सुरक्षा
Parla आपके माइक्रोफ़ोन के साथ काम करता है, इसलिए इसे ऐसे बनाया गया है कि इसका दुरुपयोग करना मुश्किल हो। आपकी आवाज़ कभी आपके डिवाइस से बाहर नहीं जाती, एक्सटेंशन जितनी हो सके उतनी कम अनुमतियाँ माँगता है, और हम जो भी कोड भेजते हैं वह आप तक पहुँचने से पहले पिन, स्कैन और टेस्ट किया जाता है।
जब आप Parla इस्तेमाल करते हैं
- आपकी आवाज़ आपके डिवाइस पर, ब्राउज़र के अंदर ही साफ़ की जाती है। Parla के पास ऑडियो लेने वाला कोई सर्वर नहीं है, और न ही कोई अकाउंट या पासवर्ड जो चोरी हो सके।
- इंजन हमारा अपना कोड है, जो Rust में बिना किसी थर्ड-पार्टी लाइब्रेरी के लिखा गया है, और ब्राउज़र के सैंडबॉक्स में WebAssembly के रूप में चलता है। AI मॉडल डेटा (संख्याएँ) हैं, प्रोग्राम नहीं: मॉडल बनाने वालों का कोई कोड आपके कंप्यूटर पर नहीं चलता।
- एक्सटेंशन सिर्फ़ वही माँगता है जो माइक्रोफ़ोन साफ़ करने के लिए ज़रूरी है: अपनी सेटिंग्स सहेजना और उन पेजों में चलना जहाँ आप अपना माइक्रोफ़ोन इस्तेमाल करते हैं। इसके अपने पेज सिर्फ़ अपनी ही स्क्रिप्ट चलाते हैं (एक सख़्त Content Security Policy)।
- वेब पेज एक्सटेंशन तक सिर्फ़ एक संकरे रास्ते से पहुँचते हैं: उन्हें इंजन की फ़ाइलें मिलती हैं और कुछ नहीं, और वे जो कुछ भी भेजते हैं उसकी जाँच होती है और उसका आकार सीमित रहता है।
- रिपोर्ट तब तक बंद रहती हैं जब तक आप उन्हें चालू न करें। वे गुमनाम हैं, और उनका हर फ़ील्ड हमारे दस्तावेज़ों में दर्ज है।
हमारे कोड से आपके ब्राउज़र तक
- बिल्ड में इस्तेमाल होने वाली हर चीज़ एक तय वर्ज़न पर पिन है और उसके फ़िंगरप्रिंट से जाँची जाती है: GitHub actions कमिट से, कंटेनर इमेज डाइजेस्ट से, डाउनलोड SHA-256 से, npm और Python पैकेज लॉकफ़ाइल से।
- 3 दिन से नई कोई भी रिलीज़ शामिल नहीं की जाती। ज़्यादातर मैलिशियस पैकेज वर्ज़न कुछ ही दिनों में पकड़े और हटा दिए जाते हैं, इसलिए हम पहले उन्हें पकड़े जाने देते हैं। अपने-आप होने वाले अपडेट एक हफ़्ता रुकते हैं, और हर अपडेट को स्वीकार करने से पहले बिल्ड और टेस्ट किया जाता है।
- पैकेजों को कभी भी इंस्टॉल स्क्रिप्ट चलाने की अनुमति नहीं है, और हर बिल्ड पर npm रजिस्ट्री के सिग्नेचर जाँचे जाते हैं।
- रिलीज़ सिर्फ़ हमारी ऑटोमेटेड पाइपलाइन बनाती है, मुख्य ब्रांच से। स्टोर और npm के क्रेडेंशियल एक सुरक्षित एनवायरनमेंट में रखे जाते हैं जिसे सिर्फ़ रिलीज़ वाला चरण इस्तेमाल कर सकता है, और बिल्ड रिपॉज़िटरी का एक्सेस टोकन अपने पास नहीं रखता।
हर बदलाव पर जाँच
- स्टैटिक एनालिसिस: CodeQL TypeScript, Rust इंजन और बिल्ड वर्कफ़्लो को पढ़ता है; zizmor वर्कफ़्लो का ऑडिट करता है।
- हर बदलाव पर और हर हफ़्ते वेबसाइट का डायनैमिक स्कैन (OWASP ZAP)।
- ऐसा कोई भी बदलाव रोक दिया जाता है जो किसी ज्ञात कमज़ोरी वाला पैकेज जोड़ता हो, और Dependabot अलर्ट हर लॉकफ़ाइल पर नज़र रखते हैं।
- पुश प्रोटेक्शन के साथ सीक्रेट स्कैनिंग: GitHub ऐसा कोई भी कमिट अस्वीकार कर देता है जिसमें पासवर्ड या की हो।
- सख़्ती से टाइप किया गया कोड (TypeScript और Python) और हर रिलीज़ से पहले Chrome और Firefox में ऑटोमेटेड टेस्ट।
कोई समस्या मिली?
कृपया हमें निजी तौर पर बताएं: GitHub पर कमज़ोरी की रिपोर्ट करें। इस तरह उसे सार्वजनिक होने से पहले ठीक किया जा सकता है।
इस पेज की हर बात जाँची जा सकती है: कोड, बिल्ड पाइपलाइन और सुरक्षा जाँचें ओपन सोर्स हैं। रिलीज़ कैसे बनाई और जाँची जाती हैं