TRUST CENTER

Vertrouwen verdien je in het openbaar.
Dit is ons publieke grootboek.

Onafhankelijke audits die lopen. Een echt vulnerability-disclosurebeleid. Bug bounties die iets betekenen. Elk advisory dat we publiceren, op één plek.

We klagen onderzoekers niet aan

Beveiligingsonderzoek te goeder trouw is beschermd. Ons disclosurebeleid is een bindende belofte, geen marketingzin.

We reageren binnen 72 uur

Eerste menselijke reactie, inclusief een tracking-ID. Gecoördineerde-disclosure-tijdlijnen starten vanaf je eerste bericht.

We publiceren wat we patchen

Elk advisory wordt geleverd met een CVE, een hash-verankerde voor/na, en vermelding tenzij je ons vraagt dat niet te doen.

We leveren nooit stil uit

Alle beveiligingsfixes worden door drie onafhankelijke rollen getekend en verschijnen in de publieke changelog — dezelfde dag.

ONAFHANKELIJK AUDITPROGRAMMA

Vijf onafhankelijke reviewers. Elk gekozen omdat ze nee zullen zeggen.

We betalen niet voor bevindingen. We betalen voor review. Komt een van deze labs terug met een kritieke bevinding, dan patchen en publiceren we die vóór de publieke launch.

Citizen Lab (University of Toronto)Afgebakend

Onafhankelijke review gerichte surveillance

Amnesty Tech Security LabAfgebakend

Forensische review voor workflows van mensenrechtenverdedigers

Electronic Frontier FoundationAfgebakend

Onafhankelijke code- en dreigingsmodel-review

Open Crypto Audit ProjectGepland

Audit van cryptografische implementatie

Trail of BitsGepland

Beveiligingsreview op bronniveau (kernel + soevereine engines)

CERTIFICERINGEN

Regelgevende certificeringen, eerlijk bijgehouden.

Common Criteria EAL5+In voorbereiding

BSI / ANSSI

FIPS 140-3 Level 3In voorbereiding

NIST CMVP

FCC Part 15Per toestel

VS radioconformiteit

CE / REDPer toestel

EU radio + productveiligheid

GDPR processing recordGepubliceerd

EU gegevensverwerking

ISO/IEC 27001 alignmentActief

Basislijn informatiebeveiliging

BUG BOUNTY

De bedragen zijn echt. Lees eerst de regels.

We betalen het vermelde bedrag voor een werkende, reproduceerbare exploit die onder gecoördineerde disclosure wordt gemeld. Voor gedeeltelijke bevindingen bestaan lagere tiers. Het fonds wordt onafhankelijk in escrow gehouden.

Persistente rootkit bij boot
US$ 1,000,000
Privilege-escalatie in de kernel
US$ 250,000
On-device sleutelextractie
US$ 500,000
Geverifieerde-boot-bypass
US$ 300,000
Side-channel sleutelherstel
US$ 400,000
Injectie van valse noodwaarschuwing
US$ 200,000
Doorbreking soevereine tunnel
US$ 300,000
Ongeautoriseerde toestelkoppeling
US$ 150,000
Vervalste toestelattestatie
US$ 250,000

ADVISORIES

Elk advisory dat we hebben gepubliceerd.

We publiceren op de dag dat we patchen — ook als de bevinding ongemakkelijk is.

Er zijn nog geen advisories gepubliceerd — het product is in closed bèta. Wanneer de eerste landt, verschijnt hij hier, in de changelog, en als getekende entry in het on-device audit-grootboek.

RESPONSIBLE DISCLOSURE

Meld iets aan ons.

Versleutelde e-mail met onze PGP-sleutel, of via een HackerOne-achtig portaal dat we binnenkort openen. We bevestigen binnen 72 uur, coördineren de timing met je, vermelden je en betalen als het in aanmerking komt.

security.txt

JURIDISCHE SAFE HARBOR

We zullen je niet vervolgen.

Onderzoek te goeder trouw — inclusief reverse engineering, side-channelanalyse en op emulators gebaseerd testen — is uitdrukkelijk toegestaan. We roepen geen anti-misbruikwetten of contractenrecht in tegen onderzoekers die onder dit beleid handelen.