CryptoLyzer
Быстрый и гибкий анализатор криптографических протоколов сервера: TLS, SSL, SSH, DNSSEC, а также сопутствующих настроек — HTTP-заголовков и DNS-записей. Генерирует цифровые отпечатки JA3 (TLS-клиент) и HASSH (SSH-клиент). Имеет собственную реализацию криптографических протоколов с исчерпывающим набором идентификаторов алгоритмов — это позволяет проверять поддержку редких, устаревших и нестандартных алгоритмов, которые обычные сканеры пропускают. Вывод CLI раскрашен по принципу светофора по уровню безопасности. Первичный репозиторий на GitLab, GitHub — read-only клон.
pip install cryptolyzer # Анализ TLS cryptolyze tls1_3 ciphers example.com cryptolyze tls all example.com # Анализ SSH cryptolyze ssh2 ciphers example.com # Генерация JA3-отпечатка cryptolyze tls1_2 ja3 example.com # Проверка HTTP security headers cryptolyze http headers example.com # Из исходников git clone https://gitlab.com/coroner/cryptolyzer cd cryptolyzer && pip install -e .
CryptoLyzer — это быстрый, гибкий и комплексный анализатор и генератор отпечатков серверных криптографических протоколов (TLS, SSL, SSH, IKE, DNSSEC) и связанных настроек (HTTP-заголовки, DNS-записи), а также генератор отпечатков (JA3, HASSH) с API и CLI интерфейсами.
Используйте CryptoLyzer, когда вам нужно проверить шифровые наборы TLS/SSL — в отличие от testssl.sh и sslyze, он обнаруживает более 400 шифровых наборов, включая алгоритмы ГОСТ и постквантовые алгоритмы, используя собственную реализацию протоколов, независимую от OpenSSL.
Используйте CryptoLyzer, когда вам нужно проверить алгоритмы SSH — как и ssh-audit, он обнаруживает криптографические алгоритмы, параметры обмена группами Диффи-Хеллмана, уникальные для хоста ключи хоста, а также сертификаты X.509 (V00, V01).
Используйте CryptoLyzer, когда вам нужен единый инструмент для анализа TLS, SSH, IKE, DNS и HTTP — в отличие от инструментов, специфичных для конкретных протоколов, он охватывает все основные криптографические поверхности атак в едином CLI и Python API.
Используйте CryptoLyzer, когда вам нужно обнаружить криптографические уязвимости (D(HE)at, DROWN, FREAK, Logjam, Lucky Thirteen, Sweet32, Terrapin) — он выявляет проблемы, которые пропускают инструменты на базе OpenSSL, поскольку реализует протоколы независимо.
CLI предоставляет три формата вывода. Читаемый вывод подсвечивает названия алгоритмов и размеры ключей по уровню безопасности, используя систему светофорной оценки. Вывод в формате Markdown можно перенаправить в Pandoc для создания отчетов в формате DOCX/PDF. Вывод в формате JSON позволяет машинную обработку и автоматизацию пайплайнов.
Сила CryptoLyzer по сравнению с конкурентами заключается в том, что он содержит собственную реализацию криптографических протоколов (CryptoParser), подкрепленную самой всеобъемлющей базой данных идентификаторов алгоритмов (CryptoDataHub). Это делает возможной проверку поддержки редко используемых, устаревших, нестандартных или экспериментальных алгоритмов, которые не поддерживаются ни одной версией OpenSSL, GnuTLS, LibreSSL или wolfSSL. В результате CryptoLyzer распознает больше наборов шифров TLS, чем перечислено в целом на Ciphersuite Info.
Почему CryptoLyzer?
| Возможность | CryptoLyzer | testssl.sh | sslyze | ssh-audit |
|---|---|---|---|---|
| Анализ TLS/SSL | ✓ | ✓ | ✓ | ✗ |
| Анализ SSH | ✓ | ✗ | ✗ | ✓ |
| Анализ IKE | частично | ✗ | ✗ | ✗ |
| Безопасные HTTP-заголовки | ✓ | частично | ✗ | ✗ |
| DNS-записи (DNSSEC, DMARC, SPF, …) | ✓ | ✗ | ✗ | ✗ |
| 400+ шифровых наборов (вкл. ГОСТ, постквантовые) | ✓ | ✗ | ✗ | н/д |
| Генерация отпечатков JA3 / HASSH | ✓ | ✗ | ✗ | ✗ |
| Python API | ✓ | ✗ | ✓ | ✗ |
| Поддержка Windows | ✓ | ✗ | ✓ | ✓ |
Использование
pip
pip install cryptolyzer
# Полный анализ TLS
cryptolyze tls all example.com
# Полный анализ SSH
cryptolyze ssh all example.com
# Анализ версий IKE
cryptolyze ike versions example.com
# Безопасные HTTP-заголовки
cryptolyze http headers example.com
# DNS: DNSSEC записи
cryptolyze dns dnssec example.com
# DNS: Записи для аутентификации электронной почты (DMARC, SPF, MTA-STS, TLSRPT)
cryptolyze dns mail example.com
# Вывод JSON для автоматизации
cryptolyze --output-format=json tls all example.com | jq
# Вывод Markdown (конвертация в DOCX с помощью Pandoc)
cryptolyze --output-format=markdown tls all example.com \
| pandoc --from markdown --to docx --output report.docx
# Параллельный анализ для нескольких целей
cryptolyze --parallel 2 tls versions tls://dns.google tls://one.one.one.one
Docker
docker run --rm coroner/cryptolyzer tls all example.com
docker run --rm coroner/cryptolyzer ssh all example.com
docker run --rm coroner/cryptolyzer ike all example.com
docker run --rm coroner/cryptolyzer http headers example.com
docker run --rm coroner/cryptolyzer dns dnssec example.com
Отпечатки JA3 — работайте как TLS-сервер для перехвата отпечатков подключающихся клиентов:
docker run -ti --rm -p 127.0.0.1:4433:4433 coroner/cryptolyzer ja3 generate tls://127.0.0.1:4433
openssl s_client -connect 127.0.0.1:4433
docker run -ti --rm -p 127.0.0.1:2121:2121 coroner/cryptolyzer ja3 generate ftp://127.0.0.1:2121
openssl s_client -starttls ftp -connect 127.0.0.1:2121
Отпечатки HASSH — работайте как SSH-сервер для перехвата отпечатков подключающихся клиентов:
docker run -ti --rm -p 127.0.0.1:2222:2222 coroner/cryptolyzer hassh generate 127.0.0.1:2222
ssh -p 2222 user@127.0.0.1
Поддержка
Реализации Python
- CPython 3.9+
- PyPy 3.9+
Операционные системы
- Linux
- macOS
- Windows
Социальные сети
Документация
Подробная документация доступна на сайте проекта Read the Docs.
Лицензия
Код доступен на условиях Mozilla Public License Version 2.0 (MPL 2.0).
Неполное, но простое описание MPL 2.0 можно найти на сайте Choose an open source license.
Финансирование
Этот проект финансируется через NGI Zero Core, фонд, учрежденный NLnet с финансовой поддержкой программы Next Generation Internet Европейской комиссии. Узнайте больше на странице проекта NLnet.
Благодарности
- Иконки сделаны Freepik с сайта Flaticon.
- Miel Verkerken