Подписанное молчание
Канарейка
Шахтёры брали в забой канарейку: пока она поёт, воздух чистый. Наша поёт подписанным заявлением раз в 14 дней — о том, что никто не требовал от нас тайком выдать данные или испортить сервис. Замолчала — значит, что-то случилось.
Как поёт эта канарейка
Подписываем не на сервере
Заявление подписывает владелец своим ключом PGP на своём компьютере. На сервере ключа нет: забрав сервер, подписать за нас не выйдет.
Привязываем ко времени
В текст вписаны номер и хеш свежего блока биткойна. Угадать их заранее невозможно — значит, заявление не заготовлено впрок.
Молчим, если нельзя говорить
Запрет на разглашение может заставить молчать, но не может заставить лгать. Придёт такой запрос — следующего выпуска просто не будет, без объяснений.
Выходит раз в 14 дней, на задержку — ещё 7.
Проверить самому
Нужны пять минут и gpg. Верить нам на слово не надо — в этом весь смысл.
Получите открытый ключ и добавьте его в свою связку.
gpg --import pubkey.ascСверьте отпечаток ключа с тем, что видели раньше в другом месте. Не на этой странице: тот, кто подменил бы страницу, подменил бы и отпечаток.
Сохраните заявление в файл целиком — от первой строки BEGIN до последней END.
canary.txtЗапустите проверку. Подпись должна сойтись, а дата, номер выпуска и блок — совпасть с показанными наверху.
gpg --verify canary.txt