Keamanan

Parla bekerja dengan mikrofon Anda, jadi dibuat agar sulit disalahgunakan. Suara Anda tidak pernah meninggalkan perangkat Anda, ekstensi meminta izin sesedikit mungkin, dan setiap bagian kode yang kami rilis dikunci versinya, dipindai, dan diuji sebelum sampai ke Anda.

Saat Anda memakai Parla

• Suara Anda dibersihkan di perangkat Anda, di dalam browser. Parla tidak punya server yang menerima audio, dan tidak ada akun atau kata sandi yang bisa dicuri.
• Mesinnya adalah kode kami sendiri, ditulis dalam Rust tanpa pustaka pihak ketiga, dan berjalan sebagai WebAssembly di dalam sandbox browser. Model AI-nya berupa data (angka), bukan program: tidak ada kode dari pembuat model yang berjalan di komputer Anda.
• Ekstensi hanya meminta apa yang dibutuhkan untuk membersihkan mikrofon: menyimpan pengaturannya dan berjalan di halaman tempat Anda memakai mikrofon. Halaman ekstensi itu sendiri hanya menjalankan skripnya sendiri (Content Security Policy yang ketat).
• Halaman web hanya dapat menjangkau ekstensi melalui saluran yang sempit: halaman mendapatkan file mesin dan tidak ada yang lain, dan semua yang dikirimnya diperiksa serta dibatasi ukurannya.
• Laporan mati sampai Anda menyalakannya. Laporan bersifat anonim, dan setiap kolomnya tercantum dalam dokumentasi kami.

Dari kode kami ke browser Anda

• Semua yang dipakai dalam proses build dikunci ke versi yang pasti dan diperiksa berdasarkan sidik jarinya: GitHub Actions berdasarkan commit, image container berdasarkan digest, unduhan berdasarkan SHA-256, paket npm dan Python berdasarkan lockfile.
• Tidak ada rilis yang berumur kurang dari 3 hari yang dipakai. Sebagian besar versi paket berbahaya ditemukan dan dihapus dalam hitungan hari, jadi kami membiarkannya tertangkap lebih dulu. Pembaruan otomatis menunggu seminggu, dan masing-masing dibangun serta diuji sebelum diterima.
• Paket tidak pernah diizinkan menjalankan skrip instalasi, dan tanda tangan registri npm diverifikasi pada setiap build.
• Hanya pipeline otomatis kami yang membangun rilis, dari branch utama. Kredensial toko ekstensi dan npm disimpan di lingkungan terlindungi yang hanya bisa dipakai oleh langkah rilis, dan proses build tidak menyimpan token akses repositori.

Diperiksa pada setiap perubahan

• Analisis statis: CodeQL membaca TypeScript, mesin Rust, dan workflow build; zizmor mengaudit workflow tersebut.
• Pemindaian dinamis situs web (OWASP ZAP) pada setiap perubahan dan setiap minggu.
• Perubahan yang menambahkan paket dengan kerentanan yang diketahui akan diblokir, dan peringatan Dependabot memantau setiap lockfile.
• Pemindaian rahasia dengan perlindungan push: GitHub menolak commit apa pun yang berisi kata sandi atau kunci.
• Kode bertipe ketat (TypeScript dan Python) dan pengujian otomatis di Chrome dan Firefox sebelum setiap rilis.

Menemukan masalah?

Mohon beri tahu kami secara pribadi: laporkan kerentanan di GitHub. Dengan begitu masalahnya dapat diperbaiki sebelum diumumkan.

Semua yang ada di halaman ini dapat diperiksa: kode, pipeline build, dan pemeriksaan keamanannya bersifat open source. Cara rilis dibangun dan diperiksa