cyberjez/pqc-scanner
PQC Network Scanner — это инструмент оценки сети, ориентированный на квантовые технологии, который сканирует сертификаты TLS/SSL в корпоративных средах для выявления систем, уязвимых к будущим квантовым атакам. Он доступен как в виде исполняемого файла для Windows, так и в виде Python-скрипта, что упрощает его развертывание в самых разных сетях.
Сканер PQC‑сетей (PQC Network Scanner) — это специализированный инструмент оценки, созданный для того, чтобы помочь организациям понять свою криптографическую подверженность рискам в процессе перехода к постквантовой модели безопасности. В отличие от традиционных TLS‑сканеров, которые сосредоточены исключительно на действительности сертификатов или классической криптографической стойкости, этот сканер оценивает конечные точки через «квантово‑осведомлённую» призму. Он проверяет не только ключи RSA и на эллиптических кривых, но и выявляет новые постквантовые алгоритмы, гибридные развёртывания и экспериментальные PQC‑индикаторы, встроенные в сертификаты, расширения и наборы шифров. Это делает его уникально подходящим для сред, готовящихся к криптографическому сдвигу, обусловленному стандартизацией PQC от NIST и растущей угрозой со стороны злоумышленников, действующих по схеме «собирай сейчас, расшифровывай потом» (harvest now, decrypt later).
По своей сути сканер выполняет глубокую проверку TLS‑конечных точек во внутренней сети. Он извлекает и анализирует полные цепочки сертификатов, оценивает типы и размеры ключей, обнаруживает PQC‑связанные OID и идентифицирует гибридные механизмы обмена ключами, такие как X25519+Kyber. Инструмент также проверяет версии протокола TLS и наборы шифров, чтобы определить, поддерживают ли конечные точки Perfect Forward Secrecy (PFS) или полагаются на устаревшие, уязвимые к квантовым атакам конфигурации. Объединяя эти данные, сканер обеспечивает комплексное представление о криптографической устойчивости как в классическую, так и в квантовую эпоху.
Помимо криптографии, сканер включает интеллектуальную идентификацию устройств. Он сопоставляет метаданные сертификатов, DNS‑информацию и соглашения об именовании для классификации конечных точек, таких как маршрутизаторы, межсетевые экраны, VPN‑шлюзы, веб‑серверы и серверы приложений. Такая контекстная осведомлённость помогает командам безопасности понимать не только то, какая криптография развёрнута, но и где она находится в сети. Это важная возможность для создания реестра криптографических активов (crypto inventory) и определения приоритетов при устранении уязвимостей.
Итоговый отчёт содержит технические детали с понятными, практическими комментариями. Каждая конечная точка оценивается на предмет квантовой уязвимости, готовности к PQC, состояния TLS и целостности цепочки сертификатов. Отчёт выделяет конфигурации высокого риска, определяет развёртывания с поддержкой PQC или гибридные развёртывания и предоставляет рекомендации по миграции в соответствии с новыми стандартами, такими как ML‑DSA и ML‑KEM. Сводные разделы обобщают результаты по всей просканированной среде, предлагая общий взгляд на готовность организации и её подверженность рискам.
Версия 2.0 предназначена для использования в корпоративных сетях, где IDS/IPS могут создавать проблемы. Поэтому она замедляет и рандомизирует трафик сканирования, чтобы не вызывать срабатывание IDS/IPS. Это обеспечивает регулирование темпа (pacing) как для проверок портов, так и для TLS‑рукопожатий, и рекомендуется для производственных или контролируемых сетей.
