Keamanan
Keamanan dan pelaporan
Cara melaporkan kerentanan, berapa imbalan untuk temuan, dan apa yang kami janjikan setelahnya.
Sumber terbuka, dan menemukan celah dibayar
PrivaMesh dibangun di atas primitif yang sudah banyak dikaji - X3DH, Double Ratchet, AES-256-GCM, dan ML-KEM-768 di iOS 26. Kode yang mengimplementasikannya terbuka untuk ketiga klien, sehingga siapa pun bisa membaca persis apa yang dilakukannya alih-alih memercayai deskripsi begitu saja.
Celah yang ditemukan di dalamnya bernilai hingga US$500 melalui bug bounty.
Melaporkan kerentanan
Kirim email ke privamesh@proton.me dengan security di baris subjek.
- Sertakan versi aplikasi, model perangkat, dan versi iOS Anda.
- Sertakan detail yang cukup untuk mereproduksi masalahnya.
- Jangan pernah menyertakan frasa pemulihan Anda. Kami tidak akan pernah memintanya, dengan alasan apa pun, dalam konteks apa pun.
Komitmen kami
- Konfirmasi penerimaan dalam 2 hari kerja. Jika tidak ada kabar, anggap email hilang dan kirim ulang.
- Perbaikan atau rencana dalam 30 hari untuk apa pun yang memungkinkan seseorang membaca pesan, menyamar sebagai sebuah akun, atau mengaitkan pengguna dengan aktivitasnya.
- Kredit jika Anda mau, diam jika tidak. Kami tidak akan menyebut nama Anda tanpa bertanya.
- Tanpa ancaman hukum untuk riset beriktikad baik yang tidak menyasar akun atau data orang lain.
Imbalan
Temuan yang terkonfirmasi dibayar melalui program bug bounty - hingga US$500 untuk kerentanan kritis, dan pembayaran dilakukan saat konfirmasi, bukan saat perbaikan. Tingkatan, cakupan, dan masalah yang sudah diketahui dan tidak memenuhi syarat semuanya dipublikasikan di sana, karena program yang diam-diam membayar celahnya sendiri yang sudah terdokumentasi bukanlah program.
Versi yang didukung
Perbaikan keamanan hadir di rilis App Store berikutnya. PrivaMesh berjalan di iOS 18 atau lebih baru dan baru merilis satu versi mayor, jadi tidak ada cabang lama untuk backport. Jika itu berubah, periode dukungan akan dinyatakan di sini, bukan hanya tersirat.
Apa yang sudah diperbaiki
Sejak Agustus 2026 ada dua belas laporan eksternal dan dua audit internal. Perbaikannya sudah selesai, tetapi belum ada yang sampai di ponsel Anda: 1.1, versi di App Store, dibuat pada 13 Agustus, sebelum perbaikan itu ditulis, dan perbaikan akan sampai ke pengguna lewat rilis berikutnya. Sampai saat itu, anggap aplikasi yang dirilis masih memiliki masalah yang diperbaikinya. Apa yang didokumentasikan alih-alih diperbaiki ada di keterbatasan yang diketahui. Siapa melaporkan apa tidak dipublikasikan.
Cakupan
Klien iOS, protokol on-chain, dan layanan biaya yang dijelaskan di halaman arsitektur semuanya termasuk cakupan. Infrastruktur pihak ketiga - Solana sendiri, penyedia RPC, Apple - bukan wewenang kami untuk memperbaiki, tetapi kami ingin mendengarnya. Untuk batas apa yang dilindungi desain, lihat model ancaman dan keterbatasan yang diketahui.
Pertanyaan umum
Bagaimana cara melaporkan kerentanan?
Kirim email ke privamesh@proton.me dengan "security" di baris subjek. Sertakan versi aplikasi, perangkat dan versi iOS Anda, serta detail yang cukup untuk mereproduksinya. Kami berusaha mengonfirmasi dalam 2 hari kerja.
Apakah ada bug bounty?
Ya. Hingga US$500 untuk temuan kritis, US$200 tinggi, US$75 sedang, US$25 rendah, dengan tingkat keparahan ditentukan oleh apa yang dirusak temuan itu dalam model ancaman kami. Semua tingkatan, cakupan, dan pengecualian ada di halaman bug bounty.
Versi mana yang mendapat perbaikan keamanan?
Perbaikan hadir di rilis App Store berikutnya. PrivaMesh baru merilis satu versi mayor, jadi belum ada cabang lama untuk backport.