Қауіпсіздік
Қауіпсіздік және осалдықты ашу
Осалдық туралы қалай хабарлау керек, табылған олқылық үшін қанша төлейміз және одан кейін неге міндеттенеміз.
Ашық код, ал табылған олқылық төленеді
PrivaMesh жақсы зерттелген примитивтерге негізделген - X3DH, Double Ratchet, AES-256-GCM және iOS 26-да ML-KEM-768. Оларды жүзеге асыратын код үш клиенттің бәріне ашық, сондықтан кез келген адам сипаттамаға сенудің орнына оның нақты не істейтінін оқи алады.
Ондағы табылған олқылық bug bounty арқылы 500 $ дейін бағаланады.
Осалдық туралы хабарлау
Хат тақырыбына security сөзін жазып, privamesh@proton.me мекенжайына жазыңыз.
- Қолданба нұсқасын, құрылғы моделін және iOS нұсқасын көрсетіңіз.
- Мәселені қайталау үшін жеткілікті егжей-тегжей беріңіз.
- Қалпына келтіру фразасын ешқашан жібермеңіз. Біз оны ешқашан, ешқандай себеппен, ешқандай жағдайда сұрамаймыз.
Неге міндеттенеміз
- 2 жұмыс күні ішінде растау. Жауап болмаса, хат жоғалды деп есептеп, қайта жіберіңіз.
- 30 күн ішінде түзету немесе жоспар - хабарламаларды оқуға, біреудің аккаунтының атын жамылуға немесе пайдаланушыны оның әрекетімен байланыстыруға мүмкіндік беретін кез келген нәрсе үшін.
- Қаласаңыз - атыңызды атаймыз, қаламасаңыз - үндемейміз. Сұрамай атыңызды атамаймыз.
- Ешқандай заңдық қоқан-лоқы жоқ - басқа адамдардың аккаунттары мен деректерін нысанаға алмайтын адал зерттеу үшін.
Сыйақылар
Расталған табылымдар bug bounty бағдарламасы арқылы төленеді - сыни осалдық үшін 500 $ дейін, әрі төлем түзетілгенде емес, расталғанда жасалады. Деңгейлер, қамту аясы және есепке алынбайтын белгілі мәселелер сонда жарияланған, өйткені өзінің құжатталған олқылықтары үшін үнсіз төлейтін бағдарлама - бағдарлама емес.
Қолдау көрсетілетін нұсқалар
Қауіпсіздік түзетулері App Store-дағы келесі шығарылымда шығады. PrivaMesh iOS 18 немесе жаңарақ нұсқасында жұмыс істейді және бір негізгі нұсқа шығарды, сондықтан бэкпорт жасайтын ескі тармақ жоқ. Бұл өзгергенде қолдау мерзімі меңзелмей, осында тікелей көрсетіледі.
Не түзетілді
2026 жылдың тамызынан бері он екі сыртқы хабарлама келіп түсті және екі ішкі аудит өтті. Түзетулер дайын, бірақ олардың ешқайсысы әлі телефоныңызға жеткен жоқ: App Store-дағы 1.1 нұсқасы олар жазылмай тұрып, 13 тамызда жиналды, ал пайдаланушыларға олар келесі шығарылыммен жетеді. Оған дейін шыққан қолданбада олар түзететін мәселелер бар деп есептеңіз. Түзетудің орнына құжатталғандар белгілі шектеулер бетінде. Кімнің не туралы хабарлағаны жарияланбайды.
Қамту аясы
iOS клиенті, ончейн-протокол және архитектура бетінде сипатталған комиссия қызметі - бәрі қамту аясына кіреді. Үшінші тараптың инфрақұрылымын - Solana-ның өзін, RPC провайдерлерін, Apple-ды - біз түзете алмаймыз, бірақ ол туралы білгіміз келеді. Дизайн нені қорғайтынының шекаралары үшін қауіп моделін және белгілі шектеулерді қараңыз.
Жиі қойылатын сұрақтар
Осалдық туралы қалай хабарлаймын?
Тақырыбына «security» сөзін жазып, privamesh@proton.me мекенжайына жазыңыз. Қолданба нұсқасын, құрылғыны және iOS нұсқасын, сондай-ақ қайталау үшін жеткілікті егжей-тегжейді көрсетіңіз. Біз 2 жұмыс күні ішінде растауға тырысамыз.
Bug bounty бар ма?
Иә. Сыни табылым үшін 500 $ дейін, жоғары үшін 200 $, орташа үшін 75 $, төмен үшін 25 $; маңыздылық табылымның біздің қауіп моделімізде нені бұзатынына қарай анықталады. Барлық деңгейлер, қамту аясы мен ерекшеліктер bug bounty бетінде.
Қай нұсқалар қауіпсіздік түзетулерін алады?
Түзетулер App Store-дағы келесі шығарылымда шығады. PrivaMesh әзірге бір ғана негізгі нұсқа шығарды, сондықтан бэкпорт жасайтын ескі тармақ әлі жоқ.