cyberjez/pqc-scanner
Il PQC Network Scanner è uno strumento di valutazione della rete incentrato sul quantum che scansiona i certificati TLS/SSL negli ambienti aziendali per identificare i sistemi vulnerabili a futuri attacchi quantistici. È disponibile sia come eseguibile Windows sia come script Python, rendendone semplice la distribuzione in un'ampia gamma di reti.
The PQC Network Scanner è uno strumento di valutazione appositamente progettato per aiutare le organizzazioni a comprendere la propria esposizione crittografica mentre transitano verso una postura di sicurezza post‑quantistica. A differenza dei tradizionali scanner TLS che si concentrano esclusivamente sulla validità dei certificati o sulla robustezza crittografica classica, questo scanner valuta gli endpoint attraverso una lente quantistica. Non ispeziona solo le chiavi RSA e a curva ellittica, ma identifica anche algoritmi post‑quantistici emergenti, implementazioni ibride e indicatori PQC sperimentali incorporati in certificati, estensioni e cipher suite. Questo lo rende particolarmente adatto ad ambienti che si preparano al cambiamento crittografico guidato dalla standardizzazione PQC del NIST e alla crescente minaccia degli avversari "harvest now, decrypt later".
Al suo interno, lo scanner esegue un'ispezione approfondita degli endpoint TLS attraverso una rete interna. Recupera e analizza le catene di certificati complete, valuta i tipi e le dimensioni delle chiavi, rileva gli OID relativi alla PQC e identifica meccanismi di key exchange ibridi come X25519+Kyber. Lo strumento esamina anche le versioni del protocollo TLS e le cipher suite per determinare se gli endpoint supportano Perfect Forward Secrecy (PFS) o si affidano a configurazioni legacy vulnerabili al quantum. Combinando questi aspetti, lo scanner fornisce una visione completa della resilienza crittografica sia in ambito classico che nell'era quantistica.
Oltre alla crittografia, lo scanner incorpora un'intelligente identificazione dei dispositivi. Correla i metadati dei certificati, le informazioni DNS e le convenzioni di denominazione per classificare endpoint come router, firewall, gateway VPN, web server e host applicativi. Questa consapevolezza contestuale aiuta i team di sicurezza a comprendere non solo quale crittografia è implementata, ma anche dove risiede all'interno della rete: una capacità essenziale per costruire un inventario crittografico e dare priorità alla remediation.
Il report di output contiene dettagli tecnici con commenti chiari e attuabili. Ogni endpoint viene valutato per vulnerabilità quantistica, prontezza PQC, postura TLS e integrità della catena di certificati. Il report evidenzia le configurazioni ad alto rischio, identifica i deployment abilitati alla PQC o ibridi e fornisce indicazioni di migrazione allineate agli standard emergenti come ML‑DSA e ML‑KEM. Le sezioni di riepilogo consolidano i risultati dell'intero ambiente scansionato, offrendo una visione a livello organizzativo della prontezza e dell'esposizione.
La versione 2.0 è progettata per essere utilizzata su reti Enterprise dove IDS/IPS potrebbero rivelarsi problematici. Pertanto rallenta e randomizza il traffico di scansione per evitare di attivare IDS/IPS. Questo applica un pacing sia ai controlli delle porte che agli handshake TLS ed è consigliato per reti di produzione o monitorate.
