אבטחה

מכונה משלו

כל ארגז חול וכל מופע של קובייה הוא microVM נפרד של Firecracker, שמריץ אימג׳ OCI אחד. פקודות וקבצים מגיעים אליו דרך סוכן שבתוך המכונה, לא דרך הרשת שלו. כל מה שבארגז חול שייך לפרויקט אחד.

התהליך של כל microVM רץ בכלא משלו: תיקיית שורש משלו שאין בה שום דבר אחר, משתמש משלו בלי הרשאות, מגבלות תהליכים ומשאבים משלו, ורק שלושת ההתקנים שמכונה וירטואלית צריכה.

הרשת

• לארגז חול אין כתובת IPv4 ציבורית לתעבורה נכנסת. מבקרים מגיעים אליו דרך קישורי תצוגה מקדימה, כתובות של קוביות והדומיינים שלכם; אתם מגיעים אליו דרך ה-API, הקונסולה ושער ה-SSH.
• חיבורים יוצאים לפורט 25 (אימייל) חסומים כברירת מחדל, וכללי תעבורה יוצאת מגבילים לאן ארגז חול יכול להתחבר.
• לכל פרויקט יש רשת פרטית משלו, שבה השירותים שלו מוצאים זה את זה לפי שם.

מפתחות וגישה

• מפתח API שייך לפרויקט אחד ופותח רק את מה שההרשאות שלו מאפשרות: קריאה; יצירה ושינוי; הרצת פקודות, קבצים, טרמינלים וקישורים; או ניהול הפרויקט.
• חברי החשבון הם בעלים, מנהלים או חברים. רק הבעלים מנהלים את החיוב ויכולים לסגור את החשבון.
• יומן ביקורת רושם את מה שנעשה בפרויקט; מפתחות עם הרשאת admin יכולים לקרוא אותו.

הנתונים שלכם

• אנחנו משתמשים בתוכן שלכם רק כדי לספק את השירות, ולא מוכרים אותו. הצוות שלנו מסתכל בו רק כשאתם מבקשים תמיכה, כשזה נדרש כדי לשמור על השירות פעיל או מאובטח או כדי לחקור שימוש לרעה, או כשהחוק מחייב זאת.
• מה שפרויקט שומר, הדיסקים שלו, הזיכרון של ארגזי החול הרדומים שלו, תמונות המצב שלו, גיבויים של אמצעי אחסון והלוגים של קוביות, מוצפן במפתח של הפרויקט עצמו לפני שהוא יוצא מהמכונה. המפתח של פרויקט אחד לא פותח שום דבר של פרויקט אחר.
• סודות, הגדרות של קוביות ותעודות מוצפנים במפתח הראשי שלנו, שמוחזק ב-AWS Key Management Service ולא נשמר על שום דיסק.
• גיבויים של אמצעי אחסון נשמרים בין יום אחד ל-365 ימים, לפי בחירתכם.
• הכרטיס שלכם מוחזק אצל Stripe, מעבד התשלומים שלנו. אנחנו שומרים רק את המותג שלו, ארבע הספרות האחרונות, תאריך התפוגה ומדינת ההנפקה.

מדיניות הפרטיות והסכם עיבוד הנתונים מפרטים את השאר.

דיווח על חולשה

אם מצאתם חולשה ב-Glac, כתבו ל-security@glac.ai מה מצאתם ואיך לשחזר את זה. אנחנו מברכים על מחקר אבטחה שעומד בכללים האלה:

• השתמשו רק בחשבונות, בארגזי חול ובנתונים שלכם.
• אל תפתחו, תשנו או תשמרו נתונים של לקוחות אחרים. אם הגעתם לנתונים כאלה, עצרו וספרו לנו.
• אל תפגעו בשירות שאחרים מקבלים: בלי מניעת שירות, בלי ספאם, ובלי להונות את הצוות או הלקוחות שלנו.
• תנו לנו 90 ימים לתקן את מה שמצאתם לפני שאתם מפרסמים אותו, או עד שהוא מתוקן, אם זה קורה קודם.

אם תעמדו בכללים האלה, לא ננקוט נגדכם צעדים משפטיים בגלל המחקר שלכם. אנחנו עדיין לא משלמים תגמולים על דיווחים.

אם אתם חושבים שמישהו השתמש בחשבון שלכם בלי רשותכם, כתבו מיד לאותה כתובת.