Go
- ไฟล์ซอร์ส
- .go
- หลักฐาน dependency ในเครื่อง
- go.mod
CLI สำรวจความพร้อมควอนตัมแบบออฟไลน์
ค้นหาร่องรอยการเข้ารหัส สร้างบัญชีที่มีหลักฐานดีขึ้น
สำรวจวิธีที่ QuantumSafe Scanner ระบุรูปแบบซอร์สที่รองรับและการประกาศ dependency ในเครื่อง เพื่อให้คนทบทวนและใช้วางแผนเปลี่ยนผ่านสู่ PQC
สำหรับทีมวิศวกรรม SaaS และ SME ที่มีแอปพลิเคชันเฉพาะและต้องการจุดเริ่มต้นที่มีขอบเขตในการวางแผนความพร้อมควอนตัม ตกลงสิทธิ์ ภาษา และการจัดการหลักฐานก่อนสำรวจ
ต้นแบบในห้องปฏิบัติการ · สาธิตด้วยรายงานจำลอง
ต้นแบบภายในเครื่อง v0.2.0 · ยังไม่มีไฟล์ให้ดาวน์โหลดสาธารณะ
ข้อค้นพบไม่ยืนยันความครอบคลุมทั้งหมด การใช้ขณะทำงาน การปฏิบัติตามข้อกำหนด หรือความพร้อมระบบจริง ยังไม่มีไฟล์โปรแกรมให้ดาวน์โหลดสาธารณะ
สิ่งที่ v0.2.0 ตรวจพบ
v0.2.0 วิเคราะห์ภายในแต่ละไฟล์และใช้แค็ตตาล็อกที่ทบทวนแล้ว ประเภทไฟล์เป็นข้อมูลที่อาจตรวจได้ ไม่รับประกันว่าจะตรวจพบทุกโครงสร้างหรือการใช้การเข้ารหัส
- การใช้ API ด้านวิทยาการเข้ารหัสตามรายการที่ทบทวนแล้วในไฟล์ที่รองรับ โดยวิเคราะห์ภายในไฟล์เดียว
- การประกาศ dependency โดยตรงภายในเครื่องที่รู้จักเป็นค่าเริ่มต้น และเลือกตรวจหลักฐานจาก lockfile บางรูปแบบได้
- รายงานคอนโซล JSON schema v2 และ SARIF 2.1.0 พร้อมรายละเอียดความครอบคลุมและคำเตือน
ข้อมูลที่รองรับ ภายในขอบเขตของรุ่น
Python
- ไฟล์ซอร์ส
- .py / .pyi
- หลักฐาน dependency ในเครื่อง
- pyproject.toml / requirements*.txt
JavaScript
- ไฟล์ซอร์ส
- .js / .jsx / .mjs / .cjs
- หลักฐาน dependency ในเครื่อง
- package.json
TypeScript
- ไฟล์ซอร์ส
- .ts / .tsx / .mts / .cts
- หลักฐาน dependency ในเครื่อง
- package.json
Java
- ไฟล์ซอร์ส
- .java
- หลักฐาน dependency ในเครื่อง
- pom.xml / Gradle
C#
- ไฟล์ซอร์ส
- .cs
- หลักฐาน dependency ในเครื่อง
- MSBuild project/props XML / packages.config
ค่าเริ่มต้นตรวจการประกาศโดยตรง ส่วน lockfile ในเครื่องที่รู้จักเป็นตัวเลือก รองรับการประกาศค่าคงที่ตามที่กำหนด โครงสร้างไม่รู้จักหรือเปลี่ยนค่าแบบไดนามิกจะมีคำเตือน
หมวดการตรวจมีอัลกอริทึมกุญแจสาธารณะดั้งเดิม การเข้ารหัสสมมาตร แฮช หลักฐาน API ของ TLS/X.509, KDF/MAC/RNG, PQC และรูปแบบผสม ข้อสังเกต TLS/X.509 ในซอร์สไม่ใช่การสแกนใบรับรองหรือเครือข่าย
ไฟล์สร้างอัตโนมัติและโฟลเดอร์ vendor/build ทั่วไปถูกข้ามตามค่าเริ่มต้น ไฟล์ประกาศ TypeScript ต้องระบุรวมอย่างชัดเจน กฎละเว้น ตัวกรอง ขีดจำกัดการแยกวิเคราะห์ และคำเตือนมีผลต่อความครอบคลุม lockfile เป็นหลักฐานบางส่วน ไม่สร้างกราฟ dependency ทั้งหมด ไม่วิเคราะห์ CVE และไม่ใช่ SBOM หรือ CBOM
ตัวอย่างจำลองในห้องทดลอง · ไม่ใช่ผลของลูกค้า
ข้อค้นพบที่ตรวจสอบได้
ส่วนนี้มาจากรายงานตัวอย่างหกภาษาที่จัดเก็บไว้ ความครอบคลุมสมบูรณ์หมายถึงวิเคราะห์ไฟล์ที่อยู่ในขอบเขตที่รองรับครบ ไม่ได้หมายถึงบัญชีรายการทั้งระบบที่สมบูรณ์
ตัวอย่างจำลองในห้องทดลอง · ไม่ใช่ผลของลูกค้า
v0.2.0 / JSON schema v2หลักฐานที่สังเกตพบ ระดับความรุนแรงสูง
การใช้ RSA
Crypto.cs · บรรทัด 8
สิ่งที่บันทึกพบ
call System.Security.Cryptography.RSA.Createdirect-api-usage- กฎ
QS1001- อัลกอริทึม
RSA-2048- ความเชื่อมั่นในการตรวจพบ
0.99
ค่าความเชื่อมั่นอธิบายความมั่นใจในการตรวจพบ ไม่ใช่ความน่าจะเป็นที่ระบบใช้งานจริงไม่ปลอดภัย
[01] เหตุใดจึงสำคัญ
สิ่งที่พบนี้เป็นจุดเริ่มต้นของการทบทวนการเข้ารหัสแบบกุญแจสาธารณะ วัตถุประสงค์และโพรโทคอลที่เกี่ยวข้องเป็นตัวกำหนดคำถามในการย้ายระบบ
[02] สิ่งที่ยังไม่ทราบ
การพบในซอร์สโค้ดไม่ได้ยืนยันการใช้งานจริง อายุความลับของข้อมูล หรือการรองรับจากผู้ให้บริการ ต้องตรวจทานบริบทก่อนเลือกการเปลี่ยนแปลง
อ่านคำแนะนำต้นฉบับจากเครื่องมือสแกน
ข้อความต้นฉบับในรายงาน
RSA usage detected
Determine whether this RSA use provides key establishment, encryption, signatures, or another function. Assess ML-KEM for key establishment and ML-DSA or SLH-DSA for signatures only after confirming protocol and provider support.
ส่วนนี้มาจากรายงานตัวอย่างหกภาษาที่จัดเก็บไว้ ความครอบคลุมสมบูรณ์หมายถึงวิเคราะห์ไฟล์ที่อยู่ในขอบเขตที่รองรับครบ ไม่ได้หมายถึงบัญชีรายการทั้งระบบที่สมบูรณ์
เปิดรายงาน JSON ตัวอย่างจำลองฉบับเต็ม ↗อ่านข้อสังเกตหนึ่งรายการในบริบท
package.json:4
QS7001
declaration npm:jose
jose ^6.0.0- ตรวจพบ
- ข้อค้นพบ manifest จำลองด้านล่างระบุการประกาศ dependency ในเครื่อง ตำแหน่ง กฎ และสัญลักษณ์คัดจากรายงาน
- การตีความ
- แพ็กเกจการเข้ารหัสที่รู้จักเป็นจุดติดตามสำหรับบัญชี การประกาศอย่างเดียวไม่ยืนยันอัลกอริทึมที่ใช้จริง
- ยังไม่ยืนยัน
- การเรียกใช้ การเข้าถึง ช่องโหว่ ความต้านทานควอนตัม และความพร้อมระบบโดยรวมยังไม่ทราบ
- ตรวจสอบถัดไป
- สอบถามเจ้าของแอปว่าใช้แพ็กเกจจริงหรือไม่ ผู้เรียกใดเข้าถึงได้ และทำหน้าที่เข้ารหัสอะไร
- สถานะหลังทบทวน
- สถานะตัวอย่าง: ยังไม่ยุติ รอเจ้าของทบทวน หลังทบทวนจึงเก็บ แก้ หรือระบุว่ายังไม่ทราบ เครื่องสแกนไม่ได้ตัดสินใจแทน
จากข้อมูลที่อนุญาตสู่หลักฐานที่ทบทวน
- 01
อนุญาตข้อมูลในเครื่อง
ตกลงเจ้าของ repository ไฟล์ที่อนุญาต ขอบเขตเข้าถึง และการจัดการหลักฐาน
- 02
วิเคราะห์ข้อมูลที่รองรับ
ใช้โปรแกรมที่อนุมัติในสภาพแวดล้อมสิทธิ์ขั้นต่ำ การวิเคราะห์ซอร์สและ dependency ในเครื่องไม่ยืนยันพฤติกรรมขณะทำงาน
- 03
อ่านข้อค้นพบที่มีโครงสร้าง
ตรวจรุ่นรายงาน ความครอบคลุม คำเตือน ตัวกรอง และตำแหน่งก่อนตีความแต่ละข้อสังเกต
- 04
ทบทวนกับเจ้าของ
ยืนยันวัตถุประสงค์ การเข้าถึง การใช้ dependency และความไม่แน่นอนกับเจ้าของระบบ
- 05
ปรับบัญชี
เก็บข้อสังเกตที่ทบทวน แก้การตีความ และบันทึกคำถามที่ค้างหรือกรณีที่ควรประเมิน
เข้าใจรายงานก่อนดำเนินการ
- กฎและตำแหน่ง
- รหัสกฎระบุการตรวจ ไม่ใช่รหัสช่องโหว่ พาธสัมพัทธ์และช่วงซอร์สระบุตำแหน่งข้อสังเกต
- ประเภทหลักฐาน
- รูปแบบซอร์สกับการประกาศ dependency มีความหมายต่างกัน ทั้งคู่ไม่พิสูจน์การใช้งานจริงอัตโนมัติ
- ระดับความรุนแรง
- สัญญาณจากกฎเพื่อทบทวน ไม่ใช่ระดับความเสี่ยงองค์กรหรือช่องโหว่ที่ยืนยัน ต้องพิจารณาวัตถุประสงค์ การเปิดรับ และอายุข้อมูล
- ความเชื่อมั่น
- ความเชื่อมั่นการตรวจสะท้อนการตีความหลักฐานของเครื่องมือ ไม่ใช่เปอร์เซ็นต์ความพร้อมองค์กรหรือโอกาสที่ระบบจริงไม่ปลอดภัย
- สถานะทบทวนและข้อแนะนำ
- requiresReview ระบุว่าต้องให้คนทบทวน ข้อแนะนำชี้เรื่องที่ควรศึกษา ไม่ใช่คำสั่งแทนที่หรือใช้งานอัตโนมัติ
- ความครอบคลุมและคำเตือน
- ตรวจ coverage.complete ข้อมูลที่ข้าม คำเตือน การระงับข้อค้นพบ และตัวกรอง แม้ประมวลผลไฟล์ที่รองรับครบก็ไม่ใช่บัญชีระบบทั้งหมด
รูปแบบที่รู้จักอาจไม่ใช่การใช้การเข้ารหัสที่เข้าถึงได้ และอาจพลาด wrapper พฤติกรรมไดนามิก ไวยากรณ์ไม่รองรับ dependency ทางอ้อม หรือรายการนอกแค็ตตาล็อก ต้องทบทวนทั้งข้อค้นพบและช่องว่าง
แยกประเภทหลักฐานให้ชัด
- ข้อสังเกตรูปแบบซอร์ส
- รูปแบบ API ที่รองรับในไฟล์ การทำงานจริงต้องยืนยันแยก
- การประกาศ dependency
- พิกัดแพ็กเกจในเครื่องที่รู้จัก ไม่อนุมานการใช้หรือการเข้าถึง
- ข้อมูลจำลอง
- ข้อมูลสร้างขึ้นเพื่อแสดงรูปแบบรายงาน ไม่ใช่ผลลูกค้า
- ผลทดสอบห้องปฏิบัติการ
- ผลจากการทดสอบและสภาพแวดล้อมเฉพาะ ไม่ใช่การรับรองระบบจริงโดยอัตโนมัติ
จากข้อค้นพบสู่การตัดสินใจเปลี่ยนผ่าน
เจ้าของธุรกิจ ระยะเวลาเก็บข้อมูล ความพร้อมผู้ให้บริการ และความเป็นไปได้ในการเปลี่ยนผ่านต้องใช้หลักฐานเพิ่มเติมและการทบทวนโดยผู้ประเมิน งานตามขอบเขตสามารถจัดทำข้อค้นพบที่ทบทวนแล้ว ช่องว่างหลักฐาน และลำดับการดำเนินการถัดไป
บัญชีรายการวิทยาการเข้ารหัสตามขอบเขต ↗การประเมินความพร้อม ↗วิธีประเมินหลักฐาน
เอกสาร repository อธิบาย fixture จำลองที่มีรูปแบบคาดว่าจะพบและไม่พบ การตรวจ parser และ binding การตรวจ schema และคำเตือนความครอบคลุม สิ่งเหล่านี้ทดสอบขอบเขตการนำไปใช้ ไม่ใช่ชุดข้อมูลแทนระบบจริงหรือเกณฑ์วัด precision/recall ที่เผยแพร่ หน้านี้ไม่อ้างอัตราตรวจพบหรือประสิทธิภาพ
รุ่นและความเข้ากันได้ของรายงาน
- v0.2.0 / JSON 2.0.0
- ตัวอย่างใช้โมเดลซอร์สหกภาษาและ dependency ในเครื่อง เอกสารยังระบุผลแบบ console และ SARIF 2.1.0
- โหมด schema v1 เดิม
- โหมดเข้ากันได้เฉพาะ Go ต้องเลือกชัดเจน คงรูปแบบเดิมและปิดการค้น dependency ไม่ใช่ตัวอย่างที่แสดงนี้
เมื่อเทียบรายงาน ให้เทียบรุ่น scanner, ruleset, knowledge, parser catalog, dependency catalog และ schema จำนวนข้อค้นพบอาจเปลี่ยนตามแค็ตตาล็อกแม้ schema ยังเข้ากันได้ การเปลี่ยนความหมายแบบไม่เข้ากันต้องใช้ schema ใหม่ อย่าสมมติว่ารุ่นอนาคตทุกแบบใช้แทนกันได้
การแจกจ่ายให้ลูกค้าต้องผ่านการตรวจสอบรุ่นและเงื่อนไขการแจกจ่ายก่อน คุณสามารถดูตัวอย่างและหารือขอบเขตการประเมินได้
วิเคราะห์ในเครื่อง พร้อมขอบเขตการจัดการข้อมูลที่ชัดเจน
CLI ปัจจุบันไม่เชื่อมต่อเครือข่ายขณะทำงาน ไม่ส่ง telemetry ไม่คอมไพล์หรือเรียกโค้ดลูกค้า และไม่เรียกตัวจัดการแพ็กเกจ แต่ wrapper ภายนอก ระบบ CI ที่เก็บรายงาน และสภาพแวดล้อมของคุณอาจส่งข้อมูลนอกการควบคุมเครื่องสแกน รายงานมีพาธสัมพัทธ์และข้อมูลการเข้ารหัสจึงควรถือว่าอ่อนไหว เว็บไซต์นี้ไม่รับ repository หรือรายงานอัปโหลด ข้อมูลแบบฟอร์มใช้ Supabase และ LINE แยกต่างหาก
อ่านนโยบายความเป็นส่วนตัวของเว็บไซต์ ↗คำถามก่อนใช้หลักฐานจากเครื่องสแกน
พบข้อค้นพบแปลว่าระบบมีช่องโหว่หรือไม่?
ไม่ เป็นข้อสังเกตที่ต้องมีบริบทและคนทบทวน การพบในซอร์สไม่ยืนยันการเรียกใช้ การเปิดรับ หรือช่องโหว่
รายงานว่างแปลว่าพร้อมหรือไม่?
ไม่ ตรวจข้อมูลที่รองรับ สิ่งที่ข้าม คำเตือน การระงับ และตัวกรอง อาจยังมีรูปแบบและ dependency ที่ตรวจไม่พบ
ประกาศ dependency แปลว่าใช้งานจริงหรือไม่?
ไม่ การประกาศในเครื่องไม่พิสูจน์การใช้ขณะทำงาน การเข้าถึง หรืออัลกอริทึมที่แอปเลือก
เครื่องสแกนตรวจโครงสร้างพื้นฐานที่ใช้งานแล้วได้หรือไม่?
ไม่ได้ ไม่สแกน runtime เครือข่าย ใบรับรอง การตั้งค่า ไบนารี หรือระบบคลาวด์
อัปโหลดซอร์สหรือติดต่อบริการภายนอกหรือไม่?
CLI ปัจจุบันไม่มีเครือข่ายขณะทำงานหรือ telemetry แต่ wrapper, CI, ที่เก็บ และสภาพแวดล้อมอยู่นอกขอบเขตนี้ แบบฟอร์มเว็บไซต์ใช้ผู้ให้บริการแยก
ดาวน์โหลดหรือใช้งานได้วันนี้หรือไม่?
ยังไม่มีไฟล์โปรแกรมดาวน์โหลดสาธารณะ คู่มืออธิบายวิธีสำหรับโปรแกรมที่อนุมัติ ไม่ใช่ข้อเสนอให้ติดตั้งสาธารณะ
ควรจัดการรายงานอ่อนไหวอย่างไร?
ตกลงสิทธิ์ ผู้รับ ที่เก็บ และระยะเก็บก่อนรวบรวม ไม่ส่ง repository กุญแจ ข้อมูลรับรอง หรือรายงานลับผ่านแบบฟอร์มเว็บไซต์
ใช้ข้อสังเกตเพื่อถามคำถามที่ตรงประเด็นขึ้น
บอกเราว่าต้องการศึกษาระบบหรือการตัดสินใจใด เริ่มจากภาพรวม ไม่ส่งข้อมูลรับรอง กุญแจส่วนตัว ความลับ หรือรายงานลับ
หารือการประเมิน repository ↗