프라이버시의 절반은 엔지니어링이다.
수집하지 않는 것에 대한 정책은, 우리가 수집하는 약간의 것이 일부 지원 담당자가 채팅으로 재설정할 수 있는 비밀번호 뒤에 앉아 있다면 아무 가치가 없다. 이 페이지는 나머지 절반을 다룬다: 계정, 하이퍼바이저, 그리고 사람들이 어떻게 제한되는지.
귀하의 계정
비밀번호
계정별 솔트를 사용하는 scrypt N=2^16, r=8, p=1, 이는 우리 자체 하드웨어에서 약 0.1초가 소요된다. 최대 길이 없음, 구성 규칙 없음, 강제 순환 없음. 이 세 가지 모두 비밀번호를 더 나쁘게 만들었고 항상 그래왔다.
침해 확인
새 비밀번호는 알려진 침해 해시의 로컬 코퍼스와 대조하여 확인된다. 검사는 전적으로 우리 측에서 실행된다. 이 특정 웹사이트에서 비밀번호 해시 일부를 다른 사람에게 보내는 것은 이상한 일이기 때문이다.
제대로 된 2단계 인증
시간 기반 코드 및 하드웨어 보안 키, WebAuthn을 선호하는 경로로. 문자로 코드를 받는 옵션은 없다. 우리가 귀하의 전화번호가 없고 수집을 시작하지 않는 것이 명백한 이유 때문이다.
복구 코드
일회용 코드 10개, 한 번만 표시되며 저장 시 해시. 그것이 전체 복구 이야기이다. 왜냐하면 귀하를 식별할 다른 수단이 존재하지 않으며 압박 속에서 새로 만들지 않을 것이기 때문이다.
로그인 알림
이전에 본 적 없는 장치는 이메일을 트리거한다. 그것은 7일 접근 로그가 실제로 수행하는 몇 안 되는 작업 중 하나이다.
메일함과 복구 코드를 잃으면 계정은 사라집니다. 티켓으로 복구할 수 없고, 결제 증명으로도 복구할 수 없으며, 전혀 복구할 수 없습니다. 그것이 한 필드 가입의 대가이며, 어느 방향으로도 협상할 수 없습니다.
세션
수명
기억된 세션은 14일, 체크박스를 선택하지 않은 경우는 4시간입니다. 두 한도 모두 절대적이며, 도난 쿠키를 무기한 유지시키는 슬라이딩 갱신은 없습니다.
바인딩
각 세션은 사용자 에이전트와 대략적인 네트워크 접두어에 묶여 있습니다. 세션 중 대륙을 변경하면 다시 로그인해야 하며, 이는 한 달에 한 명 정도의 고객을 불편하게 하지만 그 불편함의 가치가 있습니다.
기기 목록
모든 활성 세션은 패널에 마지막 접속 시간과 함께 표시됩니다. 개별적으로 종료하거나 모두 종료하고 다시 시작할 수 있습니다.
민감한 작업 시 재인증
이메일 주소 변경, 2단계 인증 비활성화, API 토큰 발급 또는 환불 주소 지정은 세션이 얼마나 최신인지와 관계없이 비밀번호를 다시 요구합니다.
쿠키
하나의 세션 쿠키(퍼스트파티, strict same-site)만 설정됩니다. 다른 것은 설정되지 않으며, 이에 대해 묻지 않습니다. 존재하지 않는 쿠키에 대한 동의를 수집할 필요가 없기 때문입니다.
API 토큰
API는 패널이 하는 모든 것을 할 수 있으므로 유출된 토큰은 유출된 비밀번호만큼 심각합니다. 토큰 처리는 이러한 가정에서 시작하며 나중에 도달하지 않습니다.
범위 지정
읽기, 쓰기 및 삭제는 별도의 권한입니다. 대부분의 자동화는 처음 두 개가 필요하며, 세 번째는 거의 필요하지 않습니다. 인스턴스를 삭제할 수 없는 토큰은 인스턴스를 삭제할 수 없습니다.
저장 시 해시
생성 시 한 번만 표시되며 다시는 표시되지 않습니다. 해시를 유지하므로 데이터베이스 덤프로는 작동 가능한 자격 증명을 얻을 수 없습니다.
접두어 포함
모든 토큰에는 고정 접두어가 포함되어 있어, 후회할 일을 푸시하기 전에 직접 실행하는 저장소 스캔으로 쉽게 찾을 수 있습니다.
고정 가능
토큰은 소스 네트워크와 지정된 인스턴스 집합으로 제한할 수 있습니다. 두 제한은 발급 시 한 번이 아니라 모든 호출에서 평가됩니다.
만료
선택적 만료는 1시간부터 가능하며 최대 2년입니다. 만료되지 않는 토큰은 오래된 자동화가 조용히 오래된 취약점이 되는 경로입니다.
토큰별 속도 제한
한도는 계정이 아닌 토큰에 적용되므로, 실행이 잘못된 스크립트는 다른 자동화 대신 자신을 스로틀링합니다.
테넌트 간 격리
모든 인스턴스는 정확히 한 가지 작업을 수행하는 호스트의 게스트입니다. 다음은 게스트와 다른 모든 사용자의 게스트 사이에 있는 것입니다.
메모리 공유 없음
동일 페이지 병합은 퍼시스턴트하게 전체 플릿에서 꺼져 있습니다. 테넌트 간 메모리 중복 제거는 측정 가능한 부수 채널이며, 이를 통해 회수하는 RAM은 열리는 공격 클래스의 가치가 없습니다.
오버커밋 없음
코어, 메모리 및 NVMe는 한 번 할당되며 두 번 계산되지 않습니다. 호스트에 ballooning이나 스왑이 없으며, 우리가 구매하지 않은 용량을 대신하는 스케줄러 트릭도 없습니다.
별도 스토리지 도메인
각 게스트는 자체 암호화된 네임스페이스의 자체 볼륨에 있습니다. 볼륨을 회수한다는 것은 키를 폐기하고 범위를 트리밍하는 것이며, 0을 쓰고 기대하는 것이 아닙니다.
네트워크 분리
테넌트당 하나의 브리지, 포트에서 주소 및 하드웨어 주소 필터링, 게스트에서 멈추는 브로드캐스트 도메인. 이웃의 트래픽은 결코 포트에 도달하지 않으므로 캡처할 것이 없습니다.
GPU 패스스루
카드는 IOMMU를 통해 단일 게스트에 바인딩되며 테넌시 사이에 리셋됩니다. 시간 분할도, vGPU 계층도, 두 고객 사이에 공유 드라이버도 없습니다.
완화 조치 유지
투기적 실행 완화가 활성화되고 유지됩니다. 호스트는 월간 패치가 적용되며, 필요시 대역 외 패치도 적용됩니다. 지난 2년간 이런 경우가 세 번 있었습니다.
암호화와 그 보호 대상
모든 노드 볼륨은 저장 시 암호화됩니다. 키는 호스트의 보안 요소에 저장되며, 측정되고 서명된 이미지로 부팅된 커널에만 공개됩니다. 따라서 섀시에서 꺼낸 드라이브는 벽돌이고, 건물에서 반출된 섀시는 느린 벽돌입니다.
한계는 명확히 밝혀야 합니다. 저장 시 암호화는 제거, 도난, 드라이브 수명 종료를 방어합니다. 실행 중인 하이퍼바이저는 방어할 수 없으며, 하이퍼바이저는 인스턴스가 실행되는 동안 필연적으로 키를 보유합니다. 위협 모델에 호스트가 포함된 사용자는 게스트 내부에서 전체 디스크 암호화를 실행하고 부팅 시 대역 외 콘솔에서 암호를 입력해야 하며, 이는 지원되는 경로이며 지식 베이스에 적절한 페이지가 있습니다.
스냅샷과 노드 외 백업은 인스턴스 내부에서 암호화된 후 인스턴스를 떠나며, 키는 사용자가 보유하고 우리는 절대 볼 수 없습니다. 우리는 암호문과 길이를 저장합니다. 복원은 사용자가 복호화하며, 이는 정확히 한 번 불편하고 영구적으로 정확합니다.
전송 중 패널과 API는 TLS 전용이며, 엄격한 전송 보안이 사전 로드되고 다운그레이드 경로가 열려 있지 않습니다. 관리 인터페이스는 공용 경로가 없는 대역 외 네트워크에 있으며, 인증된 터널을 통해서만 접근할 수 있고 다른 방법은 없습니다.
사람과 연구자
접근은 아무도 사양서에 적지 않는 공격 표면입니다.
상시 접근 없음
프로덕션 접근은 요청 시 부여되며, 시간 제한이 있고 자동으로 만료됩니다. 플랫폼 어디에도 영구 관리 세션이 없습니다.
두 사람 또는 없음
고객 데이터에 영향을 주는 모든 작업은 요청하지 않은 사람의 승인이 필요하며, 승인은 사유와 함께 기록됩니다.
하드웨어 키 전용
직원은 관리되는 머신에서 하드웨어 보안 키로 인증합니다. 비밀번호만으로는 아무것도 열 수 없으며, 개인 기기는 목록에 없습니다.
게스트는 폐쇄 유지
지원팀은 인스턴스가 일시 중지되고 작업이 패널에서 나중에 읽을 수 있는 기록에 기록되지 않는 한 콘솔을 열거나, 볼륨을 읽거나, 메모리에 연결할 수 없습니다.
퇴사 즉시 처리
마지막 교대 종료 시 접근이 취소되고 키는 같은 시간에 시스템에서 제거됩니다. 변경은 감사 가능하며, 네 번 실행되었습니다.
- 01
신고
보안 주소로 메일을 보내고, 발견 사항이 요구하는 경우 게시된 키로 암호화합니다. 개념 증명은 환영합니다. 분석 없는 원시 스캐너 출력은 아닙니다.
- 02
하루 안에 확인
티켓 로봇이 아닌 사람이 확인합니다. 지난 1년간 중앙값은 4시간 미만입니다.
- 03
3영업일 내 분류
심각도, 계획, 날짜와 함께. 사용자의 심각도에 동의하지 않으면 조용히 낮추고 사용자가 읽기를 중단하기를 바라는 대신 그렇게 말하고 이유를 설명합니다.
- 04
수정 및 통보
치명적인 발견은 대역 외로 패치됩니다. 그 외의 모든 것은 다음 월간 주기에 반영되며, 적용 당일에 알려드립니다.
- 05
언제든 공개
엠바고 요구 없음, 법적 위협 없음, 조정 의무 없음. 수정 사항이 존재하기 전에 고객을 노출할 수 있는 모든 것에 대해 90일이 요청되며, 두 번 요청한 적은 없습니다.
- 06
보상 지급
크레딧 또는 코인 중 선호하는 방식으로, 보고서가 얼마나 시끄럽게 작성되었는지가 아니라 심각도에 따라 조정됩니다. 상한선은 공개되지 않습니다. 한도가 정해지기보다는 놀라움을 선호하기 때문입니다.
자신의 인스턴스와 패널에 대한 테스트는 환영합니다. 다른 고객의 인스턴스에 대한 테스트는 환영하지 않으며, 그 선이 우리의 안전한 항구 전체입니다.
부수고 나서 알려주십시오.
보안 주소와 키는 연락처 페이지에 있습니다. 플랫폼 작동 방식을 변경하는 결과는 변경 로그에 이름이 표시되며, 보고자가 요청한 대로, 전혀 없음도 포함하여 크레딧이 부여됩니다.