Keselamatan
Keselamatan dan pendedahan
Cara melaporkan kelemahan, berapa ganjaran untuk penemuan, dan apa yang kami komited lakukan selepas itu.
Sumber terbuka, dan menemui kelemahan dibayar
PrivaMesh dibina di atas primitif yang telah dikaji dengan baik - X3DH, Double Ratchet, AES-256-GCM dan ML-KEM-768 pada iOS 26. Kod yang melaksanakannya terbuka untuk ketiga-tiga klien, jadi sesiapa boleh membaca dengan tepat apa yang dilakukannya dan bukan hanya mempercayai penerangan.
Kelemahan yang ditemui di dalamnya bernilai sehingga USD 500 melalui bug bounty.
Melaporkan kelemahan
E-mel privamesh@proton.me dengan security dalam baris subjek.
- Nyatakan versi aplikasi, model peranti dan versi iOS anda.
- Sertakan butiran yang mencukupi untuk menghasilkan semula masalah itu.
- Jangan sekali-kali sertakan frasa pemulihan anda. Kami tidak akan memintanya, atas apa jua sebab, dalam apa jua konteks.
Komitmen kami
- Pengakuan penerimaan dalam 2 hari bekerja. Jika tiada maklum balas, anggap e-mel itu hilang dan hantar semula.
- Pembetulan atau rancangan dalam 30 hari untuk apa sahaja yang membolehkan seseorang membaca mesej, menyamar sebagai akaun atau mengaitkan pengguna dengan aktivitinya.
- Kredit jika anda mahu, senyap jika tidak. Kami tidak akan menamakan anda tanpa bertanya.
- Tiada ugutan undang-undang untuk penyelidikan suci hati yang tidak menyasarkan akaun atau data orang lain.
Ganjaran
Penemuan yang disahkan dibayar melalui program bug bounty - sehingga USD 500 untuk kelemahan kritikal, dan bayaran dibuat semasa pengesahan, bukan semasa pembetulan. Peringkat, skop dan isu yang diketahui yang tidak layak semuanya diterbitkan di sana, kerana program yang secara senyap membayar untuk jurang dokumentasinya sendiri bukanlah program.
Versi yang disokong
Pembetulan keselamatan dihantar dalam keluaran App Store seterusnya. PrivaMesh berjalan pada iOS 18 atau lebih baharu dan telah mengeluarkan satu versi utama, jadi tiada cabang lama untuk backport. Apabila itu berubah, tempoh sokongan akan dinyatakan di sini dan bukan sekadar tersirat.
Apa yang telah dibaiki
Sejak Ogos 2026 terdapat dua belas laporan luar dan dua audit dalaman. Pembetulan sudah siap, tetapi belum ada yang sampai ke telefon anda: 1.1, versi di App Store, dibina pada 13 Ogos, sebelum ia ditulis, dan ia akan sampai kepada pengguna dengan keluaran seterusnya. Sehingga itu, anggap aplikasi yang dikeluarkan masih mempunyai masalah yang dibaikinya. Apa yang didokumenkan dan bukan dibaiki ada di had yang diketahui. Siapa melaporkan apa tidak diterbitkan.
Skop
Klien iOS, protokol on-chain dan perkhidmatan yuran yang diterangkan di halaman seni bina semuanya dalam skop. Infrastruktur pihak ketiga - Solana sendiri, penyedia RPC, Apple - bukan tanggungjawab kami untuk dibaiki, tetapi kami mahu mengetahuinya. Untuk sempadan apa yang dilindungi reka bentuk, lihat model ancaman dan had yang diketahui.
Soalan lazim
Bagaimana saya melaporkan kelemahan?
E-mel privamesh@proton.me dengan "security" dalam baris subjek. Sertakan versi aplikasi, peranti dan versi iOS anda, serta butiran yang mencukupi untuk menghasilkan semula. Kami berusaha mengakui penerimaan dalam 2 hari bekerja.
Adakah bug bounty?
Ya. Sehingga USD 500 untuk penemuan kritikal, USD 200 tinggi, USD 75 sederhana, USD 25 rendah, dengan tahap keterukan ditentukan oleh apa yang dipecahkan oleh penemuan itu dalam model ancaman kami. Semua peringkat, skop dan pengecualian ada di halaman bug bounty.
Versi mana yang menerima pembetulan keselamatan?
Pembetulan dihantar dalam keluaran App Store seterusnya. PrivaMesh baru mengeluarkan satu versi utama, jadi belum ada cabang lama untuk backport.