TRUST CENTER

भरोसा सार्वजनिक रूप से अर्जित किया जाता है।
यह हमारा सार्वजनिक लेज़र है।

चल रही स्वतंत्र ऑडिट। एक असली vulnerability-disclosure नीति। Bug bounties जो कुछ मायने रखती हैं। हर एडवाइज़री जो हम प्रकाशित करते हैं, एक ही स्थान पर।

हम शोधकर्ताओं पर मुकदमा नहीं करेंगे

नेक-नीयत सुरक्षा अनुसंधान संरक्षित है। हमारी disclosure नीति एक बाध्यकारी वादा है, कोई मार्केटिंग लाइन नहीं।

हम 72 घंटों के भीतर जवाब देंगे

पहली मानवीय प्रतिक्रिया, एक tracking ID सहित। Coordinated disclosure टाइमलाइन आपके पहले संदेश से शुरू होती हैं।

हम जो पैच करते हैं उसे प्रकाशित करते हैं

हर एडवाइज़री एक CVE, एक hash-anchored पहले/बाद, और श्रेय के साथ शिप होती है, जब तक आप हमें न कहें कि न करें।

हम कभी चुपचाप शिप नहीं करते

सभी सुरक्षा फ़िक्स तीन स्वतंत्र भूमिकाओं द्वारा signed होते हैं और सार्वजनिक चेंजलॉग में दिखाई देते हैं — उसी दिन।

INDEPENDENT AUDIT PROGRAM

पाँच स्वतंत्र समीक्षक। हर एक इसलिए चुना गया क्योंकि वे नहीं कहेंगे।

हम निष्कर्षों के लिए भुगतान नहीं करते। हम समीक्षा के लिए भुगतान करते हैं। अगर इनमें से कोई भी लैब एक क्रिटिकल निष्कर्ष के साथ वापस आती है, तो हम इसे सार्वजनिक लॉन्च से पहले पैच और प्रकाशित करते हैं।

Citizen Lab (University of Toronto)Scoped

लक्षित-निगरानी स्वतंत्र समीक्षा

Amnesty Tech Security LabScoped

मानवाधिकार रक्षक workflows के लिए फोरेंसिक समीक्षा

Electronic Frontier FoundationScoped

स्वतंत्र कोड और threat मॉडल समीक्षा

Open Crypto Audit Projectनियोजित

क्रिप्टोग्राफ़िक कार्यान्वयन ऑडिट

Trail of Bitsनियोजित

स्रोत-स्तरीय सुरक्षा समीक्षा (kernel + सॉवरेन इंजन)

CERTIFICATIONS

नियामक प्रमाणन, सादगी से ट्रैक किए गए।

Common Criteria EAL5+तैयारी में

BSI / ANSSI

FIPS 140-3 Level 3तैयारी में

NIST CMVP

FCC Part 15प्रति-डिवाइस

USA रेडियो अनुपालन

CE / REDप्रति-डिवाइस

EU रेडियो + उत्पाद सुरक्षा

GDPR processing recordप्रकाशित

EU डेटा प्रोसेसिंग

ISO/IEC 27001 alignmentसक्रिय

सूचना सुरक्षा आधार

BUG BOUNTY

संख्याएँ असली हैं। पहले नियम पढ़ें।

हम coordinated disclosure के तहत रिपोर्ट किए गए एक कार्यशील, reproducible एक्सप्लॉइट के लिए सूचीबद्ध राशि का भुगतान करते हैं। आंशिक निष्कर्षों के लिए निचले tier मौजूद हैं। फ़ंड स्वतंत्र रूप से escrow किया गया है।

बूट पर persistent rootkit
US$ 1,000,000
Kernel privilege escalation
US$ 250,000
ऑन-डिवाइस key निष्कर्षण
US$ 500,000
Verified boot bypass
US$ 300,000
Side-channel key recovery
US$ 400,000
नकली आपातकालीन-अलर्ट injection
US$ 200,000
सॉवरेन tunnel break
US$ 300,000
अनधिकृत device pairing
US$ 150,000
Forged device attestation
US$ 250,000

ADVISORIES

हर एडवाइज़री जो हमने प्रकाशित की है।

हम उसी दिन प्रकाशित करते हैं जिस दिन हम पैच करते हैं — तब भी जब निष्कर्ष असुविधाजनक हो।

अभी तक कोई एडवाइज़री प्रकाशित नहीं हुई है — उत्पाद closed beta में है। जब पहली आती है, तो वह यहाँ, चेंजलॉग में, और ऑन-डिवाइस ऑडिट लेज़र में एक signed एंट्री के रूप में दिखाई देगी।

RESPONSIBLE DISCLOSURE

हमें कुछ रिपोर्ट करें।

हमारी PGP key के साथ एन्क्रिप्टेड email, या एक HackerOne-शैली पोर्टल के ज़रिए जिसे हम खोलने वाले हैं। हम 72 घंटों के भीतर स्वीकार करते हैं, आपके साथ समय का समन्वय करते हैं, आपको श्रेय देते हैं, और अगर यह योग्य है तो भुगतान करते हैं।

security.txt

LEGAL SAFE HARBOR

हम आपके पीछे नहीं पड़ेंगे।

नेक-नीयत अनुसंधान — reverse engineering, side-channel विश्लेषण, और emulator-based परीक्षण सहित — स्पष्ट रूप से अनुमत है। हम इस नीति के तहत कार्य करने वाले शोधकर्ताओं के विरुद्ध anti-abuse कानूनों या contract law का सहारा नहीं लेंगे।