Ein Offline-Test sollte ein konkretes Ergebnis liefern; ein Hash oder eine Kryptografie-Demonstration ist kein vollständiges Produktaudit.
Ein Offline-Test kann zeigen, dass eine bestimmte Berechnung ohne Live-Antwort eines Servers ausgeführt wird. Das ist wertvoll, beweist aber nicht die Sicherheit des gesamten Messengers. Für ein brauchbares Ergebnis müssen Sie genau festhalten, welche Datei, Version, Eingabe und Ausgabe Sie geprüft haben.
Datei-Hashes, Release-Signaturen, Testvektoren, reproduzierbare Builds und Sicherheitsaudits beantworten unterschiedliche Fragen. Belege zu kombinieren ist sinnvoller, als einen davon zu einem „Siegel vollständiger Sicherheit“ zu erklären.
Was zeigt welcher Nachweis?
| Nachweis | Begrenzte, richtige Schlussfolgerung | Was nicht automatisch bewiesen wird |
|---|---|---|
| SHA-256 einer Datei | Die Datei stimmt mit dem Referenz-Digest überein | Die Referenzquelle ist ehrlich oder der Code fehlerfrei |
| APK-Signatur | Die Signatur ist für das Paket gültig und dem Signaturschlüssel zugeordnet | Der Schlüssel gehört zum gewünschten Herausgeber, sofern dies nicht separat geprüft wird |
| Testvektoren | Die abgedeckten Fälle liefern die erwartete Ausgabe | Alle Zustände und Fehler des Produkts sind abgedeckt |
| Reproduzierbarer Build | Festgelegter Quellcode und eine festgelegte Umgebung erzeugen dieselbe Ausgabe | Der Quellcode enthält keine Schwachstellen |
| Audit | Ein bestimmter Umfang und eine bestimmte Version wurden untersucht | Spätere Änderungen und Komponenten außerhalb des Prüfumfangs wurden ebenfalls bestätigt |
Die Definition reproduzierbarer Builds beruht auf festgelegten Eingaben und Umgebungen. Das offizielle Android-Werkzeug apksigner prüft APK-Signaturen; das ist nicht dasselbe wie die Berechnung eines Hashes.
Welchen Umfang hat Livaras Proof Lab derzeit?
Die Proof-Lab-Seite stellt ein lokales Werkzeug für APK-Hashes und Demonstrationen von P-256-, HKDF- und AES-GCM-Operationen vor. Dazu gehört die Änderung eines Bits, um das Scheitern der Authentizitätsprüfung zu beobachten. Die Seite erklärt ausdrücklich, dass die vollständige Kombination aus LVR1/LGS1 außerhalb dieses Prüfstands liegt.
Formulieren Sie das richtige Ergebnis daher so: „Diese Datei stimmte mit dem Referenz-Digest überein“ oder „Diese Kryptografie-Demonstration wies die getestete Manipulation zurück“. Schreiben Sie nicht: „Das gesamte hybride Protokoll und die vollständige installierte Version wurden unabhängig auditiert“. Dieser Artikel berichtet nicht über einen neuen praktischen Test dieses Werkzeugs.
Wie bereitet man einen wiederholbaren Offline-Test vor?
- Legen Sie das Ziel fest. Möchten Sie die Identität einer Datei oder das Verhalten einer kryptografischen Operation prüfen?
- Dokumentieren Sie Version und Quelle. APK-Name, Versionsnummer, Download-Adresse und Digest derselben Veröffentlichung müssen zusammengehören.
- Beschaffen Sie Werkzeug und Eingabe aus einer vertrauenswürdigen Quelle. Offline zu gehen macht ursprünglich bösartigen Code nicht vertrauenswürdig.
- Verwenden Sie nicht sensible Testdaten. Für eine Kryptografie-Demonstration sind weder private Nachrichten noch echte Geheimnisse nötig.
- Trennen Sie die Verbindung und wiederholen Sie den Test. Dieser Schritt prüft die Abhängigkeit von einer Live-Antwort, nicht die Vertrauenswürdigkeit zuvor heruntergeladenen Codes.
- Dokumentieren Sie Ergebnisse und Fehler. Ersetzen Sie Versionsunterschiede, Ladefehler oder abweichende Ausgaben nicht durch „bestanden“.
Weicht der Hash ab, stoppen Sie die Installation und prüfen Sie zuerst Version, Datei und Referenzquelle. Die Abweichung kann auf der Auswahl einer anderen Veröffentlichung beruhen; erklären Sie sie ohne Prüfung weder sicher zu Schadsoftware noch sicher für unbedenklich.
Wie unterscheiden sich Testvektoren von offizieller Zertifizierung?
Ein Testvektor legt Eingabe und erwartete Ausgabe eines Verhaltens fest. Sammlungen wie Wycheproof helfen, Bibliotheken anhand von Fällen bekannter Angriffe zu testen. Das Bestehen belegt keine Abdeckung unbekannter Fälle.
NIST CAVP bietet ein Verfahren zur Algorithmenvalidierung. Einige öffentliche Vektoren im Browser auszuführen ist nicht gleichbedeutend mit dem Erhalt eines Validierungszertifikats; auch die Verwendung eines standardisierten Algorithmus zertifiziert ein Produkt nicht automatisch.
Was sollte man beim Vergleich von Messengern verlangen?
Stellen Sie für Livara, Signal, WhatsApp, Session oder Element dieselben Fragen: Welche genaue Version ist gemeint? Welche Datei ist offiziell? Wie werden Signaturschlüssel oder Referenz-Digest verifiziert? Welche Tests lassen sich ausführen? Welche Codebestandteile und Komponenten waren Gegenstand des Auditberichts?
Dieser Artikel ist keine durch Tests ermittelte Rangliste dieser Produkte. Fehlt ein einseitiges Werkzeug, beweist das nicht, dass Sicherheitsnachweise fehlen; seine Existenz belegt auch keine Überlegenheit des gesamten Produkts. Vergleichen Sie die offiziellen Unterlagen derselben Version und einen wiederholbaren Bericht.
Ein nützliches Ergebnisblatt
Halten Sie in einem kurzen Bericht Folgendes fest: Ziel, Version, Dateiquelle, Hash, Werkzeug und Werkzeugversion, Netzwerkstatus, nicht sensible Eingabe, erwartete Ausgabe, beobachtete Ausgabe und Einschränkungen. Wurde ein weiterer Test nicht durchgeführt, kennzeichnen Sie ihn als „nicht getestet“.
Auch die Verifizierung des Kontaktschlüssels ist eine eigenständige Prüfung. Ein lokales Werkzeug kann eine Operation demonstrieren, verifiziert aber nicht für Sie die Identität des Gesprächspartners oder den Zustand seines Telefons. Lesen Sie Livaras Sicherheitsgrenzen zusammen mit den Ergebnissen, statt eine perfekte Werkzeugbewertung als Garantie für sämtliche Grenzen anzusehen.
