Zijn Warrant Canaries nuttig?

De publieke bezorgdheid over massale overheidstoezicht op internet is toegenomen sinds Edward Snowden de ongelooflijke omvang en reikwijdte van de spionageactiviteiten van de NSA aan de wereld heeft blootgelegd. Het is sindsdien populair geworden bij internetdiensten die gevoelige gegevens verwerken, of die bedoeld zijn om de privacy van gebruikers (zoals VPN-diensten) te beschermen, om kanarie-kanaries uit te geven. Deze zijn bedoeld om klanten gerust te stellen dat de service niet is gecompromitteerd door de overheid en een gag-bestelling heeft opgeleverd.

In de Verenigde Staten kan elk bedrijf een geheime dagvaarding of nationale veiligheidsbrief (NSA) krijgen. Dit dwingt hen om alle gegevens met betrekking tot een genoemde klant te overhandigen, of zelfs om te voldoen aan een algemene bestelling om informatie over alle klanten te overhandigen. Het bedrijf kan ook worden verplicht om logboeken bij te houden van de nieuwe activiteit van gebruikers, zelfs als dit anders niet zou gebeuren.

Dergelijke dagvaardingen of NSL's gaan meestal vergezeld van een gag-opdracht, waardoor het bedrijf (of een van zijn medewerkers), onder bedreiging van ernstige juridische gevolgen (zoals de gevangenisstraf), het bestaan ​​van de dagvaarding of NSL niet aan zijn klanten kan onthullen. De meeste andere landen hebben vergelijkbare wetten.

Misschien is het meest beruchte geval met zo'n gag-orde dat van Lavabit. In 2013 werd dit beveiligde webmailbedrijf gedagvaard (met gag-bestelling) om de SSL-privésleutels van alle 400.000+ klanten aan de NSA te overhandigen om Edward Snowden te bespioneren (die werd verondersteld de service te hebben gebruikt).

Eigenaar Levi Levinson koos ervoor niet te voldoen en sloot onmiddellijk zijn bedrijf om de privacy van zijn gebruikers te beschermen. Hij werd later veroordeeld voor minachting van de rechtbank.

Wat zijn gerechtvaardigde kanaries?

Een warrantkanarie is een regelmatig bijgewerkte verklaring van een bedrijf dat het niet is gecompromitteerd en een gag-bestelling heeft geserveerd. Als een kanarie niet regelmatig wordt bijgewerkt (meestal volgens een vast schema), moeten gebruikers ervan uitgaan dat de service is gecompromitteerd.

VPN-outfit iPredator publiceert bijvoorbeeld een kanarie "ten minste elk kwartaal", waarin staat dat,

"IPredator heeft geen nationale veiligheidsbrieven of FISA-gerechtelijke bevelen ontvangen of is het zwijgen opgelegd door soortgelijke (il) juridische en antidemocratische rechtsinstrumenten."

Deze verklaring is ondertekend met een PGP-sleutel die bedoeld is om de authenticiteit ervan te verifiëren.

Warrantkanaries werken vanuit het idee dat een overheid een persoon legaal tot zwijgen kan brengen, maar dat het hen niet kan dwingen om een ​​leugen te vertellen (d.w.z. om de warrantkanaris vals te updaten). In de VS wordt beweerd dat het Eerste Amendement beschermt tegen dwingende spraak. Zoals de Electronic Frontier Foundation (EFF) opmerkt,

"Hoewel de overheid misschien in staat is om stilte af te dwingen door een gag-bevel, is ze misschien niet in staat om een ​​ISP te dwingen te liegen door ten onrechte te verklaren dat het geen juridisch proces heeft ontvangen, terwijl dit in feite wel het geval is."

Het idee van warrantkanaries is verdedigd door het EFF, dat Canary Watch exploiteert, een website die is gewijd aan het controleren of bedrijven hun warrantkanaries laten vervallen.

Kan een kanarie worden vertrouwd?

Op het eerste gezicht klinken kanarie-kanaries als een goed idee. Velen zijn er echter niet van overtuigd dat kanarie-kanaries weinig meer zijn dan bladerdeeg en rookreclame met weinig tot geen echte inhoud.

1. Eerste amendementbescherming voor het gebruik van warrantkanaries is louter conjectureel - het is nooit getest in een rechtbank. Het is heel goed mogelijk dat een Amerikaanse rechtbank oordeelt dat het niet bijwerken van een kanarie een minachting vormt voor de wettelijke eis die aan een persoon wordt gesteld.

Dit geldt zelfs nog meer buiten de VS, waar mensen niet genieten van de expliciete grondwettelijke rechten die aan Amerikaanse burgers worden verleend. Australië is het eerste land dat het gebruik van kanarie-kanalen expliciet verbiedt, en andere landen (zoals het VK) zullen waarschijnlijk snel volgen.

2. Een website kan gemakkelijk door een overheid worden overgenomen en er worden valse updates gegeven. Het beveiligen van een warrantkanarie met een PGP-sleutel is bedoeld om hiertegen te beschermen, maar a) hoeveel mensen controleren deze PGP-sleutels eigenlijk? En b) als een bedrijfseigenaar kan worden gedwongen om zijn of haar service in gevaar te brengen, kunnen ze ook worden gedwongen (of omgekocht) om hun PGP-sleutels te overhandigen.

Zoals Brett Max Kaufman, een advocaat van de American Civil Liberties Union, de BBC vertelde,

“Als de overheid een bedrijf zou vragen om zijn kanarie op te geven (en daarom iets vals aan het publiek mee te delen), zou het bedrijf het recht hebben om elke gag aan te vechten (onder het eerste amendement ... of onder bepaalde bepalingen van de USA Freedom Act) voor de rechtbank. Maar als een rechtbank het verzoek van de regering zou inwilligen ... zou het publiek, althans voor enige tijd, niet wijzer zijn. Dat zou inderdaad het hele doel zijn vanuit het perspectief van de overheid."

Een persoon die snel genoeg was, zou alle kopieën van zijn PGP-sleutel (die op verschillende plaatsen worden opgeslagen zodat deze kan worden geverifieerd) kunnen vernietigen voordat hij deze moet overhandigen. Dit zou een waarnemer met arendsogen in staat stellen de ontbrekende handtekening op te merken als het bedrijf gedwongen wordt zijn kanarie te blijven updaten. Klanten kunnen echter nog steeds niet weten of een sleutel niet is vernietigd.

Het beveiligde webopslagbedrijf SpiderOak doet een moedige poging om dit probleem aan te pakken door zijn kanarie digitaal te laten ondertekenen door 3 verschillende hooggeplaatste personen binnen het bedrijf (die vermoedelijk op verschillende geografische locaties zijn gevestigd). Dit zou zeker alle ondertekenaars (of omkoping) moeilijker (of duur) maken, maar biedt geen gietijzeren garanties dat dit het geval is en dat ze allemaal te vertrouwen zijn.

3. Zelfs wanneer kanarie-kanaries worden "geactiveerd" (d.w.z. dat ze niet tijdig worden bijgewerkt), wordt dit vaak genegeerd. Een goed voorbeeld is Apple, dat in 2014 zijn kanarie uit zijn laatste transparantieverslag heeft verwijderd. Desondanks werd algemeen beweerd dat de verwijdering waarschijnlijk niet betekende dat Apple op geheime overheidsopdrachten gedwongen was om gegevens over te dragen. Dit kan wel of niet waar zijn, maar hoe dan ook, het incident werd snel vergeten en klanten bleven Apple vertrouwen zoals gewoonlijk.

Een ander voorbeeld is de ontbrekende kanarie in het transparantierapport 2015 van Reddit. Ondanks enige aanvankelijke bezorgdheid bij een klein onderdeel van Redditors, zijn de activiteiten op de Reddit-forums sindsdien ook gewoon doorgegaan.

Wat is dan het punt van het hebben van een kanarie, als het verdwijnen ervan geen alarm veroorzaakt!?

Conclusie

Warrantkanaries zijn een gebrekkig idee dat vooral dient als promotiepluis voor bedrijven die hun privacyvriendelijke referenties willen tonen.

Het feit dat zelfs wanneer kanarie-kanaries worden geactiveerd, dit routinematig wordt genegeerd (vermoedelijk omdat acteren op de trigger ongemakkelijk is voor gebruikers) dient alleen maar om verder te ondermijnen wat weinig vertrouwen we kunnen hebben in een dergelijke maatregel.

Brayan Jackson
Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me