אבטחה
אבטחה וגילוי
איך מדווחים על פגיעות, כמה משלמים על מציאה ולמה אנחנו מתחייבים אחר כך.
קוד פתוח, ומציאת פרצה משתלמת
PrivaMesh בנוי על פרימיטיבים שנחקרו היטב - X3DH, ה-Double Ratchet, AES-256-GCM, ו-ML-KEM-768 ב-iOS 26. הקוד שמממש אותם פתוח לכל שלושת הלקוחות, כך שכל אחד יכול לקרוא בדיוק מה הוא עושה במקום לסמוך על תיאור.
פרצה שנמצאת בו שווה עד 500 $ דרך תוכנית ה-bug bounty.
דיווח על פגיעות
שלחו מייל ל-privamesh@proton.me עם security בשורת הנושא.
- ציינו את גרסת האפליקציה, דגם המכשיר וגרסת ה-iOS.
- צרפו מספיק פרטים כדי לשחזר את הבעיה.
- לעולם אל תשלחו את ביטוי השחזור. לעולם לא נבקש אותו, מכל סיבה, בשום הקשר.
למה אנחנו מתחייבים
- אישור קבלה תוך 2 ימי עבודה. אם לא קיבלתם תשובה, הניחו שהמייל אבד ושלחו שוב.
- תיקון או תוכנית תוך 30 יום לכל דבר שמאפשר למישהו לקרוא הודעות, להתחזות לחשבון או לקשר משתמש לפעילות שלו.
- קרדיט אם תרצו, שתיקה אם לא. לא נזכיר את שמכם בלי לשאול.
- בלי איומים משפטיים על מחקר בתום לב שאינו מכוון לחשבונות או לנתונים של אחרים.
תגמולים
ממצאים מאושרים משולמים דרך תוכנית ה-bug bounty - עד 500 $ על פגיעות קריטית, והתשלום מתבצע עם האישור ולא עם התיקון. הדרגות, ההיקף והבעיות הידועות שאינן מזכות מפורסמים שם, כי תוכנית שמשלמת בשקט על הפערים המתועדים של עצמה היא לא תוכנית.
גרסאות נתמכות
תיקוני אבטחה יוצאים בגרסה הבאה ב-App Store. PrivaMesh רץ על iOS 18 ומעלה והוציא גרסה ראשית אחת, כך שאין ענף ישן להעביר אליו תיקונים. כשזה ישתנה, תקופת התמיכה תצוין כאן במפורש ולא תשתמע.
מה תוקן
מאז אוגוסט 2026 התקבלו שנים-עשר דיווחים חיצוניים ונערכו שתי ביקורות פנימיות. התיקונים מוכנים, אבל אף אחד מהם עדיין לא בטלפון שלכם: 1.1, הגרסה ב-App Store, נבנתה ב-13 באוגוסט, לפני שנכתבו, והם יגיעו למשתמשים עם הגרסה הבאה. עד אז, התייחסו לאפליקציה שפורסמה כאילו יש בה הבעיות שהם מתקנים. מה שתועד במקום לתקן מופיע במגבלות ידועות. מי דיווח על מה אינו מתפרסם.
היקף
לקוח ה-iOS, הפרוטוקול על השרשרת ושירות העמלות המתוארים בדף הארכיטקטורה - כולם בהיקף. תשתית של צד שלישי - Solana עצמה, ספקי RPC, Apple - אינה בידינו לתקן, אבל נשמח לשמוע עליה. לגבולות של מה שהתכנון מגן עליו, ראו את מודל האיומים ואת המגבלות הידועות.
שאלות נפוצות
איך מדווחים על פגיעות?
שלחו מייל ל-privamesh@proton.me עם "security" בשורת הנושא. ציינו את גרסת האפליקציה, המכשיר וגרסת ה-iOS, ומספיק פרטים לשחזור. אנחנו שואפים לאשר קבלה תוך 2 ימי עבודה.
האם יש bug bounty?
כן. עד 500 $ על ממצא קריטי, 200 $ על גבוה, 75 $ על בינוני ו-25 $ על נמוך, כשהחומרה נקבעת לפי מה שהממצא שובר במודל האיומים שלנו. כל הדרגות, ההיקף והחריגים נמצאים בדף ה-bug bounty.
אילו גרסאות מקבלות תיקוני אבטחה?
התיקונים יוצאים בגרסה הבאה ב-App Store. PrivaMesh הוציא עד כה גרסה ראשית אחת בלבד, כך שעדיין אין ענף ישן להעביר אליו תיקונים.