cryptoptic

양자 컴퓨터가 당신을 대신해 찾아내기 전에, 코드에 숨어 있는 암호학을 먼저 찾아내세요.

cryptoptic은 CodeQL과 GitHub Actions를 사용하여 저장소 또는 전체 GitHub 조직을 스캔하고, 사용 중인 모든 암호화 함수와 그 함수가 유래한 라이브러리, 그리고 호출 위치에 대한 인벤토리를 생성합니다.

---

이 프로젝트가 존재하는 이유

암호학적으로 유의미한 양자 컴퓨팅의 도래가 예상됨에 따라, 오늘날 널리 사용되는 많은 알고리즘이 더 이상 데이터를 안전하게 보호하지 못하게 될 것입니다. "지금 수집하고, 나중에 복호화한다(Harvest now, decrypt later)"는 특성 때문에 이는 미래의 위험이 아니라 현재의 위험입니다.

조직이 포스트 양자 알고리즘으로 마이그레이션하기 위해서는 먼저 코드베이스 전반에서 암호학이 어디에 사용되는지 파악해야 합니다. cryptoptic은 이러한 암호화 자재 목록(CBOM, Cryptographic Bill of Materials)을 작성하는 데 도움을 주어, 취약한 알고리즘을 양자 안전 대안으로 교체하거나 투명하게 관리할 수 있도록 합니다.

cryptoptic은 Nationwide Building Society에서 개발되어 내부적으로 사용되고 있습니다. 더 넓은 커뮤니티를 위해 이곳에 공개합니다.

주요 기능

• 단일 저장소 또는 조직 내 모든 저장소를 스캔합니다.
• 암호화 함수 호출, 각 호출이 유래한 라이브러리, 그리고 각 사용의 파일과 위치를 식별합니다.
• GitHub Actions 내에서 실행되며, 서드파티 서비스가 필요 없고 코드가 GitHub를 벗어나지 않습니다.
• 결과를 SARIF로 출력하여 Actions 실행에서 확인하고 다운스트림 도구에서 활용할 수 있습니다.

지원 언어

시작하기

사전 요구 사항

• 스캔하려는 저장소 또는 조직에 접근할 수 있는 GitHub 계정.
• 스캔을 실행하는 저장소에서 GitHub Actions가 활성화되어 있어야 합니다.

스캔 실행

1. 이 저장소를 클론하고 원하는 편집기에서 엽니다.

2. .github/workflows/org-codeql-sarif-run.yml을 편집하고 필요한 워크플로 값을 설정합니다.

워크플로 설정

3. 변경 사항을 커밋하고 푸시합니다.

4. GitHub에서 Actions 탭으로 이동하여 왼쪽 사이드바에서 CodeQL org run (crypto inventory) 를 선택합니다.

5. Run workflow를 클릭하고 실행할 브랜치를 선택한 후 초록색 Run workflow 버튼을 클릭합니다.

결과 확인

생성된 파일은 워크플로 실행의 아티팩트로 게시됩니다:

• 조직 전체 스캔 → CodeQL org run 아래.
• 단일 저장소 스캔 → Security Scanning Workflow 아래.

개발

cryptoptic 자체를 개발하려면 다음이 필요합니다:

• Python 3
• CodeQL CLI 또는 CodeQL extension for Visual Studio Code 중 하나

로드맵

• Java 지원.
• 현재 지원되는 언어에 대한 쿼리 범위 확장.

기여

코드, 쿼리, 문서, 테스트, 버그 리포트를 포함한 기여를 환영합니다. 참여하기 전에 행동 강령을 읽어 주세요. 이는 모든 프로젝트 공간에 적용됩니다.

• 버그 및 기능 요청은 GitHub Issue를 열어 주세요.
• 중요한 변경 사항은 구현 전에 Issue 또는 Discussion에서 논의해 주세요. 이러한 변경에는 최소 두 명의 메인테이너의 승인이 필요합니다.
• 작업을 풀 리퀘스트로 제출해 주세요. 기여함으로써 귀하의 기여가 Apache License 2.0에 따라 라이선스됨에 동의하게 됩니다.
• 기여자는 CONTRIBUTING.md에 설명된 Developer Certificate of Origin 절차에 따라 커밋에 서명해야 합니다. 유효한 DCO 서명이 포함되지 않은 기여는 수락되지 않을 수 있습니다.
• 메인테이너는 법적, 보안, 품질, 제재, 수출 통제 또는 프로젝트 거버넌스 관련 우려가 제기되는 경우를 포함하여 재량에 따라 기여를 거절할 수 있습니다.

의사 결정 방식은 GOVERNANCE.md를, 연락할 대상은 MAINTAINERS.md를 참조하세요.

보안

보안 취약점을 공개 GitHub 이슈를 통해 보고하지 마세요. 비공개로 보고하는 방법과 보고 후 예상되는 사항은 SECURITY.md를 참조하세요.

라이선스

이 프로젝트는 Apache License, Version 2.0에 따라 라이선스가 부여됩니다. 라이선스 사본은 LICENCE 또는 LICENSE라는 이름의 파일로 저장소에 포함되어야 합니다. 사용자는 프로젝트를 사용, 수정 또는 배포하기 전에 라이선스 조건을 검토해야 합니다.

프로젝트가 재배포되는 경우, Apache License 2.0은 해당 저작권, 특허, 상표 및 저작자 표시 고지의 보존, 라이선스 사본의 포함, 해당되는 경우 수정된 파일에 대한 고지, 그리고 프로젝트에 포함된 NOTICE 파일의 적절한 처리를 요구합니다.

고지

저장소에 NOTICE 파일이 포함된 경우, 사용자와 재배포자는 Apache License 2.0에 따라 해당 파일에 포함된 저작자 표시 고지를 보존해야 합니다. NOTICE 파일은 정확하게 유지되어야 하며 배포물의 내용에 적용되는 고지를 반영해야 합니다.

상표 및 브랜딩

Apache License 2.0은 Nationwide의 이름, 로고, 상표 또는 브랜딩을 사용할 권한을 부여하지 않습니다. Nationwide 브랜딩 또는 프로젝트 특정 브랜딩의 사용은 프로젝트의 별도 상표 정책을 준수해야 합니다.

보증 없음 / 책임 없음

Apache License 2.0에 설명된 대로, 이 프로젝트는 어떠한 종류의 보증도 없이 "있는 그대로(AS IS)" 제공됩니다. 사용자는 프로젝트가 자신의 용도에 적합한지 판단하고, 결과에 의존하기 전에 출력을 검증할 책임이 있습니다.

저장소 문서

• LICENSE 전체 Apache License 2.0 텍스트.
• NOTICE 배포물에 적용되는 저작자 표시 및 기타 고지.
• CODE_OF_CONDUCT.md 참여를 위한 커뮤니티 표준.
• CONTRIBUTING.md 기여 절차 및 기여자 서명 요건.
• SECURITY.md 취약점 보고 절차.
• TRADEMARK.md Nationwide 및 프로젝트 브랜딩 사용 규칙.
• GOVERNANCE.md 프로젝트 거버넌스 및 메인테이너 의사 결정 모델.
• MAINTAINERS.md 현재 프로젝트 메인테이너.