Sicherheit
Sicherheit und Offenlegung
Wie Sie eine Schwachstelle melden, was ein Fund einbringt und wozu wir uns danach verpflichten.
Open Source - und ein gefundener Fehler wird bezahlt
PrivaMesh baut auf gut erforschten Primitiven auf - X3DH, dem Double Ratchet, AES-256-GCM und ML-KEM-768 unter iOS 26. Der Code, der sie umsetzt, ist für alle drei Clients öffentlich, sodass jeder genau nachlesen kann, was er tut, statt einer Beschreibung zu vertrauen.
Ein darin gefundener Fehler ist über das Bug-Bounty-Programm bis zu 500 $ wert.
Eine Schwachstelle melden
Schreiben Sie an privamesh@proton.me mit security im Betreff.
- Geben Sie die App-Version, Ihr Gerätemodell und Ihre iOS-Version an.
- Beschreiben Sie das Problem so genau, dass es sich reproduzieren lässt.
- Senden Sie niemals Ihre Wiederherstellungsphrase. Wir werden nie danach fragen - aus keinem Grund, in keinem Zusammenhang.
Wozu wir uns verpflichten
- Eingangsbestätigung innerhalb von 2 Werktagen. Hören Sie nichts von uns, gehen Sie davon aus, dass die Mail verloren ging, und senden Sie sie erneut.
- Ein Fix oder ein Plan innerhalb von 30 Tagen für alles, womit jemand Nachrichten lesen, sich als ein Konto ausgeben oder einen Nutzer mit seiner Aktivität verknüpfen kann.
- Nennung, wenn Sie möchten, Stillschweigen, wenn nicht. Wir nennen Ihren Namen nicht, ohne zu fragen.
- Keine rechtlichen Drohungen für Forschung in gutem Glauben, die nicht auf Konten oder Daten anderer Personen zielt.
Belohnungen
Bestätigte Funde werden über das Bug-Bounty-Programm bezahlt - bis zu 500 $ für eine kritische Schwachstelle, und die Zahlung erfolgt bei Bestätigung, nicht erst beim Fix. Stufen, Umfang und die bekannten Probleme, die nicht zählen, sind dort veröffentlicht, denn ein Programm, das still für seine eigenen dokumentierten Lücken zahlt, ist kein Programm.
Unterstützte Versionen
Sicherheitsfixes erscheinen mit dem nächsten App-Store-Release. PrivaMesh läuft unter iOS 18 oder neuer und hat eine Hauptversion veröffentlicht, daher gibt es keinen älteren Zweig für Backports. Wenn sich das ändert, wird der Unterstützungszeitraum hier ausdrücklich genannt statt nur angedeutet.
Was behoben wurde
Seit August 2026 gab es zwölf externe Meldungen und zwei interne Audits. Die Fixes sind fertig, aber noch keiner davon ist auf Ihrem Telefon: 1.1, die Version im App Store, wurde am 13. August gebaut, bevor sie geschrieben wurden, und sie erreichen Nutzer mit dem nächsten Release. Bis dahin sollten Sie davon ausgehen, dass die veröffentlichte App die Probleme hat, die sie beheben. Was dokumentiert statt behoben wurde, steht unter bekannte Einschränkungen. Wer was gemeldet hat, wird nicht veröffentlicht.
Umfang
Der iOS-Client, das On-Chain-Protokoll und der Gebührendienst, die auf der Architekturseite beschrieben sind, gehören alle dazu. Infrastruktur Dritter - Solana selbst, RPC-Anbieter, Apple - können wir nicht beheben, wir möchten aber davon hören. Wo die Grenzen dessen liegen, was das Design schützt, zeigen das Bedrohungsmodell und die bekannten Einschränkungen.
Häufige Fragen
Wie melde ich eine Schwachstelle?
Schreiben Sie an privamesh@proton.me mit „security“ im Betreff. Geben Sie App-Version, Gerät und iOS-Version an sowie genug Details zur Reproduktion. Wir bemühen uns, den Eingang innerhalb von 2 Werktagen zu bestätigen.
Gibt es ein Bug-Bounty-Programm?
Ja. Bis zu 500 $ für einen kritischen Fund, 200 $ für hoch, 75 $ für mittel, 25 $ für niedrig; der Schweregrad richtet sich danach, was der Fund in unserem Bedrohungsmodell bricht. Alle Stufen, der Umfang und die Ausnahmen stehen auf der Bug-Bounty-Seite.
Welche Versionen erhalten Sicherheitsfixes?
Fixes erscheinen mit dem nächsten App-Store-Release. PrivaMesh hat bisher eine einzige Hauptversion veröffentlicht, daher gibt es noch keinen älteren Zweig für Backports.