Segurança

Uma máquina própria

Cada sandbox e cada instância de um Cubo é uma microVM Firecracker própria, executando uma imagem OCI. Comandos e arquivos chegam a ela por um agente dentro da máquina, e não pela rede. Tudo em um sandbox pertence a um único projeto.

O processo de cada microVM roda em uma jail própria: um diretório raiz próprio sem mais nada dentro, um usuário próprio sem privilégios, limites próprios de processos e recursos, e só os três dispositivos de que uma máquina virtual precisa.

A rede

• Um sandbox não tem endereço IPv4 público para tráfego de entrada. Os visitantes chegam a ele por links de prévia, endereços de Cubos e os seus próprios domínios; você chega a ele pela API, pelo console e pelo gateway SSH.
• Conexões de saída para a porta 25 (e-mail) são bloqueadas por padrão, e regras de saída restringem os destinos a que um sandbox pode se conectar.
• Cada projeto tem uma rede privada própria, na qual os seus serviços se encontram pelo nome.

Chaves e acesso

• Uma chave de API pertence a um único projeto e abre só o que os escopos dela permitem: leitura; criação e alteração; execução de comandos, arquivos, terminais e links; ou administração do projeto.
• Os membros de uma conta são proprietários, administradores ou membros. Só os proprietários cuidam da cobrança e podem encerrar a conta.
• Um log de auditoria registra o que é feito em um projeto; chaves com o escopo admin podem lê-lo.

Seus dados

• Usamos o seu conteúdo só para prestar o serviço, e não o vendemos. Nossa equipe só o acessa quando você pede suporte, quando é necessário para manter o serviço funcionando ou seguro ou para investigar abusos, ou quando a lei exige.
• O que um projeto guarda (os discos, a memória dos sandboxes adormecidos, os snapshots, os backups de volumes e os logs dos Cubos) é criptografado com a chave do próprio projeto antes de sair da máquina. A chave de um projeto não abre nada de outro.
• Segredos, configurações dos Cubos e certificados são criptografados com a nossa chave mestra, que fica no AWS Key Management Service e não é gravada em nenhum disco.
• Os backups de volumes são guardados por 1 a 365 dias, como você escolher.
• O seu cartão fica com a Stripe, nossa processadora de pagamentos. Guardamos só a bandeira, os quatro últimos dígitos, a data de validade e o país emissor.

A Política de Privacidade e o Acordo de Processamento de Dados dizem o resto.

Como relatar uma vulnerabilidade

Se você encontrar uma vulnerabilidade no Glac, escreva para security@glac.ai contando o que encontrou e como reproduzir. Pesquisas de segurança que sigam estas regras são bem-vindas:

• Use só contas, sandboxes e dados que sejam seus.
• Não abra, altere nem guarde dados de outros clientes. Se acabar acessando algum, pare e nos avise.
• Não degrade o serviço para os outros: nada de negação de serviço, de spam ou de enganar a nossa equipe ou os nossos clientes.
• Dê-nos 90 dias para corrigir o que você encontrou antes de torná-lo público, ou até que seja corrigido, se isso acontecer antes.

Se você seguir estas regras, não tomaremos medidas legais contra você pela sua pesquisa. Ainda não pagamos recompensas por relatos.

Se você acha que alguém usou a sua conta sem a sua permissão, escreva para o mesmo endereço imediatamente.