Wnioski organów ściganiaŻądanie jest korespondencją, dopóki właściwy sąd nie zdecyduje inaczej.

Pięć różnych rzeczy nazywa się “policja pyta”

To określenie obejmuje pięć instrumentów, które nie mają ze sobą prawie nic wspólnego poza urzędowym papierem firmowym, a mylenie ich ze sobą sprawia, że czytelnik zaczyna bać się tego niegroźnego, a spokojnie podchodzi do tego niebezpiecznego. Różnią się tym, kto je wydaje, co mogą wymusić, i czy na którymkolwiek etapie brał udział sędzia.

Tylko dwa ostatnie są nakazami w tym sensie, jaki sugeruje samo słowo. Pierwsze trzy to prośby, a na prośbę odpowiada się decyzją, nie obowiązkiem. Warto się nad tym zatrzymać: trzy z pięciu nigdy nie trafiają przed sędziego, i to właśnie o te trzy niemal nikt nie pyta potencjalnego dostawcy.

Pięć etapów, przez które przechodzi żądanie

Dobrze zarządzany dostawca przeprowadza każde żądanie przez tę samą sekwencję, niezależnie od tego, kto je przesłał, a sekwencję tę warto znać, ponieważ można poprosić dowolnego dostawcę o jej opisanie. Dostawca, który nigdy nie spisał swojej procedury, to dostawca, który improwizuje pod presją.

1. Trafia, zwykle do niewłaściwej spółki. Infrastruktura rozłożona na kilka krajów to kilka spółek, a doręczenie pisma jednej z nich wiąże tylko tę jedną. To najczęstsza przyczyna, dla której żądanie nie przynosi żadnego skutku, a jest to sytuacja całkowicie do uniknięcia po stronie nadawcy.
2. Podmiot zostaje zidentyfikowany. Jaka spółka obsługuje dany region, w jakim rejestrze jest wpisana i czy sąd wydający nakaz ma wobec niej jakąkolwiek właściwość. Zagraniczny nakaz nigdzie na świecie nie wykonuje się sam.
3. Zapoznaje się z nim prawnik działający w danej jurysdykcji. Nie dział wsparcia i nie założyciel o północy. To, czy żądanie jest ważne i mieści się w zakresie, jest kwestią prawną z lokalną odpowiedzią, a odpowiedzią na żądanie nieważne jest pismo wyjaśniające dlaczego, sporządzone na piśmie.
4. To, czego się żąda, jest sprawdzane wobec tego, co istnieje. To tu większość żądań umiera po cichu. Nakaz dotyczący kategorii, której nie ma w schemacie, kończy się pismem, nie plikiem, i żaden nacisk nie zamieni jednego w drugie.
5. Klient zostaje poinformowany. Zanim cokolwiek zostanie przekazane, chyba że nakaz wyraźnie tego zakazuje. To etap, który większość dostawców całkowicie pomija w swoim procesie, i jedyny, który w ogóle daje możliwość jakiegokolwiek działania.

Opublikowana wersja tej sekwencji dla tej infrastruktury znajduje się w przewodniku dla organów ścigania, napisanym z myślą o prawniku doręczającym nakaz, a nie o kliencie, który go czyta z ciekawości. Warto go otworzyć z powodu niemającego nic wspólnego z nami: pokazuje, jak powinien wyglądać dokument, którego warto szukać u każdego dostawcy — a większość go po prostu nie ma.

Arytmetyka raportu przejrzystości

Niemal każdy raport przejrzystości zaczyna się od łącznej liczby otrzymanych żądań, czyli najmniej informującej liczby w całym raporcie. Wolumen mierzy tylko to, jak widoczny jest dany dostawca. To, co się naprawdę liczy, to stosunek między tym, co wpłynęło, a tym, co wyszło na zewnątrz, ponieważ to on pokazuje, ile dostawca faktycznie przechowywał.

Warto wykonać ten sam rachunek dla dowolnego dostawcy, który publikuje dane pozwalające go przeprowadzić. Wysoki stosunek przekazanych do otrzymanych żądań nie jest dowodem uległości, a niski nie jest dowodem odwagi — oba w większości świadczą jedynie o tym, co dostawca ma w swoich zasobach. Dostawca przechowujący dokumenty tożsamości i roczną historię adresów logowania niemal zawsze coś przekaże, bez względu na to, jak sam to odbiera. Pełna kwartalna seria danych znajduje się w raporcie przejrzystości.

Dlaczego to podmiot, z którym zawarto umowę, decyduje o wszystkim

Orzeczenie jest egzekwowalne wobec osoby lub spółki, w konkretnym miejscu. Samo z siebie nigdzie nie dociera. Aby zagraniczny nakaz związał spółkę za granicą, musi zostać uznany przez sąd w kraju, w którym ta spółka jest zarejestrowana — w drodze wzajemnej pomocy prawnej albo lokalnej procedury uznania — a to droga formalna, powolna, podlegająca kontroli i możliwa do odrzucenia na podstawach, których organ wnioskujący nie kontroluje.

To zwykłe prywatne prawo międzynarodowe, a nie żadna sprytna sztuczka, i to jest cała mechaniczna treść słowa offshore. To także powód, dla którego struktura korporacyjna ma większe znaczenie niż mapa: osiem jurysdykcji obsługiwanych przez jedną spółkę to jeden cel prawny z ośmioma adresami, a orzeczenie przeciwko niemu sięga każdej należącej do niej maszyny. Osiem odrębnych spółek to osiem odrębnych postępowań, z których każde zaczyna się od zera. Jaki układ stosuje dany dostawca, wskazuje jego strona z regulaminem, a przewodnik o wyborze jurysdykcji opisuje, co jeszcze się między nimi różni.

• Zapytaj, jaka spółka, nie jaki kraj. Kraj widnieje na stronie marketingowej. To nazwa spółki i jej numer rejestrowy są tym, co musi wskazywać nakaz, a dostawcy, który nie chce tego ujawnić, nie można ufać, że w ogóle je posiada.
• Zapytaj, w jakim rejestrze jest wpisana. Nazwany podmiot w publicznym rejestrze da się sprawdzić w około dwie minuty i nic to nie kosztuje. Osiem takich podmiotów, w ośmiu rejestrach, jest wymienionych tutaj właśnie z tego powodu.
• Zapytaj, co się dzieje z żądaniem skierowanym do niewłaściwego podmiotu. Uczciwa odpowiedź brzmi: taki wniosek otrzymuje pisemną odpowiedź informującą właśnie o tym. Odpowiedź demaskująca brzmi: zostaje mimo to załatwiony, pomocnie.

Kanał awaryjny, którego nikt nie pilnuje

Każdy większy system prawny ma kanał, który całkowicie omija sąd. W Stanach Zjednoczonych jest nim 18 U.S.C. §2702(b)(8), który pozwala dostawcy dobrowolnie ujawnić dane, gdy w dobrej wierze uzna, że wymaga tego zagrożenie życia lub poważnego uszczerbku na zdrowiu. Większość innych jurysdykcji ma swój odpowiednik. Nie ma tu sędziego, nakazu ani strony przeciwnej: decyduje dostawca, w ciągu kilku godzin.

Istnieje z dobrych powodów i jest nadużywany z powodów oczywistych. Fałszywe żądania wysyłane z przejętych skrzynek pocztowych organów ścigania posłużyły do wyłudzenia danych abonentów od jednych z największych platform na świecie, ponieważ cały ten kanał opiera się na wiarygodnie wyglądającym papierze firmowym i na dostawcy, który nie chce być tym, kto się zawahał. Czterdzieści takich żądań dotarło do tej infrastruktury.

Obroną nie jest odmowa rozpatrywania tej kategorii żądań, co byłoby nie do obrony w przypadku, dla którego ten kanał w ogóle istnieje. Obroną jest posiadanie niemal niczego do dobrowolnego udostępnienia, rozpatrywanie każdego zgłoszenia jak człowiek, nie jak kolejka, informowanie klienta po fakcie za każdym razem oraz publiczne liczenie ich jako osobnej pozycji. Wyjątek, którego nikt nie liczy, przestaje być wyjątkiem i staje się furtką.

Zabezpieczenie danych: nakaz, który zatrzymuje zegar

Wniosek o zabezpieczenie danych nie żąda przekazania niczego. Żąda jedynie, by zapisy istniejące w danej chwili przestały być usuwane, tak aby wciąż istniały, gdy kilka tygodni później nadejdzie nakaz ich przekazania. W Stanach Zjednoczonych działa na mocy 18 U.S.C. §2703(f) przez 90 dni, z możliwością jednokrotnego przedłużenia, i nie wymaga wydania przez sędziego. Sześćdziesiąt sześć takich wniosków dotarło tutaj.

To najcichszy instrument na tej stronie i zarazem najbardziej pouczający, ponieważ jest dokładnie tym, czego polityka retencji nie jest w stanie przetrwać. Licznik to obietnica zniszczenia danych według harmonogramu; zabezpieczenie danych to polecenie przerwania dotrzymywania tej obietnicy, skuteczne od chwili doręczenia. Wszystko, co zostało już zapisane, zostaje zamrożone od tej sekundy, a klient zwykle dowiaduje się o tym jako ostatni.

To właśnie cały argument za nieobecnością danych, a nie tylko ich usuwaniem, ujęty w konkret. Zapis, który nigdy nie powstał, nie może zostać zabezpieczony, nie może zostać zamrożony i nie może zostać przekazany dziewięćdziesiąt dni później przez dostawcę, który zmienił zdanie. Rozróżnienie to jest szczegółowo omówione w przewodniku o tym, co naprawdę oznacza brak logów, a lista tego, co nigdy tu nie powstaje, jest opublikowana jako część polityki prywatności i logowania, a nie jako hasło na stronie z cennikiem.

Zajęcie: co faktycznie daje przejęcie maszyny

Zajęcie sprzętu to scenariusz, który każdy sobie wyobraża i niemal nikt nie przemyśla do końca. To także ten, w którym wynik najmniej zależy od dostawcy, a najbardziej od decyzji, które klient podjął miesiące wcześniej, w trakcie instalacji, w ciągu jakiejś godziny pracy.

Prześledź ostatnią kolumnę, a jeden wpis w istocie pojawia się w niej dwukrotnie: klucz, którego nigdy nie było w budynku. Każdy inny mechanizm kontroli na tej stronie ma charakter prawny, proceduralny lub umowny, co oznacza, że każdy inny zależy od tego, czy ktoś nadal będzie się zachowywał tak, jak zadeklarował. Szyfrowanie nie zależy od niczego takiego. Operator hiperwizora może skopiować dysk uruchamianej przez siebie maszyny gościa — dostawca twierdzący inaczej nie rozumie własnej infrastruktury — a to, co skopiuje, jest albo czytelne, albo jest szumem.

Procedura znajduje się w bazie wiedzy: pełne szyfrowanie dysku wewnątrz maszyny gościa, odblokowywane przez SSH przy rozruchu, tak aby klucz docierał od klienta przy każdym starcie maszyny i nie istniał nigdzie indziej. To ta sama rekomendacja, jaką formułuje przewodnik o braku logów, powtórzona tu celowo, ponieważ jest to jedyna rada na tej stronie, której skuteczność nie zależy od niczyjego dobrego zachowania — łącznie z naszym.

Nakaz milczenia i dlaczego warrant canary jest jedyną na niego odpowiedzią

Nakaz milczenia nie jest osobnym instrumentem. To klauzula dołączana do innego nakazu, zakazująca dostawcy poinformowania osoby, której nakaz dotyczy, o samym jego istnieniu. National Security Letters w Stanach Zjednoczonych domyślnie zawierają taką klauzulę; kilka innych jurysdykcji ma swoje odpowiedniki, a sens wszystkich tych rozwiązań jest ten sam: piąty z opisanych wyżej etapów — poinformowanie klienta — zostaje usunięty, a klient nie ma żadnego sposobu, by się o tym dowiedzieć.

Warrant canary to jedyna dostępna odpowiedź, a działa poprzez odwrócenie problemu. Dostawcy można zakazać złożenia oświadczenia. Znacznie trudniej jest zmusić go do dalszego powtarzania oświadczenia, które stało się fałszywe. Dlatego twierdzenie publikowane jest według harmonogramu, a jego brak niesie takie znaczenie, jakiego jego obecność już nieść nie może.

Większość warrant canary na tym rynku to zwykła dekoracja. Sześć elementów odróżnia ten, który rzeczywiście coś znaczy, od akapitu na stronie „o nas”, i każdy z nich da się sprawdzić w przeglądarce w pięć minut.

1. Jest podpisany kryptograficznie, kluczem opublikowanym w miejscu, które można znaleźć niezależnie od tej strony. Niepodpisany warrant canary może edytować każdy, kto może edytować witrynę — czyli także każdy, kto ją przejął.
2. Przywołuje coś aktualnego i nieprzewidywalnego. Zwykle jest to wysokość i hash niedawnego bloku Bitcoina: ten blok nie istniał, zanim został wykopany, więc oświadczenie nie mogło zostać podpisane miesiące wcześniej i odłożone na później.
3. Wskazuje okres, termin publikacji i datę wygaśnięcia. Warrant canary bez harmonogramu nie może zaginąć, bo nic nie miało terminu. Harmonogram to cały mechanizm.
4. Wylicza konkretne twierdzenia, zamiast poprzestać na jednym zdaniu. Pojedyncza linijka głosząca “nie otrzymaliśmy żadnych tajnych nakazów” może zawieść tylko w całości, naraz. Osobne klauzule zawodzą osobno, a klauzula po cichu pominięta przy kolejnym podpisaniu jest sygnałem o określonym kształcie.
5. Obejmuje każdy podmiot. W strukturze złożonej z kilku spółek warrant canary, który mówi tylko o jednej z nich, dotyczy jedynie ułamka infrastruktury, którą się kupuje.
6. Wcześniejsze podpisania pozostają opublikowane. Usuniętą klauzulę widać tylko na tle tego, co zastępuje, więc warrant canary bez archiwum wymaga, by ktoś uważnie śledził go od samego początku.

Warrant canary publikowany tutaj jest podpisywany co kwartał, przywołuje niedawny blok, wskazuje termin publikacji i datę wygaśnięcia, obejmuje wszystkie osiem podmiotów i zawiera siedem osobnych twierdzeń: brak National Security Letter lub instrumentu równoważnego, brak nakazu z zakazem poinformowania o nim klienta, brak jakiejkolwiek zawartości dysku czy bazy danych przekazanej komukolwiek, brak przechwytywania na przyszłość, brak zajętego lub skopiowanego sprzętu, brak wymuszonego osłabienia zabezpieczenia kryptograficznego oraz wyłączna kontrola administracyjna nad infrastrukturą. Sprawdź go pod kątem sześciu punktów powyżej. Następnie w ten sam sposób sprawdź każdego innego dostawcę, którego się rozważa.

O co zapytać dostawcę przed zakupem

Na każde z poniższych pytań odpowiedzią jest dokument — albo go nie ma. To jest właśnie test: nie to, czy odpowiedź brzmi uspokajająco, lecz czy wskazuje na coś spisanego, zanim jeszcze zadano pytanie.

1. Z jakim podmiotem prawnym zawieram umowę i w jakim rejestrze publicznym jest on wpisany?
2. Co istnieje na mój temat od chwili rejestracji — w formie wykazu z okresem retencji przy każdej pozycji, a nie w formie przymiotnika.
3. Co nigdy nie powstaje? Ta lista to jedyna część odpowiedzi, której żaden sąd nie może cofnąć.
4. Czy zostanę poinformowany/-a, jeśli jakieś żądanie wskaże mnie z imienia, i co musiałoby zajść, aby mnie o tym nie poinformowano?
5. Ile żądań otrzymaliście, ile z nich spełniło ustawowy próg i ile z nich przyniosło jakikolwiek skutek?
6. Czy wnioski o pilne ujawnienie danych są liczone i publikowane jako osobna pozycja?
7. Czy Państwa warrant canary jest podpisany, aktualny, konkretny i czy obejmuje każdy prowadzony przez Państwa podmiot?

Nic z tego nie czyni nikogo nietykalnym, a strona sugerująca inaczej byłaby dokładnie tym, z czym ta strona istnieje po to, by polemizować. To, co faktycznie robi, to przesunięcie pytania z zaufania na wykaz posiadanych danych. Dostawca, który może przekazać niewiele, przekaże niewiele — niezależnie od tego, co sam o sobie sądzi w poranek, gdy nadchodzi pismo.

Pytania, które faktycznie są zadawane

Każda cena w tej infrastrukturze jest publikowana w całości, w jednym miejscu. Zobacz cały katalog