Sicurezza
Sicurezza e divulgazione
Come segnalare una vulnerabilità, quanto vale trovarne una e a cosa ci impegniamo dopo.
Open source, e trovare una falla viene pagato
PrivaMesh si basa su primitive ben studiate - X3DH, il Double Ratchet, AES-256-GCM e ML-KEM-768 su iOS 26. Il codice che le implementa è pubblico per tutti e tre i client, quindi chiunque può leggere esattamente cosa fa invece di fidarsi di una descrizione.
Una falla trovata al suo interno vale fino a 500 USD tramite il bug bounty.
Segnalare una vulnerabilità
Scrivi a privamesh@proton.me con security nell'oggetto.
- Indica la versione dell'app, il modello del dispositivo e la versione di iOS.
- Fornisci dettagli sufficienti per riprodurre il problema.
- Non includere mai la tua frase di recupero. Non te la chiederemo mai, per nessun motivo e in nessun contesto.
A cosa ci impegniamo
- Conferma di ricezione entro 2 giorni lavorativi. Se non ricevi risposta, considera la mail persa e inviala di nuovo.
- Una correzione o un piano entro 30 giorni per qualsiasi cosa permetta di leggere messaggi, impersonare un account o collegare un utente alla sua attività.
- Riconoscimento se lo vuoi, silenzio se no. Non faremo il tuo nome senza chiedere.
- Nessuna minaccia legale per ricerche in buona fede che non prendano di mira account o dati altrui.
Ricompense
Le scoperte confermate vengono pagate tramite il programma di bug bounty - fino a 500 USD per una vulnerabilità critica, e il pagamento avviene alla conferma, non alla correzione. Livelli, ambito e problemi noti che non danno diritto a premio sono tutti pubblicati lì, perché un programma che paga in silenzio per le proprie lacune documentate non è un programma.
Versioni supportate
Le correzioni di sicurezza arrivano con la prossima versione sull'App Store. PrivaMesh funziona su iOS 18 o successivo e ha rilasciato una sola versione principale, quindi non c'è un ramo più vecchio su cui riportare le correzioni. Quando questo cambierà, il periodo di supporto sarà dichiarato qui invece che sottinteso.
Cosa è stato corretto
Da agosto 2026 ci sono state dodici segnalazioni esterne e due audit interni. Le correzioni sono pronte, ma nessuna è ancora sul tuo telefono: la 1.1, la versione sull'App Store, è stata compilata il 13 agosto, prima che fossero scritte, e arriveranno agli utenti con la prossima versione. Fino ad allora, considera l'app pubblicata come affetta dai problemi che correggono. Ciò che è stato documentato invece che corretto si trova nei limiti noti. Chi ha segnalato cosa non viene pubblicato.
Ambito
Il client iOS, il protocollo on-chain e il servizio commissioni descritti nella pagina dell'architettura rientrano tutti nell'ambito. L'infrastruttura di terzi - Solana stessa, i fornitori RPC, Apple - non spetta a noi correggerla, ma vogliamo saperlo. Per i confini di ciò che il design protegge, vedi il modello di minaccia e i limiti noti.
Domande frequenti
Come segnalo una vulnerabilità?
Scrivi a privamesh@proton.me con «security» nell'oggetto. Indica versione dell'app, dispositivo e versione di iOS, e dettagli sufficienti per riprodurla. Cerchiamo di confermare la ricezione entro 2 giorni lavorativi.
C'è un bug bounty?
Sì. Fino a 500 USD per una scoperta critica, 200 USD alta, 75 USD media, 25 USD bassa, con la gravità definita da ciò che la scoperta compromette nel nostro modello di minaccia. Tutti i livelli, l'ambito e le esclusioni sono nella pagina del bug bounty.
Quali versioni ricevono correzioni di sicurezza?
Le correzioni arrivano con la prossima versione sull'App Store. PrivaMesh ha rilasciato una sola versione principale, quindi non esiste ancora un ramo più vecchio su cui riportarle.