Первая подписанная канареечная публикация вышла 1 марта, и она будет переиздаваться первого числа каждого месяца. Текущую и все предыдущие версии можно прочитать на странице канареечных публикаций.
Этот пост о том, что делает этот документ, чего он не может делать, и почему мы всё же решили его выпускать.
Что в нём говорится
Пять утверждений, простым языком, без юридических оговорок:
- Мы не получали секретных приказов, обязывающих нас передавать данные клиентов.
- Мы не получали приказов о неразглашении или требований о неразглашении, привязанных к каким-либо юридическим процедурам.
- Мы не передавали никому ключи шифрования, учётные данные или доступ к гипервизору.
- Ни одно из наших устройств не было изъято, скопировано или удалено какими-либо органами власти.
- Контроль над компанией и сетью не изменился.
Каждое утверждение либо верно на день подписания, либо отсутствует. Третьего варианта нет, нет смягчающих наречий, и нет версии документа, в которой утверждение тихо переформулировано, а не удалено.
Как это подписывается
Канареечная публикация подписывается ключом OpenPGP, отпечаток которого опубликован на странице канареечных публикаций и не менялся с марта. В подписанном тексте содержится недавний хеш блока из публичного блокчейна, который фиксирует самый ранний момент возможного создания документа. Без этого стопка заранее подписанных канареек могла бы ежемесячно выпускаться любым, кто владеет ключом, и вся затея превратилась бы в театр.
Ежемесячно, а не ежедневно. Ежедневная канарейка приучает всех игнорировать её, и тогда настоящее отсутствие выглядит как праздник или сломанный крон. Ежемесячно — достаточно редко, чтобы быть замеченной, и достаточно часто, чтобы быть полезной.
Юридическое обоснование, честно
Теория такова: государство может принудить к молчанию. Принуждение к активной лжи — это другое, и в ряде правовых традиций это упирается в защиту от принудительной речи. Канарейка пытается превратить запрет на речь в обязательство продолжать говорить, а затем останавливается.
У этой теории есть три проблемы, и мы предпочитаем заявить о них, чем позволить вам обнаружить их позже.
Она в значительной степени не проверена. Очень немногие суды вообще выносили решения о том, можно ли принудить канарейку продолжать. Аргумент правдоподобен, но не устоялся, и всякий, кто утверждает обратное, что-то продаёт.
Она полностью проваливается в некоторых юрисдикциях. Мы работаем в двадцати девяти странах. В нескольких из них рассуждение о принудительной речи вообще не имеет силы, и суд, который может приказать молчать, вполне может приказать продолжать публикацию без изменений. Канарейка не одинаково сильна везде, и она сильнее всего именно там, где вы меньше всего беспокоились.
Это грубый инструмент. Документ относится ко всему флоту. Он не может сказать вам, что что-то произошло на одном сайте, а не на другом, потому что само такое утверждение было бы раскрытием, которое запрещает приказ о неразглашении. Когда канарейка меняется, вы узнаёте, что что-то произошло, а не что именно и где.
Зачем мы всё равно её опубликовали
Потому что альтернатива — ничего, а ничего — хуже. Слабый сигнал, который каждый может проверить, лучше сильных заверений на маркетинговой странице, которые никто не может проверить.
Есть также дисциплинарный аргумент, который мы не предвидели и теперь ценим больше, чем сам документ. Подписание пяти утверждений каждый месяц означает, что пять утверждений кто-то должен каждый месяц проверять внутренне, в письменной форме, с указанием имени. Любой процесс, который сделал бы одно из них ложным, теперь имеет контрольную точку перед собой.
Защита, которая действительно важна
Канарейка говорит вам, что что-то произошло. Последствия определяет то, сколько всего можно передать, и здесь ответ намеренно очень мал: адрес электронной почты, хеш пароля, семидневный журнал доступа к панели и запись о счете без привязанной личности. Платёжные ссылки удаляются после расчёта. Трафик инстансов никогда не записывается.
Этот список полностью опубликован на странице что мы логируем, а политика, стоящая за ним, — на странице без KYC. Если у вас есть время прочитать одну страницу, а не другую, читайте таблицу сроков хранения, а не канарейку. Канарейка — это датчик дыма. Не хранить ничего — значит не иметь пожара.
Что мы не будем обещать
Мы не будем обещать уведомлять вас индивидуально о юридических запросах. В нескольких юрисдикциях, где мы работаем, это само по себе является правонарушением, и обещание, которое нам пришлось бы нарушить под давлением, хуже, чем отсутствие обещания. Там, где уведомление разрешено, мы уведомляем. Это различие есть в условиях, и оно намеренно узкое.
Мы также не будем обещать, что канарейка всегда будет на месте. Если она остановится, она остановится, и вам следует рассматривать тишину как информацию, а не как сбой.