quantakrypto pqc-tools

quantakrypto-tools

quantakrypto が提供する、ポスト量子対応状況を整えるためのオープンソースツールです。 あらゆるコードベースから量子コンピューターに脆弱な暗号技術を見つけ出し、エディターや CI にポスト量子対応を組み込み、ポスト量子実装の適合性をテストできます。 実行時依存関係はゼロ（Node の組み込み機能のみ）です。

設計目標： シンプルで整った再利用可能なコード、実行時依存関係ゼロ、 すべてをドキュメント化し、テストとサンプルを用意します。

同梱内容

ツール	機能	入手方法
qScan (@quantakrypto/qscan)	14 言語（JS/TS、Python、Go、Java/Kotlin/Scala、C#、Rust、Ruby、PHP、Elixir、C/C++、Swift、Objective-C、Dart、Solidity/Move/Cairo）を対象に、量子コンピューターに脆弱な暗号（RSA、(EC)DH、ECDSA、EdDSA、…）を検出し、準備状況スコアを出力する CLI です。SARIF / JSON / CBOM / 証跡（ISO 27001 A.8.24）/ OpenVEX の出力、ベースライン、増分スキャンと並列スキャンに対応しています。コンプライアンス義務のゲートでは、--mandate cnsa-2.0 / nist-ir-8547 を指定すると、禁止対象の検出項目ごとに日付付きの条項を報告し、その義務の期限に達した際にビルドを失敗させます（--lead-months、--fail-now）。オプトインの --triage（BYOK LLM による再ランク付け／説明）と qremediate コードモッド CLI も利用できます。	npx @quantakrypto/qscan ./
MCP (@quantakrypto/mcp)	AI コーディングエージェントに耐量子暗号への準備状況を確認するツール（16 個のツール — scan、inventory、explain、suggest-hybrid、CBOM、plan-migration、triage、remediate、probe-endpoint、…）を提供する Model Context Protocol サーバーです。ローカル stdio と、ホスト可能な HTTP に対応しています。	claude mcp add quantakrypto npx @quantakrypto/mcp
Sieve (@quantakrypto/sieve)	JSON の stdin/stdout プロトコルを介して実行する、ML-KEM（FIPS 203）、ML-DSA（FIPS 204）、SLH-DSA（FIPS 205）の実装向け適合性テスト一式です。	npx @quantakrypto/sieve --help
Action (@quantakrypto/action)	CI で qScan/Sieve/qProbe のチェックを実行し、コードスキャンへのアップロード用に SARIF を書き込み、差分に注釈を付け、新たに検出された量子コンピューターに脆弱な暗号に対してのみビルドを失敗させる GitHub Action です。	uses: quantakrypto/pqc-tools/packages/action@v1
agent (@quantakrypto/agent)	qScan の --triage と qremediate --llm を支える、オプションの依存関係ゼロの BYOK（bring-your-own-key）LLM クライアントです（ネイティブの fetch、Anthropic および OpenAI 互換アダプター）。ネットワーク接続とキーを保持するため、分離してあります（qProbe も参照）。	npm i @quantakrypto/agent
qProbe (@quantakrypto/qprobe)	所有するライブ TLS/SSH エンドポイントを能動的にプローブし、耐量子暗号への準備状況（PQC ハイブリッド鍵交換（X25519MLKEM768）および従来型証明書の状態）を確認します。所有権の証明が必要です。変更は行わず、報告のみを行います（「エンジンが破棄します」）。THREAT-MODEL を参照してください。	npx @quantakrypto/qprobe --i-own-this host

qScan、MCP、Action、agent、qProbe はすべて、@quantakrypto/core（npm i @quantakrypto/core）のエンジンを共有しています。エンジンには、検出器、脆弱な依存関係の DB、準備状況スコア、SARIF/JSON/CBOM/証跡/OpenVEX のレポート機能、およびオフラインのエージェントプレーン向けプリミティブ（コンテキストのリダクター、verify_fix ゲート、コードモッド、パッチポリシー）が含まれます。Sieve は単体で動作し、他の実装をテストするものであり、暗号自体は実装していません。

インフラストラクチャのカバレッジ。 アプリケーションのソースコードに加えて、共有 core エンジンには、Terraform/OpenTofu IaC とクラウド KMS、JSON Web Keys、Kubernetes / cert-manager / Istio、CI/CD のアーティファクトおよびコード署名（cosign/GPG/jarsigner/codesign/minisign）、保存時のシークレット（SOPS/age、PGP、Sealed Secrets）、メッセージブローカー（Kafka/MQTT）、データベース（pgcrypto、libpq sslmode）、JOSE/JWE の鍵管理を対象とする構成スコープの検出器も含まれています。そのため、qscan、Action、MCP は追加のインストールなしでインフラストラクチャの暗号を検出できます。qProbe はライブエンドポイントの確認にも対応します（上の表を参照）。インフラストラクチャに関する基本的な考え方は、今すぐ収集し、後で復号することです。CRQC が実現すれば、今日収集されたデータやシークレットが復号可能になります。

クイックスタート

# 1. Scan a codebase for quantum-vulnerable cryptography.
npx @quantakrypto/qscan ./

# 2. Give your AI coding agent post-quantum readiness tools.
claude mcp add quantakrypto npx @quantakrypto/mcp

# 3. Conformance-test a post-quantum implementation (adapter speaks the JSON protocol).
npx @quantakrypto/sieve --impl "node ./my-impl.js" --param ml-kem-768

# 4. Gate against a compliance mandate's dated deadlines (CNSA 2.0 / NIST IR 8547).
#    Verdicts also ride in --format json/sarif/evidence; --policy lets an org
#    acknowledge families it is knowingly migrating (exempt from early gating).
npx @quantakrypto/qscan ./ --mandate cnsa-2.0 [--policy .quantakrypto/crypto-policy.json]

CI ゲートを追加するには、 packages/action/examples/quantum-readiness.yml を .github/workflows/ に配置するか、次のように直接設定してください。

- uses: quantakrypto/pqc-tools/packages/action@v1
  with:
    path: "."
    severity-threshold: "high"

各パッケージの README には、オプションの完全なリファレンスとその他の例が記載されています： qScan · MCP · Sieve · Action · core · agent。

PQC ライブラリ（liboqs / OQS）と quantakrypto を併用する

quantakrypto は、設計上、耐量子暗号を実装していません。実際の PQC ライブラリ（liboqs / Open Quantum Safe など）の周囲で利用するスキャナー、CI ゲート、適合性テストハーネスです。これらは連携して機能します。quantakrypto は従来型暗号を検出してゲートで制御し（qscan、Action）、移行先と移行順序を示し（qscan --tier、MCP plan_migration、qremediate）、置き換え後の実装を適合性テストします （sieve は、ML-KEM／ML-DSA／SLH-DSA の実装を FIPS 203/204/205 に照らしてテストします。公式の NIST ACVP ベクトルを指定すると、厳密な値の KAT を実行します）。liboqs は暗号プリミティブを提供します。

スキャン → 移行 → 検証 → ゲートの一連の手順を解説する examples/liboqs-migration/ のエンドツーエンドのチュートリアルをご覧ください。

ワークスペースの構成

quantakrypto-tools/
├── packages/
│   ├── core/     @quantakrypto/core    — shared engine (the contract lives in src/types.ts + src/index.ts)
│   ├── qscan/    @quantakrypto/qscan   — CLI
│   ├── mcp/      @quantakrypto/mcp     — MCP server (stdio now, HTTP scaffold for hosting)
│   ├── action/   @quantakrypto/action — GitHub Action
│   ├── sieve/    @quantakrypto/sieve   — conformance battery + JSON protocol
│   ├── agent/    @quantakrypto/agent   — opt-in BYOK LLM client (triage + remediation)
│   └── qprobe/   @quantakrypto/qprobe  — active TLS/SSH endpoint probing (gated; the only prober)
├── docs/         architecture, hosted-MCP design, improvement roadmap
└── examples/     end-to-end examples

開発

Node ≥ 20 が必要です。

npm install        # links the workspaces
npm run build      # tsc --build (project references)
npm test           # node:test across all packages

ツールチェーンは意図的に最小限にしています。.ts 上で node:test を実行するための TypeScript + tsx のみが開発依存関係であり、実行時依存関係はありません。

ドキュメントとコンプライアンス

すべてのドキュメントは docs/ にあります。

• 目的と範囲 — ツールチェーンの目的、各ライブラリの機能、重要な設計上の判断、意図的に定めた範囲の境界について説明します。まずはこちらをご覧ください。
• アーキテクチャ上の決定 — 重要な各選択（依存関係ゼロ、共有コア契約、2 プレーン構成のエージェントなど）の変わることのない「理由」を説明します。
• 標準とコンプライアンス — ツールが対象とするもの、および準拠可能な標準を説明します：NIST FIPS 203/204/205、SP 800-208、CNSA 2.0、SARIF、CWE、 ISO/IEC 27001 (A.8.24)、Common Criteria、FIPS 140-3、EU DORA/NIS2、米国の M-23-02 / NSM-10、OSS の保証（SLSA、OpenSSF Scorecard、SPDX/REUSE）。
• ガバナンス： 貢献 · セキュリティ · 行動規範 · 変更履歴。

ライセンス

Apache-2.0。手法はオープンです。quantakrypto の実践は、評価、証明レポート、成果物に反映されます。

サポートとトレーニング

ご質問、商用サポート、チーム向けの耐量子対応トレーニングについては、 quantakrypto.com をご覧いただくか、 [email protected] までメールでお問い合わせください。