Una prueba sin conexión debe tener un resultado concreto; un hash o una demostración criptográfica no son una auditoría completa del producto.
Una prueba sin conexión puede mostrar que un cálculo concreto se realiza sin una respuesta en directo del servidor. Es valioso, pero no demuestra la seguridad de todo el mensajero. Para obtener un resultado útil, registre exactamente qué archivo, versión, entrada y salida ha probado.
El hash de un archivo, la firma de una publicación, los vectores de prueba, las compilaciones reproducibles y las auditorías de seguridad responden a preguntas distintas. Combinar pruebas es más útil que convertir una sola en un «sello de seguridad completa».
¿Qué demuestra cada prueba?
| Evidencia | Conclusión limitada y correcta | Lo que no demuestra automáticamente |
|---|---|---|
| SHA-256 del archivo | El archivo coincide con el digest de referencia | La fuente de referencia es honesta o el código es perfecto |
| Firma APK | La firma es válida para el paquete y está vinculada a la clave de firma | Esa clave pertenece al editor deseado, salvo verificación independiente |
| Vectores de prueba | Los casos cubiertos producen la salida esperada | Se cubren todos los estados y errores del producto |
| Compilación reproducible | Un código fuente y un entorno determinados producen una salida idéntica | El código fuente carece de vulnerabilidades |
| Auditoría | Se han examinado un alcance y una versión determinados | También se han aprobado cambios posteriores y componentes fuera de ese alcance |
La definición de compilación reproducible se basa en entradas y un entorno determinados. La herramienta oficial apksigner de Android verifica las firmas de APK; esto no equivale a calcular un hash.
¿Qué abarca actualmente Proof Lab de Livara?
La página de Proof Lab presenta una herramienta local para calcular el hash de un APK y demostraciones de operaciones P-256, HKDF y AES-GCM, incluida la alteración de un bit para observar un fallo en la verificación de autenticidad. La propia página indica expresamente que la combinación completa LVR1/LGS1 queda fuera de este banco de pruebas.
Por tanto, redacte la conclusión correcta así: «Este archivo coincidía con el digest de referencia» o «Esta demostración criptográfica rechazó la manipulación probada». No diga «Se auditaron de forma independiente todo el protocolo híbrido y toda la versión instalada». Este artículo no informa de una nueva prueba práctica de esa herramienta.
¿Cómo preparar una prueba sin conexión repetible?
- Defina el objetivo. ¿Quiere verificar la identidad de un archivo o el comportamiento de una operación criptográfica?
- Registre la versión y la fuente. El nombre del APK, el número de versión, la dirección de descarga y el digest de esa publicación deben corresponderse.
- Prepare la herramienta y la entrada desde una fuente de confianza. Desconectarse no hace fiable un código que ya era malicioso.
- Utilice datos de prueba no sensibles. Una demostración criptográfica no requiere mensajes privados ni secretos reales.
- Desconecte la red y repita la prueba. Este paso mide la dependencia de una respuesta en directo, no la confianza en el código descargado anteriormente.
- Registre resultados y errores. No sustituya diferencias de versión, fallos de carga o salidas no coincidentes por «aprobado».
Si el hash difiere, detenga la instalación y compruebe primero la versión, el archivo y la fuente de referencia. La diferencia puede deberse a haber elegido otra publicación; sin investigarla, no la considere ni malware seguro ni algo seguro de ignorar.
¿En qué difieren los vectores de prueba de una certificación oficial?
Un vector de prueba especifica la entrada y la salida esperada de un comportamiento. Colecciones como Wycheproof permiten probar bibliotecas frente a casos relacionados con ataques conocidos. Superarlas no demuestra la cobertura de casos desconocidos.
NIST CAVP dispone de un proceso de validación de algoritmos. Ejecutar unos vectores públicos en el navegador no equivale a obtener un certificado de validación; utilizar un algoritmo estándar tampoco certifica automáticamente un producto.
¿Qué pedir al comparar mensajeros?
Para Livara, Signal, WhatsApp, Session o Element, plantee las mismas preguntas: ¿cuál es la versión exacta? ¿Qué archivo es oficial? ¿Cómo se verifica la clave de firma o el digest de referencia? ¿Qué pruebas se pueden ejecutar? ¿Qué código y componentes incluía el informe de auditoría?
Este artículo no es una clasificación de estos productos basada en pruebas. La ausencia de una herramienta de una sola página no demuestra la ausencia de evidencias de seguridad; su presencia tampoco demuestra la superioridad de todo el producto. Compare la documentación oficial de esa versión y un informe repetible.
Una hoja de resultados útil
En un informe breve, anote el objetivo, la versión, la fuente del archivo, el hash, la herramienta y su versión, el estado de la red, la entrada no sensible, la salida esperada, la salida observada y las limitaciones. Si no se ha realizado otra prueba, márquela como «no probada».
Verificar la clave de un contacto también es una comprobación independiente. Una herramienta local puede mostrar una operación, pero no verifica por usted la identidad del interlocutor ni el estado de su teléfono. Lea los límites de seguridad de Livara junto a los resultados, en lugar de interpretar una puntuación perfecta en una herramienta como garantía de todos esos límites.
