Was ein Relay, das nicht lesen kann, trotzdem sieht

Zwischen Ihrem Browser und Tinfoil sitzt ein kleiner Server von uns: das Relay. Es ist dazu da, zu prüfen, wer fragt, unseren Tinfoil-Schlüssel einzusetzen und das Kontingent zu belasten. Ihre Nachrichten kann es nicht lesen, weil sie für den Schlüssel der Enklave verschlüsselt sind, bevor sie es erreichen. „Kann nicht lesen“ ist trotzdem nicht „sieht nichts“, und es lohnt sich, beim Unterschied genau zu sein.

Was es sieht

• Wer fragt: Ihr Konto oder Ihr Schlüssel, den es prüft, bevor es etwas weitergibt.
• Wann und wie viel: Zeitpunkt und Größe jeder Anfrage sowie die Größe der Antwort.
• Welche Enklave geantwortet hat: Tinfoil nennt die Modell-Enklave in einem Antwort-Header, den das Relay liest, um den Preis der Anfrage zu bestimmen.
• Ihre IP-Adresse, über unseren Hoster.
• Zwei Hinweise, die der Arbeitsbereich für die Preisberechnung hinzufügt: dass eine Anfrage die Websuche genutzt hat und wie viele Bilder sie enthält und wie groß diese sind.

Was es nicht sieht

Die Wörter, die Sie schreiben, die Dateien, die Sie anhängen, und die Antworten, die Sie erhalten. Es kann auch nicht sehen, welches Modell Sie angefragt haben, nur welche Enklave geantwortet hat, und es kann keine Tokens zählen, da diese im Geheimtext liegen.

Abrechnen, was es nicht lesen kann

Also rechnet das Relay nach Größen ab. Zum Zeitpunkt des Schreibens zählt es 3 Byte einer Anfrage und 130 Byte einer Antwort als ein Token, beides bewusst eher zu hoch angesetzt, zum Preis des Modells, das geantwortet hat, oder des teuersten Modells, wenn es das nicht erkennen kann. Bilder würden nach Größe etwa hundertfach zu hoch angesetzt, deshalb gibt der Arbeitsbereich sie an, und jedes wird mit 3.000 Eingabe-Tokens berechnet.

Das Relay kann die Hinweise des Arbeitsbereichs nicht bestätigen. Ein veränderter Client könnte den Suchhinweis weglassen oder einen größeren Teil der Anfrage als Bilder angeben, als es sind, um weniger zu zahlen. Tägliche Budgets pro Person und insgesamt begrenzen, was das kosten kann, und die Prüfung vor jeder Anfrage begrenzt jede einzelne Überschreitung. Das war uns lieber, als Anfragen zu lesen, um sie genau abzurechnen.

Was es weiterleitet und was es behält

• Es leitet nur an die eigenen Hosts von Tinfoil weiter, und nur Inhalte, die einen Verschlüsselungs-Header tragen, sodass es weder anderswohin umgeleitet werden noch Klartext durchreichen kann.
• Es gibt drei Header von Tinfoil zurück und verwirft den Rest.
• Seine Logs enthalten nur Routennamen, Statuscodes und Zeiten: nie Prompts, Antworten, Konto-IDs oder Schlüssel. Tests prüfen das.
• Für die Transparenzseite zählt es Anfragen und Fehler als Tagessummen, ohne etwas pro Person.

Warum wir das alles sagen

Bei Metadaten werden Datenschutzversprechen meist weich: Zeitpunkt, Größe und Identität können für sich allein viel verraten. Ein Relay, das nicht lesen kann, ist eine echte Verbesserung gegenüber einem, das es kann, und es weiß trotzdem, wann Sie arbeiten, wie viel und von wo. Wenn das für Ihre Arbeit wichtig ist, legt das Bedrohungsmodell dar, wer welchen Teil sehen könnte, und die Datenschutzseite sagt, wie lange jeder aufbewahrt wird.