Netzwerk befindet. Eine wesentliche Fähigkeit für den Aufbau eines Krypto-Inventars und die Priorisierung von Abhilfemaßnahmen.
Der Ausgabebericht enthält technische Details mit klaren, handlungsorientierten Erläuterungen. Jeder Endpunkt wird hinsichtlich Quantenverwundbarkeit, PQC-Bereitschaft, TLS-Posture und Integrität der Zertifikatskette bewertet. Der Bericht hebt Hochrisiko-Konfigurationen hervor, identifiziert PQC-fähige oder hybride Bereitstellungen und liefert Migrationsleitfäden, die auf aufkommende Standards wie ML-DSA und ML-KEM abgestimmt sind. Zusammenfassungsabschnitte bündeln die Ergebnisse über die gescannte Umgebung hinweg und bieten einen Gesamtüberblick über die Bereitschaft und Gefährdung der Organisation.
Version 2.0 wurde für den Einsatz in Enterprise-Netzwerken entwickelt, in denen IDS/IPS problematisch sein können. Daher verlangsamt und randomisiert sie den Scan-Verkehr, um das Auslösen von IDS/IPS zu vermeiden. Dieses Vorgehen wendet eine Taktung sowohl auf Portprüfungen als auch auf TLS-Handshakes an und wird für Produktions- oder überwachte Netzwerke empfohlen.
