Bezpieczeństwo

Własna maszyna

Każda piaskownica i każda instancja Kostki to osobna microVM Firecracker, w której działa jeden obraz OCI. Polecenia i pliki docierają do niej przez agenta wewnątrz maszyny, a nie przez jej sieć. Wszystko w piaskownicy należy do jednego projektu.

Proces każdej microVM działa we własnym więzieniu (jail): z własnym katalogiem głównym, w którym nie ma nic więcej, własnym użytkownikiem bez uprawnień, własnymi limitami procesów i zasobów i tylko trzema urządzeniami, których potrzebuje maszyna wirtualna.

Sieć

• Piaskownica nie ma publicznego adresu IPv4 dla ruchu przychodzącego. Odwiedzający docierają do niej przez linki podglądu, adresy Kostek i własne domeny; Ty – przez API, konsolę i bramę SSH.
• Połączenia wychodzące na port 25 (poczta e-mail) są domyślnie blokowane, a reguły ruchu wychodzącego ograniczają, dokąd piaskownica może się łączyć.
• Każdy projekt ma własną sieć prywatną, w której jego usługi odnajdują się po nazwie.

Klucze i dostęp

• Klucz API należy do jednego projektu i otwiera tylko to, na co pozwalają jego zakresy: odczyt; tworzenie i zmiany; uruchamianie poleceń, operacje na plikach, terminale i linki; albo administrowanie projektem.
• Członkowie konta mają rolę właściciela, administratora lub członka. Tylko właściciele zarządzają rozliczeniami i mogą zamknąć konto.
• Dziennik audytu zapisuje, co dzieje się w projekcie; mogą go czytać klucze z zakresem admin.

Twoje dane

• Używamy Twoich treści wyłącznie do świadczenia usługi i ich nie sprzedajemy. Nasi pracownicy zaglądają do nich tylko wtedy, gdy prosisz o wsparcie, gdy jest to potrzebne do utrzymania działania lub bezpieczeństwa usługi albo do zbadania nadużycia, lub gdy wymaga tego prawo.
• To, co przechowuje projekt – jego dyski, pamięć uśpionych piaskownic, migawki, kopie zapasowe woluminów i logi Kostek – jest szyfrowane własnym kluczem tego projektu, zanim opuści maszynę. Klucz jednego projektu nie otwiera niczego z innego.
• Sekrety, ustawienia Kostek i certyfikaty są szyfrowane naszym kluczem głównym, przechowywanym w AWS Key Management Service i nigdy nie zapisywanym na dysku.
• Kopie zapasowe woluminów są przechowywane od 1 do 365 dni, według Twojego wyboru.
• Twoją kartę przechowuje Stripe, nasz operator płatności. My przechowujemy tylko jej markę, cztery ostatnie cyfry, datę ważności i kraj wydania.

Resztę opisują Polityka prywatności i Umowa powierzenia przetwarzania danych.

Zgłaszanie luk

Jeśli znajdziesz lukę na platformie Glac, napisz na security@glac.ai, opisując znalezisko i sposób jego odtworzenia. Chętnie przyjmujemy badania bezpieczeństwa, które przestrzegają tych zasad:

• Korzystaj tylko z kont, piaskownic i danych, które należą do Ciebie.
• Nie otwieraj, nie zmieniaj ani nie zatrzymuj danych innych klientów. Jeśli do jakichś dotrzesz, przerwij i daj nam znać.
• Nie pogarszaj działania usługi dla innych: żadnych ataków odmowy usługi, spamu ani oszukiwania naszych pracowników lub klientów.
• Zanim upublicznisz to, co znajdziesz, daj nam 90 dni na naprawę albo poczekaj do naprawy, jeśli nastąpi wcześniej.

Jeśli przestrzegasz tych zasad, nie podejmiemy wobec Ciebie kroków prawnych z powodu Twoich badań. Na razie nie wypłacamy nagród za zgłoszenia.

Jeśli uważasz, że ktoś użył Twojego konta bez Twojej zgody, od razu napisz na ten sam adres.