Безбедност
Безбедност и пријава рањивости
Како пријавити рањивост, колико се плаћа проналазак и на шта се после тога обавезујемо.
Отворени код, а пронађени пропуст се плаћа
PrivaMesh се ослања на добро проучене примитиве - X3DH, Double Ratchet, AES-256-GCM и ML-KEM-768 на iOS 26. Код који их имплементира јаван је за сва три клијента, па свако може да прочита шта тачно ради уместо да верује опису на реч.
Пропуст пронађен у њему вреди до 500 US$ кроз bug bounty.
Пријава рањивости
Пошаљите имејл на privamesh@proton.me са речју security у наслову.
- Наведите верзију апликације, модел уређаја и верзију iOS-а.
- Наведите довољно детаља да се проблем може поновити.
- Никада не шаљите своју фразу за опоравак. Никада је нећемо тражити - ни из ког разлога, ни у ком контексту.
На шта се обавезујемо
- Потврда пријема у року од 2 радна дана. Ако се не јавимо, претпоставите да се порука изгубила и пошаљите је поново.
- Исправка или план у року од 30 дана за све што некоме омогућава да чита поруке, лажно се представи као налог или повеже корисника са његовом активношћу.
- Навођење имена ако желите, ћутање ако не. Нећемо вас именовати без питања.
- Без правних претњи за истраживање у доброј вери које не циља туђе налоге или податке.
Награде
Потврђени налази плаћају се кроз програм bug bounty - до 500 US$ за критичну рањивост, а исплата следи по потврди, не по исправци. Нивои, обухват и познати проблеми који се не признају објављени су тамо, јер програм који потихо плаћа за сопствене документоване пропусте није програм.
Подржане верзије
Безбедносне исправке излазе у следећем издању на App Store-у. PrivaMesh ради на iOS 18 или новијем и објавио је једну главну верзију, па нема старије гране за backport. Кад се то промени, период подршке биће овде изричито наведен, а не подразумеван.
Шта је исправљено
Од августа 2026. стигло је дванаест спољних пријава и спроведена су два интерна аудита. Исправке су готове, али ниједна још није на вашем телефону: 1.1, верзија на App Store-у, направљена је 13. августа, пре него што су написане, а до корисника стижу са следећим издањем. До тада сматрајте да објављена апликација има проблеме које оне исправљају. Оно што је документовано уместо исправљено налази се у познатим ограничењима. Ко је шта пријавио не објављује се.
Обухват
iOS клијент, on-chain протокол и сервис накнада описани на страници архитектуре обухваћени су. Инфраструктуру трећих страна - саму Solana-у, RPC провајдере, Apple - не можемо ми да поправимо, али желимо да знамо за њу. За границе онога што дизајн штити погледајте модел претњи и позната ограничења.
Честа питања
Како да пријавим рањивост?
Пошаљите имејл на privamesh@proton.me са речју „security” у наслову. Наведите верзију апликације, уређај и верзију iOS-а и довољно детаља за понављање. Трудимо се да потврдимо пријем у року од 2 радна дана.
Постоји ли bug bounty?
Да. До 500 US$ за критичан налаз, 200 US$ за висок, 75 US$ за средњи, 25 US$ за низак; озбиљност се одређује према томе шта налаз руши у нашем моделу претњи. Сви нивои, обухват и изузеци налазе се на страници bug bounty-ја.
Које верзије добијају безбедносне исправке?
Исправке излазе у следећем издању на App Store-у. PrivaMesh је објавио само једну главну верзију, па још нема старије гране за backport.