Wat is een warrantkanarie en werkt het echt?

Een kanarie in een kooi. — Hermansyah28/Shutterstock.com

Wanneer u op zoek bent naar een VPN, bent u mogelijk een functie tegengekomen die een warrantcanary wordt genoemd. Aangeprezen als extra bescherming tegen overheidstoezicht, heb je je misschien afgevraagd wat het is en of het nuttig is.

Wat is een warrantkanarie?

Sommige aanbieders van op privacy gerichte diensten, zoals VPN’s, hebben een bevelkanarie op hun websites. Een garantiekanarie is een manier voor een dienst om stilletjes een signaal af te geven dat hem een bevel is gegeven voor informatie over zijn gebruikers. Als mensen bijvoorbeeld een VPN gebruiken voor torrenting en het signaal wordt weergegeven, is dat een teken dat de VPN mogelijk is gedwongen informatie te rapporteren over de peer-to-peer-activiteit van hun gebruikers.

De naam komt van de kanarie Britse mijnwerkers die vroeger de mijnen meenamen om koolmonoxide op te sporen. Omdat vogels veel vatbaarder zijn voor het gas dan mensen, wisten de mijnwerkers dat als de kanarie tekenen van angst vertoonde – of het arme schepsel stierf – ze uit de mijn moesten zien te komen voordat ze zelf zouden bezwijken voor het geurloze gas. Smithsonian Magazine heeft een volledige geschiedenis van het fenomeen.

De term “kanarie in een kolenmijn” is synoniem geworden met waarschuwingssystemen en de term wordt veel gebruikt in allerlei situaties. Digitale diensten zoals beveiligde cloudopslagprovider SpiderOak hebben er bijvoorbeeld een en Cloudflare stelt dat er een werd gebruikt in een openbare bibliotheek in Vermont. In het geval van VPN’s lijkt de inmiddels ter ziele gegane VikingVPN de eerste service te zijn geweest die het heeft aangeboden, hoewel het een beetje moeilijk lijkt om het zeker vast te stellen.

Hoe een warrantkanarie werkt

Er zijn meerdere varianten van de warrantkanarie. In zijn meest elementaire vorm is het een teken – digitaal of anderszins – dat iets zegt in de trant van “we hebben geen bevel gekregen”. Als het bord daar staat, weet je dat de kust veilig is. Als het bord echter is verwijderd, weet u dat er een bevelschrift of een ander soort informatieverzoek is ingediend, zoals een spreekverbod of een brief over de nationale veiligheid.

U zult waarschijnlijk opmerken dat de kanarie van het bevelschrift niet specifiek is in wie werd gediend of waarom: u weet gewoon dat de kanarie stierf, niet wat hem doodde. Net als in de mijnen, moet je gewoon rennen. Dit komt omdat de meeste van dit soort orders het heel duidelijk maken dat het niet de bedoeling is dat je het onderwerp van het bevel vertelt dat het is uitgevaardigd. Een meer algemene waarschuwing, zoals het verwijderen van een bord, omzeilt die regel.

Het informeren van het onderwerp van een bevelschrift betekent meestal zware straffen voor de dienst in kwestie en blijkbaar komen sommige bevelen met de toegevoegde instructie om een bevelkanarie of iets dergelijks niet te laten struikelen. Australië ging zelfs zo ver om ze volledig te verbieden.

Warrantkanaries en Transparantieverslagen

Dat is hoe warrantkanaries werken. Een ouderwetse warrantkanarie zie je echter zelden meer. De meeste VPN’s en andere services hebben meestal een soort rapport op hun website waarin staat of ze zijn bediend of niet. Ze worden vaak nog steeds een warrantkanarie genoemd, hoewel de term ’transparantierapport’ steeds vaker opduikt.

Een goed voorbeeld van zo’n pagina is Surfshark, die er meteen uitkomt en je vertelt hoeveel warrants en dergelijke het heeft ontvangen. Perfect Privacy doet ongeveer hetzelfde. In elk geval wordt de pagina regelmatig bijgewerkt, zodat je weet wanneer het bedrijf is bediend en of je moet heroverwegen wat je hebt gedaan tijdens het gebruik van de VPN.

Hoe nuttig is een warrantkanarie?

Hoe nuttig een bevelkanarie ook mag lijken, vooral voor mensen die een VPN gebruiken om activiteiten te dekken die in sommige rechtsgebieden illegaal zijn (zoals torrenting), zijn er enkele vragen over hoe nuttig ze werkelijk zijn. Het ouderwetse soort kanarie, die je gewoon vertelt dat er misschien iets is gebeurd maar je weet niet wat, lijkt vooral een geweldige manier om angstaanvallen te veroorzaken.

De nieuwe versies lijken niet veel beter. Natuurlijk is het goed om te weten dat een bedrijf is bediend en waarmee, maar zolang je niet weet wat het is, veroorzaakt het alleen maar meer angst. Zijn ze op zoek naar bewijs dat aantoont dat mensen een of ander tv-programma hebben gestreamd, een Snowden-achtige klokkenluider hebben achtervolgd, of gewoon een kerel proberen te vinden die vrouwen online lastigvalt? Je weet het niet, en je zult er waarschijnlijk nooit achter komen.

Daar komt nog een ander probleem bij: als je een VPN zonder logboek hebt gebruikt, zou er in de eerste plaats weinig te overhandigen moeten zijn. In zekere zin zou het er niet toe doen dat er een bevelschrift werd uitgevaardigd. Zolang de VPN zijn werk doet, zou een bevelschrift geen bruikbare informatie moeten opleveren, of in ieder geval niet te veel ervan.

Een laatste probleem is dat transparantierapporten niet altijd worden bijgewerkt telkens wanneer een bevel wordt uitgevaardigd. Perfect Privacy wordt bijvoorbeeld maar één keer per maand bijgewerkt. Er is ook het simpele feit dat sommige van deze orders uitdrukkelijk niet toestaan dat kanaries worden gestruikeld.

Hoewel het een goed teken is dat autoriteiten een hekel hebben aan kanaries en andere vormen van transparantie – ze zouden niet de moeite nemen om ze te sluiten als ze niets deden – is wat ze echt toevoegen voor gebruikers twijfelachtig. Als extra beveiliging kunnen ze van pas komen, maar we zouden onze keuze voor de beste VPN niet laten afhangen van het al dan niet aanbieden van een garantiekanarie.