Säkerhet
Säkerhet och rapportering
Hur du rapporterar en sårbarhet, vad ett fynd ger och vad vi förbinder oss till när du gör det.
Öppen källkod, och ett hittat fel ger betalt
PrivaMesh bygger på välstuderade primitiver - X3DH, Double Ratchet, AES-256-GCM och ML-KEM-768 på iOS 26. Koden som implementerar dem är öppen för alla tre klienterna, så vem som helst kan läsa exakt vad den gör i stället för att lita på en beskrivning.
Ett fel som hittas i den är värt upp till 500 US$ via bug bounty.
Rapportera en sårbarhet
Mejla privamesh@proton.me med security i ämnesraden.
- Ange appversion, enhetsmodell och iOS-version.
- Ange tillräckligt med detaljer för att problemet ska kunna återskapas.
- Skicka aldrig med din återställningsfras. Vi kommer aldrig att be om den, av något skäl, i något sammanhang.
Vad vi förbinder oss till
- Bekräftelse inom 2 arbetsdagar. Hör du inget, anta att mejlet försvann och skicka det igen.
- En åtgärd eller en plan inom 30 dagar för allt som låter någon läsa meddelanden, utge sig för ett konto eller koppla en användare till dess aktivitet.
- Erkännande om du vill, tystnad om du inte vill. Vi nämner dig inte utan att fråga.
- Inga juridiska hot mot forskning i god tro som inte riktar sig mot andras konton eller data.
Belöningar
Bekräftade fynd betalas via bug bounty-programmet - upp till 500 US$ för en kritisk sårbarhet, och betalningen sker vid bekräftelse, inte vid åtgärd. Nivåerna, omfattningen och de kända problem som inte räknas finns publicerade där, eftersom ett program som i tysthet betalar för sina egna dokumenterade luckor inte är något program.
Versioner som stöds
Säkerhetsåtgärder kommer i nästa App Store-version. PrivaMesh körs på iOS 18 eller senare och har släppt en huvudversion, så det finns ingen äldre gren att bakåtportera till. När det ändras anges supportperioden här i stället för att antydas.
Vad som har åtgärdats
Sedan augusti 2026 har det kommit tolv externa rapporter och gjorts två interna granskningar. Åtgärderna är klara, men ingen av dem finns ännu på din telefon: 1.1, versionen i App Store, byggdes den 13 augusti, innan de skrevs, och de når användarna med nästa version. Till dess bör du utgå från att den släppta appen har de problem som de åtgärdar. Det som dokumenterades i stället för att åtgärdas finns under kända begränsningar. Vem som rapporterade vad publiceras inte.
Omfattning
iOS-klienten, protokollet på kedjan och avgiftstjänsten som beskrivs på arkitektursidan ingår alla. Tredjepartsinfrastruktur - Solana själv, RPC-leverantörer, Apple - är inte vår att åtgärda, men vi vill gärna höra om den. För gränserna för vad designen skyddar, se hotmodellen och kända begränsningar.
Vanliga frågor
Hur rapporterar jag en sårbarhet?
Mejla privamesh@proton.me med ”security” i ämnesraden. Ange appversion, enhet och iOS-version samt tillräckligt med detaljer för att återskapa felet. Vi strävar efter att bekräfta inom 2 arbetsdagar.
Finns det en bug bounty?
Ja. Upp till 500 US$ för ett kritiskt fynd, 200 US$ för högt, 75 US$ för medel och 25 US$ för lågt, där allvarlighetsgraden avgörs av vad fyndet bryter i vår hotmodell. Alla nivåer, omfattning och undantag finns på bug bounty-sidan.
Vilka versioner får säkerhetsåtgärder?
Åtgärder kommer i nästa App Store-version. PrivaMesh har släppt en enda huvudversion, så det finns ännu ingen äldre gren att bakåtportera till.