Запросы правоохранительных органовТребование — это переписка, пока суд, обладающий юрисдикцией, не скажет иначе.

Пять разных вещей называют “полиция спрашивает”

Эта фраза охватывает пять инструментов, у которых нет почти ничего общего, кроме официального бланка, и именно из-за их смешения читатель пугается безобидного и успокаивается насчёт опасного. Они различаются тем, кто их выдаёт, что они могут принудить сделать и участвовал ли в этом хоть когда-нибудь судья.

Только последние два — это предписания в том смысле, который подразумевает эта фраза. Первые три — запросы, а на запрос отвечают решением, а не исполнением обязательства. Это стоит осмыслить: три из пяти никогда не доходят до судьи, и именно о них почти никто не спрашивает потенциального хостера.

Пять этапов, которые проходит требование

Хорошо организованный провайдер проводит каждое требование через одну и ту же последовательность действий независимо от того, кто его прислал, и эту последовательность стоит знать, потому что вы можете попросить любого хостера описать свою. Хостер, который никогда её не фиксировал письменно, — это хостер, который импровизирует под давлением.

1. Оно приходит — обычно не в ту компанию. Инфраструктура, распределённая по нескольким странам, — это несколько компаний, и вручение документов одной из них обязывает только её одну. Это самая частая причина, по которой требование ничего не даёт, и избежать этого целиком во власти отправителя.
2. Устанавливается юридическое лицо. Какая компания управляет регионом, в каком реестре она зарегистрирована и обладает ли выдавший постановление суд хоть какой-то властью над ней. Иностранное постановление нигде на земле не исполняется автоматически.
3. Его читает юрист этой юрисдикции. Не служба поддержки и не основатель компании в полночь. Законно требование и относится ли оно к делу — вопрос юридический, с локальным ответом, а на незаконное отвечают письменно, с объяснением причин.
4. То, что запрашивается, сверяется с тем, что действительно существует. Именно здесь тихо умирает большинство требований. Постановление, касающееся категории данных, которой нет в схеме, порождает письмо, а не файл, и никакое давление не превратит одно в другое.
5. Клиента уведомляют. До того, как что-либо будет предоставлено, — если только постановление прямо это не запрещает. Это тот этап, который большинство провайдеров попросту исключают из своего процесса, и единственный, который вообще даёт вам возможность что-то предпринять.

Опубликованная версия этой последовательности для нашей инфраструктуры — в руководстве для правоохранительных органов, которое написано для юриста, подающего постановление, а не для клиента, который о нём читает. Его стоит открыть по причине, не имеющей отношения к нам: это образец документа, который вам стоит искать у любого хостера, а у большинства его просто нет.

Арифметика отчёта о прозрачности

Почти каждый отчёт о прозрачности начинается с общего числа полученных запросов — это наименее информативная цифра в нём. Объём измеряет лишь то, насколько провайдер заметен. Нужно смотреть на соотношение между тем, что поступило, и тем, что было выдано, — потому что оно измеряет, сколько провайдер на самом деле хранил.

Проведите те же расчёты для любого хостера, который публикует данные, достаточные для этого. Высокое соотношение выданного к полученному не доказывает готовность к сотрудничеству, а низкое не доказывает смелость — в основном оба говорят лишь о перечне того, что у него есть. Провайдер, хранящий документы, удостоверяющие личность, и годовую историю адресов входа, почти всегда что-то да предоставит, что бы он сам об этом ни думал. Весь квартальный ряд — в отчёте о прозрачности.

Почему всё решает то, с каким юрлицом вы заключили договор

Судебное решение имеет исполнительную силу против человека или компании, в конкретном месте. Само по себе оно никуда не перемещается. Чтобы иностранное постановление обязало компанию за рубежом, оно должно быть признано судом той страны, где эта компания зарегистрирована, через взаимную правовую помощь или местную процедуру признания — путь формальный, медленный, подлежащий проверке и допускающий отказ по основаниям, которые запрашивающий орган не контролирует.

Это обычное международное частное право, а не что-то хитроумное, и это и есть весь механический смысл слова «офшор». Именно поэтому корпоративная структура важнее карты: восемь юрисдикций под управлением одной компании — это одна юридическая мишень с восемью адресами, и решение против неё достаёт до каждой её машины. Восемь отдельных компаний — это восемь отдельных процессов, каждый из которых начинается с нуля. Какую схему использует хостер, указано на его странице условий, а руководство по выбору юрисдикции объясняет, что ещё между ними меняется.

• Спрашивайте о компании, а не о стране. Страна указана на маркетинговой странице. Постановление должно называть именно название компании и её регистрационный номер, и хостеру, который не готов их вам сообщить, нельзя доверять в том, что они у него вообще есть.
• Спрашивайте, где оно зарегистрировано. Поименованное юрлицо в публичном реестре можно проверить примерно за две минуты, и это ничего не стоит. Восемь таких юрлиц, в восьми реестрах, перечислены здесь именно по этой причине.
• Спрашивайте, что происходит с запросом, направленным не тому юрлицу. Честный ответ — вам письменно ответят именно это. Показательный ответ — что его всё равно услужливо обработают.

Экстренный канал, за которым никто не следит

У каждой крупной правовой системы есть канал, полностью обходящий суд. В США это 18 U.S.C. §2702(b)(8) — норма, разрешающая провайдеру раскрывать данные добровольно, если он добросовестно полагает, что этого требует чрезвычайная ситуация, связанная с опасностью смерти или причинения тяжкого вреда здоровью. В большинстве других юрисдикций есть эквивалент. Здесь нет ни судьи, ни ордера, ни противной стороны: решение принимает сам провайдер, и счёт идёт на часы.

Он существует по веским причинам, и злоупотребляют им по причинам столь же очевидным. Запросы, подделанные через взломанные почтовые аккаунты правоохранительных органов, использовались, чтобы вытянуть данные пользователей у некоторых крупнейших платформ мира, — потому что весь этот канал держится на правдоподобном бланке и на провайдере, который не хочет оказаться тем, кто замешкался. Сорок таких запросов дошли до нашей инфраструктуры.

Защита состоит не в том, чтобы отказывать в этой категории запросов целиком, — это было бы неоправданно именно в том случае, ради которого канал и существует. Она в том, чтобы почти нечего было раскрывать добровольно, рассматривать каждый запрос как человека, а не как очередь, всегда впоследствии сообщать об этом клиенту и открыто учитывать их отдельной строкой. Исключение, которое никто не считает, перестаёт быть исключением и становится лазейкой.

Сохранение данных: постановление, которое останавливает часы

Запрос на сохранение данных не требует ничего передавать. Он требует, чтобы записи, существующие прямо сейчас, перестали удаляться, — чтобы они всё ещё были на месте, когда постановление об их предоставлении придёт неделями позже. В США он действует на основании 18 U.S.C. §2703(f), в течение 90 дней, с возможностью однократного продления, и для его выдачи не нужен судья. Их сюда пришло шестьдесят шесть.

Это самый тихий инструмент на этой странице и самый показательный, потому что именно он не переживёт ни одна политика хранения данных. Таймер — это обещание уничтожить данные по расписанию; удержание для сохранности — это указание перестать выполнять это обещание, вступающее в силу в момент получения. Всё, что уже записано, замораживается с этой секунды, и клиент обычно узнаёт об этом последним.

В этом и заключается — в самом конкретном виде — весь довод в пользу отсутствия записи, а не её удаления. Запись, которая никогда не создавалась, невозможно сохранить, невозможно заморозить и невозможно предоставить девяносто дней спустя, даже если провайдер передумает. Это различие подробно разбирается в руководстве о том, что на самом деле означает «без логов», а список того, что здесь никогда не создаётся, опубликован как часть политики приватности и журналирования, а не как утверждение на странице с ценами.

Изъятие: что на самом деле даёт захват машины

Изъятие — это сценарий, который представляют себе все и почти никто не продумывает до конца. Это ещё и тот случай, когда исход меньше всего зависит от провайдера и больше всего — от решений, которые клиент принял на несколько месяцев раньше, при установке, примерно за час работы.

Просмотрите последний столбец сверху вниз — и один пункт фактически повторяется дважды: ключ, которого никогда не было в здании. Любой другой механизм контроля на этой странице — правовой, процедурный или договорной, а значит, каждый из них зависит от того, что кто-то продолжит вести себя так, как обещал. Шифрование — нет. Оператор гипервизора может скопировать диск гостевой системы, которую он обслуживает — провайдер, утверждающий обратное, не понимает собственную инфраструктуру — и то, что он копирует, либо читаемо, либо представляет собой шум.

Инструкция — в базе знаний: полное шифрование диска внутри гостевой системы, разблокируемое по SSH при загрузке, так что ключ приходит от вас каждый раз при старте машины и больше нигде не хранится. Это та же рекомендация, что даёт руководство по хостингу без логов, повторённая намеренно, потому что это единственный совет на этой странице, чей эффект не зависит от чьего-либо добросовестного поведения — включая наше.

Запрет на разглашение и почему warrant canary — единственный ответ на него

Запрет на разглашение — не отдельный инструмент. Это условие, прикреплённое к другому инструменту и запрещающее провайдеру сообщать человеку, которого касается постановление, о самом его существовании. National Security Letter в США по умолчанию несут в себе такое условие; в нескольких юрисдикциях есть эквиваленты, и суть всех их в том, что пятый этап, описанный выше — уведомление клиента — устраняется, а узнать, что так и произошло, у вас нет никакой возможности.

Warrant canary — единственный доступный ответ, и работает он, переворачивая проблему с ног на голову. Провайдеру можно запретить сделать заявление. Но принудить его и дальше повторять заявление, ставшее ложным, — гораздо труднее. Поэтому заявление публикуется по расписанию, и его отсутствие несёт в себе тот смысл, который его присутствие нести больше не может.

Большинство canary на этом рынке — просто украшение. Шесть признаков отличают такой, который что-то значит, от абзаца на странице «о нас», и каждый из них можно проверить в браузере за пять минут.

1. Он подписан криптографически — ключом, опубликованным там, где вы можете найти его независимо. Неподписанный canary может отредактировать кто угодно, у кого есть доступ к редактированию сайта, включая того, кто этот сайт захватил.
2. Он ссылается на что-то свежее и непредсказуемое. Обычный выбор — высота и хеш блока Bitcoin: этого блока не существовало до того, как он был добыт, а значит, заявление не могло быть подписано за месяцы вперёд и просто ждать своего часа.
3. Он называет период, срок обновления и срок истечения. Canary без расписания не может пропасть, потому что для него ничего не должно было наступить к сроку. Расписание — это и есть весь механизм.
4. Он перечисляет конкретные утверждения, а не ограничивается одним предложением. Единственная строка вида “мы не получали тайных постановлений” может обрушиться только целиком и сразу. Отдельные пункты рушатся по отдельности, и пункт, тихо исчезнувший из следующего подписания, — это сигнал, у которого есть форма.
5. Он охватывает каждое юрлицо. На инфраструктуре из нескольких компаний canary, говорящий только от имени одной из них, — это canary лишь о части той инфраструктуры, которую вы покупаете.
6. Предыдущие подписания остаются опубликованными. Удалённый пункт заметен только на фоне того, что он заменил собой, поэтому canary без архива требует от вас, чтобы вы следили за ним с самого начала.

Canary, опубликованный здесь, подписывается ежеквартально, ссылается на свежий блок, называет срок обновления и срок истечения, охватывает все восемь юрлиц и содержит семь отдельных утверждений: ни одного National Security Letter или аналога, ни одного постановления с запретом сообщать об этом клиенту, ни разу содержимое диска или базы данных не было передано никому, ни одного проспективного перехвата, ни одного изъятого или скопированного оборудования, ни одного случая принуждения к ослаблению криптографической защиты, и единоличный административный контроль над инфраструктурой. Сверьте его с шестью пунктами выше. Затем сверьте с теми же шестью пунктами любого другого, кого вы рассматриваете.

Что спросить у хостера перед покупкой

На каждый вопрос ниже есть ответ в виде документа — либо его нет вовсе. В этом и заключается проверка: важно не то, звучит ли ответ успокаивающе, а то, указывает ли он на что-то, записанное ещё до того, как вы спросили.

1. С каким юридическим лицом я заключаю договор и в каком публичном реестре оно зарегистрировано?
2. Что обо мне будет существовать после регистрации — в виде перечня со сроком хранения для каждой строки, а не в виде прилагательного.
3. Что никогда не создаётся? Этот список — единственная часть ответа, которую суд не может обратить вспять.
4. Сообщат ли мне, если запрос назовёт меня, и что должно произойти, чтобы мне не сообщили?
5. Сколько запросов вы получили, сколько из них соответствовали юридическому порогу и сколько вообще хоть что-то дали?
6. Учитываются ли экстренные раскрытия данных и публикуются ли они отдельной строкой?
7. Подписан ли ваш canary, свежий ли он, конкретный ли, и охватывает ли он каждое юрлицо, которым вы управляете?

Ничто из этого не делает кого-либо неприкосновенным, и страница, утверждающая обратное, была бы как раз тем, против чего существует эта страница. Всё, что это делает, — переносит вопрос из плоскости доверия в плоскость перечня. Хостер, который может предоставить немногое, предоставит немногое — что бы он сам о себе ни думал в то утро, когда придёт письмо.

Вопросы, которые задают на самом деле

Каждая цена в этом хозяйстве опубликована полностью и в одном месте. Смотреть весь каталог