Titkosítási alapfogalmak
Magas szintű folyamat
Ön egy főkulcsot kezel a felhőjében, amelyet az OpenAI soha nem lát
Az Ön főkulcsa az OpenAI által használt adattitkosítási kulcsok (DEK-ek) titkosítására szolgál
Az OpenAI a DEK-ekkel titkosítja a nyugalmi állapotban lévő adatait. Egy DEK-et az Ön főkulcsa titkosít, létrehozva egy eDEK-et (titkosított DEK), amely az adataival együtt kerül tárolásra
Az adatok olvasásához az OpenAI fogja az eDEK-et, megkéri az Ön KMS-ét, hogy fejtse vissza DEK-ké, majd visszafejti az adatait
Hogyan működik az EKM titkosítás?
Részletes információkért kérjük, olvassa el ezt a cikkünket: OpenAI Enterprise Key Management (EKM) áttekintés
Az OpenAI tárolja a DEK-jeimet?
Nem – a titkosított DEK-eket (eDEK-eket) tároljuk, amelyeket az Ön KMS-e hoz létre. Az adatok visszafejtéséhez megkérjük az Ön KMS-ét, hogy fejtse vissza az eDEK-et DEK-ké.
Az OpenAI gyorsítótárazza a DEK-jeimet?
Igen – de csak memóriában. Ez teljesítménybeli okból történik, hogy ne kelljen minden adattitkosítási/visszafejtési kérésnél az Ön KMS-ét elérni. A DEK-ek soha nem kerülnek tárhelyre írásra.
Felhőjogosultságok
Milyen jogosultságai lesznek az OpenAI-nak a KMS-emen?
Csak azok a jogosultságok, amelyeket az Ön által beállított szabályzaton keresztül megad nekünk. Legalább Titkosítás/Visszafejtés műveletekre van szükségünk. Kérjük, hozzon létre egy új kulcsot is a felhőalapú KMS-ében az OpenAI számára, ahelyett hogy újrahasznosítana meglévő, éles célokra használt kulcsokat.
Mikor kap az OpenAI jogosultságot a KMS-em elérésére?
Az alábbi lépések mindegyikét meg kell tenni: 1. felismerte az OpenAI identitását (bizalmi szabályzat, workload identity stb. a felhőszolgáltatótól függően), 2. létrehozott egy szabályzatot a KMS eléréséhez, és 3. hozzárendelte az OpenAI identitásához a szabályzat elérésének jogosultságát. Ha csak létrehozza a KMS-t anélkül, hogy ezeket a lépéseket mind elvégezné, az OpenAI nem fér hozzá.
A főkulcsomat a saját felhőmben kell tárolnom?
Nem – teljesen Önön múlik, hogyan kezeli a főkulcsát. Használhat felhő által kezelt megoldást vagy külső megoldást is, ahol a kulcsa külön van tárolva. Az OpenAI-nak csak a KMS-én végrehajtott titkosítási/visszafejtési műveleteket kell meghívnia – hogy a főkulcs valójában hogyan végzi a titkosítást/visszafejtést, az számunkra nem látható megvalósítási részlet.
Kulcs-életciklus
DEK/eDEK rotáció (az OpenAI kezeli)
Milyen gyakran történik a DEK-ek/eDEK-ek rotációja?
24 óránként a titkosítási útvonalon (DEK/eDEK kulcspár igénylésekor)
1 óránként a visszafejtési kulcsútvonalon (DEK -> eDEK)
Kell tennem valamit, amikor a DEK megváltozik?
Nem – a DEK/eDEK rotáció az OpenAI-n belül történik. Amíg az Ön főkulcsa érvényes marad, az Ön főkulcsával titkosított eDEK-ek továbbra is visszafejthetők DEK-ké, amelyet ezután az adatai visszafejtésére használunk.
Főkulcs rotációja és visszavonása (Ön kezeli)
Milyen gyakran történik kulcsrotáció és kulcsvisszavonás?
Ezt Ön határozza meg, mivel az OpenAI-nak nincs rálátása az Ön főkulcsára.
Mi a különbség a kulcsrotáció és a kulcsvisszavonás között?
A kulcsvisszavonás megszünteti a régebbi kulcsokkal titkosított adatokhoz való hozzáférést. A kulcsrotáció új kulccsal titkosítja az adatokat, de fenntartja a régebbi adatok olvasási hozzáférését.
Mi történik, ha visszavonom a főkulcsomat?
Ha egy kulcs vissza van vonva vagy a jogosultságokat eltávolítják, a munkaterület végül működésképtelenné válik, amint a gyorsítótárazott kulcsok lejárnak. Ekkor az OpenAI többé nem tudja visszafejteni a tárolt adatokat és nem tud új adatokat titkosítani. Gyakorlatilag az adatok „megsemmisülnek”.
Milyen gyorsan lép életbe a visszavonás?
Az OpenAI teljesítmény és ellenálló képesség miatt memóriában gyorsítótárazza a DEK-eket. A visszavonás jellemzően egy órán belül lép életbe, miután a gyorsítótárazott kulcsok lejárnak, és az újbóli ellenőrzés sikertelen lesz.
Biztonságosan tesztelhető a visszavonás?
A visszavonás tesztelése éles munkaterületen nem ajánlott, mert az a meglévő adatokat véglegesen hozzáférhetetlenné teszi. Ugyanakkor az ügyfelek sandbox környezetben tesztelhetik (és érdemes is tesztelniük) a visszavonást, hogy ellenőrizzék a helyes működést és érvényesítsék a bizalmi feltételezéseiket.
Ha egy kulcsot véglegesen visszavonnak, helyreállítható a munkaterület új kulcs csatolásával?
Nem. Ha a kulcs elveszik, az adatok tervezés szerint nem állíthatók helyre. Az egyetlen megoldás egy új munkaterület létrehozása.
Mit tegyünk, ha egy munkaterület kulcsváltozások miatt elérhetetlenné válik?
A várt megoldás egy új munkaterület létrehozása. A KMS frissítése nem állítja helyre a meglévő adatokat.
Mi a visszalépési terv, ha úgy döntünk, hogy nem használjuk tovább a CMEK-et?
Jelenleg nincs visszalépési terv. Ha egy munkaterület CMEK-kel jön létre, minden kapcsolódó adat ügyfél által kezelt kulcsokkal van titkosítva, és azok nélkül nem érhető el. A CMEK használatának megszüntetésére csak új munkaterület létrehozásával van lehetőség — a meglévő titkosított adatok végleg hozzáférhetetlenek maradnak.
Mi történik, amikor elforgatom a főkulcsomat?
Új kriptográfiai anyag jön létre a titkosításhoz, így az új titkosítási kérések az új kulcsot fogják használni. Ugyanakkor a KMS-azonosító (ARN vagy kulcsnév) változatlan marad és a régi adatok továbbra is visszafejthetők. Sok felhőszolgáltató kínál automatikus kulcsrotációt (AWS, GCP, Azure).
Újratitkosítja az OpenAI a régebbi adatokat, amikor elforgatom a főkulcsomat?
Nem. Az új kriptográfiai anyagot csak új adatok titkosítására használjuk.
Mennyi idő alatt lép életbe egy kulcsrotáció vagy kulcsvisszavonás?
1 óra. Ennek oka, hogy a DEK-ek/eDEK-ek memóriában gyorsítótárazva vannak, és ezeket a bejegyzéseket óránként újraellenőrizzük az Ön KMS-ével.
A KMS-azonosító váltása
A KMS-azonosító váltása kulcsvisszavonás vagy kulcsrotáció?
Kulcsvisszavonás. Egy kulcs nem tudja visszafejteni a másik kulccsal titkosított adatokat.
Segíthet az OpenAI a KMS-azonosítóm váltásában egy ChatGPT munkaterülethez?
Ha megerősíti, hogy a szándék a kulcsa visszavonása, segíthetünk ennek végrehajtásában egy ChatGPT munkaterület esetén. Vegye figyelembe, hogy amikor a KMS ARN frissül, a régebbi adatok továbbra is hozzáférhetetlenek maradnak, így a módosítás után hozzáférhető és hozzáférhetetlen adatok keveréke lesz jelen.
Segíthet az OpenAI a KMS-azonosítóm váltásában egy API-projekthez?
Ha API-t használ, az API megkönnyíti a projektek archiválását és új projektek létrehozását, ezért kérjük, inkább archiválja azt a projektet, amelynek adatai amúgy sem hozzáférhetők, regisztráljon egy új EKM-konfigurációt az OpenAI-nál, és hozzon létre egy új API-projektet az új KMS-kulccsal.
Mi van akkor, ha rendszeresen magam szeretném váltani a KMS-azonosítómat?
Ez nem ajánlott, mivel valószínűleg nem szeretné rendszeresen visszavonni a kulcsát. Ugyanakkor továbbra is megteheti ezt, ha olyan felhőszolgáltatót használ, amely támogatja a KMS-kulcsaliast (AWS-példa). Ezt a KMS-kulcsaliast regisztrálhatja az OpenAI-nál, majd a felhőszolgáltatójánál bármikor lecserélheti az alias által mutatott mögöttes KMS-azonosítót, hogy kulcsvisszavonást hajtson végre.
Béta vs. GA működés
Vannak ismert kockázatok vagy rendszerszintű változások, ha az éles környezetben a titkosítási bétát használjuk?
A béta környezet funkcionálisan egyenértékű a GA-val, és nem várhatók migrációs lépések. Az elsődleges kockázat az, hogy néhány szélsőséges esethez kapcsolódó funkció a hiányos kódútvonalak miatt még nem támogatja a titkosított tartalmat. Ezek ritkák, és aktívan javítjuk őket. Az adatok ezektől a lehetséges problémáktól függetlenül teljes mértékben titkosítottak és védettek.
Lesznek migrációs lépések a bétáról a GA-ra való áttéréshez?
Nem. A titkosítási bétát használó munkaterületek minden felhasználói beavatkozás nélkül automatikusan támogatottak lesznek a GA-ban.
További műszaki részletek
Borítéktitkosítás és jogosultságok
Kell GenerateDataKey jogosultságot adnunk az OpenAI-nak az EKM-hez?
Nem. Az OpenAI-nak csak Titkosítás és Visszafejtés jogosultságra van szüksége az Ön KMS-kulcsán. A GenerateDataKey jogosultság nem szükséges az EKM-integrációhoz.
Használ az OpenAI borítéktitkosítást az ügyféladatokhoz?
Igen. Az OpenAI borítéktitkosítási modellt használ:
Ügyfél KMS: Kezeli a kulcstitkosító kulcsokat (KEK-eket). Az OpenAI soha nem látja és nem tárolja a KEK-eket.
OpenAI infrastruktúra: Létrehozza és kezeli az adattitkosítási kulcsokat (DEK-eket). Minden DEK az Ön KEK-jével van titkosítva (becsomagolva) a tárolás előtt.
Adatfolyam:
Az ügyféladatok DEK-kel vannak titkosítva.
Ezt a DEK-et az Ön KEK-je titkosítja, létrehozva egy eDEK-et.
Az eDEK a titkosított adatok mellett kerül tárolásra.
Az adatok visszafejtéséhez az OpenAI megkéri az Ön KMS-ét az eDEK visszafejtésére, lekéri a DEK-et, majd visszafejti a tartalmat.
Miért ezt a modellt választotta az OpenAI ahelyett, hogy a KMS kezelné a KEK-eket és a DEK-eket is?
Két általános borítéktitkosítási megközelítés létezik:
KMS által kezelt KEK-ek és DEK-ek:
Előnyök: Egyszerűbb megvalósítás, nincs szükség a titkosítási infrastruktúra fenntartására.
Hátrányok: Minden titkosítási/visszafejtési kérés eléri a KMS-t, ami növeli a késleltetést és a költséget, valamint egyetlen hibapontot hoz létre.
KMS által kezelt KEK-ek / OpenAI által kezelt DEK-ek (a mi megközelítésünk):
Előnyök: Jelentősen alacsonyabb késleltetés és költség, jobb skálázhatóság és megbízhatóság, valamint folyamatos működés részleges KMS-kimaradások esetén is (a DEK-gyorsítótár TTL-jéig).
Hátrányok: Kissé összetettebb megvalósítás az OpenAI oldalán.
Ez a kialakítás lehetővé teszi az OpenAI számára, hogy erős biztonsági garanciákat nyújtson, miközben minimalizálja az ügyfelek működési kockázatát és költségeit.
Milyen gyakran rotálódnak a DEK-ek?
Minden DEK körülbelül 60 percenként rotálódik. Ez időbeli elkülönítést biztosít — még ha egy DEK valamilyen módon kompromittálódna is, a hatás csak az adott egyórás időablakban titkosított adatokra korlátozódna.
KMS-kérések mennyisége és megfigyelhetőség
Sokkal kevesebb KMS-kérést látunk, mint a felhasználói üzenetek száma. Ezeknek a számoknak egyezniük kellene?
Nem, nem fognak közvetlenül korrelálni.
Mivel az OpenAI teljesítménybeli okokból memóriában gyorsítótárazza a DEK-eket, KMS-hívások csak akkor történnek, amikor egy DEK-et vissza kell fejteni — nem minden titkosítási vagy visszafejtési műveletnél. Ennek eredményeként a következőkre számíthat:
Kevesebb KMS-kérésre, mint felhasználói interakcióra.
Alkalmankénti kiugrásokra, amikor a gyorsítótárazott DEK-ek lejárnak (körülbelül óránként), vagy amikor régebbi titkosított adatokhoz kell hozzáférni.
További hívásokra előzményadatok lekérésekor, például amikor egy felhasználó folytat egy hosszabb beszélgetést, és régebbi DEK-eket kell betölteni.
A KMS-kérések pontos száma a gyorsítótárazás állapotától, a felhasználói viselkedéstől, az adathozzáférési mintáktól és a beszélgetés hosszától függ, ezért nem fog közvetlenül korrelálni az üzenetmennyiséggel.