Створіть інструмент. Зробіть його частиною Strix.
Strix — це набір інструментів, а не закритий сад. Якщо ви створили інструмент для приватності чи безпеки з відкритим кодом, що живе за тими самими правилами — офлайн за замовчуванням, нуль телеметрії, справді придатний до аудиту, — ви можете запропонувати його. Щойно він пройде ту саму перевірку безпеки та етап загартування, що й кожен інструмент Strix, він виходить під егідою Strix: власний репозиторій, сторінка на цьому сайті 13 мовами та випуски з контрольними сумами й засвідченням.
Останнє оновлення
Як це працює
Чотири кроки від вашого репозиторію до готового інструмента Strix — і ви зберігаєте авторство та авторські права на всьому шляху.
- 01
Створіть свій інструмент
Напишіть його будь-якою мовою, для Windows та/або Linux, під сумісною з MIT ліцензією. Відповідайте наведеним нижче критеріям: офлайн, без телеметрії, одна справа зроблена добре.
- 02
Відкрийте заявку
Створіть тікет-заявку на GitHub із посиланням на ваш репозиторій, описом того, що він робить, цільових платформ і того, як він взаємодіє з мережею — якщо взагалі взаємодіє. Обліковий запис у нас не потрібен; лише GitHub.
- 03
Перевірка безпеки та загартування
Ми проводимо ту саму перевірку, яку пройшов кожен інструмент Strix: статичний аналіз, аудит залежностей і ланцюга постачання, змагальний огляд коду та етап загартування. Ви отримуєте результати, і ми опрацьовуємо їх разом.
- 04
Він виходить як Strix
Після прийняття ваш інструмент отримує власний репозиторій в організації Strix, локалізовану сторінку на цьому сайті та випуски з контрольними сумами SHA-256 і засвідченням походження збірки.
Яким має бути інструмент Strix
Це умови, що не обговорюються, — на них побудований увесь набір. Якщо ваш інструмент уже живе за ними, він одразу почуватиметься тут як удома.
Відкритий код
Публічний вихідний код під ліцензією MIT (або сумісною з MIT дозвільною ліцензією). Нічого прихованого, нічого обфускованого.
Офлайн за замовчуванням
Жодних власних мережевих викликів для настільного інструмента. Якщо мережа — це саме призначення інструмента (recon/OSINT), він має бути без ключів, обмежений підтвердженням згоди та чітко окреслений.
Нуль телеметрії
Жодних SDK аналітики, жодного зв’язку з домом, жодних облікових записів. Дані користувача ніколи не залишають його машину.
Одна справа, зроблена добре
Цілеспрямована утиліта з розумними налаштуваннями за замовчуванням, чіткою сферою застосування та явним переліком того, чого вона навмисно не робить.
Задокументований і придатний до тестування
README, файл SECURITY.md з моделлю загроз і регресійні тести для всього, що є критичним для безпеки.
Мінімальні привілеї
Жодних викликів командної оболонки, жодного динамічного виконання коду, виклики підпроцесів лише через argv, розв’язання шляхів до інструментів за абсолютними шляхами й підвищення привілеїв лише там, де це справді потрібно.
Перевірка безпеки, яку проходить кожна заявка
Та сама перевірка, яку пройшли наявні інструменти перед запуском. Нічого не виходить, доки не пройде її.
- Статичний аналіз (SAST)semgrep, bandit, PSScriptAnalyzer, аналізатори Roslyn і відповідні мові лінтери по всій кодовій базі.
- Аудит залежностей і ланцюга постачанняЗафіксовані версії, SBOM, pip-audit / Dependabot і перевірка того, що кожна стороння залежність виправдана.
- Змагальний огляд кодуРучний огляд у пошуках ін’єкцій, обходу шляхів, SSRF, підвищення привілеїв і будь-якого послаблення механізмів безпеки.
- ЗагартуванняМи разом закриваємо прогалини: мінімальні привілеї, без командної оболонки, перевірка вхідних даних, безпечні за замовчуванням значення та багаторівневий захист на небезпечних шляхах.
- Походження для кожного випускуCI збирає кожен випуск, записує SHA256SUMS із SHA-256 і додає засвідчення походження збірки SLSA, тож кожне завантаження можна перевірити.
Що ви зберігаєте — і що отримуєте
Внесок у Strix не означає, що ви віддаєте свою роботу.
Ваше авторство й авторські права
Ви залишаєтесь автором. Авторські права MIT належать вам; Strix розповсюджує інструмент і супроводжує його разом із вами.
Справжня аудиторія
Локалізована сторінка 13 мовами, налаштування SEO/GEO та місце в сітці інструментів і завантаженнях.
Надійний конвеєр випусків
Контрольні суми, засвідчення, зрештою й шлях до підписання коду (SignPath Foundation) і процес розкриття вразливостей — усе налаштовано для вас.
Спільний супровід
Тікети, pull request і повідомлення про безпеку проходять через той самий процес, що й решта набору. Ви не залишаєтеся наодинці.
Готові надіслати?
Відкрийте тікет-заявку з посиланням на ваш репозиторій і коротким описом. Ми візьмемо його в роботу, проведемо перевірку й далі працюватимемо разом із вами. Ще не готові? Спершу прочитайте повний посібник із внеску.
Для надсилання потрібен лише обліковий запис GitHub. Немає жодної плати, жодної угоди контриб’ютора, що забирає ваші права, і жодних зобов’язань — ви можете відкликати заявку будь-коли до випуску.
FAQ
Чи втрачу я право власності на свій інструмент?
Ні. Ви зберігаєте авторство й авторські права MIT. Strix супроводжує та розповсюджує інструмент разом із вами, і ви можете відкликати його до випуску.
Які мови чи фреймворки дозволені?
Будь-які. Наявний набір охоплює Python, C#, PowerShell та інше — важлива ліцензія, правила офлайн/без телеметрії й проходження перевірки безпеки, а не технологічний стек.
Що, якщо моєму інструменту потрібна мережа?
Це прийнятно лише тоді, коли мережа — це його справжнє призначення (як в інструментах recon/OSINT). Тоді він має бути без ключів, обмежений явним підтвердженням згоди, чітко окреслений і лише для авторизованого використання — ніколи не тихий і не фоновий трафік.
Скільки триває перевірка?
Це залежить від розміру інструмента й кількості виявлених проблем. Невеликі, уже загартовані інструменти рухаються швидко; усе, що стосується деструктивних операцій чи підвищення привілеїв, отримує додаткову увагу.
Що станеться, якщо він не пройде?
Ви отримаєте повний перелік виявлених проблем, зможете їх усунути й подати заявку знову. Перевірка, що знаходить проблеми, — це процес, який працює; те саме сталося з інструментами, які вже є в наборі.