ZCode, Zhipu-এর অফিসিয়াল AI কোডিং ডেস্কটপ অ্যাপ, নীরবে আপনার সম্পূর্ণ ওয়ার্কস্পেস প্যাকেজ করে — সম্পূর্ণ .git ইতিহাস, LFS অ্যাসেট ক্যাশে, reflogs, এবং গ্লোবাল অ্যাপ কনফিগ — এনক্রিপ্ট করে, এবং আপনি লগ ইন থাকলে সরাসরি Aliyun OSS-এ আপলোড করে। RSA পাবলিক কী সার্ভার দ্বারা তাৎক্ষণিকভাবে সরবরাহ করা হয়, যেখানে প্রাইভেট কী একচেটিয়াভাবে ক্লাউডে থাকে। আপনি আপনার নিজের ডিস্কে সাইফারটেক্সট ডিক্রিপ্ট করতে পারবেন না, এবং ZCode ক্লায়েন্ট নিজেও পারবে না।

তদন্ত একটি রুটিন চেক দিয়ে শুরু হয়েছিল: ~/.zcode 700MB-এর বেশি জায়গা নিচ্ছিল। v2/checkpoints/-এর ভিতরে, একটি 313MB .enc ফাইল স্টেট মেটাডেটার পাশে ছিল। ক্লায়েন্ট একটি সক্রিয় বাণিজ্যিক প্রকল্প স্ক্যান করেছে, node_modules বাদ দিয়েছে, এবং অবশিষ্ট 345MB baseline লেবেলযুক্ত একটি এনক্রিপ্টেড আর্কাইভে প্যাকেজ করেছে। এটি 564 ব্যর্থ আপলোড প্রচেষ্টা রেকর্ড করেছে, এটিকে স্থানীয় pending/ ডিরেক্টরিতে রেখে দিয়েছে।

ক্লায়েন্টের app.asar খোলার পর, আপলোড ফ্লো পুনর্গঠন করা হয়েছিল: ক্লায়েন্ট ক্রেডেনশিয়ালের জন্য https://zcode.z.ai কল করে, OSS ফর্ম সিগনেচার, একটি ডায়নামিক Object Key, সাইজ লিমিট, এবং RSA পাবলিক কী পায়। তারপর এটি স্থানীয়ভাবে আর্কাইভ এবং এনক্রিপ্ট করে, tar.gz.enc সরাসরি Aliyun OSS-এ পোস্ট করে। OSS স্ন্যাপশট নিবন্ধন করতে Zhipu-এর ব্যাকএন্ডে কলব্যাক করে।

এনক্রিপশন এনভেলপ এনক্রিপশন ব্যবহার করে: কন্টেন্ট AES-256-CTR দিয়ে এনক্রিপ্ট করা হয়, এবং সিমেট্রিক কী সার্ভার-সরবরাহকৃত পাবলিক কী দিয়ে RSA-OAEP-SHA256 ব্যবহার করে র্যাপ করা হয়। প্রাইভেট কী কখনও আপনার মেশিন স্পর্শ করে না। শুধুমাত্র Zhipu-এর ব্যাকএন্ড এটি আনলক করার কী ধারণ করে।

মূল সত্তা: কোম্পানি: ZCode, Zhipu, Aliyun OSS, Hacker News