Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

filesystemlog.json records no content digest, so 377 logged files -- including 57 signatures and 3 served APKs -- have no hash anywhere in the log

Đang mở
  • Có gì không ổn?
#2 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
52/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
android
Lĩnh vực
cryptography, release, security

Hướng nghiên cứu

Bắt đầu với repo/filesystemlog.json và so sánh các mục trong đó với các bản ghi sha256 trong repo/index-v2.json; kiểm tra cách log và ba tệp JSON HTTP-header được tạo ra. Công việc được xem là hoàn tất khi các artifact đã ghi có độ bao phủ digest, đặc biệt là các chữ ký và APK được liệt kê, đồng thời metadata header lỗi thời đã được xử lý mà không làm hỏng định dạng log hiện có.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

repo/filesystemlog.json records six fields per file: size, two timestamps,
mode, uid and gid. No digest. Where the index also covers a file that is
harmless, because index-v2.json carries sha256 and the index is in the log.
Where the index does not cover it, there is no hash in the log at all.

Counted over today's HEAD (bc470e9): 942 entries in repo/filesystemlog.json,
565 of which appear with a sha256 in repo/index-v2.json, and 377 of which
do not. The 377 are 281 .png, 57 .asc, 19 .json, 11 .sig, 3 .jar,
2 web files, and three APKs -- Checkey-0.1.2.apk, LocationPrivacy-0.2.apk
and LocationPrivacy-0.3.apk. All three are still served; a range request to
each returns 206.

Worked instance, so this is not an inference: I downloaded
https://guardianproject.info/fdroid/repo/Checkey-0.1.2.apk. It is 842,881
bytes, matching the size in filesystemlog.json exactly, and its sha256 is
754701dbac52de5ca3930c2393970c03ef9aa07d1456911e9bf254d6014e0645. That string
does not appear anywhere in HEAD. So for that file the README's "check that any
file that they received ... was a publicly released file" holds up to filename
and byte count, and any 842,881-byte file named Checkey-0.1.2.apk passes every
check this log supports.

The .asc files are the ones I would fix first: they are the detached OpenPGP
signatures over the APKs, the artifact a user checks with. A digest field in
filesystemlog.json closes all 377 without changing the shape of the format.

Much smaller, same file tree: repo/index.jar.HTTP-headers.json,
repo/index.xml.HTTP-headers.json and archive/index.jar.HTTP-headers.json
last changed 2017-04-06 and still carry "Date": "Thu, 06 Apr 2017 21:33:18 GMT". Alongside an index-v2.json that updates daily they read as current
evidence of what the server served, and they are nine years old.

Drafted with AI assistance.

Ngôn ngữ chính
Không có dữ liệu ngôn ngữ
Star
9
Fork
3
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của guardianproject/binary_transparency_log

Tất cả issue của guardianproject/binary_transparency_log

Issue tương tự

Thêm issue về Cryptography

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.