Demandes des forces de l'ordreUne demande est une correspondance, jusqu'à ce qu'un tribunal compétent en décide autrement.

Cinq choses différentes sont appelées « la police demande »

La formule recouvre cinq instruments qui n'ont presque rien en commun sinon un en-tête officiel, et les confondre est la façon dont un lecteur finit par redouter l'inoffensif et se détendre face au dangereux. Ils diffèrent par qui les émet, ce qu'ils peuvent contraindre, et si un juge est intervenu à un moment ou un autre.

Seuls les deux derniers sont des ordonnances au sens où l'expression l'entend. Les trois premières sont des demandes, et une demande reçoit une décision plutôt qu'une obligation. Cela mérite qu'on s'y arrête : trois des cinq n'atteignent jamais un juge, et ce sont ces trois-là que presque personne ne songe à demander à un hébergeur potentiel.

Les cinq étapes que traverse une demande

Un fournisseur bien géré fait passer chaque demande par la même séquence, quel qu'en soit l'expéditeur, et cette séquence mérite d'être connue car vous pouvez demander à n'importe quel hébergeur de décrire la sienne. Un hébergeur qui n'en a jamais couché une par écrit est un hébergeur qui improvise sous la pression.

1. Elle arrive, généralement à la mauvaise société. Un parc réparti sur plusieurs pays, ce sont plusieurs sociétés, et un acte signifié à l'une d'elles n'engage que celle-là. C'est la raison la plus courante pour laquelle une demande n'aboutit à rien, et il appartient entièrement à l'expéditeur de l'éviter.
2. L'entité est identifiée. Quelle société exploite la région, dans quel registre elle est immatriculée, et si le tribunal qui l'a émise a une quelconque autorité sur elle. Nulle part sur terre une ordonnance étrangère n'est d'exécution automatique.
3. L'avocat de cette juridiction la lit. Pas le service support, et pas le fondateur à minuit. Valide et dans son périmètre est une question juridique à réponse locale, et la réponse à une ordonnance qui ne l'est pas est une lettre expliquant pourquoi, par écrit.
4. Ce qui est demandé est vérifié par rapport à ce qui existe. C'est là que la plupart des demandes meurent en silence. Une ordonnance pour une catégorie que le schéma ne contient pas produit une lettre, pas un dossier, et aucune pression, si forte soit-elle, ne transforme l'une en l'autre.
5. Le client est informé. Avant que quoi que ce soit ne soit produit, sauf ordonnance l'interdisant expressément. C'est l'étape que la plupart des fournisseurs omettent entièrement de leur processus, et c'est la seule qui vous permette de faire quoi que ce soit.

La version publiée de cette séquence pour ce parc se trouve sur le guide pour les forces de l'ordre, rédigé à l'intention de l'avocat qui signifie l'ordonnance plutôt que du client qui en prend connaissance. Il mérite d'être ouvert pour une raison qui n'a rien à voir avec nous : c'est la forme du document que vous devriez chercher chez n'importe quel hébergeur, et la plupart n'en ont pas.

L'arithmétique d'un rapport de transparence

Presque tout rapport de transparence commence par le total reçu, qui est le chiffre le moins informatif qu'il contienne. Le volume mesure la visibilité d'un fournisseur. Ce que vous voulez, c'est le ratio entre ce qui est arrivé et ce qui est ressorti, car cela mesure ce que le fournisseur détenait réellement.

Faites ce calcul pour n'importe quel hébergeur qui publie assez pour le permettre. Un ratio produit/reçu élevé n'est pas la preuve d'une coopération, et un ratio faible n'est pas la preuve d'un courage — l'un comme l'autre sont surtout une preuve sur l'inventaire. Un fournisseur qui détient des pièces d'identité et un an d'adresses de connexion produira quelque chose presque à chaque fois, quel que soit son sentiment sur la question. La série trimestrielle complète se trouve dans le rapport de transparence.

Pourquoi l'entité avec laquelle vous avez contracté décide de tout

Un jugement est exécutoire contre une personne ou une société, en un lieu donné. Il ne voyage pas de lui-même. Pour qu'une ordonnance étrangère engage une société à l'étranger, elle doit être reconnue par un tribunal du lieu où cette société est constituée, par le biais de l'entraide judiciaire ou de la procédure de reconnaissance locale — une voie qui est formelle, lente, contrôlable, et qui peut être refusée pour des motifs que l'autorité requérante ne maîtrise pas.

C'est du droit international privé ordinaire, rien de plus habile, et c'est tout le contenu mécanique du mot offshore. C'est aussi pourquoi la structure de la société compte plus que la carte : huit juridictions exploitées par une seule société forment une seule cible juridique avec huit adresses, et une décision rendue contre elle atteint chaque machine qu'elle possède. Huit sociétés distinctes, ce sont huit procédures distinctes, chacune repartant de zéro. L'arrangement retenu par un hébergeur figure sur sa page de conditions, et le guide sur choisir une juridiction détaille ce qui change par ailleurs entre elles.

• Demandez quelle société, pas quel pays. Le pays figure sur la page marketing. Le nom de la société et son numéro d'immatriculation sont ce qu'une ordonnance doit nommer, et un hébergeur qui ne veut pas vous le dire ne peut pas être présumé en avoir un.
• Demandez dans quel registre elle est immatriculée. Une entité nommée dans un registre public est vérifiable en environ deux minutes et ne coûte rien à contrôler. Huit d'entre elles, dans huit registres, sont répertoriées ici précisément pour cette raison.
• Demandez ce qu'il advient d'une demande visant la mauvaise entité. La réponse honnête est qu'elle reçoit une réponse écrite le disant. La réponse révélatrice est qu'elle est traitée quand même, obligeamment.

La voie d'urgence, celle que personne ne surveille

Tout cadre juridique majeur possède un canal qui contourne entièrement le tribunal. Aux États-Unis, il s'agit du 18 U.S.C. §2702(b)(8), qui autorise un fournisseur à divulguer volontairement lorsqu'il croit de bonne foi qu'une urgence impliquant un danger de mort ou de blessure physique grave l'exige. La plupart des autres juridictions ont un équivalent. Il n'y a ni juge, ni mandat, ni partie adverse : le fournisseur décide, en quelques heures.

Il existe pour de bonnes raisons, et il est utilisé abusivement pour des raisons évidentes. Des demandes falsifiées à partir de comptes de messagerie compromis appartenant aux forces de l'ordre ont servi à extraire des données d'abonné auprès de certaines des plus grandes plateformes au monde, parce que tout le canal repose sur un en-tête plausible et un fournisseur qui ne veut pas être celui qui a hésité. Quarante demandes de ce type ont atteint ce parc.

La parade n'est pas de refuser cette catégorie, ce qui serait indéfendable dans le cas même pour lequel ce canal existe. C'est de n'avoir presque rien à communiquer volontairement, d'examiner chaque demande comme une personne plutôt que comme une file d'attente, d'en informer le client après coup dans tous les cas, et de les comptabiliser publiquement sur leur propre ligne. Une exception que personne ne compte cesse d'être une exception et devient une porte.

La conservation : la mesure qui arrête l'horloge

Une demande de conservation ne réclame pas que quoi que ce soit soit remis. Elle demande que les registres qui existent à l'instant cessent d'être supprimés, afin qu'ils soient encore là quand l'ordonnance de les produire arrive, des semaines plus tard. Aux États-Unis, elle relève du 18 U.S.C. §2703(f), pour 90 jours, renouvelable une fois, et elle ne nécessite aucun juge pour être émise. Soixante-six d'entre elles sont arrivées ici.

C'est l'instrument le plus discret de cette page, et le plus instructif, car c'est précisément la chose à laquelle une politique de rétention ne peut pas survivre. Une minuterie est une promesse de détruire selon un calendrier ; une mesure de conservation est une instruction de cesser de tenir cette promesse, effective dès l'instant où elle arrive. Tout ce qui est déjà écrit est figé à partir de cette seconde, et le client est généralement le dernier informé.

C'est là tout l'argument en faveur de l'absence plutôt que de la suppression, rendu concret. Un registre qui n'a jamais été créé ne peut pas être conservé, ne peut pas être figé, et ne peut pas être produit quatre-vingt-dix jours plus tard par un fournisseur qui a changé d'avis. La distinction est développée en détail dans le guide sur ce que signifie réellement l'absence de journaux, et la liste de ce qui n'est jamais créé ici est publiée dans le cadre de la politique de confidentialité et de journalisation, plutôt que comme une affirmation sur une page de tarifs.

La saisie : ce qu'emporter la machine donne réellement

La saisie est le scénario que tout le monde imagine et que presque personne ne pousse jusqu'au bout. C'est aussi celui dont l'issue dépend le moins du fournisseur et le plus des décisions prises par le client des mois plus tôt, au moment de l'installation, en environ une heure de travail.

Parcourez la dernière colonne et une même réponse apparaît deux fois dans les faits : une clé qui n'a jamais été dans le bâtiment. Tout autre contrôle sur cette page est juridique, procédural ou contractuel, ce qui revient à dire que tout autre contrôle dépend de quelqu'un qui continue à se comporter comme il l'avait promis. Le chiffrement, non. Un opérateur d'hyperviseur peut copier le disque d'une machine invitée qu'il fait tourner — un fournisseur qui prétend le contraire se méprend sur sa propre pile — et ce qu'il copie est soit lisible, soit du bruit.

Le runbook se trouve dans la base de connaissances : un chiffrement intégral du disque à l'intérieur de la machine invitée, déverrouillé via SSH au démarrage, de sorte que la clé vous parvient à chaque démarrage de la machine et ne vit nulle part ailleurs. C'est la même recommandation que fait le guide sur l'absence de journaux, répétée délibérément, car c'est le seul conseil de cette page dont l'effet ne dépend de la bonne conduite de personne, pas même la nôtre.

Le bâillon, et pourquoi un canary est la seule réponse possible

Un bâillon n'est pas un instrument séparé. C'est une clause attachée à un autre, interdisant au fournisseur de dire à la personne visée par l'ordonnance qu'elle existe. Les National Security Letters, aux États-Unis, en comportent une par défaut ; plusieurs juridictions ont des équivalents, et tout l'intérêt de chacun d'eux est que la cinquième étape ci-dessus — informer le client — est supprimée, et vous n'avez aucun moyen de savoir qu'elle l'a été.

Un warrant canary est la seule réponse disponible, et il fonctionne en inversant le problème. Un fournisseur peut se voir interdire de faire une déclaration. Il est bien plus difficile de le contraindre à continuer de répéter une déclaration devenue fausse. L'affirmation est donc publiée selon un calendrier, et son absence porte le sens que sa présence ne peut plus porter.

La plupart des canaries de ce marché sont une décoration. Six éléments distinguent celui qui signifie vraiment quelque chose d'un paragraphe sur une page à propos, et chacun d'eux est vérifiable dans un navigateur en cinq minutes.

1. Il est signé cryptographiquement, avec une clé publiée quelque part où vous pouvez la trouver de façon indépendante. Un canary non signé peut être modifié par quiconque peut modifier le site, ce qui inclut quiconque en a pris le contrôle.
2. Il cite quelque chose de récent et d'imprévisible. La hauteur et le hash d'un bloc Bitcoin sont le choix habituel : ce bloc n'existait pas avant d'être miné, donc la déclaration ne peut pas avoir été signée des mois à l'avance et laissée sur une étagère.
3. Il indique une période, une date d'échéance et une date d'expiration. Un canary sans calendrier ne peut pas manquer à l'appel, car rien n'était dû. Le calendrier est tout le mécanisme.
4. Il énumère des affirmations précises plutôt qu'une seule phrase. Une seule ligne disant « nous n'avons reçu aucune ordonnance secrète » ne peut échouer que d'un seul coup. Des clauses séparées échouent séparément, et une clause discrètement retirée de la signature suivante est un signal qui a une forme.
5. Il couvre chaque entité. Sur un parc de plusieurs sociétés, un canary qui ne parle que pour l'une d'elles est un canary sur une fraction de l'infrastructure que vous achetez.
6. Les signatures précédentes restent publiées. Une clause retirée n'est visible qu'en comparaison de ce qu'elle remplaçait, donc un canary sans archives vous demande d'avoir été attentif depuis le début.

Le canary publié ici est signé chaque trimestre, cite un bloc récent, indique ses dates d'échéance et d'expiration, couvre les huit entités, et formule sept affirmations distinctes : aucune National Security Letter ni équivalent, aucune ordonnance assortie d'une interdiction d'en informer le client, aucun contenu de disque ou de base de données jamais donné à qui que ce soit, aucune interception prospective, aucun équipement saisi ou imagé, aucun affaiblissement contraint d'une protection cryptographique, et le seul contrôle administratif de l'infrastructure. Vérifiez-le à l'aune des six critères ci-dessus. Puis vérifiez ainsi quiconque d'autre vous envisagez, à l'aune des mêmes six critères.

Que demander à un hébergeur avant d'acheter

Chaque question ci-dessous a un document pour réponse, ou n'en a aucune. C'est là le test : non pas si la réponse semble rassurante, mais si elle renvoie à quelque chose de déjà écrit avant que vous ne posiez la question.

1. Avec quelle entité juridique suis-je en train de contracter, et dans quel registre public est-elle immatriculée ?
2. Qu'est-ce qui existe à mon sujet une fois inscrit — sous la forme d'un inventaire avec une durée de rétention en face de chaque ligne, pas sous la forme d'un adjectif.
3. Qu'est-ce qui n'est jamais créé ? Cette liste est la seule partie de la réponse qu'un tribunal ne peut pas annuler.
4. Serai-je informé si une demande me nomme, et que faudrait-il pour que vous ne me le disiez pas ?
5. Combien de demandes avez-vous reçues, combien ont atteint le seuil légal, et combien ont produit quoi que ce soit ?
6. Les divulgations d'urgence sont-elles comptabilisées et publiées sur leur propre ligne ?
7. Votre canary est-il signé, récent, précis, et couvre-t-il chaque entité que vous exploitez ?

Rien de tout cela ne rend qui que ce soit intouchable, et une page qui suggérerait le contraire serait précisément le genre de page à laquelle celle-ci existe pour s'opposer. Ce que cela fait, c'est déplacer la question de la confiance vers l'inventaire. Un hébergeur qui ne peut produire que peu produit peu, quoi qu'il croie de lui-même le matin où la lettre arrive.

Questions réellement posées

Chaque prix de ce parc de serveurs est publié intégralement, à un seul endroit. Voir le catalogue complet