დაშიფვრის ცნებები

მაღალი დონის ნაკადი

• თქვენ აკონტროლებთ მთავარ გასაღებს თქვენს cloud-ში, რომელსაც OpenAI არასოდეს ხედავს

• თქვენი მთავარი გასაღები გამოიყენება OpenAI-ის მიერ გამოყენებული მონაცემთა დაშიფვრის გასაღებების (DEK-ების) დასაშიფრად

• OpenAI იყენებს DEK-ებს თქვენი უმოძრაო მდგომარეობის მონაცემების დასაშიფრად. DEK იშიფრება თქვენი მთავარი გასაღებით, რის შედეგადაც იქმნება eDEK (დაშიფრული DEK), რომელიც თქვენს მონაცემებთან ერთად ინახება

• მონაცემების წასაკითხად OpenAI იღებს eDEK-ს, სთხოვს თქვენს KMS-ს მის DEK-ად გაშიფვრას და შემდეგ შიფრავს თქვენს მონაცემებს

როგორ მუშაობს EKM დაშიფვრა?

დეტალური ინფორმაციისთვის იხილეთ ჩვენი სტატია: OpenAI Enterprise Key Management (EKM) მიმოხილვა

ინახავს OpenAI ჩემს DEK-ებს?

არა — ჩვენ ვინახავთ დაშიფრულ DEK-ებს (eDEK-ებს), რომლებიც თქვენი KMS-ის მიერ იქმნება. მონაცემების გასაშიფრად თქვენს KMS-ს ვთხოვთ eDEK-ის ისევ DEK-ად გაშიფვრას.

ქეშავს OpenAI ჩემს DEK-ებს?

დიახ — მხოლოდ მეხსიერებაში. ეს წარმადობისთვისაა, რათა თქვენი KMS არ გამოიძახოს მონაცემების დაშიფვრის/გაშიფვრის ყოველ მოთხოვნაზე. DEK-ები საცავში არასოდეს იწერება.

Cloud ნებართვები

რა ნებართვები ექნება OpenAI-ს ჩემს KMS-ზე?

მხოლოდ ის ნებართვები, რომლებსაც თქვენ დაგვიდგენთ თქვენი პოლიტიკის მეშვეობით. ჩვენ მხოლოდ Encrypt/Decrypt ოპერაციები გვჭირდება მინიმუმ. გთხოვთ, OpenAI-სთვის თქვენს cloud KMS-ში შექმნათ ახალი გასაღები და არ გამოიყენოთ ხელახლა არსებული გასაღებები, რომლებსაც პროდუქტიული დანიშნულება აქვთ.

როდის იღებს OpenAI ჩემს KMS-ზე წვდომის ნებართვებს?

ყველა ეს ნაბიჯი შესრულებული უნდა იყოს:

1. თქვენ ამოიცანით OpenAI-ის იდენტობა (trust policy-ის, workload identity-ის და სხვა საშუალებებით, cloud პროვაიდერის მიხედვით).

2. თქვენ შექმენით KMS-ზე წვდომის პოლიტიკა.

3. თქვენ OpenAI-ის იდენტობას მიანიჭეთ პოლიტიკაზე წვდომის ნებართვა.

თუ KMS-ს უბრალოდ შექმნით ამ ყველა ნაბიჯის შესრულების გარეშე, OpenAI-ს წვდომა არ ექნება.

აუცილებელია ჩემი მთავარი გასაღების ჩემს cloud-ში შენახვა?

არა — თავად წყვეტთ, როგორ მართოთ თქვენი მთავარი გასაღები. შეგიძლიათ გქონდეთ cloud-ით მართული გადაწყვეტა ან გარე გადაწყვეტა, სადაც თქვენი გასაღები ცალკე ინახება. OpenAI-ს მხოლოდ თქვენს KMS-ზე encrypt/decrypt ოპერაციების გამოძახება სჭირდება — როგორ ასრულებს მთავარი გასაღები რეალურად encrypt/decrypt-ს, ჩვენთვის უხილავი დანერგვის დეტალია.

გასაღების სასიცოცხლო ციკლი

DEK/eDEK როტაცია (კონტროლდება OpenAI-ის მიერ)

რა სიხშირით ხდება DEK-ების/eDEK-ების როტაცია?

ყოველ 24 საათში დაშიფვრის გზაზე (DEK/eDEK გასაღებების წყვილის მოთხოვნისას)

ყოველ 1 საათში გაშიფვრის გასაღების გზისთვის (DEK -> eDEK)

უნდა გავაკეთო რამე, როცა DEK იცვლება?

არა — DEK/eDEK როტაცია OpenAI-ის შიგნით ხდება. სანამ თქვენი მთავარი გასაღები მოქმედია, თქვენი მთავარი გასაღებით დაშიფრული ნებისმიერი eDEK კვლავ შეიძლება DEK-ად გაიშიფროს, რომელიც შემდეგ თქვენი მონაცემების გასაშიფრად გამოიყენება.

მთავარი გასაღების როტაცია და გაუქმება (კონტროლდება თქვენ მიერ)

რა სიხშირით ხდება გასაღების როტაცია და გასაღების გაუქმება?

ამას თქვენ განსაზღვრავთ, რადგან OpenAI-ს თქვენს მთავარ გასაღებზე ხილვადობა არ აქვს.

რა განსხვავებაა გასაღების როტაციასა და გასაღების გაუქმებას შორის?

გასაღების გაუქმება ხსნის წვდომას ძველი გასაღებებით დაშიფრულ მონაცემებზე. გასაღების როტაცია მონაცემებს ახალი გასაღებით შიფრავს, მაგრამ ძველი მონაცემების წაკითხვის წვდომას ინარჩუნებს.

რა მოხდება, თუ ჩემს მთავარ გასაღებს გავაუქმებ?

თუ გასაღები გაუქმდება ან ნებართვები მოიხსნება, ქეშირებული გასაღებების ვადის ამოწურვის შემდეგ სამუშაო სივრცე საბოლოოდ უფუნქციო გახდება. ამ მომენტიდან OpenAI ვეღარ შეძლებს შენახული მონაცემების გაშიფვრას ან ახალი მონაცემების დაშიფვრას. ფაქტობრივად, მონაცემები „განადგურებულია“.

რამდენად სწრაფად შედის გაუქმება ძალაში?

OpenAI წარმადობისა და მდგრადობისთვის DEK-ებს მეხსიერებაში ქეშავს. გაუქმება ჩვეულებრივ ძალაში შედის ერთი საათის განმავლობაში, როცა ქეშირებულ გასაღებებს ვადა ეწურება და ხელახალი ვალიდაცია ვერ ხერხდება.

შეიძლება გაუქმების უსაფრთხოდ ტესტირება?

პროდუქციულ სამუშაო სივრცეში გაუქმების ტესტირება რეკომენდებული არ არის, რადგან ის არსებულ მონაცემებს სამუდამოდ მიუწვდომელს გახდის. თუმცა, მომხმარებლებს შეუძლიათ (და უნდა) ტესტირება sandbox გარემოში, რათა გადაამოწმონ სწორი ქცევა და დაადასტურონ თავიანთი ნდობის დაშვებები.

თუ გასაღები სამუდამოდ გაუქმდა, შეიძლება სამუშაო სივრცის აღდგენა ახალი გასაღების მიბმით?

არა. გასაღების დაკარგვის შემდეგ მონაცემები დიზაინის მიხედვით აღუდგენელია. ერთადერთი გამოსავალი ახალი სამუშაო სივრცის გაშვებაა.

რა უნდა გავაკეთოთ, თუ გასაღების ცვლილებების გამო სამუშაო სივრცე მიუწვდომელი გახდება?

მოსალოდნელი გამოსავალი ახალი სამუშაო სივრცის შექმნაა. KMS-ის განახლება არსებულ მონაცემებს ვერ აღადგენს.

რა არის უკუსვლის გეგმა, თუ CMEK-ის გამოყენების შეწყვეტას გადავწყვეტთ?

ამჟამად უკუსვლის გეგმა არ არსებობს. როცა სამუშაო სივრცე CMEK-ით იქმნება, მასთან დაკავშირებული ყველა მონაცემი მომხმარებლის მიერ მართული გასაღებებით იშიფრება და მათ გარეშე მიუწვდომელია. CMEK-ის გამოყენების შეწყვეტის ერთადერთი გზა ახალი სამუშაო სივრცის შექმნაა — არსებული დაშიფრული მონაცემები სამუდამოდ მიუწვდომელი დარჩება.

რა ხდება, როცა ჩემს მთავარ გასაღებს ვატრიალებ?

დაშიფვრისთვის შეიქმნება ახალი კრიპტოგრაფიული მასალა, ამიტომ დაშიფვრის ახალი მოთხოვნები ახალ გასაღებს გამოიყენებს. თუმცა, KMS იდენტიფიკატორი (ARN ან გასაღების სახელი) იგივე რჩება და ძველი მონაცემების გაშიფვრა კვლავ შესაძლებელია. ბევრი cloud პროვაიდერი გთავაზობთ გასაღების ავტომატურ როტაციას (AWS, GCP, Azure).

ახდენს OpenAI ძველი მონაცემების ხელახლა დაშიფვრას, როცა ჩემს მთავარ გასაღებს ვატრიალებ?

არა. ახალი კრიპტოგრაფიული მასალა მხოლოდ ახალი მონაცემების დასაშიფრად იქნება გამოყენებული.

რამდენ ხანში შედის ძალაში გასაღების როტაცია ან გასაღების გაუქმება?

1 საათი. ეს იმიტომ ხდება, რომ DEK/eDEK-ები მეხსიერებაში ქეშირდება და ამ ჩანაწერებს თქვენს KMS-თან ყოველ საათში ხელახლა ვამოწმებთ.

KMS იდენტიფიკატორის შეცვლა

KMS იდენტიფიკატორის შეცვლა გასაღების გაუქმებაა თუ გასაღების როტაცია?

გასაღების გაუქმება. ერთი გასაღები ვერ გაშიფრავს სხვა გასაღებით დაშიფრულ მონაცემებს.

შეუძლია OpenAI-ს დამეხმაროს ChatGPT სამუშაო სივრცისთვის KMS იდენტიფიკატორის შეცვლაში?

თუ დაადასტურებთ, რომ მიზანი თქვენი გასაღების გაუქმებაა, შეგვიძლია დაგეხმაროთ ამის გაკეთებაში ChatGPT სამუშაო სივრცისთვის. გაითვალისწინეთ, რომ KMS ARN-ის განახლებისას ძველი მონაცემები მიუწვდომელი დარჩება, ამიტომ ცვლილების შემდეგ გექნებათ მიუწვდომელი და ხელმისაწვდომი მონაცემების ნარევი.

შეუძლია OpenAI-ს დამეხმაროს API პროექტისთვის KMS იდენტიფიკატორის შეცვლაში?

თუ API-ს იყენებთ, API ამარტივებს პროექტების დაარქივებასა და ახლების შექმნას; ამიტომ დაარქივეთ პროექტი, რომლის მონაცემებიც ისედაც მიუწვდომელია, დაარეგისტრირეთ ახალი EKM კონფიგურაცია OpenAI-თან და შექმენით ახალი API პროექტი ახალი KMS გასაღებით.

რა ვქნა, თუ მინდა KMS იდენტიფიკატორი რეგულარულად თავად შევცვალო?

ეს რეკომენდებული არ არის, რადგან ალბათ არ გსურთ თქვენი გასაღების რეგულარულად გაუქმება. თუმცა, ამის გაკეთება მაინც შეგიძლიათ, თუ იყენებთ cloud პროვაიდერს, რომელიც KMS გასაღების alias-ს უჭერს მხარს (AWS მაგალითი). შეგიძლიათ ეს KMS გასაღების alias დაარეგისტრიროთ OpenAI-თან, შემდეგ კი თქვენს cloud პროვაიდერთან ნებისმიერ დროს შეცვალოთ alias-ის მიერ მითითებული ძირითადი KMS იდენტიფიკატორი გასაღების გაუქმების გასაცემად.

Beta და GA ქცევა

არსებობს თუ არა ცნობილი რისკები ან სისტემური დონის ცვლილებები, როცა დაშიფვრის beta-ს production-ში ვიყენებთ?

beta გარემო ფუნქციურად GA-ს ეკვივალენტურია და მიგრაციის ნაბიჯები მოსალოდნელი არ არის. ძირითადი რისკი ის არის, რომ ზოგიერთ edge-case ფუნქციას არასრული code path-ების გამო დაშიფრული კონტენტის მხარდაჭერა ჯერ შეიძლება არ ჰქონდეს. ეს შემთხვევები იშვიათია და აქტიურად გვარდება. ამ პოტენციური პრობლემების მიუხედავად, მონაცემები სრულად დაშიფრული და დაცულია.

იქნება თუ არა რაიმე მიგრაციის ნაბიჯები beta-დან GA-ზე გადასვლისას?

არა. სამუშაო სივრცეები, რომლებიც დაშიფვრის beta-ს იყენებენ, GA-ში ავტომატურად იქნება მხარდაჭერილი მომხმარებლის მხრიდან რაიმე ქმედების გარეშე.

დამატებითი ტექნიკური დეტალები

კონვერტული დაშიფვრა და ნებართვები

საჭიროა თუ არა OpenAI-სთვის GenerateDataKey ნებართვების მინიჭება EKM-ისთვის?

არა. OpenAI-ს თქვენს KMS გასაღებზე მხოლოდ Encrypt და Decrypt ნებართვები სჭირდება. GenerateDataKey ნებართვა EKM ინტეგრაციისთვის აუცილებელი არ არის.

იყენებს OpenAI კონვერტულ დაშიფვრას მომხმარებლის მონაცემებისთვის?

დიახ. OpenAI იყენებს კონვერტული დაშიფვრის მოდელს:

• მომხმარებლის KMS: მართავს გასაღების დაშიფვრის გასაღებებს (KEK-ებს). OpenAI KEK-ებს არასოდეს ხედავს და არ ინახავს.

• OpenAI ინფრასტრუქტურა: ქმნის და მართავს მონაცემთა დაშიფვრის გასაღებებს (DEK-ებს). შენახვამდე თითოეული DEK იშიფრება (იფუთება) თქვენი KEK-ით.

• მონაცემთა ნაკადი:

  • მომხმარებლის მონაცემები DEK-ით იშიფრება.

  • ეს DEK იშიფრება თქვენი KEK-ით, რის შედეგადაც იქმნება eDEK.

  • eDEK ინახება დაშიფრულ მონაცემებთან ერთად.

  • მონაცემების გასაშიფრად OpenAI თქვენს KMS-ს სთხოვს eDEK-ის გაშიფვრას, იღებს DEK-ს და შიფრავს კონტენტს.

რატომ აირჩია OpenAI-მ ეს მოდელი იმის ნაცვლად, რომ KMS-ს ემართა KEK-ებიც და DEK-ებიც?

კონვერტული დაშიფვრის ორი გავრცელებული მიდგომა არსებობს:

KMS-ით მართული KEK-ები და DEK-ები:

დადებითი მხარეები: უფრო მარტივი დანერგვა; დაშიფვრის ინფრასტრუქტურის შენარჩუნება საჭირო არ არის.

უარყოფითი მხარეები: დაშიფვრის/გაშიფვრის ყოველი მოთხოვნა KMS-ს მიმართავს, რაც ზრდის დაყოვნებასა და ხარჯს და ქმნის მარცხის ერთ წერტილს.

KMS-ით მართული KEK-ები / OpenAI-ის მიერ მართული DEK-ები (ჩვენი მიდგომა):

დადებითი მხარეები: მნიშვნელოვნად დაბალი დაყოვნება და ხარჯი, უკეთესი მასშტაბირებადობა და საიმედოობა, ასევე მუშაობის გაგრძელება KMS-ის ნაწილობრივი შეფერხებების დროს (DEK ქეშის TTL-მდე).

უარყოფითი მხარეები: OpenAI-ის მხარეს ოდნავ უფრო რთული დანერგვა.

ეს დიზაინი OpenAI-ს საშუალებას აძლევს მომხმარებლებს ძლიერი უსაფრთხოების გარანტიები მიაწოდოს და თან საოპერაციო რისკი და ხარჯი შეამციროს.

რა სიხშირით ხდება DEK-ების როტაცია?

თითოეული DEK-ის როტაცია დაახლოებით ყოველ 60 წუთში ხდება. ეს უზრუნველყოფს დროით იზოლაციას — თუნდაც DEK როგორღაც კომპრომეტირებული იყოს, ზემოქმედება შემოიფარგლება იმ მონაცემებით, რომლებიც იმ ერთსაათიან ფანჯარაში დაშიფრდა.

KMS მოთხოვნების მოცულობა და დაკვირვებადობა

ჩვენ ვხედავთ ბევრად ნაკლებ KMS მოთხოვნას, ვიდრე მომხმარებლის შეტყობინებების რაოდენობაა. უნდა ემთხვეოდეს ეს რიცხვები ერთმანეთს?

არა, ისინი პირდაპირ არ იქნება ერთმანეთთან კორელაციაში.

რადგან OpenAI წარმადობის მიზნით DEK-ებს მეხსიერებაში ქეშავს, KMS გამოძახებები ხდება მხოლოდ მაშინ, როცა DEK-ის გაშიფვრაა საჭირო — და არა დაშიფვრის ან გაშიფვრის ყოველ ოპერაციაზე. შედეგად, უნდა ელოდოთ:

• უფრო ნაკლებ KMS მოთხოვნას, ვიდრე მომხმარებლის ინტერაქციებია.

• პერიოდულ პიკებს, როცა ქეშირებულ DEK-ებს ვადა ეწურებათ (დაახლოებით ყოველ საათში) ან როცა საჭიროა ძველ დაშიფრულ მონაცემებზე წვდომა.

• დამატებით გამოძახებებს ისტორიული მონაცემების მიღებისას, მაგალითად, როცა მომხმარებელი აგრძელებს ხანგრძლივ საუბარს და ძველი DEK-ების ჩატვირთვაა საჭირო.

KMS მოთხოვნების ზუსტი რაოდენობა დამოკიდებულია ქეშირების მდგომარეობაზე, მომხმარებლის ქცევაზე, მონაცემებზე წვდომის შაბლონებსა და საუბრის სიგრძეზე; ამიტომ ის პირდაპირ არ იქნება კორელაციაში შეტყობინებების მოცულობასთან.