মুলভ্যাড অফিসে পুলিশি তল্লাশি: হাতশূন্য ফেরা সেই রেইড, যা ইউরোপের 'নো-লগস' মODEL

পুলিশ যখন মুলভ্যাডের দরজায় কড়া নাড়ল, আর খালি হাতেই ফিরে গেল

২০২৩ সালের ১৮ এপ্রিল, মঙ্গলবার। সুইডিশ ন্যাশনাল অপারেশন্স ডিপার্টমেন্টের কমপক্ষে ছয়জন কর্মকর্তা হাতে সার্চ ওয়ারেন্ট নিয়ে হাজির হলেন মুলভ্যাড VPN-এর গোটেবর্গ কার্যালয়ে। দুদিন পর কোম্পানি একটি সংক্ষিপ্ত ব্লগ পোস্ট প্রকাশ করে, যেখানে ঘটনার সত্যতা মিললেও মূল শিরোনাম ছিল অন্য কথা। পোস্টে স্পষ্ট হয়, কর্মকর্তারা কোনো সরঞ্জাম, কোনো লগ, কোনো অ্যাকাউন্ট রেকর্ড, আর যে গ্রাহককে খুঁজছিলেন তার কোনো হদিস ছাড়াই বিদায় নিয়েছেন। যে শিল্পে "নো-লগস" বলে বিপণন কপি ছড়িয়ে ছিটিয়ে আছে, সেখানে EU-তে এই প্রথম একজন সবচেয়ে জোরালো সমর্থককে বৈধ সার্চ ওয়ারেন্টের মুখোমুখি হতে হলো, আর সে প্রমাণ করলো নিজের প্রতিশ্রুতি।

এই প্রত্যাবর্তন গুরুত্বপূর্ণ কারণ ফলাফলটি কেবল কথার লড়াই ছিল না। এটি ছিল গঠনগত।

১৮ থেকে ২০ এপ্রিল, আসলে কী ঘটেছিল

মুলভ্যাডের নিজস্ব বিবৃতি এবং The Register ও Bleeping Computer-এর ফলো-আপ রিপোর্টিং থেকে ঘটনাপ্রবাহ এভাবে সাজানো যায়। ১৮ তারিখ সকালে NOA-এর কর্মকর্তারা গোটেবর্গ সদর দফতরে উপস্থিত হন। মুলভ্যাডের বর্ণনায়, ওয়ারেন্টে একটি নির্দিষ্ট সন্দেহভাজনের সাথে সংযুক্ত "গ্রাহক তথ্যসহ কম্পিউটার" জব্দ করার অনুমোদন ছিল। সুইডিশ প্রেসের ভিত্তিতে ঘটনার উইকিপিডিয়ার পরবর্তী সারাংশে বলা হয়, অন্তর্নিহিত তদন্ত জার্মান ল এনফোর্সমেন্টের একটি অনুরোধের মাধ্যমে রুট করা হয়েছিল, যা একটি ব্ল্যাকমেইল মামলার সঙ্গে জড়িত। তবে মুলভ্যাড নিজেই উৎপত্তি জুরিসডিকশন বা অভিযুক্ত অপরাধের প্রকৃতি নিশ্চিত করতে অস্বীকৃতি জানায়।

মুলভ্যাডের ২০ এপ্রিলের পোস্ট অনুযায়ী, এরপর যা ঘটেছিল তা জব্দের বদলে একটা আলোচনা। "আমরা যুক্তি দেখিয়েছিলাম যে তারা যা খুঁজছেন তা পাওয়ার কোনো কারণ নেই, তাই যেকোনো জব্দ সুইডিশ আইনে অবৈধ হবে," কোম্পানি লিখেছিল, ১৯৪২ সালের একটি পদ্ধতিগত নিয়মের উল্লেখ করে; যে নিয়ম সুইডিশ কর্তৃপক্ষকে সম্পত্তি নিয়ে যেতে বাধা দেয় যখন প্রমাণ পাওয়ার যুক্তিসঙ্গত প্রত্যাশা ইতিমধ্যে খণ্ডিত হয়ে গেছে। উপস্থিত স্টাফ তখন কর্মকর্তাদের সেবার আর্কিটেকচার ধরে ধরে দেখালেন। "আমাদের সেবা কীভাবে কাজ করে তা প্রদর্শন করার পর, এবং প্রসিকিউটরের সঙ্গে পরামর্শ করার পর, তারা কিছু না নিয়েই, কোনো গ্রাহক তথ্য ছাড়াই চলে গেল," পোস্টে আরও লেখা আছে। ব্লগে এক লাইন বারবার পড়া উচিত: "তারা যদি কিছু নিয়েও যেত, তাতেও কোনো গ্রাহক তথ্যে তাদের অ্যাক্সেস মিলত না।" মুলভ্যাড যেন বলছে, জব্দের প্রশ্নটা শুরুর আগেই অপ্রাসঙ্গিক ছিল।

২০ এপ্রিলের মধ্যে পোস্টটি mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised-এ প্রকাশিত হয়, আর আটচল্লিশ ঘন্টার মধ্যে Bleeping Computer, The Register, TorrentFreak এবং প্রাইভেসি প্রেসের বেশিরভাগই তা তুলে নেয়।

নেওয়ার মতো কিছু ছিল কেন না

মুলভ্যাডের আর্কিটেকচারাল সিদ্ধান্তগুলো, ২০০৯ সালে ড্যানিয়েল বার্নটসন এবং ফ্রেডরিক স্ট্রোমবার্গ কোম্পানি প্রতিষ্ঠার পর থেকে ধীরে ধীরে নেওয়া, সেই দিন ওয়ারেন্টের মুখোমুখি হওয়ার কারণ। চারটি নির্দিষ্ট পছন্দ বিশেষভাবে সেই দিন কাজে লেগেছিল:

• অ্যাকাউন্ট খুলতে লাগে শুধু একটি এলোমেলোভাবে তৈরি ষোল-অঙ্কের অ্যাকাউন্ট নম্বর। কোনো ব্যবহারকারীর নাম নেই, কোনো ইমেইল ঠিকানা নেই, কোনো নিরাপত্তা প্রশ্ন নেই, কোনো ফোন নম্বর নেই, কোনো পুনরুদ্ধার চ্যানেল নেই। যে গ্রাহক নম্বরটি হারায়, সে অ্যাকাউন্টটিও হারায়; সাবপোনা করার মতো কিছু না থাকার এটাই মূল্য।
• পেমেন্ট করা যায় Monero-তে, Bitcoin-এ, সাধারণ খামে পোস্টে পাঠানো নগদে, বা পারম্পর্য রেলের মাধ্যমে; কিন্তু এই পেমেন্ট ইনস্ট্রুমেন্টগুলোর কোনোটিই টপ-আপ ক্লিয়ার হওয়ার পর অ্যাকাউন্ট নম্বরের সঙ্গে কোয়েরিবল উপায়ে যুক্ত নয়। তাই তদন্তকারীরা কার্ড স্টেটমেন্টের পেছনে ছুটলেও একজন ব্যক্তির কাছে পৌঁছাতে পারে না।
• ২০১৯ সাল থেকে VPN এন্ডপয়েন্টগুলো RAM-অনলি। সার্ভারগুলো ক্লিন ইমেজ থেকে বুট করে, ডিস্কে কোনো স্থায়ী স্টেট রাখে না, আর পাওয়ার সাইকেলে সব হারিয়ে যায়। ডেটাসেন্টার থেকে চেসিস জব্দ করলেও, সেখানেই ইমেজ করা হলেও কোনো ঐতিহাসিক সেশন ডেটা মিলত না।
• কোম্পানি ক্লায়েন্ট এবং ব্যাকএন্ড দুটোই স্বাধীন পর্যালোচনার বিষয় করেছে, সেপ্টেম্বর ২০১৮-এ Cure53-এর পেনিট্রেশন টেস্ট দিয়ে শুরু, ২০২০-এ Assured AB-এর কাজ, এবং পরবর্তী রাউন্ডগুলোর মধ্য দিয়ে চলতে থাকে; তাই আর্কিটেকচার সম্পর্কে দাবিগুলো এমন পক্ষ দ্বারা পরীক্ষিত, যাদের প্রশংসা করার কোনো বাণিজ্যিক স্বার্থ নেই।

এগুলো প্রাইভেসি পলিসিতে লাগানো বিপণন স্লোগান নয়। এগুলো পণ্যটিকে সীমাবদ্ধ করে এমন সিদ্ধান্ত। ভুলে যাওয়া অ্যাকাউন্ট নম্বরসহ একজন গ্রাহক হলো হারিয়ে যাওয়া গ্রাহক। পোস্টে-নগদ-বাই-মেইল পেমেন্ট অপারেশনালভাবে মিলিয়ে ফেলা বেদনাদায়ক। RAM-অনলি ফ্লিট চালানো ডিস্ক-ব্যাকডের চেয়ে বেশি খরসরা। আর্কিটেকচারটি ব্যয়বহুল, আর এই ব্যয়ই নো-লগস দাবিকে আকাঙ্ক্ষার জায়গা থেকে লোড-বিয়ারিং করে তোলে।

উল্লেখযোগ্য বিষয়, একই প্রত্যাবর্তনের ফ্রেমে, অভিযানের এক মাস পর মুলভ্যাড ঘোষণা দেয় যে তারা সম্পূর্ণভাবে পোর্ট ফরওয়ার্ডিং বন্ধ করে দিচ্ছে, পরিবর্তনটি কার্যকর হবে ১ জুলাই, ২০২৩ থেকে। কোম্পানি এই সিদ্ধান্ত কয়েকজন ব্যবহারকারীর ফিচার অপব্যবহার এবং আপস্ট্রিম হোস্টিং প্রোভাইডারদের কাছ থেকে ফলপ্রসূ চাপের সঙ্গে যুক্ত করেছিল, তবে সময়ের দিক তাকালে এপ্রিলের ঘটনার সঙ্গে সংযোগ উপেক্ষা করা অসম্ভব।

ProtonVPN, ২০২১-এর বিপরীতে

প্রাইভেসি অ্যাডভোকেটরা দ্রুত গোটেবর্গের ফলাফলের তুলনা টেনে আনলেন ২০২১-এর একটি ঘটনার সঙ্গে, যা কেন্দ্রে ছিল ProtonMail এবং তার বোন VPN সেবা, সুইজারল্যান্ডে সদর দফতর। সেই মামলায়, ফ্রেঞ্চ কর্তৃপক্ষের অনুরোধে সুইস আদালতের জারি করা একটি আদেশ, Youth for Climate আন্দোলনের সঙ্গে যুক্ত এক জলবায়ু কর্মীকে তদন্ত করতে, Proton-কে বাধ্য করেছিল টার্গেট করা অ্যাকাউন্টের ব্যবহৃত IP ঠিকানা লগ করতে। Proton মেনে নিয়েছিল, কারণ সুইস আইন ঠিক এ ধরনের বাধ্যবাধকতা অনুমোদন করে একবার আদালতের আদেশ আসলে, আর আর্কিটেকচার কোম্পানিকে আদেশ মানার কোনো ফাঁকই দেয়নি।

শিক্ষামূলক পার্থক্যটা এই নয় যে এক কোম্পানি গুণবান, অন্যটি নয়। Proton, বেশিরভাগ মাপকাঠিতে, একজন গম্ভীর পরিচালক। পার্থক্যটা হলো, Proton-এর প্রাইভেসি ভঙ্গি নির্ভরশীল একটি আইনি প্রতিশ্রুতির ওপর, যা করা হয়েছে এমন জুরিসডিকশনে যা সেই প্রতিশ্রুতি ওভাররাইড করতে পারে; আর মুলভ্যাডের ভঙ্গি নির্ভরশীল একটি সিস্টেমের ওপর, যা কোম্পানি সত্যি চাইলেও ডেটা উৎপাদন করতে পারে না। এক মডেল হলো পলিসি দিয়ে নো-লগস। অন্যটি হলো ডিজাইন দিয়ে নো-লগস। এপ্রিল ২০২৩-এর অভিযান ছিল প্রথম ইউরোপীয় স্ট্রেস টেস্ট, যা এই পার্থক্য জনসমক্ষে টেনে আনল।

"নো-লগস" ক্যাটেগরি হিসেবে এটি কী বদলে দেয়

শত শত VPN জিরো-লগিং বিজ্ঞাপন দেয়। খুব কম সংখ্যক কখনো এটা প্রমাণ করার পরিস্থিতিতে পড়েছে। Private Internet Access ২০১৬-এ তালিকায় উঠেছিল, যখন Preff Cummings হোক্স তদন্তে FBI-এর একটি সাবপোনা কোনো ব্যবহারযোগ্য কিছু ফেরত দেয়নি। ExpressVPN ২০১৭-এ যোগ দিয়েছিল, যখন আঙ্কারায় রুশ রাষ্ট্রদূতের হত্যাকাণ্ড তদন্ত করতে তুর্কি তদন্তকারীরা একটি সার্ভার জব্দ করে কোনো প্রাসঙ্গিক লগ পায়নি। মুলভ্যাডের এপ্রিল ২০২৩ ফলাফল তাকে রাখে এই অতি ছোট কোম্পানিতে, আর তাও এমন একটি ওয়ারেন্টের অধীনে যা কাগজে পরিবেশনের বদলে ব্যক্তিগতভাবে কার্যকর করা হয়েছিল।

সেই পার্থক্যটা গুরুত্বপূর্ণ। US-ভিত্তিক কর্পোরেট কাউন্সেলে পৌঁছানো একটি সাবপোনা এক ধরনের পরীক্ষা। জাতীয় পুলিশ বাহিনীর ছয়জন কর্মকর্তা হার্ডওয়্যার হাতে গোটেবর্গ কার্যালয়ে হাজির হওয়া, স্ট্যাচুটরি কর্তৃত্ব নিয়ে, আরেক ধরনের। যে আর্কিটেকচার দ্বিতীয় মামলায় টিকে ছিল, যেখানে প্রসিকিউটরকে রিয়েল টাইমে ফোন করা যেত, সেটিই সবচেয়ে শক্তিশালী প্রমাণ যে দাবিটি নাটক নয়।

ডিরেক্টরির জন্য এটি কী বদলে দেয়

এই ডেস্ক থেকে রায় সরল। এখন পর্যন্ত আমরা একটি সাম্প্রতিক স্বাধীন অডিটকে VPN-এর নো-লগস দাবির সর্বোচ্চ মান বলে ধরে নিয়েছিলাম। গোটেবর্গের পর আমরা তার ওপর আরেকটি স্তর যোগ করছি: কার্যকরী আদালতসহ একটি জুরিসডিকশনে বাস্তব ল এনফোর্সমেন্ট জব্দ প্রচেষ্টায় ডকুমেন্টেড বেঁচে থাকা, ফলাফল অপারেটরের নিজের প্রকাশ এবং সমসাময়িক প্রেস কভারেজের মাধ্যমে যাচাইযোগ্য। মুলভ্যাড এখন সেই স্তরে বসে। বাজারের বাকি অধিকাংশ নয়।

ডিরেক্টরির হোস্টিং দিকের জন্য প্রভাব সমান্তরাল। যে অপারেটরদের আর্কিটেকচার নির্ভরশীল সংগৃহীত ডেটার অনুপস্থিতির ওপর, সংগৃহীত ডেটা শেয়ার না করার প্রতিশ্রুতির ওপর নির্ভরশীলের বদলে, তারা আমাদের র‌্যাঙ্কিংয়ে বেশি ওজন পাওয়ার যোগ্য। রেইকজাভিকে আমাদের বিদ্যমান [1984 Hosting](/service/1984-hosting) লিস্টিং, যা প্রায় একই নীতিতে চলে, এই আলোয় আরও আকর্ষণীয় হয়ে ওঠে, কম নয়। আমরা এমন সেবা সুপারিশ করতে পছন্দ করি যা তার ব্যবহারকারীদের বিশ্বাসঘাতকতা করতে পারে না, তার বদলে যে শুধু লিখিতভাবে প্রতিশ্রুতি দিয়েছে যে করবে না।

সূত্র

• Mullvad VPN, Mullvad VPN was subject to a search warrant (April 20, 2023)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

সম্পাদনা লগ

• 2023-04-22 : মুলভ্যাড ব্লগ পোস্ট দুবার পড়ার পর এবং The Register-এর রিপোর্টিং-এর বিরুদ্ধে ওয়ারেন্টের তারিখ ক্রস-চেক করার পর প্রথম খসড়া দাখিল। Bleeping Computer রাইট-আপ ল্যান্ড না হওয়া পর্যন্ত প্রকাশ থেকে বিরত রাখা, যা শুক্রবার সন্ধ্যায় হয়েছিল।
• 2023-04-26 : স্টকহোমে একটি ছোট হোস্টিং অপারেশন চালানো এক বন্ধুর সঙ্গে দীর্ঘ ফোন কলের পর আর্কিটেকচারাল তালিকা যোগ করা, যে আমাকে RAM-অনলি ফ্লিট চালানোর আসল খরচ বনাম একটি ডিস্ক-ব্যাকডের মধ্য দিয়ে হাঁটিয়েছিল। সুইডিশ প্রেস জুরিসডিকশন নিশ্চিত না করায় অন্তর্নিহিত ব্ল্যাকমেইল মামলা সম্পর্কে দুটি অনুচ্ছেদ অনুমান কাটা।
• 2023-05-02 : এক পাঠক ইমেইল করে জিজ্ঞাসা করার পর ProtonVPN ২০২১ তুলনা সন্নিবেশিত। সেপ্টেম্বর ২০২১-এর Proton ট্রান্সপারেন্সি রিপোর্ট এবং Reuters ওয়্যার পুনরায় পড়া নিশ্চিত করতে যে জলবায়ু কর্মী বিস্তারটি ঠিক ছিল। Proton-এর দোষ অতিরঞ্জিত করা একটি আগের লাইন সরানো।
• 2023-05-09 : মুলভ্যাডের পোর্ট-ফরওয়ার্ডিং প্রত্যাহার ঘোষণা ২৯ মে এই টুকরোটি প্রথম খসড়া হওয়ার সময় এখনো করা হয়নি, তাই সময়ের দিকে ইঙ্গিত করে একটি ভবিষ্যৎমুখী বাক্য যোগ করা হয়েছিল। ১ জুলাই কাটওভার কার্যকর হওয়ার পর পুনরায় দেখা হবে।
• 2023-05-15 : রায় অনুচ্ছেদে চূড়ান্ত পাস। সমাপ্তি অনুচ্ছেদগুলো পুনরায় লেখা হয়েছে যাতে নতুন "ডকুমেন্টেড ওয়ারেন্ট সারভাইভাল" স্তরটি অন্তর্নিহিতের বদলে স্পষ্ট হয়, এবং ডিরেক্টরি সম্পাদকের সঙ্গে নিশ্চিত করার পর 1984 Hosting লিস্টিং-এ ক্রস-লিঙ্ক যোগ করা হয়েছে যে লিস্টিংটি এখনো লাইভ ছিল।