Sicurezza

Una macchina tutta sua

Ogni sandbox e ogni istanza di un Cubo è una microVM Firecracker a sé, che esegue un’immagine OCI. Comandi e file la raggiungono tramite un agente all’interno della macchina, non tramite la sua rete. Tutto ciò che è in una sandbox appartiene a un solo progetto.

Il processo di ogni microVM gira in una jail dedicata: una directory root propria e vuota, un utente proprio senza privilegi, limiti propri di processi e risorse, e solo i tre dispositivi di cui ha bisogno una macchina virtuale.

La rete

• Una sandbox non ha un indirizzo IPv4 pubblico per il traffico in entrata. I visitatori la raggiungono tramite i link di anteprima, gli indirizzi dei Cubi e i tuoi domini; tu la raggiungi tramite l’API, la console e il gateway SSH.
• Le connessioni in uscita verso la porta 25 (email) sono bloccate per impostazione predefinita, e le regole di uscita limitano dove una sandbox può collegarsi.
• Ogni progetto ha la sua rete privata, in cui i suoi servizi si trovano per nome.

Chiavi e accesso

• Una chiave API appartiene a un solo progetto e apre solo ciò che i suoi ambiti consentono: lettura; creazione e modifica; esecuzione di comandi, file, terminali e link; o amministrazione del progetto.
• I membri di un account sono proprietari, amministratori o membri. Solo i proprietari gestiscono la fatturazione e possono chiudere l’account.
• Un registro di audit annota ciò che si fa in un progetto; le chiavi con l’ambito admin possono leggerlo.

I tuoi dati

• Usiamo i tuoi contenuti solo per fornire il servizio, e non li vendiamo. Il nostro personale li guarda solo quando chiedi assistenza, quando serve a mantenere il servizio funzionante o sicuro o a indagare su un abuso, o quando lo richiede la legge.
• Ciò che un progetto conserva, i suoi dischi, la memoria delle sue sandbox dormienti, i suoi snapshot, i backup dei volumi e i log dei Cubi, viene sigillato con la chiave propria di quel progetto prima di lasciare la macchina. La chiave di un progetto non apre nulla di un altro.
• Segreti, impostazioni dei Cubi e certificati sono sigillati con la nostra chiave master, custodita in AWS Key Management Service e non salvata su nessun disco.
• I backup dei volumi sono conservati da 1 a 365 giorni, come scegli tu.
• La tua carta è custodita da Stripe, il nostro processore di pagamenti. Conserviamo solo il circuito, le ultime quattro cifre, la data di scadenza e il paese di emissione.

Il resto è nell’Informativa sulla privacy e nell’Accordo sul trattamento dei dati.

Segnalare una vulnerabilità

Se trovi una vulnerabilità in Glac, scrivi a security@glac.ai spiegando cosa hai trovato e come riprodurlo. Accogliamo volentieri la ricerca sulla sicurezza che rispetta queste regole:

• Usa solo account, sandbox e dati che sono tuoi.
• Non aprire, modificare o conservare i dati di altri clienti. Se ne raggiungi qualcuno, fermati e avvisaci.
• Non degradare il servizio per gli altri: niente denial of service, niente spam, nessun raggiro del nostro personale o dei clienti.
• Dacci 90 giorni per correggere ciò che hai trovato prima di renderlo pubblico, o fino alla correzione, se avviene prima.

Se rispetti queste regole, non intraprenderemo azioni legali contro di te per la tua ricerca. Per ora non paghiamo ricompense per le segnalazioni.

Se pensi che qualcuno abbia usato il tuo account senza il tuo permesso, scrivi subito allo stesso indirizzo.