Ночь, с которой всё началось
Несколько лет назад друг одного из нас — журналист, три года собиравший архив утёкших документов о муниципальной коррупции, — потерял всё в один из вторников.
Ни ордера. Ни судебного решения. Ни уведомления. Хостинг-провайдеру позвонил региональный прокурор из страны за тысячи километров, и ночная смена abuse-отдела нажала «приостановить», потому что в форме значилось: запрос срочный. Пока адвокат журналиста добирался до нужного человека, диск уже обнулили.
Эта история не отпускала нас очень долго. И не потому, что юридический механизм сработал — никакого юридического механизма не было, — а потому, что у каждого провайдера, которого мы изучали, действовали такие же внутренние правила. Вежливая приостановка по запросу на любом фирменном бланке. Никаких уведомлений клиенту. Никаких апелляций. Страница с условиями обслуживания обещала: «С нами ваши данные в безопасности». В регламенте значилось: «Выполнять всё срочное».
Обратное
Отказывать — по умолчанию. Сотрудничать — только тогда, когда нас юридически обязывает настоящий судья, обладающий юрисдикцией над нами. Всегда — всегда — сначала сообщать клиенту, чтобы он успел сделать резервную копию данных, сменить ключи или просто попрощаться на своих условиях.
У такой позиции есть несколько следствий, которые, по сути, не обсуждаются:
- Мы не можем собирать данные о личности. Любая база, которую мы храним, — это база, которую рано или поздно либо затребуют по повестке, либо взломают, либо она сама тихо начнёт сотрудничать. Единственный способ не иметь возможности выдать личность клиента — никогда о ней не спрашивать.
- Мы не можем принимать обратимые платежи. Карточные сети по самому своему устройству требуют KYC (верификацию личности); криптовалюта — нет. Поэтому — только криптовалюта.
- Мы не можем размещать серверы там, где abuse@ превращается в чёрный ход. Наше оборудование стоит там, где юридические процедуры медленнее, прозрачнее и честнее.
- Мы не можем держать почтовый ящик для жалоб. Первое письмо — это клин: следом появится отдел, потом процедура, потом политика превентивной приостановки. У нас нет первого шага.
Кто мы
Небольшая команда. Мы работаем под псевдонимами — по собственному выбору: наши имена не имеют значения, и мы предпочитаем не становиться частью поверхности атаки вокруг сервиса. На нашем общем счету два десятилетия работы с инфраструктурой для редакций, сайтов о снижении вреда, фондов юридической защиты активистов, диссидентских медиа и пары файловых хранилищ, которые никто и никогда не сфотографирует.
Географическое распределение. Операционное резервирование. Скучная инженерия — намеренно: такая, которой не нужен алерт в три часа ночи из-за какой-нибудь хитроумной функции.
Мы не идеалисты. Мы — люди, которые наблюдали, как индустрия сползает в «слежку как услугу», и решили построить нечто, что движется в обратную сторону.
Конституционная защита, медленный отклик по MLAT, операторы, которые всё понимают.
Париж
Хаб в юрисдикции ЕС для региона EMEA. Собственное оборудование, транзит с AS-маршрутизацией, пиринг с LINX и AMS-IX с задержкой порядка 1 мс.
Работаем с 2023 года
Рейкьявик
Закон о свободе прессы действует со времён IMMI. Зал с геотермальным охлаждением, жёсткий протокол физического доступа.
Нагрузки редакций и архивов
Цюрих
Юрисдикция вне ЕС со строгой традицией надлежащей правовой процедуры. Объект уровня Tier-IV, отдельное операционное юридическое лицо.
Нагрузки с высокой доступностью
Бухарест
Член ЕС, где каналы правового сотрудничества медленнее по самому замыслу. Выгодное выделенное железо, плотный аплинк.
Выделенные серверы и массовое хранениеГде живёт железо
Железо принадлежит нам. Никаких арендованных инстансов AWS под видом офшора. Серверы стоят в колокейшн-центрах в юрисдикциях, выбранных за конституционную защиту свободы слова, за медленный отклик по MLAT и за то, что местные операторы понимают — по итогам долгих и откровенных разговоров, — что мы будем делать, а чего не будем.
Каждая локация юридически суверенна сама по себе, а там, где это уместно, обслуживается отдельным юридическим лицом. Резервирование у нас географическое и политическое, а не только аппаратное.
Само железо — тот же скучный кремний AMD EPYC, на котором работает любой толковый хостинг-провайдер. Мы не конкурируем экзотическими чипами. Мы конкурируем эксплуатационным подходом, выстроенным вокруг них.
Что мы обещаем
Честные вещи. Не те обещания, которых ждёт покупатель SLA, — мы не расписываем в договоре сервисные кредиты (компенсации за простой), от которых потом пришлось бы отбрыкиваться. Обещания, которым человек действительно может доверять.
-
i.
Мы не выдадим, не приостановим и не изменим
…сервис в ответ на что угодно, кроме имеющего обязательную силу судебного решения суда, обладающего над нами юрисдикцией.
-
ii.
Мы будем оспаривать то, что заслуживает оспаривания
Часть этих схваток мы проиграем. Когда это случится, мы вам скажем.
-
iii.
Мы предупредим вас, прежде чем действовать
Несколько часов отсрочки, иногда дни — если только сам приказ прямо не обязывает нас молчать. Если обязывает, мы перестаём обновлять канарейку (warrant canary).
-
iv.
Мы никогда не продадим, не передадим и не опубликуем
Никаких данных о вас. Никаких «доверенных партнёров». Никаких тихих правок условий, пока юристы смотрят в другую сторону.
-
v.
Мы будем держать эксплуатацию скучной
Аптайм, производительность сети, честные счета. Необычный подход — в правилах, а не в технологиях.
Ограничения, о которых мы говорим честно
Мы не можем пообещать вечный хостинг. Правительства находят способы. Дата-центры переходят из рук в руки. Операторы уходят на покой. Мы можем пообещать другое: ни одна из этих перемен не произойдёт у вас за спиной.
Мы не можем бороться с каждым предписанием. Зато можем не прогибаться ни перед чем, что лишь выдаёт себя за законную процедуру.
У нас есть одно абсолютное правило, изложенное простым языком на странице «Допустимое использование»: материалы сексуального насилия над детьми. Это единственная категория, которую мы не станем размещать ни при каких обстоятельствах, и единственная ситуация, в которой остальные наши обещания не действуют.
Если вы устали от всего остального
Если вы тихо ждали хостинг-провайдера, который не требует притворяться: притворяться частным предпринимателем, зарегистрированным где-нибудь поудобнее; притворяться, будто письмо прокурора — это судебное решение; притворяться, будто фабрика шаблонных писем abuse@ — не вымогательство под видом комплаенса, — тогда добро пожаловать.
Пополните баланс, выберите регион, разверните сервер. Мы будем тихой машиной на другом конце соединения. Вот и всё, что здесь есть, — и нам кажется, этого достаточно.
Пронумерованы, но никогда не идентифицированы.