Warrant canary।
एक वक्तव्य जिसकी अनुपस्थिति बोलती है। जब कुछ नहीं हुआ हो तब प्रकाशित, और जब ऑपरेटर ऐसा अब नहीं कह सकता तो हटा दिया जाता है।
एक नियमित रूप से प्रकाशित वक्तव्य जो यह दावा करता है कि प्रकाशक को उस तारीख तक कोई गुप्त कानूनी मांग — gag orders, National Security Letters, sealed warrants — प्राप्त नहीं हुई है। जब यह वक्तव्य गायब हो जाता है या अपडेट होना बंद हो जाता है, तो उसकी अनुपस्थिति ही संकेत है: अधिकांश न्यायक्षेत्रों में जबरन झूठ बोलना अवैध है, लेकिन जबरन चुप रहना नहीं।
वह संकेत जो हम प्रकाशित करते हैं जब तक कर सकते हैं।
एक privacy-first होस्ट जो आपसे अपनी बात पर यकीन करने को कहे, वह पहले ही बहस हार चुका है। एक निश्चित पैमाने से ऊपर हर infrastructure ऑपरेटर को, जल्दी या देर से, किसी न किसी रूप में compelled-disclosure अनुरोध मिलेगा — एक subpoena, एक preservation order, एक national-security letter — और गैग के तहत ऑपरेटर, परिभाषा के अनुसार, आपको बताने में असमर्थ है। warrant canary इसका समाधान है: हम एक निश्चित कार्यक्रम पर एक सकारात्मक बयान प्रकाशित करते हैं जिसमें कहते हैं कि ऐसा कुछ नहीं हुआ, और हम इसे तब तक प्रकाशित करते रहते हैं जब तक हम नहीं कर सकते।
NordBastion का canary /warrant-canary/ पर रहता है और हर महीने के पहले कार्यदिवस पर फिर से जारी किया जाता है, जिस पर NordBastion OÜ के दो नामित निदेशक अपनी निजी PGP कुंजियों से सह-हस्ताक्षर करते हैं। हस्ताक्षरित पाठ में सबसे हालिया Bitcoin block hash शामिल होता है, जो पहले से हस्ताक्षर कर लेने वाले साधारण हमले को नाकाम कर देता है — यह सिद्ध किया जा सकता है कि बयान पर उस block के mine होने से पहले हस्ताक्षर हुए ही नहीं हो सकते। पिछले महीने पेज पर अनिश्चित काल तक रखे जाते हैं; कुछ भी कभी चुपचाप हटाया नहीं जाता।
अगर canary अपनी निर्धारित तारीख़ के सात दिनों के भीतर प्रकट नहीं होता, या PGP हस्ताक्षर सत्यापित होना बंद हो जाता है, तो उचित प्रतिक्रिया आपके threat model पर निर्भर करती है। हम ग़ायब canary की व्याख्या नहीं करेंगे — यही तो पूरी बात है। लेकिन हम कभी झूठा canary भी प्रकाशित नहीं करेंगे।
पूरे NordBastion पर canary का अनुसरण करें।
- · /warrant-canary/ — canary स्वयं, सभी पिछले महीनों और PGP हस्ताक्षरों के साथ।
- · /transparency/ — 12 महीने की rolling पारदर्शिता रिपोर्ट, उन समग्र संख्याओं के साथ जो canary नहीं देता।
- · /doctrine/ — वे परिचालन सिद्धांत जिन्होंने canary को सबसे पहले प्रकाशन कार्यक्रम में रखा।
- · /pgp/ — हर canary पर हस्ताक्षर के लिए इस्तेमाल होने वाले दोनों निदेशकों के PGP fingerprint, साथ ही स्थानीय रूप से सत्यापित करने के निर्देश।
- · / — होमपेज पारदर्शिता पट्टी से नवीनतम canary का लिंक देता है।
canary के बारे में आपके सारे सवाल, यहाँ जवाब सहित।
क्या canary का ग़ायब होना क़ानूनी रूप से अर्थपूर्ण है?
अधिकांश common-law न्यायक्षेत्रों में, हाँ — हालाँकि अर्थ अप्रत्यक्ष है। एक gag order किसी संचालक को किसी विशेष माँग के बारे में चुप रहने के लिए बाध्य कर सकता है, लेकिन आम तौर पर उसे झूठा खंडन प्रकाशित करके सक्रिय रूप से झूठ बोलने के लिए बाध्य नहीं कर सकता। इसलिए जो संचालक प्रकाशन बंद कर देता है — या पहले प्रकाशित canary हटा देता है — वह gag का उल्लंघन नहीं कर रहा, लेकिन पाठक स्पष्ट निष्कर्ष निकालने के लिए स्वतंत्र हैं। कुछ न्यायक्षेत्रों (ख़ास तौर पर कुछ राष्ट्रीय-सुरक्षा माँगों के लिए फ़्रांस) का case law अस्पष्ट है; NordBastion ठीक उन्हीं धूसर क्षेत्रों से बचने के लिए एस्टोनिया से प्रकाशित करता है।
canary पर कौन हस्ताक्षर करता है?
NordBastion OÜ के दो नामित निदेशक अपनी निजी PGP कुंजियों से मासिक canary पर सह-हस्ताक्षर करते हैं। fingerprint /pgp/ में pin किए गए हैं, और हस्ताक्षरित बयान किसी तीसरे पक्ष के Git repository पर mirror किया जाता है ताकि कोई भी सत्यापित कर सके कि प्रकाशन के बाद फ़ाइल चुपचाप संपादित नहीं की गई। इसे स्थानीय रूप से सत्यापित करना दो कमांड का काम है: gpg --verify और Git tag के मुक़ाबले एक sha256sum तुलना।
यह कितनी बार अपडेट होता है?
महीने में एक बार, पहले कार्यदिवस पर, हस्ताक्षरित पाठ के भीतर पिछले Bitcoin block hash के संदर्भ के साथ। block hash को शामिल करना साबित करता है कि बयान पर पहले से हस्ताक्षर नहीं किए जा सकते थे — उस पर उस block के mine होने के बाद ही हस्ताक्षर हुए होंगे, इसलिए तारीख़ क्रिप्टोग्राफ़िक रूप से तय हो जाती है। पिछले canary /warrant-canary/ पर अनिश्चित काल तक रहते हैं; कुछ भी कभी चुपचाप हटाया नहीं जाता।
व्यवहार में चुप्पी का क्या मतलब है?
अगर मासिक canary अपनी निर्धारित तारीख़ के सात दिनों के भीतर प्रकट नहीं होता, या पेज हटा दिया जाता है, या PGP हस्ताक्षर सत्यापित होना बंद हो जाता है, तो इसे इस संकेत के रूप में लें कि कुछ महत्वपूर्ण बदल गया है — सबसे संभावित रूप से कोई क़ानूनी माँग जिसका वर्णन करने से निदेशकों को रोका गया है। उचित प्रतिक्रिया आपके threat model पर निर्भर करती है: किसी नए होस्ट पर चले जाएँ, कुंजियाँ migrate करें, या बस सार्वजनिक रिकॉर्ड के लिए तारीख़ नोट कर लें। NordBastion ग़ायब canary की व्याख्या कभी नहीं करेगा, जान-बूझकर।
