Sigurnost
Sigurnost i prijava ranjivosti
Kako prijaviti ranjivost, koliko se plaća pronalazak i na što se nakon toga obvezujemo.
Otvoreni kod, a pronađen propust se plaća
PrivaMesh se temelji na dobro proučenim primitivima - X3DH, Double Ratchet, AES-256-GCM i ML-KEM-768 na iOS-u 26. Kod koji ih implementira javan je za sva tri klijenta, pa svatko može pročitati što točno radi umjesto da vjeruje opisu na riječ.
Propust pronađen u njemu vrijedi do 500 USD kroz bug bounty.
Prijava ranjivosti
Pošaljite e-poštu na privamesh@proton.me s riječju security u naslovu.
- Navedite verziju aplikacije, model uređaja i verziju iOS-a.
- Navedite dovoljno detalja da se problem može ponoviti.
- Nikada ne šaljite svoju frazu za oporavak. Nikada je nećemo tražiti - ni iz kojeg razloga, ni u kojem kontekstu.
Na što se obvezujemo
- Potvrda primitka unutar 2 radna dana. Ako se ne javimo, pretpostavite da se poruka izgubila i pošaljite je ponovno.
- Popravak ili plan unutar 30 dana za sve što nekome omogućuje čitanje poruka, lažno predstavljanje kao račun ili povezivanje korisnika s njegovom aktivnošću.
- Navođenje imena ako želite, šutnja ako ne. Nećemo vas imenovati bez pitanja.
- Bez pravnih prijetnji za istraživanje u dobroj vjeri koje ne cilja tuđe račune ili podatke.
Nagrade
Potvrđeni nalazi plaćaju se kroz program bug bounty - do 500 USD za kritičnu ranjivost, a isplata slijedi nakon potvrde, ne nakon popravka. Razine, opseg i poznati problemi koji se ne priznaju objavljeni su ondje, jer program koji potiho plaća za vlastite dokumentirane propuste nije program.
Podržane verzije
Sigurnosni popravci izlaze u sljedećem izdanju na App Storeu. PrivaMesh radi na iOS-u 18 ili novijem i objavio je jednu glavnu verziju, pa nema starije grane za backport. Kad se to promijeni, razdoblje podrške bit će ovdje izričito navedeno, a ne podrazumijevano.
Što je popravljeno
Od kolovoza 2026. stiglo je dvanaest vanjskih prijava i provedena su dva interna audita. Popravci su gotovi, ali nijedan još nije na vašem telefonu: 1.1, verzija na App Storeu, izgrađena je 13. kolovoza, prije nego što su napisani, a do korisnika stižu sa sljedećim izdanjem. Do tada smatrajte da objavljena aplikacija ima probleme koje oni popravljaju. Ono što je dokumentirano umjesto popravljeno nalazi se u poznatim ograničenjima. Tko je što prijavio ne objavljuje se.
Opseg
iOS klijent, on-chain protokol i usluga naknada opisani na stranici arhitekture obuhvaćeni su. Infrastrukturu trećih strana - samu Solanu, RPC pružatelje, Apple - ne možemo mi popraviti, ali želimo znati za nju. Za granice onoga što dizajn štiti pogledajte model prijetnji i poznata ograničenja.
Česta pitanja
Kako prijaviti ranjivost?
Pošaljite e-poštu na privamesh@proton.me s riječju „security” u naslovu. Navedite verziju aplikacije, uređaj i verziju iOS-a te dovoljno detalja za ponavljanje. Nastojimo potvrditi primitak unutar 2 radna dana.
Postoji li bug bounty?
Da. Do 500 USD za kritičan nalaz, 200 USD za visok, 75 USD za srednji, 25 USD za nizak; ozbiljnost se određuje prema tome što nalaz ruši u našem modelu prijetnji. Sve razine, opseg i iznimke nalaze se na stranici bug bountyja.
Koje verzije dobivaju sigurnosne popravke?
Popravci izlaze u sljedećem izdanju na App Storeu. PrivaMesh je objavio samo jednu glavnu verziju, pa još nema starije grane za backport.