ความปลอดภัย

มีฐานข้อมูลหนึ่งต่อลูกค้าหนึ่งราย

ความจำของคุณไม่ใช่แถวในตารางที่ใช้ร่วมกันที่มีคอลัมน์ลูกค้า ลูกค้าแต่ละรายจะได้รับ ฐานข้อมูลของตนเอง. ไม่มีตารางที่ใช้ร่วมกัน และไม่มีคำสั่งค้นหาที่เกี่ยวข้องกับลูกค้าหลายรายที่อาจทำให้เกิดข้อผิดพลาด เพราะขอบเขตอยู่ที่ตัวฐานข้อมูลเอง ไม่ใช่ตัวกรองที่ใครสักคนต้องจำไว้ว่าต้องเขียน

ขอบเขตดังกล่าวจะได้รับการทดสอบจากภายนอกในทุกครั้งที่มีการปล่อยผลิตภัณฑ์ โดยจะมีการใช้บัญชีจริงสองบัญชี และจะมีการตรวจสอบทุกช่องทางที่ส่งข้อมูล เพื่อยืนยันว่าไม่มีบัญชีใดสามารถมองเห็นข้อมูลของอีกบัญชีหนึ่งได้ ผลิตภัณฑ์จะไม่ถูกส่งออกไปได้เลย หากการทดสอบนี้ไม่ผ่าน

คีย์ และใครบ้างที่สามารถใช้ได้

เราไม่สามารถแสดงคีย์ของคุณให้คุณดูได้

คีย์ API จะถูกแสดงให้คุณเห็นเพียงครั้งเดียวเท่านั้น ตอนที่สร้างขึ้นมา สิ่งที่เราเก็บไว้คือค่า SHA-256 hash ดังนั้น การคัดลอกข้อมูลในฐานข้อมูลของเราจึงไม่ทำให้ใครได้รับคีย์ที่ใช้งานได้ และทั้งเราเองหรือผู้โจมตีก็ไม่สามารถอ่านคีย์ของคุณออกมาได้เช่นกัน การยกเลิกคีย์จะมีผลต่อบริการภายในเวลาประมาณหนึ่งนาที และจะมีผลทันทีกับเครื่องที่ให้บริการความทรงจำของคุณ

สามารถจำกัดขอบเขตของคีย์ได้

กุญแจไม่จำเป็นต้องมีอำนาจสูงสุด กุญแจสามารถเป็นได้หลายรูปแบบ กำหนดขอบเขตตามโปรเจกต์ — อ่านและเขียน อ่านอย่างเดียว หรือมองไม่เห็นเลย — ซึ่งเป็นรูปแบบที่เหมาะสำหรับผู้รับเหมา งาน CI หรือเอเย่นต์เฉพาะกิจที่ไม่มีสิทธิ์อ่านงานส่วนอื่นของคุณ คีย์ที่มีขอบเขตเสียหายหรืออ่านไม่ได้จะถูกปฏิเสธทุกอย่าง แทนที่จะได้รับอนุญาตทุกอย่าง

การยืนยันตัวตนสองขั้นตอน

บัญชีของคุณอาจต้องมีปัจจัยที่สองในการเข้าสู่ระบบ และเมื่อคุณเปิดใช้งาน มันจะถูกบังคับใช้ที่การเข้าสู่ระบบ ไม่ใช่เพียงแสดงเป็นตัวตั้งค่า เราแนะนำให้ใช้แต่ไม่บังคับ: ความจำของคุณจะปลอดภัยเท่ากับบัญชีที่เก็บมันไว้ แต่การทำให้การลบข้อมูลของคุณเองต้องขึ้นอยู่กับการลงทะเบียนโทรศัพท์จะแย่กว่า

การปกป้องจากเอเย่นต์ของคุณเอง

นี่คือส่วนที่บริการส่วนใหญ่ไม่ได้คำนึงถึง ความจำของคุณถูกประมวลผลอย่างต่อเนื่องโดยเอเจนต์ AI และเอเจนต์อาจทำผิดพลาด ได้รับคำสั่งที่มีเจตนาร้ายซ่อนอยู่ในเนื้อหาที่ถูกขอให้อ่าน หรือลบสิ่งที่ผิดไปก่อนที่มนุษย์จะสังเกตเห็นเป็นเวลาหลายชั่วโมง

ดังนั้น ไฟล์บันทึกการสนทนาดิบจึงถูกออกแบบมาให้อยู่นอกเหนือขอบเขตการเข้าถึงของพวกเขาโดยเจตนาไม่มีเจ้าหน้าที่คนใดสามารถลบข้อความเพียงข้อความเดียวได้ และไม่มีเจ้าหน้าที่คนใดสามารถเข้าถึงข้อมูลในช่วงสามเดือนล่าสุดได้เลยข้อมูลในอดีตสามารถลบได้เฉพาะแบบกลุ่มตามโปรเจกต์เท่านั้น ส่วนการลบโปรเจกต์ทั้งหมด — ซึ่งเป็นวิธีเดียวที่จะสามารถลบข้อมูลในไฟล์บันทึกได้ทั้งหมด — นั้นเจ้าหน้าที่ทุกระดับไม่สามารถทำได้ การลบดังกล่าวจะทำผ่านแผงควบคุมบัญชี โดยมีมนุษย์เป็นผู้พิมพ์ชื่อโปรเจกต์เข้าไป

เหตุผลที่สิ่งนี้มีความสำคัญก็เรียบง่าย: ความทรงจำที่ได้รับการคัดสรรนั้นเป็นสิ่งที่สร้างขึ้นมา ในขณะที่อาร์ไคฟ์คือสิ่งต้นฉบับ สิ่งใดก็ตามที่การแก้ไขที่ผิดพลาดทำให้สูญหายไปก็สามารถสร้างขึ้นมาใหม่ได้จากประวัติ แต่ไม่มีสิ่งใดที่สามารถสร้างประวัติขึ้นมาใหม่ได้

การเข้ารหัส การสำรองข้อมูล และสถานที่ที่ข้อมูลของคุณอยู่

ข้อมูลการรับส่งจะได้รับการเข้ารหัสโดยใช้ TLS ส่วนข้อมูลที่อยู่ในหน่วยความจำก็จะได้รับการเข้ารหัสเช่นกัน สองครั้ง: มีการเข้ารหัสข้อมูลทั้งหมดไว้ในระดับลึก และบนสุดนั้น ฐานข้อมูลของคุณ—ไม่ว่าจะเป็นบทสนทนาทุกอย่าง รายการข้อมูลทุกอย่าง รวมถึงไฟล์บันทึกการเขียนข้อมูล—ก็ถูกเข้ารหัสไว้เช่นกัน คีย์สำหรับลูกค้าแต่ละรายของคุณเอง, แยกออกจากข้อมูลของลูกค้ารายอื่นๆ ทั้งหมด กุญแจสำหรับเปิดใช้งานพื้นที่จัดเก็บนั้นไม่ได้ถูกเก็บไว้บนเซิร์ฟเวอร์ฐานข้อมูลเลย ดิสก์ที่ถูกขโมย รูปภาพที่รั่วไหล หรือไดรฟ์ที่หยุดใช้งานแล้ว ล้วนเป็นสิ่งที่ไร้ประโยชน์เท่านั้น

การลบคือการเข้ารหัส

เนื่องจากลูกค้าแต่ละรายมีคีย์ของตัวเอง การลบข้อมูลของคุณจึงไม่ใช่เรื่องที่ทำได้ง่ายโดยการค้นหาในพื้นที่จัดเก็บข้อมูล กุญแจของคุณถูกทำลาย และฐานข้อมูลของคุณก็หายไป, ส่วนที่เหลือก็ไม่มีใครสามารถอ่านได้เลย แม้แต่พวกเราเอง สำเนาที่ถูกเข้ารหัสจะถูกลบทิ้งทันที โดยไม่ปล่อยให้หมดอายุไปเอง และสำเนาที่เหลืออยู่ก็จะถูกลบไปเช่นกันเมื่อระบบสำรองข้อมูลของเราทำงานตามวงจร ภายใน 30 วันเป็นอย่างมาก ดังนั้นจึงไม่มีสำเนาใดที่เราสามารถนำกลับมาได้เลย

สิ่งที่การเข้ารหัสตามจำนวนลูกค้าไม่สามารถครอบคลุมได้

มีขีดจำกัดที่ชัดเจนสองประการ โดยเครื่องมือจัดการฐานข้อมูลจะเก็บสถิติสำหรับการวางแผนคำขอภายใน ซึ่งจะสุ่มดึงค่าจากคอลัมน์ต่างๆ โดยข้อมูลเหล่านั้นจะถูกเข้ารหัสภายใต้ระบบการเข้ารหัสข้อมูล ไม่ใช่ด้วยคีย์ส่วนตัวของคุณ และการเข้ารหัสข้อมูลในสภาพนิ่งก็คือการเข้ารหัสขณะที่ข้อมูลไม่ได้ถูกใช้งานนั่นเอง บริการจำเป็นต้องถอดรหัสข้อมูลของคุณเพื่อให้สามารถตอบสนองคำขอค้นหาและดำเนินการจัดการข้อมูลได้ ดังนั้นนโยบายและระบบควบคุมการเข้าถึงของเราคือ “เราจะไม่มีวันเข้าถึงข้อมูลของคุณ” ไม่ใช่เพราะเป็นไปไม่ได้ทางคณิตศาสตร์ เราขอบอกคุณอย่างชัดเจนว่าขีดจำกัดอยู่ที่ไหน แทนที่จะปล่อยให้คุณคิดว่าไม่ม

มีการสำรองข้อมูลทุกคืน ถูกเข้ารหัสก่อนที่จะออกจากเครื่องของเรา, และจะถูกเก็บรักษาไว้ในสถานที่อื่นนอกเขตสหภาพยุโรปตามตารางเวลาที่กำหนด โดยเก็บไว้ไม่เกินสามเดือน เมื่อมีการลบบัญชี สำเนาสำรองของบัญชีนั้นก็จะถูกลบไปพร้อมกัน และสำเนาที่เหลืออยู่จะถูกลบภายใน 30 วัน

ข้อมูลความจำของคุณถูกจัดเก็บ ทำดัชนี และค้นหาภายในสหภาพยุโรปทั้งหมด — เซิร์ฟเวอร์ของเราอยู่ที่แฟรงก์เฟิร์ต และสำรองข้อมูลที่ฟัลเคนสไตน์ ทั้งสองอยู่ในเยอรมนี การคำนวณเอมเบดดิ้งสำหรับการค้นหาทำบนเครื่องของเราเอง และไม่เคยออกจากเครื่อง

ข้อยกเว้นเพียงอย่างเดียวคือการคัดสรรด้วย AI โดยข้อความที่ถูกคัดสรรจะถูกส่งไป Ollama ในสหรัฐอเมริกา, ถูกประมวลผลแล้วจึงส่งคืน ข้อกำหนดที่เผยแพร่ของ Ollama ระบุว่าข้อมูลนำเข้าและส่งออกถูกประมวลผลชั่วคราวและไม่ถูกใช้ฝึกโมเดล — นั่นคือคำมั่นสัญญาของพวกเขา ตามข้อกำหนดของพวกเขาเอง และเราระบุว่าเป็นของพวกเขา ไม่ใช่คำมั่นสัญญาของเรา ไม่มีสิ่งอื่นใดออกจากสหภาพยุโรป หากคุณต้องการให้การคัดสรรไม่ออกนอกสหภาพยุโรปเช่นกัน ก็มีให้ในรูปแบบการติดตั้งเฉพาะ — สอบถามได้ รายชื่อผู้ประมวลผลย่อยทุกตัว พร้อมวัตถุประสงค์และสถานที่ ระบุไว้ใน นโยบายความเป็นส่วนตัว.

วิธีที่เราดำเนินงาน

หลักการอนุญาตสิทธิ์ขั้นต่ำ โดยค่าเริ่มต้น

บริการนี้ทำงานในฐานะผู้ใช้ที่ไม่มีสิทธิพิเศษภายในคอนเทนเนอร์ โดยไม่ทำงานในฐานะ root เลย บทบาทของฐานข้อมูลไม่ใช่ผู้ดูแลระบบระดับสูง และไม่สามารถอ่านไฟล์จากเครื่องหลักได้ สิ่งเหล่านี้จะถูกตรวจสอบโดยอัตโนมัติก่อนการปล่อยเวอร์ชันใหม่ทุกครั้ง แทนที่จะสันนิษฐานไปเอง

จุดปลายทางภายในถูกล็อกไว้ที่ขอบ

จุดปลายทางที่ใช้สำหรับการสร้างบัญชีและการยืนยันคีย์นั้นสามารถเข้าถึงได้เฉพาะผ่านโครงสร้างควบคุมของเราเองเท่านั้น โดยจะมีการยืนยันตัวตนที่ขอบเครือข่ายก่อนที่คำขอจะมาถึง และยังมีการยืนยันอีกครั้งด้วยค่าลับที่ใช้ร่วมกัน คือมีการล็อกสองชั้น ไม่ใช่ชั้นเดียว

ล้มเหลวในการปิด

เมื่อมีสิ่งใดหายไปหรืออ่านไม่ได้ บริการจะปฏิเสธแทนที่จะเดา คีย์ที่ไม่สามารถตรวจสอบได้จะถูกปฏิเสธ สิทธิ์ที่เสียหายไม่ให้สิทธิ์ใดๆ เลย ค่าลับสำหรับการเซ็นชื่อเว็บฮุคที่หายไปจะปฏิเสธทุกเหตุการณ์แทนที่จะเชื่อสิ่งที่เข้ามา นี่คือท่าทีที่ตั้งใจไว้: รูปแบบความล้มเหลวของบริการความจำควรเป็น “ไม่มีคำตอบ” ไม่ใช่ “คำตอบของลูกค้าคนอื่น”

ทุกครั้งที่ปล่อยออกมา จะถูกตรวจสอบจากภายนอก

ก่อนปล่อยผลิตภัณฑ์ใดๆ ระบบอัตโนมัติจะตรวจสอบผลิตภัณฑ์ทั้งหมดตั้งแต่การสร้างบัญชีใหม่ ผ่านการเชื่อมต่อเครือข่ายจริง ไปจนถึงการสมัคร การออกและยกเลิกคีย์ การจัดเก็บและเรียกคืนความทรงจำ การแยกบัญชีที่ใช้งานอยู่สองบัญชี การส่งออกข้อมูล และการลบข้อมูลทั้งหมด หากผ่านทุกขั้นตอนจึงจะปล่อย มิฉะนั้นจะไม่มีการปล่อย

รายงานปัญหาด้านความปลอดภัย

หากคุณเชื่อว่าคุณได้ค้นพบช่องโหว่ กรุณาแจ้งให้เราทราบก่อนที่จะบอกกับใครก็ตาม เราจะร่วมมือกับคุณ ข้อมูลการติดต่อมีให้อ่านที่ /.well-known/security.txt หรือเขียนถึง [email protected]. เราจะไม่ข่มขู่นักวิจัยที่รายงานด้วยความสุจริต

ข้อกำหนดที่เข้มงวดกว่า เช่น ข้อตกลงการประมวลผลข้อมูล การติดตั้งเฉพาะในภูมิภาคที่คุณเลือก หรือการเก็บการจัดการข้อมูลไว้ในสหภาพยุโรป เป็นสิ่งที่เราจัดการให้โดยตรง สอบถามได้