Офлайн-тест має давати конкретний результат; хеш чи демонстрація криптографії — не повний аудит продукту.
Офлайн-перевірка може показати, що певне обчислення виконується без відповіді сервера в реальному часі. Це цінно, але не доводить безпеки всього месенджера. Щоб результат був корисним, потрібно точно записати, який файл, версію, вхідні та вихідні дані ви перевірили.
Хеш файлу, підпис випуску, тестовий вектор, відтворювана збірка й аудит безпеки відповідають на різні запитання. Поєднувати свідчення корисніше, ніж перетворювати одне з них на «печатку повної безпеки».
Що показує кожне свідчення?
| Свідчення | Обмежений і правильний висновок | Що автоматично не доводиться |
|---|---|---|
| SHA-256 файлу | Файл відповідає еталонному digest | Що еталонне джерело чесне або код бездоганний |
| Підпис APK | Підпис дійсний для пакета й пов’язаний із ключем підписувача | Що ключ належить потрібному вам видавцю, якщо це не перевірено окремо |
| Тестовий вектор | Охоплені випадки дають очікуваний результат | Що охоплено всі стани й помилки продукту |
| Відтворювана збірка | Певний вихідний код і середовище дають однаковий результат | Що вихідний код не має вразливостей |
| Аудит | Перевірено визначені межі та версію | Що схвалено також наступні зміни й компоненти поза межами перевірки |
Визначення відтворюваної збірки спирається на визначені вхідні дані та середовище. Офіційний інструмент Android apksigner призначений для перевірки підпису APK; це не те саме, що обчислення хешу.
Які поточні межі можливостей Livara Proof Lab?
Сторінка Proof Lab представляє локальний інструмент хешування APK і демонстрації операцій P-256, HKDF та AES-GCM, зокрема зміну одного біта, щоб побачити відмову перевірки автентичності. Сама сторінка прямо каже, що повна комбінація LVR1/LGS1 виходить за межі цього випробувального стенда.
Тому правильний результат записуйте так: «Цей файл збігся з еталонним digest» або «Ця демонстрація криптографії відхилила перевірену зміну». Не пишіть: «Увесь гібридний протокол і вся встановлена версія пройшли незалежний аудит». Ця стаття не повідомляє про новий практичний запуск тесту цього інструмента.
Як підготувати повторюваний офлайн-тест?
- Визначте мету. Ви хочете перевірити ідентичність файлу чи поведінку криптографічної операції?
- Запишіть версію та джерело. Назва APK, номер версії, адреса завантаження та digest цього випуску мають бути пов’язані між собою.
- Підготуйте інструмент і вхідні дані з довіреного джерела. Перехід в офлайн не робить надійним код, який від початку був шкідливим.
- Використовуйте нечутливі тестові дані. Для демонстрації криптографії не потрібні приватне повідомлення чи справжній секрет.
- Від’єднайте з’єднання й повторіть тест. Цей крок перевіряє залежність від відповіді в реальному часі, а не довіру до раніше завантаженого коду.
- Запишіть результат і помилки. Не замінюйте відмінності версій, збій завантаження й невідповідний результат словом «успішно».
Якщо хеш відрізняється, зупиніть установлення та спочатку перевірте версію, файл і еталонне джерело. Розбіжність може виникнути через вибір іншого випуску; без перевірки не вважайте її ані однозначною ознакою шкідливого ПЗ, ані однозначно несуттєвою.
Чим тестовий вектор відрізняється від офіційного сертифіката?
Тестовий вектор задає вхідні дані й очікуваний результат певної поведінки. Набори на кшталт Wycheproof корисні для тестування бібліотек на випадках, пов’язаних із відомими атаками. Успішне проходження не доводить охоплення невідомих випадків.
NIST CAVP має процедуру валідації алгоритмів. Запуск кількох публічних векторів у браузері не дорівнює отриманню сертифіката валідації; використання стандартного алгоритму також не робить продукт автоматично сертифікованим.
Що запитувати, порівнюючи месенджери?
Для Livara, Signal, WhatsApp, Session або Element ставте однакові запитання: Яка точна версія? Який файл офіційний? Як перевіряється ключ підписувача або еталонний digest? Які тести можна виконати? Які код і компоненти увійшли до звіту аудиту?
Ця стаття не є рейтингом цих продуктів за результатами випробувань. Відсутність односторінкового інструмента не доводить відсутності свідчень безпеки; його наявність також не доводить переваги продукту загалом. Порівнюйте офіційну документацію саме цієї версії та відтворюваний звіт.
Корисний аркуш результатів
У короткому звіті зазначте: мету, версію, джерело файлу, хеш, інструмент і його версію, стан мережі, нечутливі вхідні дані, очікуваний результат, спостережуваний результат та обмеження. Якщо іншого тесту не проводили, позначте «не перевірено».
Перевірка ключа контакту — теж окрема процедура. Локальний інструмент може показати операцію, але не підтвердить замість вас особу співрозмовника чи захищеність його телефона. Читайте межі безпеки Livara разом із результатами, а не вважайте повний бал в інструменті гарантією дотримання всіх меж.
