Güvenlik ve gizlilik

Gönderdikleriniz nereye gider

İsteğiniz Babel Mesh ağ geçidine ulaşır; ağ geçidi isteğin veri sınıfına göre bir düğüm seçer ve isteği ona iletir. Düğüm sonucu modeliyle hesaplar ve ağ geçidi üzerinden geri döndürür.

Bir isteği işleyen düğüm onu okuyabilir. Bugünkü çalışma biçiminin bir gerçeği bu: bir düğüm cevap verebilmek için istemi okumak zorundadır. Bu yüzden parola, kimlik numarası veya ticari sır göndermeyin.
Düğüm kim olduğunuzu göremez. Bir düğümün aldığı istek ne hesap adı ne de anahtar taşır, yalnızca anonim bir etiket taşır.
Babel Mesh konuşmaları saklamaz. Ağ geçidinin kayıtlarında yalnızca isteğin zamanı, model, sonuç ve kullanım bulunur. Konuşmalar kendi istemcinizde veya tarayıcınızda kalır.
Babel Mesh içeriği incelemez. Ağ geçidi girdileri ve çıktıları içerik kurallarına göre denetlemez, engellemez veya filtrelemez; bir isteğin içeriği yüzünden alıntı veya hesap adı tutmaz. İçeriğin kullanımından doğan sorumluluk kullanıcıya aittir; yasa dışı içerik göndermeyin.
Örneklemeli kontroller istekleri yeniden çalıştırır. Katkıda bulunanların döndürdüğünü doğrulamak için, herkese açık sınıftaki isteklerin küçük bir kısmı operatörün kendi düğümlerinde yeniden hesaplanır ve iki sonuç karşılaştırılır.

Veri sınıfları

Her hesabın ve her isteğin bir veri sınıfı vardır. Kendi kendine kaydolan hesaplar "herkese açık" ile başlar. Katkıda bulunanların düğümleri yalnızca "herkese açık" istekleri alır. Daha yüksek sınıflar yalnızca operatörün kendi düğümlerine gider. Şimdilik görseller ve video da yalnızca operatörün düğümlerinden sunulur; çünkü sonuçları metin gibi örnekleme ile kontrol edilemez.

Bağlantılar ve anahtarlar

Web sitesi ve API HTTPS kullanır. Arkalarındaki bileşenler (denetleyici, ağ geçidi, defter, röle, düğümler) karşılıklı sertifika doğrulamalı şifreli bağlantılarla konuşur; bir düğümün kimliği sertifikasındadır.
Düğümler yalnızca dışarıya bağlanır. Gelen port açmazlar ve bir röle üzerinden hizmet verirler.
İstemci API anahtarınızı bilgisayarınızda tutar, yalnızca sistem hesabınız okuyabilir. İstemcinin sayfası anahtarı asla almaz; istekleri sizin yerinize istemci yapar.
İstemci güncellemeleri imzalı bir bildirimle (manifest) doğrulanır: genel anahtar istemciye gömülüdür ve hatalı bir imza ya da daha yeni olmayan bir sürüm asla kurulmaz.

Muhasebe ve doğrulama

İki tarafın imzaladığı makbuzlar. Her istek için ağ geçidi ve düğüm aynı makbuzu imzalar, defter onu yalnızca ikisi uyuştuğunda kaydeder. Makbuzda isteğin ve sonucun özetleri (hash) ile kullanım bulunur, içerik değil.
Rastgele kontroller. Yeni düğümler daha sık, uzun süredir temiz kaydı olan düğümler daha seyrek kontrol edilir. Sonuçları uyuşmayan bir düğüm karantinaya alınır; operatör hileyi doğruladığında kazançları iptal edilir ve kurallara göre cezalandırılır.
Kazançlar bekletilir. Bir katkıda bulunanın geliri birkaç gün bekler; bu sürede kontroller devam eder.

Hive: sunucu görevinizi göremez

Hive başka bir yoldur: ona verdiğiniz görevler ve dosyalar tarayıcınızda şifrelenir, dağıtıcı ve depo yalnızca şifreli metni alır. Aşağıda, yapamadıkları dahil bugün gerçekte yaptıkları var.

Şifreleme tarayıcıda yapılır. Her görevin kendi ana anahtarı vardır; görev, dosyaları ve sonucu onunla mühürlenir, ana anahtar da görevi çalıştırmasına izin verilen her makine için ayrı ayrı mühürlenir. Dağıtıcı, depo ve ağ geçidi şifreli metni, boyutları, zamanları ve hesap kimliğinizi görür; içeriği görmez.
Bir görevi çalıştıran makine onu okuyabilir. İş yapmak için görevi açması gerekir ve bu kaçınılamaz. Bu yüzden makineler veri sınıfına göre ayrılır: herkese açık görevler kabul edilmiş her makineye gidebilir; güvenilir görevler yalnızca platformun kendi makinelerine, sözleşmeli kurumlara ve uzaktan kanıtlamayı geçmiş makinelere; gizli görevler yalnızca platformun kendi makinelerine ve kanıtlanmış olanlara. Kendi makineleriniz her zaman önce gelir ve sınıftan bağımsız olarak görevlerinizi yalnızca onlar alabilir.
Makineler yalıtılmış çalışır. Bir görev gVisor kum havuzunda, varsayılan olarak ağsız ve yalnızca kendi çalışma klasörüne erişimle çalışır. Yeni bir makine gerçek görev almadan önce birkaç denetimi geçmelidir; denetimi geçemeyen makine karantinaya alınır ya da yasaklanır.
Görev başına tek kullanımlık bir model anahtarı. Makineler hesap anahtarınızı asla almaz; görev yalnızca kendisi için üretilmiş, harcama sınırı olan bir anahtar kullanır. Sunucu, sayfanız açık olsun olmasın, görev biter bitmez onu iptal eder.
Ne kadar süre saklanır. Bir görev ve sonucu (şifreli) sunucuda 7 gün tutulur, sonra silinir; sayfa tarihi gösterir. İptal etmek hemen siler. Görev kayıtlarınız ve onları açan anahtarlar yalnızca tarayıcınızda kalır: tarayıcının verilerini silerseniz ya da tarayıcı değiştirirseniz açılamazlar; yalnızca cihazlar arası eşitlemeyi açarsanız (yalnızca sizin bildiğiniz bir parolayla şifrelenir; unutursanız kimse kurtaramaz) durum değişir.
Kitaplığım da tarayıcıda şifrelenir. Dosyalar parçalara bölünür ve yüklenmeden önce kendi anahtarlarıyla şifrelenir; depo şifreli metni birden fazla makinede tutar ve dizin de şifrelidir. Bir göreve paylaştığınız dosya salt okunurdur, süreyle ve kendi parçalarıyla sınırlıdır.
Kendiniz doğrulayabilirsiniz. Çekirdek kodun açık kaynak olması planlanıyor; sürümler şimdiden yeniden üretilebilir biçimde derlenebiliyor ve özetleri şeffaflık günlüğüne yazılacak, böylece çalıştırdığınız programın kaynaktan derlenen olduğunu doğrulayabilirsiniz (bu adım başlamadı); tarayıcı tarafı şifreleme ayrı bir dosyadır ve ortak test vektörleriyle sunucunun uygulamasına karşı çapraz denetlenir.

Hive’ın yapamadıkları: görevi çalıştıran makinenin işlediğini görmesini engelleyemez (gizli sınıf donanım kanıtlamasına dayanır, şimdilik yalnızca platformun kendi makineleri); ele geçirilmiş bir tarayıcıdan ya da kötü amaçlı eklentisi olan bir bilgisayardan korumaz; sunucu hâlâ “bir hesap şu zamanda şu boyutta bir görev gönderdi” gibi üst verileri bilir; herkese açık görevleri yabancıların makineleri işleyebilir, bu yüzden içine özel bir şey koymayın; üçüncü taraf güvenlik denetimi yapılmadı.

Yapamadıkları

Henüz güvenilir bir yürütme ortamı (TEE) yok: bir düğümün içeriği göremeyeceğini garanti edemez, isteklerin sınıfları bu yüzden vardır.
Üçüncü taraf bir güvenlik denetiminden geçmedi.
Erişilebilirlik sözü yoktur: düğümler her an ayrılabilir ve istek başka bir düğümde yeniden denenir, ancak başarı garanti değildir.

Bu sayfa, sistemin bugün gerçekte ne yaptığını anlatır. Resmî hizmet koşulları ve gizlilik politikası, işleten kuruluş tarafından ayrıca yayımlanır.