Solicitações de autoridades policiaisUm pedido é correspondência até que um tribunal com jurisdição diga o contrário.

Cinco coisas diferentes são chamadas de “a polícia pedindo”

A expressão abrange cinco instrumentos que quase nada têm em comum além de um papel timbrado oficial, e confundi-los é assim que um leitor acaba com medo do inofensivo e tranquilo quanto ao perigoso. Eles diferem em quem os emite, o que podem exigir, e se um juiz esteve envolvido em algum momento.

Só os dois últimos são ordens no sentido que a expressão sugere. Os três primeiros são solicitações, e uma solicitação é respondida por uma decisão, não por uma obrigação. Vale a pena refletir sobre isso: três dos cinco nunca chegam a um juiz, e são exatamente esses três sobre os quais quase ninguém pergunta a um host em potencial.

As cinco etapas pelas quais um pedido passa

Um provedor bem administrado submete todo pedido à mesma sequência, não importa quem o enviou, e vale a pena conhecer essa sequência porque você pode pedir a qualquer host que descreva a sua. Um host que nunca colocou isso no papel é um host que improvisa sob pressão.

1. Ele chega, geralmente na empresa errada. Uma estrutura espalhada por vários países é várias empresas, e um processo notificado a uma delas vincula apenas essa uma. Esse é o motivo mais comum pelo qual um pedido não obtém resultado nenhum, e evitá-lo cabe inteiramente a quem o enviou.
2. A entidade é identificada. Qual empresa opera a região, em qual registro ela está arquivada, e se o tribunal emissor tem alguma autoridade sobre ela. Nenhuma ordem estrangeira é autoexecutável em lugar nenhum do mundo.
3. Advogados dessa jurisdição o leem. Não a equipe de suporte, nem o fundador à meia-noite. Válido e dentro do escopo é uma questão jurídica com resposta local, e a resposta a um pedido inválido é uma carta explicando por quê, por escrito.
4. O que é pedido é conferido com o que existe. É aqui que a maioria dos pedidos morre em silêncio. Uma ordem para uma categoria que o esquema não contém produz uma carta, não um arquivo, e nenhuma pressão converte uma coisa na outra.
5. O cliente é avisado. Antes que qualquer coisa seja produzida, a menos que a ordem o proíba expressamente. Esta é a etapa que a maioria dos provedores omite completamente do processo, e é a única que permite que você faça alguma coisa.

A versão publicada dessa sequência para esta estrutura está no guia para autoridades, escrito para os advogados que notificam a ordem, não para o cliente que lê a respeito. Vale a pena abri-lo por um motivo que nada tem a ver conosco: é o formato do documento que você deveria procurar em qualquer host, e a maioria não tem um.

A aritmética de um relatório de transparência

Quase todo relatório de transparência abre com o total recebido, que é o número menos informativo nele. O volume mede o quão visível um provedor é. O que você quer é a proporção entre o que chegou e o que saiu, porque isso mede o quanto o provedor estava retendo.

Aplique essa aritmética a qualquer host que publique o suficiente para permitir isso. Uma proporção alta entre produzido e recebido não é evidência de cooperação, e uma baixa não é evidência de coragem — ambas são, na maior parte, evidência sobre o inventário. Um provedor que guarda documentos de identidade e um ano de endereços de login vai produzir algo quase sempre, por mais que se incomode com isso. A série trimestral completa está no relatório de transparência.

Por que a entidade com a qual você contratou decide tudo

Uma decisão judicial é executável contra uma pessoa ou uma empresa, em um lugar. Ela não se desloca sozinha. Para que uma ordem estrangeira vincule uma empresa no exterior, ela precisa ser reconhecida por um tribunal do país onde essa empresa está constituída, por meio de assistência jurídica mútua ou do procedimento local de reconhecimento — uma via formal, lenta, sujeita a revisão, e recusável por motivos que a autoridade requerente não controla.

Isso é direito internacional privado comum, não nenhuma esperteza, e é todo o conteúdo mecânico da palavra offshore. É também por isso que a estrutura corporativa importa mais do que o mapa: oito jurisdições operadas por uma única empresa são um único alvo legal com oito endereços, e uma decisão contra ela alcança toda máquina que ela possui. Oito empresas separadas são oito processos separados, cada um começando do zero. Qual arranjo um host usa está na sua página de termos, e o guia sobre escolhendo uma jurisdição explica o que mais muda entre eles.

• Pergunte qual é a empresa, não qual é o país. O país está na página de marketing. O nome da empresa e o número de registro dela são o que uma ordem precisa identificar, e um host que se recusa a dizer não merece a confiança de que tenha um.
• Pergunte onde ela está arquivada. Uma entidade nomeada em um registro público é verificável em cerca de dois minutos e não custa nada para conferir. Oito delas, em oito registros, estão listadas aqui exatamente por esse motivo.
• Pergunte o que acontece com uma solicitação para a entidade errada. A resposta honesta é que ela é respondida por escrito, dizendo isso. A resposta reveladora é que ela é atendida assim mesmo, de forma prestativa.

A via de emergência, que é a que ninguém vigia

Todo grande arcabouço jurídico tem um canal que contorna totalmente o tribunal. Nos Estados Unidos, é o 18 U.S.C. §2702(b)(8), que permite que um provedor divulgue voluntariamente quando acredita, de boa-fé, que uma emergência envolvendo risco de morte ou lesão corporal grave o exige. A maioria das outras jurisdições tem um equivalente. Não há juiz, não há mandado e não há parte contrária: o provedor decide, em horas.

Ele existe por bons motivos e é abusado por motivos óbvios. Solicitações forjadas em contas de e-mail comprometidas de autoridades policiais já foram usadas para extrair dados de assinantes de algumas das maiores plataformas do mundo, porque o canal inteiro se apoia em um papel timbrado plausível e em um provedor que não quer ser aquele que hesitou. Quarenta dessas solicitações chegaram a esta estrutura.

A defesa não é recusar a categoria, o que seria indefensável no caso para o qual o canal existe. É ter quase nada para oferecer voluntariamente, revisar cada uma como uma pessoa, e não como uma fila, avisar o cliente depois em todos os casos, e contá-las publicamente como uma linha própria. Uma exceção que ninguém conta deixa de ser uma exceção e se torna uma porta.

Preservação: a ordem que para o relógio

Um pedido de preservação não solicita que nada seja entregue. Ele pede que os registros que existem agora parem de ser apagados, para que ainda estejam lá quando a ordem para produzi-los chegar, semanas depois. Nos Estados Unidos, ele opera sob o 18 U.S.C. §2703(f) por 90 dias, renovável uma vez, e não precisa de um juiz para ser emitido. Sessenta e seis deles já chegaram aqui.

É o instrumento mais discreto desta página e o mais instrutivo, porque é exatamente aquilo que uma política de retenção não consegue sobreviver. Um temporizador é uma promessa de destruir em um cronograma; uma retenção de preservação é uma instrução para parar de cumprir essa promessa, em vigor a partir do momento em que chega. Tudo o que já foi registrado fica congelado a partir desse segundo, e o cliente costuma ser o último a saber.

O que é todo o argumento em favor da ausência sobre a exclusão, tornado concreto. Um registro que nunca foi criado não pode ser preservado, não pode ser congelado, e não pode ser produzido noventa dias depois por um provedor que mudou de ideia. A distinção é desenvolvida em detalhe no guia sobre o que sem logs realmente significa, e a lista do que nunca é criado aqui é publicada como parte da política de privacidade e registro, e não como uma alegação em uma página de preços.

Apreensão: o que levar a máquina realmente rende

Apreensão é o cenário que todo mundo imagina e quase ninguém pensa a fundo. É também aquele em que o resultado depende menos do provedor e mais de decisões que o cliente tomou meses antes, no momento da instalação, em cerca de uma hora de trabalho.

Percorra a última coluna e um item aparece duas vezes, na prática: uma chave que nunca esteve no prédio. Todo outro controle nesta página é jurídico, processual ou contratual, ou seja, todo outro controle depende de alguém continuar a se comportar como disse que faria. A criptografia não. Um operador de hipervisor pode copiar o disco de um convidado que executa — um provedor que afirme o contrário está mal-entendendo o próprio stack — e o que ele copia ou é legível, ou é ruído.

O runbook está na base de conhecimento: criptografia de disco completo dentro do convidado, desbloqueada por SSH na inicialização, de modo que a chave chegue de você a cada vez que a máquina inicia e não viva em nenhum outro lugar. É a mesma recomendação que o guia de hospedagem sem logs faz, repetida deliberadamente, porque é o único conselho nesta página cujo efeito não depende da boa conduta de ninguém, nem mesmo a nossa.

A gag order, e por que um canary é a única resposta a ela

Uma gag order não é um instrumento separado. É uma cláusula anexada a um, proibindo o provedor de contar à pessoa a quem a ordem diz respeito que ela existe. As National Security Letters, nos Estados Unidos, trazem uma por padrão; várias jurisdições têm equivalentes, e o ponto comum a todas elas é que a quinta etapa acima — avisar o cliente — é removida, e você não tem como saber que foi.

Um warrant canary é a única resposta disponível, e funciona invertendo o problema. Um provedor pode ser proibido de fazer uma declaração. É muito mais difícil obrigá-lo a continuar repetindo uma declaração que se tornou falsa. Por isso a alegação é publicada em um cronograma, e sua ausência carrega o significado que sua presença já não é capaz de carregar.

A maioria dos canaries neste mercado é decoração. Seis coisas separam um que significa alguma coisa de um parágrafo em uma página institucional, e cada uma delas é verificável em um navegador em cinco minutos.

1. É assinado criptograficamente, contra uma chave publicada em algum lugar que você pode encontrar de forma independente. Um canary sem assinatura pode ser editado por qualquer um que consiga editar o site, o que inclui qualquer um que o tenha invadido.
2. Cita algo recente e imprevisível. A altura e o hash de um bloco do Bitcoin são a escolha mais comum: esse bloco não existia antes de ser minerado, então a declaração não pode ter sido assinada meses antes e deixada na prateleira.
3. Ele nomeia um período, uma data de vencimento e uma data de expiração. Um canary sem cronograma não pode desaparecer, porque nada era esperado. O cronograma é todo o mecanismo.
4. Ele enumera alegações específicas, em vez de uma única frase. Uma linha dizendo “não recebemos nenhuma ordem secreta” só pode falhar de uma vez só. Cláusulas separadas falham separadamente, e uma cláusula silenciosamente removida da próxima assinatura é um sinal com um formato.
5. Ele cobre todas as entidades. Em uma estrutura de várias empresas, um canary que fala apenas por uma delas é um canary sobre uma fração da infraestrutura que você está comprando.
6. As assinaturas anteriores continuam publicadas. Uma cláusula removida só é visível em contraste com o que ela substituiu, então um canary sem arquivo espera que você tenha prestado atenção o tempo todo.

O canary publicado aqui é assinado trimestralmente, cita um bloco recente, nomeia suas datas de vencimento e expiração, cobre as oito entidades, e faz sete alegações separadas: nenhuma National Security Letter ou equivalente, nenhuma ordem acompanhada de uma proibição de informar o cliente, nenhum conteúdo de disco ou banco de dados jamais entregue a ninguém, nenhuma interceptação prospectiva, nenhum equipamento apreendido ou copiado, nenhum enfraquecimento obrigatório de uma proteção criptográfica, e controle administrativo exclusivo da infraestrutura. Confira isso com os seis itens acima. Depois, confira qualquer outro host que você esteja considerando com os mesmos seis.

O que perguntar a um host antes de comprar

Toda pergunta abaixo tem um documento como resposta, ou não tem nenhum. Esse é o teste: não se a resposta soa tranquilizadora, mas se ela aponta para algo que já estava escrito antes de você perguntar.

1. Com qual entidade legal estou contratando, e em qual registro público ela está arquivada?
2. O que existe sobre mim depois que eu me cadastro — como um inventário com um período de retenção em cada linha, não como um adjetivo.
3. O que nunca é criado? Essa lista é a única parte da resposta que um tribunal não pode reverter.
4. Serei avisado se uma solicitação me nomear, e o que precisaria ser verdade para que vocês não me avisassem?
5. Quantas solicitações vocês receberam, quantas atenderam ao critério legal, e quantas produziram alguma coisa?
6. As divulgações de emergência são contadas e publicadas como uma linha própria?
7. O canary de vocês é assinado, recente, específico, e cobre todas as entidades que vocês operam?

Nada disso torna alguém intocável, e uma página que sugerisse o contrário seria exatamente o tipo de página que esta existe para contestar. O que isto faz é deslocar a questão da confiança para o inventário. Um host que só pode produzir pouco produz pouco, seja lá o que pense de si mesmo na manhã em que a carta chega.

Perguntas que as pessoas realmente fazem

Todos os preços desta estrutura são publicados por completo, em um só lugar. Veja o catálogo completo