सुरक्षा

Parla तुमच्या मायक्रोफोनसोबत काम करते, म्हणून त्याचा गैरवापर करणे कठीण जावे अशा प्रकारे ते बनवले आहे. तुमचा आवाज कधीच तुमच्या डिव्हाइसबाहेर जात नाही, एक्स्टेंशन शक्य तितक्या कमी परवानग्या मागते, आणि आम्ही देत असलेल्या कोडचा प्रत्येक भाग तुमच्यापर्यंत पोहोचण्याआधी आवृत्तीसह निश्चित, स्कॅन आणि टेस्ट केला जातो.

तुम्ही Parla वापरत असताना

तुमचा आवाज तुमच्या डिव्हाइसवर, ब्राउझरमध्येच स्वच्छ केला जातो. Parla कडे ऑडिओ स्वीकारणारा कोणताही सर्व्हर नाही, आणि चोरी होऊ शकतील अशी कोणतीही खाती किंवा पासवर्ड नाहीत.
इंजिन हा आमचा स्वतःचा कोड आहे, तृतीय-पक्ष लायब्ररींशिवाय Rust मध्ये लिहिलेला, आणि तो ब्राउझरच्या सँडबॉक्समध्ये WebAssembly म्हणून चालतो. AI मॉडेल्स म्हणजे डेटा (संख्या) आहेत, प्रोग्राम नाहीत: मॉडेल्सच्या लेखकांचा कोणताही कोड तुमच्या कॉम्प्युटरवर चालत नाही.
मायक्रोफोन स्वच्छ करण्यासाठी जे आवश्यक आहे तेवढेच एक्स्टेंशन मागते: त्याच्या सेटिंग्ज जतन करणे आणि तुम्ही मायक्रोफोन वापरता त्या पानांवर चालणे. त्याची स्वतःची पाने फक्त त्यांच्याच स्क्रिप्ट्स चालवतात (कडक Content Security Policy).
वेब पाने एक्स्टेंशनपर्यंत फक्त एका मर्यादित मार्गाने पोहोचतात: त्यांना इंजिनच्या फाइल्स मिळतात, इतर काहीही नाही, आणि ते जे काही पाठवतात ते तपासले जाते व त्याच्या आकाराला मर्यादा असते.
तुम्ही चालू करेपर्यंत अहवाल बंद असतात. ते निनावी असतात, आणि त्यातील प्रत्येक फील्ड आमच्या दस्तऐवजांमध्ये नमूद केलेले आहे.

आमच्या कोडपासून तुमच्या ब्राउझरपर्यंत

बिल्डमध्ये वापरली जाणारी प्रत्येक गोष्ट नेमक्या आवृत्तीवर निश्चित केलेली असते आणि तिच्या फिंगरप्रिंटने तपासली जाते: GitHub actions कमिटनुसार, कंटेनर इमेजेस डायजेस्टनुसार, डाउनलोड्स SHA-256 नुसार, npm आणि Python पॅकेजेस lockfile नुसार.
3 दिवसांपेक्षा नवीन कोणतीही रिलीज वापरली जात नाही. बहुतेक दुर्भावनापूर्ण पॅकेज आवृत्त्या काही दिवसांतच सापडतात आणि काढून टाकल्या जातात, म्हणून आम्ही त्या आधी पकडल्या जाऊ देतो. स्वयंचलित अपडेट्स एक आठवडा थांबतात, आणि प्रत्येक अपडेट स्वीकारण्याआधी बिल्ड आणि टेस्ट केले जाते.
पॅकेजेसना इन्स्टॉल स्क्रिप्ट्स चालवण्याची कधीच परवानगी नसते, आणि प्रत्येक बिल्डमध्ये npm रजिस्ट्रीच्या स्वाक्षऱ्या पडताळल्या जातात.
रिलीज फक्त आमची स्वयंचलित पाइपलाइन, मुख्य ब्रँचमधून, बिल्ड करते. स्टोअर आणि npm ची क्रेडेन्शियल्स एका संरक्षित वातावरणात ठेवली जातात जे फक्त रिलीजची पायरीच वापरू शकते, आणि बिल्ड रिपॉझिटरीचा ॲक्सेस टोकन ठेवत नाही.

प्रत्येक बदलावर तपासणी

स्टॅटिक विश्लेषण: CodeQL TypeScript, Rust इंजिन आणि बिल्ड वर्कफ्लो वाचते; zizmor वर्कफ्लोचे ऑडिट करते.
वेबसाइटचे डायनॅमिक स्कॅन (OWASP ZAP) प्रत्येक बदलावर आणि दर आठवड्याला.
ज्ञात असुरक्षितता असलेले पॅकेज जोडणारा बदल रोखला जातो, आणि Dependabot सूचना प्रत्येक lockfile वर लक्ष ठेवतात.
पुश संरक्षणासह सीक्रेट स्कॅनिंग: पासवर्ड किंवा की असलेला कोणताही कमिट GitHub नाकारते.
काटेकोर टाइप असलेला कोड (TypeScript आणि Python) आणि प्रत्येक रिलीजपूर्वी Chrome आणि Firefox मध्ये स्वयंचलित चाचण्या.

काही समस्या आढळली?

कृपया आम्हाला खासगीरित्या कळवा: GitHub वर असुरक्षितता नोंदवा. त्यामुळे ती सार्वजनिक होण्याआधी दुरुस्त करता येईल.

या पानावरील सर्व काही तपासता येते: कोड, बिल्ड पाइपलाइन आणि सुरक्षा तपासण्या ओपन सोर्स आहेत. रिलीज कशा बिल्ड आणि तपासल्या जातात