Auditorias (SimpleX original)
Auditorias do projeto SimpleX original, não do SeTalk
O SeTalk é feito sobre o SimpleX Chat v7.0.3.1 As auditorias de segurança abaixo foram feitas no projeto SimpleX original, nas versões examinadas na época. Elas não são auditorias do SeTalk.
2022 — Avaliação de segurança da implementação
- Auditoria
- Trail of Bits
- Quando
- novembro de 2022, ao longo de uma semana; anunciada com o SimpleX Chat v4.2.2,3
- O que foi examinado
- a biblioteca simplexmq, que cuida da criptografia e da rede do SimpleX.2
- O que não foi examinado
- a implementação do protocolo de chat, as interfaces dos apps de celular e o servidor de notificações push usado pelos clientes iOS.2
- Achados
- 2 problemas de severidade média e 2 de severidade baixa, cada um exigindo um ataque de alta dificuldade. O SimpleX informou três deles corrigidos na v4.2.2
- Relatório
- publicação da Trail of Bits.4
2024 — Revisão do desenho criptográfico
- Auditoria
- Trail of Bits
- Quando
- julho de 2024, anunciada com o SimpleX v6.1.5
- O que foi examinado
- o desenho dos protocolos usados na rede e nos apps do SimpleX: o protocolo de mensagens (SMP), o protocolo do agente, as notificações push, a transferência de arquivos (XFTP), o controle remoto (XRCP) e o protocolo de chat.5
- Achados
- 3 achados de severidade média e 1 de severidade baixa, todos exigindo um ataque de alta dificuldade, mais 3 achados informativos; nenhum problema crítico. O SimpleX informou três deles tratados na v6.1 e os demais aceitos.5
O SimpleX mantém a própria lista de auditorias de segurança.3
A revisão do próprio SeTalk
Não houve auditoria independente do SeTalk. O próprio SeTalk ainda não teve uma auditoria independente.
As partes que o SeTalk acrescenta ou muda não estão cobertas pelas auditorias do SimpleX: o serviço de conta em setalk.app, a conferência da assinatura no app, a troca de marca do app e a configuração dos servidores do SeTalk.6,1
O código do app será publicado sob a AGPL-3.0, junto com o app, para que qualquer pessoa possa revisá-lo, e os nossos servidores de mensagens rodam o código de servidor do SimpleX sem modificação.7 O serviço de conta em setalk.app não é público; o que ele guarda está na ficha da conta na página inicial.6 Se você encontrar um problema, veja a nossa política de segurança.
Fontes
- Documento interno do SeTalk, não público: notas de pesquisa sobre a base SimpleX Chat
- SimpleX Chat v4.2, anúncio da auditoria de segurança
- SimpleX Chat v7.0.3, auditorias de segurança e canal de relatos
- Trail of Bits, relatório “SimpleXChat”
- SimpleX Network v6.1, anúncio da revisão de segurança
- Documento interno do SeTalk, não público: como funcionam o serviço de conta e a licença
- Código oficial dos servidores do SimpleX (simplexmq)