Bulletproof hosting i co te cztery słowa naprawdę znaczą

Szukając dostawcy, który nie wyłączy usługi na samo żądanie, trafią Państwo na cztery słowa używane tak, jakby były wymienne: bulletproof, offshore, DMCA-ignored, DMCA-free. Wymienne nie są. Trzy z nich opisują coś realnego, za każdym razem coś innego, a czwarte nie opisuje niczego. Zakup oparty na niewłaściwym z nich kończy się płaceniem za obietnicę, której dostawca nigdy nie złożył.

Cztery słowa, trzy znaczenia i jedna pustka

Po kolei, bo to właśnie różnice między nimi są całym tematem.

Offshore — twierdzenie o geografii prawnej

„Offshore” mówi, że maszyna, a najlepiej także firma będąca jej właścicielem, podlegają innemu systemowi prawnemu niż Państwo. Tylko tyle. To twierdzenie o tym, które prawo obowiązuje, a nie o tym, co to prawo dopuszcza ani co dostawca postanawia robić. Dostawca może być całkowicie offshore i mimo to wyłączyć usługę w chwili, gdy ktokolwiek się poskarży, ponieważ nic w tym słowie nie ogranicza jego zachowania. Jest najuczciwsze z tej czwórki i samo w sobie najmniej informacyjne.

DMCA-ignored — twierdzenie o jednej konkretnej ustawie

Digital Millennium Copyright Act jest prawem Stanów Zjednoczonych. Jego procedura notice-and-takedown, 17 U.S.C. § 512, uzależnia wyłączenie odpowiedzialności amerykańskiego dostawcy od prowadzenia procedury usuwania treści — i dlatego amerykańscy dostawcy najpierw usuwają, a pytają później. Dostawca z siedzibą poza Stanami Zjednoczonymi nie ma wyłączenia odpowiedzialności do stracenia, a więc nie ma strukturalnego powodu, by usuwać treść zapobiegawczo.

„DMCA-ignored” czytane dosłownie jest więc stwierdzeniem faktu o jurysdykcji, a nie polityką niesubordynacji. Nikt nie ignoruje prawa; to prawo nigdy nie było do niego adresowane. Rozróżnienie brzmi pedantycznie do chwili, w której dostawca reklamujący się tym hasłem i tak ustępuje — wtedy okazuje się, że opisywało ono postawę, a nie stan prawny, a postawy zmieniają się, gdy zadzwoni operator tranzytowy.

DMCA-free — zwrot, który nie znaczy nic

Nic nie jest „wolne od” ustawy, której nigdy nie podlegało. Centrum danych w Chișinău nie jest bardziej DMCA-free, niż jest wolne od kalifornijskiego kodeksu drogowego. Zwrot ten istnieje, ponieważ dobrze konwertuje, a jego obecność w materiałach dostawcy jest rozsądną przesłanką, że reszta tych materiałów powstała w ten sam sposób. To jedyne z tych czterech słów, które nie niesie żadnej informacji.

Bulletproof — słowo o znaczeniu, którego nie wybrali Państwo sami

To słowo jest inne i warto o tym wiedzieć, zanim wpiszą je Państwo w wyszukiwarkę. W literaturze bezpieczeństwa — raportach producentów, komunikatach organów ścigania o likwidacji infrastruktury, pracach naukowych o infrastrukturze nadużyć — „bulletproof hosting” ma znaczenie ustalone: to dostawca, który świadomie hostuje infrastrukturę przestępczą i sprzedaje tę świadomość jako produkt. Serwery command and control, zestawy phishingowe, dystrybucja złośliwego oprogramowania.

Sprzedawcy używają tego słowa w znaczeniu „nie wyłączymy Państwa serwisu z plikami”. Badacze i prokuratorzy używają go w znaczeniu znacznie węższym i znacznie mniej przyjemnym. Oba znaczenia są w obiegu, a dostawca reklamujący się tym terminem wybiera bycie czytelnym także dla tej drugiej publiczności. Ma to konsekwencje dla sąsiadów: prefiksy kojarzone z tym słowem zbierają wpisy na listach blokad, a listy blokad nie odróżniają klienta prowadzącego forum od klienta prowadzącego botnet.

Do czego naprawdę można zmusić dostawcę

Pod wszystkimi czterema słowami leżą trzy odrębne czasowniki, a dostawcy nagminnie je zacierają. Ich rozdzielenie to najszybszy sposób na przeczytanie dowolnego regulaminu hostingu.

Przekazać. Przesłać skargę klientowi i zostawić decyzję jemu. Nie kosztuje to dostawcy nic i nie chroni nikogo poza klientem, i właśnie dlatego jest to jedyna rzecz, którą dostawca może zrobić swobodnie. Dostawca, który przekazuje i na tym poprzestaje, dokonał realnego wyboru.

Usunąć. Wyłączyć treść albo maszynę. W Stanach Zjednoczonych wynika to z powiadomienia; gdzie indziej wymaga zwykle sądu albo dostawcy, który postanowił na sąd nie czekać. Odstęp między „powiadomienie może to zrobić” a „może to zrobić tylko sędzia” jest największą pojedynczą różnicą, jaką wprowadza jurysdykcja, i mierzy się go w tygodniach, a nie w zasadach.

Ujawnić. Wydać to, co dostawca wie o kliencie. Tego prawo autorskie nie reguluje w ogóle i jest to czasownik, o który ludzie zapominają zapytać. Dostawca może być nieustępliwy w kwestii usuwania i całkowicie chętny do współpracy w kwestii ujawniania — a jeśli przy rejestracji zebrał dokumenty tożsamości, współpraca jest dla niego banalna, a dla Państwa kosztowna.

Gdzie na tej liście stoi ten dostawca

Skoro celem tego ćwiczenia jest rozliczanie dostawców, oto nasze własne odpowiedzi w tych samych kategoriach — sprawdzalne na stronach, które je niosą.

Offshore: tak, i w jednym kraju, a nie w dziewięciu. Maszyny i firma znajdują się w Republice Mołdawii. Dostawca zarejestrowany tam, gdzie jest surowo, a wynajmujący szafy tam, gdzie jest swobodnie, pozostaje swobodny dokładnie tak długo, jak pozwala na to jego własna centrala.

DMCA: nie sięga nas, i jest to fakt jurysdykcyjny, a nie postawa. Zgłoszenie naruszenia praw autorskich jest rejestrowane, liczone, przekazywane klientowi w dosłownym brzmieniu i na tym nasz udział się kończy. Instrumentem, który reguluje tutaj prawo autorskie, jest prawo mołdawskie, a przewiduje ono środek sądowy — podmiot uprawniony wnosi powództwo do sądu mołdawskiego. Kwartalna liczba zgłoszeń oraz liczba spowodowanych przez nie usunięć są publikowane.

Ujawnianie: nie ma czego ujawniać. Na żadnym etapie nie zbieramy dokumentów tożsamości, więc nie ma czego wydać. Logi połączeń przechowujemy przez dwadzieścia cztery godziny. Pełny wykaz tego, co istnieje, jest publikowany, a nie streszczany — i tylko taka wersja tego twierdzenia jest cokolwiek warta.

Bulletproof: nie, i to nie jest nasze słowo. Dwie kategorie treści są odrzucane bez wyjątku — materiały przedstawiające seksualne wykorzystywanie dzieci oraz materiały organizujące przemoc wobec ludzi. Trzeciej nigdy nie było. Wszystko pozostałe z tej listy, łącznie z rzeczami, za które ludzie dostają odmowę gdzie indziej, jest sprawą klienta. To obietnica węższa niż „bulletproof” i znacznie trwalsza, ponieważ możemy jej dotrzymać, gdy ktoś zacznie naciskać.

Sześć pytań do każdego, kto używa tych słów

Działają na nas tak samo jak na kimkolwiek innym, a kompetentnemu dostawcy odpowiedzi powinny zająć mniej niż minutę.

1. Który instrument Państwa wiąże, z nazwy? Dostawca, który nie potrafi wskazać ustawy i sądu, nie zastanawiał się nad tym albo zastanawiał się i wolałby, żeby Państwo tego nie robili.

2. Czy sprzęt jest Państwa własnością i gdzie zarejestrowana jest firma? Wynajęte szafy oznaczają operatora wyżej w łańcuchu, z własnym działem zgłoszeń nadużyć i własną tolerancją ryzyka, a każda warstwa nad Państwem to kolejny podmiot, który może zakończyć usługę z powodów, których Państwo nigdy nie zobaczą.

3. Co zebrali Państwo o mnie przy rejestracji i jak długo to przechowujecie? To pytanie o ujawnianie w jego praktycznej postaci. Zebrane dokumenty to dokumenty możliwe do wydania.

4. Ile żądań usunięcia wpłynęło do Państwa w zeszłym kwartale i na ile z nich Państwo zareagowali? Dwie liczby. Dostawca, który je publikuje, stawia twierdzenie falsyfikowalne; dostawca, który tego nie robi, stawia twierdzenie niefalsyfikowalne.

5. Czego Państwo odmawiają i czy ta lista jest zamknięta? Otwarte „wszystko, co uznamy za niewłaściwe” to klauzula znacząca to, co akurat jest wygodne w dniu jej użycia.

6. Co stanie się z moimi danymi, jeśli przestaną Państwo odpowiadać? Każde powyższe pytanie zakłada, że dostawca wciąż istnieje. Podpisane oświadczenie odświeżane według harmonogramu jest warte więcej niż obietnica złożona raz przy rejestracji.

Jeśli tych sześć odpowiedzi jest konkretnych, słowo na stronie głównej ma niewielkie znaczenie. Jeśli nie są, żaden przymiotnik Państwa nie uratuje — a już najmniej taki, który w sali sądowej znaczy co innego niż w reklamie.

Napisane przez inżynierów, którzy prowadzą tę platformę, i ponownie sprawdzone dziś. Jeśli coś tu jest błędne albo nieaktualne, można to zgłosić z panelu — stamtąd pochodzi mniej więcej połowa z tych treści.