Güvenlik
Güvenlik ve bildirim
Bir güvenlik açığını nasıl bildireceğiniz, bulmanın ne kazandırdığı ve sonrasında neyi taahhüt ettiğimiz.
Açık kaynak, ve bulunan bir açık ödüllendirilir
PrivaMesh iyi incelenmiş temel yapı taşları üzerine kuruludur - X3DH, Double Ratchet, AES-256-GCM ve iOS 26'da ML-KEM-768. Bunları uygulayan kod üç istemcinin tamamı için açıktır; böylece herkes bir açıklamaya güvenmek yerine kodun tam olarak ne yaptığını okuyabilir.
İçinde bulunan bir açık, bug bounty aracılığıyla $500 değerine kadar ödüllendirilir.
Güvenlik açığı bildirmek
Konu satırına security yazarak privamesh@proton.me adresine e-posta gönderin.
- Uygulama sürümünü, cihaz modelinizi ve iOS sürümünüzü belirtin.
- Sorunu yeniden üretmeye yetecek ayrıntıyı ekleyin.
- Kurtarma ifadenizi asla eklemeyin. Hiçbir nedenle, hiçbir bağlamda onu asla istemeyeceğiz.
Neyi taahhüt ediyoruz
- 2 iş günü içinde alındı bildirimi. Yanıt alamazsanız e-postanın kaybolduğunu varsayın ve tekrar gönderin.
- 30 gün içinde bir düzeltme veya plan - mesajları okumaya, bir hesabı taklit etmeye ya da bir kullanıcıyı etkinliğiyle ilişkilendirmeye izin veren her şey için.
- İsterseniz adınız anılır, istemezseniz sessiz kalırız. Sormadan adınızı vermeyiz.
- Hukuki tehdit yok - başkalarının hesaplarını veya verilerini hedef almayan iyi niyetli araştırmalar için.
Ödüller
Onaylanan bulgular bug bounty programı üzerinden ödenir - kritik bir açık için $500 değerine kadar; ödeme düzeltmede değil, onayda yapılır. Seviyeler, kapsam ve ödüle hak kazandırmayan bilinen sorunların tümü orada yayımlanmıştır, çünkü kendi belgelenmiş açıkları için sessizce ödeme yapan bir program, program değildir.
Desteklenen sürümler
Güvenlik düzeltmeleri bir sonraki App Store sürümüyle gelir. PrivaMesh iOS 18 veya üzeri sürümlerde çalışır ve tek bir ana sürüm yayımlamıştır; bu nedenle geriye dönük düzeltme yapılacak eski bir dal yoktur. Bu değiştiğinde destek süresi ima edilmek yerine burada açıkça belirtilecektir.
Neler düzeltildi
Ağustos 2026'dan bu yana on iki dış bildirim ve iki iç denetim yapıldı. Düzeltmeler hazır, ancak hiçbiri henüz telefonunuzda değil: App Store'daki sürüm olan 1.1, onlar yazılmadan önce, 13 Ağustos'ta derlendi ve kullanıcılara bir sonraki sürümle ulaşacaklar. O zamana kadar yayımlanmış uygulamada düzelttikleri sorunların bulunduğunu varsayın. Düzeltmek yerine belgelenenler bilinen sınırlamalar sayfasındadır. Kimin neyi bildirdiği yayımlanmaz.
Kapsam
iOS istemcisi, zincir üstü protokol ve mimari sayfasında anlatılan ücret hizmeti kapsamdadır. Üçüncü taraf altyapı - Solana'nın kendisi, RPC sağlayıcıları, Apple - bizim düzeltebileceğimiz şeyler değil, ama haberdar olmak isteriz. Tasarımın neyi koruduğunun sınırları için tehdit modeline ve bilinen sınırlamalara bakın.
Sık sorulan sorular
Bir güvenlik açığını nasıl bildiririm?
Konu satırına "security" yazarak privamesh@proton.me adresine e-posta gönderin. Uygulama sürümünü, cihazınızı ve iOS sürümünüzü, ayrıca yeniden üretmeye yetecek ayrıntıyı ekleyin. 2 iş günü içinde alındı bildirimi göndermeyi hedefliyoruz.
Bug bounty var mı?
Evet. Kritik bir bulgu için $500, yüksek için $200, orta için $75, düşük için $25 değerine kadar; önem derecesi, bulgunun tehdit modelimizde neyi bozduğuna göre belirlenir. Tüm seviyeler, kapsam ve istisnalar bug bounty sayfasındadır.
Hangi sürümler güvenlik düzeltmesi alır?
Düzeltmeler bir sonraki App Store sürümüyle gelir. PrivaMesh tek bir ana sürüm yayımladı; bu nedenle henüz geriye dönük düzeltme yapılacak eski bir dal yok.