Pour les acheteurs.
Ce qui est en place, et ce qui ne l’est pas encore.

L’espace de travail et l’API pour développeurs protègent les requêtes différemment, et chaque page ci-dessous précise de laquelle elle parle.

• Avant que l’espace de travail n’envoie quoi que ce soit, votre navigateur vérifie l’attestation matérielle de l’enclave par rapport à la version publiée de Tinfoil, puis chiffre la requête (HPKE) pour une clé détenue à l’intérieur. Notre relais vérifie votre quota et transmet du texte chiffré.

  Comment fonctionne la vérificationScellez-le vous-même

• Chaque réponse peut porter un reçu : l’enclave, la version et les mesures que votre navigateur a vérifiées, et la clé pour laquelle il a chiffré. C’est l’enregistrement de votre navigateur, pas une déclaration signée.

  L’architecture, avec son code

• Qui pourrait voir quoi : notre hébergeur, nous, Tinfoil, le réseau et une décision de justice, avec les fichiers qui en décident.

  Modèle de menaces

• Le code de la page lui-même se vérifie : comparez ce que votre navigateur a chargé au manifeste de la build, signé dans GitHub Actions, recompilez-le vous-même et lisez la nomenclature logicielle.

  Vérifier cette pageNomenclature logicielle

• Le navigateur n’appelle que ce site : ni scripts, ni mesures d’audience, ni polices de tiers. Python, JavaScript et les modèles sur l’appareil tournent dans des workers privés d’accès au réseau, chacun avec sa propre politique de sécurité du contenu.

• Les projets partagés sont chiffrés de bout en bout. Le protocole qui distribue et change leur clé a un modèle formel, vérifié avec le prouveur Tamarin, dans le code source sous docs/proofs.

• Les journaux contiennent des noms de routes, des codes d’état et des durées : jamais de prompts, de réponses, d’identifiants de compte ni de clés. Des tests le vérifient.

Les conversations restent dans le navigateur, sauf si vous en décidez autrement. Ce que nos serveurs conservent :

• Compteurs de limites : requêtes et dépenses estimées sous un hachage à sens unique, sans contenu, deux jours au plus.

• Synchronisation : chaque élément chiffré dans votre navigateur avec une clé que seuls vos appareils détiennent, jusqu’à ce que vous le supprimiez. Nous voyons les tailles et les heures.

• Liens partagés : une copie chiffrée pendant 1, 7 ou 30 jours, ou jusqu’à la première ouverture ; la clé se trouve après le # et ne nous parvient jamais.

• Projets partagés : texte chiffré, membres, rôles et un journal d’audit de qui a modifié quoi (jamais le contenu), conservé 90 jours par défaut.

• Où c’est traité : il n’y a pas encore de choix entre l’UE et les États-Unis. Tinfoil ne publie pas où tournent ses enclaves, et notre hébergement comme notre base de données fonctionnent chacun dans une seule région, définie dans les réglages de leur projet, non choisie par compte. Nous proposerons un choix seulement quand la région pourra être vérifiée, et pas seulement affirmée.

  La politique de confidentialité

• Rapports de plantage et mesures de vitesse : seulement après votre accord, sans contenu, compte ni adresse ; les rapports de plantage sont comptés par erreur pendant 90 jours.

  La politique de confidentialité

Ces services traitent des données pour le compte d’Undergrove. Votre propre fournisseur d’identité, si votre équipe en connecte un, n’a pas sa place dans notre liste. Nous annoncerons tout nouveau service dans le journal des modifications avant qu’il ne traite des données.

Nous ne proposons pas encore d’accord de traitement des données, et les conditions d’utilisation sont des brouillons. L’identité de l’exploitant, un contact confidentialité et les bases légales seront publiés avant le lancement payant.

• D’ici là, ce que nous pouvons montrer, c’est la façon dont le code traite les données : c’est ce que décrivent cette page et la politique de confidentialité.

  Conditions provisoiresLa politique de confidentialité

• La page d’état vérifie l’attestation de l’enclave depuis votre navigateur quand vous l’ouvrez.

  État

• Chaque réponse de l’API pour développeurs nomme le paquet d’attestation que la passerelle a vérifié, que chacun peut récupérer et vérifier à nouveau.

  Ce que prouve la vérification

• Des totaux de requêtes chiffrées et de vérifications d’enclave, avec le commit en production.

  Transparence

Il n’y a ni accord de niveau de service ni engagement de disponibilité. Ce qui est vérifié, et où le voir :

• Toutes les deux heures, une tâche planifiée vérifie l’état de la production, une petite réponse réelle et le point d’accès d’attestation ; toutes les 15 minutes, elle exécute les parcours critiques, dont une réponse scellée. Un échec ouvre un ticket.

  État

• Un modèle ne passe sur une route de secours que si la sienne échoue avant de répondre, et seulement vers une route du même type. Chaque réponse nomme la route qui a répondu.

  Modèles

• Le périmètre, la requête enregistrée à tenter de déchiffrer et la façon de signaler figurent sur la page du défi et dans security.txt.

  Essayez de le déchiffrersecurity.txt