Konsep Penyulitan
Aliran peringkat tinggi
Anda mengawal kunci induk dalam awan anda yang tidak pernah dilihat oleh OpenAI
Kunci induk anda digunakan untuk menyulitkan kunci penyulitan data (DEK) yang digunakan oleh OpenAI
OpenAI menggunakan DEK untuk menyulitkan data anda semasa disimpan. DEK disulitkan oleh kunci induk anda, menghasilkan eDEK (DEK yang disulitkan), yang disimpan bersama data anda
Untuk membaca data, OpenAI mengambil eDEK, meminta KMS anda menyahsulitkannya menjadi DEK, kemudian menyahsulitkan data anda
Bagaimanakah penyulitan EKM berfungsi?
Sila rujuk artikel kami untuk maklumat terperinci: Gambaran Keseluruhan OpenAI Enterprise Key Management (EKM)
Adakah OpenAI menyimpan DEK saya?
Tidak - kami menyimpan DEK yang disulitkan (eDEK), yang dijana oleh KMS anda. Untuk menyahsulitkan data, kami meminta KMS anda menyahsulitkan eDEK kembali menjadi DEK.
Adakah OpenAI menyimpan DEK saya dalam cache?
Ya - dalam memori sahaja. Ini dilakukan untuk prestasi, bagi mengelakkan KMS anda diakses pada setiap permintaan penyulitan/penyahsulitan data. DEK tidak pernah ditulis ke storan.
Kebenaran Awan
Apakah kebenaran yang akan dimiliki OpenAI pada KMS saya?
Hanya kebenaran yang anda berikan kepada kami melalui dasar yang anda tetapkan. Kami hanya memerlukan sekurang-kurangnya operasi Encrypt/Decrypt. Sila cipta kunci baharu dalam KMS awan anda untuk OpenAI, bukannya menggunakan semula kunci sedia ada yang digunakan untuk tujuan produksi.
Bilakah OpenAI mendapat kebenaran untuk mengakses KMS saya?
Semua langkah ini mesti telah dilakukan:
Anda telah mengiktiraf identiti OpenAI (melalui dasar kepercayaan, identiti beban kerja, dsb., bergantung pada penyedia awan).
Anda telah mencipta dasar untuk mengakses KMS.
Anda telah memberikan identiti OpenAI kebenaran untuk mengakses dasar tersebut.
Jika anda hanya mencipta KMS tanpa melakukan semua langkah ini, OpenAI tidak mempunyai akses.
Adakah saya perlu menyimpan kunci induk saya dalam awan saya?
Tidak - terpulang kepada anda cara mengurus kunci induk anda. Anda boleh menggunakan penyelesaian diurus awan atau penyelesaian luaran yang menyimpan kunci anda secara berasingan. OpenAI hanya perlu memanggil operasi encrypt/decrypt pada KMS anda - cara sebenar kunci induk melaksanakan encrypt/decrypt ialah butiran pelaksanaan yang tidak dapat kami lihat.
Kitar Hayat Kunci
Putaran DEK/eDEK (Dikawal oleh OpenAI)
Berapa kerap DEK/eDEK diputar?
Setiap 24 jam pada laluan penyulitan (meminta pasangan kunci DEK/eDEK)
Setiap 1 jam untuk laluan kunci penyahsulitan (DEK -> eDEK)
Adakah saya perlu melakukan apa-apa apabila DEK berubah?
Tidak - putaran DEK/eDEK dilakukan dalam OpenAI. Selagi kunci induk anda kekal sah, mana-mana eDEK yang disulitkan oleh kunci induk anda boleh terus dinyahsulitkan menjadi DEK, yang kemudian digunakan untuk menyahsulitkan data anda.
Putaran dan Pembatalan Kunci Induk (Dikawal oleh anda)
Berapa kerap putaran kunci dan pembatalan kunci berlaku?
Ini ditentukan oleh anda kerana OpenAI tidak mempunyai keterlihatan terhadap kunci induk anda.
Apakah perbezaan antara putaran kunci dan pembatalan kunci?
Pembatalan kunci mengalih keluar akses kepada data yang disulitkan menggunakan kunci lama. Putaran kunci menyulitkan data menggunakan kunci baharu, tetapi mengekalkan akses baca kepada data lama.
Apakah yang berlaku jika saya membatalkan kunci induk saya?
Jika kunci dibatalkan atau kebenaran dialih keluar, ruang kerja akhirnya akan menjadi tidak berfungsi apabila kunci cache tamat tempoh. Pada ketika itu, OpenAI tidak lagi boleh menyahsulitkan data tersimpan atau menyulitkan data baharu. Secara praktikal, data itu “dicincang”.
Seberapa cepat pembatalan berkuat kuasa?
OpenAI menyimpan DEK dalam cache memori untuk prestasi dan ketahanan. Pembatalan biasanya berkuat kuasa dalam masa satu jam, sebaik sahaja kunci cache tamat tempoh dan pengesahan semula gagal.
Bolehkah pembatalan diuji dengan selamat?
Menguji pembatalan dalam ruang kerja produksi tidak disyorkan kerana ia akan menjadikan data sedia ada tidak boleh diakses secara kekal. Walau bagaimanapun, pelanggan boleh (dan patut) menguji pembatalan dalam persekitaran sandbox untuk mengesahkan tingkah laku yang betul dan mengesahkan andaian kepercayaan mereka.
Jika kunci dibatalkan secara kekal, bolehkah ruang kerja dipulihkan dengan melampirkan kunci baharu?
Tidak. Sebaik sahaja kunci hilang, data tidak dapat diperoleh semula mengikut reka bentuk. Satu-satunya penyelesaian ialah menyediakan ruang kerja baharu.
Apakah yang perlu kami lakukan jika ruang kerja menjadi tidak boleh diakses disebabkan perubahan kunci?
Pemulihan yang dijangka ialah mencipta ruang kerja baharu. Mengemas kini KMS tidak akan memulihkan data sedia ada.
Apakah rancangan undur jika kami memutuskan untuk berhenti menggunakan CMEK?
Pada masa ini, tiada rancangan undur. Sebaik sahaja ruang kerja dicipta dengan CMEK, semua data berkaitan disulitkan menggunakan kunci diurus pelanggan dan tidak boleh diakses tanpanya. Satu-satunya cara untuk menghentikan penggunaan CMEK ialah mencipta ruang kerja baharu — data disulitkan sedia ada akan kekal tidak boleh diakses secara kekal.
Apakah yang berlaku apabila saya memutar kunci induk saya?
Bahan kriptografi baharu akan dijana untuk penyulitan, jadi permintaan penyulitan baharu akan menggunakan kunci baharu. Walau bagaimanapun, pengecam KMS (ARN atau nama kunci) kekal sama dan data lama masih boleh dinyahsulitkan. Banyak penyedia awan menawarkan putaran kunci automatik (AWS, GCP, Azure).
Adakah OpenAI menyulitkan semula data lama apabila saya memutar kunci induk saya?
Tidak. Bahan kriptografi baharu hanya akan digunakan untuk menyulitkan data baharu.
Berapa lama masa yang diambil untuk putaran kunci atau pembatalan kunci berkuat kuasa?
1 jam. Ini kerana DEK/eDEK dicache dalam memori dan kami mengesahkan semula entri ini dengan KMS anda setiap jam.
Menukar Pengecam KMS
Adakah menukar pengecam KMS merupakan pembatalan kunci atau putaran kunci?
Pembatalan kunci. Satu kunci tidak boleh menyahsulitkan data yang disulitkan oleh kunci lain.
Bolehkah OpenAI membantu saya menukar pengecam KMS untuk ruang kerja ChatGPT?
Jika anda mengesahkan bahawa niatnya adalah untuk membatalkan kunci anda, kami boleh membantu anda melakukannya untuk ruang kerja ChatGPT. Harap maklum bahawa apabila KMS ARN dikemas kini, data lama akan kekal tidak boleh diakses, jadi selepas perubahan itu anda akan mempunyai gabungan data yang tidak boleh diakses dan data yang boleh diakses.
Bolehkah OpenAI membantu saya menukar pengecam KMS untuk projek API?
Jika anda menggunakan API, API memudahkan pengarkiban dan penciptaan projek baharu. Jadi, arkibkan projek yang datanya sememangnya tidak boleh diakses, daftarkan konfigurasi EKM baharu dengan OpenAI, dan cipta projek API baharu dengan kunci KMS baharu.
Bagaimana jika saya mahu menukar pengecam KMS saya secara berkala sendiri?
Ini tidak disyorkan kerana anda mungkin tidak mahu membatalkan kunci anda secara berkala. Walau bagaimanapun, anda masih boleh melakukannya jika anda menggunakan penyedia awan yang menyokong alias kunci KMS (contoh AWS). Anda boleh mendaftarkan alias kunci KMS itu dengan OpenAI, kemudian pada penyedia awan anda, anda boleh menukar pengecam KMS asas yang ditunjuk oleh alias tersebut pada bila-bila masa untuk mengeluarkan pembatalan kunci.
Tingkah Laku Beta berbanding GA
Adakah terdapat risiko yang diketahui atau perubahan peringkat sistem apabila menggunakan beta penyulitan dalam produksi?
Persekitaran beta adalah setara secara fungsi dengan GA, dan tiada langkah migrasi dijangka diperlukan. Risiko utama ialah sesetengah ciri kes tepi mungkin belum menyokong kandungan yang disulitkan disebabkan laluan kod yang belum lengkap. Keadaan ini jarang berlaku dan sedang diselesaikan secara aktif. Data disulitkan sepenuhnya dan dilindungi tanpa mengira isu berpotensi ini.
Adakah akan ada sebarang langkah migrasi daripada beta ke GA?
Tidak. Ruang kerja yang menggunakan beta penyulitan akan disokong secara automatik dalam GA tanpa sebarang tindakan pengguna.
Butiran Teknikal Tambahan
Penyulitan Sampul dan Kebenaran
Adakah kita perlu memberikan kebenaran GenerateDataKey kepada OpenAI untuk EKM?
Tidak. OpenAI hanya memerlukan kebenaran Encrypt dan Decrypt pada kunci KMS anda. Kebenaran GenerateDataKey tidak diperlukan untuk integrasi EKM.
Adakah OpenAI menggunakan penyulitan sampul untuk data pelanggan?
Ya. OpenAI menggunakan model penyulitan sampul:
KMS Pelanggan: Mengurus Key Encryption Keys (KEK). OpenAI tidak pernah melihat atau menyimpan KEK.
Infrastruktur OpenAI: Menjana dan mengurus Data Encryption Keys (DEK). Setiap DEK disulitkan (dibungkus) dengan KEK anda sebelum disimpan.
Aliran Data:
Data pelanggan disulitkan dengan DEK.
DEK itu disulitkan dengan KEK anda, menghasilkan eDEK.
eDEK disimpan bersama data yang disulitkan.
Untuk menyahsulitkan data, OpenAI meminta KMS anda menyahsulitkan eDEK, mendapatkan semula DEK, dan menyahsulitkan kandungan.
Mengapa OpenAI memilih model ini berbanding membenarkan KMS mengurus kedua-dua KEK dan DEK?
Terdapat dua pendekatan penyulitan sampul yang lazim:
KEK dan DEK Diurus KMS:
Kelebihan: Pelaksanaan lebih mudah, tidak perlu menyelenggara infrastruktur penyulitan.
Kekurangan: Setiap permintaan penyulitan/penyahsulitan mengakses KMS, meningkatkan kependaman dan kos, serta mewujudkan satu titik kegagalan.
KEK Diurus KMS / DEK Diurus OpenAI (Pendekatan Kami):
Kelebihan: Kependaman dan kos jauh lebih rendah, kebolehskalaan dan kebolehpercayaan lebih baik, serta operasi berterusan semasa gangguan separa KMS (sehingga TTL cache DEK).
Kekurangan: Pelaksanaan di pihak OpenAI sedikit lebih kompleks.
Reka bentuk ini membolehkan OpenAI memberikan jaminan keselamatan yang kukuh sambil meminimumkan risiko operasi dan kos kepada pelanggan.
Berapa kerap DEK diputar?
Setiap DEK diputar kira-kira setiap 60 minit. Ini memberikan pengasingan mengikut masa — walaupun DEK entah bagaimana terjejas, impaknya terhad kepada data yang disulitkan dalam tetingkap satu jam tersebut.
Volum Permintaan KMS dan Kebolehcerapan
Kami melihat permintaan KMS jauh lebih sedikit daripada jumlah mesej pengguna. Patutkah angka ini sepadan?
Tidak, angka tersebut tidak akan berkorelasi secara langsung.
Oleh sebab OpenAI menyimpan DEK dalam cache memori atas sebab prestasi, panggilan KMS hanya dibuat apabila DEK perlu dinyahsulitkan — bukan pada setiap operasi penyulitan atau penyahsulitan. Oleh itu, anda patut menjangkakan:
Permintaan KMS lebih sedikit daripada interaksi pengguna.
Lonjakan sekali-sekala apabila DEK cache tamat tempoh (kira-kira setiap jam) atau apabila data lama yang disulitkan perlu diakses.
Panggilan tambahan apabila mendapatkan data sejarah, contohnya apabila pengguna meneruskan perbualan yang panjang dan DEK lama perlu dimuatkan.
Jumlah sebenar permintaan KMS bergantung pada keadaan cache, tingkah laku pengguna, corak akses data dan panjang perbualan, maka ia tidak akan berkorelasi secara langsung dengan volum mesej.