Analyseur d'obfuscation de dépendances Rust Cargo
Analysez vos fichiers Cargo.toml et Cargo.lock pour détecter les dépendances obfusquées, les tentatives de typosquatting, les contraintes de version inhabituelles et les risques de chaîne d'approvisionnement. Notre analyseur de dépendances Rust Cargo détecte les noms de crates malveillants conçus pour ressembler à des paquets populaires, signale les dépendances git et de chemin, et fournit des recommandations exploitables. Rapide, sécurisé et sans inscription.
Paste your Cargo.toml or Cargo.lock content to analyze dependencies
The analyzer checks for typosquatting, unusual version constraints, git/path dependencies, and obfuscated package names
Click Load example to try with a sample Cargo.toml
Pourquoi utiliser notre analyseur de dépendances Rust Cargo ?
- Détection du typosquatting : détecte automatiquement les noms de dépendances qui ressemblent fortement à des crates populaires grâce à une analyse de similarité de chaînes. Interceptez les attaques de typosquatting avant qu'elles ne compromettent votre chaîne d'approvisionnement.
- Signalement des dépendances inhabituelles : signale les dépendances git, les dépendances de chemin, les versions génériques et autres motifs inhabituels pouvant indiquer une obfuscation ou des risques de chaîne d'approvisionnement dans vos fichiers Cargo.toml et Cargo.lock.
- Score de risque de sécurité : chaque dépendance reçoit un score de risque accompagné d'explications détaillées. Priorisez les dépendances à examiner en premier grâce à des niveaux de gravité colorés et des recommandations exploitables.
- Analyse Cargo complète : analyse les deux formats Cargo.toml et Cargo.lock. Détecte les crates obsolètes, les spécificateurs de version inhabituels, les URL de source suspectes et les noms de paquets obfusqués. Tout le traitement est local et privé.
Cas d'usage courants de l'analyse des dépendances Rust Cargo
- Audit de sécurité de la chaîne d'approvisionnement : avant d'ajouter une nouvelle dépendance, analysez votre Cargo.toml à la recherche de risques de typosquatting. Repérez les crates malveillants qui utilisent des noms visuellement proches de paquets populaires comme serde, tokio ou reqwest.
- Revue des dépendances avant publication : lancez l'analyseur dans le cadre de votre processus de revue de code. Signalez les dépendances git épinglées à des branches plutôt qu'à des tags, les dépendances de chemin qui devraient être publiées et les contraintes de version génériques.
- Évaluation de dépendances open source : lors de l'évaluation de projets Rust tiers, examinez leur Cargo.toml à la recherche de motifs suspects. Détectez d'éventuels vecteurs de malware avant d'intégrer le projet à votre pipeline de build.
- Intégration au pipeline CI/CD : utilisez l'analyseur pour valider les configurations de dépendances dans votre pipeline CI. Repérez les dépendances de chemin validées par erreur, les dépendances git réservées au débogage ou les références de crates obfusquées.
- Contrôles de conformité en entreprise : assurez-vous que toutes les dépendances de votre monorepo Rust respectent les directives internes. Détectez les dépendances git non autorisées, les versions de crates obsolètes et les paquets provenant de registres non fiables.
- Maintenance et nettoyage des crates : analysez régulièrement votre Cargo.lock à la recherche de crates abandonnés ou retirés. Identifiez les dépendances sans mise à jour récente qui peuvent contenir des vulnérabilités non corrigées ou avoir été renommées.
Foire aux questions
L'obfuscation des dépendances Cargo désigne les techniques qui dissimulent des dépendances malveillantes ou suspectes dans des projets Rust. Cela peut inclure le typosquatting (enregistrer des noms de crates proches de noms populaires, comme une variante de « serde »), l'usage d'homoglyphes Unicode dans les noms de paquets, la dissimulation de dépendances git derrière des commentaires trompeurs, ou des contraintes de version qui permettent d'installer des versions compromises.
Les attaquants enregistrent des noms de crates quasi identiques aux crates populaires en permutant des lettres, en ajoutant des suffixes ou en utilisant des caractères Unicode trompeurs. Notre analyseur détecte ces motifs en comparant les noms de dépendances à une liste sélectionnée des crates Rust les plus populaires via une analyse de similarité de chaînes. Il vérifie aussi la présence d'homoglyphes et d'Unicode invisible.
Les versions génériques comme « * » ou « 1.* » sont signalées car elles peuvent entraîner des changements incompatibles inattendus. Les dépendances git épinglées à des branches (et non à des tags ou des commits) sont signalées car elles peuvent changer sans préavis. Les dépendances de chemin pointant en dehors du projet ou vers des répertoires inattendus sont également signalées comme motifs inhabituels.
Les dépendances git contournent les contrôles de sécurité de crates.io et peuvent introduire du code non fiable directement depuis des dépôts. Elles sont particulièrement risquées lorsqu'elles sont épinglées à une branche, car le code peut changer à chaque git push. Même les dépendances git épinglées à un commit doivent être soigneusement examinées, car elles peuvent contenir du code non vérifié hors de l'écosystème crates.io.
Si l'analyseur signale une dépendance, vérifiez d'abord le nom du crate sur crates.io pour confirmer qu'il s'agit du paquet légitime. Contrôlez l'auteur, l'URL du dépôt et le nombre de téléchargements. Pour les dépendances git, vérifiez le propriétaire du dépôt et examinez le commit épinglé. Si vous soupçonnez du typosquatting, recherchez des différences Unicode en copiant le nom dans un inspecteur Unicode.
Absolument. Toute l'analyse est effectuée localement dans votre navigateur via JavaScript. Votre Cargo.toml, votre Cargo.lock ou tout autre contenu de fichier collé ne quitte jamais votre appareil. Aucune donnée n'est envoyée, stockée ou transmise. Aucun compte ni inscription n'est requis.
L'analyseur signale les contraintes de version qui correspondent à des motifs connus de crates retirés et met en évidence les versions anormalement anciennes de crates populaires. Pour une vérification complète face au registre crates.io en direct, il faudrait utiliser cargo deny ou cargo audit. Cet outil offre une analyse hors ligne rapide et respectueuse de la vie privée pour repérer les risques évidents.
Oui, l'analyseur accepte aussi bien le contenu de Cargo.toml que celui de Cargo.lock. Les fichiers Cargo.lock sont particulièrement utiles pour détecter les arbres de dépendances qui incluent des dépendances transitives aux noms ou sources suspects. Vous pouvez coller Cargo.toml et Cargo.lock ensemble pour obtenir une vue complète de la santé de vos dépendances.
Oui, 100 % gratuit. Aucune inscription requise, aucune offre premium, aucune limite d'utilisation et aucune restriction de taille de fichier. L'outil s'exécute entièrement dans votre navigateur et restera toujours gratuit sur Aback Tools.