Tietoturva
Tietoturva ja haavoittuvuuksien ilmoittaminen
Miten ilmoitat haavoittuvuudesta, mitä löydöstä maksetaan ja mihin sitoudumme sen jälkeen.
Avoin lähdekoodi, ja löydetystä virheestä maksetaan
PrivaMesh rakentuu hyvin tutkituille primitiiveille - X3DH, Double Ratchet, AES-256-GCM ja iOS 26:ssa ML-KEM-768. Niitä toteuttava koodi on julkinen kaikille kolmelle asiakasohjelmalle, joten kuka tahansa voi lukea, mitä se tarkalleen tekee, sen sijaan että luottaisi kuvaukseen.
Siitä löydetty virhe on bug bountyn kautta jopa 500 $ arvoinen.
Haavoittuvuudesta ilmoittaminen
Lähetä sähköpostia osoitteeseen privamesh@proton.me ja kirjoita aiheriville security.
- Kerro sovelluksen versio, laitteesi malli ja iOS-versio.
- Kerro riittävästi yksityiskohtia, jotta ongelma voidaan toistaa.
- Älä koskaan lähetä palautuslausettasi. Emme koskaan pyydä sitä, mistään syystä, missään yhteydessä.
Mihin sitoudumme
- Vastaanottokuittaus 2 arkipäivän kuluessa. Jos et kuule meistä, oleta viestin kadonneen ja lähetä se uudelleen.
- Korjaus tai suunnitelma 30 päivän kuluessa kaikkeen, mikä antaa jonkun lukea viestejä, esiintyä tilinä tai yhdistää käyttäjän hänen toimintaansa.
- Maininta, jos haluat, vaitiolo, jos et. Emme nimeä sinua kysymättä.
- Ei oikeudellisia uhkauksia vilpittömässä mielessä tehdystä tutkimuksesta, joka ei kohdistu muiden tileihin tai tietoihin.
Palkkiot
Vahvistetut löydökset maksetaan bug bounty -ohjelman kautta - jopa 500 $ kriittisestä haavoittuvuudesta, ja maksu tapahtuu vahvistuksen eikä korjauksen yhteydessä. Tasot, laajuus ja tunnetut ongelmat, jotka eivät oikeuta palkkioon, on julkaistu siellä, koska ohjelma, joka maksaa hiljaa omista dokumentoiduista puutteistaan, ei ole ohjelma.
Tuetut versiot
Tietoturvakorjaukset tulevat seuraavassa App Store -julkaisussa. PrivaMesh toimii iOS 18:ssa tai uudemmassa ja on julkaissut yhden pääversion, joten vanhempaa haaraa, johon korjauksia siirrettäisiin, ei ole. Kun tämä muuttuu, tukijakso kerrotaan tässä suoraan eikä vihjaillen.
Mitä on korjattu
Elokuusta 2026 lähtien on tullut kaksitoista ulkoista ilmoitusta ja tehty kaksi sisäistä auditointia. Korjaukset ovat valmiita, mutta yksikään niistä ei ole vielä puhelimessasi: 1.1, App Storessa oleva versio, käännettiin 13. elokuuta, ennen kuin ne kirjoitettiin, ja ne tavoittavat käyttäjät seuraavan julkaisun mukana. Siihen asti oleta, että julkaistussa sovelluksessa on ongelmat, jotka ne korjaavat. Se, mikä dokumentoitiin korjaamisen sijaan, on sivulla tunnetut rajoitukset. Sitä, kuka ilmoitti mistäkin, ei julkaista.
Laajuus
iOS-asiakasohjelma, ketjussa toimiva protokolla ja arkkitehtuurisivulla kuvattu maksupalvelu kuuluvat kaikki laajuuteen. Kolmannen osapuolen infrastruktuuri - Solana itse, RPC-palveluntarjoajat, Apple - ei ole meidän korjattavissamme, mutta haluamme kuulla siitä. Rajat sille, mitä suunnittelu suojaa, löytyvät uhkamallista ja tunnetuista rajoituksista.
Usein kysyttyä
Miten ilmoitan haavoittuvuudesta?
Lähetä sähköpostia osoitteeseen privamesh@proton.me ja kirjoita aiheriville ”security”. Kerro sovelluksen versio, laitteesi ja iOS-versio sekä riittävästi yksityiskohtia toistamiseen. Pyrimme kuittaamaan 2 arkipäivän kuluessa.
Onko bug bounty -ohjelmaa?
On. Jopa 500 $ kriittisestä löydöksestä, 200 $ korkeasta, 75 $ keskitasoisesta ja 25 $ matalasta; vakavuus määräytyy sen mukaan, mitä löydös rikkoo uhkamallissamme. Kaikki tasot, laajuus ja poikkeukset ovat bug bounty -sivulla.
Mitkä versiot saavat tietoturvakorjauksia?
Korjaukset tulevat seuraavassa App Store -julkaisussa. PrivaMesh on julkaissut vain yhden pääversion, joten vanhempaa haaraa korjauksille ei vielä ole.