Sicherheitsprüfungen

Merkle-Nachweise prüfen, eigene Signaturen suchen und Repository-Praktiken anhand bereitgestellter Dateien bewerten. Diese begrenzten Prüfungen belegen nicht die Sicherheit einer Datei oder eines Repositorys.

3 Werkzeuge in dieser Kategorie.

• Inklusionsnachweis im Transparenzprotokoll

  Prüft, ob ein Eintrag nach der RFC-6962-Regel zum Merkle-Baum eines Transparenzprotokolls gehört: Knoten = SHA-256(0x01 ‖ links ‖ rechts), Blatt = SHA-256(0x00 ‖ Daten). Sie liefern Blatt-Hash, Index, Baumgröße, die Hashes des Audit-Pfads und den behaupteten Wurzelwert; das Werkzeug baut die Wurzel von unten nach oben mit der Gerade/Ungerade-Regel auf und vergleicht sie mit der behaupteten. Es zeigt eine Schritttabelle mit linkem und rechtem Hash, die Schrittzahl sowie die berechnete und die behauptete Wurzel. SHA-256 ist mit eigenem Code ohne crypto.subtle umgesetzt.

• Lokaler Signaturabgleich einer Datei

  Sucht in der Datei nach den exakten Mustern, die Sie als Zeilen „Name ; Typ ; Muster" angeben. Typ hash ist der SHA-256 der ganzen Datei, Typ hex eine Bytefolge, in der „??" für ein beliebiges Byte steht, und Typ string ein ASCII-Teilstring. Für jeden Treffer werden Signaturname, Typ, Byte-Offset ab Dateianfang und ein Inhaltsfragment gezeigt; danach folgen das Urteil „infiziert" oder „sauber" und Zähler der geprüften Signaturen und Bytes. Der SHA-256 für Typ hash ist mit eigenem Code umgesetzt.

• Bewertung der Sicherheitspraktiken eines Repositorys

  Bewertet Sicherheitspraktiken anhand der angegebenen Dateiliste und Inhalte nach dem Vorbild des OpenSSF Scorecard: Sicherheitsrichtlinie, Lizenz, kontinuierliche Integration, Branch-Schutz, Werkzeug für Abhängigkeitsaktualisierungen, feste Versionen in package.json, CODEOWNERS, README sowie ein gefährlicher pull_request_target-Auslöser in Workflows. Jede Prüfung erhält eine Bewertung von 0–10 mit Begründung und Beleg; Prüfungen ohne Daten werden als nicht anwendbar gekennzeichnet, die Gesamtbewertung ist der Mittelwert der bewerteten Prüfungen.