مداهمة مولفاد.. والشرطة السويدية تخرج خاوية اليدين

عندما جاءت الشرطة إلى مولفاد وخرجت بلا شيء

في صباح الثلاثاء 18 أبريل 2023، وصل ستة ضباط على الأقل من قسم العمليات الوطنية السويدية إلى مقر شركة مولفاد VPN في غوتنبرغ، وبحوزتهم أمر تفتيش. وبعد يومين، نشرت الشركة تدوينة قصيرة توثّق ما جرى. لكنّ المفاجأة الكامنة في تلك التدوينة لم تكن وقوع المداهمة ذاتها، بل أنّ الضباط غادروا دون أيّ معدات، ودون سجلات، ودون بيانات حسابات، ودون أيّ وسيلة تُمكّنهم من تتبع العميل الذي جاؤوا خصّيصاً للبحث عنه. في صناعة تفيض نصوصها التسويقية بعبارة "عدم الاحتفاظ بالسجلات"، كانت هذه المرّة الأولى في الاتحاد الأوروبي التي يُجبر فيها أحد أبرز المدافعين عن هذا الوعد على إثبات صحته بموجب أمر تفتيش قانوني.

تكتسب النظرة الرجعية أهميتها من أن النتيجة لم تكن بلاغية، بل هيكلية.

ما جرى فعلياً بين 18 و20 أبريل

التسلسل الزمني، المُركّب من بيان مولفاد نفسها وتقارير The Register وBleeping Computer اللاحقة، قصير. وصل ضباط من قسم العمليات الوطنية إلى المقر الرئيسي في غوتنبرغ صباح اليوم الثامن عشر. وتفيد مولفاد بأن أمر التفتيش أذن بمصادرة "أجهزة كمبيوتر تحتوي على بيانات العملاء" المرتبطة بمشتبه محدد. ويشير ملخص ويكيبيديا اللاحق للحادث، مستنداً إلى الصحافة السويدية، إلى أن التحقيق الأصلي مرتبط بقضية ابتزاز وصلت عبر طلب من السلطات الألمانية، رغم أن مولفاد نفسها امتنعت عن تأكيد الاختصاص القضائي الأصلي أو طبيعة الجريمة المزعومة.

ما تلا ذلك، بعبارات مولفاد نفسها في 20 أبريل، كان تفاوضاً لا مصادرة. "جادلنا بأنه لا يوجد ما يدعوهم للتوقع العثور على ما يبحثون عنه، وأنّ أي مصادرة ستكون غير قانونية بموجب القانون السويدي"، كتبت الشركة، مستشهدة بقاعدة إجرائية من عام 1942 تحظر على السلطات نقل الممتلكات حين يكون التوقع المعقول للعثور على أدلة قد سقط بالفعل. ثمّ قام الموظفون الحاضرون بإرشاد الضباط عبر بنية الخدمة. "بعد أن أوضحنا لهم كيف تعمل خدمتنا فعلاً، واستشاروا المدعي العام، غادروا دون أخذ أي شيء ودون أي معلومات عن العملاء"، تابعت التدوينة. وتضيف المدونة جملة يجدر التأمل فيها: "لو أخذوا شيئاً، لما كان ذلك ليمنحهم وصولاً إلى أي معلومات عن العملاء". يبدو أن مولفاد تقول إنّ فكرة المصادرة كانت عقيمة منذ البداية.

وبحلول 20 أبريل، كانت التدوينة منشورة على mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised، وخلال ثماني وأربعين ساعة التقطها Bleeping Computer وThe Register وTorrentFreak ومعظم الصحافة المتخصصة في الخصوصية.

لماذا لم يكن هناك ما يُصادر

القرارات المعمارية التي اتخذتها مولفاد تدريجياً منذ تأسيسها عام 2009 على يد دانييل برنتسون وفريدريك ستريمبيرغ، هي التي أدّت إلى انهيار أمر التفتيش عند التنفيذ. أربعة خيارات محددة قامت بالعمل ذاك اليوم:

• إنشاء الحساب لا يتطلب سوى رقم عشوائي مؤلف من ستة عشر رقماً. لا اسم مستخدم، ولا بريد إلكتروني، ولا سؤال أمان، ولا رقم هاتف، ولا قناة استرداد. العميل الذي يفقد الرقم يفقد حسابه، وهذا ثمن عدم وجود ما يمكن استدعاؤه.
• الدفع يمكن أن يتم بـ XMR أو BTC أو نقداً بالبريد في ظرف عادي، أو عبر قنوات تقليدية، لكنّ لا وسيلة من هذه الوسائل تُربط برقم الحساب بطريقة قابلة للاستعلام بعد اكتمال الشحن. المحققون الذين يتتبعون كشف حساب بطاقة لا يصلون بالتالي إلى شخص.
• منذ عام 2019، نقاط نهاية VPN تعمل على ذاكرة الوصول العشوائي فقط. الخوادم تقلع من صورة نظيفة، ولا تحتفظ بحالة دائمة على القرص، وتفقد كل شيء عند إعادة التشغيل. الجهاز المُصادر من مركز البيانات لن يُنتج أي بيانات جلسات سابقة حتى لو فُحص في الموقع.
• خضعت الشركة وعملاؤها وخلفيتها لمراجعة مستقلة، بدءاً من اختبار الاختراق Cure53 في سبتمبر 2018 ومستمرة عبر عمل Assured AB في 2020 والجولات اللاحقة، بحيث فحصت جهات لا مصلحة تجارية لها في تجميل الصورة الادعاءات المتعلقة بالبنية.

هذه ليست شعارات تسويقية مُلحقة بسياسة خصوصية. إنها قرارات تُقيّد المنتج. عميل ينسى رقم حسابه هو عميل مفقود. الدفع نقداً بالبريد مُرهق تشغيلياً للتسوية. أساطيل ذاكرة الوصول العشوائي فقط أغلى تشغيلياً من تلك المدعومة بالأقراص. البنية مكلفة، وهذه التكلفة هي ما يجعل ادعاء عدم الاحتفاظ بالسجلات قابلاً للتحقق بدلاً من أن يكون مجرد طموح.

يستحق الذكر، في ذات الإطار الرجعي، أن مولفاد أعلنت بعد شهر من المداهمة أنها ستتخلى عن إعادة توجيه المنافذ تماماً، مع سريان التغيير في 1 يوليو 2023. ربطت الشركة القرار بإساءة استخدام الميزة من قبل عدد قليل من المستخدمين والضغط الناتج من مزودي الاستضافة المنبثقين، لكن التوقيت جعل الارتباط بحادث أبريل مستحيل التجاهل.

التباين مع ProtonVPN، 2021

كان المدافعون عن الخصوصية سريعين في مقارنة نتيجة غوتنبرغ بحادث 2021 المتضمن ProtonMail وأختها خدمة VPN، ومقرهما سويسرا. في تلك القضية، أمر صادر عن محكمة سويسرية بناءً على طلب السلطات الفرنسية التي تحقق مع ناشط مناخي مرتبط بحركة Youth for Climate، أجبر Proton على تسجيل عنوان IP الخاص بالحساب المستهدف. امتثل Proton، لأن القانون السويسري يسمح بالضبط بهذا النوع من الإكراه بمجرد صدور أمر قضائي، ولأن البنية تركت مجالاً للشركة للامتثال حين يُطلب منها ذلك.

الفرق التعليمي ليس أن إحدى الشركتين فاضلة والأخرى لا. Proton، بمعظم المقاييس، مشغل جاد. الفارق هو أن نموذج Proton للخصوصية يعتمد على وعد قانوني في اختصاص قضائي يستطيع تجاوز الوعد، بينما يعتمد نموذج مولفاد على نظام لا يستطيع إنتاج البيانات حتى لو رغبت الشركة بصدق في أن تتمكن من ذلك. أحد النموذجين هو عدم الاحتفاظ بالسجلات عن طريق السياسة، والآخر هو عدم الاحتفاظ بالسجلات عن طريق التصميم. كانت مداهمة أبريل 2023 أول اختبار أوروبي للضغط يرسم هذا الفارق علناً.

ما يغيّره هذا في "عدم الاحتفاظ بالسجلات" كفئة

مئات خدمات VPN تعلن عدم الاحتفاظ بالسجلات على الإطلاق. عدد قليل جداً منها وُضع في موضع لإثبات ذلك. دخلت Private Internet Access القائمة في 2016، حين أعاد أمر استدعاء من FBI في تحقيق خدعة Preff Cummings لا شيء قابلاً للاستخدام. انضم ExpressVPN في 2017، حين صادر محققون أتراك خادماً في تحقيقهم باغتيال السفير الروسي في أنقرة ولم يجدوا سجلات ذات صلة. تضع نتيجة مولفاد في أبريل 2023 الشركة في هذا الصف النادر، وتفعل ذلك بموجب أمر تفتيش نُفذ شخصياً لا أمر قدم على الورق.

هذا التمييز جوهري. أمر استدعاء مُسلّم لمحامي شركة أمريكية نوع واحد من الاختبار. وصول ستة ضباط من قوة شرطة وطنية إلى مكتب في غوتنبرغ بسلطة قانونية للخروج بأجهزة هو اختبار مختلف. حقيقة أن البنية صمدت في الحالة الثانية، أمام مدعٍ عام يمكن الاتصال به في الوقت الفعلي، هي أقوى دليل متاح على أن الادعاء ليس مجرد مسرحية.

ما يغيّره هذا في الدليل

الحكم من هذا المكتب واضح. لقد عاملنا، حتى الآن، التدقيق المستقل الحديث كأعلى معيار لادعاء VPN بعدم الاحتفاظ بالسجلات. بعد غوتنبرغ، نُدخل طبقة فوق ذلك: البقاء الموثّق لمحاولة مصادرة فعلية من إنفاذ القانون، في اختصاص قضائي به محاكم عاملة، مع نتيجة يمكن التحقق منها عبر إفصاح المشغل نفسه والتغطية الصحفية المعاصرة. تجلس مولفاد الآن في هذه الطبقة. معظم بقية السوق لا يفعل.

التضمين لجانب الاستضافة في الدليل موازٍ. المشغلون الذين تعتمد بنيتهم على غياب البيانات المجمعة، لا على وعد بعدم مشاركة البيانات المجمعة، يستحقون وزناً أكبر في ترتيباتنا. إدراجنا الحالي لـ [1984 Hosting](/service/1984-hosting) في ريكيافيك، الذي يعمل بنفس المبدأ العريض، يصبح أكثر إثارة في هذا الضوء لا أقل. نفضل أن نوصي بخدمة لا تستطيع خيانة مستخدميها على واحدة وعدت فقط كتابةً بأنها لن تفعل.

المصادر

• Mullvad VPN, Mullvad VPN was subject to a search warrant (April 20, 2023)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

سجل التعديلات

• 2023-04-22 : المسودة الأولى مُقدمة بعد قراءة تدوينة مولفاد مرتين والتحقق المتقاطع لتاريخ أمر التفتيش مقابل تقارير The Register. تم الاحتفاظ بالنشر حتى وصلت مقالة Bleeping Computer، وهو ما حدث مساء الجمعة.
• 2023-04-26 : تمت إضافة القائمة المعمارية بعد مكالمة هاتفية طويلة مع صديق يدير عملية استضافة صغيرة في ستوكهولم وأرشدني عبر ما تكلفه أسطول ذاكرة الوصول العشوائي فعلياً للتشغيل مقارنة بأسطول مدعوم بالأقراص. تم حذف فقرتين من التكهنات حول قضية الابتزاز الأساسية لأن الصحافة السويدية لم تؤكد الاختصاص القضائي.
• 2023-05-02 : تم إدراج مقارنة ProtonVPN 2021 بعد أن أرسل قارئ بريداً إلكترونياً يسأل لماذا لم أذكرها. أعدت قراءة تقرير شفافية Proton من سبتمبر 2021 ووكالة رويترز للتأكد من تفصيل الناشط المناخي بشكل صحيح. تمت إزالة سطر سابق بالغ في لوم Proton.
• 2023-05-09 : لم يكن إعلان مولفاد سحب إعادة توجيه المنافذ في 29 مايو قد أُعلن بعد عند كتابة هذه المقالة لأول مرة، لذا أضفت جملة استباقية تلاحظ التوقيت. سأعيد الزيارة بمجرد سريان التحول في 1 يوليو.
• 2023-05-15 : المرور النهائي على قسم الحكم. أعدت كتابة الفقرات الختامية لجعل طبقة "البقاء الموثق لأمر التفتيش" الجديدة صريحة بدلاً من ضمنية، وأضفت الرابط المتقاطع لإدراج 1984 Hosting بعد التأكد مع محرر الدليل أن الإدراج لا يزال نشطاً.