Il primo canary firmato è stato pubblicato il 1° marzo e verrà riemesso il primo di ogni mese. Potete leggere quello attuale, e tutti i precedenti, sulla pagina del canary.
Questo post spiega cosa fa il documento, cosa non può fare, e perché ci abbiamo comunque pensato.
Cosa dice
Cinque dichiarazioni, in linguaggio semplice, senza giri di parole legali:
- Non abbiamo ricevuto alcun ordine segreto che ci obblighi a consegnare dati dei clienti.
- Non abbiamo ricevuto alcun ordine di gag o richiesta di non divulgazione collegata a procedimenti legali.
- Non abbiamo consegnato a terzi alcuna chiave di cifratura, credenziale o accesso all'hypervisor.
- Nessuna autorità ha sequestrato, copiato o rimosso nostre apparecchiature.
- Il controllo della società e della rete non è cambiato.
Ogni dichiarazione è vera il giorno della firma o è assente. Non esiste una terza opzione, nessun avverbio attenuante, e nessuna versione del documento in cui una dichiarazione viene silenziosamente riformulata piuttosto che rimossa.
Come viene firmato
Il canary è firmato con una chiave OpenPGP la cui impronta è pubblicata sulla pagina del canary ed è la stessa da marzo. Nel testo firmato è incluso un hash di blocco recente di una blockchain pubblica, che fissa il momento più antico in cui il documento può essere stato prodotto. Senza questo, una pila di canary pre-firmati potrebbe essere rilasciata mensilmente da chiunque possieda la chiave, e l'intero esercizio sarebbe teatro.
Mensile, non giornaliero. Un canary giornaliero abitua tutti a ignorarlo, e una vera omissione sembrerebbe una festività o un cron job rotto. Mensile è abbastanza lento da essere notato e abbastanza frequente da essere utile.
Il ragionamento giuridico, onestamente
La teoria è la seguente. Uno stato può imporre il silenzio. Imporre una menzogna affermativa è un'altra cosa, e in diverse tradizioni giuridiche incontra protezioni contro la parola forzata. Un canary cerca di convertire il divieto di parlare in un obbligo a continuare a parlare, e poi si ferma.
Questa teoria ha tre problemi e preferiamo dichiararli piuttosto che lasciarveli scoprire più tardi.
È in gran parte non testata. Moltissimi tribunali in tutto il mondo hanno statuito raramente se un canary può essere costretto a continuare. L'argomento è plausibile e non è definitivo, e chiunque vi dica il contrario sta vendendo qualcosa.
Fallisce del tutto in alcune giurisdizioni. Operiamo in ventinove paesi. In molti di essi il ragionamento sulla parola forzata non ha alcuna presa, e un tribunale che può ordinare il silenzio potrebbe plausibilmente ordinare che la pubblicazione continui invariata. Un canary non è ugualmente forte ovunque, ed è più forte proprio nei luoghi di cui eravate meno preoccupati.
È uno strumento rozzo. Il documento è applicato a tutta la flotta. Non può dirvi che è successo qualcosa in un sito e non in un altro, perché dirlo sarebbe di per sé la divulgazione che il gag proibisce. Quando un canary cambia, si apprende che è successo qualcosa, non cosa o dove.
Perché lo abbiamo pubblicato comunque
Perché l'alternativa è nulla, e nulla è peggio. Un segnale debole che tutti possono verificare batte una forte assicurazione in una pagina di marketing che nessuno può verificare.
C'è anche un argomento di disciplina che non avevamo previsto e ora apprezziamo più del documento. Firmare cinque dichiarazioni ogni mese significa cinque dichiarazioni che qualcuno deve verificare internamente ogni mese, per iscritto, con un nome associato. Qualsiasi processo che renderebbe falsa una di esse ora ha un checkpoint di fronte.
La protezione che conta davvero
Un canary vi dice che è successo qualcosa. Ciò che determina le conseguenze è quanto esiste da consegnare, e qui la risposta è deliberatamente molto poco: un indirizzo email, un hash di password, un log di accesso al pannello di sette giorni, e un record di fattura senza identità associata. I riferimenti di pagamento vengono eliminati dopo la liquidazione. Il traffico delle istanze non viene mai registrato.
Quell'inventario è pubblicato integralmente su cosa registriamo e la politica dietro è su la pagina no-KYC. Se avete tempo di leggere una pagina e non l'altra, leggete la tabella di conservazione piuttosto che il canary. Un canary è un rilevatore di fumo. Non conservare nulla significa non avere un incendio.
Cosa non prometteremo
Non prometteremo di notificarvi individualmente di una richiesta legale. In diverse giurisdizioni in cui operiamo, farlo è di per sé un reato, e una promessa che dovremmo rompere sotto pressione è peggio di nessuna promessa. Dove la notifica è consentita, notifichiamo. Questa distinzione è nei termini ed è deliberatamente ristretta.
Inoltre non prometteremo che il canary ci sarà sempre. Se si ferma, si ferma, e dovete trattare il silenzio come informazione piuttosto che come un guasto.