לרוכשים.
מה כבר קיים, ומה עדיין לא.

סביבת העבודה וה־API למפתחים מגינים על בקשות בדרכים שונות, וכל עמוד בהמשך מציין לאיזה מהם הוא מתכוון.

• לפני שסביבת העבודה שולחת משהו, הדפדפן שלכם בודק את אטסטציית החומרה של המובלעת מול הגרסה שפרסמה Tinfoil, ואז מצפין את הבקשה (HPKE) למפתח שמוחזק בתוכה. הממסר שלנו בודק את המכסה שלכם ומעביר הלאה טקסט מוצפן.

  איך האימות עובדאטמו בעצמכם

• כל תשובה יכולה לשאת קבלה: המובלעת, הגרסה והמדידות שהדפדפן שלכם אימת, והמפתח שאליו הוא הצפין. זה התיעוד של הדפדפן שלכם עצמו, לא הצהרה חתומה.

  הארכיטקטורה, עם הקוד שלה

• מי יכול לראות מה: ספק האירוח שלנו, אנחנו, Tinfoil, הרשת וצו של בית משפט, עם הקבצים שקובעים זאת.

  מודל איומים

• אפשר לבדוק את הקוד של העמוד עצמו: להשוות את מה שהדפדפן שלכם טען למניפסט של ה־build, שנחתם ב־GitHub Actions, לבנות אותו מחדש בעצמכם ולקרוא את רשימת רכיבי התוכנה.

  אימות העמוד הזהרשימת רכיבי תוכנה (SBOM)

• הדפדפן פונה רק לאתר הזה: בלי סקריפטים, כלי אנליטיקה או גופנים של צד שלישי. Python, JavaScript והמודלים שבמכשיר רצים ב־workers שהגישה שלהם לרשת הוסרה, ולכל אחד מהם מדיניות אבטחת תוכן משלו.

• פרויקטים משותפים מוצפנים מקצה לקצה. לפרוטוקול שמחלק את המפתח שלהם ומחליף אותו יש מודל פורמלי, שנבדק באמצעות המוכיח Tamarin, בקוד המקור תחת docs/proofs.

• היומנים מכילים שמות נתיבים, קודי סטטוס ומשכי זמן: אף פעם לא פרומפטים, תשובות, מזהי חשבון או מפתחות. בדיקות מוודאות זאת.

השיחות נשארות בדפדפן, אלא אם תבחרו אחרת. מה שהשרתים שלנו שומרים:

• מוני מגבלות: בקשות והוצאות משוערות תחת גיבוב חד־כיווני, בלי תוכן, למשך יומיים לכל היותר.

• סנכרון: כל פריט מוצפן בדפדפן שלכם במפתח שרק המכשירים שלכם מחזיקים, עד שתמחקו אותו. אנחנו רואים גדלים ומועדים.

• קישורים משותפים: עותק מוצפן למשך 1, 7 או 30 ימים, או עד הפתיחה הראשונה; המפתח נמצא אחרי ה־# ואף פעם לא מגיע אלינו.

• פרויקטים משותפים: טקסט מוצפן, רשימת החברים, תפקידים ויומן ביקורת של מי שינה מה (אף פעם לא התוכן), שנשמרים 90 יום כברירת מחדל.

• היכן הנתונים מעובדים: עדיין אין בחירה בין האיחוד האירופי לארה״ב. Tinfoil לא מפרסמת היכן המובלעות שלה פועלות, והאחסון ומסד הנתונים שלנו פועלים כל אחד באזור אחד, שנקבע בהגדרות הפרויקט שלהם ולא נבחר לכל חשבון. נציע בחירה רק כשאפשר יהיה לאמת את האזור, ולא רק לציין אותו.

  מדיניות הפרטיות

• דוחות קריסה ונתוני מהירות: רק אחרי שתסכימו, בלי תוכן, חשבון או כתובת; דוחות קריסה נספרים לפי שגיאה למשך 90 יום.

  מדיניות הפרטיות

השירותים האלה מטפלים בנתונים מטעם Undergrove. ספק הזהויות שלכם, אם הצוות שלכם מחבר כזה, אינו שלנו ולכן אינו ברשימה. נכריז על שירות חדש ביומן השינויים לפני שיתחיל לטפל בנתונים.

עדיין איננו מציעים הסכם עיבוד נתונים, ותנאי השימוש הם טיוטות. זהות המפעיל, איש קשר לענייני פרטיות והבסיסים המשפטיים יפורסמו לפני ההשקה בתשלום.

• עד אז, מה שאנחנו יכולים להראות הוא איך הקוד מטפל בנתונים, וזה מה שמתארים העמוד הזה ומדיניות הפרטיות.

  טיוטת תנאיםמדיניות הפרטיות

• עמוד הסטטוס בודק את האטסטציה של המובלעת מהדפדפן שלכם כשאתם פותחים אותו.

  סטטוס

• כל תשובה של ה־API למפתחים מציינת את חבילת האטסטציה שהשער אימת, וכל אחד יכול להוריד אותה ולבדוק אותה שוב.

  מה האימות מוכיח

• ספירות מצטברות של בקשות מוצפנות ושל בדיקות מובלעת, יחד עם ה־commit שבסביבת הייצור.

  שקיפות

אין הסכם רמת שירות ואין התחייבות לזמינות. מה נבדק, ואיפה אפשר לראות את זה:

• כל שעתיים, משימה מתוזמנת בודקת את הסטטוס של סביבת הייצור, תשובה אמיתית קטנה ואת נקודת הקצה של האטסטציה; כל 15 דקות היא מריצה את התהליכים הקריטיים, כולל תשובה אטומה. כישלון פותח כרטיס תקלה.

  סטטוס

• מודל עובר לנתיב חלופי רק אם הנתיב שלו נכשל לפני שענה, ורק לנתיב מאותו סוג. כל תגובה מציינת את הנתיב שענה.

  מודלים

• מה נכלל בתחום, הבקשה המוקלטת לניסיון פיצוח ואיך לדווח: כל אלה מופיעים בעמוד האתגר וב־security.txt.

  נסו לפצחsecurity.txt