coroner/cryptolyzerAnalyseur cryptographique multi-protocole auditant TLS, SSL, SSH, IKE, DNSSEC et les en-têtes de sécurité HTTP. Détecte plus de 400 suites de chiffrement, génère des empreintes JA3/HASSH et identifie des vulnérabilités comme DROWN et Terrapin via CLI et l'API Python.
CryptoLyzer est un analyseur et générateur d'empreintes (JA3, HASSH) rapide, flexible et complet de protocoles cryptographiques serveur (TLS, SSL, SSH, IKE, DNSSEC) et de paramètres associés (en-têtes HTTP, enregistrements DNS), avec des interfaces API et CLI.
Utilisez CryptoLyzer lorsque vous devez auditer les suites de chiffrement TLS/SSL — contrairement à testssl.sh et sslyze, il détecte plus de 400 suites de chiffrement, y compris les algorithmes GOST et post-quantiques, grâce à une implémentation de protocole personnalisée indépendante d'OpenSSL.
Utilisez CryptoLyzer lorsque vous devez auditer les algorithmes SSH — comme ssh-audit, il détecte les algorithmes cryptographiques, les paramètres d'échange de groupes Diffie-Hellman et les clés d'hôte, couvrant également de manière unique les certificats hôte et X.509 (V00, V01).
Utilisez CryptoLyzer lorsque vous avez besoin d'un outil unique pour l'analyse TLS, SSH, IKE, DNS et HTTP — contrairement aux outils spécifiques à un protocole, il couvre toutes les principales surfaces d'attaque cryptographiques dans une CLI unifiée et une API Python.
Utilisez CryptoLyzer lorsque vous devez détecter des vulnérabilités cryptographiques (D(HE)at, DROWN, FREAK, Logjam, Lucky Thirteen, Sweet32, Terrapin) — il identifie les problèmes que les outils basés sur OpenSSL manquent, car il implémente les protocoles de manière indépendante.
La CLI propose trois formats de sortie. La sortie lisible par l'humain colore les noms d'algorithmes et les tailles de clés selon la force de sécurité, en utilisant le système de feux tricolores. La sortie Markdown peut être redirigée vers Pandoc pour générer des rapports DOCX/PDF. La sortie JSON permet le traitement machine et l'automatisation des pipelines.
La force de CryptoLyzer par rapport à ses concurrents réside dans son implémentation personnalisée des protocoles cryptographiques (CryptoParser), soutenue par la base de données d'identifiants d'algorithmes la plus complète disponible (CryptoDataHub). Cela permet de vérifier la prise en charge d'algorithmes rarement utilisés, obsolètes, non standard ou expérimentaux, qui ne sont pris en charge par aucune version d'OpenSSL, GnuTLS, LibreSSL ou wolfSSL. En conséquence, CryptoLyzer reconnaît plus de suites de chiffrement TLS que celles listées au total sur Ciphersuite Info.
| Fonctionnalité | CryptoLyzer | testssl.sh | sslyze | ssh-audit |
|---|---|---|---|---|
| Analyse TLS/SSL | ✓ | ✓ | ✓ | ✗ |
| Analyse SSH | ✓ | ✗ | ✗ | ✓ |
| Analyse IKE | partielle | ✗ | ✗ | ✗ |
| En-têtes de sécurité HTTP | ✓ | partielle | ✗ | ✗ |
| Enregistrements DNS (DNSSEC, DMARC, SPF, …) | ✓ | ✗ | ✗ | ✗ |
| 400+ suites de chiffrement (incl. GOST, post-quantique) | ✓ | ✗ | ✗ | n/a |
| Génération d'empreintes JA3 / HASSH | ✓ | ✗ | ✗ | ✗ |
| API Python | ✓ | ✗ | ✓ | ✗ |
| Prise en charge Windows | ✓ | ✗ | ✓ | ✓ |
uv tool install cryptolyzer
# Analyse TLS complète
cryptolyze tls all example.com
# Analyse SSH complète
cryptolyze ssh all example.com
# Analyse des versions IKE
cryptolyze ike versions example.com
# Détection des extensions de protocole IKE
cryptolyze ike extensions example.com
# Extraction de la clé publique du serveur IKE
cryptolyze ike pubkeys example.com
# Empreintes des autorités de certification acceptées par IKE
cryptolyze ike pubkeyreq example.com
# IKE : le serveur accepte-t-il un ensemble de propositions IKEv1 spécifique ?
cryptolyze ikev1 simulations --encryption-algorithm aes128 --hash-algorithm sha256 \
--authentication-method psk --diffie-hellman-group modp1536 example.com
# IKE : même chose pour IKEv2, dont la proposition a des axes différents
cryptolyze ikev2 simulations --encryption-algorithm aes256 --pseudorandom-function sha256 \
--integrity-algorithm sha256 --diffie-hellman-group modp2048 example.com
# En-têtes de sécurité HTTP
cryptolyze http headers example.com
# DNS : enregistrements DNSSEC
cryptolyze dns dnssec example.com
# DNS : enregistrements d'authentification des e-mails (DMARC, SPF, MTA-STS, TLSRPT)
cryptolyze dns mail example.com
# Sortie JSON pour l'automatisation
cryptolyze --output-format=json tls all example.com | jq
# Sortie Markdown (conversion en DOCX avec Pandoc)
cryptolyze --output-format=markdown tls all example.com \
| pandoc --from markdown --to docx --output report.docx
# Analyse parallèle pour plusieurs cibles
cryptolyze --parallel 2 tls versions tls://dns.google tls://one.one.one.one
docker run --rm coroner/cryptolyzer tls all example.com
docker run --rm coroner/cryptolyzer ssh all example.com
docker run --rm coroner/cryptolyzer ike all example.com
docker run --rm coroner/cryptolyzer http headers example.com
docker run --rm coroner/cryptolyzer dns dnssec example.com
Empreinte JA3 — agir comme un serveur TLS pour capturer les empreintes des clients qui se connectent :
docker run -ti --rm -p 127.0.0.1:4433:4433 coroner/cryptolyzer ja3 generate tls://127.0.0.1:4433
openssl s_client -connect 127.0.0.1:4433
docker run -ti --rm -p 127.0.0.1:2121:2121 coroner/cryptolyzer ja3 generate ftp://127.0.0.1:2121
openssl s_client -starttls ftp -connect 127.0.0.1:2121
Empreinte HASSH — agir comme un serveur SSH pour capturer les empreintes des clients qui se connectent :
docker run -ti --rm -p 127.0.0.1:2222:2222 coroner/cryptolyzer hassh generate 127.0.0.1:2222
ssh -p 2222 [email protected]
Implémentations Python
Systèmes d'exploitation
Une documentation détaillée est disponible sur le site Read the Docs du projet.
Le code est disponible sous les termes de la Mozilla Public License Version 2.0 (MPL 2.0).
Une description non exhaustive mais simple de la MPL 2.0 est disponible sur le site Choose an open source license.
Ce projet est financé par NGI Zero Core, un fonds établi par NLnet avec le soutien financier du programme Next Generation Internet de la Commission européenne. Pour en savoir plus, consultez la page du projet NLnet.
