Как проверить, действительно ли поставщик облачного хранилища «нулевое знание»?

Question

Примечание: Для конкретного примера я буду использовать SpiderOak, но я заинтересован в более широком применении этого вопроса к любому «частному» хранилищу или службе обмена сообщениями.

SpiderOak заявляет, что является облачной платформой облачных вычислений с нулевым знанием, что означает, что все хранящиеся вами данные зашифровываются на вашем компьютере до его загрузки с использованием ключей шифрования, к которым SpiderOak не имеет доступа. Однако, чтобы использовать эту услугу, вы должны загрузить и установить программные файлы SpiderOak (без исходного кода) и предоставить этому приложению доступ к вашему ключу шифрования, чтобы он мог выполнять шифрование.

Не рассматривая исходный код, можно ли проверить, что приложение не делает ничего подозрительного? Под «что-то подозрительное» я имею в виду такие вещи, как: загрузка ключа пользователя на свои серверы, сбор личной информации или метаданных с компьютера пользователя и т. Д. Как авторы приложения могут доказать, что их приложение не делает этого?

Update: Я думаю короткий иметь исходный код или декомпиляции (который на самом деле то же самое, только действительно окольный путь получить его) не существует способа, чтобы гарантировать приложение является безопасным

Answer 1

Вы могли бы используйте прокси-сервер, например Fiddler, или инструмент анализа сетевого уровня более низкого уровня, например Wireshark, для просмотра сетевого трафика во время использования приложения. Это позволит вам увидеть, есть ли какой-либо трафик, превышающий ваши намерения (например, захват метаданных) или содержащие данные, которые вы не хотите отправлять (т. Е. Ваши ключи).

Если вы не видите какой-либо трафик, который делает вас подозрительным, но вы все еще не доверяете приложению, вы можете попробовать запустить двоичные файлы через decompiler, а затем переходить через источник, который генерирует. Помните, что декомпиляторы далеки от совершенства, и их выход может быть тупым (в лучшем случае), поэтому это будет очень трудоемкое занятие.