quantakrypto pqc-tools

quantakrypto-tools

由 quantakrypto 提供的开源后量子就绪工具。 在任意代码库中查找易受量子攻击的密码学，将后量子就绪能力集成到编辑器和 CI 中，并对后量子实现进行一致性测试—— 不含任何运行时依赖项（仅使用 Node 内置模块）。

设计目标： 简单、清晰、可复用的代码；不含任何运行时依赖项； 所有内容均有文档、测试和示例。

包含内容

工具	功能	获取方式
qScan (@quantakrypto/qscan)	CLI，可在 14 种语言（JS/TS、Python、Go、Java/Kotlin/Scala、C#、Rust、Ruby、PHP、Elixir、C/C++、Swift、Objective-C、Dart、Solidity/Move/Cairo）中查找易受量子攻击的加密算法（RSA、(EC)DH、ECDSA、EdDSA，等等），并输出就绪度评分。支持 SARIF / JSON / CBOM / 证据（ISO 27001 A.8.24）/ OpenVEX 输出、基线、增量扫描和并行扫描。合规要求门控：--mandate cnsa-2.0 / nist-ir-8547 会针对每项禁用项报告其注明日期的条款，并在达到要求期限时使构建失败（--lead-months、--fail-now）。可选择启用 --triage（使用自带密钥的 LLM 重新排序/解释），以及 qremediate 代码修改 CLI。	npx @quantakrypto/qscan ./
MCP (@quantakrypto/mcp)	Model Context Protocol 服务，为 AI 编码 Agent 提供后量子就绪度工具（16 种工具——扫描、清单、解释、建议混合方案、CBOM、迁移规划、分类、修复、探测端点，等等）。支持本地 stdio 和可托管的 HTTP。	claude mcp add quantakrypto npx @quantakrypto/mcp
Sieve (@quantakrypto/sieve)	ML-KEM（FIPS 203）、ML-DSA（FIPS 204）和 SLH-DSA（FIPS 205）实现的符合性测试套件，通过 JSON stdin/stdout 协议驱动。	npx @quantakrypto/sieve --help
Action (@quantakrypto/action)	GitHub Action，可在 CI 中运行 qScan/Sieve/qProbe 检查、写入 SARIF 供代码扫描上传、为差异添加注释，并且仅在发现新的易受量子攻击的加密算法时使构建失败。	uses: quantakrypto/pqc-tools/packages/action@v1
agent (@quantakrypto/agent)	可选的零依赖 BYOK（自带密钥）LLM 客户端（原生 fetch；Anthropic + OpenAI 兼容适配器），为 qScan --triage 和 qremediate --llm 提供支持。需要联网并持有密钥，因此保持隔离（另见 qProbe）。	npm i @quantakrypto/agent
qProbe (@quantakrypto/qprobe)	主动探测你拥有的在线 TLS/SSH 端点，检查其后量子就绪度——PQC 混合密钥交换（X25519MLKEM768）和经典证书状况。必须通过所有权声明门控；只报告，不修改（“引擎负责处置”）。参见 THREAT-MODEL。	npx @quantakrypto/qprobe --i-own-this host

qScan、MCP、Action、agent 和 qProbe 均共享 @quantakrypto/core 中的引擎（npm i @quantakrypto/core）——检测器、 易受攻击的依赖项数据库、就绪度评分、SARIF/JSON/CBOM/证据/OpenVEX 报告，以及 离线 Agent 层基础组件（上下文脱敏器、verify_fix 门控、代码修改工具、补丁 策略）。Sieve 独立运行：它测试其他实现，不实现任何 加密算法。

基础设施覆盖范围。 除应用程序源代码之外，共享的 core 引擎还包含适用于 Terraform/OpenTofu IaC 和云 KMS、JSON Web Keys、Kubernetes / cert-manager / Istio、CI/CD 构件与代码签名 （cosign/GPG/jarsigner/codesign/minisign）、静态密钥（SOPS/age、PGP、Sealed Secrets）、消息代理（Kafka/MQTT）、数据库（pgcrypto、libpq sslmode）以及 JOSE/JWE 密钥管理的配置范围检测器——因此，qscan、Action 和 MCP 无需额外安装即可标记基础设施加密问题。qProbe 补充了在线端点维度（见上表）。基础设施方面的核心叙述是现在收集，以后解密：今天捕获的数据和密钥，待 CRQC 出现后即可解密。

快速开始

# 1. Scan a codebase for quantum-vulnerable cryptography.
npx @quantakrypto/qscan ./

# 2. Give your AI coding agent post-quantum readiness tools.
claude mcp add quantakrypto npx @quantakrypto/mcp

# 3. Conformance-test a post-quantum implementation (adapter speaks the JSON protocol).
npx @quantakrypto/sieve --impl "node ./my-impl.js" --param ml-kem-768

# 4. Gate against a compliance mandate's dated deadlines (CNSA 2.0 / NIST IR 8547).
#    Verdicts also ride in --format json/sarif/evidence; --policy lets an org
#    acknowledge families it is knowingly migrating (exempt from early gating).
npx @quantakrypto/qscan ./ --mandate cnsa-2.0 [--policy .quantakrypto/crypto-policy.json]

将 packages/action/examples/quantum-readiness.yml 放入 .github/workflows/，即可添加 CI 门禁；也可以直接接入：

- uses: quantakrypto/pqc-tools/packages/action@v1
  with:
    path: "."
    severity-threshold: "high"

每个软件包的 README 都提供完整的选项参考和更多示例： qScan · MCP · Sieve · Action · core · agent。

将 quantakrypto 与 PQC 库（liboqs / OQS）结合使用

quantakrypto 按设计不实现后量子密码学——它是围绕真正的 PQC 库（例如 liboqs / Open Quantum Safe）使用的扫描器、CI 门禁和符合性测试工具。两者可以配合使用：quantakrypto 查找并限制传统密码学的使用（qscan、Action），告知你要迁移到什么技术以及迁移顺序（qscan --tier、MCP plan_migration、qremediate），并对替代实现进行符合性测试（sieve 根据 FIPS 203/204/205 测试任意 ML-KEM/ML-DSA/SLH-DSA 实现；如果提供 NIST 官方 ACVP 向量，则执行精确值 KAT）。liboqs 提供基础原语。

查看完整端到端操作指南——扫描 → 迁移 → 验证 → 门禁——请参阅 examples/liboqs-migration/。

工作区布局

quantakrypto-tools/
├── packages/
│   ├── core/     @quantakrypto/core    — shared engine (the contract lives in src/types.ts + src/index.ts)
│   ├── qscan/    @quantakrypto/qscan   — CLI
│   ├── mcp/      @quantakrypto/mcp     — MCP server (stdio now, HTTP scaffold for hosting)
│   ├── action/   @quantakrypto/action — GitHub Action
│   ├── sieve/    @quantakrypto/sieve   — conformance battery + JSON protocol
│   ├── agent/    @quantakrypto/agent   — opt-in BYOK LLM client (triage + remediation)
│   └── qprobe/   @quantakrypto/qprobe  — active TLS/SSH endpoint probing (gated; the only prober)
├── docs/         architecture, hosted-MCP design, improvement roadmap
└── examples/     end-to-end examples

开发

需要 Node ≥ 20。

npm install        # links the workspaces
npm run build      # tsc --build (project references)
npm test           # node:test across all packages

工具链刻意保持精简：TypeScript 和 tsx（用于在 .ts 文件上运行 node:test）是仅有的开发依赖；没有运行时依赖。

文档与合规性

完整文档位于 docs/：

• 目标与范围 — 工具链的用途、各个库的功能、关键决策以及有意设定的范围边界。请从这里开始。
• 架构决策 — 各项关键选择背后不可更改的“原因”（零依赖、共享核心契约、双平面 Agent，等等）。
• 标准与合规性 — 工具涉及并可与之对齐的标准：NIST FIPS 203/204/205、SP 800-208、CNSA 2.0、SARIF、CWE、ISO/IEC 27001（A.8.24）、通用准则、FIPS 140-3、EU DORA/NIS2、US M-23-02 / NSM-10，以及 OSS 保障（SLSA、OpenSSF Scorecard、SPDX/REUSE）。
• 治理：贡献指南 · 安全 · 行为准则 · 更新日志。

许可证

Apache-2.0。方法是开源的；评估、证明报告和交付成果体现了 quantakrypto 的实践。

支持与培训

如有疑问、商业支持需求，或希望为团队开展后量子准备度培训，请访问 quantakrypto.com，或发送邮件至 [email protected]。