استضافة بلا سجلاتكل مضيف يرى أكثر مما يحتفظ به. والسؤال هو ما الذي يدوّنه.

الرؤية والاحتفاظ سؤالان مختلفان

ما يسمعه معظم الناس في ادّعاء بلا سجلات هو أن المزوّد لا يستطيع رؤية حركة بياناتهم. أما ما يستطيع أي مزوّد صادق قوله فعليًا فهو أضيق من ذلك: فالكثير مرئي في اللحظة نفسها، ولا يُدوَّن منه شيء يُذكر. الحزمة العابرة لموجّه الحدود مرئية لذلك الموجّه. أما هل تتحول تلك الرؤية إلى سجل فهو قرار يتعلق بالإعداد ومدة الاحتفاظ — والسجل هو الجزء الوحيد من ذلك الذي يمكن أن يُؤمر أحد بتقديمه.

يُجاب عن هذين السؤالين بآليتين مختلفتين، ولهذا يكون الخلط بينهما مفيدًا جدًا لصفحة تسويقية. فالرؤية محكومة بالتشفير: ما هو مشفَّر من طرف إلى طرف غير قابل للقراءة أثناء النقل بصرف النظر عن حسن نية أي أحد. أما الاحتفاظ فمحكوم بمؤقّت، والمؤقّت أمر يمكن نشره ووصفه ومحاسبة الجهة عليه. والمضيف الذي لا يتحدث إلا عن الأول إنما يتجنّب الثاني.

الأماكن الثمانية التي قد يوجد فيها سجل عنك

يدور كل جدل تقريبًا حول الاستضافة بلا سجلات حول واحد من هذه — سجل وصول خادم الويب — وهو أبعد ما يكون عن الأكثر كشفًا للمعلومات. فالسلسلة التي تنقل طلبًا إلى جهازك تلامس ثمانية أطراف على الأقل، وبعضها فقط هو مضيفك.

ثلاثة من هذه الأماكن الثمانية تقع خارج نطاق عقد الاستضافة كليًا، وهذا هو الجزء الذي لا تستطيع شارة بلا سجلات أن تتحدث عنه على الإطلاق. فشركة النقل العلوية تحتفظ بما تشترطه جهتها التنظيمية الخاصة. والمُحلِّل الموروث من صورة نظام تشغيل افتراضية يرى كل اسم مضيف يستعلم عنه خادمك. أما قناة الدفع فهي الحلقة التي يتناولها الدليل حول الدفع مقابل خادم بالعملات المشفرة، لأنها الحلقة التي تحمل اسمًا في أغلب الأحيان.

ما يُثبته كل نوع من السجلات فعليًا

لا تحمل السجلات جميعها الدرجة نفسها من الخطورة، والنقاش الدائر في هذا السوق يتعامل معها وكأنها كذلك. وهذا تقريبًا هو الترتيب الذي تُسبِّب به الضرر.

الطرق الأربع التي لا يكون فيها “بلا سجلات” صحيحًا عادةً

لا يُشكّل أيٌّ منها كذبًا بالمعنى الدقيق. فكل واحدة منها جملة صحيحة عن أمر أصغر مما يظنّه القارئ موصوفًا.

• إنه يعني سجلًا واحدًا فقط. الادّعاء يخصّ سجلات حركة البيانات، بينما يستمر سجل تسجيل الدخول، وأرشيف التذاكر، وسجلات الفوترة، واستعلامات DNS، على نحوها المعتاد. وهو صحيح بشأن أقلّها كشفًا من بين الأماكن الثمانية.
• إنه يعني الحذف، لا الغياب. تُنشأ السجلات ثم تُزال — وفق جدول إن حالفك الحظ، وعند الطلب إن لم يحالفك. الحذف سياسة، والسياسة يمكن أن يُؤمر بإيقافها، مع بقاء كل ما كُتب بالفعل محفوظًا منذ لحظة وصول الأمر.
• إنه يتوقف عند حدود الشركة. فمزوّد التنقية في المقدّمة، ومنصة التذاكر إلى الجانب، وشبكة CDN، ومعالج الدفع، والنص البرمجي للتحليلات في منطقة الفوترة، كل منها يحتفظ بسجلاته الخاصة، وفق قواعده الخاصة، وضمن ولايته القضائية الخاصة.
• إنه يصف اليوم الحاضر فقط. الادّعاء الذي لا يرافقه جرد ولا مؤقّت ليس سوى وصف للممارسة الحالية، والممارسة الحالية حرة في التغيّر في اليوم الذي يصل فيه الضغط. لا شيء فيه يمكن دحضه، وهذا هو سبب صياغته على هذا النحو.

الاحتفاظ بالبيانات مؤقّت، لا وعد

النسخة من الادّعاء التي تعني شيئًا فعليًا مملّة في القراءة: كل سجل موجود، وسبب وجوده، والمدة التي يستمر خلالها. تنشر هذه المنظومة سبعة صفوف، والعمود الذي يؤدي العمل الفعلي هو الثاني.

القائمة الثانية هي الأهم، وهي قائمة ما لا يُنشأ إطلاقًا: لا وثيقة هوية، ولا اسم قانوني، ولا سجل للعناوين التي يسجّل منها الحساب دخوله، ولا سجل عناوين IP، ولا بصمة جهاز، ولا netflow بدقة تسمح بإعادة بناء من تحدّث إلى من، ولا سجلات استعلامات على المُحلِّلات التي نُشغّلها، ولا محتويات للأقراص أو الذاكرة أو النسخ الاحتياطية. الحذف يمكن أن يُؤمر بإيقافه. أما الغياب فهو حقيقة تخص المخطط (schema) نفسه، ولا يستطيع أي أمر أن يصل إليه بأثر رجعي. تُنشَر القائمتان كاملتين في سياسة الخصوصية والتسجيل، حيث تشكّلان جزءًا من الاتفاقية لا جزءًا من الكتيّب.

الجزء المحرج: يستطيع المضيف قراءة قرص غير مشفَّر

يستطيع مشغّل المُراقب الافتراضي نسخ قرص أي ضيف يُشغّله. والمزوّد الذي يخبرك بخلاف ذلك إما لا يفهم بنيته الخاصة أو يكذب عليك، وهذه أهم جملة في هذه الصفحة. لا سياسة تُصلح ذلك، ولا ولاية قضائية تُصلحه، ولا وعد يصمد أمام شخص يملك وصولًا ماديًا ويقرر خلاف ذلك.

ما يُصلح هذا الأمر هو مفتاح لم يحمله المضيف قط. فالتشفير الكامل للقرص داخل الضيف، مع فك القفل عبر جلسة SSH عند الإقلاع، ينقل السؤال من كونه مسألة قانونية إلى كونه مسألة رياضية، والجواب الرياضي لا يتغيّر باختلاف المحكمة. الدليل التشغيلي موجود في قاعدة المعرفة، وتنفيذه هو أكثر ساعة عمل تستحق الجهد لأي شخص يهتم بهذا الأمر على الإطلاق.

الشكل نفسه يظل صحيحًا طبقةً أخرى إلى الخارج. فما يعبر السلك دون تشفير يمكن لأي طرف بين طرفَي الاتصال قراءته؛ أما ما يُنقل عبر TLS فلا يكون كذلك، مهما قال سجل التدفق عن حدوث تلك المحادثة. التشفير يحدد ما يمكن رؤيته. الاحتفاظ يحدد ما يمكن تقديمه. ولا يُغني أحدهما عن الآخر.

كيفية اختبار ادّعاء بلا سجلات من الخارج

لا يمكنك تدقيق مؤقّت احتفاظ بالبيانات من متصفح. لكن بإمكانك، خلال نحو عشرين دقيقة، أن تتحقق مما إذا كان الادّعاء من النوع القابل للتدقيق أصلًا.

1. ابحث عن جرد لا عن صفة. فالمزوّد الذي يحتفظ بالقليل قادر على سرد ما يحتفظ به؛ أما من يرفض التعداد فقد أخبرك بشيء ما.
2. تحقّق من وجود مدة زمنية أمام كل صف. “طالما كان ذلك ضروريًا” ليست مدة احتفاظ. أما 24 ساعة، فهي كذلك.
3. اطّلع على قائمة ما لم يُنشأ قط، إن وُجدت. فهي أكثر إفادة من قائمة ما جرى الاحتفاظ به، لأنها الجزء الذي لا يستطيع أي أمر عكسه.
4. افتح أدوات المطوّرين في منطقة الفوترة وراقب الطلبات التي تغادر النطاق. فكل طرف ثالث هناك هو جهة تسجيل لم تذكرها سياسة الخصوصية.
5. اطّلع على تقرير الشفافية بحثًا عن النتائج لا الحجم. الرقم المهم هو عدد الطلبات التي أسفرت عن أي شيء وما هو ذلك الشيء — وهنا، 164 طلبًا من جهات إنفاذ القانون منذ عام 2019، أسفر 31 منها عن شيء، وما جرى تسليمه كان عنوان بريد إلكتروني وسجل مبالغ.
6. تحقّق مما إذا كان الادّعاء موقّعًا. warrant canary هو الجزء الوحيد من هذا الذي يكلّف تزييفه ثمنًا: وهذا بالتحديد يستشهد بكتلة Bitcoin حديثة بحيث يستحيل أن يكون البيان قد وُقِّع مسبقًا، ويؤكد أنه لم تُصادَر أي معدات قط، ولم تُنسَخ، ولم تصل إليها يد أحد فعليًا.
7. ثم افتح نموذج التسجيل. أيًا كان ما تقوله السياسة، فالنموذج هو الجزء الذي لا يمكنه الكذب بشأن ما يُجمع.

الأسئلة التي يطرحها الناس فعليًا

كل سعر في هذا الكيان منشور بالكامل، في مكان واحد. اطّلع على الكتالوج بالكامل