Şifreleme Kavramları
Üst düzey akış
Bulutunuzda, OpenAI’nin asla görmediği bir ana anahtarı siz kontrol edersiniz
Ana anahtarınız, OpenAI tarafından kullanılan veri şifreleme anahtarlarını (DEK’leri) şifrelemek için kullanılır
OpenAI, beklemedeki verilerinizi şifrelemek için DEK’leri kullanır. Bir DEK, ana anahtarınızla şifrelenerek verilerinizle birlikte saklanan bir eDEK (şifrelenmiş DEK) oluşturur
Verileri okumak için OpenAI eDEK’i alır, KMS’inizden bunu bir DEK’e çözmesini ister ve ardından verilerinizin şifresini çözer
EKM şifrelemesi nasıl çalışır?
Ayrıntılı bilgi için lütfen makalemize bakın: OpenAI Enterprise Key Management (EKM) Genel Bakış
OpenAI DEK’lerimi saklıyor mu?
Hayır; KMS’iniz tarafından oluşturulan şifrelenmiş DEK’leri (eDEK’leri) saklarız. Verilerin şifresini çözmek için KMS’inizden eDEK’in şifresini tekrar DEK’e çözmesini isteriz.
OpenAI DEK’lerimi önbelleğe alıyor mu?
Evet; yalnızca bellekte. Bu, her veri şifreleme/şifre çözme isteğinde KMS’inize gitmemek için performans amacıyla yapılır. DEK’ler hiçbir zaman depolama alanına yazılmaz.
Bulut İzinleri
OpenAI’nin KMS’im üzerinde hangi izinleri olacak?
Yalnızca belirlediğiniz politika üzerinden bize verdiğiniz izinler. En azından Encrypt/Decrypt işlemlerine ihtiyacımız vardır. Lütfen üretim amaçlı mevcut anahtarları yeniden kullanmak yerine bulut KMS’inizde OpenAI için yeni bir anahtar da oluşturun.
OpenAI, KMS’ime erişim izinlerini ne zaman alır?
Aşağıdaki adımların tümü tamamlanmış olmalıdır:
OpenAI’nin kimliğini tanımış olmalısınız (bulut sağlayıcısına bağlı olarak güven politikası, iş yükü kimliği vb. aracılığıyla).
KMS’e erişim için bir politika oluşturmuş olmalısınız.
OpenAI’nin kimliğine politikaya erişim izni atamış olmalısınız.
Tüm bu adımları tamamlamadan yalnızca KMS’i oluşturursanız, OpenAI’nin erişimi olmaz.
Ana anahtarımı bulutumda saklamak zorunda mıyım?
Hayır; ana anahtarınızı nasıl yöneteceğiniz size bağlıdır. Bulut tarafından yönetilen bir çözüm kullanabilir veya anahtarınızın ayrı saklandığı harici bir çözüm tercih edebilirsiniz. OpenAI’nin yalnızca KMS’inizde encrypt/decrypt işlemlerini çağırması gerekir; ana anahtarın encrypt/decrypt işlemlerini gerçekte nasıl yaptığı bizim için görünmeyen bir uygulama ayrıntısıdır.
Anahtar Yaşam Döngüsü
DEK/eDEK Rotasyonu (OpenAI Tarafından Kontrol Edilir)
DEK/eDEK’ler ne sıklıkla döndürülür?
Şifreleme yolunda her 24 saatte bir (DEK/eDEK anahtar çifti istenir)
Şifre çözme anahtarı yolu için her 1 saatte bir (DEK -> eDEK)
DEK değiştiğinde herhangi bir şey yapmam gerekir mi?
Hayır; DEK/eDEK rotasyonu OpenAI içinde yapılır. Ana anahtarınız geçerli kaldığı sürece, ana anahtarınızla şifrelenmiş eDEK’lerin şifresi çözülerek DEK elde edilmeye devam edilebilir; bu DEK de verilerinizin şifresini çözmek için kullanılır.
Ana Anahtar Rotasyonu ve İptali (Sizin Tarafınızdan Kontrol Edilir)
Anahtar rotasyonu ve anahtar iptali ne sıklıkla gerçekleşir?
OpenAI ana anahtarınıza görünürlük sahibi olmadığından bunu siz belirlersiniz.
Anahtar rotasyonu ile anahtar iptali arasındaki fark nedir?
Anahtar iptali, eski anahtarlar kullanılarak şifrelenmiş verilere erişimi kaldırır. Anahtar rotasyonu verileri yeni bir anahtarla şifreler, ancak eski verilere okuma erişimini korur.
Ana anahtarımı iptal edersem ne olur?
Bir anahtar iptal edilirse veya izinler kaldırılırsa, önbelleğe alınmış anahtarlar süresi dolduğunda çalışma alanı sonunda işlevsiz hale gelir. Bu noktada OpenAI artık saklanan verilerin şifresini çözemez veya yeni verileri şifreleyemez. Fiilen veriler “parçalanmış” olur.
İptal ne kadar hızlı yürürlüğe girer?
OpenAI, performans ve dayanıklılık için DEK’leri bellekte önbelleğe alır. İptal genellikle önbelleğe alınmış anahtarların süresi dolduğunda ve yeniden doğrulama başarısız olduğunda, bir saat içinde yürürlüğe girer.
İptal işlemi güvenli şekilde test edilebilir mi?
Üretim çalışma alanında iptal testi yapmak önerilmez; çünkü mevcut verileri kalıcı olarak erişilemez hale getirir. Bununla birlikte müşteriler, doğru davranışı doğrulamak ve güven varsayımlarını sınamak için iptal işlemini bir sandbox ortamında test edebilir (ve etmelidir).
Bir anahtar kalıcı olarak iptal edilirse, yeni bir anahtar eklenerek çalışma alanı kurtarılabilir mi?
Hayır. Anahtar kaybedildiğinde veriler tasarım gereği geri getirilemez. Tek çözüm yeni bir çalışma alanı oluşturmaktır.
Bir çalışma alanı anahtar değişiklikleri nedeniyle erişilemez hale gelirse ne yapmalıyız?
Beklenen çözüm yeni bir çalışma alanı oluşturmaktır. KMS’i güncellemek mevcut verileri kurtarmaz.
CMEK kullanmayı bırakmaya karar verirsek geri dönüş planı nedir?
Şu anda bir geri dönüş planı yoktur. Bir çalışma alanı CMEK ile oluşturulduktan sonra, ilişkili tüm veriler müşteri tarafından yönetilen anahtarlarla şifrelenir ve bu anahtarlar olmadan erişilemez. CMEK kullanımını sonlandırmanın tek yolu yeni bir çalışma alanı oluşturmaktır; mevcut şifrelenmiş veriler kalıcı olarak erişilemez kalır.
Ana anahtarımı döndürdüğümde ne olur?
Şifreleme için yeni kriptografik materyal oluşturulur; bu nedenle yeni şifreleme istekleri yeni anahtarı kullanır. Ancak KMS tanımlayıcısı (ARN veya anahtar adı) aynı kalır ve eski verilerin şifresi hâlâ çözülebilir. Birçok bulut sağlayıcısı otomatik anahtar rotasyonu sunar (AWS, GCP, Azure).
Ana anahtarımı döndürdüğümde OpenAI eski verileri yeniden şifreler mi?
Hayır. Yeni kriptografik materyal yalnızca yeni verileri şifrelemek için kullanılır.
Anahtar rotasyonu veya anahtar iptalinin yürürlüğe girmesi ne kadar sürer?
1 saat. Bunun nedeni DEK/eDEK’lerin bellekte önbelleğe alınması ve bu girdileri KMS’inizle saatlik olarak yeniden doğrulamamızdır.
KMS Tanımlayıcısını Değiştirme
KMS tanımlayıcısını değiştirmek anahtar iptali mi, yoksa anahtar rotasyonu mu?
Anahtar iptali. Bir anahtar, başka bir anahtarla şifrelenmiş verilerin şifresini çözemez.
OpenAI, bir ChatGPT çalışma alanı için KMS tanımlayıcımı değiştirmeme yardımcı olabilir mi?
Amacınızın anahtarınızı iptal etmek olduğunu onaylarsanız, bunu bir ChatGPT çalışma alanı için yapmanıza yardımcı olabiliriz. KMS ARN güncellendiğinde eski verilerin erişilemez kalacağını unutmayın; bu nedenle değişiklikten sonra erişilemeyen ve erişilebilen verilerin bir karışımıyla karşılaşırsınız.
OpenAI, bir API projesi için KMS tanımlayıcımı değiştirmeme yardımcı olabilir mi?
API kullanıyorsanız API, projeleri arşivlemeyi ve yeni projeler oluşturmayı kolaylaştırır. Bu nedenle, verilerine zaten erişilemeyen projeyi arşivleyin, OpenAI ile yeni bir EKM yapılandırması kaydedin ve yeni KMS anahtarıyla yeni bir API projesi oluşturun.
KMS tanımlayıcımı düzenli olarak kendim değiştirmek istersem ne olur?
Anahtarınızı düzenli olarak iptal etmek istemeyeceğiniz için bu önerilmez. Ancak KMS anahtar diğer adını destekleyen bir bulut sağlayıcısı kullanıyorsanız bunu yine de yapabilirsiniz (AWS örneği). Bu KMS anahtar diğer adını OpenAI’ye kaydedebilir, ardından bulut sağlayıcınızda diğer adın işaret ettiği temel KMS tanımlayıcısını istediğiniz zaman değiştirerek anahtar iptali gerçekleştirebilirsiniz.
Beta ve GA Davranışı
Şifreleme betasını üretimde kullanırken bilinen riskler veya sistem düzeyinde değişiklikler var mı?
Beta ortamı işlevsel olarak GA ile eşdeğerdir ve herhangi bir geçiş adımı beklenmez. Başlıca risk, bazı uç durum özelliklerinin eksik kod yolları nedeniyle şifrelenmiş içeriği henüz desteklemeyebilmesidir. Bunlar nadirdir ve aktif olarak çözülmektedir. Bu olası sorunlardan bağımsız olarak veriler tamamen şifrelenir ve korunur.
Betadan GA’ya geçiş için herhangi bir adım olacak mı?
Hayır. Şifreleme betasını kullanan çalışma alanları, herhangi bir kullanıcı işlemi gerektirmeden GA’da otomatik olarak desteklenecektir.
Ek Teknik Ayrıntılar
Zarf Şifreleme & İzinler
EKM için OpenAI’ye GenerateDataKey izinleri vermemiz gerekir mi?
Hayır. OpenAI yalnızca KMS anahtarınız üzerinde Encrypt ve Decrypt izinlerine ihtiyaç duyar. GenerateDataKey izni EKM entegrasyonu için gerekli değildir.
OpenAI müşteri verileri için zarf şifreleme kullanıyor mu?
Evet. OpenAI bir zarf şifreleme modeli kullanır:
Müşteri KMS’i: Anahtar Şifreleme Anahtarlarını (KEK’leri) yönetir. OpenAI KEK’leri asla görmez veya saklamaz.
OpenAI Altyapısı: Veri Şifreleme Anahtarlarını (DEK’leri) oluşturur ve yönetir. Her DEK, saklanmadan önce KEK’inizle şifrelenir (sarmalanır).
Veri Akışı:
Müşteri verileri bir DEK ile şifrelenir.
Bu DEK, KEK’inizle şifrelenerek bir eDEK oluşturur.
eDEK, şifrelenmiş verilerin yanında saklanır.
Verilerin şifresini çözmek için OpenAI, KMS’inizden eDEK’in şifresini çözmesini ister, DEK’i alır ve içeriğin şifresini çözer.
OpenAI, KMS’in hem KEK’leri hem de DEK’leri yönetmesine izin vermek yerine neden bu modeli seçti?
İki yaygın zarf şifreleme yaklaşımı vardır:
KMS Tarafından Yönetilen KEK’ler ve DEK’ler:
Artıları: Daha basit uygulama; şifreleme altyapısı bakımına gerek yoktur.
Eksileri: Her şifreleme/şifre çözme isteği KMS’ye gider; bu da gecikmeyi ve maliyeti artırır, ayrıca tek hata noktası oluşturur.
KMS Tarafından Yönetilen KEK’ler / OpenAI Tarafından Yönetilen DEK’ler (Yaklaşımımız):
Artıları: Önemli ölçüde daha düşük gecikme ve maliyet, daha iyi ölçeklenebilirlik ve güvenilirlik, ayrıca kısmi KMS kesintileri sırasında (DEK önbellek TTL’sine kadar) çalışmaya devam etme.
Eksileri: OpenAI tarafında biraz daha karmaşık uygulama.
Bu tasarım, OpenAI’nin müşteriler için operasyonel riski ve maliyeti en aza indirirken güçlü güvenlik garantileri sunmasını sağlar.
DEK’ler ne sıklıkla döndürülür?
Her DEK yaklaşık 60 dakikada bir döndürülür. Bu zamansal izolasyon sağlar; bir DEK bir şekilde ele geçirilse bile etkisi yalnızca o bir saatlik aralıkta şifrelenen verilerle sınırlı kalır.
KMS İstek Hacmi & Gözlemlenebilirlik
Kullanıcı mesajı sayısına göre çok daha az KMS isteği görüyoruz. Bu sayıların eşleşmesi gerekir mi?
Hayır, doğrudan ilişkili olmayacaklardır.
OpenAI performans nedeniyle DEK’leri bellekte önbelleğe aldığı için KMS çağrıları her şifreleme veya şifre çözme işleminde değil, yalnızca bir DEK’in şifresinin çözülmesi gerektiğinde yapılır. Sonuç olarak şunları beklemelisiniz:
Kullanıcı etkileşimlerinden daha az KMS isteği.
Ara sıra görülen ani artışlar: önbelleğe alınmış DEK’lerin süresi dolduğunda (yaklaşık saatte bir) veya eski şifreli verilere erişilmesi gerektiğinde.
Ek çağrılar: örneğin bir kullanıcı uzun süredir devam eden bir konuşmayı sürdürdüğünde ve eski DEK’lerin yüklenmesi gerektiğinde, geçmiş veriler alınırken.
KMS isteklerinin kesin sayısı önbellek durumuna, kullanıcı davranışına, veri erişim kalıplarına ve konuşma uzunluğuna bağlıdır; bu nedenle mesaj hacmiyle doğrudan ilişkili olmayacaktır.