Sécurité
Q-Audion est de la messagerie et de la voix end-to-end chiffrées post-quantique. Nous traitons les rapports de sécurité comme du travail d'ingénierie de premier ordre. Cette page est le canal canonique de signalement jusqu'au lancement du bug bounty géré.
Contact
Sera publiée ici avec le public key block avant la release 1.0 publique.
Ouvrir une draft security advisory dans l'onglet Security du repository Q-Audion concerné (GitHub private vulnerability reporting).
Nos engagements
- Accusé de réception sous 48 heures ouvrées
- Triage et classification de sévérité sous 5 jours ouvrés
- Fenêtre de divulgation coordonnée de 90 jours par défaut, étendue uniquement avec l'accord du reporter quand un correctif complexe l'exige
- Crédit public dans les release notes sauf demande d'anonymat
Bug bounty
Un programme bug bounty géré sera opérationnel avant la 1.0 publique. En attendant, nous offrons des récompenses de bonne foi au cas par cas pour les findings à fort impact.
Scope
- +Tout le code serveur Q-Audion (identité, gestion des clés, transport, groupes, prekeys, file storage)
- +Tous les clients Q-Audion publiés sur Android, iOS et Desktop (Windows / macOS / Linux quand livré)
- +Design des protocoles cryptographiques (handshake PQ, double ratchet post-quantique, Sealed Sender, Sigsum Key Transparency)
- +Drift de la wire spec causant un comportement cross-platform non sûr
- −Problèmes nécessitant un accès physique à un dispositif déverrouillé
- −XSS auto-infligé sans franchir une frontière de confiance
- −Versions navigateur/OS obsolètes hors fenêtres de support fournisseur
- −DDoS volumétrique sans logic flaw
- −Ingénierie sociale du personnel Q-Audion
- −Rapports basés sur sortie de scanner automatisé sans proof-of-concept fonctionnel
Wire specification ouverte
Le contrat cross-platform du protocole est octet-identique entre tous les clients Q-Audion. La spec est mirrorée dans les repositories clients et le repository serveur comme commit gating pour tout changement wire. Les reviewers indépendants peuvent la lire avant d'ouvrir une session — et les implémentations de bibliothèque (liboqs, BouncyCastle, @noble/post-quantum) sont cross-validées contre des vecteurs KAT partagés.
Builds reproductibles (cible 1.0)
Tous les artifacts de release 1.0 (APK, IPA via TestFlight, installeurs Desktop) seront signés Sigstore. La reproductibilité indépendante depuis les sources est un critère go-release: quiconque peut vérifier que le binaire livré correspond aux sources publiques.