امنیت
امنیت و افشای آسیب‌پذیری
چگونه آسیب‌پذیری را گزارش کنید، یافتن آن چه پاداشی دارد و پس از آن به چه چیزی متعهدیم.
متن‌باز، و یافتن یک نقص پاداش دارد
PrivaMesh بر پایه‌ی سازوکارهای رمزنگاری‌ای ساخته شده که به‌خوبی بررسی شده‌اند - X3DH، Double Ratchet، AES-256-GCM و روی iOS 26، ML-KEM-768. کدی که آن‌ها را پیاده می‌کند برای هر سه کلاینت عمومی است، پس هر کسی می‌تواند دقیقاً بخواند چه می‌کند، به‌جای اینکه به یک توصیف اعتماد کند.
نقصی که در آن پیدا شود از طریق باگبانتی تا $۵۰۰ ارزش دارد.
گزارش آسیب‌پذیری
به privamesh@proton.me ایمیل بزنید و در موضوع security بنویسید.
- نسخهی برنامه، مدل دستگاه و نسخهی iOS خود را ذکر کنید.
- جزئیات کافی برای بازتولید مشکل بدهید.
- هرگز عبارت بازیابی خود را نفرستید. ما هرگز، به هیچ دلیل و در هیچ شرایطی، آن را درخواست نمی‌کنیم.
به چه چیزی متعهدیم
- تأیید دریافت ظرف ۲ روز کاری. اگر پاسخی نگرفتید، فرض کنید ایمیل گم شده و دوباره بفرستید.
- رفع یا برنامه ظرف ۳۰ روز برای هر چیزی که به کسی اجازه دهد پیام‌ها را بخواند، خود را جای حسابی جا بزند یا کاربری را به فعالیتش پیوند دهد.
- ذکر نام اگر بخواهید، سکوت اگر نخواهید. بدون پرسیدن نام شما را نمی‌بریم.
- هیچ تهدید حقوقی برای پژوهش با حسن نیت که حساب‌ها یا داده‌های دیگران را هدف نگیرد.
پاداش‌ها
یافته‌های تأییدشده از طریق برنامه‌ی باگبانتی پرداخت میشوند - تا $۵۰۰ برای یک آسیب‌پذیری بحرانی، و پرداخت هنگام تأیید انجام میشود نه هنگام رفع. سطحها، دامنه و مشکلات شناخته‌شده‌ای که مشمول نمی‌شوند همه آنجا منتشر شده‌اند، چون برنامه‌ای که بی‌سروصدا بابت شکاف‌های مستندشده‌ی خودش پول می‌دهد، برنامه نیست.
نسخه‌های پشتیبانی‌شده
اصلاحات امنیتی در نسخهی بعدی App Store منتشر میشوند. PrivaMesh روی iOS 18 یا جدیدتر اجرا میشود و یک نسخهی اصلی منتشر کرده، پس شاخهی قدیمیتری برای انتقال اصلاحات وجود ندارد. وقتی این تغییر کند، بازه‌ی پشتیبانی اینجا صریحاً اعلام میشود، نه به‌طور ضمنی.
چه چیزهایی رفع شده
از اوت ۲۰۲۶ دوازده گزارش بیرونی رسیده و دو ممیزی داخلی انجام شده است. اصلاحات آماده‌اند، اما هیچ‌کدام هنوز روی گوشی شما نیست: نسخهی ۱.۱ که در App Store است، ۱۳ اوت و پیش از نوشته‌شدن آن‌ها ساخته شد، و با نسخهی بعدی به کاربران می‌رسند. تا آن زمان، فرض کنید برنامه‌ی منتشرشده مشکلاتی را دارد که آن‌ها رفع می‌کنند. آنچه به‌جای رفع مستند شده در محدودیت‌های شناخته‌شده آمده است. اینکه چه کسی چه چیزی را گزارش کرده منتشر نمی‌شود.
دامنه
کلاینت iOS، پروتکل روی زنجیره و سرویس کارمزد که در صفحهی معماری توضیح داده شده‌اند همه در دامنه‌اند. زیرساخت شخص ثالث - خود Solana، ارائه‌دهندگان RPC، Apple - رفعش با ما نیست، هرچند می‌خواهیم از آن باخبر شویم. برای مرزهای آنچه طراحی محافظت می‌کند، مدل تهدید و محدودیت‌های شناخته‌شده را ببینید.
پرسش‌های متداول
چگونه آسیب‌پذیری را گزارش کنم؟
به privamesh@proton.me ایمیل بزنید و در موضوع «security» بنویسید. نسخهی برنامه، دستگاه و نسخهی iOS و جزئیات کافی برای بازتولید را ذکر کنید. می‌کوشیم ظرف ۲ روز کاری دریافت را تأیید کنیم.
آیا باگبانتی وجود دارد؟
بله. تا $۵۰۰ برای یافتهی بحرانی، $۲۰۰ برای بالا، $۷۵ برای متوسط و $۲۵ برای پایین؛ شدت بر اساس اینکه یافته چه چیزی را در مدل تهدید ما میشکند تعیین میشود. همهی سطحها، دامنه و استثناها در صفحهی باگبانتی آمده است.
کدام نسخهها اصلاحات امنیتی میگیرند؟
اصلاحات در نسخهی بعدی App Store منتشر میشوند. PrivaMesh تنها یک نسخهی اصلی منتشر کرده، پس هنوز شاخهی قدیمیتری برای انتقال اصلاحات وجود ندارد.