Мэдлэгийн бааз Бүрээсний доор

Барилга байгууламжийг шалгаж байна

Нээлттэй эх сурвалж нь таны ажиллуулж буй код өмнө нь байсан код байвал л тусална хэвлэгдсэн. Nymchat нь шийдэмгий байдлаар бүтээгдсэн тул та өөрөө үүнийг дотроос нь шалгах боломжтой програм эсвэл терминалаас.

Энэ хуудсыг тав тухтай байлгах үүднээс машинаар орчуулсан болно. Англи хэл дээрх эх хувилбар нь тохирох хувилбар юм.

Дахин давтагдах боломжтой бүтээц

Аппликейшнийг бүтээх нь ялгаруулдаг build-manifest.json эх сурвалжийг агуулсан, a Үйлчлүүлсэн HTML, JavaScript болон CSS өмч бүрийн SHA-256 хэш ба дан bundleHash нийт хөрөнгийн багц дээр.

Гаралт нь зөвхөн эх сурвалжийн агуулгаас шалтгаална - бүр бичигдсэн бүтээх хугацаа хүртэл Барилга хийгдсэн мөчөөс илүүтэйгээр commit-ийн цагийн тэмдэг - тиймээс хэн ч үүнийг дахин бүтээдэг commit нь байт хэмжээтэй ижил файлуудыг авдаг bundleHash.

Дараа нь GitHub-ийн үйлдэл нь үүрэг тус бүрийг бие даан дахин бүтээж, баталгаажилтыг баталгаажуулдаг хэш болон манифестийн баталгаажуулалт, тиймээс гарын үсэг зурсан бичлэг уясан байна a bundleHash -аас өөр зүйлээр үүсгэгдсэн репозитор дахь амлалт руу байршуулалт.

About харилцах цонх юуг шалгадаг

тухай Толгой хэсэгт таны хөтөч дээр шалгалтыг шууд явуулдаг.

Nymchat About харилцах цонх нь хувилбарыг харуулж, бүрэн бүтэн байдлыг бий болгож, канарын статусыг баталгаажуулдаг. — Тухай харилцах цонх: хувилбар, бүрэн бүтэн байдал, баталгаат канар болон хөгжүүлэгч рүү шууд холбогдох.

Энэ нь тухайн хуудасны ажиллаж байгаа хөрөнгө бүрийг дахин татаж, Web Crypto API ашиглан хэш болгож, манифесттэй харьцуулна. Дараа нь энэ бол чухал хэсэг юм -ийг дахин тооцдог bundleHash хэшээс тэр -аас биш зүгээр л тооцоолсон Манифестийн мэдүүлсэн бүх зүйлийг хадгалах газрын гарын үсэгтэй гэрчлэлээс харна GitHub API-ээр дамжуулан.

Энэ нь байршуулалтыг өөрөө баталгаажуулахыг зогсоодог зүйл юм: өөрчилсөн файлуудтай хамт үйлчлэх Дахин тооцоолсон хэш нь баталгаажуулалтгүй тул тохирох манифест амжилтгүй болсон хэвээр байна.

Статус	гэсэн үг
&шалгах; Баталгаажсан албан ёсны програм (n/n)	Хөрөнгө бүр таарч, дахин тооцоолсон багцын хэшийг репозитороор баталгаажуулна. болон хуудас нь албан ёсны домэйноос үйлчилдэг.
⚠ Баталгаажсан бүтээц · албан ёсны програм биш	Код нь жинхэнэ бөгөөд баталгаажсан боловч энэ нь өөр домэйн дээрх толь юм. Толин тусгал нь баталгаажуулалт хийхгүйгээр энэ анхааруулгыг арилгах боломжгүй.
✗ Тохиромжгүй	Өмч нь манифестэд бичсэн зүйлтэй таарахгүй.
✗ Албан бус бүтээн байгуулалт	Дахин тооцоолсон багцын хэш нь репозитороос ямар ч баталгаагүй бөгөөд энэ нь өөрөө хийсэн манифест юм.
⚠ Гарал үүслийн хувьд боломжгүй	GitHub API-д холбогдож чадаагүй тул баталгаажуулалтыг аль ч аргаар шалгах боломжгүй.

Үүнийг өөрөө баталгаажуулж байна

About харилцах цонхны нэрийг дахин бүтээж, харьцуулна уу:

git clone https://github.com/Spl0itable/NYM
cd NYM
git checkout <commit shown in the About dialog>
npm ci
npm run build   # prints "Build hash: <bundleHash>"

Хэвлэсэн хэш нь Тухай харилцах цонхон дээрх болон тухайн амлалтанд байгаа хэштэй тохирч байх ёстой бүтээн байгуулалт-шинжилгээний ажлын хураангуй. Та гарын үсгээ GitHub CLI-ээр шууд шалгаж болно:

gh attestation verify dist/build-manifest.json --repo Spl0itable/NYM

Баталгаат канар

Баталгаат канар бол хөгжүүлэгчийн тогтоосон хуваарийн дагуу хэвлэгдсэн мэдэгдэл юм үгүй засгийн газрын нууц тушаалыг хүлээн авсан, тэдэнд задруулахыг хориглосон - a Үндэсний аюулгүй байдлын захидал, FISA тушаал. Хөгжүүлэгч энэ талаар чимээгүй байхыг албадаж болно Ийм захиалга, гэхдээ худал хэлэхийг албадах боломжгүй тул канар хуучирч, алга болж байна. өөрөө дохио.

Энэ нь амьдардаг canary.json репозиторын үндэс дээр байдаг бөгөөд шууд татагддаг GitHub-аас авсан тул түүний түүхийг байршуулсан сайт юу хэлснээс үл хамааран аудит хийх боломжтой. Тухай харилцах цонх нь үүнийг өнгөөр кодлодог:

Өнгө	гэсэн үг
Ногоон - бүгд ойлгомжтой	Гарын үсэг зурсан, одоогийн болон гарын үсэг нь хөгжүүлэгчийн түлхүүртэй таарч байна. Ямар ч нууц захиалга ирээгүй.
Шар - хугацаа хэтэрсэн, эсвэл бүгд тодорхойгүй байна	Энэ нь заасан огноо, эсвэл түүний хувьд шинэчлэгдээгүй байна `allClear` туг худлаа. Дуугүй захиалга өгөхийг үгүйсгэх аргагүй.
Улаан - хүчингүй гарын үсэг, эсвэл алга болсон	Гарын үсэг нь хөгжүүлэгчийн түлхүүртэй таарахгүй байна, эсвэл файлыг бүхэлд нь устгасан. Үүнийг ноцтой анхааруулга гэж хүлээн зөвшөөр.

Шинэлэг байдлын зангуу

Гарын үсэг зурсан канар нь гарын үсэг зурах мөчид хамгийн сүүлийн үеийн Bitcoin блокийн өндөр болон хэшийг оруулсан болно. Энэ хэш нь блок оршин тогтнохоос өмнө мэдэгдэх боломжгүй байсан нь канар байсныг нотолж байна гарын үсэг зурсан дараа сарын өмнө бөөнөөр нь урьдчилан гарын үсэг зурснаас илүү тодорхой цаг хугацаа. Тухай харилцах цонх нь зангууг блок судлаачтай холбосноор та үүнийг шалгах боломжтой.