सुरक्षा

प्रत्येक ग्राहक के लिए एक डेटाबेस।

आपकी स्मृति, किसी साझा तालिका में “ग्राहक” नामक कॉलम वाली पंक्ति नहीं है। प्रत्येक ग्राहक को अपनी ही स्मृति होती है। अपना डेटाबेस. कोई साझा तालिकाएँ नहीं हैं, और गलत जानकारी प्राप्त होने का कोई खतरा भी नहीं है; क्योंकि सीमा तो डेटाबेस ही है, न कि कोई ऐसा फिल्टर जिसे किसी को याद रखकर लिखना पड़े।

हर रिलीज़ में उस सीमा की जाँच बाहर से की जाती है: दो वास्तविक खातों का उपयोग करके, एवं डेटा वापस करने वाले प्रत्येक “दरवाज़े” की जाँच की जाती है, ताकि यह सुनिश्चित हो सके कि कोई भी दूसरे को नहीं देख सकता। जब तक यह जाँच पास न हो जाए, तब तक कोई रिलीज़ जारी नहीं की जाती।

चाबियाँ, एवं कौन उनका उपयोग कर सकता है

हम आपको आपकी ही चाबी नहीं दिखा सकते।

API कुंजियाँ आपको निर्माण के समय केवल एक बार दिखाई जाती हैं। हम केवल SHA-256 हैश संग्रहीत करते हैं — इसलिए हमारे डेटाबेस की प्रति से किसी को भी कार्यशील कुंजी नहीं मिल सकती, और न ही हम या कोई हमलावर आपकी कुंजी वापस पढ़ सकता है। कुंजी रद्द करने का प्रभाव लगभग एक मिनट में सेवा पर लागू होता है, और तुरंत उस मशीन पर जो आपकी स्मृति को संचालित करती है।

कुंजियों को सीमित किया जा सकता है।

एक कुंजी का सर्वशक्तिशाली होना आवश्यक नहीं है। कुंजियाँ ऐसी भी हो सकती हैं। प्रत्येक परियोजना के लिए सीमाबद्ध। — पढ़ने एवं लिखने की सुविधा, केवल पढ़ने की सुविधा, या पूरी तरह अदृश्य – यही वह उपयुक्त विकल्प है ऐसे ठेकेदारों, CI कार्यों, या ऐसे एजेंटों के लिए जिनका आपके अन्य कार्यों को पढ़ने का कोई उद्देश्य ही न हो। ऐसी चाबी जिसके स्कोप खराब या पढ़े न जा सकें, उसे सब कुछ देने के बजाय सब कुछ से वंचित रखा जाता है।

द्वि-कारक प्रमाणीकरण

आपके खाते में लॉगिन करते समय दूसरा प्रमाणीकरण तत्व आवश्यक हो सकता है, एवं जब आप इसे सक्रिय करते हैं, तो यह केवल एक सेटिंग के रूप में दिखाई नहीं देता, बल्कि लॉगिन करते समय ही लागू हो जाता है। हम इसकी सलाह देते हैं, लेकिन इसे अनिवार्य नहीं बनाते; क्योंकि आपकी जानकारी उतनी ही सुरक्षित रहती है जितनी कि उस खाते की सुरक्षा है। लेकिन अपने डेटा को मिटाने हेतु फोन का उपयोग आवश्यक बनाना और भी खराब होगा।

अपने ही एजेंटों से सुरक्षा

यह वह हिस्सा है जिसके बारे में अधिकांश सेवाएँ विचार ही नहीं करतीं। आपकी स्मृति पर लगातार एआई एजेंटों द्वारा कार्य किया जाता है – और कोई एजेंट गलती कर सकता है, उसे पढ़ने के लिए दी गई सामग्री में छिपे हुए हानिकारक निर्देश मिल सकते हैं, या मनुष्य को पता चलने से कई घंटे पहले ही वह गलत चीज़ हटा सकता है।

इसलिए कच्ची संवाद अभिलेखागार सामग्री जानबूझकर उनकी पहुँच से बाहर रखी गई है। कोई भी एजेंट एक भी संदेश हटा नहीं सकता। कोई भी एजेंट पिछले तीन महीनों की सामग्री तक पहुँच ही नहीं सकता। पुराना इतिहास केवल प्रोजेक्ट के हिसाब से ही बड़ी मात्रा में हटाया जा सकता है। पूरे प्रोजेक्ट को हटाना – वही एकमात्र कार्य जो अभिलेखागार सामग्री को पूरी तरह हटा देता है – किसी भी स्तर के एजेंटों के लिए उपलब्ध नहीं है; यह कार्य खाता-पैनल में ही होता है, जहाँ कोई व्यक्ति प्रोजेक्ट का नाम टाइप करता है।

इसके महत्व का कारण सरल है: चयनित स्मृति तो बाद में बनाई जाती है, जबकि अभिलेखागार ही मूल है। किसी खराब संपादन के कारण जो कुछ खो जाता है, उसे इतिहास से पुनः बनाया जा सकता है। लेकिन इतिहास को कोई भी पुनः नहीं बना सकता।

एन्क्रिप्शन, बैकअप, एवं आपका डेटा कहाँ रहता है

ट्रैफ़िक, टीएलएस के माध्यम से परिवहन के दौरान एनक्रिप्टेड रहता है। जबकि, आपकी मेमोरी भी एनक्रिप्टेड रहती है। दो बार: नीचे पूर्ण-वॉल्यूम एनक्रिप्शन है, और इसके ऊपर आपका डेटाबेस – हर संवाद, हर रिकॉर्ड, एवं राइट-अहेड लॉग – सभी एनक्रिप्टेड हैं। आपकी अपनी, प्रति-ग्राहक कुंजी, यह प्रत्येक अन्य ग्राहक से अलग है। संग्रहण क्षमता को अनलॉक करने वाली कुंजी बिल्कुल भी डेटाबेस सर्वर पर संग्रहीत नहीं होती; चोरी हुआ डिस्क, लीक हुई छवि, या अप्रचलित हो चुका ड्राइव – ये सब बेकार हैं।

हटाना एक क्रिप्टोग्राफिक प्रक्रिया है।

चूँकि प्रत्येक ग्राहक की अपनी चाबी होती है, इसलिए आपको मिटाना संभव नहीं है—संग्रहण स्थल में सर्च करने से भी कोई लाभ नहीं होगा। आपकी कुंजी नष्ट हो गई है, एवं आपका डेटाबेस भी नष्ट हो गया है।, और जो कुछ बचता है, वह किसी के लिए भी पढ़ने योग्य नहीं होता, हमारे लिए भी नहीं। एनक्रिप्टेड बैकअपों को समय सीमा समाप्त होने का इंतज़ार किए बिना ही मिटा दिया जाता है, एवं हमारी बैकअप प्रणालियों के चक्र के दौरान, अधिकतम 30 दिनों के भीतर ही शेष सभी प्रतियाँ भी मिटा दी जाती हैं। हमारे पास वापस लाने हेतु कोई प्रति ही नहीं बचती।

प्रति-ग्राहक एन्क्रिप्शन किन चीजों को कवर नहीं करता?

दो स्पष्ट सीमाएँ। डेटाबेस इंजन, कॉलम मानों के नमूनों से संबंधित आंतरिक क्वेरी-प्लानिंग सांख्यिकीय जानकारियों को संग्रहीत रखता है; ऐसे नमूने वॉल्यूम एन्क्रिप्शन के अंतर्गत होते हैं, न कि आपकी पर्सनल कुंजी के अंतर्गत। और “रेस्ट एन्क्रिप्शन” भी ठीक यही है – डेटा उपलब्ध होने पर ही उसे डिक्रिप्ट किया जाता है ताकि आपकी खोजों को पूरा किया जा सके एवं डेटा का संचालन किया जा सके; इसलिए “हम कभी भी आपके डेटा को नहीं देखते” हमारी नीति एवं एक्सेस नियंत्रण हैं, न कि कोई गणितीय असंभवता। हम आपको यह बताना ही पसंद करेंगे कि सीमा कहाँ है, ब

बैकअप रात में ही किए जाते हैं। हमारी मशीनों से निकलने से पहले ही इन्हें एनक्रिप्ट कर दिया जाता है।, इन्हें यूरोपीय संघ में, निरंतर चलने वाली योजना के तहत, तीन महीने तक संग्रहीत किया जाता है। जब कोई खाता हटा दिया जाता है, तो उसकी बैकअप फाइलें भी हटा दी जाती हैं, एवं शेष रहने वाली प्रतियाँ 30 दिनों के भीतर ही हटा दी जाती हैं।

आपकी मेमोरी पूरी तरह से यूरोपीय संघ के भीतर ही संग्रहीत, अनुक्रमित एवं खोजी जाती है – हमारे सर्वर फ्रैंकफर्ट में एवं हमारे बैकअप फाल्केनस्टीन में हैं, दोनों ही जर्मनी में। खोज हेतु आवश्यक डेटा हमारी ही मशीनों पर ही संसाधित किया जाता है एवं उनसे बाहर कभी नहीं जाता।

एकमात्र अपवाद एआई क्यूरेशन है। जिस पाठ को क्यूर किया जा रहा है, उसे भेजा जाता है संयुक्त राज्य अमेरिका में Ollama, प्रसंस्कृत करके वापस कर दिया जाता है। Ollama की आधिकारिक शर्तों के अनुसार, इनपुट एवं आउटपुट को केवल अस्थायी रूप से ही प्रसंस्कृत किया जाता है, एवं इनका उपयोग मॉडलों को प्रशिक्षित करने हेतु कभी नहीं किया जाता – यही उनकी प्रतिबद्धता है; हम इसे उनके शब्दों में ही प्रस्तुत कर रहे हैं, न कि अपने वादे के रूप में। EU से कुछ भी बाहर नहीं जाता। यदि आप ऐसी व्यवस्था चाहते हैं जिससे कुछ भी EU से बाहर न जाए, तो यह एक विशेष व्यवस्था के माध्यम से उपलब्ध है – पूछें। प्रत्येक उप-प्रसंस्करण इकाई, उसके उद्देश्य एवं स्थान के साथ, सूचीबद्ध है। गोपनीयता नीति.

हम कैसे कार्य करते हैं

डिफ़ॉल्ट रूप से, न्यूनतम अधिकार।

यह सेवा अपने कंटेनर के भीतर एक गैर-विशेषाधिकृत उपयोगकर्ता के रूप में ही कार्य करती है; कभी भी “रूट” के रूप में नहीं। इसकी डेटाबेस भूमिका “सुपरयूजर” जैसी नहीं है, इसलिए यह होस्ट से फ़ाइलें पढ़ नहीं सकती। ऐसी बातों की पुष्टि हर बार रिलीज़ से पहले ही स्वचालित रूप से की जाती है, बजाय इसके कि उन्हें सिर्फ़ अनुमान मान लिया जाए।

आंतरिक एंडपॉइंट्स को छोर पर ही लॉक कर दिया गया है।

खाते बनाने एवं कुंजियों की पुष्टि करने वाले एंडपॉइंट्स केवल हमारे नियंत्रण प्लेन द्वारा ही पहुँचा जा सकता है; किसी भी अनुरोध आने से पहले नेटवर्क किनारे पर ही उसकी प्रमाणीकरण प्रक्रिया होती है, एवं इसके बाद एक साझा गुप्त कोड के माध्यम से भी प्रमाणीकरण होता है। दो तरह के सुरक्षा उपाय, एक नहीं।

विफलता पर बंद

जब कुछ गायब होता है या पढ़ने योग्य नहीं होता, तो सेवा अनुमान लगाने के बजाय इनकार कर देती है। ऐसी चाबियाँ जिनकी सत्यता सत्यापित नहीं की जा सकती, उन्हें भी अस्वीकार कर दिया जाता है। खराब परमिशनों के कारण कुछ भी प्राप्त नहीं होता। जब वेबहुक साइनिंग सीक्रेट गायब हो जाता है, तो हर घटना को अस्वीकार कर दिया जाता है; आने वाली जानकारी पर भरोसा नहीं किया जाता। यह एक जानबूझकर अपनाया गया दृष्टिकोण है – किसी मेमोरी सेवा का विफलता मोड “कोई उत्तर नहीं” होना चाहिए, कभी भी “गलत ग्राहक का उत्तर” नहीं।

हर रिलीज़ की पुष्टि बाहर से की जाती है

किसी भी रिलीज़ के जारी होने से पहले, एक स्वचालित प्रवेशद्वार पूरे उत्पाद की जाँच एक नए खाते से वास्तविक नेटवर्क कनेक्शन के माध्यम से करता है: साइन-अप, कुंजियाँ जारी करना और रद्द करना, स्मृति संग्रहीत करना और पुनः प्राप्त करना, दो सक्रिय खातों के बीच अलगाव, डेटा निर्यात, और पूर्ण विलोपन। यह या तो पूरी तरह से पास होता है या रिलीज़ नहीं होती।

सुरक्षा संबंधी समस्या की रिपोर्ट करना

यदि आपको लगता है कि आपने कोई कमजोरी खोज ली है, तो कृपया किसी और को बताने से पहले हमें जरूर बताएं; हम आपके साथ मिलकर काम करेंगे। संपर्क विवरण यहाँ दिए गए हैं। /.well-known/security.txt या लिखें। [email protected]. हम ईमानदारी से रिपोर्ट करने वाले शोधकर्ताओं को धमकी नहीं देते।

गहन आवश्यकताएँ — डेटा प्रसंस्करण समझौता, आपके चुने क्षेत्र में समर्पित तैनाती, या क्यूरेशन को यूरोपीय संघ के भीतर रखना — ऐसी चीज़ें हैं जिन्हें हम सीधे संभालते हैं। पूछें।