امنیت

یک پایگاه داده برای هر مشتری

حافظه شما ردیفی در یک جدول مشترک با ستون مشتری نیست. هر مشتری حافظه خود را دریافت می‌کند. پایگاه داده اختصاصی خودمان. هیچ جدول مشترکی وجود ندارد و هیچ پرس‌وجوی بین مشتریانی که بتواند اشتباه باشد، وجود ندارد؛ زیرا مرز، خود پایگاه داده است و نه فیلتری که کسی باید به یاد داشته باشد تا آن را بنویسد.

آن مرز در هر انتشار از بیرون آزمایش میشود: دو حساب واقعی، و هر دری که داده برمیگرداند بررسی میشود تا تأیید شود هیچکدام نمیتواند دیگری را ببیند. یک انتشار ارسال نمیشود مگر اینکه آن آزمایش موفق شود.

کلیدها و اینکه چه کسانی میتوانند از آنها استفاده کنند

نمی‌توانیم کلید خودتان را به شما نشان دهیم.

کلیدهای API دقیقاً یک بار، هنگام ایجاد، به شما نشان داده میشوند. آنچه ذخیره میکنیم یک هش SHA-256 است — بنابراین کپی از پایگاه داده ما کلید کارآمدی در اختیار کسی نمیگذارد و نه ما و نه مهاجم نمیتوانیم کلید شما را بازخوانی کنیم. لغو یک کلید در حدود یک دقیقه روی سرویس اثر میگذارد و بلافاصله روی دستگاهی که حافظه شما را سرو میکند.

کلیدها را میتوان محدود کرد.

یک کلید لزوماً نباید قدرتمند باشد. کلیدها میتوانند… محدود به هر پروژه — خواندن و نوشتن، فقط خواندن، یا کاملاً نامرئی بودن — که شکل مناسبی برای یک پیمانکار، یک کار CI، یا یک عامل تکمنظوره است که نباید بقیه کارهای شما را بخواند. کلیدی با دامنههای خراب یا غیرقابل خواندن، همه چیز را رد میکند، نه اینکه همه چیز را اعطا کند.

تأیید هویت دو عاملی

حساب شما ممکن است در ورود به عامل دوم نیاز داشته باشد، و وقتی آن را فعال کنید، در ورود اعمال می‌شود، نه فقط به‌عنوان یک تنظیمات نمایش داده می‌شود. ما آن را توصیه می‌کنیم و تحمیل نمی‌کنیم: حافظه شما فقط به همان اندازه محافظت می‌شود که حسابی که آن را نگه می‌دارد، اما مشروط کردن پاک‌سازی داده‌های خودتان به ثبت‌نام تلفن بدتر خواهد بود.

محافظت در برابر عوامل خودتان

این بخشی است که اکثر سرویس‌ها به آن فکر نمی‌کنند. حافظه شما به‌طور مداوم توسط ایجنت‌های هوش مصنوعی مدیریت می‌شود — و یک ایجنت ممکن است اشتباه کند، دستور مخربی را که درون محتوایی که از آن خواسته شده بخواند پنهان شده دریافت کند، یا چیز اشتباهی را ساعت‌ها قبل از اینکه انسانی متوجه شود حذف کند.

بنابراین، آرشیو مکالمات خام عمداً در دسترس آن‌ها نیست. هیچ نماینده‌ای نمی‌تواند یک پیام را حذف کند؛ هیچ نماینده‌ای اصلاً نمی‌تواند به سه ماه گذشته دسترسی پیدا کند. تاریخچه‌های قدیمی تنها می‌توانند به صورت گروهی و بر اساس هر پروژه حذف شوند. حذف کل یک پروژه — تنها اقدامی که می‌تواند به طور کامل آرشیو را تخلیه کند — برای نمایندگان در هیچ سطحی ممکن نیست؛ این کار در پنل حساب انجام می‌شود، جایی که یک فرد نام پروژه را وارد می‌کند.

دلیل اهمیت این موضوع ساده است: حافظه curation شده مشتق است و آرشیو اصل است. هر چیزی که یک ویرایش بد از دست بدهد میتواند از تاریخچه بازسازی شود. هیچ چیز نمیتواند تاریخچه را بازسازی کند.

رمزنگاری، پشتیبانگیری و محل نگهداری دادههای شما

داده‌ها در حین انتقال با استفاده از TLS رمزگذاری می‌شوند. در حالت استراحت، حافظه شما نیز رمزگذاری می‌شود. دو بار: رمزنگاری کامل در سطح پایه، و روی آن، پایگاه داده شما — هر گفت‌وگو، هر رکورد، و لاگ نوشتن پیشاپیش — نیز تحت رمزنگاری قرار دارد. کلید مخصوص خودتان برای هر مشتری, جدا از هر مشتری دیگر. کلیدی که حجم ذخیره‌سازی را باز می‌کند اصلاً روی سرور پایگاه داده ذخیره نشده: یک دیسک دزدیده‌شده، یک تصویر نشت‌کرده یا یک درایو از رده‌خارج، نویز است.

حذف، رمزنگاریشده است.

از آنجایی که هر مشتری کلید خود را دارد، پاک کردن شما یک جستجوی امیدوارانه در ذخیره‌سازی نیست: کلید شما از بین رفته و پایگاه داده‌تان نیز حذف شده است., و آنچه باقی می‌ماند، حتی برای ما نیز قابل خواندن نیست. نسخه‌های رمزگذاری‌شده به طور کامل حذف می‌شوند و نه اینکه اجازه داده شود تا منقضی شوند؛ همچنین هر نسخه‌ی باقی‌مانده نیز در طول ۳۰ روز، همزمان با چرخه‌ی سیستم‌های پشتیبانی ما، پاک می‌شود. هیچ نسخه‌ای برای ما وجود ندارد که بتوانیم آن را بازیابی کنیم.

آنچه رمزنگاری بر حسب مشتری پوشش نمی‌دهد

دو مرز صادقانه وجود دارد. موتور پایگاه داده، آمارهای مربوط به برنامه‌ریزی کوئری‌ها را نگهداری می‌کند؛ این نمونه‌ها تحت رمزنگاری حجمی قرار دارند، نه تحت کلید شخصی شما. رمزنگاری در حالت استراحت نیز دقیقاً همین است؛ یعنی در حالت استراحت: سرویس مجبور است داده‌های شما را رمزگشایی کند تا بتواند جستجوهای شما را پردازش کند و فرآیندهای ساماندهی را انجام دهد؛ بنابراین «ما هرگز به داده‌های شما نگاه نمی‌کنیم»، سیاست و محدودیت‌های دسترسی ماست، نه یک غیرممکنی ریاضی. ما ترجیح می‌دهیم به شما بگوییم مرز کجاست، تا اینکه اجازه دهیم فکر کنید چنین مرزی وجود ندارد.

پشتیبان‌گیری‌ها شبانه اجرا می‌شوند. قبل از خروج از دستگاه‌های ما، رمزگذاری می‌شوند., و به صورت دوره‌ای در خارج از محل، در کشورهای اتحادیه اروپا ذخیره می‌شوند و تا سه ماه نگهداری می‌گردند. هنگام حذف یک حساب، پشته‌های ذخیره‌شده آن نیز حذف می‌شوند و هر نسخه باقی‌مانده ظرف ۳۰ روز از بین می‌رود.

حافظه شما بهطور کامل در داخل اتحادیه اروپا ذخیره، فهرستبندی و جستجو میشود — سرورهای ما در فرانکفورت و پشتیبانهای ما در فالکنشتاین، هر دو در آلمان هستند. جاسازیهای جستجو بر روی ماشینهای خود ما محاسبه میشوند و هرگز از آنها خارج نمیشوند.

تنها استثنا، انتخاب هوش مصنوعی است. متن در حال انتخاب ارسال میشود به Ollama، در ایالات متحده, پردازش شده و بازگردانده میشود. شرایط منتشرشده Ollama بیان میکند که ورودیها و خروجیها بهطور موقت پردازش میشوند و هرگز برای آموزش مدلها استفاده نمیشوند — این تعهد آنهاست، به عبارت خودشان، و ما آن را به عنوان تعهد آنها بیان میکنیم، نه به عنوان وعده ما. هیچ چیز دیگری از اتحادیه اروپا خارج نمیشود. اگر نیاز به انتخاب دارید که هرگز از اتحادیه اروپا خارج نشود، آن در یک استقرار اختصاصی در دسترس است — بپرسید. هر پردازشگر فرعی، با هدف و مکان، در فهرست ذکر شده است. سیاست حریم خصوصی.

نحوه عملکرد ما

حداقل دسترسی، بهطور پیشفرض

این سرویس به‌عنوان یک کاربر بدون اختیارات ویژه درون کانتینر خود اجرا می‌شود، هرگز به‌عنوان root. نقش پایگاه داده آن نیز سوپریوزر نیست و نمی‌تواند فایل‌ها را از روی هاست بخواند. این موارد پیش از هر انتشار به‌صورت خودکار بررسی می‌شوند، نه اینکه فرض شوند.

نقاط پایانی داخلی در لبه قفل شدهاند.

نقاط پایانی که حسابها را فراهم میکنند و کلیدها را تأیید میکنند، فقط از طریق صفحه کنترل خود ما قابل دسترسی هستند، قبل از اینکه درخواستی برسد در لبه شبکه احراز هویت میشوند و دوباره با یک رمز مشترک پشت آن. دو قفل، نه یک.

شکست بسته

وقتی چیزی کم یا ناخوانا باشد، سرویس رد می‌کند نه حدس می‌زند. کلید غیرقابل تأیید رد می‌شود. مجوزهای خراب هیچ دسترسی نمی‌دهند. رمز امضای وب‌هوک که کم باشد، هر رویداد را رد می‌کند نه اینکه به آنچه می‌رسد اعتماد کند. این یک رویکرد عمدی است: حالت شکست یک سرویس حافظه باید «پاسخی وجود ندارد» باشد، نه «پاسخ مشتری اشتباه».

هر نسخه از بیرون تأیید میشود

پیش از انتشار هر نسخه، یک دروازه خودکار کل محصول را از یک حساب کاملاً جدید از طریق یک اتصال شبکه واقعی بررسی میکند: ثبتنام، صدور و لغو کلیدها، ذخیره و بازیابی حافظه، جداسازی بین دو حساب فعال، خروجی داده و پاکسازی کامل. یا کاملاً موفق میشود یا انتشار انجام نمیشود.

گزارش یک مشکل امنیتی

اگر فکر میکنید آسیبپذیری پیدا کردهاید، لطفاً قبل از اینکه به دیگران اطلاع دهید، به ما اطلاع دهید و ما با شما همکاری خواهیم کرد. اطلاعات تماس در این آدرس منتشر شده است. /.well-known/security.txt یا به این آدرس بنویسید [email protected]. ما پژوهشگرانی را که با حسن نیت گزارش می‌دهند تهدید نمی‌کنیم.

الزامات عمیقتر — قرارداد پردازش داده، استقرار اختصاصی در منطقهای که انتخاب میکنید، یا نگهداشتن ساماندهی در داخل اتحادیه اروپا — چیزهایی هستند که مستقیماً مدیریت میکنیم. بپرسید.