La déclaration exacte
Lis les événements qu'elle couvre et la période qu'elle décrit. Une affirmation portant sur une catégorie de demande ne dit rien des catégories situées hors de cette formulation.
Une déclaration que tu peux vérifier.
Un canari de surveillance est une déclaration récurrente portant sur un ensemble défini de circonstances. Sa formulation, ses dates de publication et sa clé de signature importent autant que sa présence sur un site web. Voici comment examiner les preuves et comprendre ses limites.
L'enregistrement SilentVPS
Aucun canari SilentVPS signé, aucune clé de signature publique ni calendrier de mise à jour n'est affiché ici. Cette page explique le mécanisme ; elle n'affirme pas que l'opérateur n'a reçu aucune demande légale, ni qu'une déclaration particulière reste valide.
Quatre éléments à examiner
Les dates
Compare la date de signature, la période couverte et la prochaine mise à jour attendue. Un document peut rester authentique tout en devenant obsolète.
La clé de signature
Compare l'empreinte complète avec une source à laquelle tu fais déjà confiance. Importer une clé jointe à la même déclaration n'établit pas de manière indépendante qui la contrôle.
L'historique
Compare les versions précédentes pour repérer les changements de portée, de formulation ou de clé de signature. Une explication et une archive conservée aident les lecteurs à comprendre un changement.
Vérifier une signature détachée
Lorsqu'une clé publique authentique, une déclaration et une signature détachée sont disponibles, utilise un outil OpenPGP établi pour les vérifier. Confirme l'empreinte de la clé par un canal de confiance, importe la clé, puis vérifie la signature par rapport au fichier de déclaration exact.
Un exemple générique suit. Ces noms de fichiers illustrent les étapes de vérification ; ce ne sont pas des téléchargements SilentVPS. Vérifie l'identité du signataire et l'empreinte ainsi que le résultat de la vérification.
Terminal
gpg --show-keys --with-fingerprint public-key.asc
gpg --import public-key.asc
gpg --verify statement.txt.asc statement.txtCe qu'un canari ne peut pas établir
Une mise à jour manquante ou modifiée peut justifier un examen plus approfondi, mais elle ne constitue pas une preuve concluante d'une ordonnance secrète. Des retards administratifs, des changements de pratique de publication ou d'autres circonstances peuvent aussi modifier un canari. L'Electronic Frontier Foundation documente ces problèmes d'interprétation dans son examen Canary Watch.
Une signature valide établit une relation cryptographique entre le contenu signé et une clé. Elle n'établit pas la véracité de chaque affirmation opérationnelle, n'exclut pas des événements non divulgués et n'audite pas l'infrastructure du serveur. Lis un canari en parallèle des rapports de transparence et des informations applicables sur le traitement des données.
Questions et réponses
Le texte de cette page est-il lui-même un canari signé ?+
Non. Il explique comment fonctionne un canari. Aucune déclaration SilentVPS signée, aucune empreinte de clé ni cadence de mise à jour n'est présentée comme preuve.
Une signature valide prouve-t-elle qu'une déclaration est à jour ?+
Non. Vérifie séparément les dates indiquées et le calendrier de publication. La vérification de la signature et l'actualité sont deux contrôles différents.
Une mise à jour absente prouve-t-elle qu'un événement particulier s'est produit ?+
Non. L'absence est une observation qui nécessite un contexte. Elle ne peut pas à elle seule identifier une cause ni établir l'existence d'une demande légale.