Warrant canary nedir ve GPG ile nasıl doğrulanır

Kısaca: Warrant canary, bir servisin gag order'lı celpnameler veya national security letter'lar gibi belirli gizli yasal talepleri almadığını söylediği, düzenli olarak yenilenen imzalı bir beyandır. Beyan yenilenmeyi bırakırsa veya ifadesi değişirse okuyucular bu sessizliği bir uyarı olarak kabul eder. Doğrulamak için PGP imzasını yayıncının anahtar parmak iziyle karşılaştırır ve imza tarihinin yakın tarihli olduğunu teyit edersiniz.

Bu makale canary'lerin arkasındaki hukuki fikri, gerçek sınırlarını, iyi bir canary'nin neler içerdiğini ve NoctisNode canary'sini örnek alarak adım adım GPG doğrulamasını ele alıyor.

Warrant canary nasıl çalışır

Ad, madencilerin bir zamanlar yeraltına götürdüğü kanaryalardan gelir: kuş yaşadığı sürece hava güvenliydi. Warrant canary de aynı şekilde çalışır. Servis, 'hiçbir gizli mahkeme kararı veya gag order almadık' gibi tarihli bir beyan yayınlar ve onu sabit bir takvimle yeniler.

Esas olarak Amerika Birleşik Devletleri'nde ortaya çıkan hukuki fikir bir ayrıma dayanır: yetkililer bir şirketin gizli bir karar aldığını açıklamasını yasaklayabilir, ancak şirketi yanlış bir beyan yayınlamaya zorlamak farklı ve daha zor bir taleptir. Şirket canary'yi yenilemeyi bırakırsa hiçbir şey açıklamamış olur, ama okuyucular bu yokluktan kendi sonuçlarını çıkarabilir.

Warrant canary'lerin sınırları

Canary yararlı bir sinyaldir, garanti değildir. Ona güvenmeden önce bu sınırları aklınızda tutun.

• ▹Hukuki teori mahkemede büyük ölçüde test edilmemiştir ve yanıt ülkeden ülkeye değişebilir.
• ▹Yalnızca açıkça listelediği şeyleri kapsar. Gizli kararlarla ilgili bir canary, sıradan, herkese açık yasal talepler hakkında hiçbir şey söylemez.
• ▹Yenilenmemesi belirsizdir: yasal bir talep anlamına gelebileceği gibi, sorumlu kişinin uzakta olduğu veya hata yaptığı anlamına da gelebilir.
• ▹Neyin, ne zaman istendiğini veya hangi müşterilerin etkilendiğini söyleyemez.
• ▹Hangi verilerin var olduğu hakkında hiçbir şey söylemez. Onu açık bir loglama politikasıyla birlikte değerlendirin; bkz. [no-logs VPS açıklaması](/blog/no-logs-vps-explained).
• ▹İmzalama anahtarı ve onu elinde tutan kişiler kadar güvenilirdir.

İyi bir warrant canary neler içerir

NoctisNode warrant canary'si

NoctisNode, `/canary.txt` adresinde PGP imzalı düz metin bir canary yayınlar; imzalama açık anahtarı `/canary-pubkey.asc` adresinde, açıklaması ise warrant canary sayfasında bulunur. Canary her ay elle yenilenir. 35 günden uzun süre yenilenmemişse bunu bir sinyal olarak kabul edin.

İmzalama anahtarının parmak izi `3804 DA83 956F B4C1 1D87 36C3 129C E677 8F20 92E9`'dur. Her zaman parmak izinin tamamını karşılaştırın, asla yalnızca son 8 veya 16 karakteri değil.

Warrant canary adım adım nasıl doğrulanır

Bu komutlar Debian 12/13 ve Ubuntu 24.04'te çalışır. Eksikse araçları önce `sudo apt install gnupg curl` ile kurun. Ek gizlilik için `tor` ve `torsocks` paketlerini kurduktan sonra dosyaları `torsocks curl` ile Tor üzerinden indirebilirsiniz.

1. 01.2. ve 4. adımlarda yazdırılan parmak izini canary sayfasında ve bu makalede yayınlananla karşılaştırın. Herhangi bir karakter farklıysa durun: yanlış anahtara sahipsiniz.
2. 02.`gpg --verify` çıktısında `Good signature from` ifadesini arayın. `BAD signature` satırı metnin değiştirildiği veya dosyanın bozuk olduğu anlamına gelir; ona güvenmeyin.
3. 03.Anahtarı kendiniz imzalamadıysanız `WARNING: This key is not certified with a trusted signature!` diyen bir satır normaldir. Güveni sağlayan, 1. adımdaki parmak izi kontrolüdür.
4. 04.`Signature made` tarihini ve canary metninin içinde yazan tarihi kontrol edin. İkisi de yakın tarihli olmalıdır.
5. 05.İmza 35 günden eskiyse bunu bir sinyal olarak kabul edin ve herhangi bir duyuru için canary sayfasını okuyun.

# 1. Download the canary and the public key
curl -fsSLO https://noctisnode.com/canary.txt
curl -fsSLO https://noctisnode.com/canary-pubkey.asc

# 2. Inspect the key without importing it
gpg --show-keys --with-fingerprint canary-pubkey.asc

# 3. Import the key
gpg --import canary-pubkey.asc

# 4. Confirm the fingerprint of the imported key
gpg --fingerprint 3804DA83956FB4C11D8736C3129CE6778F2092E9

# 5. Verify the signature on the canary
gpg --verify canary.txt

35 günlük kontrolü otomatikleştirmek

Canary'yi bir sunucudan veya cron job'dan izliyorsanız, insan okunur metni ayrıştırmak yerine GPG'nin makine tarafından okunabilir durum çıktısını kullanın. Aşağıdaki script, imza eksikse, farklı bir anahtardan geliyorsa veya 35 günden eskiyse başarısız olur. Yeni indirilmiş bir `canary.txt` içeren dizinde çalıştırın.

#!/bin/sh
FPR=3804DA83956FB4C11D8736C3129CE6778F2092E9
line=$(gpg --status-fd 1 --verify canary.txt 2>/dev/null | grep ' VALIDSIG ')
case "$line" in
  *"$FPR"*) ;;
  *) echo "FAIL: no valid signature from $FPR"; exit 1 ;;
esac
ts=$(echo "$line" | awk '{print $5}')
age=$(( ( $(date +%s) - ts ) / 86400 ))
echo "Canary signature is $age days old"
[ "$age" -le 35 ] || { echo "WARNING: older than 35 days"; exit 2; }

Note · Yenilenmemesi araştırılması gereken bir sinyaldir, yasal bir talebin kanıtı değildir. Canary sayfasını ve operatörün duyurularını kontrol edin ve karşılaştırma için önceki canary'lerin kendi arşiv kopyalarınızı saklayın.

SSS