Dowody przed przymiotnikami
Co zbadano, kto to zrobił i kiedy
Twierdzenie o bezpieczeństwie ma wartość wtedy, gdy można wskazać wersję, metodę i wynik. Tutaj oddzielamy udokumentowane analizy od marketingowego skrótu.
Każdy test ma zakres
AVLab opisał analizę typu black box aplikacji iOS przeprowadzoną w 2020 roku. Publikacja omawia chronioną bazę lokalną i połączenia oparte na ZRTP. Wynik wspiera wnioski dotyczące badanej wersji i scenariuszy. Nie jest certyfikatem każdej późniejszej wersji, systemu ani telefonu.
UseCrypt publikuje także zbiorczą stronę dowodową wskazującą historyczne prace Deloitte, CyberWay oraz ekspertów Odeda Vanunu i Erana Zaikina. Przed wyciągnięciem wniosku czytelnik powinien sprawdzić nazwany zakres i datę.
Liczą się scenariusze ataku
Test laboratoryjny i codzienne zagrożenie nie są tym samym. Kradzież urządzenia, złośliwe oprogramowanie, obserwacja sieci i socjotechnika wymagają innych zabezpieczeń. Materiał porównawczy AVLab jest cenny, bo patrzy na komunikatory przez scenariusze, a nie jeden znaczek.
Odpowiedzialna strona bezpieczeństwa nie mówi, że produktu nie da się zaatakować. Wiarygodniejsze jest pokazanie architektury, zakresu testu i aktualnej pracy nad bezpieczeństwem.
Źródła: AVLab attack-scenario comparison
Jak czytać ten rejestr
Najpierw sprawdź datę. Potem wersję aplikacji, platformę i metodę. Na końcu zestaw interesujące cię twierdzenie z tym, co faktycznie zbadano. Analiza lokalnej bazy danych nie jest automatycznie dowodem dotyczącym odzyskiwania konta lub metadanych.
Linkujemy publiczne omówienia oraz bieżącą stronę dowodową UseCrypt, aby można było oddzielić źródło od naszej interpretacji.
Źródła: UseCrypt security reviews