Bezpečnost
Bezpečnost a hlášení zranitelností
Jak nahlásit zranitelnost, kolik nález vynese a k čemu se potom zavazujeme.
Otevřený kód, a nalezená chyba se platí
PrivaMesh stojí na dobře prozkoumaných primitivech - X3DH, Double Ratchet, AES-256-GCM a ML-KEM-768 na iOS 26. Kód, který je implementuje, je veřejný pro všechny tři klienty, takže si kdokoli může přečíst, co přesně dělá, místo aby věřil popisu.
Chyba v něm nalezená má přes bug bounty hodnotu až 500 US$.
Nahlášení zranitelnosti
Napište na privamesh@proton.me se slovem security v předmětu.
- Uveďte verzi aplikace, model zařízení a verzi iOS.
- Popište problém dostatečně podrobně, aby šel zopakovat.
- Nikdy neposílejte svou frázi pro obnovení. Nikdy o ni nepožádáme - z žádného důvodu a v žádném kontextu.
K čemu se zavazujeme
- Potvrzení do 2 pracovních dnů. Pokud se neozveme, předpokládejte, že se e-mail ztratil, a pošlete ho znovu.
- Oprava nebo plán do 30 dnů pro cokoli, co umožňuje číst zprávy, vydávat se za účet nebo spojit uživatele s jeho aktivitou.
- Uvedení jména, pokud chcete, mlčení, pokud ne. Bez zeptání vás nejmenujeme.
- Žádné právní hrozby za výzkum v dobré víře, který necílí na cizí účty ani data.
Odměny
Potvrzené nálezy se platí přes program bug bounty - až 500 US$ za kritickou zranitelnost, a platba proběhne při potvrzení, ne až po opravě. Úrovně, rozsah a známé problémy, které se nepočítají, jsou tam zveřejněné, protože program, který potichu platí za vlastní zdokumentované mezery, není program.
Podporované verze
Bezpečnostní opravy vycházejí v příštím vydání v App Store. PrivaMesh běží na iOS 18 nebo novějším a vydal jednu hlavní verzi, takže neexistuje starší větev pro backporty. Až se to změní, bude doba podpory uvedena zde výslovně, ne jen naznačena.
Co bylo opraveno
Od srpna 2026 přišlo dvanáct externích hlášení a proběhly dva interní audity. Opravy jsou hotové, ale žádná z nich ještě není ve vašem telefonu: 1.1, verze v App Store, byla sestavena 13. srpna, dřív než vznikly, a k uživatelům se dostanou s příštím vydáním. Do té doby počítejte s tím, že vydaná aplikace má problémy, které opravují. Co bylo místo opravy zdokumentováno, je v známých omezeních. Kdo co nahlásil, se nezveřejňuje.
Rozsah
Klient pro iOS, on-chain protokol a poplatková služba popsané na stránce architektury do rozsahu patří. Infrastruktura třetích stran - samotná Solana, poskytovatelé RPC, Apple - není naše k opravě, ale chceme o ní vědět. Hranice toho, co návrh chrání, popisují model hrozeb a známá omezení.
Časté dotazy
Jak nahlásím zranitelnost?
Napište na privamesh@proton.me se slovem „security“ v předmětu. Uveďte verzi aplikace, zařízení a verzi iOS a dost podrobností k zopakování. Snažíme se potvrdit přijetí do 2 pracovních dnů.
Je k dispozici bug bounty?
Ano. Až 500 US$ za kritický nález, 200 US$ za vysoký, 75 US$ za střední, 25 US$ za nízký; závažnost určuje to, co nález v našem modelu hrozeb rozbíjí. Všechny úrovně, rozsah a výjimky jsou na stránce bug bounty.
Které verze dostávají bezpečnostní opravy?
Opravy vycházejí v příštím vydání v App Store. PrivaMesh zatím vydal jedinou hlavní verzi, takže starší větev pro backporty ještě neexistuje.