Für Einkäufer.
Was steht, und was noch nicht.

Arbeitsbereich und Entwickler-API schützen Anfragen unterschiedlich, und jede Seite unten sagt, welchen Weg sie meint.

• Bevor der Arbeitsbereich etwas sendet, prüft Ihr Browser die Hardware-Attestierung der Enklave gegen Tinfoils veröffentlichtes Release und verschlüsselt die Anfrage dann (HPKE) für einen Schlüssel in ihr. Unser Relay prüft Ihr Kontingent und leitet Chiffretext weiter.

  So funktioniert die PrüfungSelbst versiegeln

• Jede Antwort kann einen Beleg tragen: die Enklave, das Release und die Messwerte, die Ihr Browser geprüft hat, und den Schlüssel, für den er verschlüsselt hat. Es ist die eigene Aufzeichnung Ihres Browsers, keine signierte Erklärung.

  Die Architektur, mit ihrem Code

• Wer was sehen könnte – unser Hosting, wir, Tinfoil, das Netzwerk und ein Gerichtsbeschluss –, mit den Dateien, die dafür sorgen.

  Bedrohungsmodell

• Der Code der Seite selbst lässt sich prüfen: Vergleichen Sie, was Ihr Browser geladen hat, mit dem in GitHub Actions signierten Manifest des Builds, bauen Sie ihn selbst nach und lesen Sie die Software-Stückliste.

  Diese Seite prüfenSoftware-Stückliste

• Der Browser ruft nur diese Website auf: keine Skripte, Analysen oder Schriften von Dritten. Python, JavaScript und Modelle auf dem Gerät laufen in Workern ohne Netzwerkzugriff, jeweils mit eigener Content Security Policy.

• Geteilte Projekte sind Ende-zu-Ende-verschlüsselt. Für das Protokoll, das ihren Schlüssel verteilt und wechselt, gibt es ein formales Modell, mit dem Tamarin-Beweiser geprüft, im Quellcode unter docs/proofs.

• Protokolle enthalten Routennamen, Statuscodes und Zeiten: nie Prompts, Antworten, Konto-IDs oder Schlüssel. Tests prüfen das.

Gespräche bleiben im Browser, sofern Sie nichts anderes wählen. Was unsere Server speichern:

• Limitzähler: Anfragen und geschätzte Ausgaben unter einem Einweg-Hash, ohne Inhalte, für höchstens zwei Tage.

• Synchronisierung: jedes Element in Ihrem Browser mit einem Schlüssel verschlüsselt, den nur Ihre Geräte haben, bis Sie es löschen. Wir sehen Größen und Zeiten.

• Geteilte Links: eine verschlüsselte Kopie für 1, 7 oder 30 Tage oder bis zum ersten Öffnen; der Schlüssel steht nach dem # und erreicht uns nie.

• Geteilte Projekte: Chiffretext, Mitgliedschaften, Rollen und ein Audit-Log, wer was geändert hat (nie Inhalte), standardmäßig 90 Tage aufbewahrt.

• Wo die Verarbeitung stattfindet: Eine Wahl zwischen EU und USA gibt es noch nicht. Tinfoil veröffentlicht nicht, wo seine Enklaven laufen, und unser Hosting und unsere Datenbank laufen jeweils in einer Region, die in den Projekteinstellungen festgelegt ist, nicht pro Konto. Eine Auswahl bieten wir erst an, wenn sich die Region prüfen lässt und nicht nur behauptet wird.

  Die Datenschutzhinweise

• Absturzberichte und Geschwindigkeitswerte: nur nach Ihrer Zustimmung, ohne Inhalte, Konto oder Adresse; Absturzberichte werden 90 Tage lang je Fehler gezählt.

  Die Datenschutzhinweise

Diese Dienste verarbeiten Daten im Auftrag von Undergrove. Ihr eigener Identitätsanbieter, falls Ihr Team einen verbindet, gehört nicht auf unsere Liste. Einen neuen Dienst kündigen wir im Changelog an, bevor er Daten verarbeitet.

Einen Auftragsverarbeitungsvertrag bieten wir noch nicht an, und die Nutzungsbedingungen sind Entwürfe. Die Identität des Betreibers, ein Datenschutzkontakt und die Rechtsgrundlagen werden vor dem kostenpflichtigen Start veröffentlicht.

• Bis dahin können wir zeigen, wie der Code mit Daten umgeht – das beschreiben diese Seite und die Datenschutzhinweise.

  Entwurf der BedingungenDie Datenschutzhinweise

• Die Statusseite prüft die Attestierung der Enklave aus Ihrem Browser, wenn Sie sie öffnen.

  Status

• Jede Antwort der Entwickler-API nennt das Attestierungspaket, das das Gateway geprüft hat; jeder kann es abrufen und erneut prüfen.

  Was die Prüfung belegt

• Zusammengefasste Zahlen verschlüsselter Anfragen und Enklaven-Prüfungen, mit dem Commit in Produktion.

  Transparenz

Es gibt kein Service Level Agreement und keine Verfügbarkeitszusage. Was geprüft wird und wo Sie es sehen:

• Alle zwei Stunden prüft ein geplanter Job den Status der Produktion, eine kleine echte Antwort und den Attestierungs-Endpunkt; alle 15 Minuten durchläuft er die kritischen Abläufe, darunter eine versiegelte Antwort. Ein Fehler eröffnet ein Issue.

  Status

• Ein Modell wechselt nur dann auf eine Ausweichroute, wenn seine eigene vor der Antwort ausfällt, und nur auf eine Route derselben Art. Jede Antwort nennt die Route, die geantwortet hat.

  Modelle

• Was dazugehört, die aufgezeichnete Anfrage zum Knacken und wie Sie melden, steht auf der Challenge-Seite und in security.txt.

  Versuchen Sie, es zu knackensecurity.txt