Vad är en Warrant Canary? Vad du ska veta och varför du bör se upp

Företag samlar in data om vad du tycker och gör, men de är inte de enda som är intresserade av denna information. De brottsbekämpande myndigheterna vill ibland ha tillgång, och när de gör det kan de tvinga företag att lämna ut det. Vissa kan till och med göra att dessa företag svär till hemlighet om hela affären.

Många företag gillar inte detta, så de har antagit en taktik som kallas "garantera kanariefåglar" för att varna oss om vad som händer.

Vad är en Warrant Canary?

Tänk: "kanariefågel i en kolgruva."

Kanariefåglar användes en gång i kolgruvor som ett system för detektering av giftig gas. Kanarieöarna skulle visa tecken på sjukdom förr än människor när kolmonoxidnivån började stiga. På detta sätt fungerade fåglarna som ett tidigt varningssystem.

Warrantkanarier varnar dig om att det finns en garanti (eller snarare att det inte finns någon garanti). Säg att ett företag skapar en dedikerad webbsida som säger att det aldrig har fått en garanti för kunddata. Den här sidan är teckningsoptionen. Om det går ner, eller om ordalydelsen ändras, kan du dra slutsatsen att företaget har fått en order.

Är Warrant Canaries pålitliga?

Kort svar: Nej!

En teckningsoption erbjuder inte definitiv information om att en teckningsoption har utfärdats. När ett uttalande försvinner från en webbplats är det mest vi kan göra att spekulera.

5 huvudfrågor med garanterade kanariefåglar

1. Ibland försvinner kanariefärger bara för att dyka upp några dagar senare.
2. Ibland förändras språket subtilt, vilket ger oss fler skäl att spekulera men ännu mindre säkerhet.
3. Vissa kanariefåglar får uppdateringar dagligen medan andra är upplagda och förblir oförändrade, kanske till och med glömda.
4. Det finns ingen konsistens mellan tullgarantier. Vissa visas i HTML på webbsidor, medan andra finns i nedladdningsbara PDF-rapporter eller indikeras av en bild. Vissa webbplatser går igenom ansträngningen att underteckna dem med GnuPG.
5. Allt detta inkonsekvent gör att det kan vara svårt att övervaka kanarier.

För mer om frågorna kring tullgarantier, ta en titt på Electronic Frontier Foundation: s Canary Watch-rapport.

Exempel på Warrant Canaries

Här är några sätt som företag hittills har använt teckningsoptioner.

1. Apples "Warrant Canary"

Apple publicerar en öppenhetsrapport två gånger per år, som beskriver hur ofta företaget följer begäran om lagstiftning om data. Du kan visa Apples transparensrapporter på sin webbplats.

Den första rapporten 2013 innehöll en rad som olika försäljningsställen rapporterade som en kanariegaranti. Här är texten:

”Apple har aldrig fått en beställning enligt avsnitt 215 i USA: s patriotlag. Vi förväntar oss att utmana en sådan beställning om den serveras på oss. ”

215 § i USA Patriot Act tillåter underrättelsebyråer att samla in många typer av poster och tvinga individer eller företag att inte tala om saken.

Den ovannämnda raden fanns ingenstans i nästa rapport. Istället fanns det detta:

"Hittills har Apple inte fått några beställningar på bulkdata."

Vissa observatörer tog denna förändring som bevis för att Apple sedan dess hade fått en hemlig begäran om data och nu var föremål för en gag order. Men det är också möjligt att en författare eller en advokat helt enkelt omformulerade passagen, antingen för tydlighet eller för att göra Apples ord mer försvarbara i domstol. Vi vet helt enkelt inte om detta till och med var en kanariefågel.

Den ursprungliga linjen har förblivit saknad från alla efterföljande rapporter.

2. NordVPN: s Warrant Canary

NordVPN är en VPN-leverantör som sätter en garanti kanarie på dess Om oss-sida. Här är en skärmdump av vad du för närvarande ser om du bläddrar ner till botten med datumet uppdaterat.

Men det finns några detaljer att tänka på här, som företaget utarbetade när de först tillkännagav sin teckningsoption. NordVPN är baserat i Panama, inte USA, så det omfattas inte av US Patriot Act. USA är inte det enda landet med sådana lagar, men som NordVPN säger kräver Panama inte lagring av data eller tillåter gagorder.

Ändå om du har spårat företagets garantikana kan du ha märkt att sidan Om oss inte var dess ursprungliga hem. I det ursprungliga tillkännagivandet, ärgarantin hade sin egen URL, som nu omdirigerar.

3. Purismens Warrant Canary

Purism gör datorer med betoning på fri programvara och integritet. För att uppnå transparens har företaget en hel webbsida som fungerar som en garantikanarie. Sidans titel, webbadressen och sidbeskrivningen anger uttryckligen vad en kanariefaktor är och sidans syfte.

”Denna sida är för att informera användare om att Purism inte har serverats med en hemlig regeringsstämning i någon av dess hårdvara, programvara eller tjänster. Om en garantikanarie inte har uppdaterats under den tidsperiod som angivits av purismen, ska användarna anta att purismen verkligen har serverats med en hemlig stämning. Avsikten är att låta purismen varna användare för att det finns en stämning passivt utan att avslöja till andra att regeringen har sökt eller fått tillgång till information eller register under en hemlighet stämning. Warrant kanariefåglar har befunnits vara lagliga av USA: s justitiedepartement, så länge de är passiva i sina anmälningar. ”

Även med så tydliga och transparenta avsikter finns det fortfarande utrymme för gissningar. När den 1 oktober 2019 kom och gick, tog någon till Purismforum att fråga om den saknade uppdateringen av kanariefilen. De fick en länk warrants kanarie källkod på GitLab, som hade uppdaterats i tid och ännu inte synkroniserats till webbplatsen. Detta visar det även när det finns en hög grad av öppenhet, garanterar fortfarande kanariefågor det lätt att hoppa till slutsatser.

Du kan bara inte lita på Warrant Canaries

Warrant Kanarieöarna kan härröra från en allvarlig önskan att informera användare om deras data. Men medan vissa implementeringar är bättre än andra, en kanariefärde ensam ger inte ett definitivt bevis på en stämning.

Om du vill se hur mycket förvirring som kan orsakas av en kanariefågel, kolla in kommentartråden som följde efter en ändring av SpiderOaks garantikanarie. Du är också välkommen att dela med dig av dina egna upplevelser.