CENTRAL DE CONFIANÇA

Confiança se conquista em público.
Este é o nosso ledger público.

Auditorias independentes em curso. Uma política real de divulgação de vulnerabilidades. Bug bounties que significam algo. Cada advisory que publicamos, em um só lugar.

Não vamos processar pesquisadores

A pesquisa de segurança de boa-fé é protegida. Nossa política de divulgação é uma promessa vinculante, não uma linha de marketing.

Vamos responder em até 72 horas

Primeira resposta humana, incluindo um ID de rastreamento. Os prazos de divulgação coordenada começam a partir da sua primeira mensagem.

Publicamos o que corrigimos

Cada advisory vem com um CVE, um antes/depois ancorado por hash e crédito, a menos que você nos peça para não dar.

Nunca enviamos em silêncio

Todas as correções de segurança são assinadas por três papéis independentes e aparecem no changelog público — no mesmo dia.

PROGRAMA DE AUDITORIA INDEPENDENTE

Cinco revisores independentes. Cada um escolhido porque dirá não.

Não pagamos por descobertas. Pagamos pela revisão. Se qualquer um destes labs voltar com uma descoberta crítica, nós a corrigimos e a publicamos antes do lançamento público.

Citizen Lab (University of Toronto)Com escopo

Revisão independente de vigilância direcionada

Amnesty Tech Security LabCom escopo

Revisão forense para fluxos de defensores de direitos humanos

Electronic Frontier FoundationCom escopo

Revisão independente de código e de modelo de ameaças

Open Crypto Audit ProjectPlanejado

Auditoria de implementação criptográfica

Trail of BitsPlanejado

Revisão de segurança em nível de código (kernel + motores soberanos)

CERTIFICAÇÕES

Certificações regulatórias, rastreadas com clareza.

Common Criteria EAL5+Em preparação

BSI / ANSSI

FIPS 140-3 Level 3Em preparação

NIST CMVP

FCC Part 15Por dispositivo

Conformidade de rádio dos EUA

CE / REDPor dispositivo

Rádio + segurança de produto da UE

GDPR processing recordPublicado

Processamento de dados da UE

ISO/IEC 27001 alignmentAtivo

Linha de base de segurança da informação

BUG BOUNTY

Os valores são reais. Leia as regras primeiro.

Pagamos o valor listado por um exploit funcional e reproduzível reportado sob divulgação coordenada. Existem níveis menores para descobertas parciais. O fundo está em escrow independente.

Rootkit persistente no boot
US$ 1,000,000
Escalada de privilégios no kernel
US$ 250,000
Extração de chave no dispositivo
US$ 500,000
Bypass do boot verificado
US$ 300,000
Recuperação de chave por canal lateral
US$ 400,000
Injeção de alerta de emergência falso
US$ 200,000
Quebra do túnel soberano
US$ 300,000
Pareamento de dispositivo não autorizado
US$ 150,000
Atestação de dispositivo forjada
US$ 250,000

ADVISORIES

Cada advisory que publicamos.

Publicamos no mesmo dia em que corrigimos — mesmo quando a descoberta é desconfortável.

Nenhum advisory foi publicado ainda — o produto está em beta fechada. Quando o primeiro chegar, ele aparecerá aqui, no changelog e como uma entrada assinada no ledger de auditoria do dispositivo.

DIVULGAÇÃO RESPONSÁVEL

Reporte algo a nós.

E-mail criptografado com nossa chave PGP, ou via um portal no estilo HackerOne que estamos prestes a abrir. Confirmamos em até 72 horas, coordenamos o cronograma com você, damos crédito e pagamos se qualificar.

security.txt

SAFE HARBOR JURÍDICO

Não vamos persegui-lo.

A pesquisa de boa-fé — incluindo engenharia reversa, análise de canal lateral e testes baseados em emulador — é explicitamente permitida. Não invocaremos estatutos antiabuso nem direito contratual contra pesquisadores que ajam sob esta política.