Signaler une vulnérabilité
Vous avez trouvé une faille dans Wesh ? Écrivez-nous en privé avant toute publication. Wesh sert quand les réseaux sont coupés : une faille peut alors nuire aux personnes qui en dépendent.
Contact
- Adresse
- security@samourai.coop
Le fichier security.txt reprend ces informations.
Que nous envoyer
- La plateforme et les versions : application, système, modèle de téléphone.
- Les étapes pour reproduire le problème et son impact.
- Une preuve de concept, si vous en avez une.
- Aucune donnée appartenant à d'autres personnes.
Ce à quoi vous engager
- Testez sur vos propres appareils, ou avec l'accord explicite des personnes concernées.
- Ne perturbez pas un usage réel de Wesh et ne lisez pas les messages d'autrui.
- Laissez-nous le temps de corriger avant de publier.
Ce à quoi nous nous engageons
- Accuser réception de votre signalement et vous tenir informé de sa correction.
- Convenir avec vous de la date de publication.
- Vous remercier publiquement, si vous le souhaitez.
Périmètre
Inclus
- L'application Wesh pour iOS (wesh-bitchat-ios) et pour Android (wesh-bitchat-android), versions publiées et branche principale.
- Le protocole tel qu'implémenté par Wesh : maillage Bluetooth, chiffrement des messages privés, vérification par QR code, mode Internet via Tor.
- Le stockage chiffré sur le téléphone et l'effacement d'urgence.
- Les fichiers APK distribués sur ce site.
- Ce site web.
Hors périmètre
- L'application BitChat et ses dépôts : signalez-les au projet BitChat, et prévenez-nous si Wesh est aussi touché.
- Les relais Nostr tiers et le réseau Tor : signalez-les à leurs exploitants ou au Tor Project.
- Les failles des systèmes iOS et Android ou de leurs piles Bluetooth.
- Le brouillage radio et le déni de service par saturation du Bluetooth.
- Les limites documentées : le salon local est public, le téléphone est détectable en Bluetooth, les clés publiques restent stables jusqu'à réinitialisation, les relais voient des métadonnées. Vos idées pour les réduire restent bienvenues.