Richieste delle forze dell'ordineUna richiesta è corrispondenza finché un tribunale competente non stabilisce altrimenti.

Cinque cose diverse vengono chiamate “la polizia che chiede”

L'espressione comprende cinque strumenti che non hanno quasi nulla in comune se non una carta intestata ufficiale, e confonderli è il modo in cui un lettore finisce per spaventarsi di quello innocuo e rilassarsi su quello pericoloso. Differiscono per chi li emette, cosa possono imporre e se in un qualche momento sia stato coinvolto un giudice.

Solo gli ultimi due sono ordini nel senso implicito dell'espressione. I primi tre sono richieste, e a una richiesta si risponde con una decisione, non con un obbligo. Vale la pena soffermarsi su questo: tre dei cinque non arrivano mai davanti a un giudice, e sono proprio questi tre quelli su cui quasi nessuno interroga un potenziale host.

Le cinque fasi che una richiesta attraversa

Un fornitore ben gestito fa passare ogni richiesta attraverso la stessa sequenza, indipendentemente da chi l'abbia inviata, ed è una sequenza che vale la pena conoscere perché può chiedere a qualsiasi host di descrivere la propria. Un host che non ne ha mai messa per iscritto una è un host che improvvisa sotto pressione.

1. Arriva, di solito alla società sbagliata. Un'infrastruttura distribuita su più paesi è composta da più società, e un atto notificato a una di esse vincola solo quella. È il motivo più comune per cui una richiesta non ottiene nulla, ed è un errore interamente evitabile da chi la invia.
2. L'entità viene identificata. Quale società gestisce la regione, in quale registro è iscritta, e se il tribunale che ha emesso l'ordine abbia una qualche competenza su di essa. Un ordine straniero non è autoesecutivo in nessun luogo della terra.
3. Il consulente legale di quella giurisdizione lo esamina. Non l'assistenza clienti, e non il fondatore a mezzanotte. Se sia valido e rientri nell'ambito previsto è una questione legale con una risposta locale, e alla richiesta non valida si risponde con una lettera che ne spiega il motivo, per iscritto.
4. Ciò che viene richiesto viene verificato rispetto a ciò che esiste. È qui che la maggior parte delle richieste muore in silenzio. Un ordine per una categoria che lo schema non contiene produce una lettera, non un file, e nessuna pressione può trasformare l'una nell'altro.
5. Il cliente viene informato. Prima che venga prodotto qualsiasi elemento, a meno che l'ordine non lo vieti espressamente. È la fase che la maggior parte dei fornitori omette del tutto dal proprio processo, ed è l'unica che Le permette di fare qualcosa.

La versione pubblicata di questa sequenza per questa infrastruttura si trova nella guida per le forze dell'ordine, scritta per il legale che notifica l'ordine piuttosto che per il cliente che la legge. Vale la pena aprirla per un motivo che non ha nulla a che fare con noi: è la forma del documento che dovrebbe cercare presso qualsiasi host, e la maggior parte non ne possiede uno.

L'aritmetica di un rapporto di trasparenza

Quasi ogni rapporto di trasparenza apre con il totale ricevuto, che è il numero meno informativo che contiene. Il volume misura quanto un fornitore sia visibile. Ciò che conta è il rapporto tra quanto è arrivato e quanto è uscito, perché questo misura quanto il fornitore stesse effettivamente trattenendo.

Applichi questo calcolo a qualsiasi host che pubblichi dati sufficienti a permetterlo. Un rapporto prodotto/ricevuto elevato non è prova di collaborazione, e uno basso non è prova di coraggio — entrambi sono per lo più prova di cosa contiene l'inventario. Un fornitore che conserva documenti d'identità e un anno di indirizzi di accesso produrrà qualcosa quasi ogni volta, indipendentemente da come si sente al riguardo. La serie trimestrale completa si trova nel rapporto di trasparenza.

Perché l'entità con cui ha stipulato il contratto decide tutto

Una sentenza è esecutiva contro una persona o una società, in un determinato luogo. Non viaggia da sola. Perché un ordine straniero vincoli una società all'estero, deve essere riconosciuto da un tribunale del paese in cui quella società è costituita, tramite assistenza legale reciproca o la procedura locale di riconoscimento — un percorso formale, lento, soggetto a revisione, e rifiutabile per motivi che l'autorità richiedente non controlla.

Si tratta di ordinario diritto internazionale privato, non di un'astuzia particolare, ed è l'intero contenuto meccanico della parola offshore. È anche il motivo per cui la struttura societaria conta più della mappa: otto giurisdizioni gestite da un'unica società sono un solo bersaglio legale con otto indirizzi, e una sentenza contro di essa raggiunge ogni macchina che possiede. Otto società separate sono otto procedimenti separati, ciascuno che parte da zero. Quale disposizione utilizzi un host è indicato nella sua pagina dei termini, e la guida su scegliere una giurisdizione illustra cos'altro cambia tra loro.

• Chieda quale società, non quale paese. Il paese è indicato nella pagina promozionale. Il nome della società e il suo numero di registrazione sono ciò che un ordine deve indicare, e su un host che non glielo dice non ci si può affidare che ne abbia uno.
• Chieda in quale registro è iscritta. Un'entità indicata per nome in un registro pubblico è verificabile in circa due minuti e non costa nulla da controllare. Otto di esse, in otto registri, sono elencate qui esattamente per questo motivo.
• Chieda cosa succede a una richiesta indirizzata all'entità sbagliata. La risposta onesta è che si riceve una lettera che lo dichiara per iscritto. La risposta rivelatrice è che viene comunque gestita, premurosamente.

La via d'urgenza, quella che nessuno sorveglia

Ogni ordinamento giuridico importante dispone di un canale che scavalca completamente il tribunale. Negli Stati Uniti si tratta del 18 U.S.C. §2702(b)(8), che consente a un fornitore di divulgare volontariamente qualora ritenga in buona fede che un'emergenza con pericolo di morte o lesioni fisiche gravi lo richieda. La maggior parte delle altre giurisdizioni ha un equivalente. Non c'è alcun giudice, alcun mandato né una controparte: decide il fornitore, nel giro di poche ore.

Esiste per buoni motivi ed è oggetto di abusi per motivi evidenti. Richieste falsificate a partire da account email compromessi delle forze dell'ordine sono state utilizzate per estrarre dati sugli abbonati da alcune delle più grandi piattaforme al mondo, perché l'intero canale si basa su una carta intestata plausibile e su un fornitore che non vuole essere quello che ha esitato. Quaranta richieste di questo tipo hanno raggiunto questa infrastruttura.

La difesa non consiste nel rifiutare questa categoria, il che sarebbe indifendibile nel caso per cui il canale esiste. Consiste nell'avere quasi nulla da offrire volontariamente, nell'esaminare ognuna come farebbe una persona anziché come una coda, nell'informarne il cliente in seguito in ogni caso, e nel conteggiarle pubblicamente come una voce a sé stante. Un'eccezione che nessuno conta smette di essere un'eccezione e diventa una porta aperta.

Conservazione: l'ordine che ferma l'orologio

Una richiesta di conservazione non chiede che venga consegnato nulla. Chiede che i registri esistenti in questo momento smettano di essere cancellati, in modo che siano ancora presenti quando, settimane dopo, arriva l'ordine di produrli. Negli Stati Uniti rientra nel 18 U.S.C. §2703(f) per 90 giorni, rinnovabile una volta, e non necessita di un giudice per essere emessa. Sessantasei di esse sono arrivate qui.

È lo strumento più silenzioso di questa pagina e il più istruttivo, perché è esattamente ciò a cui una politica di conservazione non può sopravvivere. Un timer è una promessa di distruggere secondo un calendario; un blocco di conservazione è un'istruzione a smettere di mantenere quella promessa, con effetto dal momento in cui viene notificato. Tutto ciò che è già stato scritto viene congelato a partire da quel secondo, e il cliente è di solito l'ultimo a saperlo.

Il che è l'intero argomento a favore dell'assenza rispetto alla cancellazione, reso concreto. Un registro mai creato non può essere conservato, non può essere congelato, e non può essere prodotto novanta giorni dopo da un fornitore che ha cambiato idea. La distinzione è approfondita nella guida su cosa significa davvero no-logs, e l'elenco di ciò che qui non viene mai creato è pubblicato come parte dell'informativa sulla privacy e sui registri anziché come affermazione su una pagina prezzi.

Sequestro: cosa si ottiene realmente prendendo la macchina

Il sequestro è lo scenario che tutti immaginano e su cui quasi nessuno riflette fino in fondo. È anche quello in cui l'esito dipende meno dal fornitore e più dalle decisioni che il cliente ha preso mesi prima, al momento dell'installazione, in circa un'ora di lavoro.

Scorrendo l'ultima colonna, una voce compare di fatto due volte: una chiave che non si è mai trovata nell'edificio. Ogni altro controllo di questa pagina è legale, procedurale o contrattuale, il che significa che ogni altro controllo dipende dal fatto che qualcuno continui a comportarsi come aveva detto che avrebbe fatto. La cifratura no. Un operatore di hypervisor può copiare il disco di un guest che gestisce — un fornitore che affermi il contrario non comprende la propria infrastruttura — e ciò che copia è leggibile oppure è rumore.

Il runbook si trova nella knowledge base: cifratura completa del disco all'interno del guest, sbloccata tramite SSH all'avvio, in modo che la chiave arrivi da Lei ogni volta che la macchina si avvia e non risieda da nessun'altra parte. È la stessa raccomandazione fatta dalla guida no-logs, ripetuta deliberatamente, perché è l'unico consiglio di questa pagina il cui effetto non dipende dalla buona condotta di nessuno, noi compresi.

Il divieto di divulgazione, e perché un canary è l'unica risposta possibile

Un divieto di divulgazione non è uno strumento a sé stante. È una clausola allegata a un altro, che vieta al fornitore di informare la persona a cui l'ordine si riferisce dell'esistenza di quest'ultimo. Negli Stati Uniti le National Security Letter lo includono per impostazione predefinita; diverse giurisdizioni dispongono di strumenti equivalenti, e il punto comune a tutti è che la quinta fase descritta sopra — informare il cliente — viene eliminata, e Lei non ha alcun modo di scoprire che lo sia stata.

Un warrant canary è l'unica risposta disponibile, e funziona invertendo il problema. A un fornitore si può vietare di rilasciare una dichiarazione. È molto più difficile obbligarlo a continuare a ripetere una dichiarazione diventata falsa. Perciò l'affermazione viene pubblicata a scadenza fissa, e la sua assenza porta il significato che la sua presenza non può più portare.

La maggior parte dei canary presenti in questo mercato sono decorazione. Sei elementi distinguono uno che ha davvero un significato da un paragrafo su una pagina chi-siamo, e ognuno di essi è verificabile in un browser in cinque minuti.

1. È firmato crittograficamente, rispetto a una chiave pubblicata in un luogo che può trovare in modo indipendente. Un canary non firmato può essere modificato da chiunque possa modificare il sito web, il che include chiunque se ne sia impossessato.
2. Cita qualcosa di recente e imprevedibile. L'altezza e l'hash di un blocco Bitcoin sono la scelta abituale: quel blocco non esisteva prima di essere minato, quindi la dichiarazione non può essere stata firmata mesi prima e lasciata in un cassetto.
3. Indica un periodo, una data di scadenza e un termine di validità. Un canary privo di calendario non può risultare mancante, perché nulla era dovuto. Il calendario è l'intero meccanismo.
4. Elenca affermazioni specifiche anziché un'unica frase. Una singola riga che dice “non abbiamo ricevuto ordini segreti” può fallire solo tutta in una volta. Clausole separate falliscono separatamente, e una clausola silenziosamente eliminata dalla firma successiva è un segnale con una forma precisa.
5. Copre ogni entità. Su un'infrastruttura composta da più società, un canary che parla per una sola di esse è un canary su una frazione dell'infrastruttura che sta acquistando.
6. Le firme precedenti restano pubblicate. Una clausola rimossa è visibile solo rispetto a ciò che ha sostituito, quindi un canary privo di archivio Le chiede di aver prestato attenzione fin dall'inizio.

Il canary pubblicato qui è firmato trimestralmente, cita un blocco recente, indica le sue date di scadenza e di validità, copre tutte le otto entità, e formula sette affermazioni distinte: nessuna National Security Letter o equivalente, nessun ordine accompagnato da un divieto di informarne il cliente, nessun contenuto di alcun disco o database mai consegnato a chicchessia, nessuna intercettazione prospettica, nessuna apparecchiatura sequestrata o clonata, nessun indebolimento imposto di una protezione crittografica, e controllo amministrativo esclusivo dell'infrastruttura. Lo verifichi rispetto ai sei punti sopra. Poi verifichi chiunque altro stia considerando rispetto agli stessi sei punti.

Cosa chiedere a un host prima di acquistare

Ogni domanda qui sotto ha un documento come risposta, oppure non ne ha nessuna. Questo è il test: non se la risposta suona rassicurante, ma se rimanda a qualcosa messo per iscritto prima che Lei chiedesse.

1. Con quale entità legale sto stipulando il contratto, e in quale registro pubblico è iscritta?
2. Cosa esiste su di me una volta effettuata la registrazione — come inventario con un periodo di conservazione indicato per ogni riga, non come aggettivo.
3. Cosa non viene mai creato? Quell'elenco è l'unica parte della risposta che un tribunale non può ribaltare.
4. Sarò informato se una richiesta mi nomina, e cosa dovrebbe essere vero perché non me lo diciate?
5. Quante richieste avete ricevuto, quante hanno soddisfatto la soglia legale, e quante hanno prodotto effettivamente qualcosa?
6. Le divulgazioni urgenti vengono conteggiate e pubblicate come voce a sé stante?
7. Il vostro canary è firmato, recente, specifico, e copre ogni entità che gestite?

Nulla di tutto questo rende chicchessia intoccabile, e una pagina che suggerisse il contrario sarebbe proprio il tipo di pagina che questa esiste per confutare. Ciò che fa è spostare la questione dalla fiducia all'inventario. Un host che può produrre poco produce poco, indipendentemente da cosa creda di sé stesso la mattina in cui arriva la lettera.

Le domande che vengono realmente poste

Ogni prezzo di questa struttura è pubblicato per intero, in un unico posto. Consulti l'intero catalogo