Bulletproof hosting, och vad orden faktiskt betyder

Söker du en leverantör som inte tar bort din tjänst på begäran möter du fyra ord som används som om de vore utbytbara: bulletproof, offshore, DMCA-ignored, DMCA-free. De är inte utbytbara. Tre av dem beskriver något verkligt, var och en sin egen sak, och det fjärde beskriver ingenting alls. Att köpa på fel ord är så folk hamnar i att betala för ett löfte som leverantören aldrig gav.

Fyra ord, tre betydelser och en lucka

Ta dem ett i taget, för skillnaderna är hela ämnet.

Offshore — ett påstående om juridisk geografi

”Offshore” säger att maskinen, och helst även företaget som äger den, lyder under ett annat rättssystem än ditt. Det är allt det säger. Det är ett påstående om vilken lag som gäller, inte om vad den lagen tillåter, och inte om vad leverantören väljer att göra. En leverantör kan vara fullständigt offshore och ändå ta bort din tjänst i samma stund som någon klagar, eftersom ingenting i ordet begränsar dess beteende. Det är det ärligaste av de fyra orden och det som säger minst på egen hand.

DMCA-ignored — ett påstående om en enda lag

Digital Millennium Copyright Act är amerikansk lag. Dess notice-and-takedown-maskineri, 17 U.S.C. § 512, villkorar en amerikansk leverantörs ansvarsfrihet med att den driver ett borttagningsförfarande — vilket är varför amerikanska leverantörer tar bort först och frågar sedan. En leverantör som är etablerad utanför USA har ingen ansvarsfrihet att förlora och därmed ingen strukturell anledning att ta bort i förebyggande syfte.

Så ”DMCA-ignored”, läst bokstavligt, är ett faktapåstående om jurisdiktion snarare än en policy av trots. Ingen ignorerar en lag; lagen riktade sig aldrig till dem. Den skillnaden låter pedantisk ända tills en leverantör som marknadsför frasen viker sig ändå — och då upptäcker du att den beskrev en attityd snarare än ett rättsläge, och attityder ändras när en transitoperatör ringer ett samtal.

DMCA-free — en fras som inte betyder någonting

Ingenting är ”fritt från” en lag som det aldrig omfattats av. Ett datacenter i Chișinău är inte mer DMCA-free än det är fritt från Kaliforniens trafiklagstiftning. Frasen finns eftersom den säljer, och att den förekommer i en leverantörs marknadsföring är en rimlig signal om att resten av marknadsföringen är skriven på samma sätt. Det är det enda av de fyra orden som inte bär någon information.

Bulletproof — ett ord med en betydelse du inte har valt

Det här ordet är annorlunda, och det är värt att veta innan du skriver in det i en sökruta. I säkerhetslitteraturen — leverantörsrapporter, brottsbekämpande myndigheters meddelanden om nedstängningar, akademiska artiklar om abuse-infrastruktur — har ”bulletproof hosting” en etablerad betydelse: en leverantör som medvetet hostar kriminell infrastruktur och säljer just den vetskapen som produkt. Command and control-servrar, phishing-kit, distribution av skadlig kod.

Säljare använder ordet i betydelsen ”vi tar inte bort din fildelningssajt”. Forskare och åklagare använder det i en betydelse som är avsevärt snävare och mindre trevlig. Båda betydelserna är i omlopp, och en leverantör som marknadsför termen väljer att vara läsbar för den andra publiken lika mycket som för den första. Det får följder för grannarna: prefix som förknippas med termen samlar på sig poster i blockeringslistor, och blockeringslistor skiljer inte på kunden som driver ett forum och kunden som driver ett botnät.

Vad en leverantör faktiskt kan tvingas göra

Under alla fyra orden ligger tre separata verb, och leverantörer suddar rutinmässigt ut skillnaden mellan dem. Att skilja dem åt är det snabbaste sättet att läsa vilken hostingpolicy som helst.

Vidarebefordra. Skicka klagomålet vidare till kunden och låt kunden avgöra. Det kostar leverantören ingenting och skyddar ingen annan än kunden, vilket är precis därför det är det enda en leverantör kan göra fritt. En leverantör som vidarebefordrar och stannar där har gjort ett verkligt val.

Ta bort. Ta innehållet eller maskinen offline. I USA följer det av en anmälan; på andra håll krävs i regel en domstol, eller en leverantör som bestämt sig för att inte vänta på en. Glappet mellan ”en anmälan räcker” och ”bara en domare räcker” är den enskilt största skillnad som jurisdiktionen gör, och den mäts i veckor snarare än i principer.

Lämna ut. Överlämna det leverantören vet om kunden. Det här styrs inte av upphovsrätten alls, och det är det verb folk glömmer att fråga om. En leverantör kan vara orubblig i fråga om borttagning och fullt samarbetsvillig i fråga om utlämnande — och om den samlade in identitetshandlingar vid registreringen är samarbetet trivialt för den och dyrt för dig.

Var den här leverantören står på den listan

Eftersom poängen med övningen är att göra leverantörer svarsskyldiga följer här våra egna svar i samma termer, och de går att kontrollera mot de sidor som bär dem.

Offshore: ja, och i ett land snarare än nio. Maskinerna och företaget finns båda i Republiken Moldavien. En leverantör som är registrerad någonstans strikt och hyr rackskåp någonstans tillåtande förblir tillåtande exakt så länge som dess eget huvudkontor tillåter det.

DMCA: den når oss inte, och det är ett jurisdiktionsfaktum snarare än en hållning. En upphovsrättsanmälan loggas, räknas och vidarebefordras ordagrant till kunden, och där slutar vår inblandning. Det instrument som styr upphovsrätten här är moldavisk lag, och den ger en rättslig åtgärd — en kärande väcker talan vid en moldavisk domstol. Kvartalsräkningen av anmälningar, och antalet borttagningar de ledde till, publiceras.

Utlämnande: det finns mycket lite att lämna ut. Inga identitetshandlingar samlas in i något skede, så inga kan lämnas över. Anslutningsloggar sparas i tjugofyra timmar. Den fullständiga förteckningen över vad som finns publiceras i stället för att sammanfattas, vilket är den enda version av det påståendet som är värd något.

Bulletproof: nej, och ordet är inte vårt. Två kategorier av innehåll avvisas rakt av — material med sexuella övergrepp mot barn, och material som organiserar våld mot människor. Det har aldrig funnits en tredje. Allt annat på listan, inklusive det som får folk avvisade på andra håll, är kundens ensak. Det är ett snävare löfte än ”bulletproof” och ett långt mer hållbart, eftersom det är ett löfte vi kan hålla när någon sätter press.

Sex frågor till den som använder de här orden

De fungerar på oss lika väl som på vem som helst annan, och svaren ska ta en kompetent leverantör under en minut.

1. Vilket instrument tvingar dig, vid namn? En leverantör som inte kan namnge lagen och forumet har inte tänkt på det, eller har det och vill hellre att du låter bli.

2. Äger du hårdvaran, och var är företaget registrerat? Hyrda rackskåp betyder en transitoperatör med en egen abuse-avdelning och en egen riskvilja, och varje lager ovanför dig är ännu en part som kan avsluta din tjänst av skäl du aldrig får se.

3. Vad samlade du in om mig vid registreringen, och hur länge sparar du det? Det här är utlämnandefrågan i sin praktiska form. Handlingar som samlats in är handlingar som kan lämnas ut.

4. Hur många krav på borttagning fick du förra kvartalet, och hur många agerade du på? Två tal. En leverantör som publicerar dem gör ett påstående som går att motbevisa; en leverantör som inte gör det gör ett påstående som inte går att motbevisa.

5. Vad avvisar du, och är listan ändlig? Ett öppet ”allt vi bedömer som olämpligt” är en klausul som betyder vad som än passar den dag den åberopas.

6. Vad händer med mina data om du slutar svara? Varje fråga ovan förutsätter att leverantören fortfarande finns. Ett signerat besked som förnyas enligt schema är värt mer än ett löfte som gavs en gång vid registreringen.

Om de sex svaren är specifika spelar ordet på startsidan knappt någon roll. Om de inte är det räddar inget adjektiv dig — allra minst ett som betyder något i en rättssal som det inte betyder i en annons.

Skrivet av de ingenjörer som driver plattformen, och omläst idag. Om något här är fel eller har blivit inaktuellt, säg till via panelen – det är därifrån ungefär hälften av dessa kommer.