Hata Ödülü
Bir açığın zor yoldan keşfedilmesindense, bir araştırmacıya bunu bize bildirmesi için ödeme yapmayı tercih ederiz. Ödüller, zincir üzerinde doğrulayabileceğiniz şeffaf bir havuzdan ZEC olarak ödenir ve kâğıt üzerindeki etkisine göre değil, gerçek dünyadaki etkisine göre ölçeklenir.
Halka açık lansmana kadar geçerlidir.
7 ZEC
Fonlanmış ve zincir üzerinde doğrulanabilir.
t1bV6TkNwWBGBPtGhJCNEQZChpGVivHhHGEÖdül kademeleri
3 ZEC
Uzaktan mesaj şifre çözme, anahtar kurtarma veya fon hırsızlığı.
1.5 ZEC
Belirtilen bir gizlilik özelliğini kırma — örneğin bir gönderenin veya alıcının kimliğini açığa çıkarma.
0.5 ZEC
Kimlik doğrulama atlatma veya etki alanı sınırlı bir sunucu tarafı açığı.
0.1 ZEC
Çalışan bir kavram kanıtıyla küçük bir bilgi sızıntısı veya sıkılaştırma eksiği.
Ödüller, sağladığınız bir korumalı ZEC adresine ödenir. Nihai önem derecesi ve ödeme tutarı, gerçek dünyadaki etkiye göre ekip tarafından belirlenir.
Şimdiye kadarki ödemeler
Ödediğimiz her ödül, işlemine bağlı olarak gösterilir. Herhangi birini zincir üzerinde kontrol edebilirsiniz.
Kapsam içinde
- Z-Text uygulaması — cüzdan, mesajlaşma, PIN/biyometrik ve panik PIN
- Z-Text kablo protokolü ve zincir üzerindeki mesaj kodlaması
- Ed25519 makbuz imzalama ve doğrulama
- Premium sunucu arka ucu ve HTTP API'si, z-text.com web ön yüzü dahil
Kapsam dışında
Şu başlık altında listelenen her şey: Z-Text'in neye karşı koruma sağlamadığı, bilinen ve belgelenmiş bir sınırlamadır — ödüle uygun bir hata değildir. Buna ISP düzeyinde görünürlük, cihaz veya tohum ifadesinin ele geçirilmesi, temel kriptografinin kırılması, küresel pasif düşmanlar ve sosyal mühendislik dahildir. Ayrıca kapsam dışında olanlar:
- Hizmet engelleme ve hacimsel saldırılar
- Çalışan bir istismar olmadan eksik güvenlik başlıkları veya en iyi uygulama boşlukları
- Yeniden üretilebilir bir kavram kanıtı olmadan otomatik tarayıcı çıktısı
- Yalnızca güncel olmayan uygulama sürümlerinde yeniden üretilebilen sorunlar
- Ekibimize, test kullanıcılarımıza veya altyapı sağlayıcılarımıza yönelik sosyal mühendislik
- light.z-text.com standart bir lightwalletd çalıştırır. Tasarım gereği herkese açıktır; erişilebilir olması bir bulgu değildir.
- Geliştirmediğimiz hizmetler — ödeme sağlayıcıları, Cloudflare ve BitcoinZ ile Zcash ağlarının kendisi.
Nasıl bildirilir
Raporunuzu e-posta ile şu adrese gönderin: [email protected]. Düz bir e-posta yeterlidir; PGP şifrelemesi isteğe bağlıdır ve tamamen size kalmıştır — bunu asla zorunlu kılmayız. 72 saat içinde alındısını teyit etmeyi ve oradan itibaren açıklamayı koordine etmeyi hedefliyoruz.
Kurallar
- Önce gizli olarak bildirin ve kamuya açıklamadan önce bize koordineli açıklama süresi tanıyın.
- Size ait olmayan verilere erişmeyin, bunları değiştirmeyin veya yok etmeyin; hizmet engelleme testleri yapmayın veya kimseye sosyal mühendislik uygulamayın.
- Her benzersiz kök neden için tek bir ödül. Bir sorunu ilk bildiren kişi ödülü alır.
- Nihai önem derecesi ve ödeme tutarı, gerçek dünyadaki etkiye göre ekip tarafından belirlenir.
- Bu kurallara uyan iyi niyetli araştırmaya karşı yasal işlem başlatmayacağız.
Tüm resmi mi istiyorsunuz — tehdit modeli, şifreleme tasarımı ve neye karşı açıkça koruma sağlamadığımız?
Güvenlik ve Şeffaflık sayfasını oku