Czym jest warrant canary i jak go zweryfikować przez GPG

Krótko: warrant canary to regularnie odnawiane, podpisane oświadczenie, w którym usługa stwierdza, że nie otrzymała określonych tajnych żądań prawnych, takich jak wezwania objęte zakazem ujawniania (gag order) czy national security letters. Jeśli oświadczenie przestaje być odnawiane albo zmienia się jego treść, czytelnicy traktują to milczenie jako ostrzeżenie. Weryfikujesz je, sprawdzając podpis PGP z odciskiem klucza wydawcy i potwierdzając, że data podpisu jest niedawna.

Ten artykuł omawia prawną ideę stojącą za canary, ich realne ograniczenia, to, co powinien zawierać dobry canary, oraz weryfikację krok po kroku przez GPG na przykładzie canary NoctisNode.

Jak działa warrant canary

Nazwa pochodzi od kanarków, które górnicy zabierali niegdyś pod ziemię: dopóki ptak żył, powietrze było bezpieczne. Warrant canary działa tak samo. Usługa publikuje datowane oświadczenie, np. „nie otrzymaliśmy żadnych tajnych nakazów sądowych ani zakazów ujawniania”, i odnawia je według stałego harmonogramu.

Idea prawna, która narodziła się głównie w Stanach Zjednoczonych, opiera się na rozróżnieniu: władze mogą zakazać firmie ujawnienia, że otrzymała tajny nakaz, ale zmuszenie firmy do opublikowania fałszywego oświadczenia to inne i trudniejsze żądanie. Jeśli firma po prostu przestanie odnawiać canary, niczego nie ujawniła, a mimo to czytelnicy mogą wyciągnąć własne wnioski z jego braku.

Ograniczenia warrant canary

Canary to użyteczny sygnał, a nie gwarancja. Pamiętaj o tych ograniczeniach, zanim zaczniesz na nim polegać.

• ▹Teoria prawna jest w dużej mierze niesprawdzona w sądach, a odpowiedź może różnić się między krajami.
• ▹Obejmuje tylko to, co wprost wymienia. Canary dotyczący tajnych nakazów nic nie mówi o zwykłych, jawnych żądaniach prawnych.
• ▹Przerwa jest niejednoznaczna: może oznaczać żądanie prawne albo po prostu to, że osoba odpowiedzialna była nieobecna lub popełniła błąd.
• ▹Nie powie Ci, czego żądano, kiedy ani których klientów to dotyczyło.
• ▹Nic nie mówi o tym, jakie dane istnieją. Łącz go z jasną polityką logowania; zobacz [VPS bez logów — wyjaśnienie](/blog/no-logs-vps-explained).
• ▹Jest tak wiarygodny jak klucz podpisujący i ludzie, którzy go przechowują.

Co zawiera dobry warrant canary

Warrant canary NoctisNode

NoctisNode publikuje podpisany PGP tekstowy canary pod `/canary.txt`, z publicznym kluczem podpisującym pod `/canary-pubkey.asc` i wyjaśnieniem na stronie warrant canary. Canary jest odnawiany ręcznie co miesiąc. Jeśli nie został odnowiony przez ponad 35 dni, traktuj to jako sygnał.

Odcisk klucza podpisującego to `3804 DA83 956F B4C1 1D87 36C3 129C E677 8F20 92E9`. Zawsze porównuj pełny odcisk, nigdy tylko ostatnie 8 lub 16 znaków.

Jak krok po kroku zweryfikować warrant canary

Te polecenia działają w Debianie 12/13 i Ubuntu 24.04. Jeśli brakuje narzędzi, najpierw zainstaluj je przez `sudo apt install gnupg curl`. Dla większej prywatności możesz pobrać pliki przez Tor poleceniem `torsocks curl` po zainstalowaniu pakietów `tor` i `torsocks`.

1. 01.Porównaj odcisk wypisany w krokach 2 i 4 z tym opublikowanym na stronie canary i w tym artykule. Jeśli różni się choć jeden znak, przerwij: masz zły klucz.
2. 02.W wyniku `gpg --verify` szukaj `Good signature from`. Linia `BAD signature` oznacza, że tekst został zmieniony lub plik jest uszkodzony, więc mu nie ufaj.
3. 03.Linia `WARNING: This key is not certified with a trusted signature!` jest normalna, jeśli sam nie podpisałeś klucza. Zaufanie ustanawia sprawdzenie odcisku z kroku 1.
4. 04.Sprawdź datę `Signature made` i datę zapisaną w treści canary. Obie powinny być niedawne.
5. 05.Jeśli podpis ma więcej niż 35 dni, traktuj to jako sygnał i przeczytaj stronę canary pod kątem ewentualnych komunikatów.

# 1. Download the canary and the public key
curl -fsSLO https://noctisnode.com/canary.txt
curl -fsSLO https://noctisnode.com/canary-pubkey.asc

# 2. Inspect the key without importing it
gpg --show-keys --with-fingerprint canary-pubkey.asc

# 3. Import the key
gpg --import canary-pubkey.asc

# 4. Confirm the fingerprint of the imported key
gpg --fingerprint 3804DA83956FB4C11D8736C3129CE6778F2092E9

# 5. Verify the signature on the canary
gpg --verify canary.txt

Automatyzacja sprawdzania 35 dni

Jeśli monitorujesz canary z serwera lub przez zadanie cron, używaj maszynowo czytelnego wyjścia statusu GPG zamiast parsować tekst dla ludzi. Poniższy skrypt kończy się błędem, jeśli podpisu brakuje, pochodzi z innego klucza lub jest starszy niż 35 dni. Uruchom go w katalogu zawierającym świeżo pobrany `canary.txt`.

#!/bin/sh
FPR=3804DA83956FB4C11D8736C3129CE6778F2092E9
line=$(gpg --status-fd 1 --verify canary.txt 2>/dev/null | grep ' VALIDSIG ')
case "$line" in
  *"$FPR"*) ;;
  *) echo "FAIL: no valid signature from $FPR"; exit 1 ;;
esac
ts=$(echo "$line" | awk '{print $5}')
age=$(( ( $(date +%s) - ts ) / 86400 ))
echo "Canary signature is $age days old"
[ "$age" -le 35 ] || { echo "WARNING: older than 35 days"; exit 2; }

Note · Przerwa to sygnał do zbadania sprawy, a nie dowód żądania prawnego. Sprawdź stronę canary i komunikaty operatora, a do porównań trzymaj własne zarchiwizowane kopie poprzednich canary.

FAQ