Bulletproof hosting, en wat die vier woorden werkelijk betekenen

Zoek een aanbieder die uw dienst niet op verzoek offline haalt, en u stuit op vier woorden die worden gebruikt alsof ze onderling verwisselbaar zijn: bulletproof, offshore, DMCA-ignored, DMCA-free. Ze zijn niet verwisselbaar. Drie ervan beschrijven iets reëels, elk iets anders, en het vierde beschrijft helemaal niets. Op het verkeerde woord kopen is de manier waarop mensen betalen voor een belofte die hun aanbieder nooit heeft gedaan.

Vier woorden, drie betekenissen en één leegte

Neem ze één voor één, want de verschillen zijn het hele onderwerp.

Offshore — een uitspraak over juridische geografie

„Offshore” zegt dat de machine, en bij voorkeur ook het bedrijf dat haar bezit, onder een ander rechtssysteem vallen dan het uwe. Meer zegt het niet. Het is een uitspraak over welk recht van toepassing is, niet over wat dat recht toestaat, en niet over wat de aanbieder besluit te doen. Een aanbieder kan volkomen offshore zijn en uw dienst toch offline halen zodra iemand klaagt, want niets aan het woord beperkt zijn gedrag. Het is het eerlijkste van de vier en op zichzelf het minst informatieve.

DMCA-ignored — een uitspraak over één specifieke wet

De Digital Millennium Copyright Act is recht van de Verenigde Staten. Het notice-and-takedown-apparaat daarvan, 17 U.S.C. § 512, koppelt de vrijwaring van een Amerikaanse aanbieder aan het toepassen van een verwijderingsprocedure — daarom verwijderen Amerikaanse aanbieders eerst en stellen ze pas daarna vragen. Een aanbieder die buiten de Verenigde Staten is gevestigd, heeft geen vrijwaring te verliezen en dus geen structurele reden om preventief te verwijderen.

Letterlijk gelezen is „DMCA-ignored” dus een feitelijke bewering over jurisdictie en geen beleid van verzet. Niemand negeert een wet; de wet was nooit tot hem gericht. Dat onderscheid klinkt muggenzifterig totdat een aanbieder die de term adverteert alsnog zwicht — en dan blijkt dat de term een houding beschreef en geen juridische positie, en houdingen veranderen zodra een transitprovider belt.

DMCA-free — een uitdrukking die niets betekent

Niets is „vrij van” een wet waaraan het nooit onderworpen was. Een datacenter in Chișinău is niet meer DMCA-free dan het vrij is van de Californische verkeerswet. De uitdrukking bestaat omdat ze goed converteert, en haar aanwezigheid in de marketing van een aanbieder is een redelijk signaal dat de rest van die marketing op dezelfde manier is geschreven. Het is het enige van de vier dat geen informatie bevat.

Bulletproof — een woord met een betekenis die u niet hebt gekozen

Dit woord ligt anders, en dat is nuttig om te weten voordat u het in een zoekvenster typt. In de securityliteratuur — rapporten van leveranciers, aankondigingen van takedowns door opsporingsdiensten, wetenschappelijke publicaties over abuse-infrastructuur — heeft „bulletproof hosting” een vaste betekenis: een aanbieder die willens en wetens criminele infrastructuur host en precies dat als het product verkoopt. Command-and-controlservers, phishingkits, verspreiding van malware.

Verkopers bedoelen met het woord: „wij halen uw filesharingsite niet offline”. Onderzoekers en officieren van justitie gebruiken het in een veel nauwere en veel minder aangename betekenis. Beide betekenissen zijn in omloop, en een aanbieder die de term adverteert, kiest ervoor om ook voor het tweede publiek leesbaar te zijn en niet alleen voor het eerste. Dat heeft gevolgen voor de buren: prefixen die met de term worden geassocieerd, verzamelen vermeldingen op blocklists, en blocklists maken geen onderscheid tussen de klant die een forum draait en de klant die een botnet draait.

Waartoe een aanbieder werkelijk kan worden gedwongen

Onder alle vier de woorden liggen drie afzonderlijke werkwoorden, en aanbieders halen ze gewoontegetrouw door elkaar. Ze uit elkaar houden is de snelste manier om welk hostingbeleid dan ook te lezen.

Doorsturen. Een klacht aan de klant doorgeven en hem laten beslissen. Dit kost de aanbieder niets en beschermt niemand behalve de klant, en precies daarom is het het enige wat een aanbieder vrijelijk kan doen. Een aanbieder die doorstuurt en het daarbij laat, heeft een echte keuze gemaakt.

Verwijderen. De inhoud of de machine offline halen. In de Verenigde Staten volgt dit uit een melding; elders is er doorgaans een rechtbank voor nodig, of een aanbieder die heeft besloten daar niet op te wachten. Het gat tussen „een melding kan dit” en „alleen een rechter kan dit” is het grootste enkele verschil dat jurisdictie maakt, en het wordt gemeten in weken en niet in beginselen.

Verstrekken. Overhandigen wat de aanbieder over de klant weet. Dit werkwoord valt helemaal niet onder het auteursrecht, en het is het werkwoord waar mensen vergeten naar te vragen. Een aanbieder kan onwrikbaar zijn op verwijdering en volledig meewerkend op verstrekking — en als hij bij aanmelding identiteitsdocumenten heeft verzameld, is meewerken voor hem triviaal en voor u duur.

Waar deze aanbieder op die lijst staat

Omdat het doel van de oefening is aanbieders aanspreekbaar te maken, volgen hier onze eigen antwoorden in dezelfde termen, en ze zijn controleerbaar aan de hand van de pagina's die ze dragen.

Offshore: ja, en in één land in plaats van negen. De machines en het bedrijf bevinden zich beide in de Republiek Moldavië. Een aanbieder die is ingeschreven in een streng land en racks huurt in een tolerant land, blijft precies zo lang tolerant als zijn eigen hoofdkantoor toestaat.

DMCA: die reikt niet tot ons, en dat is een feit van jurisdictie en geen houding. Een auteursrechtmelding wordt geregistreerd, geteld en woordelijk aan de klant doorgestuurd, en daarmee eindigt onze betrokkenheid. Het instrument dat het auteursrecht hier beheerst, is het Moldavische recht, en dat voorziet in een gerechtelijke weg — een rechthebbende start een procedure bij een Moldavische rechtbank. Het kwartaaltotaal van de meldingen, en het aantal verwijderingen dat daaruit volgde, wordt gepubliceerd.

Verstrekking: er valt zeer weinig te verstrekken. Er worden op geen enkel moment identiteitsdocumenten verzameld, dus er kunnen er ook geen worden overhandigd. Verbindingsmetadata worden 24 uur bewaard. De volledige inventaris van wat er bestaat, wordt gepubliceerd in plaats van samengevat, en dat is de enige versie van die bewering die iets waard is.

Bulletproof: nee, en het woord is niet het onze. Twee categorieën inhoud worden zonder meer geweigerd — materiaal van seksueel kindermisbruik, en materiaal dat geweld tegen personen organiseert. Een derde is er nooit geweest. Al het overige op de lijst, met inbegrip van de dingen waarvoor mensen elders worden geweigerd, is de zaak van de klant. Dat is een beperktere belofte dan „bulletproof” en een veel duurzamere, want het is een belofte die wij kunnen houden wanneer iemand druk uitoefent.

Zes vragen voor iedereen die deze woorden gebruikt

Ze werken op ons net zo goed als op ieder ander, en een bekwame aanbieder heeft voor de antwoorden minder dan een minuut nodig.

1. Welk instrument dwingt u, met naam en toenaam? Een aanbieder die de wet en de rechtbank niet bij naam kan noemen, heeft er niet over nagedacht, of wel en heeft liever dat u dat niet doet.

2. Bezit u de hardware, en waar is het bedrijf ingeschreven? Gehuurde racks betekenen een bovenliggende partij met een eigen abuse-afdeling en een eigen risicobereidheid, en elke laag boven u is nog een partij die u kan afsluiten om redenen die u nooit te zien krijgt.

3. Wat hebt u bij mijn aanmelding over mij verzameld, en hoe lang bewaart u het? Dit is de verstrekkingsvraag in haar praktische vorm. Documenten die zijn verzameld, zijn documenten die kunnen worden verstrekt.

4. Hoeveel verwijderingsvorderingen hebt u vorig kwartaal ontvangen, en op hoeveel daarvan hebt u gehandeld? Twee getallen. Een aanbieder die ze publiceert, doet een falsifieerbare bewering; een aanbieder die dat niet doet, doet een onfalsifieerbare.

5. Wat weigert u, en is die lijst eindig? Een open „alles wat wij ongepast achten” is een beding dat betekent wat op de dag van inroepen het beste uitkomt.

6. Wat gebeurt er met mijn gegevens als u niet meer reageert? Elke vraag hierboven veronderstelt dat de aanbieder er nog is. Een ondertekende verklaring die volgens een vast schema wordt vernieuwd, is meer waard dan een belofte die eenmalig bij aanmelding is gedaan.

Zijn die zes antwoorden concreet, dan doet het woord op de homepage er nauwelijks toe. Zijn ze dat niet, dan redt geen enkel bijvoeglijk naamwoord u — zeker niet een dat in een rechtszaal iets anders betekent dan in een advertentie.

Geschreven door de engineers die het platform beheren, en herzien op vandaag. Als hier iets onjuist is of verouderd is geraakt, meld dat via het klantenpaneel — dat is waar ongeveer de helft hiervan vandaan komt.