Turvallisuus

Yksi tietokanta asiakasta kohti

Muistisi ei ole rivi jaetussa taulussa, jossa on asiakassarake. Jokainen asiakas saa oman. oma tietokanta. Ei ole jaettuja tauluja eikä ristiinasiakaskyselyitä, jotka voisivat mennä pieleen, koska raja on itse tietokanta, ei suodatin, joka täytyy muistaa kirjoittaa.

Tätä rajaa testataan ulkopuolelta jokaisessa julkaisussa: kaksi todellista tiliä, ja jokainen ovi, joka palauttaa tietoja, tarkistetaan vahvistamaan, ettei kumpikaan voi nähdä toista. Julkaisu ei etene, ellei se läpäise testiä.

Avaimet ja niiden käyttäjät

Emme voi näyttää sinulle omaa avaintasi.

API-avaimet näytetään sinulle vain kerran, luomisen yhteydessä. Me säilytämme SHA-256-hashin – joten kopio tietokannastamme ei anna kenellekään toimivaa avainta, eikä me emmekä hyökkääjä voi lukea sinun avaintasi takaisin. Avaimen peruuttaminen vaikuttaa palveluun noin minuutin kuluessa ja välittömästi koneella, joka palvelee muistiasi.

Avaimia voidaan rajoittaa

Avaimen ei tarvitse olla kaikkivoipa. Avaimet voivat olla projektikohtaisesti — luku- ja kirjoitusoikeus, vain luku tai täysin näkymätön – mikä sopii urakoitsijalle, CI-tehtävälle tai yhden tarkoituksen agentille, jolla ei ole asiaa lukea muuta työtäsi. Avain, jonka käyttöalueet ovat vioittuneet tai lukukelvottomat, evätään kaikki eikä myönnetä kaikkea.

Kaksivaiheinen tunnistautuminen

Tilisi voi vaatia toista tekijää kirjautumisessa, ja kun otat sen käyttöön, se pakotetaan jokaisessa kirjautumisessa — salasanan jälkeen sekä GitHub:n että Googlen kohdalla — eikä sitä vain näytetä asetuksena.

API-avaimen luominen edellyttää suojattua kirjautumista: kaksivaiheista todennusta tililläsi tai kirjautumista GitHub:n tai Googlen kautta. Pelkkä salasana ei koskaan luo avainta — ei edes tilillä, johon on yhdistetty myös GitHub tai Google, koska ratkaisevaa on, miten kirjauduit juuri nyt.

Jokainen tuhoava toimenpide — projektin poistaminen, historian muokkaaminen, tilin poistaminen, varmuuskopion palauttaminen — kysyy uudelleen, kuka olet: salasanasi, jos sinulla on sellainen, ja kaksivaiheisen tunnistautumisen koodisi; ilman kaksivaiheista tunnistautumista GitHub- tai Google-kirjautuminen viimeiseltä kymmenen minuutin ajalta. Tietojesi vienti ei koskaan vaadi tätä.

Kirjaudu sisään GitHub- tai Google-tilillä

Kirjautuminen GitHub:n tai Googlen kautta käyttää tavallista authorization code -tunnusvirtaa PKCE:llä, sidottuna selaimeen, joka käynnisti sen. Saamme sähköpostiosoitteesi, nimesi ja tilisi tunnuksen kyseisessä palvelussa — ei muuta. Emme säilytä GitHub:n tai Googlen access-tunnusta, emmekä voi lukea repositorioitasi, sähköpostejasi tai tiedostojasi. GitHub- tai Google-tili liittyy olemassa olevaan Brethof-tiliin vain, jos kyseinen palvelu on vahvistanut sähköpostiosoitteen ja olemme vahvistaneet sen myös itse, tai jos tilillä ei ole vielä salasanaa.

Suojaus omilta agenteiltasi

Tämä on osa, jota useimmat palvelut eivät ajattele. Muistiasi käsittelevät jatkuvasti tekoälyagentit – ja agentti voi tehdä virheen, saada pahantahtoisen käskyn piilotettuna sisältöön, jota sen pyydettiin lukemaan, tai poistaa väärän asian tunteja ennen kuin ihminen huomaa.

Siksi raaka keskusteluarkisto on tietoisesti heidän ulottumattomissaan. Mikään agentti ei voi poistaa yhtään viestiä. Mikään agentti ei voi koskea viimeisiin kolmeen kuukauteen lainkaan. Vanhemman historian voi poistaa vain kokonaisuutena, projektia kohden. Koko projektin poistaminen – ainoa toimenpide, joka ulottuu arkistoon kokonaisuudessaan – ei ole agenttien käytettävissä millään tasolla; se tapahtuu tilin hallintapaneelissa, jossa ihminen kirjoittaa projektin nimen.

Syy, miksi tämä on tärkeää, on yksinkertainen: kuratoitu muisti on johdettu, ja arkisto on alkuperäinen. Kaikki, minkä huono muokkaus menettää, voidaan rakentaa uudelleen historiasta. Mikään ei voi rakentaa historiaa uudelleen.

Salaus, varmuuskopiot ja missä tietosi sijaitsevat

Muistisi on yksi kontti asiakasta kohden – oma tietokanta, oma tiedostojärjestelmä, oma Linux-käyttäjä, mitään jaettua. Jos valitset paikallisen muodon, kontti toimii koneellasi: muistisi säilytetään luonasi, emmekä me säilytä sitä lainkaan. Se, mikä kulkee keskuksen kautta – turvallisen laskennan instanssimme Zürichissä, Sveitsissä – on käsiteltävä sisältö: jokainen vaihto ja ne muistin osat, jotka konttisi lähettää, kun arviota tarvitaan tai istuntotiivistelmä koostetaan. Tietosuojaselosteen kohta 4 luettelee ne täsmälleen. Mitään niistä ei säilytetä.

Mitä koneellasi oleva ohjelmisto on

Kontti sisältää muistisi, sen yli tehtävän haun ja mekanismit, jotka pitävät molemmat kunnossa. Se ei sisällä kehotetta, pääsyä mihinkään tekoälymalliin eikä asetusta, joka osoittaisi sen sellaiseen. Siinä ei ole mitään, mikä voisi arvioida muistiasi, eikä mitään konfiguroitavaa, mikä sen siihen sallisi. Jokainen arviointi pyydetään keskuspalvelimeltamme yhteydellä, jonka konttisi avaa lähtevänä ja todentaa – me emme koskaan soita sisään.

Juuri tämä muoto tekee liikenteestä auditoitavan, ja sinun on tarkoitus auditoida se: vaihdot menevät ylös, yllä mainitut osat menevät ylös, komennot ja rivit tulevat alas. Asiakasohjelmisto on lähdekoodiltaan saatavilla – lue jokainen rivi.

Yksi asia pysyy kokonaan sinun puolellasi: oman muistisi haku – tietueet, koko historia ja sen päivätyt päätösrivit – toimii tavallisena lukuna omiin tauluihisi, omassa kontainerissasi. Se toimii, vaikka keskuspalvelumme olisi saavuttamatta, eikä lähetä mitään arvioitavaksi.

Isännöidyssä muodossa liikenne salataan siirrossa TLS:llä, ja lepotilassa konttisi koko tiedostojärjestelmä – jokainen keskustelu, jokainen tietue, itse tietokanta – on salattu avaimella, joka johdetaan salasanasta, jonka vain sinä hallitset. Emme koskaan näe sitä emmekä tallenna sitä: se kulkee istuntosi alkaessa, avaa muistisi, ja muisti lukittuu uudelleen, kun poistut paikalta. Lukittu kontti on salakirjoitusta kaikille, myös meille – varastettu levy, vuotanut levykuva tai poistettu käytöstä poistettu ase on kohinaa, samoin kuin oma root-pääsymme, kun olet poissa.

Poistaminen on krypptograafinen

Sinun poistamisesi ei ole toiveikas pyyhkäisy tallennuksen läpi: salattu konttisi tuhotaan kokonaisuudessaan – ja koska salakirjoituksen poistaminen ei vaadi avainta, tämä toimii myös silloin, kun olet unohtanut salasanasi. Jäljellä olevat varmuuskopiot ovat lukukelvottomia ilman sitä ja poistuvat varmuuskopiosyklin kierrätyksessä viimeistään 30 päivän kuluessa. Meillä ei ole kopiota, jonka voisimme palauttaa.

Mitä salaus ei kata

Rehelliset rajat. Lepotilassa tapahtuva salaus on täsmälleen sitä – lepotilaa: kun muistisi on avattu istuntoa varten, kontti väistämättä käsittelee tietojasi selkokielisenä palvellakseen hakuja, joten "emme koskaan katso tietojasi" on politiikkamme ja pääsynhallintamme, ei matemaattinen mahdottomuus – matemaattinen takeesi saat aina, kun kontti on lukittu. Kerromme mieluummin, missä raja kulkee, kuin antaisimme sinun olettaa, ettei sitä ole.

Isännöityjen konttien varmuuskopiot ovat salatun tiedostojärjestelmän itsensä kopioita – salakirjoitusta jo ennen kuin ne poistuvat koneelta, lukukelvottomia ilman salasanaasi – säilytettynä lyhyessä kierrätysketjussa päivittäisissä ja viikoittaisissa kopioissa Saksassa. Kun tili poistetaan, sen varmuuskopiot poistetaan sen mukana, ja jäljellä olevat kopiot poistuvat 30 päivän kuluessa.

Isännöity muisti säilytetään, indeksoidaan ja haetaan kokonaan EU:n sisällä – palvelimemme ja varmuuskopiomme ovat Saksassa. Hakujen upotukset lasketaan omilla koneillamme eivätkä ne koskaan poistu niiltä. Paikallinen muisti ei koskaan pääse mihinkään näistä: se on levyllesi, sillä suojauksella, jonka levyllesi annat.

Ainoa poikkeus on AI-kurointi. Jokainen kuratoitava kappale käsitellään turvallisen laskennan instanssissamme Zürichissä, Sveitsissä – maassa, jonka EU tunnustaa tarjoavan riittävän tason tietosuojaa – ja sieltä yksi mallikierros lähetetään Ollamalle, joka isännöi tätä mallia Yhdysvalloissa ja Euroopassa, jossa se käsitellään ja palautetaan. Ollaman julkaisemat ehdot totevat, että syötteet ja tulosteet käsitellään tilapäisesti eikä niitä koskaan käytetä mallien kouluttamiseen – se on heidän sitoumuksensa heidän omilla ehdoillaan, ja me esitämme sen heidän sitoumuksenaan, emme lupauksenamme. Mikään muu ei poistu EU:sta. Jos tarvitset kurointia, joka ei poistu EU:stakaan, se on mahdollista omistettuna käyttöönottona – kysy. Jokainen alihankkija, tarkoituksineen ja sijainteineen, on listattu Tietosuojakäytännössä.

Miten toimimme

Vähimmän oikeuden periaate, oletuksena

Palvelu toimii etuoikeuttamattomana käyttäjänä säiliönsä sisällä, ei koskaan pääkäyttäjänä. Sen tietokantarooli ei ole superkäyttäjä eikä se voi lukea tiedostoja isäntäjärjestelmästä. Nämä tarkistetaan automaattisesti ennen jokaista julkaisua, ei vain oleteta.

Sisäiset päätepisteet on lukittu reunalla.

Päätepisteet, jotka luovat tilejä ja vahvistavat avaimet, ovat saavutettavissa vain oman ohjaussuunnitelmamme kautta, ja ne todennetaan verkon reunalla ennen kuin pyyntö saapuu, ja uudelleen sen takana olevalla jaetulla salaisuudella. Kaksi lukkoa, ei yksi.

Sulje epäonnistuessa

Kun jotain puuttuu tai on lukukelvotonta, palvelu kieltäytyy arvaamisen sijaan. Varmistamaton avain hylätään. Vahingoittuneet oikeudet eivät myönnä mitään. Puuttuva webhook-allekirjoitussalaisuus hylkää jokaisen tapahtuman luottamisen sijaan. Tämä on tarkoituksellinen asenne: muistipalvelun vikatila pitäisi olla “ei vastausta”, ei koskaan “väärän asiakkaan vastaus”.

Jokainen versio on todistettu ulkopuolelta

Ennen kuin mikään versio julkistetaan, automaattinen portti käy koko tuotteen läpi täysin uudelta tililtä oikean verkkoyhteyden kautta: rekisteröityminen, avainten myöntäminen ja peruuttaminen, muistin tallentaminen ja palauttaminen, eristys kahden aktiivisen tilin välillä, datan vienti ja täydellinen poisto. Se joko läpäisee täysin tai versiota ei julkista.

Turvallisuusongelman ilmoittaminen

Jos uskot löytäneesi haavoittuvuuden, kerro siitä meille ennen kuin kerrot kenellekään muulle, ja teemme yhteistyötä kanssasi. Yhteystiedot on julkaistu /.well-known/security.txt tai kirjoita hello@Brethof.ai. Emme uhkaa tutkijoita, jotka raportoivat hyvässä uskossa.

Syvemmät vaatimukset – tietojenkäsittelysopimus, erillinen käyttöönotto valitsemassasi alueessa tai kuratoinnin pitäminen EU:ssa – hoidamme suoraan. Kysy.