Le premier canary signé a été publié le 1er mars et sera réédité le premier de chaque mois. Vous pouvez lire le canary actuel, ainsi que tous les précédents, sur la page canary.
Ce billet explique ce que fait ce document, ce qu'il ne peut pas faire, et pourquoi nous avons pris la peine de le mettre en place.
Ce qu'il dit
Cinq déclarations, en langage clair, sans langue de bois juridique :
- Nous n'avons reçu aucune ordonnance secrète nous obligeant à remettre des données clients.
- Nous n'avons reçu aucune ordonnance de bâillonnement ni demande de non-divulgation liée à une procédure judiciaire.
- Nous n'avons remis aucune clé de chiffrement, aucun identifiant ni aucun accès à l'hyperviseur à quelque partie que ce soit.
- Aucun de nos équipements n'a été saisi, copié ou retiré par une autorité.
- Le contrôle de l'entreprise et du réseau n'a pas changé.
Chaque déclaration est soit vraie au jour de la signature, soit absente. Il n'existe pas de troisième option, pas d'adverbe atténuant, et aucune version du document où une déclaration serait discrètement reformulée plutôt que supprimée.
Comment c'est signé
Le canary est signé avec une clé OpenPGP dont l'empreinte est publiée sur la page canary et est la même depuis mars. Dans le texte signé figure un hash récent d'un bloc d'une chaîne publique, ce qui fixe le moment le plus ancien où le document a pu être produit. Sans cela, un stock de canaries pré-signés pourrait être publié mensuellement par quiconque détient la clé, et l'exercice serait purement théâtral.
Mensuel plutôt que quotidien. Un canary quotidien apprend à tout le monde à l'ignorer, et une omission réelle ressemblerait à un jour férié ou à un cron cassé. Mensuel est assez lent pour être remarqué et assez fréquent pour être utile.
Le raisonnement juridique, honnêtement
La théorie est la suivante. Un État peut imposer le silence. Imposer un mensonge affirmatif est une chose différente, et dans plusieurs traditions juridiques, cela se heurte aux protections contre la liberté d'expression forcée. Un canary essaie de convertir une interdiction de parler en une obligation de continuer à parler, puis s'arrête.
Cette théorie a trois problèmes et nous préférons les énoncer maintenant plutôt que vous les découvriez plus tard.
Elle est en grande partie non testée. Très peu de tribunaux ont statué sur la question de savoir si un canary peut être contraint de continuer. L'argument est plausible mais pas tranché, et quiconque vous dit le contraire vous vend quelque chose.
Elle échoue complètement dans certaines juridictions. Nous opérons dans vingt-neuf pays. Dans plusieurs d'entre eux, le raisonnement sur la liberté d'expression forcée n'a aucune prise, et un tribunal qui peut ordonner le silence pourrait également ordonner la poursuite de la publication. Un canary n'est pas aussi fort partout, et il est le plus fort là où vous vous inquiétiez le moins.
C'est un instrument grossier. Le document s'applique à l'ensemble de la flotte. Il ne peut pas vous dire que quelque chose s'est produit sur un site et pas sur un autre, car le dire serait précisément la divulgation interdite par le bâillon. Lorsqu'un canary change, vous apprenez que quelque chose est arrivé, mais pas quoi ni où.
Pourquoi nous l'avons publié quand même
Parce que l'alternative est de ne rien publier, et ne rien publier est pire. Un signal faible que tout le monde peut vérifier vaut mieux qu'une forte assurance sur une page marketing que personne ne peut vérifier.
Il y a aussi un argument de discipline que nous n'avions pas anticipé et que nous valorisons désormais davantage que le document. Signer cinq déclarations chaque mois signifie cinq déclarations que quelqu'un doit vérifier en interne chaque mois, par écrit, avec un nom attaché. Tout processus qui rendrait l'une d'elles fausse aurait désormais un point de contrôle devant lui.
La protection qui compte vraiment
Un canary vous dit que quelque chose est arrivé. Ce qui détermine les conséquences, c'est la quantité de données à remettre, et la réponse ici est délibérément très faible : une adresse e-mail, un hash de mot de passe, un journal d'accès au panneau de sept jours, et un enregistrement de facture sans identité. Les références de paiement sont purgées après règlement. Le trafic des instances n'est jamais enregistré.
Cet inventaire est publié en intégralité sur ce que nous journalisons et la politique qui le sous-tend est sur la page sans KYC. Si vous n'avez le temps de lire qu'une page, lisez le tableau de conservation plutôt que le canary. Un canary est un détecteur de fumée. Ne rien stocker, c'est ne pas avoir d'incendie.
Ce que nous ne promettrons pas
Nous ne promettrons pas de vous notifier individuellement d'une demande légale. Dans plusieurs juridictions où nous opérons, le faire est lui-même une infraction, et une promesse que nous devrions rompre sous la pression est pire que pas de promesse. Là où la notification est autorisée, nous notifions. Cette distinction est dans les conditions et elle est volontairement étroite.
Nous ne promettrons pas non plus que le canary sera toujours là. S'il s'arrête, il s'arrête, et vous devez traiter le silence comme une information plutôt que comme une panne.