Ασφάλεια

Μία βάση δεδομένων ανά πελάτη

Η μνήμη σας δεν είναι μια γραμμή σε έναν κοινό πίνακα με στήλη πελάτη. Κάθε πελάτης έχει τη δική του δική μου βάση δεδομένων. Δεν υπάρχουν κοινόχρηστοι πίνακες ούτε ερωτήματα μεταξύ πελατών που μπορεί να βγουν λάθος, επειδή το όριο είναι η ίδια η βάση δεδομένων και όχι ένα φίλτρο που κάποιος πρέπει να θυμάται να γράψει.

Αυτό το όριο ελέγχεται από έξω σε κάθε έκδοση: δύο πραγματικοί λογαριασμοί, και κάθε πόρτα που επιστρέφει δεδομένα ελέγχεται για να επιβεβαιωθεί ότι κανένας δεν μπορεί να δει τον άλλο. Μια έκδοση δεν κυκλοφορεί εκτός αν αυτό περάσει.

Κλειδιά, και ποιοι μπορούν να τα χρησιμοποιήσουν

Δεν μπορούμε να σας δείξουμε το δικό σας κλειδί.

Τα κλειδιά API εμφανίζονται σε εσάς μόνο μία φορά, κατά τη δημιουργία. Αυτό που αποθηκεύουμε είναι ένα SHA-256 hash – οπότε ένα αντίγραφο της βάσης δεδομένων μας δεν δίνει σε κανέναν ένα λειτουργικό κλειδί, και ούτε εμείς ούτε ένας εισβολέας μπορούμε να διαβάσουμε το δικό σας. Η ανάκληση ενός κλειδιού ισχύει στην υπηρεσία μέσα σε περίπου ένα λεπτό, και αμέσως στον υπολογιστή που εξυπηρετεί τη μνήμη σας.

Τα κλειδιά μπορούν να περιοριστούν.

Ένα κλειδί δεν χρειάζεται να είναι παντοδύναμο. Τα κλειδιά μπορούν να είναι scoped ανά — ανάγνωση και εγγραφή, μόνο ανάγνωση, ή εντελώς αόρατο

Έλεγχος ταυτότητας δύο παραγόντων

Ο λογαριασμός σας μπορεί να απαιτεί δεύτερο παράγοντα κατά τη σύνδεση, και όταν τον ενεργοποιήσετε, εφαρμόζεται κατά την είσοδο, όχι απλώς εμφανίζεται ως ρύθμιση. Το συνιστούμε και δεν το επιβάλλουμε: η μνήμη σας είναι τόσο προστατευμένη όσο ο λογαριασμός που την κρατά, αλλά το να εξαρτάται η διαγραφή των δικών σας δεδομένων από την εγγραφή τηλεφώνου θα ήταν χειρότερο.

Προστασία από τους δικούς σας πράκτορες

Αυτό είναι το μέρος που οι περισσότερες υπηρεσίες δεν λαμβάνουν υπόψη. Η μνήμη σας λειτουργεί συνεχώς από πράκτορες τεχνητής νοημοσύνης — και ένας πράκτορας μπορεί να κάνει λάθος, να λάβει κακόβουλη οδηγία κρυμμένη σε περιεχόμενο που του ζητήθηκε να διαβάσει, ή να διαγράψει το λάθος πράγμα ώρες πριν το παρατηρήσει ένας άνθρωπος.

Έτσι, το αρχείο με τις ακριβείς συνομιλίες είναι σκόπιμα εκτός πρόσβασής τους. Κανένας πράκτορας δεν μπορεί να διαγράψει ένα μόνο μήνυμα. Κανένας πράκτορας δεν μπορεί να αφηθεί καμία αλλαγή στα τελευταία τρία μήνες. Η παλαιότερη ιστορία μπορεί να αφαιρεθεί μόνο σε μεγάλες ποσότητες, για κάθε έργο. Η διαγραφή ενός ολόκληρου έργου – η μόνη δραστηριότητα που επηρεάζει το αρχείο ολόκληρο – δεν είναι διαθέσιμη στους πράκτορες σε κανένα επίπεδο· γίνεται στο πάνελ του λογαριασμού, όπου ένας άνθρωπος πληκτρολογεί το όνομα του έργου.

Ο λόγος που αυτό έχει σημασία είναι απλός: η επιλεγμένη μνήμη είναι παράγωγη, και το αρχείο είναι το πρωτότυπο. Οτιδήποτε χάνει μια κακή επεξεργασία μπορεί να ανοικοδομηθεί από την ιστορία. Τίποτα δεν μπορεί να ανοικοδομήσει την ιστορία.

Κρυπτογράφηση, αντίγραφα ασφαλείας και πού βρίσκονται τα δεδομένα σας

Η κίνηση κρυπτογραφείται κατά τη μεταφορά με TLS. Όταν βρίσκεται σε κατάσταση ηρεμίας, η μνήμη σας κρυπτογραφείται. δύο φορές: Κρυπτογράφηση πλήρους όγκου από κάτω, και πάνω από αυτήν η βάση δεδομένων σας — κάθε συνομιλία, κάθε εγγραφή, και το αρχείο καταγραφής εγγραφών — είναι κρυπτογραφημένη. το δικό σας κλειδί ανά πελάτη, Ξεχωριστό από αυτό του κάθε άλλου πελάτη. Το κλειδί που ξεκλειδώνει τον χώρο αποθήκευσης δεν αποθηκεύεται καθόλου στον διακομιστή βάσης δεδομένων: ένας κλεμμένος δίσκος, μια διαρροή εικόνας ή ένας απενεργοποιημένος δίσκος είναι απλώς θόρυβος.

Η διαγραφή είναι κρυπτογραφική

Επειδή κάθε πελάτης έχει το δικό του κλειδί, η διαγραφή σας δεν είναι μια ελπιδοφόρα σάρωση του χώρου αποθήκευσης. Το κλειδί σας έχει καταστραφεί και η βάση δεδομένων σας έχει διαγραφεί., Και αυτό που απομένει είναι μη διαβάσιμο για οποιονδήποτε, συμπεριλαμβανομένων μας. Οι κρυπτογραφημένες αντιγραφές διαγράφονται άμεσα, αντί να αφηθούν να λήξουν, και οι υπόλοιπες αντιγραφές διαγράφονται κατά τη διάρκεια της ανανέωσης των συστημάτων αντιγραφής μας, μέσα σε 30 ημέρες το πολύ. Δεν υπάρχει καμία αντίγραφο που να μπορέσουμε να πάρουμε πίσω.

Τι δεν καλύπτει η κρυπτογράφηση ανά πελάτη

Δύο ειλικρινείς όρια. Ο μηχανισμός βάσης δεδομένων διατηρεί εσωτερικές στατιστικές για τον σχεδιασμό ερωτημάτων, οι οποίες δειγματοληπτούν τις τιμές των στηλών· αυτά τα δείγματα βρίσκονται υπό την κρυπτογράφηση του όγκου, όχι υπό το προσωπικό σας κλειδί. Και η κρυπτογράφηση σε κατάσταση ηρεμίας είναι ακριβώς αυτό — σε κατάσταση ηρεμίας: η υπηρεσία αναγκαστικά αποκρυπτογραφεί τα δεδομένα σας για να εξυπηρετήσει τις αναζητήσεις σας και να εκτελέσει την επιμέλεια, οπότε "δεν κοιτάμε ποτέ τα δεδομένα σας" είναι η πολιτική μας και οι έλεγχοι πρόσβασής μας, όχι μαθηματική αδυναμία. Προτιμούμε να σας πούμε πού είναι η γραμμή παρά να σας αφήσουμε να υποθέσετε ότι δεν υπάρχει.

Τα αντίγραφα ασφαλείας εκτελούνται κάθε νύχτα, είναι κρυπτογραφημένα πριν φύγουν από τις μηχανές μας, Και αποθηκεύονται εκτός του συστήματος στην ΕΕ, σύμφωνα με έναν περιοδικό πρόγραμμα, για περίοδο έως τρεις μήνες. Όταν διαγράφεται ένα λογαριασμός, τα αντίγραφα αποθήκευσης του διαγράφονται μαζί του, και όλα τα υπόλοιπα αντίγραφα εξαλείφονται μέσα σε 30 ημέρες.

Η μνήμη σας αποθηκεύεται, ευρετηριάζεται και αναζητείται εξ ολοκλήρου εντός της ΕΕ

Η μόνη εξαίρεση είναι η επιμέλεια από AI. Το κείμενο που επιμελείται στέλνεται Ollama, στις Ηνωμένες Πολιτείες, Επεξεργάστηκαν και επιστράφαν. Οι δημοσιευμένες πολιτικές του Ollama αναφέρουν ότι οι εισόδοι και οι έξοδοι επεξεργάζονται προσωρινά και δεν χρησιμοποιούνται ποτέ για την εκπαίδευση μοντέλων – αυτή είναι η δεσμεύσή τους, με τις δικές τους λέξεις, και το αναφέρουμε ως τη δική τους δεσμεύση και όχι ως υπόσχεσή μας. Τίποτα άλλο δεν φεύγει από την ΕΕ. Αν χρειάζεστε διαχείριση ώστε να μην φύγει ποτέ καν το δεδομένο από την ΕΕ, αυτό είναι διαθέσιμο σε μία ειδική διαδικασία ανάπτυξης – ρωτήστε. Κάθε υποεπεξεργαστής, με σκοπό και τοποθεσία, παρατίθεται στην Πολιτική Απορρήτου.

Πώς λειτουργούμε

Ελάχιστα δικαιώματα, από προεπιλογή

Η υπηρεσία λειτουργεί ως χρήστης χωρίς προνόμια μέσα στο δοχείο της, ποτέ ως root. Ο ρόλος της στη βάση δεδομένων δεν είναι υπερχρήστης και δεν μπορεί να διαβάσει αρχεία από τον κεντρικό υπολογιστή. Αυτά επαληθεύονται αυτόματα πριν από κάθε έκδοση, αντί να θεωρούνται δεδομένα.

Τα εσωτερικά τελικά σημεία είναι κλειδωμένα στην άκρη.

Τα τελικά σημεία που δημιουργούν λογαριασμούς και επαληθεύουν κλειδιά είναι προσβάσιμα μόνο από το δικό μας επίπεδο ελέγχου, πιστοποιημένα στο δίκτυο πριν φτάσει το αίτημα, και ξανά με ένα κοινό μυστικό πίσω από αυτό. Δύο κλειδιά, όχι ένα.

Αποτυχία με κλειστή λειτουργία

Όταν κάτι λείπει ή είναι μη αναγνώσιμο, η υπηρεσία αρνείται αντί να μαντεύει. Ένα μη επαληθεύσιμο κλειδί απορρίπτεται. Τα κατεστραμμένα δικαιώματα δεν χορηγούν τίποτα. Ένα μυστικό υπογραφής webhook που λείπει απορρίπτει κάθε συμβάν αντί να εμπιστεύεται ό,τι φτάνει. Αυτή είναι μια σκόπιμη στάση: ο τρόπος αποτυχίας μιας υπηρεσίας μνήμης θα πρέπει να είναι «καμία απάντηση», ποτέ «απάντηση του λάθος πελάτη».

Κάθε κυκλοφορία επαληθεύεται εξωτερικά

Πριν από κάθε κυκλοφορία, ένα αυτοματοποιημένο σύστημα ελέγχει ολόκληρο το προϊόν από έναν εντελώς νέο λογαριασμό μέσω πραγματικής σύνδεσης δικτύου: εγγραφή, έκδοση και ανάκληση κλειδιών, αποθήκευση και ανάκτηση μνήμης, απομόνωση μεταξύ δύο ενεργών λογαριασμών, εξαγωγή δεδομένων και πλήρης διαγραφή. Είτε περνάει πλήρως είτε η κυκλοφορία δεν γίνεται.

Αναφορά προβλήματος ασφάλειας

Αν πιστεύετε ότι έχετε εντοπίσει μια ευπάθεια, παρακαλούμε ενημερώστε μας πριν το πείτε σε άλλους, και θα συνεργαστούμε μαζί σας. Τα στοιχεία επικοινωνίας δημοσιεύονται στο /.well-known/security.txt ή γράψτε στο [email protected]. Δεν απειλούμε ερευνητές που αναφέρουν με καλή πίστη.

Πιο σύνθετες απαιτήσεις – μια συμφωνία επεξεργασίας δεδομένων, μια ειδική ανάπτυξη σε μια περιοχή που επιλέγετε, ή η διατήρηση της επιμέλειας εντός της ΕΕ – είναι πράγματα που χειριζόμαστε άμεσα. Ρωτήστε.