Bezpečnosť
Bezpečnosť a hlásenie zraniteľností
Ako nahlásiť zraniteľnosť, koľko nález vynesie a k čomu sa potom zaväzujeme.
Otvorený kód, a nájdená chyba sa platí
PrivaMesh stojí na dobre preskúmaných primitívach - X3DH, Double Ratchet, AES-256-GCM a ML-KEM-768 na iOS 26. Kód, ktorý ich implementuje, je verejný pre všetkých troch klientov, takže si ktokoľvek môže prečítať, čo presne robí, namiesto toho, aby veril popisu.
Chyba v ňom nájdená má cez bug bounty hodnotu až 500 USD.
Nahlásenie zraniteľnosti
Napíšte na privamesh@proton.me so slovom security v predmete.
- Uveďte verziu aplikácie, model zariadenia a verziu iOS.
- Opíšte problém dostatočne podrobne, aby sa dal zopakovať.
- Nikdy neposielajte svoju frázu na obnovenie. Nikdy o ňu nepožiadame - z nijakého dôvodu a v nijakom kontexte.
K čomu sa zaväzujeme
- Potvrdenie do 2 pracovných dní. Ak sa neozveme, predpokladajte, že sa e-mail stratil, a pošlite ho znova.
- Oprava alebo plán do 30 dní pre čokoľvek, čo umožňuje čítať správy, vydávať sa za účet alebo spojiť používateľa s jeho aktivitou.
- Uvedenie mena, ak chcete, mlčanie, ak nie. Bez opýtania vás nemenujeme.
- Žiadne právne hrozby za výskum v dobrej viere, ktorý necieli na cudzie účty ani dáta.
Odmeny
Potvrdené nálezy sa platia cez program bug bounty - až 500 USD za kritickú zraniteľnosť, a platba prebehne pri potvrdení, nie až po oprave. Úrovne, rozsah a známe problémy, ktoré sa nerátajú, sú tam zverejnené, pretože program, ktorý potichu platí za vlastné zdokumentované medzery, nie je program.
Podporované verzie
Bezpečnostné opravy vychádzajú v ďalšom vydaní v App Store. PrivaMesh beží na iOS 18 alebo novšom a vydal jednu hlavnú verziu, takže neexistuje staršia vetva na backporty. Keď sa to zmení, doba podpory bude uvedená tu výslovne, nie len naznačená.
Čo bolo opravené
Od augusta 2026 prišlo dvanásť externých hlásení a prebehli dva interné audity. Opravy sú hotové, ale žiadna z nich ešte nie je vo vašom telefóne: 1.1, verzia v App Store, bola zostavená 13. augusta, skôr ako vznikli, a k používateľom sa dostanú s ďalším vydaním. Dovtedy počítajte s tým, že vydaná aplikácia má problémy, ktoré opravujú. Čo bolo namiesto opravy zdokumentované, je v známych obmedzeniach. Kto čo nahlásil, sa nezverejňuje.
Rozsah
Klient pre iOS, on-chain protokol a poplatková služba opísané na stránke architektúry do rozsahu patria. Infraštruktúra tretích strán - samotná Solana, poskytovatelia RPC, Apple - nie je naša na opravu, ale chceme o nej vedieť. Hranice toho, čo návrh chráni, opisujú model hrozieb a známe obmedzenia.
Časté otázky
Ako nahlásim zraniteľnosť?
Napíšte na privamesh@proton.me so slovom „security“ v predmete. Uveďte verziu aplikácie, zariadenie a verziu iOS a dosť podrobností na zopakovanie. Snažíme sa potvrdiť prijatie do 2 pracovných dní.
Je k dispozícii bug bounty?
Áno. Až 500 USD za kritický nález, 200 USD za vysoký, 75 USD za stredný, 25 USD za nízky; závažnosť určuje to, čo nález v našom modeli hrozieb rozbíja. Všetky úrovne, rozsah a výnimky sú na stránke bug bounty.
Ktoré verzie dostávajú bezpečnostné opravy?
Opravy vychádzajú v ďalšom vydaní v App Store. PrivaMesh zatiaľ vydal jedinú hlavnú verziu, takže staršia vetva na backporty ešte neexistuje.