Hashes, Signaturen, reproduzierbare Builds und Audits beantworten unterschiedliche Fragen.
Offener Quellcode ermöglicht die Prüfung des Codes; allein beweist er jedoch weder, dass die installierte App diesem Code entspricht, noch, dass sie keine Sicherheitslücken enthält. Bei der Bewertung eines Messengers sollte man verschiedene Nachweise unterscheiden: Quellcode, Build-Prozess, Dateisignatur, Protokolltests und Auditbericht.
Was zeigt jeder Nachweis genau?
| Nachweis | Wichtigster Beitrag | Was er allein nicht beweist |
|---|---|---|
| Lesbarer Quellcode | Ermöglicht die Prüfung von Entwurf und Implementierung | Übereinstimmung mit der Installationsdatei oder Abwesenheit sämtlicher Fehler |
| Reproduzierbarer Build | Ermöglicht den Vergleich der Ausgabe aus festgelegtem Quellcode und einer bestimmten Umgebung | Sicherheit des Codes selbst |
| APK-Signatur | Prüfung der Signatur und der Zuordnung der Datei zu einem vertrauenswürdigen Signaturschlüssel | Unbedenkliches Verhalten der App |
| SHA-256-Hash | Erkennt Byte-Unterschiede gegenüber einem vertrauenswürdigen Digest | Authentizität, wenn ein Angreifer Datei und Digest gemeinsam ersetzt hat |
| Testvektor | Prüft ein bestimmtes Verhalten für vorgegebene Ein- und Ausgaben | Abdeckung sämtlicher Zustände und Ausführungspfade |
| Unabhängiges Audit | Ergebnisse der Prüfung eines bestimmten Umfangs und einer bestimmten Version | Dauerhafte Garantie für alle zukünftigen Versionen |
Ein reproduzierbarer Build ist nicht dasselbe wie der Download einer Datei mit passendem Hash
Laut der Definition von Reproducible Builds bedeutet Reproduzierbarkeit, aus festgelegtem Quellcode, einer bestimmten Umgebung und festgelegten Anweisungen identische Ausgaben zu erzeugen. Wenn Sie nur die heruntergeladene Datei mit dem vom Entwickler veröffentlichten Hash vergleichen, haben Sie eine Integritätsprüfung durchgeführt; Sie haben die Datei noch nicht selbst aus dem Code gebaut.
Um eine Aussage zur Reproduzierbarkeit zu bewerten, verlangen Sie Codeversion, Abhängigkeiten, Build-Anweisungen und den Bericht einer anderen Person, die das Ergebnis reproduziert hat. „Der Quellcode ist auf GitHub verfügbar“ ersetzt diese Nachweise nicht.
Wie interpretiert man eine APK-Prüfung richtig?
- Beziehen Sie die Datei für eine bestimmte Version aus der offiziellen Quelle.
- Beziehen Sie Digest und Angaben zum Signierenden aus einer Quelle, deren Authentizität Sie vertrauen.
- Berechnen Sie den Hash der Datei und vergleichen Sie ihn mit dem derselben Version.
- Validieren Sie bei einer technischen Prüfung auch die Signatur; das offizielle Werkzeug apksigner unterstützt dies.
- Stoppen Sie bei einer Abweichung die Installation und klären Sie die Ursache; signieren Sie die Datei nicht erneut, um den Fehler zu umgehen.
Ein Beispielbefehl zur Prüfung für Fachleute mit den Android SDK Build Tools:
apksigner verify --verbose --print-certs app.apk
Der Name app.apk ist nur ein Beispiel. Ein erfolgreicher Befehl ersetzt nicht die Kenntnis des vertrauenswürdigen Schlüssels des Herausgebers.
Welche Rolle spielt Proof Lab?
Livaras Proof Lab stellt Werkzeuge für bestimmte Prüfungen bereit. Lesen Sie den Umfang jedes Tests: Datei-Hash, beispielhafte Schlüsselvereinbarung oder Zurückweisung manipulierter Daten beantworten unterschiedliche Fragen. Eine erfolgreiche kryptografische Demonstration ist kein Audit der gesamten installierten App, des Servers, der Updates oder der Kontoverwaltung.
Auch Livaras Bedrohungsmodell stellt ausdrücklich klar: Ersetzt ein Angreifer sowohl die APK-Datei als auch den angezeigten Digest, beweist ein passender Hash allein keine Authentizität. Das ist eine allgemeine Grenze von Hash-Prüfungen, keine Eigenschaft eines bestimmten Messengers.
Welche Fragen sollte man bei einem Auditbericht stellen?
- Welche Organisationen oder Personen haben die Prüfung durchgeführt, und wo ist der öffentliche Bericht?
- Welche Version und welcher Commit wurden geprüft?
- Welche Teile lagen außerhalb des Prüfungsumfangs?
- Wie wurden wichtige Befunde behoben und erneut getestet?
- Ist Ihre installierte Version dieselbe, oder enthält sie deren Korrekturen?
Ziehen Sie aus Begriffen wie „geprüft“ ohne Antworten auf diese Fragen keine endgültigen Schlüsse. Auch die Verwendung eines standardisierten Algorithmus entspricht keiner Zertifizierung des gesamten Produkts nach einem Standard.
Konsequenzen für die Wahl eines Messengers
Offener Quellcode und Überprüfbarkeit stehen nicht im Wettbewerb; sie liefern ergänzende Nachweise. Bevorzugen Sie ein Produkt mit präzisen, nachvollziehbaren und klar abgegrenzten Aussagen. Wenden Sie dieselbe Prüfung anschließend auf Ihre konkrete Nutzung an, etwa Gruppen, Webversion, Backups und verknüpfte Geräte, statt aus einem erfolgreichen Test absolute Sicherheit abzuleiten.
