Hashar, signaturer, reproducerbara byggen och revisioner besvarar olika frågor.
Öppen källkod gör det möjligt att granska koden, men bevisar inte i sig att den installerade appen motsvarar koden eller saknar sårbarheter. När du bedömer en meddelandeapp är det bättre att skilja mellan flera sorters bevis: källkod, byggprocess, filsignatur, protokolltester och revisionsrapporter.
Vad visar varje slags bevis egentligen?
| Bevis | Främsta bidrag | Vad det inte bevisar på egen hand |
|---|---|---|
| Läsbar källkod | Möjlighet att granska design och implementation | Överensstämmelse med installationsfilen eller frånvaro av alla fel |
| Reproducerbart bygge | Möjlighet att jämföra resultat från en viss källa och miljö | Att koden i sig är säker |
| APK-signatur | Kontroll av signaturen och filens koppling till en betrodd signeringsnyckel | Att appens beteende är ofarligt |
| SHA-256-hash | Upptäckt av skillnader i byte jämfört med ett betrott hashvärde | Äkthet om angriparen har bytt ut både filen och hashvärdet |
| Testvektor | Kontroll av ett visst beteende för bestämda in- och utdata | Täckning av alla tillstånd och exekveringsvägar |
| Oberoende revision | Resultat från en granskning av en bestämd omfattning och version | En permanent garanti för alla framtida versioner |
Ett reproducerbart bygge är inte samma sak som att ladda ner en fil med samma hash
Enligt Reproducible Builds definition handlar reproducerbarhet om att bygga identiska resultat från en viss källa, miljö och uppsättning instruktioner. Om du bara jämför den nedladdade filen med tillverkarens publicerade hash har du gjort en integritetskontroll; du har ännu inte själv byggt filen från koden.
För att bedöma ett påstående om reproducerbarhet bör du efterfråga kodversion, beroenden, bygginstruktioner och en rapport från någon annan som har upprepat resultatet. ”Källan finns på GitHub” ersätter inte dessa bevis.
Hur tolkar man en APK-kontroll korrekt?
- Hämta filen via den officiella vägen och för en bestämd version.
- Hämta hashvärdet och uppgifter om signeraren från en källa vars äkthet du litar på.
- Beräkna filens hash och jämför med samma version.
- Validera även signaturen vid en teknisk kontroll; det officiella verktyget apksigner stöder detta.
- Avbryt installationen om du ser en avvikelse och klarlägg orsaken; signera inte om filen för att kringgå felet.
Exempel på ett kontrollkommando för en expert som har Android SDK Build Tools:
apksigner verify --verbose --print-certs app.apk
Namnet app.apk är bara ett exempel. Ett lyckat kommando ersätter inte behovet av att känna till utgivarens giltiga nyckel.
Vilken roll har Proof Lab?
Livaras Proof Lab erbjuder verktyg för specifika kontroller. Läs omfattningen för varje experiment: en filhash, ett exempel på nyckelöverenskommelse och avvisning av manipulerade data är olika frågor. En lyckad kryptografisk demonstration är inte en revision av hela den installerade appen, servern, uppdateringarna eller kontohanteringen.
Även Livaras hotmodell anger uttryckligen att en matchande hash inte ensam bevisar äkthet om en angripare byter ut både APK-filen och det visade hashvärdet. Detta är en allmän begränsning hos hashkontroller, inte en egenskap hos en viss meddelandeapp.
Vad bör man fråga när man läser en revisionsrapport?
- Vilken organisation eller vilka personer genomförde granskningen, och var finns den offentliga rapporten?
- Vilken version och commit granskades?
- Vilka delar låg utanför omfattningen?
- Hur åtgärdades och testades viktiga fynd på nytt?
- Är din installerade version samma version eller innehåller den dess rättningar?
Dra inga definitiva slutsatser av ord som ”godkänd” utan svar på dessa frågor. Att använda en standardiserad algoritm är inte heller samma sak som att hela produkten har certifierats enligt en standard.
Slutsats för valet av meddelandeapp
Öppen källkod och verifierbarhet konkurrerar inte med varandra; de ger kompletterande bevis. Föredra en produkt vars påståenden är precisa, spårbara och tydligt avgränsade. Tillämpa sedan samma granskning på ditt användningsfall, exempelvis grupper, webbversion, säkerhetskopior och länkade enheter, i stället för att dra slutsatsen om absolut säkerhet från ett enda lyckat test.
