tests: make design-rationale comments self-contained

Test comments referenced internal design documents that are not part
of this repository. The relevant invariants are now stated inline.

app/test/groups_security_test.dart

@@ -12,9 +12,12 @@ import 'package:sepot/models/contact.dart';
 import 'package:sepot/models/group.dart';
 import 'package:sepot/models/identity.dart';
 
-/// Bezpečnostní pravidla skupin (GROUPS-V1.md §Bezpečnostní pravidla).
-/// Útočné scénáře: podvržený roster, cizí odesílatel, přepis identity
-/// klíče, pozvánka bez příjemce, roster přes strop.
+/// Bezpečnostní pravidla skupin — invarianty příjmové cesty: fingerprint
+/// v rosteru musí odpovídat identity klíči, odesílatel i já musíme být
+/// členy, roster smí měnit jen stávající člen a identity klíč známého
+/// kontaktu se nikdy nepřepisuje (TOFU). Útočné scénáře: podvržený roster,
+/// cizí odesílatel, přepis identity klíče, pozvánka bez příjemce, roster
+/// přes strop.
 void main() {
   late Directory tmp;
   late CryptoDb db;