cryptoptic

量子コンピュータに見つけられる前に、コードに潜む暗号を発見しましょう。

cryptoptic は CodeQL と GitHub Actions を使用して、リポジトリまたは GitHub 組織全体をスキャンし、使用されているすべての暗号関数、その関数が由来するライブラリ、および呼び出し場所のインベントリを生成します。

---

なぜこれが必要なのか

暗号学的に実用的な量子コンピューティングの到来が予想されるため、現在広く使用されている多くのアルゴリズムはデータを安全に保てなくなります。「今収穫し、後で復号する」という手法により、これは将来のリスクではなく、現在のリスクとなっています。

組織が耐量子アルゴリズムへ移行する前に、コードベース全体で暗号がどこで使用されているかを理解する必要があります。cryptoptic はその暗号部品表 (CBOM) の作成を支援し、脆弱なアルゴリズムを量子安全な代替手段に置き換えたり、透過的に管理したりできるようにします。

cryptoptic は Nationwide Building Society で構築され、社内で使用されています。ここでより広いコミュニティ向けに公開されています。

機能

• 単一のリポジトリ、または組織内のすべてのリポジトリをスキャンします。
• 暗号関数呼び出し、それぞれが由来するライブラリ、および各使用箇所のファイルと位置を特定します。
• GitHub Actions 内で実行され、サードパーティのサービスを必要とせず、コードが GitHub から出ることはありません。
• 結果を SARIF として出力し、Actions の実行で表示したり、下流のツールで利用したりできます。

対応言語

はじめに

前提条件

• スキャンしたいリポジトリまたは組織にアクセスできる GitHub アカウント。
• スキャンを実行するリポジトリで GitHub Actions が有効になっていること。

スキャンの実行

1. このリポジトリをクローンし、お好みのエディタで開きます。

2. .github/workflows/org-codeql-sarif-run.yml を編集し、必要なワークフロー値を設定します。

ワークフロー設定

3. 変更をコミットしてプッシュします。

4. GitHub の Actions タブに移動し、左側のサイドバーから CodeQL org run (crypto inventory) を選択します。

5. Run workflow をクリックし、実行したいブランチを選択して、緑色の Run workflow ボタンをクリックします。

結果の表示

生成されたファイルは、ワークフロー実行のアーティファクトとして公開されます:

• 組織全体のスキャン → CodeQL org run の下。
• 単一リポジトリのスキャン → Security Scanning Workflow の下。

開発

cryptoptic 自体の開発に取り組むには、以下が必要です:

• Python 3
• CodeQL CLI または CodeQL extension for Visual Studio Code のいずれか

ロードマップ

• Java のサポート。
• 現在対応している言語のクエリカバレッジの拡大。

コントリビューション

コード、クエリ、ドキュメント、テスト、バグレポートなど、コントリビューションを歓迎します。参加する前に行動規範をお読みください。これはすべてのプロジェクトスペースに適用されます。

• バグや機能リクエストについては GitHub Issue を作成してください。
• 重要な変更は実装前に Issue または Discussion で議論してください。これには少なくとも 2 名のメンテナーの承認が必要です。
• 作業はプルリクエストとして提出してください。コントリビューションにより、あなたの貢献が Apache License 2.0 の下でライセンスされることに同意したものとみなされます。
• コントリビューターは CONTRIBUTING.md に記載されている Developer Certificate of Origin プロセスを使用してコミットに署名する必要があります。有効な DCO 署名が含まれていないコントリビューションは受け入れられない場合があります。
• メンテナーは、法的、セキュリティ、品質、制裁、輸出管理、またはプロジェクトガバナンスに関する懸念が生じた場合を含め、独自の裁量でコントリビューションを辞退することがあります。

意思決定の方法については GOVERNANCE.md を、連絡先については MAINTAINERS.md を参照してください。

セキュリティ

セキュリティ脆弱性を公開 GitHub issue を通じて報告しないでください。 非公開での報告方法と報告後の対応については SECURITY.md を参照してください。

ライセンス

このプロジェクトは Apache License, Version 2.0 の下でライセンスされています。ライセンスのコピーは、LICENCE または LICENSE という名前のファイルとしてリポジトリに含める必要があります。ユーザーは、プロジェクトを使用、変更、または配布する前にライセンス条項を確認する必要があります。

プロジェクトが再配布される場合、Apache License 2.0 は、該当する著作権、特許、商標、および帰属表示の保持、ライセンスのコピーの同梱、該当する場合は変更されたファイルの通知、およびプロジェクトに含まれる NOTICE ファイルの適切な取り扱いを要求します。

通知

リポジトリに NOTICE ファイルが含まれている場合、ユーザーおよび再配布者は、Apache License 2.0 に従ってそのファイルに含まれる帰属表示を保持する必要があります。NOTICE ファイルは正確に保たれ、配布物の内容に適用される通知を反映する必要があります。

商標およびブランディング

Apache License 2.0 は、Nationwide の名称、ロゴ、商標、またはブランディングを使用する許可を付与するものではありません。Nationwide のブランディングまたはプロジェクト固有のブランディングの使用は、プロジェクトの別途の商標ポリシーに準拠する必要があります。

無保証 / 無責任

Apache License 2.0 に記載されているとおり、プロジェクトは「現状有姿」で提供され、いかなる種類の保証も伴いません。ユーザーは、プロジェクトが自身の用途に適しているかを判断し、出力に依存する前にそれを検証する責任があります。

リポジトリのドキュメント

• LICENSE Apache License 2.0 の全文。
• NOTICE 配布物に適用される帰属表示およびその他の通知。
• CODE_OF_CONDUCT.md 参加に関するコミュニティ基準。
• CONTRIBUTING.md コントリビューションプロセスおよびコントリビューターの署名要件。
• SECURITY.md 脆弱性報告プロセス。
• TRADEMARK.md Nationwide およびプロジェクトのブランディングの使用規則。
• GOVERNANCE.md プロジェクトガバナンスおよびメンテナーの意思決定モデル。
• MAINTAINERS.md 現在のプロジェクトメンテナー。