Офлайн-тест должен давать конкретный результат; хеш или демонстрация криптографии — не полный аудит продукта.
Офлайн-проверка может показать, что конкретное вычисление выполняется без ответа сервера в реальном времени. Это ценно, но не доказывает безопасность всего мессенджера. Чтобы результат был полезен, нужно точно записать, какой файл, версию, входные и выходные данные вы проверили.
Хеш файла, подпись релиза, тестовый вектор, воспроизводимая сборка и аудит безопасности отвечают на разные вопросы. Сочетать свидетельства полезнее, чем превращать одно из них в «печать полной безопасности».
Что показывает каждое свидетельство?
| Свидетельство | Ограниченный и правильный вывод | Что автоматически не доказывается |
|---|---|---|
| SHA-256 файла | Файл соответствует эталонному digest | Что эталонный источник честен или код безупречен |
| Подпись APK | Подпись действительна для пакета и связана с ключом подписанта | Что ключ принадлежит нужному вам издателю, если это не проверено отдельно |
| Тестовый вектор | Охваченные случаи дают ожидаемый результат | Что охвачены все состояния и ошибки продукта |
| Воспроизводимая сборка | Определённые исходники и среда дают одинаковый результат | Что в исходном коде нет уязвимостей |
| Аудит | Проверены определённые область и версия | Что одобрены также последующие изменения и компоненты вне области проверки |
Определение воспроизводимой сборки опирается на определённые входные данные и среду. Официальный инструмент Android apksigner предназначен для проверки подписи APK; это не то же самое, что вычисление хеша.
Какова текущая область возможностей Livara Proof Lab?
Страница Proof Lab представляет локальный инструмент хеширования APK и демонстрации операций P-256, HKDF и AES-GCM, включая изменение одного бита для наблюдения сбоя проверки подлинности. Сама страница прямо говорит, что полная комбинация LVR1/LGS1 выходит за рамки этого испытательного стенда.
Поэтому правильный результат записывайте так: «Этот файл совпал с эталонным digest» или «Эта демонстрация криптографии отклонила проверенное изменение». Не пишите: «Весь гибридный протокол и вся установленная версия прошли независимый аудит». Эта статья не сообщает о новом практическом запуске теста этого инструмента.
Как подготовить повторяемый офлайн-тест?
- Определите цель. Вы хотите проверить идентичность файла или поведение криптографической операции?
- Запишите версию и источник. Имя APK, номер версии, адрес загрузки и digest этого релиза должны быть связаны между собой.
- Подготовьте инструмент и входные данные из доверенного источника. Переход в офлайн не делает надёжным код, который изначально был вредоносным.
- Используйте нечувствительные тестовые данные. Для демонстрации криптографии не нужны личное сообщение или настоящий секрет.
- Отключите соединение и повторите тест. Этот шаг проверяет зависимость от ответа в реальном времени, а не доверие к ранее загруженному коду.
- Запишите результат и ошибки. Не заменяйте различия версий, сбой загрузки и несовпадающий результат словом «успешно».
Если хеш отличается, остановите установку и сначала проверьте версию, файл и эталонный источник. Расхождение может быть вызвано выбором другого релиза; без проверки не считайте его ни однозначным признаком вредоносного ПО, ни однозначно несущественным.
Чем тестовый вектор отличается от официального сертификата?
Тестовый вектор задаёт входные данные и ожидаемый результат определённого поведения. Наборы вроде Wycheproof полезны для тестирования библиотек на случаях, связанных с известными атаками. Успешное прохождение не доказывает охват неизвестных случаев.
NIST CAVP предусматривает процедуру валидации алгоритмов. Запуск нескольких публичных векторов в браузере не равен получению сертификата валидации; использование стандартного алгоритма также не делает продукт автоматически сертифицированным.
Что запрашивать при сравнении мессенджеров?
Для Livara, Signal, WhatsApp, Session или Element задавайте одинаковые вопросы: Какова точная версия? Какой файл официальный? Как проверяется ключ подписанта или эталонный digest? Какие тесты можно выполнить? Какие код и компоненты вошли в отчёт об аудите?
Эта статья не является рейтингом этих продуктов по результатам испытаний. Отсутствие одностраничного инструмента не доказывает отсутствие свидетельств безопасности; его наличие также не доказывает превосходство продукта в целом. Сравнивайте официальную документацию именно этой версии и воспроизводимый отчёт.
Полезный лист результатов
В коротком отчёте укажите: цель, версию, источник файла, хеш, инструмент и его версию, состояние сети, нечувствительные входные данные, ожидаемый результат, наблюдаемый результат и ограничения. Если другой тест не проводился, отметьте «не проверено».
Проверка ключа контакта — тоже отдельная процедура. Локальный инструмент может показать операцию, но не подтвердит за вас личность собеседника или защищённость его телефона. Читайте границы безопасности Livara вместе с результатами, а не считайте полный балл в инструменте гарантией соблюдения всех границ.
