Sylfaen wybodaeth O dan y cwfl

Gwirio'r adeilad

Mae ffynhonnell agored yn helpu dim ond os mai'r cod rydych chi'n ei redeg yw'r cod a oedd cyhoeddedig. Mae Nymchat wedi'i adeiladu'n benderfynol fel y gallwch chi wirio hynny eich hun, o'r tu mewn i'r ap neu o derfynell.

Mae'r dudalen hon wedi'i chyfieithu â pheiriant er hwylustod. Y fersiwn Saesneg wreiddiol yw'r fersiwn berthnasol.

Adeiladau atgenhedladwy

Mae adeiladu'r ap yn allyrru a build-manifest.json yn cynnwys y ffynhonnell ymrwymiad, a SHA-256 hash o bob ased HTML, JavaScript a CSS a wasanaethir, ac un bundleHash dros y set asedau gyfan honno.

Mae'r allbwn yn dibynnu ar y cynnwys ffynhonnell yn unig - hyd yn oed yr amser adeiladu a gofnodwyd yw'r stamp amser commit yn hytrach na’r foment y rhedodd yr adeiladu—felly unrhyw un yn ailadeiladu’r un peth Mae ymrwymo yn cael ffeiliau beit-unfath a'r un peth bundleHash.

Yna mae GitHub Action yn ailadeiladu pob ymrwymiad yn annibynnol ac yn arwyddo tarddiad adeiladu ardystiadau ar gyfer yr hash a'r maniffest, felly mae cofnod wedi'i lofnodi yn clymu a bundleHash i ymrwymiad yn yr ystorfa, wedi ei gynyrchu gan rywbeth heblaw y lleoli.

Beth mae'r deialog About yn ei wirio

Ynghylch yn y pennyn yn rhedeg y siec yn fyw, yn eich porwr.

Mae deialog Nymchat About, sy'n dangos y fersiwn, yn adeiladu cywirdeb ac yn gwarantu statws caneri. — Yr ymgom About: fersiwn, adeiladu cywirdeb, caneri gwarant a llinell uniongyrchol i'r datblygwr.

Mae'n ail-nôl pob ased y mae'r dudalen yn ei redeg mewn gwirionedd, ei hashes gyda'r Web Crypto API, a yn cymharu yn erbyn y maniffest. Yna—a dyma’r rhan sy’n bwysig—fe yn cyfrifo'r bundleHash o'r hashes mae'n newydd ei gyfrifo, nid o unrhyw beth y mae'r amlwg yn ei honni, ac yn edrych ar hynny i fyny yn ardystiadau llofnodedig yr ystorfa trwy'r API GitHub.

Dyna sy'n atal defnydd rhag talu drosto'i hun: gweini ffeiliau wedi'u haddasu ynghyd â mae maniffest sy'n cyfateb yn dal i fethu, oherwydd nid oes gan y hash a ailgyfrifwyd unrhyw ardystiad.

Statws	Yn golygu
&gwirio; Ap swyddogol wedi'i ddilysu (n/n)	Mae pob ased yn cyfateb, mae'r stwnsh bwndel wedi'i ailgyfrifo yn cael ei ardystio gan yr ystorfa, a gwasanaethir y dudalen o'r parth swyddogol.
⚠ Adeilad wedi'i ddilysu · nid yr ap swyddogol	Mae'r cod yn ddilys ac wedi'i ardystio, ond mae hwn yn ddrych ar barth arall. Ni all drych ddileu'r rhybudd hwn heb fethu â dilysu.
✗ Diffyg cyfatebiaeth	Nid yw ased yn hash i'r hyn y mae'r maniffest yn ei ddweud.
✗ Adeilad answyddogol	Nid oes gan y stwnsh bwndel wedi'i ailgyfrifo unrhyw ardystiad o'r ystorfa - maniffest hunan-wneud.
⚠ Ni ellir cyrraedd tarddiad	Ni ellid cyrraedd yr API GitHub, felly ni ellid gwirio'r ardystiad y naill ffordd na'r llall.

Ei wirio eich hun

Ailadeiladu'r ymrwymo enwau ymgom About a chymharu:

git clone https://github.com/Spl0itable/NYM
cd NYM
git checkout <commit shown in the About dialog>
npm ci
npm run build   # prints "Build hash: <bundleHash>"

Dylai'r hash argraffedig gyfateb i'r un yn yr ymgom About a'r un yn yr ymgom hwnnw crynodeb rhediad adeiladu-tarddiad. Gallwch hefyd wirio'r llofnod yn uniongyrchol gyda'r GitHub CLI:

gh attestation verify dist/build-manifest.json --repo Spl0itable/NYM

Apiau Android ac iOS

Gwiriad gwe-app yw'r gwiriad uchod, ac mae'n werth nodi'r rheswm yn blaen: ap brodorol methu gwneud yr un peth iddo'i hun. Yr hyn sy'n rhedeg ar eich ffôn yw cod peiriant a luniwyd, nid y ffynhonnell yn yr ystorfa, a dim byd y gall yr ap ei gyfrifo ar y ddyfais yn ymwneud ag un i'r arall.

Gall Android wneud y peth gorau nesaf. Mae'r gosod .apk yn ffeil y gall yr ap ei darllen a hash, ac y mae hash pob cyhoeddiad a gyhoeddir eisoes yn gyhoeddus : cyhoeddi i'r Zapstore yn arwyddo digwyddiad Nostr sy'n cario SHA-256 yr APK a'i dystysgrif arwyddo SHA-256. Felly y Android Ynghylch Mae deialog yn hashes yr APK y mae'n rhedeg ohono, yn nôl y rhai sydd wedi'u llofnodi digwyddiadau, yn cadw dim ond y rhai sydd wedi'u llofnodi gan allwedd y datblygwr, ac yn cymharu. Mae'n dangos y ddau hashes hefyd, felly gallwch chi ailadrodd y siec oddi ar y ddyfais: lawrlwythwch yr APK cyhoeddedig, rhedeg sha256sum arno, ac edrychwch ar yr un digwyddiad eich hun.

Ni ellir gwirio ap sydd wedi'i osod o Google Play fel hyn, ac mae'n golygfeydd nad yw unrhyw beth yn golygfeydd. Mae Google yn re-signed pob uchaf gyda'i ei haul ei hun ac yn adeiladu APK gwahanol ar gyfer pob dyfais, felly mae hyn sy'n lleoli ar eich ffôn yw'r ffeil y gwneuthurwr a mae'r hash yn cyswllt unrhyw hyn sy'n cael ei ddibynnu. Mae'r app yn cael ei adnabod yn install Play ac mae'n gwybod yn fwy na'r adnabod yn awgrym. Er mwyn gwirio'r build eich hun, osgoi'r APK a ddibynnu yn uniongyrchol.

ni ellir gwirio iOS o gwbl. Mae Apple yn amgryptio ac yn ail-lofnodi pob lawrlwythiad yn unigol, felly mae stwnsh wedi'i gyfrifo ar eich iPhone yn unigryw i'ch iPhone ac nid yw'n cyfateb i ddim cyhoeddi unrhyw le. Mae'r ymgom About yn dweud hyn yn llwyr yn hytrach na bod yn galonogol statws sy'n golygu dim byd. Os ydych chi eisiau Nymchat gallwch chi ei wirio ar galedwedd Apple, defnyddiwch y we app, sy'n gwirio pob ffeil y mae'n ei rhedeg.

Beth nad oes dim o hyn yn ei brofi

Ni all gwiriad y mae ap yn rhedeg arno'i hun brofi bod yr ap yn onest - pwy bynnag a'i haddasodd gallai gael gwared ar y siec hefyd. Yr hyn y mae'n ei brofi yw'r achos cyffredin: bod y copi chi gosod yw'r copi a gyhoeddwyd. Mae hynny'n werth ei gael oherwydd mae'n ei werthfawrogi mae cymariaethau yn gyhoeddus, felly gall rhywun heblaw chi eu gwirio, ac anghytuno.

Y caneri gwarant

Mae caneri gwarant yn ddatganiad, a gyhoeddir ar atodlen sefydlog, sydd gan y datblygwr ddim wedi derbyn gorchymyn cyfrinachol gan y llywodraeth gwaherddir iddynt ddatgelu — a Llythyr Diogelwch Cenedlaethol, gorchymyn FISA. Gellir gorfodi'r datblygwr i aros yn dawel am gorchymyn o'r fath, ond ni ellir ei orfodi i ddweud celwydd, felly mae'r caneri yn mynd yn hen neu'n diflannu ei hun y signal.

Mae'n byw yn canary.json wrth wraidd yr ystorfa ac yn cael ei nôl yn uniongyrchol o GitHub, felly gellir archwilio ei hanes yn annibynnol ar beth bynnag a ddywed y safle a ddefnyddir. Mae'r ymgom About yn ei godau lliw:

Lliw	Yn golygu
Gwyrdd - i gyd yn glir	Wedi'i lofnodi, yn gyfredol, ac mae'r llofnod yn cyfateb i allwedd y datblygwr. Nid oes unrhyw orchymyn cyfrinachol wedi'i dderbyn.
Melyn — yn hwyr, neu ddim i gyd yn glir	Ni chafodd ei adnewyddu erbyn ei ddyddiad penodedig, na'i `allClear` baner yn ffug. Ni ellir diystyru gorchymyn tawel.
Coch — llofnod annilys, neu wedi mynd	Nid yw'r llofnod yn cyfateb i allwedd y datblygwr, neu mae'r ffeil wedi'i dileu'n gyfan gwbl. Trin hyn fel rhybudd difrifol.

Yr angor ffresni

Mae'r caneri wedi'i lofnodi yn ymgorffori'r uchder bloc Bitcoin diweddaraf a hash ar hyn o bryd o lofnodi. Ni allai'r hash hwnnw fod yn hysbys cyn i'r bloc fodoli, sy'n profi bod y caneri wedi ei arwyddo ar ol pwynt penodol mewn amser yn hytrach na llofnodi mewn swmp fisoedd ynghynt. Mae'r deialog About yn cysylltu'r angor ag archwiliwr bloc er mwyn i chi allu ei wirio.