O primeiro canary assinado foi publicado em 1º de março e será reemitido no primeiro dia de cada mês. Você pode ler o atual e todos os anteriores na página do canary.
Este post é sobre o que o documento faz, o que não pode fazer e por que ainda nos demos ao trabalho.
O que ele diz
Cinco declarações, em linguagem simples, sem rodeios jurídicos:
- Não recebemos nenhuma ordem secreta nos obrigando a entregar dados de clientes.
- Não recebemos nenhuma ordem de sigilo ou exigência de não divulgação anexada a qualquer processo legal.
- Não entregamos nenhuma chave de criptografia, credencial ou acesso ao hipervisor a qualquer parte.
- Nenhum equipamento nosso foi apreendido, copiado ou removido por qualquer autoridade.
- O controle da empresa e da rede não mudou.
Cada declaração é verdadeira no dia da assinatura ou a declaração está ausente. Não há terceira opção, nenhum advérbio suavizador e nenhuma versão do documento em que uma declaração seja silenciosamente reformulada em vez de removida.
Como é assinado
O canary é assinado com uma chave OpenPGP cuja impressão digital é publicada na página do canary e tem sido a mesma desde março. Dentro do texto assinado há um hash de bloco recente de uma cadeia pública, que fixa o momento mais antigo em que o documento poderia ter sido produzido. Sem isso, uma pilha de canaries pré-assinados poderia ser liberada mensalmente por qualquer pessoa que tivesse a chave, e todo o exercício seria teatro.
Mensal, e não diário. Um canary diário treina todos para ignorá-lo, e uma omissão genuína pareceria um feriado público ou um trabalho cron quebrado. Mensal é lento o suficiente para ser notado e frequente o suficiente para ser útil.
O raciocínio jurídico, honestamente
A teoria é a seguinte: um Estado pode obrigar ao silêncio. Obrigar a uma mentira afirmativa é outra coisa, e em várias tradições jurídicas isso esbarra em proteções contra discurso compelido. Um canary tenta converter uma proibição de falar em uma obrigação de continuar falando, e então para.
Essa teoria tem três problemas, e preferimos declará-los a deixar que você os descubra depois.
É em grande parte não testada. Pouquíssimos tribunais em qualquer lugar julgaram se um canary pode ser compelido a continuar. O argumento é plausível e não está resolvido, e quem disser o contrário está vendendo algo.
Falha completamente em algumas jurisdições. Operamos em vinte e nove países. Em vários deles, o raciocínio de discurso compelido não tem nenhuma força, e um tribunal que pode ordenar silêncio poderia plausivelmente ordenar que a publicação continuasse inalterada. Um canary não é igualmente forte em todos os lugares, e é mais forte exatamente nos lugares com os quais você menos se preocupava.
É um instrumento contundente. O documento abrange toda a frota. Ele não pode dizer que algo aconteceu em um site e não em outro, porque dizer isso seria em si a divulgação que a ordem de sigilo proíbe. Quando um canary muda, você fica sabendo que algo ocorreu, não o quê ou onde.
Por que publicamos mesmo assim
Porque a alternativa é nada, e nada é pior. Um sinal fraco que todos podem verificar vence uma garantia forte em uma página de marketing que ninguém pode verificar.
Há também um argumento de disciplina que não prevíamos e agora valorizamos mais do que o documento. Assinar cinco declarações todos os meses significa cinco declarações que alguém precisa verificar internamente todos os meses, por escrito, com um nome anexado. Qualquer processo que tornaria uma delas falsa agora tem um ponto de verificação na frente dele.
A proteção que realmente importa
Um canary diz que algo aconteceu. O que determina as consequências é quanto existe para entregar, e a resposta aqui é deliberadamente muito pouco: um endereço de e-mail, um hash de senha, um log de acesso ao painel de sete dias e um registro de fatura sem identidade anexada. Referências de pagamento são eliminadas após a liquidação. O tráfego das instâncias nunca é registrado.
Esse inventário é publicado na íntegra em o que registramos e a política por trás dele está na página sem KYC. Se você tiver tempo para ler uma página e não a outra, leia a tabela de retenção em vez do canary. Um canary é um alarme de fumaça. Não armazenar nada é não ter fogo.
O que não prometeremos
Não prometeremos notificá-lo individualmente sobre uma solicitação legal. Em várias jurisdições onde operamos, fazer isso é em si uma ofensa, e uma promessa que teríamos que quebrar sob pressão é pior do que nenhuma promessa. Onde a notificação é permitida, notificamos. Essa distinção está nos termos e é deliberadamente estreita.
Também não prometeremos que o canary estará sempre lá. Se parar, para, e você deve tratar o silêncio como informação, não como uma interrupção.