Zama: Bug Bounty & Safe Harbor FHE

Zama buka program bug bounty resmi buat protokol kriptografi dan Key Management System (KMS) mereka. Peneliti keamanan bisa lapor celah lewat GitHub Security Advisories atau email langsung. Ada perlindungan hukum (safe harbor) selama riset patuh aturan tanpa eksploitasi merusak.

Mengenal Layanan & Gambaran Teknis

Program sayembara penemu bug (bug bounty) dan kebijakan pengungkapan bertanggung jawab milik Zama—proyek teknologi Fully Homomorphic Encryption (FHE) buat privasi komputasi data. Kamu cari celah keamanan di sistem/repositori kode Zama, lapor secara privat, lalu dapat apresiasi tanpa takut dituntut hukum.

Panduan Langkah Demi Langkah

1. Langkah 1 — Buka dokumentasi kebijakan keamanan di zama.org/security dan pelajari batasan ruang lingkup riset.
2. Langkah 2 — Audit repositori target di GitHub, misalnya repositori manajemen kunci zama-ai/kms (Key Management System).
3. Langkah 3 — Siapkan laporan bukti kerentanan: deskripsi dampak, langkah reproduksi sistematis, dan kode pembuktian (Proof of Concept / PoC).
4. Langkah 4 — Kirim temuan secara privat lewat tab 'Security Advisories' di repositori GitHub terkait, atau kirim email langsung ke [email protected].
5. Langkah 5 — Tunggu respons verifikasi dari tim pengembang Zama dan jaga kerahasiaan celah sampai perbaikan selesai dirilis.

Persyaratan & Kesiapan

• Riset wajib beritikad baik (good faith) tanpa merusak integritas sistem atau data pengguna.
• Wajib lapor privat, dilarang publikasi sepihak sebelum tim Zama memberi izin rilis perbaikan.
• Tidak menjalankan serangan rekayasa sosial (phishing), serangan fisik, atau eksploitasi jaringan utama (mainnet).

Tips Optimalisasi

• Pakai GitHub Security Advisories supaya tim maintainer bisa langsung pantau commit perbaikan secara privat.
• Lampirkan skrip PoC minimalis dan jelas agar proses triage reward berjalan lebih cepat.

Mitigasi Risiko & Keamanan

• Pelanggaran aturan (seperti eksploitasi mainnet atau pembocoran publik sebelum patch) membatalkan status safe harbor dan memicu sanksi hukum.
• Temuan duplikat atau celah di luar cakupan (out-of-scope) tidak diproses untuk pemberian reward.

Kesimpulan & Catatan Penting

Kebijakan keamanan Zama kasih panduan jelas buat peneliti white-hat yang mau audit sistem enkripsi FHE dan KMS. Ikuti jalur pelaporan privat resmi untuk klaim bug secara aman.