보안
보안 및 취약점 공개
취약점을 신고하는 방법, 발견 시 받는 보상, 그리고 신고 후 저희가 약속하는 것.
오픈 소스이며, 결함을 찾으면 보상이 있습니다
PrivaMesh는 충분히 연구된 프리미티브 위에 만들어졌습니다. X3DH, Double Ratchet, AES-256-GCM, 그리고 iOS 26에서는 ML-KEM-768입니다. 이를 구현하는 코드는 세 클라이언트 모두 공개되어 있어, 누구나 설명을 믿는 대신 실제로 무엇을 하는지 읽을 수 있습니다.
그 안에서 발견된 결함은 버그 바운티를 통해 최대 US$500의 가치가 있습니다.
취약점 신고
제목에 security를 넣어 privamesh@proton.me로 이메일을 보내 주세요.
- 앱 버전, 기기 모델, iOS 버전을 적어 주세요.
- 문제를 재현할 수 있을 만큼 자세히 적어 주세요.
- 복구 문구는 절대 보내지 마세요. 저희는 어떤 이유로도, 어떤 상황에서도 이를 요청하지 않습니다.
저희가 약속하는 것
- 영업일 기준 2일 이내 접수 확인. 답장이 없으면 메일이 유실된 것으로 보고 다시 보내 주세요.
- 30일 이내 수정 또는 계획 제시. 메시지를 읽거나, 계정을 사칭하거나, 사용자를 그 활동과 연결할 수 있게 하는 모든 것이 대상입니다.
- 원하시면 이름을 밝히고, 원치 않으시면 침묵합니다. 묻지 않고 이름을 공개하지 않습니다.
- 법적 위협은 없습니다. 다른 사람의 계정이나 데이터를 겨냥하지 않는 선의의 연구가 대상입니다.
보상
확인된 발견은 버그 바운티 프로그램을 통해 지급됩니다. 치명적 취약점은 최대 US$500이며, 지급은 수정 시가 아니라 확인 시에 이루어집니다. 등급, 범위, 보상 대상이 아닌 알려진 문제는 모두 그곳에 공개되어 있습니다. 스스로 문서화한 허점에 조용히 돈을 내는 프로그램은 프로그램이라 할 수 없기 때문입니다.
지원 버전
보안 수정은 다음 App Store 릴리스에 포함됩니다. PrivaMesh는 iOS 18 이상에서 실행되며 메이저 버전을 하나만 출시했으므로, 수정을 백포트할 이전 브랜치가 없습니다. 이것이 바뀌면 지원 기간을 암시하지 않고 여기에 명시하겠습니다.
수정된 내용
2026년 8월 이후 외부 신고 12건과 내부 감사 2회가 있었습니다. 수정은 완료되었지만 아직 어느 것도 여러분의 휴대폰에는 없습니다. App Store에 있는 버전 1.1은 수정이 작성되기 전인 8월 13일에 빌드되었고, 수정은 다음 릴리스와 함께 사용자에게 전달됩니다. 그때까지는 출시된 앱에 그 수정이 해결하는 문제가 있다고 보시면 됩니다. 수정 대신 문서화한 내용은 알려진 한계에 있습니다. 누가 무엇을 신고했는지는 공개하지 않습니다.
범위
iOS 클라이언트, 온체인 프로토콜, 그리고 아키텍처 페이지에서 설명하는 수수료 서비스가 모두 범위에 포함됩니다. 서드파티 인프라(Solana 자체, RPC 제공자, Apple)는 저희가 고칠 수 있는 것이 아니지만, 알려 주시면 좋겠습니다. 설계가 보호하는 범위의 경계는 위협 모델과 알려진 한계를 참고하세요.
자주 묻는 질문
취약점은 어떻게 신고하나요?
제목에 "security"를 넣어 privamesh@proton.me로 이메일을 보내 주세요. 앱 버전, 기기와 iOS 버전, 재현에 충분한 세부 정보를 적어 주세요. 영업일 기준 2일 이내 접수 확인을 목표로 합니다.
버그 바운티가 있나요?
네. 치명적 발견은 최대 US$500, 높음은 US$200, 중간은 US$75, 낮음은 US$25이며, 심각도는 그 발견이 저희 위협 모델에서 무엇을 깨뜨리는지로 정해집니다. 모든 등급, 범위, 제외 사항은 버그 바운티 페이지에 있습니다.
어떤 버전이 보안 수정을 받나요?
수정은 다음 App Store 릴리스에 포함됩니다. PrivaMesh는 아직 메이저 버전을 하나만 출시했으므로, 백포트할 이전 브랜치가 아직 없습니다.