cryptoptic

क्वांटम कंप्यूटर आपके लिए इसे खोजने से पहले, अपने कोड में छिपी क्रिप्टोग्राफी को खोजें।

cryptoptic किसी रिपॉज़िटरी या पूरे GitHub संगठन को स्कैन करने के लिए CodeQL और GitHub Actions का उपयोग करता है और उपयोग में आने वाले प्रत्येक क्रिप्टोग्राफिक फ़ंक्शन, उसके स्रोत लाइब्रेरी, और उसे कहाँ कॉल किया जाता है, की एक इन्वेंटरी तैयार करता है।

---

यह क्यों मौजूद है

क्रिप्टोग्राफिक रूप से प्रासंगिक क्वांटम कंप्यूटिंग के अपेक्षित आगमन का अर्थ है कि आज व्यापक रूप से उपयोग किए जाने वाले कई एल्गोरिदम अब डेटा को सुरक्षित नहीं रख पाएंगे। "अभी संग्रह करो, बाद में डिक्रिप्ट करो" इसे भविष्य का नहीं, बल्कि वर्तमान का जोखिम बनाता है।

किसी संगठन के पोस्ट-क्वांटम एल्गोरिदम पर माइग्रेट करने से पहले, उसे यह समझना आवश्यक है कि उसके कोडबेस में क्रिप्टोग्राफी का उपयोग कहाँ-कहाँ होता है। cryptoptic उस क्रिप्टोग्राफिक बिल ऑफ मटेरियल्स (CBOM) को बनाने में मदद करता है, ताकि कमज़ोर एल्गोरिदम को क्वांटम-सुरक्षित विकल्पों से बदला जा सके या पारदर्शी रूप से प्रबंधित किया जा सके।

cryptoptic को Nationwide Building Society में बनाया गया और आंतरिक रूप से उपयोग किया जाता है। इसे यहाँ व्यापक समुदाय के लिए जारी किया गया है।

यह क्या करता है

• एकल रिपॉज़िटरी, या किसी संगठन की प्रत्येक रिपॉज़िटरी को स्कैन करता है।
• क्रिप्टोग्राफिक फ़ंक्शन कॉल, प्रत्येक के स्रोत लाइब्रेरी, और प्रत्येक उपयोग के फ़ाइल और स्थान की पहचान करता है।
• GitHub Actions के भीतर चलता है, किसी तृतीय-पक्ष सेवा की आवश्यकता नहीं और कोई कोड GitHub से बाहर नहीं जाता।
• परिणामों को SARIF के रूप में आउटपुट करता है, जिसे Actions रन में देखा जा सकता है और डाउनस्ट्रीम टूलिंग द्वारा उपभोग किया जा सकता है।

समर्थित भाषाएँ

शुरुआत करना

पूर्वापेक्षाएँ

• एक GitHub खाता जिसके पास उस रिपॉज़िटरी या संगठन तक पहुँच हो जिसे आप स्कैन करना चाहते हैं।
• स्कैन चलाने वाली रिपॉज़िटरी पर GitHub Actions सक्षम होना चाहिए।

स्कैन चलाना

1. इस रिपॉज़िटरी को क्लोन करें और इसे अपनी पसंद के एडिटर में खोलें।

2. .github/workflows/org-codeql-sarif-run.yml को संपादित करें और आवश्यक वर्कफ़्लो मान सेट करें।

वर्कफ़्लो सेटिंग्स

3. अपने परिवर्तनों को कमिट और पुश करें।

4. GitHub में Actions टैब पर जाएँ और बाएँ साइडबार से CodeQL org run (crypto inventory) चुनें।

5. Run workflow पर क्लिक करें, वह ब्रांच चुनें जिसके विरुद्ध आप चलाना चाहते हैं, और हरे Run workflow बटन पर क्लिक करें।

परिणाम देखना

उत्पन्न फ़ाइलें वर्कफ़्लो रन पर आर्टिफ़ैक्ट के रूप में प्रकाशित की जाती हैं:

• संगठन-व्यापी स्कैन → CodeQL org run के अंतर्गत।
• एकल-रिपॉज़िटरी स्कैन → Security Scanning Workflow के अंतर्गत।

विकास

cryptoptic पर ही काम करने के लिए, आपको आवश्यकता होगी:

• Python 3
• या तो CodeQL CLI या CodeQL extension for Visual Studio Code

रोडमैप

• Java समर्थन।
• वर्तमान में समर्थित भाषाओं के लिए विस्तारित क्वेरी कवरेज।

योगदान

योगदान का स्वागत है, जिसमें कोड, क्वेरीज़, दस्तावेज़ीकरण, परीक्षण और बग रिपोर्ट शामिल हैं। भाग लेने से पहले कृपया आचार संहिता पढ़ें; यह प्रत्येक प्रोजेक्ट स्थान पर लागू होती है।

• बग और फ़ीचर अनुरोधों के लिए एक GitHub Issue खोलें।
• महत्वपूर्ण परिवर्तनों पर कार्यान्वयन से पहले किसी Issue या Discussion में चर्चा करें; इनके लिए कम से कम दो मेंटेनर्स की स्वीकृति आवश्यक है।
• अपना काम पुल रिक्वेस्ट के रूप में सबमिट करें। योगदान देकर, आप सहमत होते हैं कि आपका योगदान Apache License 2.0 के अंतर्गत लाइसेंस प्राप्त है।
• योगदानकर्ताओं को CONTRIBUTING.md में वर्णित Developer Certificate of Origin प्रक्रिया का उपयोग करके कमिट पर साइन-ऑफ़ करना होगा। जिन योगदानों में वैध DCO साइन-ऑफ़ शामिल नहीं है, उन्हें स्वीकार नहीं किया जा सकता।
• मेंटेनर्स अपने विवेक से योगदान अस्वीकार कर सकते हैं, जिसमें वे मामले भी शामिल हैं जहाँ वे कानूनी, सुरक्षा, गुणवत्ता, प्रतिबंध, निर्यात नियंत्रण या प्रोजेक्ट गवर्नेंस संबंधी चिंताएँ उठाते हैं।

निर्णय कैसे लिए जाते हैं इसके लिए GOVERNANCE.md देखें और किससे बात करनी है इसके लिए MAINTAINERS.md देखें।

सुरक्षा

कृपया सार्वजनिक GitHub issues के माध्यम से सुरक्षा भेद्यताओं की रिपोर्ट न करें। निजी तौर पर रिपोर्ट करने के तरीके और रिपोर्ट करने के बाद क्या अपेक्षा करें, इसके लिए SECURITY.md देखें।

लाइसेंस

यह प्रोजेक्ट Apache License, Version 2.0 के अंतर्गत लाइसेंस प्राप्त है। लाइसेंस की एक प्रति रिपॉज़िटरी में LICENCE या LICENSE नाम की फ़ाइल में शामिल होनी चाहिए। उपयोगकर्ताओं को प्रोजेक्ट का उपयोग, संशोधन या वितरण करने से पहले लाइसेंस की शर्तों की समीक्षा करनी चाहिए।

जहाँ प्रोजेक्ट का पुनर्वितरण किया जाता है, वहाँ Apache License 2.0 लागू कॉपीराइट, पेटेंट, ट्रेड मार्क और एट्रिब्यूशन नोटिसों के संरक्षण, लाइसेंस की एक प्रति को शामिल करने, जहाँ लागू हो वहाँ संशोधित फ़ाइलों के लिए नोटिस, और प्रोजेक्ट के साथ शामिल किसी भी NOTICE फ़ाइल के उचित प्रबंधन की आवश्यकता होती है।

नोटिस

यदि रिपॉज़िटरी में कोई NOTICE फ़ाइल शामिल है, तो उपयोगकर्ताओं और पुनर्वितरकों को Apache License 2.0 के अनुसार उस फ़ाइल में निहित एट्रिब्यूशन नोटिसों को संरक्षित करना होगा। NOTICE फ़ाइल को सटीक रखा जाना चाहिए और वितरण की सामग्री पर लागू नोटिसों को प्रतिबिंबित करना चाहिए।

ट्रेड मार्क और ब्रांडिंग

Apache License 2.0 Nationwide के नाम, लोगो, ट्रेड मार्क या ब्रांडिंग का उपयोग करने की अनुमति नहीं देता। Nationwide ब्रांडिंग या प्रोजेक्ट-विशिष्ट ब्रांडिंग का कोई भी उपयोग प्रोजेक्ट की अलग ट्रेड मार्क नीति का पालन करना चाहिए।

कोई वारंटी नहीं / कोई दायित्व नहीं

जैसा कि Apache License 2.0 में वर्णित है, प्रोजेक्ट "AS IS" आधार पर प्रदान किया गया है, बिना किसी प्रकार की वारंटी या शर्तों के। उपयोगकर्ता यह निर्धारित करने के लिए ज़िम्मेदार हैं कि प्रोजेक्ट उनके उपयोग के लिए उपयुक्त है या नहीं और किसी भी आउटपुट पर भरोसा करने से पहले उसका सत्यापन करना उनकी ज़िम्मेदारी है।

रिपॉज़िटरी दस्तावेज़

• LICENSE पूर्ण Apache License 2.0 पाठ।
• NOTICE वितरण पर लागू एट्रिब्यूशन और अन्य नोटिस।
• CODE_OF_CONDUCT.md भागीदारी के लिए समुदाय मानक।
• CONTRIBUTING.md योगदान प्रक्रिया और योगदानकर्ता साइन-ऑफ़ आवश्यकताएँ।
• SECURITY.md भेद्यता रिपोर्टिंग प्रक्रिया।
• TRADEMARK.md Nationwide और प्रोजेक्ट ब्रांडिंग के उपयोग के नियम।
• GOVERNANCE.md प्रोजेक्ट गवर्नेंस और मेंटेनर निर्णय-निर्माण मॉडल।
• MAINTAINERS.md वर्तमान प्रोजेक्ट मेंटेनर्स।