Warrant canary. Obietnica, która znika, gdy nie wolno mówić

Warrant canary wygląda niewinnie: krótki komunikat na stronie, data, czasem podpis. Firma pisze, że w danym okresie nie dostała tajnego nakazu ani zakazu mówienia o sprawie. Miesiąc później pojawia się kolejna wersja. Albo nie pojawia się. I właśnie to „albo nie” ma być sygnałem.

Nazwa bierze się z kanarka w kopalni. Ptak pada pierwszy. Tu „padnięciem” jest brak aktualizacji. Nie ogłaszasz kryzysu. Przestajesz ogłaszać spokój. W słowniku streściłem definicję. Tu rozbieram ograniczenia, bo kanarek bez rytuału jest ozdobą, a ozdoba w temacie prywatności szkodzi bardziej niż szczere „nie mamy kanarka”.

Po co w ogóle ten format

W części jurysdykcji dostawca poczty, VPN albo hostingu może dostać nakaz połączony z gag order: wykonaj żądanie, nie mów o nim. Zwykłe oświadczenie „nie dostaliśmy nakazu” da się wtedy zablokować albo wypaczyć. Kanarek obchodzi problem od drugiej strony. Firma cyklicznie mówi „nie dostaliśmy”. Gdy milknie, obserwatorzy wyciągają wniosek sami.

Dla użytkownika to słaby, ale czytelny wskaźnik w threat modelu. Nie zastępuje szyfrowania. Nie zastępuje dobrej jurysdykcji ani krótkiej retencji logów. Mówi tylko o deklarowanym stanie prawnym po stronie operatora: czy w ogóle próbuje sygnalizować nacisk, którego nie wolno opisać wprost.

Historycznie kanarki pojawiały się u dostawców usług prywatności i u części firm technologicznych w krajach z rozwiniętym prawem tajnych nakazów. Szczegóły przepisów różnią się między USA, UE i resztą świata. Sens mechanizmu jest wspólny: milczenie jako komunikat.

Co musi być prawdą, żeby kanarek coś znaczył

Potrzebny jest harmonogram. PDF wrzucony raz w 2019 nic nie mówi w 2026. Przewidywalna data: miesiąc, kwartał, zawsze to samo miejsce na stronie.

Potrzebny jest weryfikowalny podpis. Bez PGP albo innego podpisu, który da się sprawdzić kluczem publicznym, aktualizację może podrobić każdy, kto wejdzie na CMS. Podpis bez dystrybucji klucza też jest teatrem.

Ktoś na zewnątrz musi faktycznie sprawdzać. Kanarek, którego nikt nie monitoruje, nie alarmuje. Społeczność, archiwa stron, boty przypominające o dacie: bez tego zniknięcie tonie w szumie.

I firma musi być gotowa utrzymywać nudny rytuał latami. To nie jest kampania marketingowa. To kalendarz. Kiedy firma się znudzi i przestanie odnawiać z lenistwa, dostajesz fałszywy alarm. Albo, co gorsza, przyzwyczajenie użytkowników do martwej daty.

Czego kanarek nie robi

Nie chroni przed nakazem. Nie mówi, jaki nakaz przyszedł. Nie zastępuje audytu kodu, polityki retencji ani Twojego opsec. Nie jest magią prawną w każdej jurysdykcji: część systemów prawnych może próbować wymusić też utrzymanie fałszywego kanarka albo karać za sygnał. Skuteczność zależy od prawa, od motywacji firmy i od tego, czy ktoś zauważy zniknięcie.

Kanarek też nie rozróżnia „dostaliśmy tajny nakaz” od „admin urlopował się i zapomniał o PDF”. Dlatego rytuał musi być nudny i możliwy do utrzymania, a jednocześnie trudny do podrobienia.

Fałszywe poczucie bezpieczeństwa jest tu realnym ryzykiem. Użytkownik widzi datę sprzed dwóch lat i zakłada, że firma jest transparentna. W praktyce patrzy na atrapę.

blackweb nie prowadzi atrapy

W briefie tego dziennika warrant canary pojawia się jako pomysł na później, pod jednym warunkiem: prawdziwy, comiesięczny rytuał z PGP, bez ozdoby w stopce. Martwy kanarek uczy czytelników złego nawyku. Lepiej nie mieć żadnego niż mieć teatr.

Nie udaję więc, że blackweb.pl „co miesiąc potwierdza brak nakazów”. Nie mam dziś procesu, którego dotrzymanie gwarantuję. Nie będę wieszał plakietki dla SEO. Jeśli kiedyś powstanie kanarek, będzie miał datę, podpis i miejsce, w którym da się go sprawdzić. Do tego czasu uczciwe milczenie jest lepsze niż fałszywy śpiew.

Jak czytać kanarki cudze

Patrz na świeżość, na podpis, na to, czy firma w ogóle opisuje, czego dotyczy oświadczenie. Porównuj z jurysdykcją: kanarek napisany pod prawo jednego kraju nie tłumaczy się automatycznie na inny. Traktuj go jako jedną kartę obok retencji, audytów, sposobu płatności i tego, czy operator w ogóle może wydać dane, których nie zbiera.

Dla dziennikarza i aktywisty kanarek dostawcy to najwyżej sygnał pomocniczy. Własna higiena urządzeń, kanałów i źródeł waży więcej. Kanarek nie zaszyfruje notatek.

Obietnica, która działa przez nieobecność

Warrant canary jest dziwnym artefaktem: komunikatem zbudowanym na możliwości zniknięcia. W kulturze marketingu wszystko krzyczy. Tu wartość leży w ciszy, której ktoś pilnuje według kalendarza.

Szacuję ten pomysł, gdy jest serio. Gardzę nim, gdy jest naklejką. Jeśli budujesz własny, najpierw prawnik i jurysdykcja, potem klucz, potem data, której dotrzymasz. Publiczny sygnał bez utrzymania jest dezinformacją. A dezinformacja w temacie nakazów jest gorsza niż brak sygnału.