Bezpieczeństwo Plazera: co chroni Cię dziś i jak zgłosić podatność

Plazer działa produkcyjnie od 22 października 2026. Opisujemy tu bez upiększeń, co już chroni konta i rozmowy, czego jeszcze nikt z zewnątrz nie sprawdził, co obejmie audyt przed wersją 1.0 i jak zgłosić podatność, żeby trafiła prosto do osób, które piszą kod.

Zgłoś podatność Co działa już dziś

.well-known/security.txt

1Contact: mailto:kontakt@plazer.org
2Expires: 2027-10-24T00:00:00.000Z
3Preferred-Languages: pl, en
4Canonical: https://plazer.org/.well-known/security.txt
5Policy: https://plazer.org/pl/bezpieczenstwo/#zglaszanie
6Policy: https://plazer.org/en/security/#reporting

Stan na dziś, powiedziany wprost

Bezpieczeństwo komunikatora to nie tylko szyfrowanie, ale też to, kto i jak dokładnie je sprawdził. Oto, gdzie dziś jesteśmy.

Plazer: Działa produkcyjnie od 22 października 2026: aplikacja pod app.plazer.org, centralka pod api.plazer.org i serwer społeczności pod srv.plazer.org.
Szyfrowanie: Standard MLS (RFC 9420) na bibliotece mls-rs. Jej autorzy potwierdzili zgodność ze standardem, ale piszą wprost, że biblioteka nie przeszła jeszcze pełnego audytu bezpieczeństwa przez firmę zewnętrzną.
Kod Plazera: Rdzeń szyfrujący, centralka, serwer społeczności i aplikacja nie przeszły jeszcze zewnętrznego audytu. Audyt kryptografii planujemy przed wersją 1.0.
Zgłoszenia: Podatności przyjmujemy już dziś na kontakt@plazer.org i odpowiadamy w ciągu 72 godzin.

Audyt kryptografii przed wersją 1.0

Audyt obejmie cztery części Plazera, czyli wszystko, przez co przechodzą Twoje klucze i wiadomości. Jego wynik i listę poprawek opiszemy na tej stronie.

01
Rdzeń szyfrujący plazer-core
- Użycie MLS i biblioteki mls-rs
- Klucze konta i urządzeń, lista urządzeń i ich unieważnianie
- Szyfrowanie plików i wiadomości głosowych
- Parowanie nowego urządzenia i odzyskiwanie konta
02
Centralka api.plazer.org
- Rejestracja, logowanie, sesje i drugi składnik
- Poświadczenia, klucze wydające i lista unieważnień
- Doręczanie wiadomości szyfrowanych i załączników
- Powiadomienia i przekaźnik dla serwerów społeczności
03
Serwer społeczności
- Logowanie poświadczeniem z centralki
- Uprawnienia kanałów, ról i administratorów
- Przejęcie serwera i łańcuch własności
- Kanały prywatne i rozmowy głosowe
04
Aplikacja z app.plazer.org
- Przechowywanie kluczy w przeglądarce
- Dostarczanie kodu i przypięty klucz centralki
- Bezpieczne wyświetlanie treści od innych
- Eksport danych i usuwanie konta

Co chroni konta i rozmowy już dziś

Każdy punkt poniżej opisuje mechanizm, który działa w obecnej wersji Plazera, a nie plan.

MLS w każdej rozmowie prywatnej

Wiadomości prywatne, grupy i kanały prywatne szyfruje rdzeń plazer-core w Ruście, na bibliotece mls-rs, zestawem MLS_128_DHKEMX25519_AES128GCM_SHA256_Ed25519.

Przypięty klucz centralki

Wydanie aplikacji ma wbudowany klucz publiczny centralki i bez niego nie otworzy żadnej rozmowy szyfrowanej. Pasujący do niego klucz prywatny nigdy nie leży na serwerach.

Powtarzalny build rdzenia

Rdzeń budujemy z przypiętej wersji kodu, w świeżej kopii repozytorium. Każde wydanie zapisuje wersję kodu, narzędzia, sumę SHA-256 modułu i przypięty klucz.

Klucze zostają na urządzeniu

Klucze prywatne powstają w przeglądarce i nie opuszczają urządzenia, a tam, gdzie przeglądarka to umożliwia, nie da się ich wyeksportować. Klucz odzyskiwania nigdy nie trafia na serwer.

Hasła i drugi składnik

Hasła trzymamy jako skróty bcrypt, a sekrety aplikacji uwierzytelniającej i kody zapasowe szyfrujemy AES-256-GCM. Pięć błędnych kodów kończy próbę, a dziesięć w 15 minut blokuje konto na chwilę.

Sesje i nowe logowania

Serwer przechowuje tylko skrót tokenu sesji. Logowanie z nowej przeglądarki trafia do dziennika bezpieczeństwa i od razu widzą je pozostałe sesje konta.

Pliki w piaskownicy

Załączniki są serwowane z nagłówkami, które blokują wykonanie kodu, a pliki inne niż obrazy, dźwięk i wideo zawsze tylko do pobrania. Podglądy i obrazki serwer pobiera wyłącznie z adresów publicznych.

Blokada działa wszędzie

Zablokowane albo usunięte konto trafia na listę unieważnień, którą czytają serwery społeczności, także postawione przez innych. Takie konto nie zaloguje się na żaden z nich.

Jak zgłosić podatność

Znalazłeś błąd, który może zagrozić kontom albo rozmowom? Napisz do nas, zanim opowiesz o nim publicznie. Odpowiadają osoby, które piszą Plazera.

1Napisz na kontakt@plazer.orgW temacie wpisz "Podatność". Opisz problem, kroki do jego odtworzenia, możliwy wpływ i część Plazera, której dotyczy. Nie publikuj szczegółów na kanałach ani na serwerze społeczności.
2Odpowiemy w ciągu 72 godzinPotwierdzimy, że zgłoszenie dotarło, powiemy, czy udało nam się odtworzyć problem, i będziemy informować o postępie prac nad poprawką.
3Uzgodnimy ujawnieniePoprawka trafia na app.plazer.org i nasze serwery, a termin publikacji szczegółów ustalamy razem z Tobą. Jeśli chcesz, podziękujemy Ci publicznie z imienia albo pseudonimu.

Napisz na kontakt@plazer.org

72 hna pierwszą odpowiedź

Zasady testów

Testuj tylko na własnych kontach i serwerach. Najlepszym miejscem jest własny serwer społeczności postawiony z obrazu Dockera.
Bez ataków przeciążeniowych, spamu, socjotechniki i prób fizycznego dostępu.
Nie czytaj, nie zmieniaj i nie usuwaj cudzych danych. Jeśli na nie trafisz, przerwij i opisz to w zgłoszeniu.
Nie utrzymuj dostępu dłużej, niż potrzeba, żeby pokazać problem.

Poza zakresem

Serwery społeczności postawione przez innych. Zgłoś problem ich operatorowi, a jeśli dotyczy samego kodu serwera, także nam.
Wyniki automatycznych skanerów bez pokazania realnego wpływu.
Podatności przeglądarek i systemów operacyjnych. Zgłoś je ich producentom.

Nie podejmiemy kroków prawnych wobec osób, które w dobrej wierze działają według tych zasad. Nie prowadzimy dziś płatnego programu nagród.

Te same dane są w pliku security.txt pod adresem plazer.org/.well-known/security.txt, w formacie RFC 9116.

Pytania o bezpieczeństwo

Krótkie odpowiedzi na to, o co pytają osoby, które sprawdzają Plazera, zanim mu zaufają.

Jeszcze nie. Biblioteka mls-rs, na której stoi szyfrowanie, ma potwierdzoną zgodność ze standardem MLS, ale nie przeszła jeszcze pełnego audytu firmy zewnętrznej. Audyt kryptografii Plazera planujemy przed wersją 1.0, a jego wynik opiszemy na tej stronie.

Bo kod aplikacji przychodzi z app.plazer.org przy każdym uruchomieniu, także w wersji zainstalowanej. Ryzyko ograniczają przypięty klucz centralki i powtarzalny build rdzenia z zapisaną sumą kontrolną, a sposób dostarczania kodu jest częścią planowanego audytu.

Tylko na własnych kontach i bez obciążania serwera. Do głębszych testów postaw własny serwer społeczności z publicznego obrazu Dockera: działa tak samo, a nie dotykasz cudzych danych.

Na naszym serwerze społeczności, na kanale z błędami. Podatności zgłaszaj wyłącznie na kontakt@plazer.org, żeby szczegóły nie trafiły do wszystkich, zanim pojawi się poprawka.

Czytaj dalej

Co jest szyfrowane, co widzi każdy serwer i jak przetwarzamy dane, opisujemy na osobnych stronach.

Pobierz Plazera

Zainstaluj go z app.plazer.org na telefonie, tablecie i komputerze albo otwórz w karcie przeglądarki.