TRUST-CENTER

Vertrauen wird öffentlich verdient.
Dies ist unser öffentliches Ledger.

Laufende unabhängige Audits. Eine echte Schwachstellen-Offenlegungsrichtlinie. Bug-Bounties, die etwas bedeuten. Jedes Advisory, das wir veröffentlichen, an einem Ort.

Wir verklagen keine Forscher

Gutgläubige Sicherheitsforschung ist geschützt. Unsere Offenlegungsrichtlinie ist ein verbindliches Versprechen, keine Marketingzeile.

Wir antworten innerhalb von 72 Stunden

Erste menschliche Antwort, inklusive einer Tracking-ID. Koordinierte Offenlegungs-Zeitpläne starten ab deiner ersten Nachricht.

Wir veröffentlichen, was wir patchen

Jedes Advisory kommt mit einer CVE, einem hash-verankerten Vorher/Nachher und Credit, sofern du uns nicht bittest, es zu lassen.

Wir liefern nie still aus

Alle Sicherheitsfixes werden von drei unabhängigen Rollen signiert und erscheinen im öffentlichen Changelog — am selben Tag.

UNABHÄNGIGES AUDIT-PROGRAMM

Fünf unabhängige Prüfer. Jeder gewählt, weil er Nein sagen wird.

Wir zahlen nicht für Befunde. Wir zahlen für die Prüfung. Kommt eines dieser Labs mit einem kritischen Befund zurück, patchen und veröffentlichen wir ihn vor dem öffentlichen Launch.

Citizen Lab (University of Toronto)Im Scope

Unabhängige Prüfung auf gezielte Überwachung

Amnesty Tech Security LabIm Scope

Forensische Prüfung für Workflows von Menschenrechtsverteidigern

Electronic Frontier FoundationIm Scope

Unabhängige Code- und Bedrohungsmodell-Prüfung

Open Crypto Audit ProjectGeplant

Audit der kryptografischen Implementierung

Trail of BitsGeplant

Sicherheitsprüfung auf Quellcode-Ebene (Kernel + souveräne Engines)

ZERTIFIZIERUNGEN

Regulatorische Zertifizierungen, klar nachverfolgt.

Common Criteria EAL5+In Vorbereitung

BSI / ANSSI

FIPS 140-3 Level 3In Vorbereitung

NIST CMVP

FCC Part 15Pro Gerät

USA-Funkkonformität

CE / REDPro Gerät

EU-Funk + Produktsicherheit

GDPR processing recordVeröffentlicht

EU-Datenverarbeitung

ISO/IEC 27001 alignmentAktiv

Informationssicherheits-Baseline

BUG BOUNTY

Die Zahlen sind echt. Lies erst die Regeln.

Wir zahlen den gelisteten Betrag für einen funktionierenden, reproduzierbaren Exploit, gemeldet unter koordinierter Offenlegung. Für Teilbefunde existieren niedrigere Stufen. Der Fonds wird unabhängig treuhänderisch verwaltet.

Persistentes Rootkit beim Boot
US$ 1,000,000
Kernel-Privilegieneskalation
US$ 250,000
On-Device-Schlüsselextraktion
US$ 500,000
Verified-Boot-Bypass
US$ 300,000
Seitenkanal-Schlüsselrückgewinnung
US$ 400,000
Einschleusung falscher Notfallwarnung
US$ 200,000
Bruch des souveränen Tunnels
US$ 300,000
Unautorisiertes Geräte-Pairing
US$ 150,000
Gefälschte Geräte-Attestierung
US$ 250,000

ADVISORIES

Jedes Advisory, das wir veröffentlicht haben.

Wir veröffentlichen am selben Tag, an dem wir patchen — auch wenn der Befund unangenehm ist.

Es wurden noch keine Advisories veröffentlicht — das Produkt ist in der geschlossenen Beta. Wenn das erste landet, erscheint es hier, im Changelog und als signierter Eintrag im On-Device-Audit-Ledger.

VERANTWORTUNGSVOLLE OFFENLEGUNG

Melde uns etwas.

Verschlüsselte E-Mail mit unserem PGP-Schlüssel oder über ein HackerOne-ähnliches Portal, das wir gleich öffnen. Wir bestätigen innerhalb von 72 Stunden, stimmen das Timing mit dir ab, nennen dich als Credit und zahlen, falls es qualifiziert.

security.txt

RECHTLICHER SAFE HARBOR

Wir werden dich nicht verfolgen.

Gutgläubige Forschung — einschließlich Reverse Engineering, Seitenkanalanalyse und emulatorbasiertem Testen — ist ausdrücklich erlaubt. Wir berufen uns nicht auf Anti-Missbrauchs-Gesetze oder Vertragsrecht gegen Forscher, die unter dieser Richtlinie handeln.