Biztonság
Biztonság és sebezhetőség-bejelentés
Hogyan jelentsen be sebezhetőséget, mennyit ér egy találat, és mit vállalunk utána.
Nyílt forráskód, és egy megtalált hiba fizet
A PrivaMesh jól tanulmányozott primitívekre épül - X3DH, Double Ratchet, AES-256-GCM, iOS 26-on pedig ML-KEM-768. Az ezeket megvalósító kód mindhárom kliensnél nyilvános, így bárki elolvashatja, pontosan mit csinál, ahelyett hogy egy leírásra hagyatkozna.
Egy benne talált hiba a bug bounty révén akár 500 USD értékű is lehet.
Sebezhetőség bejelentése
Írjon a privamesh@proton.me címre, a tárgysorba írja: security.
- Adja meg az alkalmazás verzióját, az eszköz típusát és az iOS verzióját.
- Adjon meg annyi részletet, hogy a hiba reprodukálható legyen.
- Soha ne küldje el a helyreállítási kifejezését. Soha nem fogjuk kérni, semmilyen okból, semmilyen összefüggésben.
Amit vállalunk
- Visszaigazolás 2 munkanapon belül. Ha nem jelentkezünk, tételezze fel, hogy a levél elveszett, és küldje el újra.
- Javítás vagy terv 30 napon belül mindenre, ami lehetővé teszi üzenetek elolvasását, egy fiók megszemélyesítését vagy egy felhasználó összekapcsolását a tevékenységével.
- Név szerinti elismerés, ha kéri, hallgatás, ha nem. Megkérdezés nélkül nem nevezzük meg.
- Semmilyen jogi fenyegetés a jóhiszemű kutatásért, amely nem mások fiókjait vagy adatait célozza.
Jutalmak
A megerősített találatokért a bug bounty programon keresztül fizetünk - kritikus sebezhetőségért akár 500 USD, és a kifizetés a megerősítéskor történik, nem a javításkor. A szintek, a hatókör és a nem jogosító ismert problémák mind ott vannak közzétéve, mert az a program, amely csendben fizet a saját dokumentált hiányosságaiért, nem program.
Támogatott verziók
A biztonsági javítások a következő App Store-kiadásban jelennek meg. A PrivaMesh iOS 18-on vagy újabbon fut, és egy főverziót adott ki, így nincs régebbi ág, amelybe visszaportolni kellene. Ha ez megváltozik, a támogatási időszakot itt kifejezetten feltüntetjük, nem csak sejtetjük.
Mi lett kijavítva
2026 augusztusa óta tizenkét külső bejelentés érkezett és két belső audit zajlott. A javítások elkészültek, de egyik sincs még a telefonján: az 1.1, az App Store-ban lévő verzió, augusztus 13-án készült, mielőtt megírták őket, és a következő kiadással érik el a felhasználókat. Addig tekintse úgy, hogy a kiadott alkalmazásban megvannak azok a problémák, amelyeket kijavítanak. Ami javítás helyett dokumentálva lett, az az ismert korlátok oldalon található. Azt, hogy ki mit jelentett, nem tesszük közzé.
Hatókör
Az iOS-kliens, a láncon futó protokoll és az architektúra oldalon leírt díjszolgáltatás mind a hatókörbe tartozik. A harmadik féltől származó infrastruktúra - maga a Solana, az RPC-szolgáltatók, az Apple - javítása nem a mi dolgunk, de szeretnénk tudni róla. Annak határaihoz, hogy mit véd a kialakítás, lásd a fenyegetési modellt és az ismert korlátokat.
Gyakori kérdések
Hogyan jelenthetek be sebezhetőséget?
Írjon a privamesh@proton.me címre, a tárgysorba írja: „security”. Adja meg az alkalmazás verzióját, az eszközt és az iOS verzióját, valamint a reprodukáláshoz elegendő részletet. Igyekszünk 2 munkanapon belül visszaigazolni.
Van bug bounty?
Igen. Kritikus találatért akár 500 USD, magasért 200 USD, közepesért 75 USD, alacsonyért 25 USD; a súlyosságot az határozza meg, hogy a találat mit tör meg a fenyegetési modellünkben. Az összes szint, a hatókör és a kizárások a bug bounty oldalon találhatók.
Mely verziók kapnak biztonsági javításokat?
A javítások a következő App Store-kiadásban jelennek meg. A PrivaMesh eddig egyetlen főverziót adott ki, így még nincs régebbi ág, amelybe visszaportolni kellene.