トラストセンター
信頼は公開の場で得るもの。
これが私たちの公開台帳です。
進行中の独立監査。本物の脆弱性開示ポリシー。意味のあるバグバウンティ。公開したすべての勧告を、ひとつの場所に。
研究者を訴えません
誠実なセキュリティ研究は保護されます。私たちの開示ポリシーは、マーケティングの一文ではなく拘束力のある約束です。
72時間以内に応答します
追跡 ID を含む最初の人間の返信。協調開示のタイムラインは、あなたの最初のメッセージから始まります。
パッチ当てしたものを公開します
すべての勧告は、CVE、ハッシュアンカーされた前後比較、そして希望がない限りクレジットを伴って出荷されます。
決して静かに出荷しません
すべてのセキュリティ修正は3つの独立したロールが署名し、公開の変更履歴に現れます — 同日に。
独立監査プログラム
5つの独立したレビュアー。いずれも「いいえ」と言うから選ばれた。
発見に対価を払うのではありません。レビューに対価を払います。これらのラボのいずれかが重大な発見を持ち帰れば、私たちは公開ローンチ前にパッチを当てて公開します。
標的型監視に関する独立レビュー
人権擁護者ワークフローのフォレンジックレビュー
独立したコードと脅威モデルのレビュー
暗号実装の監査
ソースレベルのセキュリティレビュー（カーネル + ソブリンエンジン）
認証
規制認証を、率直に追跡。
BSI / ANSSI
NIST CMVP
米国無線適合性
EU 無線 + 製品安全
EU データ処理
情報セキュリティのベースライン
バグバウンティ
数字は本物。まずルールを読んでください。
協調開示のもとで報告された、動作する再現可能なエクスプロイトに対して、掲載額を支払います。部分的な発見には下位ティアがあります。基金は独立してエスクローされています。
勧告
公開したすべての勧告。
パッチ当てと同日に公開します — 発見が居心地の悪いものであっても。
まだ勧告は公開されていません — 製品はクローズドベータ中です。最初のものが着地したとき、ここに、変更履歴に、そしてオンデバイスの監査台帳の署名済みエントリとして現れます。
責任ある開示
何かを私たちに報告する。
私たちの PGP 鍵を使った暗号化メール、あるいは間もなく開設する HackerOne 風のポータル経由で。72時間以内に受領を確認し、タイミングをあなたと調整し、クレジットし、条件を満たせば支払います。
security.txt法的セーフハーバー
あなたを追及しません。
誠実な研究 — リバースエンジニアリング、サイドチャネル解析、エミュレーターベースのテストを含む — は明示的に許可されます。このポリシーのもとで行動する研究者に対して、不正利用関連の法令や契約法を行使することはありません。