cryptoptic

在量子计算机替你发现之前，先找出代码中隐藏的密码学。

cryptoptic 使用 CodeQL 和 GitHub Actions 扫描一个代码仓库或整个 GitHub 组织，并生成一份清单，列出所有正在使用的密码学函数、它们所属的库以及调用位置。

---

为什么需要它

具有密码学相关能力的量子计算即将到来，这意味着当今广泛使用的许多算法将无法再保障数据安全。“先收集，后解密”使这成为当下的风险，而非未来的风险。

在组织能够迁移到后量子算法之前，它需要了解密码学在其代码库中的使用情况。cryptoptic 有助于创建这份密码学物料清单（CBOM），从而可以将存在漏洞的算法替换为量子安全替代方案，或对其进行透明管理。

cryptoptic 由 Nationwide Building Society 构建并在内部使用。现发布于此，供更广泛的社区使用。

功能

• 扫描单个代码仓库，或组织中的每个代码仓库。
• 识别密码学函数调用、每个调用所属的库，以及每次使用的文件和位置。
• 在 GitHub Actions 中运行，无需第三方服务，代码不会离开 GitHub。
• 以 SARIF 格式输出结果，可在 Actions 运行中查看，也可供下游工具使用。

支持的语言

快速开始

前提条件

• 一个 GitHub 账户，且有权访问要扫描的代码仓库或组织。
• 运行扫描的代码仓库已启用 GitHub Actions。

运行扫描

1. 克隆此代码仓库，并在你选择的编辑器中打开它。

2. 编辑 .github/workflows/org-codeql-sarif-run.yml，并设置所需的工作流值。

工作流设置

3. 提交并推送你的更改。

4. 转到 GitHub 中的 Actions 选项卡，并从左侧边栏中选择 CodeQL org run (crypto inventory)。

5. 点击 Run workflow，选择要运行的分支，然后点击绿色的 Run workflow 按钮。

查看结果

生成的文件会作为工作流运行中的构件发布：

• 组织范围的扫描 → 位于 CodeQL org run 下。
• 单代码仓库扫描 → 位于 Security Scanning Workflow 下。

开发

要开发 cryptoptic 本身，你需要：

• Python 3
• CodeQL CLI 或 CodeQL extension for Visual Studio Code

路线图

• Java 支持。
• 扩展当前支持语言的查询覆盖范围。

贡献

欢迎贡献，包括代码、查询、文档、测试和错误报告。参与前请阅读行为准则；它适用于每个项目空间。

• 对于错误和功能请求，请提交 GitHub Issue。
• 在实现之前，请在 Issue 或 Discussion 中讨论重大更改；这些更改需要至少两名维护者的批准。
• 以拉取请求的形式提交你的工作。通过贡献，你同意你的贡献按 Apache License 2.0 许可。
• 贡献者必须使用 CONTRIBUTING.md 中描述的开发者原创证书流程对提交进行签署。未包含有效 DCO 签署的贡献可能不会被接受。
• 维护者可自行决定拒绝贡献，包括他们提出法律、安全、质量、制裁、出口管制或项目治理方面顾虑的情况。

有关决策方式，请参见 GOVERNANCE.md；有关联系对象，请参见 MAINTAINERS.md。

安全

请勿通过公开的 GitHub issue 报告安全漏洞。 有关如何私下报告以及报告后的预期，请参见 SECURITY.md。

许可证

本项目按 Apache License, Version 2.0 许可。许可证副本应包含在代码仓库中名为 LICENCE 或 LICENSE 的文件中。用户在使用、修改或分发本项目之前，应查看许可证条款。

在重新分发本项目时，Apache License 2.0 要求保留适用的版权、专利、商标和署名声明，包含许可证副本，在适用时包含修改文件的通知，并妥善处理随项目提供的任何 NOTICE 文件。

声明

如果代码仓库包含 NOTICE 文件，用户和重新分发者必须根据 Apache License 2.0 保留该文件中包含的署名声明。NOTICE 文件应保持准确，并应反映适用于分发内容的通知。

商标与品牌

Apache License 2.0 不授予使用 Nationwide 的名称、徽标、商标或品牌的许可。任何对 Nationwide 品牌或项目特定品牌的使用都必须遵守项目单独的商标政策。

无保证 / 无责任

如 Apache License 2.0 所述，本项目按“原样”提供，不附带任何形式的保证或条件。用户有责任确定本项目是否适合其用途，并在依赖任何输出之前对其进行验证。

代码仓库文档

• LICENSE 完整的 Apache License 2.0 文本。
• NOTICE 适用于分发的署名和其他通知。
• CODE_OF_CONDUCT.md 参与社区的标准。
• CONTRIBUTING.md 贡献流程和贡献者签署要求。
• SECURITY.md 漏洞报告流程。
• TRADEMARK.md 使用 Nationwide 和项目品牌的规则。
• GOVERNANCE.md 项目治理和维护者决策模型。
• MAINTAINERS.md 当前项目维护者。