सुरक्षा

प्रत्येक ग्राहक के लिए एक डेटाबेस।

आपकी स्मृति, किसी साझा तालिका में “ग्राहक” नामक कॉलम वाली पंक्ति नहीं है। प्रत्येक ग्राहक को अपनी ही स्मृति होती है। अपना डेटाबेस. कोई साझा तालिकाएँ नहीं हैं, और गलत जानकारी प्राप्त होने का कोई खतरा भी नहीं है; क्योंकि सीमा तो डेटाबेस ही है, न कि कोई ऐसा फिल्टर जिसे किसी को याद रखकर लिखना पड़े।

हर रिलीज़ में उस सीमा की जाँच बाहर से की जाती है: दो वास्तविक खातों का उपयोग करके, एवं डेटा वापस करने वाले प्रत्येक “दरवाज़े” की जाँच की जाती है, ताकि यह सुनिश्चित हो सके कि कोई भी दूसरे को नहीं देख सकता। जब तक यह जाँच पास न हो जाए, तब तक कोई रिलीज़ जारी नहीं की जाती।

चाबियाँ, एवं कौन उनका उपयोग कर सकता है

हम आपको आपकी ही चाबी नहीं दिखा सकते।

API कुंजियाँ आपको निर्माण के समय केवल एक बार दिखाई जाती हैं। हम केवल SHA-256 हैश संग्रहीत करते हैं — इसलिए हमारे डेटाबेस की प्रति से किसी को भी कार्यशील कुंजी नहीं मिल सकती, और न ही हम या कोई हमलावर आपकी कुंजी वापस पढ़ सकता है। कुंजी रद्द करने का प्रभाव लगभग एक मिनट में सेवा पर लागू होता है, और तुरंत उस मशीन पर जो आपकी स्मृति को संचालित करती है।

कुंजियों को सीमित किया जा सकता है।

एक कुंजी का सर्वशक्तिशाली होना आवश्यक नहीं है। कुंजियाँ ऐसी भी हो सकती हैं। प्रत्येक परियोजना के लिए सीमाबद्ध। — पढ़ने एवं लिखने की सुविधा, केवल पढ़ने की सुविधा, या पूरी तरह अदृश्य – यही वह उपयुक्त विकल्प है ऐसे ठेकेदारों, CI कार्यों, या ऐसे एजेंटों के लिए जिनका आपके अन्य कार्यों को पढ़ने का कोई उद्देश्य ही न हो। ऐसी चाबी जिसके स्कोप खराब या पढ़े न जा सकें, उसे सब कुछ देने के बजाय सब कुछ से वंचित रखा जाता है।

द्वि-कारक प्रमाणीकरण

आपका खाता लॉगिन पर एक दूसरा फ़ैक्टर आवश्यक कर सकता है, और जब आप इसे चालू करते हैं तो यह हर साइन-इन पर लागू होता है — पासवर्ड के बाद और GitHub या Google दोनों के बाद — न कि केवल एक सेटिंग के रूप में दिखाया जाता है।

API कुंजी बनाने के लिए सुरक्षित साइन-इन आवश्यक है: आपके खाते पर दो-कारक प्रमाणीकरण, या GitHub या Google के माध्यम से साइन-इन। केवल पासवर्ड से कभी कुंजी नहीं बनती — यहाँ तक कि उस खाते पर भी नहीं जिसमें GitHub या Google जुड़ा हो, क्योंकि मायने रखता है यह कि आपने इस बार कैसे साइन-इन किया।

हर विनाशकारी कार्य — प्रोजेक्ट हटाना, इतिहास मिटाना, खाता हटाना, बैकअप पुनर्स्थापित करना — दोबारा पूछता है कि आप कौन हैं: आपका पासवर्ड यदि आपके पास है, और आपका टू-फ़ैक्टर कोड; टू-फ़ैक्टर के बिना, पिछले दस मिनटों के भीतर GitHub या Google साइन-इन। अपना डेटा निर्यात करने के लिए इसकी कभी आवश्यकता नहीं होती।

GitHub या Google से साइन इन करें

GitHub या Google के ज़रिए साइन इन करना PKCE के साथ मानक authorization-code फ़्लो का उपयोग करता है, जो उस ब्राउज़र से जुड़ा होता है जिसने इसे शुरू किया था। हमें आपका ईमेल पता, आपका नाम और उस सेवा पर आपका खाता ID मिलता है — और कुछ नहीं। हम कोई GitHub या Google एक्सेस टोकन संग्रहीत नहीं करते, और हम आपकी रिपॉज़िटरी, मेल या फ़ाइलें नहीं पढ़ सकते। कोई GitHub या Google खाता किसी मौजूदा Brethof खाते से तभी जुड़ता है जब उस सेवा ने ईमेल पता सत्यापित किया हो और हमने भी किया हो, या जब खाते में अभी कोई पासवर्ड न हो।

अपने ही एजेंटों से सुरक्षा

यह वह हिस्सा है जिसके बारे में अधिकांश सेवाएँ विचार ही नहीं करतीं। आपकी स्मृति पर लगातार एआई एजेंटों द्वारा कार्य किया जाता है – और कोई एजेंट गलती कर सकता है, उसे पढ़ने के लिए दी गई सामग्री में छिपे हुए हानिकारक निर्देश मिल सकते हैं, या मनुष्य को पता चलने से कई घंटे पहले ही वह गलत चीज़ हटा सकता है।

इसलिए कच्ची बातचीतों का अभिलेख जानबूझकर उनकी पहुँच से बाहर रखा गया है। कोई भी एजेंट कोई एक संदेश भी हटा नहीं सकता। कोई भी एजेंट पिछले तीन महीनों के डेटा तक पहुँच ही नहीं सकता। पुराने डेटा को केवल प्रोजेक्ट के हिसाब से ही बड़े पैमाने पर हटाया जा सकता है। पूरे प्रोजेक्ट को हटाना – वही एकमात्र कार्य जिससे अभिलेख पूरी तरह हट जाता है – किसी भी स्तर के एजेंटों के लिए संभव नहीं है; यह कार्य खाता-पैनल में ही किया जाता है, जहाँ कोई व्यक्ति प्रोजेक्ट का नाम टाइप करता है।

इसके महत्व का कारण सरल है: चयनित स्मृति तो बाद में बनाई जाती है, जबकि अभिलेखागार ही मूल है। किसी खराब संपादन के कारण जो कुछ खो जाता है, उसे इतिहास से पुनः बनाया जा सकता है। लेकिन इतिहास को कोई भी पुनः नहीं बना सकता।

एन्क्रिप्शन, बैकअप, एवं आपका डेटा कहाँ रहता है

आपकी मेमोरी प्रत्येक ग्राहक के लिए एक कंटेनर है — इसका अपना डेटाबेस, अपना फ़ाइलसिस्टम, अपना Linux यूज़र, कुछ भी साझा नहीं। यदि आपने लोकल शेप चुना है, तो वह कंटेनर आपकी मशीन पर चलता है: आपकी मेमोरी आपके पास संग्रहीत रहती है और हम इसका कोई हिस्सा संग्रहीत नहीं करते। हमारे हब — स्विट्ज़रलैंड के ज़्यूरिख में हमारे सिक्योर-कंप्यूट इंस्टेंस — तक क्या पहुँचता है: प्रोसेस किया जा रहा कंटेंट, प्रत्येक एक्सचेंज, और वे मेमोरी के टुकड़े जो आपका कंटेनर तब भेजता है जब निर्णय लेने या सेशन ब्रीफ तैयार करने की आवश्यकता होती है। प्राइवेसी पॉलिसी के सेक्शन 4 में इन्हें सटीक रूप से सूचीबद्ध किया गया है। इनमें से कुछ भी सुरक्षित नहीं रखा जाता।

आपके कंप्यूटर में कौन-सा सॉफ्टवेयर है?

यह कंटेनर आपकी स्मृति, उसकी खोज, एवं दोनों को सही रखने वाली प्रणालियों को संग्रहीत करता है। इसमें कोई प्रॉम्प्ट नहीं है, किसी भी एआई मॉडल तक कोई पहुँच नहीं है, एवं ऐसी कोई सेटिंग भी नहीं है जो इसे किसी विशेष मॉडल की ओर निर्देशित करे। इसमें ऐसा कुछ भी नहीं है जो आपकी स्मृति का मूल्यांकन कर सके, एवं ऐसी कोई व्यवस्था भी नहीं है जिससे यह ऐसा करने की कोशिश कर सके। हर मूल्यांकन हमारे हब से अनुरोध किए जाने के बाद ही होता है — यह प्रक्रिया आपके कंटेनर द्वारा बनाई गई कनेक्शन के माध्यम से होती है, एवं हम कभी भी सीधे कन

वही आकार है जो ट्रैफ़िक की निगरानी संभव बनाता है, और आपको इसकी निगरानी करनी ही है: एक्सचेंज मान बढ़ जाते हैं, ऊपर के भागों के मान भी बढ़ जाते हैं, जबकि कमांड एवं पंक्तियों के मान फिर से घट जाते हैं। क्लाइंट source-available है — इसकी हर पंक्ति को पढ़ें।

एक चीज़ हमेशा पूरी तरह आपके पक्ष पर ही रहती है: अपनी ही स्मृति की खोज — वे रिकॉर्ड, पूरा इतिहास एवं उसकी तारीख़ वाली निर्णय-पंक्तियाँ — आपके ही टेबलों में, आपके ही कंटेनर के भीतर सीधे पढ़े जाने वाले अनुरोध के रूप में चलती है। यह हमारे हब के अनुपलब्ध होने पर भी काम करती है एवं निर्णय हेतु कुछ भी नहीं भेजती।

होस्टेड शेप पर, डेटा को ट्रांजिट के दौरान TLS के माध्यम से एनक्रिप्ट किया जाता है; जबकि आपके कंटेनर की पूरी फाइलसिस्टम – हर संवाद, हर रिकॉर्ड, डेटाबेस स्वयं – केवल आपके पास ही मौजूद पासफ्रेज़ से प्राप्त की गई कुंजी के द्वारा एनक्रिप्टेड रहती है। हम इसे कभी नहीं देखते एवं न ही इसे संग्रहीत करते हैं; यह तब ही ट्रांसमिट होता है जब आपका सेशन शुरू होता है, आपकी मेमोरी अनलॉक होती है, एवं आप दूर जाने के बाद मेमोरी फिर से लॉक हो जाती है। एक लॉक्ड कंटेनर, हम सहित हर किसी के लिए केवल एक एनक्रिप्टेड डेटा ही होता है – चाहे वह चोरी हुआ

हटाना एक क्रिप्टोग्राफिक प्रक्रिया है।

आपको मिटाना कोई आसान प्रक्रिया नहीं है: आपका एन्क्रिप्टेड कंटेनर पूरी तरह नष्ट हो जाता है — और चूँकि सीरियल कोड को मिटाने हेतु कोई कुंजी आवश्यक नहीं है, इसलिए भले ही आपने अपना पासफ्रेज भूल दिया हो, तब भी यह प्रक्रिया कार्य करती है। जो बैकअप बचते हैं, वे बिना उस पासफ्रेज के पढ़े नहीं जा सकते, एवं सबसे अधिक 30 दिनों के भीतर ही वे भी मिटा दिए जाते हैं। हमारे पास ऐसी कोई प्रति नहीं है जिसे हम वापस ला सकें।

एनक्रिप्शन क्या नहीं कवर करता है

ईमानदारीपूर्ण सीमाएँ। “रेस्ट में एनक्रिप्शन” का अर्थ ठीक यही है – जब आपकी मेमोरी किसी सत्र के लिए अनलॉक होती है, तो कंटेनर को आपकी खोजों को पूरा करने हेतु आपके डेटा को बिना एनक्रिप्शन के ही उपयोग में लाना पड़ता है; इसलिए “हम कभी भी आपके डेटा को नहीं देखते” हमारी नीति एवं एक्सेस नियंत्रण हैं, न कि कोई गणितीय असंभवता – वास्तविक गणितीय गारंटी तब ही मिलती है जब कंटेनर लॉक होता है। हम आपको यह बताना ही पसंद करेंगे कि सीमा कहाँ है, बजाय इसके कि आप यह मानें कि कोई सीमा ही नहीं है।

होस्टेड कंटेनरों के बैकअप, एन्क्रिप्टेड फाइलसिस्टम की ही प्रतियाँ होती हैं – ये एन्क्रिप्टेड डेटा होते हैं, जिन्हें आपके पासवर्ड के बिना पढ़ा नहीं जा सकता। इन्हें जर्मनी में दैनिक एवं साप्ताहिक आधार पर बनाई गई प्रतियों के रूप में संग्रहीत किया जाता है। जब कोई खाता हटा दिया जाता है, तो उसके बैकअप भी हटा दिए जाते हैं, एवं शेष प्रतियाँ 30 दिनों के भीतर ही हटा दी जाती हैं।

होस्टेड मेमोरी को पूरी तरह से EU के भीतर ही संग्रहीत, अनुक्रमित एवं खोजा जाता है — हमारे सर्वर एवं बैकअप जर्मनी में स्थित हैं। सर्च एम्बेडिंग्स हमारी ही मशीनों पर ही गणना की जाती हैं एवं कभी भी उनसे बाहर नहीं जातीं। लोकल मेमोरी इनमें से किसी तक भी नहीं पहुँचती: यह आपके डिस्क पर ही होती है, उस डिस्क की जो भी सुरक्षा व्यवस्था हो।

एकमात्र अपवाद AI क्यूरेशन है। क्यूर किया जा रहा प्रत्येक अंश स्विट्ज़रलैंड के ज्यूरिख में हमारे सुरक्षित-कंप्यूटिंग इंस्टेंस पर संसाधित होता है — ऐसा देश जिसे यूरोपीय संघ डेटा सुरक्षा का उचित स्तर प्रदान करने वाला मानता है — और वहाँ से एक मॉडल पास Ollama को भेजा जाता है, जो इस मॉडल को संयुक्त राज्य अमेरिका और यूरोप में होस्ट करता है, जहाँ वह संसाधित होकर वापस लौटता है। Ollama की प्रकाशित शर्तें कहती हैं कि इनपुट और आउटपुट अस्थायी रूप से संसाधित होते हैं और कभी भी मॉडलों को प्रशिक्षित करने में उपयोग नहीं किए जाते — यह उनकी प्रतिबद्धता है, उनकी अपनी शर्तों में, और हम इसे उनकी बताते हैं, अपने वादे के रूप में नहीं। EU से इसके अलावा कुछ भी बाहर नहीं जाता। यदि आप चाहें कि क्यूरेशन भी EU न छोड़े, तो यह समर्पित डिप्लॉयमेंट पर उपलब्ध है — पूछें। प्रत्येक सब-प्रोसेसर, उद्देश्य और स्थान सहित, Privacy Policy में सूचीबद्ध है।

हम कैसे कार्य करते हैं

डिफ़ॉल्ट रूप से, न्यूनतम अधिकार।

यह सेवा अपने कंटेनर के भीतर एक गैर-विशेषाधिकृत उपयोगकर्ता के रूप में ही कार्य करती है; कभी भी “रूट” के रूप में नहीं। इसकी डेटाबेस भूमिका “सुपरयूजर” जैसी नहीं है, इसलिए यह होस्ट से फ़ाइलें पढ़ नहीं सकती। ऐसी बातों की पुष्टि हर बार रिलीज़ से पहले ही स्वचालित रूप से की जाती है, बजाय इसके कि उन्हें सिर्फ़ अनुमान मान लिया जाए।

आंतरिक एंडपॉइंट्स को छोर पर ही लॉक कर दिया गया है।

खाते बनाने एवं कुंजियों की पुष्टि करने वाले एंडपॉइंट्स केवल हमारे नियंत्रण प्लेन द्वारा ही पहुँचा जा सकता है; किसी भी अनुरोध आने से पहले नेटवर्क किनारे पर ही उसकी प्रमाणीकरण प्रक्रिया होती है, एवं इसके बाद एक साझा गुप्त कोड के माध्यम से भी प्रमाणीकरण होता है। दो तरह के सुरक्षा उपाय, एक नहीं।

विफलता पर बंद

जब कुछ गायब होता है या पढ़ने योग्य नहीं होता, तो सेवा अनुमान लगाने के बजाय इनकार कर देती है। ऐसी चाबियाँ जिनकी सत्यता सत्यापित नहीं की जा सकती, उन्हें भी अस्वीकार कर दिया जाता है। खराब परमिशनों के कारण कुछ भी प्राप्त नहीं होता। जब वेबहुक साइनिंग सीक्रेट गायब हो जाता है, तो हर घटना को अस्वीकार कर दिया जाता है; आने वाली जानकारी पर भरोसा नहीं किया जाता। यह एक जानबूझकर अपनाया गया दृष्टिकोण है – किसी मेमोरी सेवा का विफलता मोड “कोई उत्तर नहीं” होना चाहिए, कभी भी “गलत ग्राहक का उत्तर” नहीं।

हर रिलीज़ की पुष्टि बाहर से की जाती है

किसी भी रिलीज़ के जारी होने से पहले, एक स्वचालित प्रवेशद्वार पूरे उत्पाद की जाँच एक नए खाते से वास्तविक नेटवर्क कनेक्शन के माध्यम से करता है: साइन-अप, कुंजियाँ जारी करना और रद्द करना, स्मृति संग्रहीत करना और पुनः प्राप्त करना, दो सक्रिय खातों के बीच अलगाव, डेटा निर्यात, और पूर्ण विलोपन। यह या तो पूरी तरह से पास होता है या रिलीज़ नहीं होती।

सुरक्षा संबंधी समस्या की रिपोर्ट करना

यदि आपको लगता है कि आपने कोई कमजोरी खोज ली है, तो कृपया किसी और को बताने से पहले हमें जरूर बताएं; हम आपके साथ मिलकर काम करेंगे। संपर्क विवरण यहाँ दिए गए हैं। /.well-known/security.txt या लिखें। hello@Brethof.ai. हम ईमानदारी से रिपोर्ट करने वाले शोधकर्ताओं को धमकी नहीं देते।

गहन आवश्यकताएँ — डेटा प्रसंस्करण समझौता, आपके चुने क्षेत्र में समर्पित तैनाती, या क्यूरेशन को यूरोपीय संघ के भीतर रखना — ऐसी चीज़ें हैं जिन्हें हम सीधे संभालते हैं। पूछें।