Beveiliging

Een eigen machine

Elke sandbox en elke instantie van een Kubus is een eigen Firecracker-microVM, die één OCI-image draait. Commando’s en bestanden bereiken hem via een agent in de machine, niet via het netwerk. Alles in een sandbox hoort bij één project.

Het proces van elke microVM draait in een eigen jail: een eigen rootmap waar verder niets in staat, een eigen gebruiker zonder rechten, eigen limieten voor processen en resources, en alleen de drie apparaten die een virtuele machine nodig heeft.

Het netwerk

• Een sandbox heeft geen openbaar IPv4-adres voor inkomend verkeer. Bezoekers bereiken hem via previewlinks, de adressen van Kubussen en je eigen domeinen; jij bereikt hem via de API, de console en de SSH-gateway.
• Uitgaande verbindingen naar poort 25 (e-mail) zijn standaard geblokkeerd, en regels voor uitgaand verkeer bepalen waarmee een sandbox verbinding mag maken.
• Elk project heeft een eigen privénetwerk, waarop de services elkaar op naam vinden.

Sleutels en toegang

• Een API-sleutel hoort bij één project en opent alleen wat zijn scopes toestaan: lezen; aanmaken en wijzigen; commando’s uitvoeren en bestanden, terminals en links gebruiken; of het project beheren.
• De leden van een account zijn eigenaren, beheerders of leden. Alleen eigenaren regelen de facturering en kunnen het account opheffen.
• Een auditlog legt vast wat er in een project gebeurt; sleutels met de scope admin kunnen het lezen.

Je data

• We gebruiken je content alleen om de dienst te leveren, en we verkopen die niet. Onze medewerkers kijken er alleen naar als je om support vraagt, als het nodig is om de dienst draaiende of veilig te houden of om misbruik te onderzoeken, of als de wet het vereist.
• Wat een project bewaart, zijn schijven, het geheugen van zijn slapende sandboxen, zijn snapshots, back-ups van volumes en de logs van Kubussen, wordt met de eigen sleutel van dat project versleuteld voordat het de machine verlaat. De sleutel van het ene project opent niets van een ander.
• Geheimen, de instellingen van Kubussen en certificaten worden versleuteld met onze hoofdsleutel, die in AWS Key Management Service wordt beheerd en op geen enkele schijf staat.
• Back-ups van volumes worden 1 tot 365 dagen bewaard, naar keuze.
• Je kaart wordt bewaard door Stripe, onze betaalverwerker. Wij bewaren alleen het merk, de laatste vier cijfers, de vervaldatum en het land van uitgifte.

De rest staat in het Privacybeleid en de Verwerkersovereenkomst.

Een zwakke plek melden

Vind je een zwakke plek in Glac, schrijf dan naar security@glac.ai wat je vond en hoe je het kunt reproduceren. We verwelkomen beveiligingsonderzoek dat zich aan deze regels houdt:

• Gebruik alleen accounts, sandboxen en data die van jou zijn.
• Open, wijzig of bewaar geen data van andere klanten. Krijg je er toch toegang toe, stop dan en laat het ons weten.
• Verslechter de dienst niet voor anderen: geen denial of service, geen spam, geen misleiding van onze medewerkers of klanten.
• Geef ons 90 dagen om op te lossen wat je vond voordat je het openbaar maakt, of tot het opgelost is, als dat eerder is.

Als je je aan deze regels houdt, stappen we voor je onderzoek niet naar de rechter. We betalen nog geen beloningen voor meldingen.

Denk je dat iemand je account zonder jouw toestemming heeft gebruikt, schrijf dan meteen naar hetzelfde adres.