सुरक्षा और गोपनीयता

आपका भेजा कहाँ जाता है

आपका अनुरोध Babel Mesh गेटवे तक पहुँचता है, जो अनुरोध की डेटा श्रेणी के अनुसार एक नोड चुनता है और अनुरोध उसे भेज देता है। नोड अपने मॉडल से नतीजा निकालता है और गेटवे के ज़रिए लौटा देता है।

अनुरोध संभालने वाला नोड उसे पढ़ सकता है। आज की कार्यप्रणाली का यह एक तथ्य है: जवाब देने के लिए नोड को प्रॉम्प्ट पढ़ना पड़ता है। इसलिए पासवर्ड, पहचान संख्या या व्यापारिक रहस्य न भेजें।
नोड यह नहीं देख सकता कि आप कौन हैं। नोड को मिलने वाले अनुरोध में न खाते का नाम होता है न कुंजी, केवल एक अनाम टैग।
Babel Mesh बातचीत सहेजता नहीं है। गेटवे के रिकॉर्ड में केवल अनुरोध का समय, मॉडल, नतीजा और उपयोग रहता है। बातचीत आपके अपने क्लाइंट या ब्राउज़र में रहती है।
Babel Mesh सामग्री की समीक्षा नहीं करता। गेटवे सामग्री-नियमों के आधार पर इनपुट या आउटपुट की जाँच, रोक या फ़िल्टर नहीं करता, और किसी अनुरोध की सामग्री के कारण कोई अंश या खाता-नाम नहीं रखता। सामग्री के उपयोग की ज़िम्मेदारी उपयोगकर्ता की है; गैर-कानूनी सामग्री न भेजें।
नमूना जाँच अनुरोधों को दोबारा चलाती है। योगदानकर्ताओं के लौटाए नतीजों की पुष्टि के लिए, सार्वजनिक श्रेणी के अनुरोधों का एक छोटा हिस्सा ऑपरेटर के अपने नोड पर फिर से गणना किया जाता है और दोनों नतीजों की तुलना होती है।

डेटा श्रेणियाँ

हर खाते और हर अनुरोध की एक डेटा श्रेणी होती है। खुद साइन अप करने वाले खाते "सार्वजनिक" से शुरू होते हैं। योगदानकर्ताओं के नोड केवल "सार्वजनिक" अनुरोध पाते हैं। ऊँची श्रेणियाँ केवल ऑपरेटर के अपने नोड पर जाती हैं। फ़िलहाल चित्र और वीडियो भी केवल ऑपरेटर के नोड परोसते हैं, क्योंकि उनके नतीजों की नमूना जाँच पाठ की तरह नहीं हो सकती।

कनेक्शन और कुंजियाँ

वेबसाइट और API HTTPS इस्तेमाल करते हैं। उनके पीछे के घटक (कंट्रोलर, गेटवे, बही-खाता, रिले, नोड) प्रमाणपत्रों के आपसी प्रमाणीकरण वाले एन्क्रिप्टेड कनेक्शन पर बात करते हैं; नोड की पहचान उसके प्रमाणपत्र में होती है।
नोड केवल बाहर की ओर जुड़ते हैं। वे कोई इनबाउंड पोर्ट नहीं खोलते और रिले के ज़रिए सेवा देते हैं।
क्लाइंट आपकी API कुंजी आपके कंप्यूटर पर रखता है, जिसे केवल आपका सिस्टम अकाउंट पढ़ सकता है। क्लाइंट का पेज कभी कुंजी नहीं पाता; अनुरोध क्लाइंट आपकी ओर से करता है।
क्लाइंट के अपडेट एक हस्ताक्षरित मैनिफ़ेस्ट से जाँचे जाते हैं: सार्वजनिक कुंजी क्लाइंट में ही बनी है, और ग़लत हस्ताक्षर वाला या नया न होने वाला संस्करण कभी इंस्टॉल नहीं होता।

लेखा और सत्यापन

दोनों पक्षों द्वारा हस्ताक्षरित रसीदें। हर अनुरोध के लिए गेटवे और नोड एक ही रसीद पर हस्ताक्षर करते हैं, और बही-खाता उसे तभी दर्ज करता है जब दोनों सहमत हों। रसीद में अनुरोध और नतीजे के हैश तथा उपयोग होता है, सामग्री नहीं।
यादृच्छिक जाँच। नए नोड की जाँच ज़्यादा बार होती है, लंबे साफ़ रिकॉर्ड वाले नोड की कम बार। जिस नोड के नतीजे मेल नहीं खाते उसे क्वारंटीन कर दिया जाता है; ऑपरेटर के धोखाधड़ी की पुष्टि करने पर उसकी कमाई ज़ब्त हो जाती है और नियमों के अनुसार दंड लगता है।
कमाई रोककर रखी जाती है। योगदानकर्ता की आय कुछ दिन रुकी रहती है, और इस दौरान जाँच जारी रहती है।

Hive: सर्वर आपका कार्य नहीं देख सकता

Hive एक अलग रास्ता है: आप जो कार्य और फ़ाइलें इसे देते हैं वे आपके ब्राउज़र में एन्क्रिप्ट हो जाती हैं, और डिस्पैचर तथा स्टोर को केवल सिफ़रटेक्स्ट मिलता है। यह आज की वास्तविक कार्यप्रणाली है, जो यह नहीं कर सकता वह भी शामिल है।

एन्क्रिप्शन ब्राउज़र में होता है। हर कार्य की अपनी मास्टर कुंजी होती है; कार्य, उसकी फ़ाइलें और परिणाम उसी से सील होते हैं, और मास्टर कुंजी हर उस मशीन के लिए अलग से सील होती है जिसे कार्य चलाने की अनुमति है। डिस्पैचर, स्टोर और गेटवे को सिफ़रटेक्स्ट, आकार, समय और आपका खाता-आईडी दिखता है, सामग्री नहीं।
कार्य चलाने वाली मशीन उसे पढ़ सकती है। काम करने के लिए उसे कार्य खोलना पड़ता है, और इससे बचा नहीं जा सकता। इसलिए मशीनें डेटा-श्रेणी से अलग की जाती हैं: सार्वजनिक कार्य किसी भी स्वीकृत मशीन पर जा सकते हैं; विश्वसनीय कार्य केवल प्लेटफ़ॉर्म की अपनी मशीनों, अनुबंधित संस्थानों और दूरस्थ प्रमाणन पास कर चुकी मशीनों पर; गोपनीय कार्य केवल प्लेटफ़ॉर्म की अपनी मशीनों और प्रमाणित मशीनों पर। आपकी अपनी मशीनें हमेशा पहले आती हैं, और श्रेणी चाहे जो हो, आपके कार्य केवल वही ले सकती हैं।
मशीनें अलग-थलग वातावरण में चलती हैं। कार्य gVisor सैंडबॉक्स में चलता है, डिफ़ॉल्ट रूप से बिना नेटवर्क के और केवल अपने कार्य-फ़ोल्डर तक पहुँच के साथ। नई मशीन को असली कार्य मिलने से पहले कई जाँचें पास करनी होती हैं, और जाँच में विफल मशीन क्वारंटीन या प्रतिबंधित कर दी जाती है।
हर कार्य के लिए एक-बार वाली मॉडल कुंजी। मशीनों को आपकी खाता-कुंजी कभी नहीं मिलती; कार्य केवल अपने लिए बनी, खर्च-सीमा वाली कुंजी इस्तेमाल करता है। कार्य समाप्त होते ही सर्वर उसे रद्द कर देता है, चाहे आपका पेज खुला हो या नहीं।
चीज़ें कितने समय रखी जाती हैं। कार्य और उसका परिणाम (सिफ़रटेक्स्ट) सर्वर पर 7 दिन रखे जाते हैं और फिर हटा दिए जाते हैं; पेज तारीख दिखाता है। रद्द करने पर तुरंत साफ़ हो जाता है। आपके कार्य-रिकॉर्ड और उन्हें खोलने की कुंजियाँ केवल आपके ब्राउज़र में रहती हैं: ब्राउज़र का डेटा साफ़ करने या ब्राउज़र बदलने पर वे खुल नहीं सकते, जब तक आप डिवाइस-पार सिंक चालू न करें (ऐसे पासफ़्रेज़ से एन्क्रिप्टेड जो केवल आप जानते हैं; भूल गए तो कोई वापस नहीं ला सकता)।
“मेरी लाइब्रेरी” भी ब्राउज़र में एन्क्रिप्ट होती है। फ़ाइलें ब्लॉक में बाँटकर अपलोड से पहले अपनी कुंजी से एन्क्रिप्ट की जाती हैं; स्टोर में सिफ़रटेक्स्ट एक से ज़्यादा मशीनों पर रहता है और सूची भी एन्क्रिप्टेड है। किसी कार्य को साझा की गई फ़ाइल केवल-पढ़ने योग्य, समय-सीमित और अपने ब्लॉकों तक सीमित होती है।
आप खुद जाँच सकते हैं। मुख्य कोड को ओपन सोर्स करने की योजना है; रिलीज़ अभी भी पुनरुत्पादन-योग्य रूप से बनाई जा सकती हैं और उनके हैश पारदर्शिता लॉग में दर्ज होंगे, ताकि आप पुष्टि कर सकें कि आप जो प्रोग्राम चलाते हैं वह स्रोत से बना है (यह कदम शुरू नहीं हुआ); ब्राउज़र-पक्ष की क्रिप्टोग्राफ़ी अलग फ़ाइल है, जिसे साझा परीक्षण-वेक्टरों से सर्वर के कार्यान्वयन के साथ मिलाया जाता है।

Hive क्या नहीं कर सकता: कार्य चलाने वाली मशीन को यह देखने से नहीं रोक सकता कि वह क्या प्रोसेस कर रही है (गोपनीय श्रेणी हार्डवेयर प्रमाणन पर निर्भर है, अब तक केवल प्लेटफ़ॉर्म की अपनी मशीनें); समझौता किए गए ब्राउज़र या दुर्भावनापूर्ण एक्सटेंशन वाले कंप्यूटर से नहीं बचाता; सर्वर अब भी “किसी खाते ने इस समय इस आकार का कार्य सौंपा” जैसा मेटाडेटा जानता है; सार्वजनिक कार्य अजनबियों की मशीनों पर प्रोसेस हो सकते हैं, इसलिए उनमें निजी सामग्री न डालें; किसी तीसरे पक्ष द्वारा सुरक्षा ऑडिट नहीं हुआ है।

यह क्या नहीं कर सकता

अभी कोई विश्वसनीय निष्पादन परिवेश (TEE) नहीं है: वह यह गारंटी नहीं दे सकता कि नोड सामग्री नहीं देख सकता, इसीलिए अनुरोधों की श्रेणियाँ हैं।
इसकी किसी तीसरे पक्ष द्वारा सुरक्षा ऑडिट नहीं हुई है।
उपलब्धता का कोई वादा नहीं: नोड कभी भी जा सकते हैं, और अनुरोध दूसरे नोड पर दोबारा आज़माया जाता है, पर सफलता की गारंटी नहीं है।

यह पेज बताता है कि सिस्टम आज वास्तव में क्या करता है। औपचारिक सेवा की शर्तें और गोपनीयता नीति संचालन करने वाली संस्था अलग से प्रकाशित करती है।