Sicherheit

Eine eigene Maschine

Jede Sandbox und jede Würfel-Instanz ist eine eigene Firecracker-microVM, die ein OCI-Image ausführt. Befehle und Dateien erreichen sie über einen Agenten in der Maschine, nicht über ihr Netzwerk. Alles in einer Sandbox gehört zu einem Projekt.

Der Prozess jeder microVM läuft in einem eigenen Jail: ein eigenes Root-Verzeichnis, in dem sonst nichts liegt, ein eigener Nutzer ohne Rechte, eigene Prozess- und Ressourcenlimits und nur die drei Geräte, die eine virtuelle Maschine braucht.

Das Netzwerk

• Eine Sandbox hat keine öffentliche IPv4-Adresse für eingehenden Traffic. Besucher erreichen sie über Vorschau-Links, die Adressen von Würfeln und deine eigenen Domains; du erreichst sie über die API, die Konsole und das SSH-Gateway.
• Ausgehende Verbindungen zu Port 25 (E-Mail) sind standardmäßig gesperrt, und Egress-Regeln beschränken, wohin sich eine Sandbox verbinden darf.
• Jedes Projekt hat ein eigenes privates Netzwerk, in dem sich seine Dienste über ihren Namen finden.

Schlüssel und Zugriff

• Ein API-Schlüssel gehört zu einem Projekt und öffnet nur, was seine Scopes erlauben: Lesen; Erstellen und Ändern; Befehle, Dateien, Terminals und Links nutzen; oder das Projekt verwalten.
• Die Mitglieder eines Kontos sind Inhaber, Admins oder Mitglieder. Nur Inhaber verwalten die Abrechnung und können das Konto schließen.
• Ein Audit-Log zeichnet auf, was in einem Projekt getan wird; Schlüssel mit dem Admin-Scope können es lesen.

Deine Daten

• Wir nutzen deine Inhalte nur, um den Dienst zu erbringen, und wir verkaufen sie nicht. Unser Team sieht sie sich nur an, wenn du um Support bittest, wenn es nötig ist, um den Dienst am Laufen oder sicher zu halten oder Missbrauch zu untersuchen, oder wenn das Gesetz es verlangt.
• Was ein Projekt speichert, seine Festplatten, der Arbeitsspeicher seiner schlafenden Sandboxen, seine Snapshots, Backups von Volumes und die Logs von Würfeln, wird mit dem eigenen Schlüssel dieses Projekts versiegelt, bevor es die Maschine verlässt. Der Schlüssel eines Projekts öffnet nichts von einem anderen.
• Secrets, Einstellungen von Würfeln und Zertifikate werden mit unserem Hauptschlüssel versiegelt, der im AWS Key Management Service verwahrt und auf keiner Festplatte gespeichert wird.
• Backups von Volumes werden 1 bis 365 Tage aufbewahrt, je nach deiner Wahl.
• Deine Karte wird von Stripe verwahrt, unserem Zahlungsdienstleister. Wir speichern nur ihre Marke, die letzten vier Ziffern, das Ablaufdatum und das Ausgabeland.

Die Datenschutzerklärung und der Auftragsverarbeitungsvertrag regeln den Rest.

Eine Schwachstelle melden

Wenn du eine Schwachstelle in Glac findest, schreib an security@glac.ai, was du gefunden hast und wie es sich reproduzieren lässt. Wir begrüßen Sicherheitsforschung, die sich an diese Regeln hält:

• Nutze nur Konten, Sandboxen und Daten, die dir gehören.
• Öffne, ändere oder behalte keine Daten anderer Kunden. Stößt du auf welche, hör auf und sag es uns.
• Beeinträchtige den Dienst nicht für andere: kein Denial of Service, kein Spam, keine Täuschung unseres Teams oder unserer Kunden.
• Gib uns 90 Tage, um zu beheben, was du gefunden hast, bevor du es veröffentlichst, oder bis es behoben ist, falls das früher ist.

Wenn du dich an diese Regeln hältst, gehen wir wegen deiner Forschung nicht rechtlich gegen dich vor. Belohnungen für Meldungen zahlen wir noch nicht.

Wenn du glaubst, dass jemand dein Konto ohne deine Erlaubnis genutzt hat, schreib sofort an dieselbe Adresse.