信任中心
信任是在公开中赢得的。
这是我们的公开账本。
独立审计正在进行。一份真实的漏洞披露政策。有真正分量的漏洞赏金。我们发布的每一份公告，都汇聚于一处。
我们不会起诉研究人员
善意的安全研究受到保护。我们的披露政策是一项有约束力的承诺，而非一句营销话术。
我们将在 72 小时内回应
首次人工回复，含一个追踪 ID。协调披露时间表从你的首条消息算起。
我们公布我们所修补的
每一份公告都随附一个 CVE、一份哈希锚定的前后对比，以及署名 — 除非你要求我们不要署名。
我们绝不静默交付
所有安全修复都由三个独立角色签名，并出现在公共更新日志中 — 当天即出现。
独立审计计划
五位独立评审者。每一位都因其会说不而被选中。
我们不为发现付费。我们为评审付费。若这些实验室中的任何一家带回一项关键发现，我们会在公开发布之前修补并发布它。
Citizen Lab (University of Toronto)已确定范围
针对性监控的独立评审
Amnesty Tech Security Lab已确定范围
面向人权捍卫者工作流的取证评审
Electronic Frontier Foundation已确定范围
独立的代码与威胁模型评审
Open Crypto Audit Project已规划
密码学实现审计
Trail of Bits已规划
源代码级安全评审（内核 + 主权引擎）
认证
监管认证，清晰追踪。
Common Criteria EAL5+筹备中
BSI / ANSSI
FIPS 140-3 Level 3筹备中
NIST CMVP
FCC Part 15按设备
美国无线电合规
CE / RED按设备
欧盟无线电 + 产品安全
GDPR processing record已发布
欧盟数据处理
ISO/IEC 27001 alignment活跃
信息安全基线
漏洞赏金
数字是真实的。请先读规则。
对于在协调披露下报告的一个可用、可复现的漏洞利用，我们支付所列金额。对于部分发现存在较低层级。该基金由独立第三方托管。
启动时持久化的 rootkit
US$ 1,000,000
内核权限提升
US$ 250,000
设备端密钥提取
US$ 500,000
已验证启动绕过
US$ 300,000
侧信道密钥恢复
US$ 400,000
伪造应急警报注入
US$ 200,000
主权隧道攻破
US$ 300,000
未授权设备配对
US$ 150,000
伪造设备证明
US$ 250,000
公告
我们发布过的每一份公告。
我们在修补的同一天发布 — 哪怕该发现令人不适。
尚未发布任何公告 — 产品处于封闭 Beta。当第一份落地时，它会出现在此处、出现在更新日志中，并作为一条签名条目出现在设备端审计账本中。
负责任披露
向我们报告些什么。
用我们的 PGP 密钥发送加密邮件，或经由一个我们即将开放的 HackerOne 式门户。我们在 72 小时内确认、与你协调时间、为你署名，并在符合条件时支付报酬。
security.txt法律安全港
我们不会追究你。
善意的研究 — 包括逆向工程、侧信道分析和基于模拟器的测试 — 是明确允许的。对于在本政策下行事的研究人员，我们不会援引反滥用法规或合同法。