De eerste ondertekende canary ging op 1 maart de lucht in en wordt elke eerste van de maand opnieuw uitgegeven. U kunt de huidige en alle voorgaande versies lezen op de canary-pagina.
Deze post gaat over wat het document doet, wat het niet kan doen en waarom we het toch hebben gedaan.
Wat erin staat
Vijf verklaringen, in duidelijke taal, zonder juridisch omhaal:
- We hebben geen geheime opdracht ontvangen om klantgegevens over te dragen.
- We hebben geen spreekverbod of geheimhoudingsplicht opgelegd gekregen bij enige rechtsgang.
- We hebben geen encryptiesleutel, inloggegevens of hypervisor-toegang aan enige partij overgedragen.
- Er is geen apparatuur van ons in beslag genomen, gekopieerd of verwijderd door enige autoriteit.
- De controle over het bedrijf en het netwerk is niet gewijzigd.
Elke verklaring is ofwel waar op de dag van ondertekening, ofwel afwezig. Er is geen derde optie, geen verzachtend bijwoord en geen versie van het document waarin een verklaring stilletjes wordt herschreven in plaats van verwijderd.
Hoe het wordt ondertekend
De canary wordt ondertekend met een OpenPGP-sleutel waarvan de vingerafdruk op de canary-pagina staat en sinds maart onveranderd is. In de ondertekende tekst staat een recente block-hash van een publieke chain, die het vroegste moment vastlegt waarop het document geproduceerd kon zijn. Zonder dat zou een stapel vooraf ondertekende canaries maandelijks door iedereen met de sleutel kunnen worden uitgegeven, en zou de hele exercitie louter theater zijn.
Maandelijks in plaats van dagelijks. Een dagelijkse canary traint iedereen om hem te negeren, en een echte omissie lijkt dan op een feestdag of een kapotte cronjob. Maandelijks is langzaam genoeg om op te vallen en frequent genoeg om nuttig te zijn.
De juridische redenering, eerlijk gezegd
De theorie gaat als volgt. Een staat kan zwijgen opleggen. Het opleggen van een actieve leugen is iets anders, en in verschillende rechtstradities stuit dat op bescherming tegen gedwongen spreken. Een canary probeert een verbod op spreken om te zetten in een verplichting om te blijven spreken, en stopt dan.
Die theorie heeft drie problemen en we zetten ze liever op een rij dan dat u ze later zelf ontdekt.
Het is grotendeels ongetest. Er zijn maar weinig rechtbanken die hebben geoordeeld over de vraag of een canary kan worden gedwongen om door te gaan. Het argument is plausibel en niet beslecht, en wie het tegendeel beweert, verkoopt iets.
Het faalt ronduit in sommige rechtsgebieden. Wij opereren in negenentwintig landen. In verschillende daarvan heeft de redenering over gedwongen spreken helemaal geen houvast, en een rechtbank die zwijgen kan bevelen, zou plausibel ook kunnen bevelen dat de publicatie ongewijzigd doorgaat. Een canary is niet overal even sterk, en het sterkst is hij juist daar waar u zich het minst zorgen maakte.
Het is een bot instrument. Het document geldt voor de hele vloot. Het kan u niet vertellen dat er iets op één locatie is gebeurd en niet op een andere, want dat zeggen zou zelf de openbaarmaking zijn die het spreekverbod verbiedt. Als een canary verandert, weet u dat er iets is gebeurd, maar niet wat of waar.
Waarom we hem toch hebben gepubliceerd
Omdat het alternatief niets is, en niets is erger. Een zwak signaal dat iedereen kan controleren verslaat een sterke verzekering op een marketingpagina die niemand kan controleren.
Er is ook een disciplinair argument dat we niet hadden voorzien en nu waardevoller vinden dan het document. Vijf verklaringen elke maand ondertekenen betekent vijf verklaringen die iemand elke maand intern moet verifiëren, op papier, met naam erbij. Elk proces dat een van deze verklaringen onwaar zou maken, heeft nu een controlepunt ervoor.
De bescherming die er echt toe doet
Een canary vertelt u dat er iets is gebeurd. Wat de gevolgen zijn, bepaalt hoeveel er over te dragen is, en het antwoord is hier bewust zeer weinig: een e-mailadres, een wachtwoordhash, een zeven dagen tellend toegangslogboek van het paneel en een factuurrecord zonder identiteit. Betaalreferenties worden na vereffening verwijderd. Instance-verkeer wordt nooit vastgelegd.
Die inventaris staat volledig op wat we loggen en het beleid erachter staat op de no-KYC-pagina. Als u tijd hebt om één pagina te lezen en niet de andere, lees dan de bewaartabel in plaats van de canary. Een canary is een rookmelder. Niets opslaan is geen brand hebben.
Wat we niet zullen beloven
We zullen niet beloven u individueel op de hoogte te stellen van een juridisch verzoek. In verschillende rechtsgebieden waar wij actief zijn, is dat zelf een overtreding, en een belofte die we onder druk zouden moeten breken is erger dan geen belofte. Waar kennisgeving is toegestaan, stellen we op de hoogte. Dat onderscheid staat in de voorwaarden en is bewust eng.
We zullen ook niet beloven dat de canary er altijd zal zijn. Als hij stopt, stopt hij, en u moet de stilte als informatie beschouwen, niet als een storing.