Запити правоохоронних органівВимога — це кореспонденція, доки суд, який має юрисдикцію, не скаже інакше.

П'ятьма різними речами називають “запит поліції”

Ця фраза охоплює п'ять інструментів, у яких немає майже нічого спільного, крім офіційного бланка, і саме плутанина між ними змушує читача боятися нешкідливого інструмента й заспокоюватися щодо небезпечного. Вони різняться тим, хто їх видає, що вони дозволяють вимагати, і чи був у цьому колись задіяний суддя.

Лише останні два — це накази в тому сенсі, який має на увазі ця фраза. Перші три — запити, а на запит відповідають рішенням, а не зобов'язанням. Варто на цьому зупинитися: три з п'яти ніколи не доходять до судді, і саме про ці три майже ніхто не запитує потенційний хостинг.

П'ять етапів, які проходить вимога

Добре організований провайдер проводить кожну вимогу через одну й ту саму послідовність дій незалежно від того, хто її надіслав, і цю послідовність варто знати, бо Ви можете попросити будь-який хостинг описати свою. Хостинг, який ніколи не записав її на папері, — це хостинг, що імпровізує під тиском.

1. Вона надходить, зазвичай не до тієї компанії. Структура, розкидана по кількох країнах, — це кілька компаній, і документи, вручені одній з них, зобов'язують лише її. Це найпоширеніша причина, чому вимога не дає результату, і уникнути цього повністю у владі відправника.
2. Юридичну особу встановлюють. Яка компанія керує регіоном, у якому реєстрі вона зареєстрована, і чи має суд, що видав наказ, над нею взагалі якусь владу. Іноземний наказ ніде у світі не виконується автоматично.
3. Його читає юрист у відповідній юрисдикції. Не служба підтримки, і не засновник опівночі. Питання про дійсність і межі застосування — юридичне питання з місцевою відповіддю, а відповідь на недійсну вимогу — це лист із письмовим поясненням чому.
4. Те, що запитують, звіряють із тим, що існує. Саме тут тихо гине більшість вимог. Наказ щодо категорії, якої немає в схемі даних, породжує лист, а не файл, і жодний тиск не перетворить одне на інше.
5. Клієнта повідомляють. Перш ніж щось буде надано, якщо тільки наказ прямо цього не забороняє. Це той етап, який більшість провайдерів повністю випускають зі свого процесу, і єдиний, що дає Вам змогу хоч якось діяти.

Опублікована версія цієї послідовності для нашої структури — у посібнику для правоохоронних органів, написаному для юриста, що вручає наказ, а не для клієнта, який про це читає. Його варто відкрити з причини, що не має жодного стосунку до нас: це і є форма документа, який варто шукати в будь-якого хостингу, а в більшості його просто немає.

Арифметика звіту про прозорість

Майже кожен звіт про прозорість починається із загальної кількості отриманого — це найменш інформативне число в ньому. Обсяг вимірює лише те, наскільки провайдер помітний. Насправді Вам потрібне співвідношення між тим, що надійшло, і тим, що вийшло назовні, бо саме воно показує, скільки провайдер насправді утримував.

Застосуйте цю арифметику до будь-якого хостингу, який публікує достатньо даних, щоб це дозволити. Високе співвідношення наданого до отриманого не є доказом готовності співпрацювати, а низьке не є доказом мужності — обидва здебільшого свідчать про те, що саме зберігається. Провайдер, який тримає документи, що посвідчують особу, та річну історію адрес входу в систему, надаватиме бодай щось майже щоразу, хоч би що він сам про це думав. Повний щоквартальний ряд даних у звіті про прозорість.

Чому все вирішує юридична особа, з якою Ви уклали договір

Судове рішення можна примусово виконати проти особи чи компанії, і то в конкретному місці. Саме по собі воно нікуди не подорожує. Щоб іноземний наказ зобов'язав компанію за кордоном, його має визнати суд у країні, де ця компанія зареєстрована, — через взаємну правову допомогу або місцеву процедуру визнання — шлях формальний, повільний, підконтрольний перевірці, і його можна відхилити з підстав, які орган, що звернувся із запитом, не контролює.

Це звичайне міжнародне приватне право, а не якийсь хитрий трюк, і саме в цьому весь механічний зміст слова офшор. Це також причина, чому корпоративна структура важливіша за карту: вісім юрисдикцій під керуванням однієї компанії — це одна юридична мішень із вісьмома адресами, і рішення проти неї сягає кожної машини, якою вона володіє. Вісім окремих компаній — це вісім окремих проваджень, кожне з яких починається з нуля. Яку структуру використовує хостинг, зазначено на сторінці його умов, а посібник про вибір юрисдикції пояснює, що ще змінюється між ними.

• Запитайте, яка компанія, а не яка країна. Країна вказана на маркетинговій сторінці. Саме назву компанії та її реєстраційний номер повинен зазначити наказ, а на хостинг, який не скаже Вам цього, не можна покладатися, що він взагалі щось із цього має.
• Запитайте, де вона зареєстрована. Названу юридичну особу в публічному реєстрі можна перевірити приблизно за дві хвилини, і це нічого не коштує. Вісім таких осіб, у восьми реєстрах, перелічені тут саме з цієї причини.
• Запитайте, що відбувається із запитом до не тієї юридичної особи. Чесна відповідь — на нього письмово відповідають саме так. Викривальна відповідь — його все одно люб'язно опрацьовують.

Терміновий канал розкриття даних, за яким ніхто не стежить

У кожній великій правовій системі є канал, що повністю оминає суд. У Сполучених Штатах це 18 U.S.C. §2702(b)(8), який дозволяє провайдеру розкрити дані добровільно, якщо він добросовісно вважає, що цього вимагає надзвичайна ситуація з небезпекою смерті або тяжкого тілесного ушкодження. У більшості інших юрисдикцій є еквівалент. Тут немає ні судді, ні ордера, ні протилежної сторони: провайдер вирішує сам, за лічені години.

Він існує з поважних причин, а зловживають ним із очевидних. Запити, підроблені зі зламаних поштових акаунтів правоохоронних органів, використовували для отримання даних абонентів у деяких із найбільших платформ світу, бо весь цей канал тримається на правдоподібному бланку та провайдері, який не хоче виявитися тим, хто вагався. Сорок таких запитів надійшло до цієї структури.

Захист полягає не у відмові від цієї категорії запитів — це було б невиправданим саме у випадку, заради якого канал і існує. Захист у тому, щоб мати майже нічого, що можна добровільно надати, розглядати кожен запит як людину, а не як чергу, щоразу повідомляти клієнта згодом і публічно рахувати такі запити окремим рядком. Виняток, який ніхто не рахує, перестає бути винятком і стає дверима.

Збереження даних: вимога, що зупиняє годинник

Вимога збереження даних не просить нічого передавати. Вона вимагає, щоб записи, які існують просто зараз, перестали видалятися, — щоб вони все ще існували, коли за кілька тижнів надійде наказ про їх надання. У Сполучених Штатах вона діє за 18 U.S.C. §2703(f) протягом 90 днів, з можливістю одноразового продовження, і не потребує судді для видання. Шістдесят шість таких вимог надійшло сюди.

Це найтихіший інструмент на цій сторінці і водночас найповчальніший, бо це саме те, чого не витримує жодна політика зберігання даних. Таймер — це обіцянка знищити дані за розкладом; вимога збереження — це вказівка припинити виконувати цю обіцянку, що набуває чинності тієї ж миті, коли надходить. Усе, що вже записано, заморожується з цієї секунди, і клієнт зазвичай дізнається про це останнім.

Ось і весь аргумент на користь відсутності даних, а не їх видалення, викладений конкретно. Запис, який ніколи не створювався, не можна ні зберегти, ні заморозити, ні надати через дев'яносто днів, навіть якщо провайдер передумає. Ця різниця детально розкрита в посібнику що насправді означає відсутність журналів, а перелік того, що тут ніколи не створюється, опубліковано як частина політики приватності та журналювання, а не як твердження на сторінці цін.

Вилучення: що насправді отримують, забравши машину

Вилучення — це сценарій, який усі уявляють і майже ніхто не продумує до кінця. Це також той випадок, коли результат найменше залежить від провайдера і найбільше — від рішень, які клієнт ухвалив за кілька місяців до того, під час встановлення системи, приблизно за годину роботи.

Прогляньте останню колонку — і один пункт фактично повторюється двічі: ключ, якого ніколи не було в приміщенні. Кожен інший засіб контролю на цій сторінці — юридичний, процедурний або договірний, а це означає, що кожен інший засіб контролю залежить від того, чи продовжить хтось поводитися так, як обіцяв. Шифрування — ні. Оператор гіпервізора може скопіювати диск гостьової системи, яку він запускає — провайдер, що стверджує протилежне, не розуміє власну інфраструктуру — і те, що він копіює, або читається, або є шумом.

Покрокова інструкція є в базі знань: повне шифрування диска всередині гостьової системи, розблоковане через SSH під час завантаження, тож ключ щоразу надходить від Вас у момент запуску машини і більше ніде не зберігається. Це та сама рекомендація, що й у посібнику про відсутність журналів, повторена навмисно, бо це єдина порада на цій сторінці, дія якої не залежить від чиєїсь доброї поведінки, включно з нашою.

Заборона розголошення, і чому canary — єдина відповідь на неї

Заборона розголошення — не окремий інструмент. Це пункт, доданий до іншого інструмента, який забороняє провайдеру повідомляти особу, якої стосується наказ, про сам факт його існування. National Security Letters у Сполучених Штатах містять таку заборону за замовчуванням; в кількох юрисдикціях є еквіваленти, і суть усіх них у тому, що п'ятий етап, описаний вище, — повідомлення клієнта — вилучається, і у Вас немає способу дізнатися, що це сталося.

Warrant canary — це єдина доступна відповідь, і він працює, перевертаючи саму проблему. Провайдеру можна заборонити робити заяву. Але значно важче примусити його й далі повторювати заяву, яка стала неправдивою. Тому твердження публікують за розкладом, і його відсутність несе те значення, яке його присутність нести вже не може.

Більшість canary на цьому ринку — це просто прикраса. Шість речей відрізняють canary, який щось означає, від абзацу на сторінці про нас, і кожну з цих шести речей можна перевірити в браузері за п'ять хвилин.

1. Він криптографічно підписаний ключем, опублікованим там, де Ви можете знайти його незалежно. Непідписаний canary може відредагувати будь-хто, хто може редагувати сайт, включно з будь-ким, хто цей сайт захопив.
2. Він посилається на щось нещодавнє й непередбачуване. Зазвичай для цього обирають номер і хеш блока Bitcoin: цей блок не існував до того, як його видобули, тож заяву не могли підписати за кілька місяців наперед і просто відкласти.
3. Він зазначає період, дату оновлення та дату спливання. Canary без розкладу не може «зникнути», бо нічого й не було заплановано. Розклад — це весь механізм.
4. Він перелічує конкретні твердження, а не обмежується одним реченням. Один рядок на кшталт “ми не отримували жодних таємних наказів” може відмовити лише весь одразу. Окремі пункти відмовляють окремо, і пункт, тихо вилучений із наступного підписання, — це сигнал, що має форму.
5. Він охоплює кожну юридичну особу. У структурі з кількох компаній canary, який говорить лише від імені однієї з них, — це canary лише про частину інфраструктури, яку Ви купуєте.
6. Попередні підписання й далі залишаються опублікованими. Вилучений пункт помітний лише на тлі того, що він замінив, тож canary без архіву фактично вимагає, щоб Ви уважно стежили за ним весь час.

Canary, опублікований тут, підписується щоквартально, посилається на нещодавній блок, зазначає дату оновлення та дату спливання, охоплює всі вісім юридичних осіб і містить сім окремих тверджень: жодного National Security Letter чи еквівалента, жодного наказу із забороною повідомляти клієнта, жодного вмісту диска чи бази даних, коли-небудь переданого будь-кому, жодного перехоплення на майбутнє, жодного вилученого чи скопійованого як образ обладнання, жодного примусового послаблення криптографічного захисту, і одноосібний адміністративний контроль над інфраструктурою. Звірте його із шістьма пунктами вище. А тоді звірте так само будь-кого іншого, кого Ви розглядаєте.

Що запитати в хостингу перед покупкою

На кожне запитання нижче відповіддю є або документ, або його відсутність. У цьому й полягає перевірка: не в тому, чи звучить відповідь заспокійливо, а в тому, чи вказує вона на щось, записане ще до того, як Ви запитали.

1. З якою юридичною особою я укладаю договір, і в якому публічному реєстрі вона зареєстрована?
2. Що існує про мене після реєстрації — у вигляді переліку зі строком зберігання навпроти кожного рядка, а не у вигляді прикметника.
3. Що ніколи не створюється? Цей перелік — єдина частина відповіді, яку суд не може скасувати.
4. Чи повідомлять мене, якщо запит стосуватиметься мене, і що мало б бути правдою, щоб Ви не сказали мені про це?
5. Скільки запитів Ви отримали, скільки з них відповідали юридичним вимогам, і скільки дали хоч якийсь результат?
6. Чи рахують і публікують термінові розкриття даних окремим рядком?
7. Чи Ваш canary підписаний, актуальний, конкретний, і чи охоплює він кожну юридичну особу, якою Ви керуєте?

Ніщо з цього не робить когось недоторканним, і сторінка, яка стверджувала б протилежне, була б саме тією сторінкою, з якою ця сторінка й покликана сперечатися. Натомість це переносить питання з довіри в площину переліку. Хостинг, який може надати мало, надасть мало — хоч би що він думав про себе того ранку, коли надійде лист.

Питання, які справді ставлять

Кожна ціна цієї інфраструктури повністю опублікована в одному місці. Переглянути весь каталог