sipnab

本サイトが提示する下記のベストプラクティスを実行するプロジェクトは、Open Source Security Foundation (OpenSSF) バッジを達成したことを自主的に自己認証し、そのことを外部に示すことができます。

ソフトウェアに欠陥や脆弱性がないことを保証する手立てはありません。形式論的な証明ができたとしても、仕様や前提が間違っていると誤動作の可能性があります。また、プロジェクトが健全で、かつ機能的な開発コミュニティであり続けることを保証する手立てもありません。しかし、ベストプラクティスの採用は、プロジェクトの成果の向上に寄与する可能性があります。たとえば、いくつものベストプラクティスがリリース前の複数人によるレビューを定めていますが、それによりレビュー以外では発見困難な技術的脆弱性を見つけるのを助け、同時に異なる企業の開発者間の信頼を築き、さらに交流を続けることに対する意欲を生んでいます。バッジを獲得するには、すべてのMUSTおよびMUST NOT基準を満たさなければなりません。すべてのSHOULD基準も満たさなければなりませんが、正当な理由がある場合は満たさなくても構いません。そしてすべてのSUGGESTED基準も満たさなければなりませんが、満たさないとしても、少なくとも考慮することが望まれます。フィードバックは、 GitHubサイトのissueまたはpull requestとして提示されれば歓迎します。また、議論のためのメールリストも用意されています。

私たちは多言語で情報を提供していますが、翻訳版に矛盾や意味の不一致がある場合は、英語版を正式な記述とします。
これがあなたのプロジェクトである場合は、プロジェクトページにベースラインバッジステータスを表示してください！ベースラインバッジステータスは次のようになります： プロジェクト13931のベースラインバッジレベルはbaseline-3です ベースラインバッジを埋め込む方法は次のとおりです：
ベースラインバッジステータスを表示するには、マークダウンファイルに以下を埋め込みます：
[![OpenSSF Baseline](https://www.bestpractices.dev/projects/13931/baseline)](https://www.bestpractices.dev/projects/13931)
または、HTMLに以下を埋め込みます：
<a href="https://www.bestpractices.dev/projects/13931"><img src="https://www.bestpractices.dev/projects/13931/baseline"></a>


これらはベースラインレベル2の基準です。 これらは基準バージョン v2026.08.28 の評価項目です。

Baseline Series: ベースラインレベル1 ベースラインレベル2 ベースラインレベル3

        

 基本的情報

  • 一般

    他のプロジェクトが同じ名前を使用していないか注意してください。

    sipnab is a SIP and RTP capture, analysis, and security tool for VoIP networks. It unifies sngrep (interactive TUI) and sipgrep (CLI) into a single Rust binary, adding first-class RTP quality monitoring (jitter, loss, MOS), VoIP diagnostic aliases, TLS/SRTP decryption, and security analysis (scanner, flood and fraud detection, STIR/SHAKEN). It also runs as an MCP server so an AI agent can drive it. Its only runtime dependency is libpcap.

    SPDXライセンスの表現形式を使用してください。 例：「Apache-2.0」、「BSD-2-Clause」、「BSD-3-Clause」、「GPL-2.0+」、「LGPL-3.0+」、「MIT」、「(BSD-2-Clause OR Ruby)」。一重引用符または二重引用符を含めないでください。
    複数の言語がある場合は、コンマを区切り（スペースを入れてもよい）としてリストし、使用頻度の高いものから順に並べます。使用言語が多くある場合は、少なくとも最初の3つの最も多く使われるものをリストアップしてください。言語がない場合（例：ドキュメントだけ、またはテスト専用のプロジェクトの場合）、1文字 " - "を使用します。言語ごとにある大文字・小文字の慣用を踏襲してください（例：「JavaScript」）。
    Common Platform Enumeration（CPE）は、情報技術（IT）システム、ソフトウェア、およびパッケージのための構造化された命名体系です。脆弱性を報告する際に、多くのシステムやデータベースで使用されています。

    sipnab is under active development and not yet recommended for production use (the README states this). Despite the pre-1.0 status, it enforces a strict quality bar: more than 10,000 automated tests (10,468 at v0.5.196) run in CI on every push; Clippy and CodeQL gate every merge on a deny-on-warning basis; 19 fuzz targets cover every attacker-controlled parser and run daily under AddressSanitizer via ClusterFuzzLite, with ThreadSanitizer weekly over the threaded paths; releases ship with sigstore build provenance and CycloneDX SBOMs; and the tool is validated against a real-traffic pcap corpus. SECURITY.md documents the security model, including privilege drop, chroot and the scope of reportable issues.

    One note for reviewers of the crypto criteria: sipnab decrypts SIP and RTP that other systems encrypted, so it must interoperate with whatever algorithm a capture used. Vetted "weak" algorithms may therefore appear where reading an existing capture requires them — the project does not choose weak cryptography for its own protection.

 管理策 19/19 ●

  • 管理策


    バッジには十分です！

    CI/CDタスクが権限を指定せずに実行される場合、CI/CDシステムはパイプラインで付与される最低限の権限をタスクの権限としてデフォルトで設定しなければなりません。 [OSPS-AC-04.01]
    プロジェクトの設定を構成して、デフォルトで新しいパイプラインに利用可能な最低限の権限を割り当て、特定のタスクに必要な場合にのみ追加の権限を付与します。

    https://github.com/NormB/sipnab/tree/main/.github/workflows

    ▎ The repository's Actions settings default the GITHUB_TOKEN to the lowest permission: default_workflow_permissions is read (read-only) and can_approve_pull_request_reviews is false, so any CI/CD task run with no permissions: specified receives read-only access. In addition, every workflow in .github/workflows/ declares an explicit least-privilege permissions: block — most are top-level contents: read; scorecard.yml uses permissions: {} (no permissions); and workflows that need more, such as pages.yml, grant only the specific scopes required (pages: write, id-token: write) rather than blanket write access. See https://github.com/NormB/sipnab/tree/main/.github/workflows .


    バッジには十分です！

    公式リリースが作成される場合、そのリリースには一意のバージョン識別子を割り当てなければなりません。 [OSPS-BR-02.01]
    プロジェクトによって生成される各リリースに、一貫した命名規則または番号付けスキームに従って一意のバージョン識別子を割り当てます。例には、SemVer、CalVer、またはgit commit idが含まれます。

    Unique crate version, currently 0.5.83. [version_unique]


    バッジには十分です！

    公式リリースが作成される場合、そのリリースには機能的およびセキュリティの変更の記述的なログを含めなければなりません。 [OSPS-BR-04.01]
    すべてのリリースに記述的な変更ログを含めるようにしてください。変更ログが人間が読めるものであり、コミットメッセージだけでなく、セキュリティへの影響や異なるユースケースとの関連性についての説明などの詳細を含めることが推奨されます。機械可読性を確保するために、「## Changelog」などのmarkdownヘッダーの下にコンテンツを配置してください。

    Non-trivial release notes file in repository: https://github.com/NormB/sipnab/blob/main/CHANGELOG.md. [release_notes]


    バッジには十分です！

    ビルドとリリースのパイプラインが依存関係を取り込む場合、利用可能な場合は標準化されたツールを使用しなければなりません。 [OSPS-BR-05.01]
    エコシステム用の一般的なツール（パッケージマネージャーや依存関係管理ツールなど）を使用して、ビルド時に依存関係を取り込みます。これには、必要な依存関係を指定するための依存関係ファイル、ロックファイル、またはマニフェストを使用し、ビルドシステムによって取り込まれることが含まれます。

    Dependencies are ingested only through Cargo, Rust's standard tooling, from crates.io, resolved and pinned by the committed Cargo.lock. cargo-deny (deny.toml) enforces license, source and advisory policy, cargo-audit and OSV-Scanner check for advisories, and Dependabot proposes updates. CI actions are pinned to full commit SHAs.


    バッジには十分です！

    公式リリースが作成される場合、そのリリースには署名するか、各アセットの暗号ハッシュを含む署名付きマニフェストで説明しなければなりません。 [OSPS-BR-06.01]
    ビルド時にすべてのリリースされたソフトウェア アセットを、GPGまたはPGP署名、Sigstore署名、SLSAプロベナンス、またはSLSA VSAなどの暗号署名または証明で署名します。署名付きマニフェストまたはメタデータファイルに各アセットの暗号ハッシュを含めます。

    Every release artifact has a sigstore build-provenance attestation, generated in release.yml via GitHub artifact attestations (OIDC, keyless) and verifiable with gh attestation verify, plus SHA-256 checksums and CycloneDX SBOMs. crates.io publishing uses OIDC trusted publishing from the same tag-triggered workflow.


    バッジには十分です！

    プロジェクトがリリースを行った場合、プロジェクトのドキュメントには、プロジェクトが依存関係をどのように選択、取得、および追跡するかについての説明を含めなければなりません。 [OSPS-DO-06.01]
    この情報をソースコードリポジトリ、プロジェクトウェブサイト、またはその他のチャネルなどの公開表示可能なリソース上で、プロジェクトの技術および設計ドキュメントと一緒に公開することが推奨されます。

    The Dependencies section of CONTRIBUTING.md explains how new crates are chosen (license allowlist, crates.io only, no open advisories) and how they are tracked: Cargo.lock, cargo-audit and cargo-deny in CI, OSV-Scanner and Dependabot: https://github.com/NormB/sipnab/blob/main/CONTRIBUTING.md#dependencies


    バッジには十分です！

    プロジェクトのドキュメントには、必要なライブラリ、フレームワーク、SDK、および依存関係を含む、ソフトウェアのビルド方法に関する手順が含まれていなければなりません。 [OSPS-DO-07.01]
    この情報は、CONTRIBUTING.mdや他の開発者タスクドキュメントなど、プロジェクトの貢献者ドキュメントと一緒に公開することが推奨されます。これはまた、Makefileターゲットや他の自動化スクリプトを使用して文書化することもできます。

    Build instructions, including the Rust toolchain version, the libpcap dependency, feature flags and platform packages, are in CONTRIBUTING.md (Prerequisites, Build from Source: https://github.com/NormB/sipnab/blob/main/CONTRIBUTING.md) and the install guide (https://sipnab.com/docs/install/, Build it from source). The full CI/release build is documented at https://sipnab.com/docs/internals/build-ci-release/


    バッジには十分です！

    プロジェクトの文書には、機密リソースへのアクセス権を持つプロジェクト メンバーの一覧を含めなければなりません（MUST）。 [OSPS-GV-01.01]
    プロジェクトのソースコードリポジトリ内のmembers.md、governance.md、maintainers.md、または同様のファイルなどのアーティファクトを通じて、プロジェクト参加者とその役割を文書化します。これは、メンテナのリストに名前またはアカウントハンドルを含めるだけの簡単なものでも、プロジェクトのガバナンスに応じてより複雑なものでも構いません。

    MAINTAINERS.md (https://github.com/NormB/sipnab/blob/main/MAINTAINERS.md) lists the project's only member with access to sensitive resources: Norm Brandinger (@NormB), who owns the repository, its settings and secrets, the release pipeline, crates.io publishing, and the CLA Assistant configuration. .github/CODEOWNERS (* @NormB) records the same.


    バッジには十分です！

    プロジェクトの文書には、プロジェクト メンバーの役割と責任の説明を含めなければなりません（MUST）。 [OSPS-GV-01.02]
    プロジェクトのソースコードリポジトリ内のmembers.md、governance.md、maintainers.md、または同様のファイルなどのアーティファクトを通じて、プロジェクト参加者とその役割を文書化します。

    MAINTAINERS.md (https://github.com/NormB/sipnab/blob/main/MAINTAINERS.md) describes the maintainer's role and responsibilities: reviewing and merging pull requests, owning the CLA flow, cutting releases, and supporting only the latest release. It also states the project has no other roles and no succession plan. CONTRIBUTING.md covers the contributor role.


    バッジには十分です！

    プロジェクトの文書には、受け入れ可能な貢献の要件を含む、コード貢献者向けのガイドを含めなければなりません（MUST）。 [OSPS-GV-03.02]
    プロジェクトドキュメントのCONTRIBUTING.mdまたはCONTRIBUTING/の内容を拡張して、コーディング標準、テスト要件、コードコントリビューターのための提出ガイドラインを含む、受け入れ可能な貢献の要件を概説します。このガイドがコントリビューターと承認者の両方にとって信頼できる情報源であることが推奨されます。

    https://github.com/NormB/sipnab/blob/main/CONTRIBUTING.md#code-style

    CONTRIBUTING.md states the requirements for acceptable contributions: a Code Style section (Rust standard style enforced by cargo fmt, and Clippy on a deny-on-warning basis), a Running Tests section requiring the suite to pass and new functionality to ship with tests, a Git Hooks section describing the pre-commit/pre-push gates every contribution must clear, a Documentation section, a Commit Messages convention, and a Pull Request Process section. Contributions that don't meet these (formatting, lint, tests, docs) are blocked by CI. [contribution_requirements]


    バッジには十分です！

    バージョン管理システムは、すべてのコード貢献者に対し、コミットのたびに、関連する貢献を行う法的権限があることを表明するよう要求しなければなりません（MUST）。 [OSPS-LE-01.01]
    プロジェクトのリポジトリにDCOを含め、コードコントリビューターが、すべてのコミットで関連する貢献を行うことが法的に認められていると主張することを要求します。ステータスチェックを使用して、主張が行われたことを確認します。CLAもこの要件を満たします。GitHubなどの一部のバージョン管理システムでは、これがプラットフォームの利用規約に含まれている場合があります。

    Every contribution requires a signed Contributor License Agreement through CLA Assistant; license/cla is a required status check on main, so no pull request merges without the author's legal assertion. Only bot accounts are allowlisted: https://github.com/NormB/sipnab/blob/main/CLA.md


    バッジには十分です！

    プライマリブランチにコミットが行われる場合、コミットの自動ステータスチェックは、合格するか手動でバイパスされる必要があります。 [OSPS-QA-03.01]
    プロジェクトのバージョン管理システムを設定して、すべての自動ステータスチェックが合格するか、コミットがプライマリブランチにマージされる前に手動確認を要求するようにします。オプションのステータスチェックは、承認者がバイパスしたくなるような合格または不合格の要件として設定しないことが推奨されます。

    GitHub Actions runs the suite on every push and pull request. [test_continuous_integration]


    バッジには十分です！

    コミットが受け入れられる前に、プロジェクトのCI/CDパイプラインは、変更が期待を満たすことを確認するために少なくとも1つの自動テストスイートを実行する必要があります。 [OSPS-QA-06.01]
    自動テストは、プライマリブランチへのすべてのマージの前に実行される必要があります。テストスイートはCI/CDパイプラインで実行され、結果はすべてのコントリビューターに表示される必要があります。テストスイートは一貫した環境で実行され、コントリビューターがローカルでテストを実行できるような方法で実行される必要があります。テストスイートの例には、ユニットテスト、統合テスト、エンドツーエンドテストが含まれます。

    GitHub Actions runs the suite on every push and pull request. [test_continuous_integration]


    バッジには十分です！

    プロジェクトがリリースを行った場合、プロジェクトドキュメントは、システム内のすべてのアクションとアクターを示す設計ドキュメントを含む必要があります。 [OSPS-SA-01.01]
    プロジェクトドキュメントに、アクションとアクターを説明する設計を含めます。アクターには、システム内の別のセグメントに影響を与えることができるサブシステムまたはエンティティが含まれます。これが新機能や破壊的変更のために更新されることを確認してください。

    Design documentation covers the system's actions and actors: docs/architecture.md (https://github.com/NormB/sipnab/blob/main/docs/architecture.md) describes the run modes, the four answer surfaces (TUI, CLI, REST API, MCP), data flow from capture sources through parsing to outputs, the module map, threading and privilege model. Internals docs (https://sipnab.com/docs/internals/) and docs/design/ cover each subsystem.


    バッジには十分です！

    プロジェクトがリリースを行った場合、プロジェクトドキュメントは、リリースされたソフトウェアアセットのすべての外部ソフトウェアインターフェースの説明を含む必要があります。 [OSPS-SA-02.01]
    リリースされたソフトウェアアセットのすべてのソフトウェアインターフェース（API）を文書化し、ユーザーがソフトウェアとどのように対話できるか、どのようなデータが期待または生成されるかを説明します。これが新機能や破壊的変更のために更新されることを確認してください。

    sipnab exposes several external interfaces, each with reference documentation describing its inputs and outputs:
    • Command-line interface — every parameter and option is documented at https://sipnab.com/docs/cli/ (and via --help).
    • REST API — the URL/HTTP interface is documented at https://sipnab.com/docs/api/, with client examples at https://sipnab.com/docs/api-clients/.
    • MCP server — the tool surface (each tool's inputs and outputs) is documented at https://sipnab.com/docs/mcp/, with a step-by-step walkthrough at https://sipnab.com/docs/mcp-walkthrough/.
    These pages describe both inputs and outputs and are reachable from the documentation site's navigation, so the information is available without reading the source. A CI gate keeps the CLI reference and MCP tool docs synchronized with the code — every registered tool must have its own documented section, or the build fails. [documentation_interface]


    バッジには十分です！

    プロジェクトがリリースを行った場合、プロジェクトは、ソフトウェア内で発生する可能性のある最も可能性が高く、影響の大きい潜在的なセキュリティ問題を理解するためにセキュリティ評価を実行する必要があります。 [OSPS-SA-03.01]
    セキュリティ評価を実行することで、プロジェクトメンバーと下流の消費者の両方に、プロジェクトがソフトウェア内で発生する可能性のある問題を理解していることを知らせます。どのような脅威が実現する可能性があるかを理解することは、プロジェクトがリスクを管理および対処するのに役立ちます。この情報は、プロジェクトのセキュリティの能力と実践を示すために、下流の消費者にとって有用です。これが新機能や破壊的変更のために更新されることを確認してください。

    docs/threat-model.md is the project's security assessment: assets, trust boundaries, threats with the code that mitigates each, and residual risks: https://github.com/NormB/sipnab/blob/main/docs/threat-model.md


    バッジには十分です！

    プロジェクトの文書には、明確な対応期限を伴う、協調的な脆弱性開示（CVD）のポリシーを含めなければなりません（MUST）。 [OSPS-VM-01.01]
    ディレクトリのルートにSECURITY.mdファイルを作成し、プロジェクトの協調的脆弱性開示のポリシーを概説します。脆弱性を報告する方法を含めます。プロジェクトが報告された問題にどのように対応および対処するかについての期待を設定します。

    SECURITY.md describes how to report vulnerabilities.

    The GitHub issue tracker is a publicly available, permanently retained archive of reports and their responses, and it is full-text searchable via GitHub's issue search (is:issue, plus label/author/state filters). Every issue and every comment has a stable, individually-addressable URL. It already holds a searchable history — e.g. issues #226–229 with their triage and resolution comments — at https://github.com/NormB/sipnab/issues?q=is%3Aissue . [vulnerability_report_process]


    バッジには十分です！

    プロジェクトの文書は、プロジェクト内のセキュリティ連絡先に直接、非公開で脆弱性を報告する手段を提供しなければなりません（MUST）。 [OSPS-VM-03.01]
    セキュリティ研究者がプロジェクトに非公開で脆弱性を報告する手段を提供します。これは、専用の電子メールアドレス、ウェブフォーム、VCS専用ツール、セキュリティ連絡先の電子メールアドレス、またはその他の方法である可能性があります。

    https://github.com/NormB/sipnab/blob/main/SECURITY.md [vulnerability_report_private]


    バッジには十分です！

    プロジェクトの文書は、発見された脆弱性に関するデータを公開しなければなりません（MUST）。 [OSPS-VM-04.01]
    CVEエントリ、ブログ投稿、またはその他のメディアなど、予測可能な公開チャネルで既知の脆弱性に関する情報を提供します。可能な限り、この情報には、影響を受けるバージョン、消費者が脆弱かどうかを判断する方法、および緩和または修復の手順が含まれる必要があります。

    The changelog flags security-relevant fixes in the entry that carries them. [release_notes_vulns]



ツールやAIシステムを使って、https://www.bestpractices.dev/ja/projects/13931/choose/edit?osps_ac_01_01_status=Met&osps_ac_01_01_justification=GitHub+enforcedのような簡単なURLで変更を提案できます。その方法については、自動化提案システムをご覧ください。 このデータは、Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0)のもとで利用可能です。これは、データ受領者が、データ受領者がこの契約のテキストを共有データとともに利用可能にする限り、変更の有無にかかわらずデータを共有できることを意味します。Norm BrandingerおよびOpenSSFベストプラクティスバッジのコントリビューターにクレジットを表示してください。

プロジェクト バッジ登録の所有者： Norm Brandinger.
エントリの作成日時 2026-08-02 14:39:34 UTC、 最終更新日 2026-09-30 15:50:33 UTC 最後に2026-08-06 13:59:14 UTCにバッジ合格を達成しました。