ऑफलाइन परीक्षण का एक निश्चित परिणाम होना चाहिए; हैश या क्रिप्टोग्राफ़ी का प्रदर्शन पूरे उत्पाद का ऑडिट नहीं है।
ऑफलाइन जाँच दिखा सकती है कि कोई विशेष गणना सर्वर के लाइव उत्तर के बिना होती है। यह मूल्यवान है, लेकिन पूरे मैसेंजर की सुरक्षा का प्रमाण नहीं है। उपयोगी परिणाम के लिए ठीक-ठीक लिखें कि आपने किस फ़ाइल, संस्करण, इनपुट और आउटपुट का परीक्षण किया।
फ़ाइल हैश, रिलीज़ हस्ताक्षर, टेस्ट वेक्टर, पुनरुत्पादनीय बिल्ड और सुरक्षा ऑडिट अलग-अलग सवालों के जवाब देते हैं। किसी एक को «पूर्ण सुरक्षा की मुहर» बनाने से बेहतर है सबूतों को साथ देखना।
हर सबूत क्या दिखाता है?
| सबूत | सीमित और सही निष्कर्ष | क्या अपने आप साबित नहीं होता |
|---|---|---|
| फ़ाइल का SHA-256 | फ़ाइल संदर्भ digest से मेल खाती है | संदर्भ स्रोत ईमानदार है या कोड त्रुटिरहित है |
| APK हस्ताक्षर | पैकेज का हस्ताक्षर वैध है और हस्ताक्षरकर्ता की कुंजी से जुड़ा है | अलग से जाँच के बिना वह कुंजी आपके इच्छित प्रकाशक की है |
| टेस्ट वेक्टर | शामिल मामलों में अपेक्षित आउटपुट मिलता है | उत्पाद की सभी स्थितियाँ और त्रुटियाँ शामिल हैं |
| पुनरुत्पादनीय बिल्ड | निश्चित स्रोत और वातावरण एक ही आउटपुट बनाते हैं | स्रोत कोड में कोई भेद्यता नहीं है |
| ऑडिट | निश्चित दायरे और संस्करण की जाँच हुई है | बाद के बदलाव और दायरे से बाहर के घटक भी स्वीकृत हैं |
पुनरुत्पादनीय बिल्ड की परिभाषा निश्चित इनपुट और वातावरण पर आधारित है। Android का आधिकारिक apksigner टूल APK हस्ताक्षर की जाँच करता है; यह हैश की गणना के समान नहीं है।
Livara Proof Lab का वर्तमान दायरा क्या है?
Proof Lab पृष्ठ APK हैश के स्थानीय टूल और P-256, HKDF तथा AES-GCM के संचालन के प्रदर्शन प्रस्तुत करता है; इनमें प्रामाणिकता जाँच की विफलता देखने के लिए एक बिट बदलना भी शामिल है। पृष्ठ स्वयं स्पष्ट कहता है कि पूरा LVR1/LGS1 संयोजन इस परीक्षण बेंच के दायरे से बाहर है।
इसलिए सही परिणाम ऐसे लिखें: «यह फ़ाइल संदर्भ digest से मेल खाती थी» या «इस क्रिप्टोग्राफ़िक प्रदर्शन ने परीक्षण में किए बदलाव को अस्वीकार किया»। यह न कहें कि «पूरे हाइब्रिड प्रोटोकॉल और पूरे स्थापित संस्करण का स्वतंत्र ऑडिट हुआ»। यह लेख उस टूल के किसी नए निष्पादन परीक्षण की रिपोर्ट नहीं देता।
दोहराने योग्य ऑफलाइन परीक्षण कैसे तैयार करें?
- लक्ष्य तय करें। क्या फ़ाइल की पहचान जाँचनी है या किसी क्रिप्टोग्राफ़िक संचालन का व्यवहार?
- संस्करण और स्रोत दर्ज करें। APK का नाम, संस्करण संख्या, डाउनलोड पता और उसी रिलीज़ का digest एक-दूसरे से संबंधित होने चाहिए।
- टूल और इनपुट भरोसेमंद स्रोत से तैयार करें। ऑफलाइन होने से पहले से दुर्भावनापूर्ण कोड विश्वसनीय नहीं हो जाता।
- गैर-संवेदनशील परीक्षण डेटा लें। क्रिप्टोग्राफ़ी के प्रदर्शन के लिए निजी संदेश या असली रहस्य नहीं चाहिए।
- कनेक्शन काटें और परीक्षण दोहराएँ। यह चरण लाइव उत्तर पर निर्भरता मापता है, पहले डाउनलोड किए कोड पर भरोसा नहीं।
- परिणाम और त्रुटियाँ दर्ज करें। संस्करण का अंतर, लोड होने की विफलता और बेमेल आउटपुट को «पास» से न बदलें।
हैश अलग हो तो इंस्टॉलेशन रोकें और पहले संस्करण, फ़ाइल तथा संदर्भ स्रोत जाँचें। अंतर किसी अन्य रिलीज़ को चुनने से हो सकता है; बिना जाँच उसे निश्चित मैलवेयर या निश्चित रूप से महत्वहीन न मानें।
टेस्ट वेक्टर और आधिकारिक प्रमाणपत्र में क्या अंतर है?
टेस्ट वेक्टर किसी व्यवहार का इनपुट और अपेक्षित आउटपुट बताता है। Wycheproof जैसे संग्रह ज्ञात हमलों से जुड़े मामलों के विरुद्ध लाइब्रेरी जाँचने में उपयोगी हैं। उन्हें पास करने से अज्ञात मामलों का कवरेज साबित नहीं होता।
NIST CAVP में एल्गोरिदम सत्यापन की प्रक्रिया है। ब्राउज़र में कुछ सार्वजनिक वेक्टर चलाना सत्यापन प्रमाणपत्र मिलने के समान नहीं है; मानक एल्गोरिदम का उपयोग भी उत्पाद को अपने आप प्रमाणित नहीं करता।
मैसेंजरों की तुलना के लिए क्या माँगें?
Livara, Signal, WhatsApp, Session या Element के लिए एक जैसे सवाल पूछें: सटीक संस्करण क्या है? आधिकारिक फ़ाइल कौन-सी है? हस्ताक्षरकर्ता की कुंजी या संदर्भ digest कैसे सत्यापित होता है? कौन-से परीक्षण चलाए जा सकते हैं? ऑडिट रिपोर्ट में कौन-सा कोड और कौन-से घटक शामिल थे?
यह लेख इन उत्पादों की परीक्षित रैंकिंग नहीं है। एक-पृष्ठ वाला टूल न होना सुरक्षा सबूतों के न होने का प्रमाण नहीं है; उसका होना भी पूरे उत्पाद की श्रेष्ठता नहीं साबित करता। उसी संस्करण के आधिकारिक दस्तावेज़ और दोहराने योग्य रिपोर्ट की तुलना करें।
एक उपयोगी परिणाम पत्रक
अपनी छोटी रिपोर्ट में ये बातें लिखें: लक्ष्य, संस्करण, फ़ाइल का स्रोत, hash, टूल और उसका संस्करण, नेटवर्क की स्थिति, गैर-संवेदनशील इनपुट, अपेक्षित आउटपुट, देखा गया आउटपुट और सीमा। कोई अन्य परीक्षण न किया हो तो उसे «परीक्षण नहीं हुआ» लिखें।
संपर्क की कुंजी की पुष्टि भी अलग जाँच है। स्थानीय टूल एक संचालन दिखा सकता है, लेकिन आपकी ओर से बातचीत के दूसरे व्यक्ति की पहचान या उसके फ़ोन की सुरक्षा की पुष्टि नहीं करता। परिणामों के साथ Livara की सुरक्षा सीमाएँ पढ़ें; टूल में पूरे अंक को सभी सीमाओं की गारंटी न मानें।
