filesystemlog.json records no content digest, so 377 logged files -- including 57 signatures and 3 served APKs -- have no hash anywhere in the log
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 52/100
- issue の種類
- 機能追加
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- android
- 領域
- cryptography, release, security
調査の方向性
repo/filesystemlog.json から始め、そのエントリを repo/index-v2.json の sha256 レコードと比較します。log と 3 つの HTTP-header JSON ファイルがどのように生成されるかを調査します。完了条件は、記録されたアーティファクトに digest のカバレッジがあり、特に一覧にある署名と APK が対象になっていること、そして既存の log 形式を壊さずに古い header メタデータが対処されていることです。
索引モデルが issue の本文から書いたものです。
説明
repo/filesystemlog.json records six fields per file: size, two timestamps,
mode, uid and gid. No digest. Where the index also covers a file that is
harmless, because index-v2.json carries sha256 and the index is in the log.
Where the index does not cover it, there is no hash in the log at all.
Counted over today's HEAD (bc470e9): 942 entries in repo/filesystemlog.json,
565 of which appear with a sha256 in repo/index-v2.json, and 377 of which
do not. The 377 are 281 .png, 57 .asc, 19 .json, 11 .sig, 3 .jar,
2 web files, and three APKs -- Checkey-0.1.2.apk, LocationPrivacy-0.2.apk
and LocationPrivacy-0.3.apk. All three are still served; a range request to
each returns 206.
Worked instance, so this is not an inference: I downloaded
https://guardianproject.info/fdroid/repo/Checkey-0.1.2.apk. It is 842,881
bytes, matching the size in filesystemlog.json exactly, and its sha256 is
754701dbac52de5ca3930c2393970c03ef9aa07d1456911e9bf254d6014e0645. That string
does not appear anywhere in HEAD. So for that file the README's "check that any
file that they received ... was a publicly released file" holds up to filename
and byte count, and any 842,881-byte file named Checkey-0.1.2.apk passes every
check this log supports.
The .asc files are the ones I would fix first: they are the detached OpenPGP
signatures over the APKs, the artifact a user checks with. A digest field in
filesystemlog.json closes all 377 without changing the shape of the format.
Much smaller, same file tree: repo/index.jar.HTTP-headers.json,
repo/index.xml.HTTP-headers.json and archive/index.jar.HTTP-headers.json
last changed 2017-04-06 and still carry "Date": "Thu, 06 Apr 2017 21:33:18 GMT". Alongside an index-v2.json that updates daily they read as current
evidence of what the server served, and they are nine years old.
Drafted with AI assistance.
- 主要言語
- 言語のデータがありません
- スター
- 9
- フォーク
- 3
- PR マージ指標
- 30日以内にマージされた PR はありません
環境構築
このプロジェクトの環境構築ファイルはまだ確認していません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
guardianproject/binary_transparency_log のほかの issue
-
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
guardianproject/binary_transparency_log の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
trezor/trezor-firmware#7985 ·
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
google/webcrypto.dart#419 ·
メンテナーはふだん 4 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 88/100
openwallet-foundation/multipaz#2036 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
Keats/jsonwebtoken#544 · コメント 1 件 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
cloudflare/web-bot-auth#153 ·
メンテナーはふだん 2 日以内に返信