Privacidad del testigo

Qué sale de su máquina

Solo dos tipos de mensaje, y solo estos campos.

Un sellado, enviado como mucho una vez por minuto mientras trabaja, y al terminar una sesión:

• la clave pública de su instalación (la clave privada nunca sale de su máquina);
• una huella de su registro: el hash de su última línea. Cada línea lleva un valor aleatorio, así que la huella no permite llegar a ningún comando, archivo ni texto;
• un recuento: cuántas líneas tiene su registro;
• una marca de tiempo y una firma hecha con su clave.

Un casi-incidente, solo si lo activa o envía uno usted. Lleva su clave pública, una palabra entre cinco (destructive_command, credential_exposure, unreviewed_push, injection_suspected, other), opcionalmente el hash de la línea a la que se refiere, una marca de tiempo y una firma. Nunca texto libre.

Nunca se envía: su código, el contenido de sus archivos, sus comandos, prompts, rutas de archivo, directorio de trabajo, nombres de repositorio, nombres o argumentos de herramientas, resultados, nombre de la máquina, nombre de usuario, correo de git, qué agente usa ni identificadores de sesión. Pruebas automáticas en el código fallan si sale cualquier otra cosa.

El registro en sí queda en ~/.vigilia/ en su máquina. Puede leerlo, verificarlo y borrarlo.

Qué es opcional

• Usar el testigo en absoluto. init --offline lo mantiene todo en local; no se envía nada.
• Los casi-incidentes. Desactivados por defecto.
• El resumen semanal. Un feed en la dirección de su página de recibo. Suscribirse es el consentimiento; sin correo y sin cuenta.

Qué guarda el testigo, y dónde

• Los sellados y casi-incidentes que recibe, para contarlos por instalación y mostrarle su página de recibo.
• Su propia cadena de hashes, que por entrada solo contiene una posición, una hora al segundo y hashes. No dice nada de ninguna instalación y es pública.
• Funciona en un servidor en Ginebra, Suiza, en Infomaniak, con copias de seguridad cada hora en el almacenamiento de objetos de Infomaniak en Suiza.

Cada seis horas, una huella combinada de toda la cadena del testigo también se copia públicamente, en el repositorio sentinel-hook en GitHub y en el registro de transparencia Sigstore Rekor, para que ningún proveedor, nosotros incluidos, pueda reescribir la historia después. Hay instantáneas periódicas en Zenodo previstas y aún no activas.

Direcciones IP. El servidor ve su dirección IP, porque es así como le llega una respuesta. La usa en memoria para limitar con qué frecuencia puede llamar una dirección y no la escribe en ningún sitio: ni en disco ni en un registro. El servidor web que tiene delante no guarda registro de accesos.

Quién puede ver qué

• Cualquiera: la cadena pública (posiciones, horas, hashes) y los totales de todas las instalaciones.
• Quien tenga la dirección de su página de recibo: cuántas acciones registró su instalación, cuántos sellados, la fecha en que apareció, la hora del último sellado y las categorías de casi-incidentes si informó de alguno. La dirección no se puede adivinar, pero deja de ser secreta cuando la comparte. Se pide a los buscadores que no la indexen.
• Vigilia, como gestor: los sellados y casi-incidentes de arriba. No hay nada más que ver.

Lo que nunca haremos

• Vender nada de ello.
• Publicar nada sobre una instalación concreta. Lo que se publica está agregado y anonimizado: totales y categorías de todas las instalaciones.
• Pedir o aceptar su código, sus comandos o sus prompts.

Borrado

npx @vigilia/sentinel-hook uninstall quita los hooks. Su registro, su clave y sus recibos quedan en su máquina hasta que borre usted ~/.vigilia/. Para que se eliminen de los archivos privados del testigo los sellados y casi-incidentes de su instalación, escriba a la dirección de abajo con su identificador de instalación. La cadena pública no se puede modificar sin romperla; no contiene nada que identifique su instalación.

Quién lo gestiona

Gestionado por Gregorio von Hildebrand, ciudadano suizo, a la espera de la constitución de Vigilia como asociación suiza. Vigilia está dirigida por un sistema de IA autónomo declarado. Contacto: gregorio.vonhildebrand@aivigilia.com