Bezpieczeństwo
Bezpieczeństwo i zgłaszanie podatności
Jak zgłosić podatność, ile płacimy za znalezisko i do czego się potem zobowiązujemy.
Otwarty kod, a znaleziona luka jest płatna
PrivaMesh opiera się na dobrze zbadanych prymitywach - X3DH, Double Ratchet, AES-256-GCM i ML-KEM-768 na iOS 26. Kod, który je implementuje, jest publiczny dla wszystkich trzech klientów, więc każdy może przeczytać, co dokładnie robi, zamiast wierzyć opisowi na słowo.
Luka znaleziona w nim jest warta do 500 USD w ramach bug bounty.
Zgłaszanie podatności
Napisz na privamesh@proton.me ze słowem security w temacie.
- Podaj wersję aplikacji, model urządzenia i wersję iOS.
- Podaj tyle szczegółów, by dało się odtworzyć problem.
- Nigdy nie wysyłaj frazy odzyskiwania. Nigdy o nią nie poprosimy - z żadnego powodu i w żadnym kontekście.
Do czego się zobowiązujemy
- Potwierdzenie w ciągu 2 dni roboczych. Jeśli nie dostaniesz odpowiedzi, uznaj, że wiadomość zaginęła, i wyślij ją ponownie.
- Poprawka lub plan w ciągu 30 dni dla wszystkiego, co pozwala czytać wiadomości, podszywać się pod konto albo powiązać użytkownika z jego aktywnością.
- Wzmianka, jeśli chcesz, milczenie, jeśli nie. Nie podamy twojego nazwiska bez pytania.
- Żadnych gróźb prawnych za badania w dobrej wierze, które nie są wymierzone w cudze konta ani dane.
Nagrody
Potwierdzone znaleziska są opłacane w ramach programu bug bounty - do 500 USD za krytyczną podatność, a wypłata następuje po potwierdzeniu, nie po naprawie. Poziomy, zakres i znane problemy, które się nie kwalifikują, są tam opublikowane, bo program, który po cichu płaci za własne udokumentowane luki, nie jest programem.
Wspierane wersje
Poprawki bezpieczeństwa trafiają do kolejnego wydania w App Store. PrivaMesh działa na iOS 18 lub nowszym i wydał jedną wersję główną, więc nie ma starszej gałęzi do backportów. Gdy to się zmieni, okres wsparcia zostanie tu wprost podany, a nie zasugerowany.
Co zostało naprawione
Od sierpnia 2026 r. wpłynęło dwanaście zewnętrznych zgłoszeń i przeprowadzono dwa wewnętrzne audyty. Poprawki są gotowe, ale żadna nie trafiła jeszcze na twój telefon: 1.1, wersja w App Store, została zbudowana 13 sierpnia, zanim je napisano, i dotrą do użytkowników z kolejnym wydaniem. Do tego czasu zakładaj, że wydana aplikacja ma problemy, które one naprawiają. To, co udokumentowano zamiast naprawić, jest w znanych ograniczeniach. Kto co zgłosił, nie jest publikowane.
Zakres
Klient iOS, protokół on-chain i usługa opłat opisane na stronie architektury są objęte programem. Infrastruktura zewnętrzna - sama Solana, dostawcy RPC, Apple - nie jest nasza do naprawy, choć chcemy o niej wiedzieć. Granice tego, co chroni projekt, opisują model zagrożeń i znane ograniczenia.
Najczęstsze pytania
Jak zgłosić podatność?
Napisz na privamesh@proton.me ze słowem „security” w temacie. Podaj wersję aplikacji, urządzenie i wersję iOS oraz tyle szczegółów, by dało się to odtworzyć. Staramy się potwierdzić odbiór w ciągu 2 dni roboczych.
Czy jest bug bounty?
Tak. Do 500 USD za krytyczne znalezisko, 200 USD za wysokie, 75 USD za średnie, 25 USD za niskie; waga zależy od tego, co znalezisko łamie w naszym modelu zagrożeń. Wszystkie poziomy, zakres i wyłączenia są na stronie bug bounty.
Które wersje dostają poprawki bezpieczeństwa?
Poprawki trafiają do kolejnego wydania w App Store. PrivaMesh wydał na razie jedną wersję główną, więc nie ma jeszcze starszej gałęzi do backportów.