Seguridad

Una máquina propia

Cada sandbox y cada instancia de un Cubo es una microVM de Firecracker propia, que ejecuta una imagen OCI. Los comandos y los archivos le llegan a través de un agente dentro de la máquina, no a través de su red. Todo lo que hay en un sandbox pertenece a un solo proyecto.

El proceso de cada microVM se ejecuta en su propia jaula: su propio directorio raíz sin nada más dentro, su propio usuario sin privilegios, sus propios límites de procesos y recursos, y solo los tres dispositivos que necesita una máquina virtual.

La red

• Un sandbox no tiene dirección IPv4 pública para el tráfico entrante. Los visitantes llegan a él por enlaces de vista previa, direcciones de Cubos y tus propios dominios; tú llegas a él por la API, la consola y la pasarela SSH.
• Las conexiones salientes al puerto 25 (correo) están bloqueadas por defecto, y las reglas de salida restringen adónde puede conectarse un sandbox.
• Cada proyecto tiene su propia red privada, en la que sus servicios se encuentran entre sí por nombre.

Claves y acceso

• Una clave de API pertenece a un solo proyecto y solo abre lo que permiten sus ámbitos: leer; crear y modificar; ejecutar comandos y usar archivos, terminales y enlaces; o administrar el proyecto.
• Los miembros de una cuenta son propietarios, administradores o miembros. Solo los propietarios gestionan la facturación y pueden cerrar la cuenta.
• Un registro de auditoría anota lo que se hace en un proyecto; las claves con el ámbito admin pueden leerlo.

Tus datos

• Usamos tu contenido solo para prestar el servicio, y no lo vendemos. Nuestro personal solo lo mira cuando pides soporte, cuando hace falta para mantener el servicio en marcha o seguro o para investigar un abuso, o cuando la ley lo exige.
• Lo que guarda un proyecto (sus discos, la memoria de sus sandboxes dormidos, sus instantáneas, las copias de seguridad de volúmenes y los registros de los Cubos) se cifra con la clave propia de ese proyecto antes de salir de la máquina. La clave de un proyecto no abre nada de otro.
• Los secretos, la configuración de los Cubos y los certificados se cifran con nuestra clave maestra, que se custodia en AWS Key Management Service y no se guarda en ningún disco.
• Las copias de seguridad de los volúmenes se guardan de 1 a 365 días, según elijas.
• Tu tarjeta la custodia Stripe, nuestro procesador de pagos. Solo guardamos su marca, los cuatro últimos dígitos, la fecha de vencimiento y el país emisor.

La Política de privacidad y el Acuerdo de tratamiento de datos detallan el resto.

Notificar una vulnerabilidad

Si encuentras una vulnerabilidad en Glac, escribe a security@glac.ai con lo que encontraste y cómo reproducirlo. Agradecemos la investigación de seguridad que respete estas reglas:

• Usa solo cuentas, sandboxes y datos que sean tuyos.
• No abras, modifiques ni guardes datos de otros clientes. Si llegas a alguno, detente y avísanos.
• No degrades el servicio para los demás: nada de denegación de servicio, nada de spam, nada de engañar a nuestro personal o a nuestros clientes.
• Danos 90 días para corregir lo que encontraste antes de hacerlo público, o hasta que esté corregido, si eso ocurre antes.

Si respetas estas reglas, no emprenderemos acciones legales contra ti por tu investigación. Todavía no pagamos recompensas por los informes.

Si crees que alguien ha usado tu cuenta sin tu permiso, escribe de inmediato a la misma dirección.