Бяспека
Бяспека і раскрыццё ўразлівасцей
Як паведаміць пра ўразлівасць, колькі плацім за знаходку і што абавязваемся зрабіць пасля.
Адкрыты код, і знойдзеная ўразлівасць аплачваецца
PrivaMesh пабудаваны на добра вывучаных прымітывах - X3DH, Double Ratchet, AES-256-GCM і ML-KEM-768 на iOS 26. Код, які іх рэалізуе, адкрыты для ўсіх трох кліентаў, так што кожны можа прачытаць, што менавіта ён робіць, а не верыць апісанню на слова.
Знойдзеная ў ім уразлівасць каштуе да 500 $ па праграме bug bounty.
Як паведаміць пра ўразлівасць
Напішыце на privamesh@proton.me са словам security у тэме ліста.
- Пазначце версію праграмы, мадэль прылады і версію iOS.
- Апішыце праблему дастаткова падрабязна, каб яе можна было ўзнавіць.
- Ніколі не дасылайце фразу аднаўлення. Мы ніколі не папросім яе - ні па якой прычыне і ні ў якім кантэксце.
Што мы абавязваемся зрабіць
- Пацвярджэнне на працягу 2 рабочых дзён. Калі адказу няма, лічыце, што ліст згубіўся, і дашліце яго яшчэ раз.
- Выпраўленне або план на працягу 30 дзён для ўсяго, што дазваляе чытаць паведамленні, выдаваць сябе за чужы акаўнт або звязаць карыстальніка з яго актыўнасцю.
- Згадка, калі хочаце, і маўчанне, калі не. Мы не назавём вас, не спытаўшы.
- Ніякіх юрыдычных пагроз за добрасумленнае даследаванне, якое не закранае чужыя акаўнты і даныя.
Узнагароды
Пацверджаныя знаходкі аплачваюцца па праграме bug bounty - да 500 $ за крытычную ўразлівасць, прычым выплата адбываецца пры пацвярджэнні, а не пасля выпраўлення. Узроўні, межы праграмы і вядомыя праблемы, якія не залічваюцца, апублікаваныя там жа: праграма, якая паціху плаціць за ўласныя задакументаваныя прабелы, - не праграма.
Падтрымліваемыя версіі
Выпраўленні бяспекі выходзяць у наступным рэлізе ў App Store. PrivaMesh працуе на iOS 18 і навейшых і выпусціў адну мажорную версію, так што старой галіны для бэкпортаў няма. Калі гэта зменіцца, тэрмін падтрымкі будзе прама пазначаны тут, а не маецца на ўвазе.
Што ўжо выпраўлена
З жніўня 2026 года паступіла дванаццаць знешніх справаздач і прайшло два ўнутраныя аўдыты. Выпраўленні гатовыя, але ніводнае з іх яшчэ не трапіла на ваш тэлефон: 1.1, версія ў App Store, сабрана 13 жніўня, да таго як яны былі напісаныя, і да карыстальнікаў яны дойдуць з наступным рэлізам. Да таго часу лічыце, што ў выпушчанай праграме ёсць праблемы, якія яны выпраўляюць. Тое, што задакументавана замест выпраўлення, - на старонцы вядомых абмежаванняў. Хто пра што паведаміў, не публікуецца.
Межы праграмы
iOS-кліент, ончэйн-пратакол і сэрвіс камісій, апісаны на старонцы архітэктуры, - усё гэта ўваходзіць у праграму. Старонняя інфраструктура - сама Solana, RPC-правайдары, Apple - не нам выпраўляць, але мы хочам пра яе ведаць. Дзе праходзяць межы таго, што абараняе дызайн, - у мадэлі пагроз і вядомых абмежаваннях.
Частыя пытанні
Як паведаміць пра ўразлівасць?
Напішыце на privamesh@proton.me са словам «security» у тэме. Пазначце версію праграмы, прыладу і версію iOS і дастаткова дэталяў для ўзнаўлення. Мы імкнёмся пацвердзіць атрыманне на працягу 2 рабочых дзён.
Ці ёсць bug bounty?
Так. Да 500 $ за крытычную знаходку, 200 $ - за высокую, 75 $ - за сярэднюю, 25 $ - за нізкую; сур'ёзнасць вызначаецца тым, што знаходка ламае ў нашай мадэлі пагроз. Усе ўзроўні, межы і выключэнні - на старонцы bug bounty.
Якія версіі атрымліваюць выпраўленні бяспекі?
Выпраўленні выходзяць у наступным рэлізе ў App Store. У PrivaMesh пакуль адна мажорная версія, так што старой галіны для бэкпортаў яшчэ няма.