Безопасность

Собственная машина

Каждая песочница и каждый экземпляр Куба — собственная microVM на Firecracker, в которой работает один образ OCI. Команды и файлы попадают в неё через агент внутри машины, а не через её сеть. Всё в песочнице принадлежит одному проекту.

Процесс каждой microVM работает в собственной изолированной среде (jail): свой пустой корневой каталог, свой пользователь без привилегий, свои лимиты на процессы и ресурсы и только три устройства, которые нужны виртуальной машине.

Сеть

• У песочницы нет публичного IPv4-адреса для входящего трафика. Посетители попадают к ней через ссылки предпросмотра, адреса Кубов и ваши собственные домены; вы — через API, консоль и SSH-шлюз.
• Исходящие соединения на порт 25 (почта) по умолчанию заблокированы, а правила исходящего трафика ограничивают, куда может подключаться песочница.
• У каждого проекта своя частная сеть, в которой его сервисы находят друг друга по имени.

Ключи и доступ

• API-ключ принадлежит одному проекту и открывает только то, что разрешают его права: чтение; создание и изменение; работу с командами, файлами, терминалами и ссылками; или администрирование проекта.
• Участники аккаунта — владельцы, администраторы или участники. Только владельцы управляют оплатой и могут закрыть аккаунт.
• Журнал аудита записывает, что делается в проекте; читать его могут ключи с правом admin.

Ваши данные

• Мы используем ваш контент только для оказания услуги и не продаём его. Наши сотрудники смотрят его, только когда вы обращаетесь в поддержку, когда это нужно для работы или безопасности сервиса либо для расследования злоупотреблений, или когда этого требует закон.
• Всё, что хранит проект, — его диски, память спящих песочниц, снимки, резервные копии томов и логи Кубов — шифруется собственным ключом этого проекта до того, как покинет машину. Ключ одного проекта не открывает ничего из другого.
• Секреты, настройки Кубов и сертификаты шифруются нашим мастер-ключом, который хранится в AWS Key Management Service и не записывается ни на один диск.
• Резервные копии томов хранятся от 1 до 365 дней — сколько выберете.
• Вашу карту хранит Stripe, наш платёжный провайдер. Мы храним только её платёжную систему, последние четыре цифры, срок действия и страну выпуска.

Остальное — в Политике конфиденциальности и Соглашении об обработке данных.

Сообщить об уязвимости

Если вы нашли уязвимость в Glac, напишите на security@glac.ai, что вы нашли и как это воспроизвести. Мы приветствуем исследования безопасности, которые соблюдают эти правила:

• Используйте только свои аккаунты, песочницы и данные.
• Не открывайте, не изменяйте и не сохраняйте данные других клиентов. Если получили к ним доступ, остановитесь и сообщите нам.
• Не ухудшайте работу сервиса для других: никаких атак на отказ в обслуживании, никакого спама и обмана наших сотрудников или клиентов.
• Не публикуйте найденное 90 дней, чтобы мы успели всё исправить, — или до исправления, если оно случится раньше.

Если вы соблюдаете эти правила, мы не будем преследовать вас по закону за ваше исследование. Вознаграждений за сообщения мы пока не платим.

Если вы думаете, что кто-то воспользовался вашим аккаунтом без разрешения, сразу напишите на тот же адрес.