Xavfsizlik
Xavfsizlik va zaifliklarni oshkor qilish
Zaiflik haqida qanday xabar berish, topilma uchun qancha to'lanishi va keyin nimaga majburiyat olishimiz.
Ochiq kod va topilgan nuqson uchun to'lanadi
PrivaMesh yaxshi o'rganilgan primitivlarga asoslangan - X3DH, Double Ratchet, AES-256-GCM va iOS 26'da ML-KEM-768. Ularni amalga oshiruvchi kod uchala mijoz uchun ham ochiq, shuning uchun har kim tavsifga ishonish o'rniga uning aynan nima qilishini o'qiy oladi.
Unda topilgan nuqson bug bounty orqali 500 US$ gacha baholanadi.
Zaiflik haqida xabar berish
Mavzu qatoriga security yozib, privamesh@proton.me manziliga xat yuboring.
- Ilova versiyasi, qurilma modeli va iOS versiyasini ko'rsating.
- Muammoni takrorlash uchun yetarli tafsilot bering.
- Tiklash iborangizni hech qachon yubormang. Biz uni hech qachon, hech qanday sabab bilan, hech qanday holatda so'ramaymiz.
Nimaga majburiyat olamiz
- 2 ish kuni ichida tasdiqlash. Javob bo'lmasa, xat yo'qolgan deb hisoblang va qayta yuboring.
- 30 kun ichida tuzatish yoki reja - xabarlarni o'qish, boshqa hisob nomidan chiqish yoki foydalanuvchini uning faoliyati bilan bog'lashga imkon beradigan har qanday narsa uchun.
- Xohlasangiz, ismingiz tilga olinadi, xohlamasangiz, sukut saqlaymiz. So'ramasdan ismingizni aytmaymiz.
- Hech qanday huquqiy tahdid yo'q - boshqa odamlarning hisoblari yoki ma'lumotlarini nishonga olmaydigan vijdonan tadqiqot uchun.
Mukofotlar
Tasdiqlangan topilmalar bug bounty dasturi orqali to'lanadi - jiddiy zaiflik uchun 500 US$ gacha, to'lov tuzatilganda emas, tasdiqlanganda amalga oshiriladi. Darajalar, qamrov va hisobga olinmaydigan ma'lum muammolar o'sha yerda e'lon qilingan, chunki o'zining hujjatlashtirilgan kamchiliklari uchun jimgina to'laydigan dastur - dastur emas.
Qo'llab-quvvatlanadigan versiyalar
Xavfsizlik tuzatishlari App Store'dagi keyingi relizda chiqadi. PrivaMesh iOS 18 yoki yangiroq versiyada ishlaydi va bitta asosiy versiya chiqargan, shuning uchun backport qilinadigan eski tarmoq yo'q. Bu o'zgarganda, qo'llab-quvvatlash muddati shama qilinmasdan, shu yerda aniq ko'rsatiladi.
Nimalar tuzatildi
2026-yil avgustidan beri o'n ikkita tashqi xabar kelib tushdi va ikkita ichki audit o'tkazildi. Tuzatishlar tayyor, lekin ularning hech biri hali telefoningizda emas: App Store'dagi 1.1 versiyasi ular yozilishidan oldin, 13-avgustda yig'ilgan va ular foydalanuvchilarga keyingi reliz bilan yetib boradi. Ungacha chiqarilgan ilovada ular tuzatadigan muammolar bor deb hisoblang. Tuzatish o'rniga hujjatlashtirilganlar ma'lum cheklovlar sahifasida. Kim nima haqida xabar bergani e'lon qilinmaydi.
Qamrov
iOS mijozi, zanjirdagi protokol va arxitektura sahifasida tasvirlangan to'lov xizmati - barchasi qamrovga kiradi. Uchinchi tomon infratuzilmasini - Solana'ning o'zi, RPC provayderlari, Apple'ni - biz tuzata olmaymiz, ammo bu haqda bilishni istaymiz. Dizayn nimani himoya qilishi chegaralari uchun tahdid modeli va ma'lum cheklovlarga qarang.
Ko'p beriladigan savollar
Zaiflik haqida qanday xabar beraman?
Mavzu qatoriga "security" yozib, privamesh@proton.me manziliga xat yuboring. Ilova versiyasi, qurilmangiz va iOS versiyasini hamda takrorlash uchun yetarli tafsilotni kiriting. Biz 2 ish kuni ichida qabul qilinganini tasdiqlashga harakat qilamiz.
Bug bounty bormi?
Ha. Jiddiy topilma uchun 500 US$ gacha, yuqori uchun 200 US$, o'rta uchun 75 US$, past uchun 25 US$; jiddiylik topilma tahdid modelimizda nimani buzishiga qarab belgilanadi. Barcha darajalar, qamrov va istisnolar bug bounty sahifasida.
Qaysi versiyalar xavfsizlik tuzatishlarini oladi?
Tuzatishlar App Store'dagi keyingi relizda chiqadi. PrivaMesh hozircha bitta asosiy versiya chiqargan, shuning uchun backport qilinadigan eski tarmoq hali yo'q.