Sécurité

Une machine dédiée

Chaque bac à sable et chaque instance d’un Cube est une microVM Firecracker dédiée, qui exécute une image OCI. Commandes et fichiers l’atteignent par un agent à l’intérieur de la machine, et non par son réseau. Tout ce qui est dans un bac à sable appartient à un seul projet.

Le processus de chaque microVM tourne dans sa propre prison : son propre répertoire racine sans rien d’autre dedans, son propre utilisateur sans privilèges, ses propres limites de processus et de ressources, et seulement les trois périphériques dont une machine virtuelle a besoin.

Le réseau

• Un bac à sable n’a pas d’adresse IPv4 publique pour le trafic entrant. Les visiteurs le joignent par les liens d’aperçu, les adresses des Cubes et vos propres domaines ; vous le joignez par l’API, la console et la passerelle SSH.
• Les connexions sortantes vers le port 25 (e-mail) sont bloquées par défaut, et des règles de sortie limitent ce qu’un bac à sable peut joindre.
• Chaque projet a son propre réseau privé, sur lequel ses services se trouvent par leur nom.

Clés et accès

• Une clé API appartient à un seul projet et n’ouvre que ce que permettent ses portées : la lecture ; la création et la modification ; l’exécution de commandes, les fichiers, les terminaux et les liens ; ou l’administration du projet.
• Les membres d’un compte sont propriétaires, administrateurs ou membres. Seuls les propriétaires gèrent la facturation et peuvent fermer le compte.
• Un journal d’audit enregistre ce qui est fait dans un projet ; les clés ayant la portée admin peuvent le lire.

Vos données

• Nous n’utilisons votre contenu que pour fournir le service, et nous ne le vendons pas. Notre personnel ne le consulte que si vous demandez de l’aide, si c’est nécessaire pour assurer le fonctionnement ou la sécurité du service ou pour enquêter sur un abus, ou si la loi l’exige.
• Ce que garde un projet, ses disques, la mémoire de ses bacs à sable endormis, ses instantanés, les sauvegardes de volumes et les journaux des Cubes, est chiffré avec la propre clé de ce projet avant de quitter la machine. La clé d’un projet n’ouvre rien de ce qui appartient à un autre.
• Les secrets, les réglages des Cubes et les certificats sont chiffrés avec notre clé maîtresse, détenue dans AWS Key Management Service et jamais écrite sur disque.
• Les sauvegardes de volumes sont conservées de 1 à 365 jours, selon votre choix.
• Votre carte est conservée par Stripe, notre prestataire de paiement. Nous ne gardons que sa marque, ses quatre derniers chiffres, sa date d’expiration et son pays d’émission.

La Politique de confidentialité et l’Accord de traitement des données précisent le reste.

Signaler une faille

Si vous trouvez une faille dans Glac, écrivez à security@glac.ai en indiquant ce que vous avez trouvé et comment le reproduire. Nous accueillons volontiers les recherches en sécurité qui respectent ces règles :

• N’utilisez que des comptes, des bacs à sable et des données qui sont les vôtres.
• N’ouvrez, ne modifiez ni ne gardez les données d’autres clients. Si vous y accédez, arrêtez-vous et prévenez-nous.
• Ne dégradez pas le service pour les autres : pas de déni de service, pas de spam, pas de manipulation de notre personnel ou de nos clients.
• Laissez-nous 90 jours pour corriger ce que vous avez trouvé avant de le rendre public, ou jusqu’à sa correction si elle intervient plus tôt.

Si vous respectez ces règles, nous n’engagerons pas de poursuites contre vous pour vos recherches. Nous ne versons pas encore de récompenses pour les signalements.

Si vous pensez que quelqu’un a utilisé votre compte sans votre permission, écrivez immédiatement à la même adresse.