Krüptimise mõisted
Üldine voog
Teie juhite oma pilves peavõtit, mida OpenAI kunagi ei näe
Teie peavõtit kasutatakse OpenAI kasutatavate andmete krüptimisvõtmete (DEK-ide) krüptimiseks
OpenAI kasutab DEK-e teie jõudeolekus andmete krüptimiseks. DEK krüptitakse teie peavõtmega, mille tulemusel tekib eDEK (krüptitud DEK), mis salvestatakse koos teie andmetega
Andmete lugemiseks võtab OpenAI eDEK-i, palub teie KMS-il selle DEK-iks dekrüptida ja seejärel dekrüptib teie andmed
Kuidas EKM-krüptimine töötab?
Üksikasjaliku teabe leiate meie artiklist: OpenAI Enterprise Key Managementi (EKM) ülevaade
Kas OpenAI salvestab minu DEK-e?
Ei – salvestame krüptitud DEK-id (eDEK-id), mille loob teie KMS. Andmete dekrüptimiseks palume teie KMS-il dekrüptida eDEK tagasi DEK-iks.
Kas OpenAI hoiab minu DEK-e vahemälus?
Jah – ainult mälus. Seda tehakse jõudluse huvides, et vältida teie KMS-i kasutamist iga andmete krüptimis- või dekrüptimistaotluse puhul. DEK-e ei kirjutata kunagi salvestusruumi.
Pilveõigused
Millised õigused on OpenAI-l minu KMS-is?
Ainult need õigused, mille annate meile enda määratud poliitika kaudu. Vajame vähemalt toimingute Encrypt/Decrypt õigusi. Looge OpenAI jaoks oma pilve KMS-is ka uus võti, selle asemel et taaskasutada olemasolevaid tootmisotstarbelisi võtmeid.
Millal saab OpenAI õigused minu KMS-ile juurde pääseda?
Kõik järgmised sammud peavad olema tehtud:
Olete tuvastanud OpenAI identiteedi (usalduspoliitika, töökoormuse identiteedi vms kaudu, olenevalt pilveteenuse pakkujast).
Olete loonud KMS-ile juurdepääsu poliitika.
Olete andnud OpenAI identiteedile õiguse poliitikale juurde pääseda.
Kui loote KMS-i ilma kõiki neid samme tegemata, ei ole OpenAI-l juurdepääsu.
Kas pean oma peavõtit hoidma oma pilves?
Ei – see, kuidas oma peavõtit haldate, on teie otsustada. Võite kasutada pilve hallatavat lahendust või välist lahendust, kus teie võtit hoitakse eraldi. OpenAI peab saama teie KMS-is kutsuda krüptimise/dekrüptimise toiminguid – see, kuidas peavõti neid tegelikult teeb, on meile läbipaistmatu juurutusdetail.
Võtme elutsükkel
DEK/eDEK-i rotatsioon (OpenAI kontrolli all)
Kui sageli DEK-e/eDEK-e roteeritakse?
Iga 24 tunni järel krüptimisteel (DEK/eDEK-võtmepaari taotlemisel)
Iga 1 tunni järel dekrüptimisvõtme teel (DEK -> eDEK)
Kas pean midagi tegema, kui DEK muutub?
Ei – DEK/eDEK-i rotatsioon toimub OpenAI sees. Kuni teie peavõti kehtib, saab kõiki teie peavõtmega krüptitud eDEK-e jätkuvalt dekrüptida DEK-iks, mida kasutatakse seejärel teie andmete dekrüptimiseks.
Peavõtme rotatsioon ja tühistamine (teie kontrolli all)
Kui sageli toimub võtme rotatsioon ja võtme tühistamine?
Selle määrate teie, sest OpenAI-l puudub nähtavus teie peavõtmesse.
Mis vahe on võtme rotatsioonil ja võtme tühistamisel?
Võtme tühistamine eemaldab ligipääsu andmetele, mis on krüptitud vanemate võtmetega. Võtme rotatsioon krüptib andmeid uue võtmega, kuid säilitab lugemisligipääsu vanematele andmetele.
Mis juhtub, kui tühistan oma peavõtme?
Kui võti tühistatakse või õigused eemaldatakse, muutub tööjaam lõpuks mittetoimivaks, kui vahemällu salvestatud võtmed aeguvad. Sellest hetkest ei saa OpenAI enam salvestatud andmeid dekrüptida ega uusi andmeid krüptida. Sisuliselt on andmed „purustatud“.
Kui kiiresti tühistamine jõustub?
OpenAI hoiab DEK-e jõudluse ja vastupidavuse huvides mälus vahemälus. Tühistamine jõustub tavaliselt ühe tunni jooksul, kui vahemällu salvestatud võtmed aeguvad ja uuesti valideerimine nurjub.
Kas tühistamist saab turvaliselt testida?
Tühistamise testimine tootmistööjaamas ei ole soovitatav, sest see muudab olemasolevad andmed jäädavalt ligipääsmatuks. Kliendid saavad (ja peaksid) siiski testima tühistamist liivakastikeskkonnas, et kontrollida õiget käitumist ja valideerida oma usaldus-eeldusi.
Kui võti tühistatakse jäädavalt, kas tööjaama saab taastada uue võtme lisamisega?
Ei. Kui võti on kadunud, ei ole andmeid kavandatult võimalik taastada. Ainus lahendus on luua uus tööjaam.
Mida peaksime tegema, kui tööjaam muutub võtmemuudatuste tõttu ligipääsmatuks?
Eeldatav lahendus on luua uus tööjaam. KMS-i värskendamine ei taasta olemasolevaid andmeid.
Milline on tagasipöördumisplaan, kui otsustame CMEK-i kasutamise lõpetada?
Praegu tagasipöördumisplaani ei ole. Kui tööjaam on loodud CMEK-iga, krüptitakse kõik seotud andmed kliendi hallatavate võtmetega ja ilma nendeta ei ole neile võimalik juurde pääseda. Ainus viis CMEK-i kasutamine lõpetada on luua uus tööjaam — olemasolevad krüptitud andmed jäävad püsivalt ligipääsmatuks.
Mis juhtub, kui roteerin oma peavõtit?
Krüptimiseks luuakse uus krüptomaterjal, seega kasutavad uued krüptimistaotlused uut võtit. Kuid KMS-i identifikaator (ARN või võtme nimi) jääb samaks ja vanu andmeid saab endiselt dekrüptida. Paljud pilveteenuse pakkujad pakuvad automaatset võtmerotatsiooni (AWS, GCP, Azure).
Kas OpenAI krüpteerib vanemad andmed uuesti, kui vahetan oma peavõtit?
Ei. Uut krüptograafilist materjali kasutatakse ainult uute andmete krüptimiseks.
Kui kaua võtab aega, kuni võtme rotatsioon või võtme tühistamine jõustub?
1 tund. Seda seetõttu, et DEK/eDEK-id hoitakse mälus vahemälus ja me valideerime need kirjed teie KMS-iga uuesti kord tunnis.
KMS-i identifikaatori vahetamine
Kas KMS-i identifikaatori vahetamine on võtme tühistamine või võtme rotatsioon?
Võtme tühistamine. Üks võti ei saa dekrüptida andmeid, mis on krüptitud teise võtmega.
Kas OpenAI saab aidata mul ChatGPT tööjaama KMS-i identifikaatorit vahetada?
Kui kinnitate, et teie eesmärk on võti tühistada, saame aidata teil seda ChatGPT tööjaama puhul teha. Pange tähele, et kui KMS ARN-i värskendatakse, jäävad vanemad andmed ligipääsmatuks, nii et pärast muudatust on teil nii ligipääsmatuid kui ka ligipääsetavaid andmeid.
Kas OpenAI saab aidata mul API projekti KMS-i identifikaatorit vahetada?
Kui kasutate API-t, võimaldab API projekte hõlpsasti arhiveerida ja uusi luua. Seetõttu arhiveerige projekt, mille andmed pole niikuinii ligipääsetavad, registreerige OpenAI juures uus EKM-i konfiguratsioon ja looge uue KMS-võtmega uus API projekt.
Mis siis, kui tahan oma KMS-i identifikaatorit regulaarselt ise vahetada?
See ei ole soovitatav, sest tõenäoliselt ei soovi te oma võtit regulaarselt tühistada. Siiski saate seda teha, kui kasutate pilveteenuse pakkujat, mis toetab KMS-võtme aliast (AWS-i näide). Saate registreerida selle KMS-võtme aliase OpenAI juures ja seejärel oma pilveteenuse pakkuja juures igal ajal vahetada aliase osutatava aluseks oleva KMS-i identifikaatori, et käivitada võtme tühistamine.
Beeta ja GA käitumine
Kas krüptimise beeta kasutamisel tootmises on teadaolevaid riske või süsteemitasandi muudatusi?
Beetakeskkond on funktsionaalselt GA-ga samaväärne ja migratsioonisamme ei ole oodata. Peamine risk on see, et mõned erijuhufunktsioonid ei pruugi veel toetada krüptitud sisu, kuna kooditeed pole täielikud. Need juhud on harvad ja neid lahendatakse aktiivselt. Andmed on neist võimalikest probleemidest olenemata täielikult krüptitud ja kaitstud.
Kas beetast GA-sse üleminekul tuleb teha migratsioonisamme?
Ei. Krüptimise beetat kasutavaid tööjaamu toetatakse GA-s automaatselt, ilma et kasutaja peaks midagi tegema.
Täiendavad tehnilised üksikasjad
Ümbrikkrüptimine ja õigused
Kas peame EKM-i jaoks andma OpenAI-le GenerateDataKey õigused?
Ei. OpenAI vajab teie KMS-võtmele ainult õigusi Encrypt ja Decrypt. GenerateDataKey õigus ei ole EKM-i integratsiooni jaoks vajalik.
Kas OpenAI kasutab kliendiandmete jaoks ümbrikkrüptimist?
Jah. OpenAI kasutab ümbrikkrüptimise mudelit:
Kliendi KMS: haldab võtme krüptimisvõtmeid (KEK-e). OpenAI ei näe ega salvesta KEK-e kunagi.
OpenAI taristu: loob ja haldab andmete krüptimisvõtmeid (DEK-e). Iga DEK krüptitakse (mähitakse) enne salvestamist teie KEK-iga.
Andmevoog:
Kliendiandmed krüptitakse DEK-iga.
See DEK krüptitakse teie KEK-iga, mille tulemusel tekib eDEK.
eDEK salvestatakse koos krüptitud andmetega.
Andmete dekrüptimiseks palub OpenAI teie KMS-il eDEK-i dekrüptida, saab DEK-i kätte ja dekrüptib sisu.
Miks valis OpenAI selle mudeli, selle asemel et lasta KMS-il hallata nii KEK-e kui ka DEK-e?
Ümbrikkrüptimiseks on kaks levinud lähenemisviisi:
KMS-i hallatavad KEK-id ja DEK-id:
Plussid: lihtsam juurutus, krüptimistaristut pole vaja hallata.
Miinused: iga krüptimis- ja dekrüptimistaotlus jõuab KMS-i, suurendades latentsust ja kulu ning tekitades üheainsa tõrkepunkti.
KMS-i hallatavad KEK-id / OpenAI hallatavad DEK-id (meie lähenemisviis):
Plussid: märkimisväärselt väiksem latentsus ja kulu, parem skaleeritavus ja töökindlus ning töö jätkumine KMS-i osaliste katkestuste ajal (kuni DEK-i vahemälu TTL-ini).
Miinused: OpenAI poolel veidi keerukam juurutus.
See ülesehitus võimaldab OpenAI-l pakkuda tugevaid turvagarantiisid, minimeerides samal ajal klientide operatsiooniriski ja kulusid.
Kui sageli DEK-e roteeritakse?
Iga DEK roteeritakse ligikaudu iga 60 minuti järel. See annab ajalise isolatsiooni — isegi kui mõni DEK kuidagi kompromiteeritaks, piirduks mõju andmetega, mis on krüptitud selle ühe tunni pikkuse akna jooksul.
KMS-i päringumaht ja jälgitavus
Näeme palju vähem KMS-i päringuid kui kasutajasõnumeid. Kas need arvud peaksid kattuma?
Ei, need ei ole otseses seoses.
Kuna OpenAI hoiab DEK-e jõudluse tõttu mälus vahemälus, tehakse KMS-i kutseid ainult siis, kui DEK tuleb dekrüptida — mitte iga krüptimis- või dekrüptimistoimingu puhul. Seetõttu peaksite arvestama järgmisega:
KMS-i päringuid on vähem kui kasutajate interaktsioone.
Aeg-ajalt esineb hüppeid, kui vahemällu salvestatud DEK-id aeguvad (umbes iga tunni järel) või kui tuleb juurde pääseda vanematele krüptitud andmetele.
Lisakutseid tehakse ajalooliste andmete hankimisel, näiteks kui kasutaja jätkab pikalt kestnud vestlust ja vanemad DEK-id tuleb laadida.
KMS-i päringute täpne arv sõltub vahemälu olekust, kasutaja käitumisest, andmetele juurdepääsu mustritest ja vestluse pikkusest ning ei korreleeru seetõttu otseselt sõnumite mahuga.