セキュリティ

お客様ごとのコードとデータをどう分離し、どう扱うか、そして脆弱性の報告方法。

専用のマシン

すべてのサンドボックスとすべてのキューブのインスタンスは、1 つの OCI イメージを実行する専用の Firecracker microVM です。コマンドとファイルは、ネットワークではなくマシン内部のエージェントを通じて届きます。サンドボックスの中のものはすべて 1 つのプロジェクトに属します。

各 microVM のプロセスは専用の jail の中で動きます。ほかに何もない専用のルートディレクトリ、権限のない専用のユーザー、個別のプロセス数とリソースの制限、そして仮想マシンに必要な 3 つのデバイスだけです。

サンドボックスには、受信トラフィック用のパブリック IPv4 アドレスはありません。訪問者はプレビューリンク、キューブのアドレス、独自ドメインを通じてアクセスし、ご自身は API、コンソール、SSH ゲートウェイからアクセスします。
ポート 25（メール）への外向きの接続はデフォルトでブロックされ、エグレスルールでサンドボックスの接続先を制限できます。
各プロジェクトには専用のプライベートネットワークがあり、サービス同士は名前で互いにアクセスできます。

API キーは 1 つのプロジェクトに属し、スコープで許可された操作だけができます。スコープは、読み取り、作成と変更、コマンド・ファイル・ターミナル・リンクの実行、プロジェクトの管理のいずれかです。
アカウントのメンバーは、オーナー、管理者、メンバーのいずれかです。課金を管理し、アカウントを閉鎖できるのはオーナーだけです。
プロジェクトで行われた操作は監査ログに記録され、admin スコープを持つキーで読み取れます。

お客様のコンテンツはサービスの提供のためだけに使い、販売することはありません。スタッフがコンテンツを見るのは、サポートを依頼された場合、サービスの稼働や安全の維持、悪用の調査に必要な場合、または法律で求められた場合だけです。
プロジェクトが保持するもの（ディスク、スリープ中のサンドボックスのメモリ、スナップショット、ボリュームのバックアップ、キューブのログ）は、マシンの外に出る前に、そのプロジェクト専用の暗号鍵で暗号化されます。あるプロジェクトの鍵で、ほかのプロジェクトのデータを開くことはできません。
シークレット、キューブの設定、証明書は Glac のマスター鍵で暗号化されます。マスター鍵は AWS Key Management Service で管理され、どのディスクにも保存されません。
ボリュームのバックアップは、選択に応じて 1〜365 日間保持されます。
カード情報は決済代行会社の Stripe が保管します。Glac が保持するのは、カードのブランド、下 4 桁、有効期限、発行国だけです。

Glac に脆弱性を見つけた場合は、発見した内容と再現手順を security@glac.ai までお送りください。次のルールを守ったセキュリティ調査を歓迎します。

これらのルールを守っていただける限り、調査を理由に法的措置をとることはありません。報告への報奨金は、現時点では支払っていません。

アカウントが不正に使われたと思われる場合は、すぐに同じアドレスへご連絡ください。