Seguretat
Seguretat i divulgació
Com informar d'una vulnerabilitat, quant es paga per trobar-ne una i a què ens comprometem després.
Codi obert, i trobar una fallada té recompensa
PrivaMesh es basa en primitives ben estudiades: X3DH, el Double Ratchet, AES-256-GCM i ML-KEM-768 a iOS 26. El codi que les implementa és públic per als tres clients, de manera que qualsevol pot llegir exactament què fa en lloc de refiar-se d'una descripció.
Una fallada que s'hi trobi val fins a 500 USD a través del bug bounty.
Informar d'una vulnerabilitat
Escriu a privamesh@proton.me amb security a l'assumpte.
- Inclou la versió de l'app, el model del dispositiu i la versió d'iOS.
- Inclou prou detalls per reproduir el problema.
- No incloguis mai la teva frase de recuperació. No te la demanarem mai, per cap motiu ni en cap context.
A què ens comprometem
- Justificant de recepció en 2 dies laborables. Si no reps resposta, dona per fet que el correu s'ha perdut i torna'l a enviar.
- Una correcció o un pla en 30 dies per a qualsevol cosa que permeti llegir missatges, suplantar un compte o vincular un usuari amb la seva activitat.
- Reconeixement si el vols, silenci si no. No et nomenarem sense preguntar.
- Cap amenaça legal per a la recerca de bona fe que no tingui com a objectiu comptes o dades d'altres persones.
Recompenses
Les troballes confirmades es paguen a través del programa de bug bounty: fins a 500 USD per una vulnerabilitat crítica, i el pagament es fa en confirmar-la, no en corregir-la. Els nivells, l'abast i els problemes coneguts que no compten hi són publicats, perquè un programa que paga en silenci per les seves pròpies mancances documentades no és un programa.
Versions compatibles
Les correccions de seguretat arriben amb la següent versió de l'App Store. PrivaMesh funciona amb iOS 18 o posterior i ha publicat una sola versió principal, així que no hi ha cap branca anterior on portar correccions. Quan això canviï, el període de suport s'indicarà aquí en lloc de donar-se per suposat.
Què s'ha corregit
Des de l'agost de 2026 hi ha hagut dotze informes externs i dues auditories internes. Les correccions estan fetes, però cap no és encara al teu telèfon: la 1.1, la versió de l'App Store, es va compilar el 13 d'agost, abans que s'escrivissin, i arribaran als usuaris amb la propera versió. Fins aleshores, considera que l'app publicada té els problemes que corregeixen. El que es va documentar en lloc de corregir-se és a limitacions conegudes. Qui va informar de què no es publica.
Abast
El client d'iOS, el protocol on-chain i el servei de comissions descrits a la pàgina d'arquitectura són dins de l'abast. La infraestructura de tercers - la mateixa Solana, els proveïdors RPC, Apple - no ens correspon corregir-la, tot i que en volem saber. Per als límits del que protegeix el disseny, consulta el model d'amenaces i les limitacions conegudes.
Preguntes freqüents
Com informo d'una vulnerabilitat?
Escriu a privamesh@proton.me amb «security» a l'assumpte. Inclou la versió de l'app, el dispositiu i la versió d'iOS, i prou detalls per reproduir-la. Intentem confirmar la recepció en 2 dies laborables.
Hi ha un bug bounty?
Sí. Fins a 500 USD per una troballa crítica, 200 USD alta, 75 USD mitjana i 25 USD baixa, amb la gravetat definida pel que la troballa trenca en el nostre model d'amenaces. Tots els nivells, l'abast i les exclusions són a la pàgina del bug bounty.
Quines versions reben correccions de seguretat?
Les correccions arriben amb la següent versió de l'App Store. PrivaMesh ha publicat una sola versió principal, així que encara no hi ha cap branca anterior on portar-les.