CryptoLabe ищет криптографию в коде перед постквантовой миграцией
Внутренний инструмент Cloudflare, описанный 29 сентября, разбирает зависимости и фактическое использование алгоритмов. Его задача — инвентаризация и выявление препятствий; клиентам он не предоставляется.
Миграция начинается с вопроса «что используется»
Постквантовый переход затрагивает разные операции: согласование ключей, подписи, сертификаты и протоколы. Одного поиска названия алгоритма недостаточно. Библиотека может присутствовать в зависимости, но не использоваться; другой алгоритм включается по умолчанию далеко от вызывающего кода. Cloudflare описала CryptoLabe как внутреннюю систему поиска таких связей. Компания связывает работу со своей целью миграции к 2029 году. Это её план, а не универсальная дата, когда все системы интернета сменят криптографию или классические методы перестанут работать.
Почему стандарт и готовый продукт не совпадают
Проект NIST по постквантовой криптографии посвящён выбору и стандартизации алгоритмов для разных задач. Наличие стандарта является важным условием, но не означает поддержку во всех библиотеках, протоколах и устройствах. Реальное соединение зависит от обеих сторон и конфигурации. Поэтому инвентаризация должна выяснить назначение операции: подпись токена и обмен ключами сетевого сеанса имеют разные пути обновления. Одинаковое упоминание RSA или эллиптической кривой не доказывает, что два найденных участка можно исправить одной заменой.
Одинаковый алгоритм способен выполнять разные роли. Подпись JWT удостоверяет содержимое токена, согласование ключей создаёт секрет сеанса, а подпись сертификата связывает имя с ключом в цепочке доверия. Постквантовые замены и требования совместимости различаются для этих операций. Поэтому классификация CryptoLabe включает контекст применения и зависимости, а не только название примитива. Неиспользуемый импорт и активное соединение также имеют разный вес. Инвентаризация должна сохранять это различие, иначе счётчик упоминаний превращается в неверную оценку масштаба миграции.
Инструмент разделяет обнаружение и анализ
На первом этапе CryptoLabe собирает наблюдения из кода, конфигурации, манифестов, lockfiles, тестов и документации. Затем проверяет каждое наблюдение, исследует контекст и связанные репозитории. Важная часть описанной схемы — допустимость неопределённого результата: недостаток доказательств, внешняя зависимость и неизвестный статус не подменяются уверенной классификацией. Это особенно существенно для больших систем, где наличие старого алгоритма в тесте не равно его использованию в рабочем трафике. Сводный счётчик без контекста способен одновременно завысить и занизить реальную работу.
Проверка привязана к снимку кода
Cloudflare описывает получение репозитория на конкретном commit и работу с неизменяемым снимком в короткоживущем изолированном окружении. Инструменты модели ограничены чтением. Это помогает сохранить воспроизводимость: последующее изменение ветки не меняет материалы уже запущенного анализа. Но снимок исходников всё ещё не является полным доказательством фактического поведения работающей системы. Конфигурация, внешние службы и развёрнутые версии могут отличаться. Поэтому вывод об использовании алгоритма должен учитывать доступные свидетельства и явно показывать пробелы, а не выводить всё только из импортов.
Предпосылки миграции хранятся отдельно от находки
Операция может оставаться классической из-за отсутствия поддержки у внешнего участника или в используемой библиотеке. В этом случае команда, владеющая репозиторием, не всегда способна завершить переход самостоятельно. CryptoLabe выделяет такие зависимости, связывая найденный код с ролью системы и необходимыми изменениями вокруг неё. Инструмент остаётся внутренним и не предоставляется клиентам. Его статус отличается от стандартизации алгоритмов NIST: стандарт определяет криптографический примитив, а инвентаризация описывает применение в конкретной системе. Наличие утверждённого алгоритма не доказывает готовность протокола, библиотеки, оборудования и обеих сторон соединения одновременно.
