Çevrimdışı testin belirli bir sonucu olmalıdır; özet veya kriptografi gösterimi, ürünün tam denetimi değildir.
Çevrimdışı kontrol, belirli bir hesaplamanın sunucudan canlı yanıt alınmadan yapıldığını gösterebilir. Bu değerlidir, ancak tüm mesajlaşma uygulamasının güvenliğini kanıtlamak anlamına gelmez. Kullanılabilir bir sonuç için hangi dosyayı, sürümü, girdiyi ve çıktıyı test ettiğinizi açıkça yazmalısınız.
Dosya özeti, yayın imzası, test vektörü, yeniden üretilebilir derleme ve güvenlik denetimi farklı soruları yanıtlar. Kanıtları birleştirmek, bunlardan birini “tam güvenlik mührüne” dönüştürmekten daha faydalıdır.
Her kanıt neyi gösterir?
| Kanıt | Sınırlı ve doğru sonuç | Kendiliğinden kanıtlanmayan şey |
|---|---|---|
| Dosyanın SHA-256 özeti | Dosya, referans özetle eşleşir | Referans kaynağın dürüst veya kodun kusursuz olduğu |
| APK imzası | İmza paket için geçerlidir ve imzalayan anahtarla ilişkilidir | Ayrı doğrulanmadıkça, anahtarın amaçladığınız yayıncıya ait olduğu |
| Test vektörü | Kapsanan durumlar beklenen çıktıyı verir | Ürünün tüm durum ve hatalarının kapsandığı |
| Yeniden üretilebilir derleme | Belirli kaynak ve ortam aynı çıktıyı üretir | Kaynak kodun güvenlik açığı içermediği |
| Denetim | Belirli kapsam ve sürüm incelenmiştir | Sonraki değişikliklerin ve kapsam dışı bileşenlerin de onaylandığı |
Yeniden üretilebilir derleme tanımı belirli girdilere ve ortama dayanır. Android’in resmî apksigner aracı APK imzasını denetlemek içindir; bu işlem özet hesaplamakla aynı değildir.
Livara Proof Lab şu anda hangi kapsamı sunuyor?
Proof Lab sayfası, yerel APK özeti aracını ve P-256, HKDF ile AES-GCM işlemlerinin gösterimini tanıtır; buna, özgünlük doğrulamasının başarısızlığını görmek için tek bir bitin değiştirilmesi de dahildir. Sayfa, LVR1/LGS1’in tam birleşiminin bu deney tezgâhının dışında olduğunu açıkça belirtir.
Bu nedenle doğru sonucu şöyle yazın: “Bu dosya referans özetle eşleşti” veya “Bu kriptografi gösterimi test edilen değişikliği reddetti.” “Tüm hibrit protokol ve kurulu sürümün tamamı bağımsız olarak denetlendi” demeyin. Bu makale, söz konusu araç üzerinde yeni bir çalıştırma testi raporlamaz.
Tekrarlanabilir çevrimdışı test nasıl hazırlanır?
- Amacı belirleyin. Dosyanın kimliğini mi yoksa bir kriptografik işlemin davranışını mı kontrol etmek istiyorsunuz?
- Sürümü ve kaynağı kaydedin. APK adı, sürüm numarası, indirme adresi ve o yayının özeti birbiriyle ilişkili olmalıdır.
- Aracı ve girdiyi güvenilir bir kaynaktan hazırlayın. Çevrimdışı olmak, baştan kötü amaçlı olan kodu güvenilir yapmaz.
- Hassas olmayan test verisi kullanın. Kriptografi gösterimi için özel mesaj veya gerçek bir sır gerekmez.
- Bağlantıyı kesin ve testi tekrarlayın. Bu adım, daha önce alınan koda güveni değil, canlı yanıta bağımlılığı ölçer.
- Sonucu ve hataları kaydedin. Sürüm farkını, yükleme hatasını ve uyuşmayan çıktıyı “başarılı” ile değiştirmeyin.
Özet farklıysa kurulumu durdurun ve önce sürümü, dosyayı ve referans kaynağı inceleyin. Fark, başka bir yayının seçilmesinden kaynaklanabilir; incelemeden kesinlikle kötü amaçlı yazılım veya kesinlikle önemsiz olduğunu söylemeyin.
Test vektörü ile resmî sertifika arasındaki fark nedir?
Test vektörü, bir davranışın girdisini ve beklenen çıktısını belirtir. Wycheproof gibi koleksiyonlar, kütüphaneleri bilinen saldırılarla ilgili durumlara karşı test etmekte faydalıdır. Bunları geçmek, bilinmeyen durumların kapsandığını kanıtlamaz.
NIST CAVP bir algoritma doğrulama sürecine sahiptir. Tarayıcıda birkaç herkese açık vektör çalıştırmak, doğrulama sertifikası almakla aynı değildir; standart algoritma kullanmak da ürünü otomatik olarak onaylı yapmaz.
Mesajlaşma uygulamalarını karşılaştırırken ne istemeliyiz?
Livara, Signal, WhatsApp, Session veya Element için aynı soruları sorun: Tam sürüm nedir? Resmî dosya hangisidir? İmzalayan anahtar veya referans özet nasıl doğrulanır? Hangi testler çalıştırılabilir? Denetim raporuna hangi kod ve bileşenler dahildi?
Bu makale bu ürünlerin test edilmiş bir sıralaması değildir. Tek sayfalık bir aracın yokluğu, güvenlik kanıtlarının yokluğunu kanıtlamaz; varlığı da tüm ürünün üstünlüğünü kanıtlamaz. Aynı sürümün resmî belgelerini ve tekrarlanabilir raporu karşılaştırın.
Yararlı bir sonuç formu
Kısa raporunuza şunları yazın: amaç, sürüm, dosya kaynağı, özet, araç ve sürümü, ağ durumu, hassas olmayan girdi, beklenen çıktı, gözlenen çıktı ve sınırlamalar. Başka bir deney yapılmadıysa bunu “test edilmedi” olarak kaydedin.
Kişinin anahtarını doğrulamak da ayrı bir kontroldür. Yerel araç bir işlemi gösterebilir, ancak sizin yerinize karşı tarafın kimliğini veya telefonunun sağlıklı olduğunu doğrulamaz. Livara’nın güvenlik sınırlarını sonuçlarla birlikte okuyun; araçtaki tam puanı tüm sınırların garantisi saymayın.
