Güvenlik

Parla mikrofonunuzla çalışır; bu yüzden kötüye kullanılması zor olacak şekilde tasarlanmıştır. Sesiniz cihazınızdan asla çıkmaz, uzantı olabildiğince az izin ister ve yayımladığımız her kod parçası size ulaşmadan önce sabitlenir, taranır ve test edilir.

Parla'yı kullanırken

Sesiniz cihazınızda, tarayıcının içinde temizlenir. Parla'nın ses alan bir sunucusu yoktur; çalınabilecek hesaplar veya parolalar da yoktur.
Motor kendi kodumuzdur: üçüncü taraf kütüphaneler olmadan Rust ile yazılmıştır ve tarayıcının korumalı alanında WebAssembly olarak çalışır. Yapay zekâ modelleri program değil, veridir (sayılar): modellerin yazarlarına ait hiçbir kod bilgisayarınızda çalışmaz.
Uzantı yalnızca mikrofonu temizlemek için gerekenleri ister: ayarlarını saklamak ve mikrofonunuzu kullandığınız sayfalarda çalışmak. Uzantının kendi sayfaları yalnızca kendi betiklerini çalıştırır (katı bir Content Security Policy).
Web sayfaları uzantıya yalnızca dar bir kanaldan ulaşır: motorun dosyalarını alırlar, başka hiçbir şey almazlar; gönderdikleri her şey denetlenir ve boyutu sınırlanır.
Raporlar siz açana kadar kapalıdır. Anonimdirler ve her alan belgelerimizde listelenmiştir.

Kodumuzdan tarayıcınıza

Derlemenin kullandığı her şey tam bir sürüme sabitlenir ve parmak iziyle doğrulanır: GitHub eylemleri commit ile, kapsayıcı imajları digest ile, indirmeler SHA-256 ile, npm ve Python paketleri kilit dosyasıyla.
3 günden yeni hiçbir sürüm alınmaz. Kötü amaçlı paket sürümlerinin çoğu birkaç gün içinde bulunup kaldırılır; bu yüzden önce yakalanmalarını bekleriz. Otomatik güncellemeler bir hafta bekler ve her biri kabul edilmeden önce derlenip test edilir.
Paketlerin kurulum betikleri çalıştırmasına asla izin verilmez ve npm kayıt defterinin imzaları her derlemede doğrulanır.
Sürümleri yalnızca otomatik iş akışımız, ana daldan derler. Mağaza ve npm kimlik bilgileri yalnızca yayımlama adımının kullanabildiği korumalı bir ortamda tutulur ve derleme, deponun erişim belirtecini saklamaz.

Her değişiklikte denetlenir

Statik analiz: CodeQL TypeScript kodunu, Rust motorunu ve derleme iş akışlarını okur; zizmor iş akışlarını denetler.
Her değişiklikte ve her hafta web sitesinin dinamik taraması (OWASP ZAP).
Bilinen bir güvenlik açığı olan paketi ekleyen değişiklik engellenir ve Dependabot uyarıları her kilit dosyasını izler.
Gönderim korumalı gizli bilgi taraması: GitHub, parola veya anahtar içeren her commit'i reddeder.
Katı tür denetimli kod (TypeScript ve Python) ve her sürümden önce Chrome ile Firefox'ta otomatik testler.

Bir sorun mu buldunuz?

Lütfen bize gizlice bildirin: GitHub'da güvenlik açığı bildirin. Böylece sorun herkese açıklanmadan önce düzeltilebilir.

Bu sayfadaki her şey denetlenebilir: kod, derleme iş akışı ve güvenlik denetimleri açık kaynaktır. Sürümler nasıl derlenir ve denetlenir