Метод

С чего начать

CATK держит одно расследование и показывает его в трёх разделах. Это не три приложения: под всеми лежат одни и те же записи. Если переименовать ноду в Графе, материал, который на неё ссылается, покажет новое имя.

Работа движется по одной цепочке. У каждого шага есть своё место в интерфейсе, и каждый шаг отвечает на предыдущий:

1. Источник
2. Факт
3. Связь
4. Пробел
5. Задача проверки
6. Подтверждённый материал
7. Публикация

• Граф — обнаружениеЗаписи и связи между ними. Здесь появляется факт, и здесь же становится виден пробел в доказательствах.
• Операции — проверкаПробел превращается в задачу с ответственным. Когда вы закрываете задачу, продукт предлагает вписать её результат в запись. Вписывает он только после вашего подтверждения.
• Редакция — публикацияПроверенные записи и их источники становятся материалом. Поставить статус «Опубликовано» нельзя, пока у материала нет источника или связанной записи.

Между разделами ничего не теряется, потому что между ними ничего не копируется. Расследование одно, показано тремя способами.

Проверенность: что значат четыре отметки под карточкой

Под каждой карточкой есть четыре коротких отрезка. Их никто не ставит руками. Они считают шаги проверки, которые запись прошла. Наведите на карточку, и подсказка перечислит пройденные шаги.

• Источник названПоле доказательства не пустое или запись указывает на запись-источник. Годится ссылка, номер документа или заметка аналитика. Указать на запись лучше, чем написать строку: на одну запись могут сослаться несколько фактов, а на строку текста сослаться нельзя.
• Документ приложенК записи приложен файл. Заметка о документе — это не сам документ. С заметкой можно спорить, документ можно прочитать.
• Задача проверки закрытаУ связанной с записью задачи типа «Проверка» стоит статус «Complete». Граф читает это из раздела Операции: закрываете задачу там — отметка загорается здесь.
• Подтвердил второйДва человека и два разных момента. Проверяющий открывает расследование у себя, нажимает «Подписать для другого» и присылает вам полученный файл; вы открываете его кнопкой «Открыть присланную подпись». Сервер для этого не нужен. Подпись означает, что владелец ключа видел запись именно в таком виде. Она не означает, что запись верна, и не доказывает, кто этот человек: имя рядом с ключом пишет тот же, кто ключом владеет. Своя собственная подпись сохраняется и показывается, но за второго человека не считается — иначе шаг закрывал бы один человек в два клика. Если после подписи изменить запись, подпись перестаёт считаться: её дали для другой версии.

У шагов нет весов, и они не появятся. «Источник назван» и «подтвердил второй» не равны по важности, но любые проценты, которые мы бы им назначили, были бы выдуманными — та же беда, что у ползунка, который это заменило. Продукт считает четыре шага и показывает, какие пройдены.

Это измеряет процесс, а не истину. У записи могут быть документы, закрытая задача и подпись — и при этом она может опираться на подделку. Поэтому она называется проверенностью, а не достоверностью.

То же самое можно показать цветом на всём холсте: в ключе переключите схему на «Проверенность», и каждая карточка окрасится по тому, как далеко она прошла.

Оценка аналитика: ваше мнение, отдельно от остального

Иногда человеку нужно сказать, что он записи не верит, и никакой список проверок этого не поймает. Оценка — это та же мысль, записанная числом. Вы ставите её рукой в редакторе записи, и так задумано.

Она хранится отдельно от проверенности и никогда с ней не смешивается. Два числа, которые означают разное, нельзя усреднять в одно: оно не будет означать ничего.

Оценки у записи может не быть вовсе. Тогда на её месте стоит прочерк: и на карточке, и в правой панели, и в хронологии. Раньше продукт писал там семьдесят процентов сам: мнение, которого никто не высказывал. Двинули ползунок, и оценка есть. Не трогали — её нет. Шаблон приходит именно таким, с пустыми слотами.

• ПроверенностьСчитается из расследования. Любой может проверить, откуда взялась каждая отметка.
• ОценкаСтавите вы. Проверить её нельзя, и продукт не делает вид, что можно.

Цвет: один вопрос за раз

Цвет — самый сильный сигнал у графа, поэтому он отвечает ровно на один вопрос. Ключ в полосе над холстом всегда говорит, на какой именно. Переключите там схему, и те же записи перекрасятся.

• РискНасколько запись опасна для расследования: высокий, наблюдение, отмечено и так далее.
• ТипЧто это за запись: персона, организация, локация, кошелёк, источник, канал, событие.
• ДоказательствоЕсть ли вообще что-то, что её поддерживает: источник или вложение.
• ПроверенностьСколько из четырёх шагов пройдено.

Честным это делает правило «одна схема за раз». Янтарный может означать «локация» в одной схеме и «на проверке» в другой, потому что вместе эти схемы на экране не появляются. Действующую называет ключ.

Красный закреплён за риском и за опасными действиями. Если вы видите красный, значит либо запись опасна, либо кнопка что-то уничтожает.

Ключ перечисляет только то, что есть на холсте. Значение, которое никто не использует, не показывается, поэтому ключ никогда не объясняет то, чего вы не видите.

Связи: линия говорит, насколько она уверена

Связь — это утверждение: вот это связано вот с этим. Форма линии говорит, насколько утверждение подкреплено. Это такой же код, как цвет записи.

• Есть доказательствоЗа связью стоит источник или документ.
• ПредположениеАналитик её заявил, но пока ничем не подтвердил. Большинство новых связей начинается отсюда.
• СпорнаяИсточники говорят разное. Само разногласие здесь и есть факт, и оно остаётся видимым, пока его не разрешит источник.

Линия следует тому, что приложено, а не отметке в редакторе. Связь, отмеченная проверенной, но без источника, названной записи-источника и документа, рисуется пунктиром, как её и называют «Пробелы».

Стрелка показывает направление: кто на кого действует. Связь может идти и в обе стороны — тогда у неё стрелка с каждого конца. Это не то же самое, что отсутствие направления.

Двойной щелчок по подписи линии открывает её редактор. Там задаются направление, доказательство и даты, когда связь действовала, и там же её можно удалить, если она оказалась неверной.

Карта: точки, области и маршруты

Запись ставят на карту два отдельных поля: название места, как вы его написали, и пара координат. Одно не выводится из другого. Место с названием и без координат — обычное дело: запись остаётся в списке «Без координат» и всё равно говорит, где она.

Точка утверждает «ровно здесь», а источник обычно говорит меньше: порт, город, участок реки. Для этого у записи есть радиус в километрах, он рисуется кругом вокруг точки, и область — граница, которую вы рисуете или вводите. У связи может быть маршрут: путь, которым она шла, от начала к концу. Запись с областью и без точки стоит на карте своей областью, и метки у неё нет: метка утверждала бы точку, которую никто не ставил.

• Нарисовать на картеВыберите одну запись и нажмите «Нарисовать область» или одну связь и нажмите «Нарисовать маршрут». Каждый щелчок ставит точку. Enter, двойной щелчок или «Готово» заканчивают, Backspace снимает последнюю точку, Escape выходит без изменений. Готовая форма — один шаг отмены.
• Или ввестиВ редакторе записи есть поле «Координаты области», в редакторе связи — «Координаты маршрута»: точка на строку, сначала широта, потом долгота. Можно вставить и геометрию GeoJSON.

Форма не принимается, и причина стоит рядом с полем или над картой, если граница области пересекает сама себя, если у области меньше трёх точек или у маршрута меньше двух, если точек больше 500 и если координата вне допустимого. Маршрут себя пересекать может: судно ходит петлёй.

Форма, пришедшая в файле, которую продукт не может прочитать, остаётся как пришла. Карта её не рисует и называет в списке «Не нарисовано» с причиной: незнакомое значение не пропадает.

У персоны нет области, у связи с персоной нет маршрута: продукт не рисует, где находится человек и каким путём он идёт. Форма, которую файл принёс для персоны, сохраняется, не рисуется и названа в списке «Не нарисовано»; снять её можно кнопкой «Убрать область», выбрав персону.

Пределы этой работы: область — одно кольцо, без дыр. Форма, пересекающая 180-й меридиан, рисуется длинным путём через всю карту. Маршрут рисуется прямыми отрезками на карте, кривизну земли он не учитывает.

Пробелы: чего расследованию не хватает

Панель «Пробелы» — это слой доказательств. Она читает расследование и называет, чего в нём не хватает. Сами записи она не правит, и в этом весь смысл: продукт предлагает, решает человек. Щелчок по строке выбирает то, о чём пробел. Если эта запись лежит в свёрнутом кластере, кластер раскрывается на холсте, потому что выбор, которого не видно, это не выбор. Само расследование при этом не меняется: в файле кластер остаётся свёрнутым, и шага отмены щелчок не пишет.

• Спорная связь без доказательстваРазногласие нельзя разрешить без источника, поэтому оно идёт в списке первым.
• Связь без доказательстваСвязь заявлена, но пока ничем не подтверждена.
• Две записи под одним именемОдин объект, записанный дважды, делит свои связи между двумя записями.
• Запись без доказательстваЭту запись нечем подтвердить.
• Место названо, точки нетКарта знает, что место есть, но не может показать, где именно.

Ответов три. «Показать в графе» выделяет запись или связь пробела на холсте и привозит к ней вид, а двойной щелчок по строке делает то же самое. «Принять» открывает задачу проверки в Операциях, уже заполненную из пробела. Вы её сохраняете, и после этого панель говорит, что пробел в работе, вместо того чтобы предлагать вторую такую же задачу. «Отклонить» записывает, что вы пробел рассмотрели и оставили.

Предложения не хранятся. Они считаются из расследования заново каждый раз, поэтому пробел, который вы действительно закрыли, исчезает сам. Хранится только ваш ответ.

Предложения приходят от правил, то есть простых проверок, которые не устают, от санкционного списка, если вы его загрузили, и от модели, если вы спросили её о записи. Все стоят в одной очереди по одному правилу: они предлагают, решаете вы.

Анализ: на чём держится расследование

«Пробелы» смотрят на одну запись за раз: у этой связи нет источника, у этой записи нет документа. «Анализ» смотрит на форму. Четыре связи по отдельности выглядят как четыре мелкие недоделки, а вместе означают, что целый вывод не держится ни на чём.

Цепочка — это отрезок расследования, где подряд идут две связи без доказательств или больше. Одна такая связь называется пробелом, и с ним понятно, что делать: приложить источник. Две подряд говорят то, чего не говорит ни одна из них по отдельности.

• Отрезок обрывается на развилкеТам, где у записи три и больше неподтверждённых соседей, цепочка кончается. На развилке путь выбирают, а не читают, и назвать одну из ветвей продолжением значило бы выбрать за вас.
• Отрезок нарисован, а не пересказанШаги — это те же линии, что рисует холст: пунктир для предположения, короткий красный штрих для спорной связи. Сплошной среди них не бывает: сплошная линия внутри находки утверждала бы доказательство ровно там, где находка говорит, что его нет.
• Отрезок исчезает самНаходка считается из расследования заново каждый раз. Приложите источник к одному шагу, и этой цепочки больше нет. Отклонение не может пережить то, на что отвечало.

Несущая связь держит вместе две части расследования: уберите её, и её часть графа распадётся на две, и в каждой будет больше одной записи. Если у такой связи нет доказательства, вывод, соединяющий две части, стоит на одном неподтверждённом утверждении. Карточка называет связь двумя концами и считает записи с каждой стороны. Ложной она связь не называет и важность её не оценивает: число говорит только о размере стороны.

Две записи без связи между собой, у которых два общих соседа и больше, ставят перед вами вопрос. Карточка называет обе записи и их общих соседей, у каждого соседа две связи их обычной формой. Что двое связаны, она не утверждает никогда: правило считает форму окружения, и связь, предложенная им, была бы выдуманным показателем. Один общий сосед находкой не считается, так устроена любая звезда. Два — наименьшее число, при котором совпадение окружения перестаёт быть свойством одной записи.

Находка называет форму, а не смысл. Настоящая ли это связь и насколько она важна, решаете вы. Любое число, которое мы бы здесь поставили, было бы выдуманным, а такие числа здесь запрещены.

Ответов три, те же, что у пробела. «Показать в графе» выделяет на холсте то, о чём находка: отрезок цепочки, несущую связь или две записи с их соседями. «Поставить задачу проверки» открывает Операции, заполненные из находки. «Отклонить» записывает, что вы находку рассмотрели и оставили.

Модель: что она делает и чего не будет делать никогда

Модель стоит в списке пробелов источником предложений рядом с правилами и санкционными списками. Её включают по каждому пространству и спрашивают об одной записи за раз: кнопка «Спросить модель» во вкладке «Доказательства» отправляет эту запись и её связи в Anthropic с вашим ключом. Её ответы истиной не считаются. Каждое предложение приводит цитату из того текста, из которого прочитано, и продукт оставляет предложение, только если каждая цитата стоит слово в слово в названном поле.

• Увидеть то, чего не видит правилоПравило проверяет, пустое ли поле. Модель может заметить, что в описании назван человек, которого в графе нет, или что два поля расходятся в дате. Есть ли имя в графе, проверяет сам продукт, по всему расследованию: графа модель не видела.
• Сформулировать связьЯрлык связи говорит меньше текста: «связан», а в описании написано «директор». Модель предлагает, что это за связь, и приводит фразу, из которой это прочитала.
• Прочитать вложениеТекстовый документ записи, например файл .txt, .csv, .md или .json, уходит модели только своей кнопкой «Спросить вместе с документами». Модель предлагает дату, номер или имя, которые документ называет, а запись не несёт, и продукт сверяет цитату с отправленным текстом. PDF и скан не уходят: их текст на этой машине прочесть нечем, и цитату из них проверить было бы не с чем. До нажатия окно называет каждый документ и говорит, почему какой-то остаётся.

Держатся три границы, и именно они делают модель пригодной для расследования.

• Она никогда не правит записиКаждое её предложение идёт в ту же очередь, что и предложение правила: принять или отклонить. Ничего не меняется за вашей спиной.
• Она всегда говорит, откуда прочиталаПредложение без цитаты было бы выдуманным показателем, а такие здесь запрещены.
• Она включается по каждому пространствуЕё запрос уносит в Anthropic текст одной записи и её связей. Это больше, чем квадрат карты, и больше, чем строка поиска, поэтому продукт не может об этом умолчать. Anthropic по умолчанию хранит запрос и ответ 30 дней, дольше, если запрос проверяют на нарушение правил использования или этого требует закон.

Ключ ваш, и счёт тоже: ответы оплачиваются с вашего счёта в Anthropic. Ключ хранится в этом браузере на этой машине. В файлы пространства и в файл спасения он не попадает, но его прочитает любой, кто может читать хранилище этого браузера.

Ответ хранится в пространстве вместе с тем, что ушло, и едет с экспортом и синхронизацией: второй человек видит, что ответила модель, и не платит за тот же вопрос. Когда запись меняется, её предложения говорят, что спрошено о прежнем виде записи. Новый вопрос заменяет ответ. Предложение отбрасывается и попадает в счёт отброшенных, если хотя бы одна его цитата не нашлась в названном поле.

Санкционные списки: что значит совпадение и чего оно не значит

Загрузить можно три списка, каждый в своей карточке, из файлов, которые вы скачали сами. OFAC SDN берёт SDN.CSV и, по желанию, ALT.CSV с другими именами тех же позиций и SDN_COMMENTS.CSV с остатком длинных примечаний. Сводный список ЕС берёт свой файл CSV версии 1.1. Санкционный список Великобритании берёт свой файл CSV. Продукт ничего не скачивает и ничего не отправляет, файлы читаются на этой машине. Списки хранятся здесь для всех пространств и в файл пространства не попадают. Файл другого списка, выбранный в карточке, не читается: карточка называет список, которому он принадлежит.

Совпадения приходят в «Пробелы» предложениями, по одному на запись и позицию списка, и каждое называет свой список. Ответы те же, что у любого пробела: показать запись в графе, принять задачу проверки или отклонить. Само по себе совпадение в записи ничего не меняет. Отклонённое совпадение возвращается, только если запись совпала с той же позицией сильнее: например, к судну, отклонённому по имени, дописали номер IMO.

• Совпал адрес кошелькаАдрес из имени или описания записи стоит в примечаниях позиции OFAC. Адреса, начинающиеся с 0x, сравниваются без учёта регистра, остальные в точности. Списки ЕС и Великобритании называют кошельки только свободным текстом, и этот текст для них не читается.
• Совпал номер IMOВ записи назван номер IMO (IMO 9123456, IMO No. 9123456 или ИМО 9123456), и те же семь цифр стоят у позиции: в примечаниях OFAC, в документе типа imo у ЕС, в столбце IMO number у Великобритании. Номера сравниваются у записи любого типа.
• Имя совпало полностьюВ имени те же слова, что в имени из списка, в любом порядке: OFAC пишет людей как ФАМИЛИЯ, Имя, а списки ЕС и Великобритании дают имена и другими письменностями. Сравниваются все имена позиции. У компаний правовые формы вроде LLC или ООО не учитываются.
• Все слова имени есть в спискеВсе слова имени записи, не меньше двух, стоят в одном имени из списка. Так Иван Петров находит PETROV, Ivan Sergeevich, и так же находит однофамильца.

Совпадение не доказательство. Однофамильцы и компании с общими словами дают ложные совпадения, а три списка дают их больше, чем один, поэтому сверьте дату рождения, гражданство, адрес и регистрационные номера в позиции списка. Процента похожести нет: число без формулы здесь не показывается.

Отсутствие совпадения тоже ничего не доказывает. Кириллица переводится латиницей по одной таблице, русской системе BGN/PCGN, поэтому сербское имя, записанное по-русски («Костич», а не Kostić), не находит KOSTIC. OFAC обрезает примечания на 1000 знаках и кладёт остаток в SDN_COMMENTS.CSV. Выберите этот файл вместе с SDN.CSV, и остаток прочитается. Без него адрес кошелька или номер IMO из остатка не найдётся. У скольких позиций примечания обрезаны, скажет уведомление после загрузки. Сверка идёт только по этим трём спискам; OpenSanctions не используется, потому что его данные под некоммерческой лицензией.

Дата списка OFAC спрашивается при загрузке. В его файлах её нет, и время скачивания датой списка не считается. Если поле оставить пустым, у каждого совпадения будет сказано, что дата не указана. Файлы ЕС и Великобритании несут свою дату, и карточка говорит, что это дата файла. «Заменить» загружает новые файлы поверх прежних, «Убрать» стирает с этой машины этот один список, остальные остаются. Отклонённые совпадения остаются отклонёнными.

Досье из Wikidata: что берёт и что отправляет

О человеке, организации или судне Wikidata может показать то, что о них там записано: страну, владельцев и руководителей, даты и регистрационные номера. Досье открывается из вкладки «Доказательства» записи кнопкой «Найти в Wikidata». Всё, что показывает досье, — чужое утверждение, а не ваша проверка.

Для каждого пространства оно выключено, пока вы его не включите: то, о чём оно спрашивает, сообщает Wikimedia Foundation, кого расследуют. Уходят имя записи, её номер IMO или код LEI, если они в записи названы, номер открытого элемента и тех, на кого он ссылается, и отмеченные владельцы, всё вместе с адресом этого компьютера. Адрес сайта, на котором открыт продукт, не уходит: запросы идут из рамки-песочницы, у которой своего адреса нет. Включение ничего не отправляет; каждый запрос — отдельное нажатие, и он называет продукт со ссылкой на исходный код: так Wikimedia просит представляться клиентов из браузера. «Открыть в Wikidata» открывает элемент в обычной вкладке браузера, и там Wikimedia видит ваш браузер как обычно, вместе с учётной записью, если вы вошли.

• ПоискПо имени, а если в записи назван номер IMO или код LEI, то и по нему. Элемент, найденный по номеру, стоит первым и помечен.
• Выбор элементаВыбираете вы, даже если кандидат один: в Wikidata есть однофамильцы, как и в санкционном списке.
• Сохранить как документОтвет становится документом записи: файл JSON со временем запроса и SHA-256, как любой приложенный файл. Он уезжает вместе с файлом пространства.
• Добавить связиОтмеченные утверждения становятся связями с записями, помеченными как взятые из Wikidata и здесь не проверенные. Владелец, записанный в Wikidata человеком, встаёт персоной, любой другой — организацией; если на этот вопрос Wikidata не ответила, владельцы не добавляются.

• Дата рожденияТолько чтобы различать однофамильцев. Показывается с той точностью, какая записана в Wikidata: год остаётся годом.
• ГражданствоСтрана, как её записала Wikidata. Гражданств бывает несколько.
• Занимаемая должностьОстаётся в досье и в сохранённом документе, но связью не предлагается: типа записи для должности в продукте нет.
• РаботодательМожно добавить в граф связью с организацией, помеченной как заимствованная.
• Чем владеетПоказывается в досье и остаётся в сохранённом документе. Связью не предлагается.

Сохранение документа или добавление связей заодно связывает запись с элементом. Раздел Wikidata у записи тогда называет элемент, и досье открывается сразу на нём, без поиска, а «Назад к поиску» ведёт к поиску. Связь ставит только ваше нажатие в досье, совпадение имени её не ставит. Владелец, с которым связана одна из ваших записей, получает связь, и второй записи для него не заводится. Запись, которую вы не связали, по-прежнему может оказаться в графе дважды: вашей и заимствованной. «Отвязать» снимает связь, а документ и уже добавленные связи остаются. Копия записи связи не наследует. Подпись второго человека связь с элементом покрывает. Утверждение, где элемент называет сам себя, показывается, но связью не предлагается: связи записи с самой собой нет.

О человеке досье никогда не берёт утверждений о супруге, детях, отце и матери, братьях и сёстрах, других родственниках, партнёрах и месте жительства. Это граница SCOPE.md: человек в расследовании стоит в том качестве, в каком его называет публичная запись, а семья и жильё к этому качеству не относятся. Краткое описание элемента сохраняется так, как его написали редакторы Wikidata, и изредка в нём назван родственник. Родственники публичных должностных лиц (проверка PEP) — отдельное решение.

Совпадение имени не доказательство, и «ничего не найдено» тоже: Wikidata неровная, у небольших компаний записи часто нет, у крупных она бывает устаревшей. У каждого утверждения стоит число источников, которые даёт сама Wikidata, и это число бывает нулём; импорт из Википедии источником не считается.

Досье показывает Wikidata на момент запроса: несохранённое досье завтра может выглядеть иначе, а сохранённый документ этот момент фиксирует. Даты показываются с той точностью, какая записана, поэтому день и месяц, которых нет в источнике, не подставляются. Если Wikidata отказывает из-за частых запросов, окно говорит об этом, когда отказ можно прочитать, и называет число секунд, если ответ его показывает; иначе пишет, что Wikidata не ответила. Сам продукт запрос не повторяет.

Структурированные данные Wikidata идут под CC0, которая ничего не требует. Продукт всё равно называет источник: заимствованная запись обязана говорить, откуда она взялась. Текст статей Википедии не забирается.

Снимок домена: что спрашивает и у кого

У записи любого типа снимок спрашивает о домене открытые службы и сохраняет их ответы документом: когда и у какого регистратора зарегистрирован домен, его серверы имён и почты, какие имена стояли в его сертификатах и видел ли сайт веб-архив. Снимок открывается из вкладки «Доказательства» записи кнопкой «Снять снимок домена». Окно предлагает адреса сайтов, написанные в записи, и имена доменов из неё в зоне страны или в распространённой общей зоне; выбираете вы или пишете своё. Снимок показывает ответы служб на момент запроса, и в этом расследовании в них ничего не проверялось.

Для каждого пространства снимок выключен, пока вы его не включите: он сообщает сторонним службам, какой домен изучают. Имя домена уходит реестру зоны, регистратору, которого назовёт реестр, Cloudflare, crt.sh и Internet Archive, всё вместе с адресом этого компьютера. Список реестров IANA запрашивается без имени. Адрес сайта, на котором открыт продукт, не уходит: запросы идут из рамки-песочницы, у которой своего адреса нет, и рамка спрашивает только имена в общей сети и только по https. Серверы самого домена не спрашиваются никогда: их хозяин видит в журналах каждого посетителя, поэтому окно пишет имя простым текстом, без ссылки, а DNS идёт через резолвер. Не спрашивается и служба под общим с доменом именем: иначе снимок www.verisign.com спросил бы реестр .com самой Verisign. Перенаправление окно называет и не выполняет. Адреса IP и имена домашних и офисных сетей не спрашиваются, но имя в общей сети, которое ведёт в вашу сеть, по имени не распознать. Включение ничего не отправляет. Снимок — одно нажатие, и сам продукт ничего не повторяет.

• Регистрационные данныеСписок IANA называет реестр зоны, а реестр — регистратора с его номером IANA, даты регистрации, окончания и последнего изменения, коды состояния, серверы имён и подписана ли зона DNSSEC. Реестр, который хранит владельца сам, называет ещё его организацию и страну. Реестр знает только зарегистрированные имена: об имени, которого он не знает, окно пишет, что это может быть поддомен. Многие национальные зоны RDAP не публикуют, среди них .ru, .рф, .de, .eu и .io. Их реестры отвечают только по WHOIS, куда браузер не ходит, и окно называет зону.
• Данные регистратораРегистратор, которого назвал реестр, по ссылке из ответа реестра, поэтому без реестра его не спросить. Если реестр не ответил об этом имени, не назвал регистратора или назвал его по адресу, который снимок не спрашивает, окно говорит, что именно. От владельца берутся только организация и страна, а реестры и регистраторы обычно скрывают и их.
• DNSCloudflare отвечает о записях A, AAAA, MX, NS, TXT и SOA домена и о CNAME у www. Серверы имён домена видят резолвер Cloudflare, ваш адрес им не приходит. Ответ DNS верен для момента и места вопроса: другой резолвер или другое время дают другие адреса.
• Сертификатыcrt.sh, служба Sectigo, читает журналы прозрачности сертификатов: имена в сертификатах, издателя и сроки. В журналах только публично доверенные сертификаты, и старых там может не быть. Имя в сертификате не доказывает, что поддомен когда-то работал. Окно считает найденные сертификаты отдельно от сохранённых в документе: список обрывается на тысяче, а сертификаты почты не сохраняются. crt.sh бывает недоступен часами, и тогда часть пишет, что ответа нет.
• АрхивInternet Archive называет ближайший и самый ранний снимок сайта, для домена и для www. Его ответ меняется от запроса к запросу, поэтому фактом считается только названный снимок: пустой ответ записывается как «архив снимка не назвал», и он не значит, что сайт не архивировался.

От владельца снимок берёт только организацию и страну. Имя, почта, телефон, улица и форма связи не берутся никогда, даже если регистратор их не скрыл, как и остальные контакты домена: это граница SCOPE.md. Почтовый ящик администратора из SOA не берётся, строка TXT с адресом почты выбрасывается целиком, адреса почты среди имён в сертификатах и в имени их издателя тоже. Кто совершил действие с доменом, из событий не берётся. Поле субъекта сертификата засчитывается, только когда повторяет одно из его имён: у сертификата почты там имя человека. В документе перечислено, что не взято и почему. В поле организации иногда стоит имя частного человека; продукт этого не различает, и сохранять ли документ, решаете вы.

Каждая часть ждёт ответа 20 секунд. Отказ или молчание одной части остальные не останавливает, и состояние части сказано словами: ничего не найдено, отказ с кодом, служба попросила паузу, нет ответа, ответ перенаправлением, по которому снимок не ходит, ответ о другом имени. Реестры разрешают законное использование и запрещают массовые автоматические запросы, поэтому снимок снимается по нажатию, по одному: пакетов и расписания нет, и отказавшую часть продукт сам не переспрашивает.

«Сохранить как документ» кладёт ответы в файл JSON записи со временем снимка и его SHA-256, как любой приложенный файл, и этот файл попадает в файл пространства вместе с остальными документами. Хеш показывает, что документ не менялся после сохранения. Что служба ответила именно это, он не покажет: ответы ничем не подписаны. Условия, которые каждый реестр и регистратор присылает в ответе, лежат в документе так, как пришли.

Кроме нового документа и времени правки, запись не меняется. Дата регистрации домена принадлежит домену и датой записи не становится. Время снимка — это время, когда пришли ответы, и датой события оно тоже не считается. Новых записей и связей снимок не добавляет.

Записи, взятые со стороны

Запись, привезённая из чужой базы, — это чужое утверждение, а не ваша проверка. CATK помечает каждую такую запись и пишет источник и лицензию в поле доказательства, то есть туда, куда аналитик действительно смотрит.

Сама эта фраза доказательством не считается: она называет, откуда запись пришла, и говорит, что здесь её не проверяли. Запись или связь, у которой больше ничего нет, считается без доказательства: её линия на холсте пунктирная, а «Пробелы» её называют. Шаг «Источник назван» она при этом проходит, потому что источник назван. Ваши слова рядом с этой фразой считаются доказательством, как и раньше.

Лицензию спрашивают потому, что она решает, что можно делать с работой, построенной на этих записях. Она написана на странице самого набора данных, и вот те, что встречаются чаще всего:

• unknownЛицензия не названа. Это честный ответ, и продукт его принимает: выдуманная лицензия была бы выдуманным фактом, а такие здесь запрещены.
• CC0Условий нет вовсе. Пользуйтесь, меняйте, продавайте; называть автора даже не обязательно.
• CC BY 4.0Что угодно, включая работу за деньги, если автор назван там, где вы это используете.
• CC BY-SA 4.0Что угодно, если автор назван и всё построенное на этом идёт под той же лицензией: закрыть то, что было открытым, нельзя.
• CC BY-NC 4.0Автор назван, а зарабатывать нельзя. Набор под этой лицензией не годится для продукта, который вы продаёте.
• ODbLСделана для баз данных: назовите источник, и изменённая вами база остаётся открытой на тех же условиях.

Это короткая справка, текста лицензии здесь нет. Полные условия лежат вместе с набором данных, и когда ответ важен, например для платного продукта или перевыпуска базы, читать надо там. CATK только записывает то, что вы ему сказали.

Что уходит с этой машины

По умолчанию — ничего. Расследование хранится в этом браузере, контур мира лежит внутри приложения, и продукт не делает ни одного запроса от вашего имени, пока вы не включите источник или синхронизацию.

Каждый источник включается по каждому пространству отдельно, и каждый называет свою цену прямо на том экране, где вы его включаете:

• Плитки карты (OpenStreetMap)Каждый сдвиг карты сообщает их серверам, какой квадрат земли вы рассматриваете. По серии таких запросов можно восстановить район расследования.
• Спутниковые плитки (Sentinel-2, от EOX)Тот же квадрат земли, только с десятью метрами на точку, и ещё один предел сверх самого запроса: лицензия некоммерческая. В день, когда за продукт берут деньги, эту подложку надо снимать или покупать лицензию отдельно.
• Поиск места (Nominatim)Набранное название уходит в OpenStreetMap или на другой сервер Nominatim, который вы назовёте для этого пространства кнопкой «Сменить справочник» в редакторе записи. Координаты подставляются только из выбранного вами варианта: продукт сам никогда не превращает название в точку.
• Публичные камеры (YouTube, Fintraffic, USGS)Все три списка мест лежат внутри приложения и ни у кого не запрашиваются. Открытие трансляции запускает плеер YouTube: Google узнаёт ваш адрес и то, какое место вы смотрите, — это больше, чем квадрат карты. Этот список собран из worldwatcher.live, который лицензии не заявляет; здесь это сказано прямо, а не додумано. Открытие дорожной камеры загружает её последний снимок с Fintraffic: Fintraffic узнаёт ваш адрес и то, какую камеру вы открыли. Дорожные камеры — открытые данные Fintraffic по лицензии CC BY 4.0, и карта называет их той строкой, которую просят условия. Открытие камеры на реке загружает её последний снимок из корзины USGS на Amazon S3: USGS и Amazon узнают ваш адрес и то, какую камеру вы открыли. Снимки USGS — общественное достояние, и карта называет Геологическую службу США строкой, которую она просит.
• Досье из Wikidata (Wikimedia Foundation)Поиск отправляет имя записи, а если в ней назван номер IMO или код LEI, то и его; открытие элемента отправляет его номер и номера тех, на кого он ссылается. Всё это уходит вместе с вашим адресом: Wikimedia узнаёт, кого вы расследуете. Каждый запрос идёт по нажатию, а не на каждую букву.
• Снимок домена (реестры, Cloudflare, crt.sh, Internet Archive)Снимок отправляет имя домена реестру зоны, регистратору, которого назовёт реестр, Cloudflare (DNS), crt.sh (сертификаты) и Internet Archive; список реестров IANA запрашивается без имени. Всё это уходит вместе с вашим адресом, и каждая служба узнаёт, какой домен изучают. Серверы самого домена не спрашиваются никогда.
• Модель (Anthropic)Каждое нажатие «Спросить модель» отправляет одну запись и её связи: имя, тип, описание, доказательство, место и дату записи, а у каждой связи другой конец, ярлык и доказательство. Всё это уходит с вашим ключом, вашим адресом и адресом этого сайта. Anthropic по умолчанию хранит запрос и ответ 30 дней. Клиент модели загружается только при первом вопросе.
• Сервер синхронизации (свой)Включается в окне «Синхронизация», для одного пространства. Всё расследование этого пространства уходит на сервер, зашифрованным на этом устройстве, и сервер его прочитать не может. Видит он, кто пишет, когда и сколько, и адрес вашего компьютера.

Запросы ко всем этим источникам, кроме Wikidata, снимка домена и снимков дорожных камер, называют и сайт, на котором открыт продукт: схему, имя и порт, без самой страницы. На этой машине это местный адрес вроде 127.0.0.1, и он ничего не говорит; на хостинге это имя установки, и источник узнаёт, чья установка спрашивает. Браузер кладёт этот адрес в заголовок Origin каждого запроса, чей ответ читает страница, и страница убрать его не может. Поэтому запросы Wikidata и снимка домена уходят из рамок-песочниц, у которых своего адреса нет: в них нет Referer, а в Origin стоит null. Условия OpenStreetMap требуют Referer у плиток карты и у поиска места, поэтому там он остаётся. Снимок дорожной камеры грузится обычной картинкой: у такого запроса нет Origin, а Referer продукт снимает.

Пока пространство не включило синхронизацию, записи и вложения остаются на этой машине: граф в хранилище браузера, файлы в его базе. Экспорт пишет файл, который остаётся у вас, и никуда его не отправляет.

«Экспорт → Рабочее пространство» кладёт всё расследование в один файл .catk: граф, статьи, задачи проверки и сами документы. Это обычный архив, поэтому тот, кому вы его отправите, откроет его любой распаковывающей программой и прочитает документы даже без CATK.

Если документы весят больше примерно 200 МБ, продукт сначала спросит: файл такого размера браузер может не собрать. Можно отправить без них — тогда документы будут в файле названы, но не приложены.

Перед записью файла продукт предлагает зашифровать его парольной фразой. Прочитать зашифрованный файл можно только с этой фразой, где бы файл ни оказался: на флешке, в письме, в облачной папке.

Обратного пути нет. Если фразу забыть, файл не откроет никто, включая вас: ключа нет ни в файле, ни где-либо ещё. Шифруется только файл, а не расследование в браузере, поэтому забытая фраза стоит одного файла, а не всей работы.

Синхронизация: общее пространство на сервере, который его не читает

Синхронизация даёт работать в одном пространстве нескольким людям. Она выключена, пока вы не включите её для пространства в окне «Синхронизация». Окно открывается строкой состояния в боковой панели (на телефоне — в «Ещё») и говорит, что увидит сервер, до кнопки «Включить синхронизацию».

• Ваша карточкаУ каждого человека есть ключ подписи, а на каждой машине — ключ устройства, за который ключ подписи ручается. Скачайте карточку, отдайте её тому, кто вас добавит, и прочитайте ему отпечаток голосом или при встрече.
• Позвать по карточкеКарточка показывает имя, за которое никто не ручается, и отпечаток из восьми групп. Сверьте отпечаток с этим человеком до того, как добавить его: карточка с другим отпечатком принадлежит кому-то другому.
• Открыть здесьДобавленный находит пространство в «Приглашениях» и открывает его у себя новым пространством. Название едет в журнале, зашифрованным вместе со всем остальным, и приходит с первой синхронизацией: сервер названий не знает. Переименовать пространство может любой участник кнопкой ✎ в его строке на боковой панели, и новое название дойдёт до остальных тем же путём.
• Правки уходят самиЧерез две секунды после правки, при возвращении во вкладку и раз в полминуты. Каждая запись зашифрована, подписана устройством автора и связана с предыдущей, и запись, которая не сходится, не применяется вовсе.
• РасхожденияКогда одну запись изменили и здесь, и у другого человека, стоит версия журнала, а ваша ждёт в окне. «Оставить из журнала» или «Взять мою»: тогда ваша версия уходит в журнал новой правкой.

Сервер видит, кто заходит, откуда и когда, кто в каком пространстве и с какой ролью, сколько записей и байт пишет каждый. Имён, связей, доказательств, текстов и документов он не видит. Он может придержать новые записи или показать двум людям два разных журнала. Каждое устройство ставит подписанную отметку о том, докуда прочитало, и отметка, которая ушла дальше вашего журнала или расходится с ним, останавливает синхронизацию, а окно называет причину. Сервер, который прячет отметки, ловится только мимо него: прочитайте код головы журнала другому участнику голосом или в мессенджере, и он сверит его в разделе «Сверка журнала».

Ключ подписи — это ваше имя. У кого он есть, тот войдёт под вашим именем и отзовёт ваши устройства, но не прочитает ни одного пространства, пока участник не запечатает его ключ его устройству. Копия под парольной фразой сохраняет вам имя, если машина потеряна, и кто её откроет, станет вами.

Документы тоже ездят. Каждый шифруется своим ключом, и ключ едет внутри записи журнала, а сервер хранит шифротекст под случайным именем и видит его размер. На других машинах документ приходит со следующей синхронизацией и кладётся, только если открылся своим ключом и совпал со своим хешем. Сколько документов не пришло, окно называет числом, и следующая синхронизация попробует снова. Документ, которого больше не называет ни одна запись, уходит с сервера, когда журнал примет запись, которая его отпустила. Что успели скачать раньше, остаётся на машинах, где оно лежит.

Когда участника убирают, пространство получает новый ключ, и написанное после его ухода он не прочтёт. Прочитанное раньше остаётся у него.

Качество данных: в чём ошибается источник

Каждый источник, которого может спросить продукт, даёт ответ, и ответ бывает запоздалым, неполным, смоделированным или неверным. Продукт ставит источник рядом с тем, что тот принёс, чтобы его можно было взвесить. Кому верить, решаете вы.

• Санкционные списки (OFAC, ЕС, Великобритания)Файлы, которые вы скачиваете сами. Файл OFAC датируете вы, у файлов ЕС и Великобритании дата своя. Совпадение по имени бывает однофамильцем, а три списка дают их больше. Примечания длиннее 1000 знаков OFAC выносит в SDN_COMMENTS.CSV, и он читается, только если выбран вместе с SDN.CSV.
• WikidataПишут добровольцы. Утверждение без ссылки — чьё-то слово, и досье считает ссылки, которые видит, у каждого утверждения.
• OpenStreetMap и поиск местаКарты сообщества. Место бывает поставлено не туда или названо иначе. Точку продукт ставит, только когда вы её выбрали.
• Спутниковые снимкиБезоблачная мозаика за один год. Она показывает землю такой, какой та была в тот год.
• Публичные камерыТрансляции чужих людей, снимки дорожных камер Fintraffic и снимки камер USGS на реках. Камера бывает выключена, перенесена или смотрит не туда, куда говорит список. Снимок дорожной камеры — последний опубликованный, он обновляется примерно раз в 10 минут, и когда он снят, продукт не знает. Камера на реке снимает раз в 5–60 минут. Замолчавшая камера продолжает показывать свой последний снимок, бывает, многомесячной давности, и снимок об этом не скажет. Камеры, молчавшие на день сбора дольше недели, в список не взяты, но камера может замолчать и после сбора.
• Записи из другой системыЗаписи, привезённые через FollowTheMoney, — утверждения другой команды. Они приходят помеченными как заимствованные и здесь не проверенные.
• Снимок доменаРеестры и серверы имён отвечают в ту минуту, когда их спросили. Назавтра ответ может быть другим, и документ хранит время снимка.
• Модель (Anthropic)Модель может прочитать неверно, придумать имя или пропустить главное. Цитата, найденная в тексте, показывает, где модель это прочитала, но не то, что прочитала верно. Спросите снова, и ответ может быть другим.

То же правило действует и для чисел самого продукта. Число либо посчитано из данных и объяснено, либо его нет. Четыре отметки проверенности считают, что сделано для проверки записи, и не говорят, верна ли она.