Bezpečnost

Jedna databáze na zákazníka

Vaše paměť není řádek ve sdílené tabulce se sloupcem zákazníka. Každý zákazník má svou vlastní. vlastní databáze. Neexistují žádné sdílené tabulky ani dotazy mezi zákazníky, které by mohly selhat, protože hranicí je samotná databáze, a ne filtr, který si někdo musí pamatovat napsat.

Tato hranice je při každém vydání testována zvenku: dvě skutečné účty a každé rozhraní, které vrací data, je kontrolováno, aby se potvrdilo, že ani jedno nemůže vidět to druhé. Vydání není odesláno, pokud toto testování neprojde.

Klíče a kdo je může použít

Nemůžeme vám ukázat váš vlastní klíč.

Klíče API se vám zobrazí přesně jednou, při vytvoření. Ukládáme pouze hash SHA-256 – takže kopie naší databáze nikomu neposkytne funkční klíč a ani my, ani útočník nedokážeme váš klíč přečíst zpět. Zrušení klíče se na službě projeví přibližně do minuty a okamžitě na stroji, který obsluhuje vaši paměť.

Klíče lze zúžit

Klíč nemusí být všemocný. Klíče mohou být vymezeno podle projektu — čtení a zápis, pouze čtení, nebo úplně neviditelné – což je správná podoba pro dodavatele, úlohu CI nebo jednoúčelového agenta, který nemá důvod číst zbytek vaší práce. Klíč s poškozenými nebo nečitelnými rozsahy oprávnění je odmítnut ve všem, místo aby mu bylo vše povoleno.

Dvoufaktorová autentizace

Váš účet může vyžadovat druhý faktor při přihlášení, a když ho zapnete, je vynucován při přihlášení, nejen zobrazen jako nastavení. Doporučujeme ho a nenutíme ho: vaše pamě je chráněna jen tak dobře jako účet, který ji drží, ale podmínit vymazání vlastních dat registrací telefonu by bylo horší.

Ochrana před vlastními agenty

To je ta část, na kterou většina služeb nemyslí. Vaše paměť je neustále ovládána agenty umělé inteligence – a agent může udělat chybu, dostat škodlivou instrukci skrytou v obsahu, který měl přečíst, nebo smazat špatnou věc hodiny předtím, než si toho člověk všimne.

Soubor surových konverzací je tedy záměrně mimo jejich dosah. Žádný agent nemůže smazat jedinou zprávu. Žádný agent vůbec nemůže nijak upravit údaje za poslední tři měsíce. Starší záznamy lze odstranit pouze hromadně, podle projektu. Smazání celého projektu – jediná akce, která ovlivňuje archiv celkově – není pro agenty žádné úrovně dostupné; probíhá v panelu účtu, kde člověk zadá název projektu.

Důvod, proč je to důležité, je jednoduchý: vybraná paměť je odvozená a archiv je původní. Cokoli ztratí špatná úprava, lze obnovit z historie. Nic však nemůže obnovit samotnou historii.

Šifrování, zálohy a kde vaše data žijí

Síťový provoz je během přenosu šifrován pomocí TLS. V klidovém stavu je vaše paměť také šifrována. dvakrát: Vespod je šifrování celého úložiště a na něm je vaše databáze – každý rozhovor, každý záznam a protokol zápisů – šifrována pod vlastní klíč na zákazníka, oddělené od všech ostatních zákazníků.

Vymazání je kryptografické

Jelikož každý zákazník má svůj vlastní klíč, vymazání vás není možné prostým prohledáním úložiště: Váš klíč je zničen a vaše databáze je smazána., A to, co zbyde, je pro kohokoli nečitelné, včetně nás. Šifrované zálohy jsou okamžitě smazány, místo aby vypršely, a jakékoli zbývající kopie jsou vymazány během cyklu našich zálohovacích systémů, maximálně do 30 dnů. Neexistuje žádná kopie, kterou bychom mohli obnovit.

Co šifrování na úrovni jednotlivého zákazníka nezahrnuje

Dva jasné limity. Motor databáze udržuje vnitřní statistiky pro plánování dotazů, které odebírají vzorky hodnot sloupců; tyto vzorky jsou zašifrovány pomocí šifry určené k ochraně dat, nikoli vašeho osobního klíče. A šifrování v klidovém stavu znamená právě to – v klidovém stavu: služba nutně dešifruje vaše data, aby mohla vyhovět vašim dotazům a provádět úpravy, takže „nikdy se nedíváme na vaše data“ je naší politikou a našimi kontrolami přístupu, nikoli matematickou nemožností. Raději vám řekneme, kde je hranice, než abychom vás nechali předpokládat, že žádná neexistuje.

Zálohy se provádějí každou noc, jsou šifrované, než opustí naše stroje, A jsou uložovány mimo sídlo v EU podle průběžného harmonogramu, a to po dobu až tří měsíců. Po smazání účtu jsou spolu s ním smazány i jeho zálohy a veškeré zbývající kopie jsou odstraněny během 30 dnů.

Vaše paměť je uložena, indexována a vyhledávána výhradně v rámci EU – naše servery jsou ve Frankfurtu a naše zálohy ve Falkensteinu, obě v Německu. Vyhledávací embeddingy se počítají na našich vlastních strojích a nikdy je neopustí.

Jedinou výjimkou je kurátorství pomocí umělé inteligence. Kurátorovaný text je odeslán Ollama ve Spojených státech, Zpracovány a vráceny. Zásady ochrany osobních údajů.

Jak fungujeme

Co nejmenší oprávnění, ve výchozím nastavení

Služba běží jako uživatel bez zvláštních práv uvnitř svého kontejneru, nikdy jako root. Její role v databázi není superuživatel a nemůže číst soubory z hostitele. To se před každým vydáním automaticky ověřuje, nikoli předpokládá.

Vnitřní koncové body jsou uzamčeny na okraji

Konečné body, které zřizují účty a ověřují klíče, jsou přístupné pouze prostřednictvím našeho vlastního řídicího plánu – nejprve je ověřováno na hranici sítě ještě předtím, než dorazí požadavek, a poté opět pomocí sdíleného tajemství. Dva zámky, ne jeden.

Selhání uzavřeno

Když něco chybí nebo je nečitelné, služba odmítne spíše než hádá. Neověřitelný klíč je odmítnut. Poškozená oprávnění neudělují nic. Chybějící tajný klíč pro podpis webhooků odmítne každou událost, místo aby důvěřovala tomu, co přichází. To je záměrný postoj: režim selhání paměťové služby by měl být „žádná odpověď“, nikdy „odpověď špatného zákazníka“.

Každé vydání je ověřeno zvenčí

Před vydáním jakékoli verze projde automatizovaná brána celý produkt od zcela nového účtu přes skutečné síťové připojení: registraci, vydávání a rušení klíčů, ukládání a vyvolávání paměti, izolaci mezi dvěma živými účty, export dat a úplné vymazání. Buď projde úplně, nebo se verze nevydá.

Nahlášení bezpečnostního problému

Pokud si myslíte, že jste našli zranitelnost, prosím, řekněte nám to dříve, než to řeknete komukoli jinému, a my s vámi budeme spolupracovat. Kontaktní údaje jsou uvedeny na /.well-known/security.txt nebo napište [email protected]. Nevyhrožujeme výzkumníkům, kteří hlásí v dobré víře.

Podrobnější požadavky – dohoda o zpracování údajů, vyhrazené nasazení ve vámi zvolené oblasti nebo udržení správy v rámci EU – řešíme přímo. Zeptejte se.