Bảo mật

Một cơ sở dữ liệu cho mỗi khách hàng

Bộ nhớ của bạn không phải là một hàng trong bảng dùng chung với cột khách hàng. Mỗi khách hàng có cơ sở dữ liệu riêng. Không có bảng dùng chung và không có truy vấn xuyên khách hàng để gây sai, vì ranh giới chính là cơ sở dữ liệu chứ không phải bộ lọc mà ai đó phải nhớ viết.

Giới hạn đó được kiểm tra từ bên ngoài trong mỗi lần phát hành: hai tài khoản thật sẽ được sử dụng, và mọi cổng truyền dữ liệu đều được kiểm tra để đảm bảo rằng không tài khoản nào có thể nhìn thấy dữ liệu của tài khoản kia. Một phiên bản phần mềm sẽ không được phát hành nếu kiểm tra này không thành công.

Chìa khóa, và ai có thể sử dụng chúng

Chúng tôi không thể hiển thị khóa của riêng bạn

Khóa API chỉ được hiển thị cho bạn đúng một lần, khi tạo. Chúng tôi lưu trữ một hàm băm SHA-256 — nên việc sao chép cơ sở dữ liệu của chúng tôi không mang lại cho ai một khóa hoạt động, và cả chúng tôi lẫn kẻ tấn công đều không thể đọc lại khóa của bạn. Việc thu hồi khóa có hiệu lực trên dịch vụ trong khoảng một phút, và ngay lập tức trên máy phục vụ bộ nhớ của bạn.

Có thể thu hẹp danh sách các khóa.

Khóa không nhất thiết phải toàn năng. Khóa có thể Được giới hạn theo từng dự án — Đọc và ghi, chỉ đọc, hoặc hoàn toàn vô hình – đây là dạng phù hợp cho nhà thầu, công việc CI, hoặc tác nhân một mục đích không cần đọc phần còn lại của công việc bạn. Một khóa có phạm vi bị hỏng hoặc không đọc được sẽ bị từ chối mọi quyền thay vì được cấp mọi quyền.

Xác thực hai yếu tố

Tài khoản của bạn có thể yêu cầu yếu tố thứ hai khi đăng nhập, và khi bạn bật nó, nó được thực thi khi đăng nhập, không chỉ hiển thị như cài đặt. Chúng tôi khuyến nghị và không ép buộc: bộ nhớ của bạn chỉ được bảo vệ như tài khoản giữ nó, nhưng việc xóa dữ liệu của bạn phụ thuộc vào việc đăng ký điện thoại sẽ tệ hơn.

Bảo vệ khỏi chính các đại lý của mình

Đây là phần mà hầu hết dịch vụ không nghĩ tới. Bộ nhớ của bạn liên tục được vận hành bởi các tác nhân AI — và một tác nhân có thể mắc lỗi, nhận chỉ thị độc hại ẩn trong nội dung được yêu cầu đọc, hoặc xóa nhầm thứ vài giờ trước khi con người phát hiện.

Vì vậy, hồ sơ cuộc trò chuyện gốc cố tình được giữ ngoài tầm với của họ. Không có nhân viên nào có thể xóa một tin nhắn riêng lẻ. Cũng không có nhân viên nào có thể can thiệp vào dữ liệu trong ba tháng gần nhất.Các dữ liệu lịch sử cũ chỉ có thể được xóa theo nhóm, tùy theo từng dự án. Việc xóa toàn bộ một dự án – hành động duy nhất có thể xóa toàn bộ dữ liệu trong hồ sơ – thì không ai trong số các nhân viên ở bất kỳ cấp độ nào cũng không thể thực hiện được; việc này phải được thực hiện trên bảng điều khiển tài khoản, nơi mà người dùng phải tự gõ tên dự án.

Lý do tại sao điều này quan trọng rất đơn giản: ký ức được chọn lọc là thứ được tạo ra từ bản gốc, còn bản gốc chính là kho lưu trữ. Bất cứ thứ gì bị mất do việc chỉnh sửa sai lầm đều có thể được khôi phục từ lịch sử. Nhưng không có gì có thể khôi phục lại chính lịch sử được.

Mã hóa, sao lưu và nơi dữ liệu của bạn sống

Dữ liệu truyền tải được mã hóa bằng TLS. Khi nghỉ, bộ nhớ của bạn cũng được mã hóa. hai lần: Mã hóa toàn bộ dữ liệu ở cấp độ sâu nhất; bên cạnh đó, cơ sở dữ liệu của bạn – mọi cuộc trò chuyện, mọi bản ghi, và nhật ký ghi nhập – cũng đều được mã hóa. khóa riêng của bạn dành cho mỗi khách hàng, Tách biệt khỏi dữ liệu của bất kỳ khách hàng nào khác. Chìa khóa dùng để mở khóa thể tích lưu trữ không hề được lưu trữ trên máy chủ cơ sở dữ liệu; một đĩa bị đánh cắp, một bản sao dữ liệu bị rò rỉ, hoặc một ổ đĩa đã ngừng sử dụng đều chẳng có giá trị gì cả.

Việc xóa dữ liệu được thực hiện bằng công nghệ mã hóa.

Vì mỗi khách hàng đều có chìa khóa riêng của mình, nên việc xóa dữ liệu của bạn không phải là giải pháp khả thi khi muốn xóa toàn bộ dữ liệu trong bộ nhớ lưu trữ. Chìa khóa của bạn đã bị phá hủy và cơ sở dữ liệu của bạn cũng bị mất., Và những gì còn lại thì không ai có thể đọc được, kể cả chúng tôi. Các bản sao đã được mã hóa sẽ bị xóa ngay lập tức, thay vì để chúng hết hạn sử dụng; bất kỳ bản sao nào còn sót lại cũng sẽ bị xóa trong quá trình hoạt động của hệ thống sao lưu, tối đa là trong vòng 30 ngày. Chúng tôi không còn bản sao nào để lấy lại được nữa.

Những gì mà việc mã hóa theo từng khách hàng không thể bảo vệ được

Hai giới hạn rõ ràng. Trình điều khiển cơ sở dữ liệu lưu trữ các thống kê về kế hoạch truy vấn nội bộ, bao gồm các mẫu giá trị của cột; những mẫu này được mã hóa, chứ không phải được bảo vệ bằng khóa cá nhân của bạn. Việc mã hóa dữ liệu khi nghỉ ngơi có nghĩa là dữ liệu đó vẫn cần được giải mã để phục vụ các cuộc tìm kiếm và công việc xử lý dữ liệu; do đó, chính sách và biện pháp kiểm soát truy cập của chúng tôi là “chúng tôi không bao giờ xem dữ liệu của bạn”, chứ không phải do tính bất khả thi về mặt toán học. Chúng tôi thà nói rõ giới hạn ấy cho bạn biết còn hơn để bạn tự cho rằng không có giới hạn nào cả.

Các bản sao lưu được thực hiện hàng đêm. Được mã hóa trước khi rời khỏi máy của chúng tôi, Chúng được lưu trữ tại các địa điểm bên ngoài khu vực EU theo lịch trình xoay vòng, với thời hạn lưu trữ tối đa là ba tháng. Khi một tài khoản bị xóa, các bản sao lưu của nó cũng sẽ bị xóa theo; những bản sao còn lại sẽ được xóa hết trong vòng 30 ngày.

Bộ nhớ của bạn được lưu trữ, lập chỉ mục và tìm kiếm hoàn toàn trong EU — máy chủ của chúng tôi ở Frankfurt và bản sao lưu ở Falkenstein, cả hai đều ở Đức. Các vector nhúng tìm kiếm được tính trên máy của chúng tôi và không bao giờ rời khỏi chúng.

Ngoại lệ duy nhất là việc tuyển chọn bằng AI. Đoạn văn bản đang được tuyển chọn sẽ được gửi đến Ollama, tại Hoa Kỳ, Đã được xử lý và trả về. Điều khoản công bố của Ollama nêu rõ đầu vào và đầu ra được xử lý tạm thời và không bao giờ dùng để huấn luyện mô hình — đó là cam kết của họ, theo điều khoản của họ, và chúng tôi nêu rõ đó là của họ chứ không phải lời hứa của chúng tôi. Không gì khác rời khỏi EU. Nếu bạn cần việc tuyển chọn cũng không rời khỏi EU, điều đó có sẵn trong triển khai chuyên dụng — hãy hỏi. Mỗi bộ xử lý phụ, với mục đích và vị trí, được liệt kê trong Chính sách bảo mật.

Cách chúng tôi vận hành

Quyền hạn tối thiểu, theo mặc định

Dịch vụ chạy với tư cách người dùng không có đặc quyền trong container của nó, không bao giờ là root. Vai trò cơ sở dữ liệu của nó không phải là siêu người dùng và không thể đọc tệp từ máy chủ. Những điều này được xác minh tự động trước mỗi bản phát hành thay vì chỉ giả định.

Các điểm cuối nội bộ được khóa ở rìa.

Các điểm cuối dùng để tạo tài khoản và xác thực khóa chỉ có thể được truy cập thông qua mặt phẳng kiểm soát của chúng tôi; việc xác thực được thực hiện ngay tại rìa mạng trước khi yêu cầu được gửi đến, và một lần nữa thông qua mật khẩu chung được sử dụng để bảo mật. Có hai lớp bảo mật, chứ không phải một.

Thất bại, đóng

Khi có gì đó thiếu hoặc không đọc được, dịch vụ từ chối thay vì đoán. Khóa không thể xác minh bị từ chối. Quyền bị hỏng không cấp gì. Bí mật ký webhook thiếu sẽ từ chối mọi sự kiện thay vì tin vào những gì đến. Đây là tư thế có chủ đích: chế độ lỗi của dịch vụ bộ nhớ nên là “không trả lời”, không bao giờ là “trả lời của khách hàng sai”.

Mọi bản phát hành đều được kiểm chứng từ bên ngoài

Trước khi bất kỳ bản phát hành nào ra mắt, một cổng tự động chạy toàn bộ sản phẩm từ một tài khoản hoàn toàn mới qua kết nối mạng thực: đăng ký, cấp và thu hồi khóa, lưu trữ và gọi lại bộ nhớ, cô lập giữa hai tài khoản đang hoạt động, xuất dữ liệu, và xóa hoàn toàn. Nó hoặc vượt qua hoàn toàn hoặc bản phát hành không diễn ra.

Báo cáo vấn đề bảo mật

Nếu bạn tin rằng mình đã phát hiện ra một lỗ hổng bảo mật, xin vui lòng thông báo cho chúng tôi trước khi nói với bất kỳ ai khác. Chúng tôi sẽ hợp tác cùng bạn. Thông tin liên hệ được công bố tại /.well-known/security.txt hoặc viết thư cho [email protected]. Chúng tôi không đe dọa các nhà nghiên cứu báo cáo thiện chí.

Các yêu cầu sâu hơn — thỏa thuận xử lý dữ liệu, triển khai chuyên dụng tại khu vực bạn chọn, hoặc giữ việc chọn lọc trong EU — là những thứ chúng tôi xử lý trực tiếp. Hãy hỏi.