Безпека
Безпека та розкриття вразливостей
Як повідомити про вразливість, скільки платимо за знахідку і що зобов'язуємося зробити після.
Відкритий код, і знайдена вразливість оплачується
PrivaMesh побудований на добре вивчених примітивах - X3DH, Double Ratchet, AES-256-GCM і ML-KEM-768 на iOS 26. Код, що їх реалізує, відкритий для всіх трьох клієнтів, тож будь-хто може прочитати, що саме він робить, а не вірити опису на слово.
Знайдена в ньому вразливість коштує до 500 USD за програмою bug bounty.
Як повідомити про вразливість
Напишіть на privamesh@proton.me зі словом security у темі листа.
- Вкажіть версію застосунку, модель пристрою та версію iOS.
- Опишіть проблему достатньо докладно, щоб її можна було відтворити.
- Ніколи не надсилайте фразу відновлення. Ми ніколи не попросимо її - з жодної причини й у жодному контексті.
Що ми зобов'язуємося зробити
- Підтвердження протягом 2 робочих днів. Якщо відповіді немає, вважайте, що лист загубився, і надішліть його ще раз.
- Виправлення або план протягом 30 днів для всього, що дозволяє читати повідомлення, видавати себе за чужий акаунт або пов'язати користувача з його активністю.
- Згадка, якщо хочете, і мовчання, якщо ні. Ми не назвемо вас, не запитавши.
- Жодних юридичних погроз за сумлінне дослідження, яке не зачіпає чужі акаунти й дані.
Винагороди
Підтверджені знахідки оплачуються за програмою bug bounty - до 500 USD за критичну вразливість, причому виплата відбувається після підтвердження, а не після виправлення. Рівні, межі програми та відомі проблеми, які не зараховуються, опубліковані там само: програма, яка нишком платить за власні задокументовані прогалини, - не програма.
Підтримувані версії
Виправлення безпеки виходять у наступному релізі в App Store. PrivaMesh працює на iOS 18 і новіших і випустив одну мажорну версію, тож старої гілки для бекпортів немає. Коли це зміниться, строк підтримки буде прямо вказано тут, а не матиметься на увазі.
Що вже виправлено
З серпня 2026 року надійшло дванадцять зовнішніх звітів і пройшло два внутрішні аудити. Виправлення готові, але жодне з них ще не потрапило на ваш телефон: 1.1, версію в App Store, зібрано 13 серпня, до того як їх було написано, і до користувачів вони дійдуть із наступним релізом. Доти вважайте, що у випущеному застосунку є проблеми, які вони виправляють. Те, що задокументовано замість виправлення, - на сторінці відомих обмежень. Хто про що повідомив, не публікується.
Межі програми
iOS-клієнт, ончейн-протокол і сервіс комісій, описаний на сторінці архітектури, - усе це входить до програми. Стороння інфраструктура - сама Solana, RPC-провайдери, Apple - не нам виправляти, але ми хочемо про неї знати. Де проходять межі того, що захищає дизайн, - у моделі загроз і відомих обмеженнях.
Поширені запитання
Як повідомити про вразливість?
Напишіть на privamesh@proton.me зі словом «security» у темі. Вкажіть версію застосунку, пристрій і версію iOS та достатньо деталей для відтворення. Ми намагаємося підтвердити отримання протягом 2 робочих днів.
Чи є bug bounty?
Так. До 500 USD за критичну знахідку, 200 USD - за високу, 75 USD - за середню, 25 USD - за низьку; серйозність визначається тим, що знахідка ламає в нашій моделі загроз. Усі рівні, межі та винятки - на сторінці bug bounty.
Які версії отримують виправлення безпеки?
Виправлення виходять у наступному релізі в App Store. У PrivaMesh поки одна мажорна версія, тож старої гілки для бекпортів ще немає.