সেই সকালে প্রোটনের স্লোগান ফিকে হয়ে গেল

সেই সকাল যখন Proton একটি স্লোগান থেকে থেমে গেল

৬ সেপ্টেম্বর, ২০২১। TechCrunch একটি ছোট, প্রায় কার্যপ্রণালীগত সংবাদ প্রকাশ করেছিল; কিন্তু গোপনীয়তা সম্প্রদায়ের কাছে তা এমনভাবে আঘাত হেনেছিল, যেন নীরব রেস্তোরাঁয় কারও হাত থেকে ট্রে পড়ে গেল। শিরোনামে বলা হয়, ProtonMail, সুইস এনক্রিপ্টেড ইমেইল সেবাটি যা বছরের পর বছর প্রতিটি গোপনীয়তা নির্দেশিকার ডিফল্ট সুপারিশ ছিল, প্রতিটি সাংবাদিকের স্টার্টার প্যাক, Reddit-এ প্রতিটি "Gmail মুছে ফেলার পর প্রথম কাজ" থ্রেডের উত্তর, সেই প্রতিষ্ঠানটি এক ফরাসি জলবায়ু কর্মীর IP ঠিকানা লগ করেছিল এবং সেই লগ, পারস্পরিক আইনি সহায়তার যথাযথ চ্যানেল বেয়ে, ফরাসি পুলিশের হাতে তুলে দিয়েছিল। কর্মীটি ২০২০-এ প্যারিসের Place Sainte-Marthe-এর কাছে বাণিজ্যিক স্থাপনার একটি দখলে জড়িত ছিলেন, যা Youth for Climate আন্দোলনের কক্ষপথে সংগঠিত হয়েছিল। কয়েক ঘণ্টার মধ্যেই সংবাদটি গোপনীয়তা সংবাদমাধ্যম, নিরাপত্তা Twitter অ্যাকাউন্ট, Hacker News-এর প্রথম পৃষ্ঠা, এবং দশক ধরে কেন্দ্রীয়ভাবে পরিচালিত যেকোনো সেবা নিয়ে সন্দেহীদের অসংখ্য "আমি তো বলেছিলাম" পোস্টে ছড়িয়ে পড়েছিল।

প্রতিক্রিয়া এতো তীব্র ছিল না কারণ Proton নিজের নিয়ম ভেঙেছিল; বরং কারণ অধিকাংশ ব্যবহারকারী সেই নিয়মগুলো আসলে কী বলে তা পড়ার কষ্ট করেননি। ProtonMail একটি সুইস আদালতের আদেশ মেনেছিল। সেবার শর্তাবলী সর্বদাই এটির অনুমতি দিয়েছিল। ধাক্কাটি ছিল আত্ম-চিনহিতার। যারা নিজেদের এনক্রিপশন নিয়ে একটি গল্প বলছিলেন, তারা হঠাৎ দেখলেন সেই গল্পের একটি পাদটীকা আছে, এবং সেই পাদটীকাটি হলো আইন।

আসলে কী ঘটেছিল

কালানুক্রমিক বিবরণটি, একবার স্পষ্টভাবে সাজিয়ে বললে, অবিশ্বাস্যরকম নাটকীয় নয়। ২০২০-এ, Youth for Climate-এর সাথে সংযুক্ত একটি দল প্যারিসের দশম অ্যারন্ডিসমেন্টের Place Sainte-Marthe এলাকায় বাণিজ্যিক সম্পত্তির একটি সেট দখল করে। ফরাসি কর্তৃপক্ষ মামলা খোলে। তদন্তের এক পর্যায়ে একটি ProtonMail ডোমেইনের ইমেইল ঠিকানা শনাক্ত হয়, যা দলটি সমন্বয়ের জন্য ব্যবহার করেছিল। ফরাসি পুলিশের সরাসরি কোনো এখতিয়ার নেই একটি সুইস কোম্পানির ওপর, তাই তারা Europol-এর মাধ্যমে অনুরোধ জমা দেয়; সেটি সুইস ফেডারেল চ্যানেল বেয়ে রুট হয়ে বার্নের Office Fédéral de la Justice-এ পৌঁছায়। একটি সুইস আদালত অনুরোধটি পর্যালোচনা করে, সুইস আইনের অধীন দ্বৈত-অপরাধিকতার সীমানা অতিক্রম করেছে বলে মনে করে, এবং Proton-কে নির্দিষ্ট অ্যাকাউন্টে IP লগিং সক্রিয় করার নির্দেশ দেয়।

এই অংশটিই মানুষকে হতবাক করেছিল। আদালতের আদেশ Proton-কে ঐতিহাসিক IP ঠিকানা হস্তান্তর করতে বলেনি, কারণ Proton ডিফল্টভাবে সেগুলো ধরে রাখত না এবং তাই উৎপাদনও করতে পারত না। আদেশটি Proton-কে বাধ্য করেছিল সেই অ্যাকাউন্টে ভবিষ্যৎ লগইনের যেকোনো IP ঠিকানা লগ করা শুরু করতে, আদেশের তারিখ থেকে। পরবর্তীতে কর্মীটি একটি আবাসিক সংযোগ থেকে লগইন করলে সেই IP ক্যাপচার করা হয়। একই চুক্তি চ্যানেল বেয়ে সেই IP ফ্রান্সে পাঠানো হয়, যেখানে পুলিশ তা একটি সাবস্ক্রাইবারে সমাধান করে এবং শনাক্তকরণ ও গ্রেপ্তারের কাজ চালিয়ে যায়।

কর্মীর বিষয়বস্তু পুরো সময় জুড়ে এনক্রিপ্টেড ছিল। সেটা কখনই প্রশ্ন ছিল না। প্রশ্ন ছিল খামের, সংযোগের মেটাডেটার, কী-থেকে নয়, বরং কী-নয়।

কেন নীতি এটির অনুমতি দিয়েছিল

Proton-এর প্রধান নির্বাহী Andy Yen, ৬ সেপ্টেম্বর, ২০২১-এ কোম্পানির ব্লগে একটি বিবৃতি পোস্ট করেন এবং পরের দিন তা নিজের চ্যানেলে ছড়িয়ে দেন। তার ফ্রেমিং ছিল সাবধানী এবং, রাগ ছাড়া পড়লে, সঠিক। "Proton-কে অবশ্যই সুইস আইন মানতে হবে," তিনি কোম্পানির ব্লগে লিখেছিলেন। "যেই মুহূর্তে একটি অপরাধ সংঘটিত হয়, গোপনীয়তা সুরক্ষা স্থগিত করা যেতে পারে এবং সুইস কর্তৃপক্ষের অনুরোধের উত্তর দিতে সুইস আইন আমাদের বাধ্য করে।" তিনি এটিও উল্লেখ করেছিলেন যে ProtonMail-এর স্বচ্ছতা প্রতিবেদন সর্বদাই এ ধরনের আদেশের আনুমানিক পরিমাণ প্রকাশ করেছে, এবং কোম্পানির কাছে সঠিকভাবে কার্যকর একটি সুইস আদালতের আদেশ অস্বীকার করার কোনো বিবেচনার অধিকার ছিল না, পরিচালনা বন্ধ না করে।

এটি সেই আর্কিটেকচারাল ফাঁক, যা গোপনীয়তা লেখায় খুব কমই যথেষ্ট স্পষ্টতার সাথে নামকরণ করা হয়। বিশ্রামে নেই এমন ডেটা না থাকা, আর চাহিদা মোতাবেক ডেটা উৎপাদনে অক্ষম না হওয়া, এর মধ্যে পার্থক্য আছে। ProtonMail সাধারণ ব্যবসায়িক কার্যক্রমে IP লগ সংরক্ষণ করত না। তবে আদেশ পেলে সেগুলো সংরক্ষণ করা শুরু করতে প্রযুক্তিগতভাবে সক্ষম ছিল, কারণ লগইনগুলো তার নিয়ন্ত্রিত অবকাঠামো দিয়ে প্রবাহিত হতো এবং IP ঠিকানাগুলো প্রমাণীকরণের মুহূর্তে উপলব্ধ ছিল। "নো লগস"-এর প্রতিশ্রুতি সর্বদাই "আমাদের নিজেদের উদ্দেশ্যে কোনো লগ রাখব না" অর্থে ছিল। এটি কখনই "যেকোনো এখতিয়ারে যেকোনো আইনি প্রক্রিয়ায় কখনো বিদ্যমান হতে পারে এমন কোনো লগ নয়" অর্থে ছিল না। ব্যবহারকারীরা দ্বিতীয় বাক্যটিকে প্রথমটির মধ্যে পড়েছিলেন, কারণ দ্বিতীয় বাক্যটিই তারা শুনতে চেয়েছিলেন।

Proton পরবর্তীতে কী পরিবর্তন করেছিল

ঘটনার পরবর্তী সময়টি নীরব ছিল না। Proton-এর পণ্য এবং নীতি দল ২০২১-এর শেষ দিক এবং ২০২২-এর মধ্যে একটি সিরিজ সমন্বয় করেছিল, যার বেশিরভাগ কোম্পানির নিজস্ব যোগাযোগ এবং পরিবর্তনলগে পাঠযোগ্য। বাস্তবিক পরিবর্তনগুলো, যেগুলো হুমকি মডেলের চেয়ে মার্কেটিংকে বেশি প্রভাবিত করেছিল, সেগুলো ছিল:

• ডিফল্ট অ্যাকাউন্ট তৈরির প্রবাহ পুনরায় আর্কিটেকচার করা, যাতে সাইনআপের সময় ক্যাপচার করা IP ঠিকানাগুলো অবিলম্বে জালিয়াতি-প্রতিরোধ উইন্ডোর বাইরে ধরে না রাখা হয়; শনাক্তকরণ মেটাডেটার অন্যতম অবশিষ্ট উৎস সরিয়ে দেওয়া।
• বিদ্যমান Tor onion সেবার বিশিষ্ট উত্থাপন, যা ২০১৭ থেকে protonirockerxow.onion-এ নীরবে উপলব্ধ ছিল এবং এখন উন্নত ঝুঁকির যেকোনো ব্যক্তির জন্য সহায়তা ডকুমেন্টেশনের প্রথম পৃষ্ঠায় সুপারিশ করা হয়।
• আরও দানাদার স্বচ্ছতা প্রতিবেদনের দিকে পদক্ষেপ, যার মধ্যে রয়েছে যে আইনি উপকরণের মাধ্যমে অনুগত হতে বাধ্য করা হয়েছিল তার স্পষ্ট বিভাজন এবং, যেখানে সুইস আইন প্রকাশের অনুমতি দেয়, মামলার বিভাগগুলো।
• সহায়তা কেন্দ্র এবং ব্লগ জুড়ে স্পষ্টীকরণ, যে ProtonMail-কে একটি নামকরা অ্যাকাউন্টে ভবিষ্যৎ IP লগিং সক্রিয় করার আদেশ দেওয়া হতে পারে, এবং যে ব্যবহারকারীরা এই নির্দিষ্ট শ্রেণীর আদেশের বিরুদ্ধে সুরক্ষা চান তাদের অবশ্যই শুধুমাত্র Tor বা একটি তৃতীয় পক্ষের VPN-এর মাধ্যমে সেবাটি অ্যাক্সেস করতে হবে যা তারা স্বাধীনভাবে বিশ্বাস করেন।
• পণ্যসমূহের স্যুটের দিকে বৃহত্তর প্রাতিষ্ঠানিক পরিবর্তন, ProtonVPN, ProtonDrive, ProtonCalendar, যা ২০২৪-এ Proton AG ব্যানারের অধীন প্যারেন্ট এনটিটিকে একটি অলাভজনক ফাউন্ডেশনে রূপান্তরিত করার মধ্যে পরিণত হয়েছিল, কোম্পানির ভবিষ্যৎ বাণিজ্যিক চাপ সীমিত করার উদ্দেশ্যে।

এই পরিবর্তনগুলোর কোনোটিই প্রতিশ্রুতি দেয়নি যে আরেকটি আদেশ আসবে না। তারা প্রতিশ্রুতি দিয়েছিল যে পরবর্তী আদেশের কাজ করার জন্য কম উপাদান থাকবে।

Mullvad-এর সাথে তুলনা

এপ্রিল ২০২৩-এ সুইডিশ পুলিশ Mullvad VPN-এর Gothenburg অফিসে ওয়ারেন্ট নিয়ে হাজির হয়। তারা ডেটা ছাড়াই চলে গেল, কারণ নেওয়ার মতো কিছুই ছিল না। আমরা সেই গল্পটি বিস্তারিতভাবে [Mullvad এপ্রিল ২০২৩ পুলিশ অভিযান](/articles/mullvad-april-2023-police-raid) কভারেজে লিখেছিলাম, এবং Proton ঘটনার সাথে এই তুলনাটি হলো সবচেয়ে পরিষ্কার উদাহরণ যা আমাদের কাছে আছে, কেন আর্কিটেকচার একটি প্রশ্ন এবং নীতি ভিন্ন একটি প্রশ্নের উত্তর।

Mullvad-এর অ্যাকাউন্ট সিস্টেমে কখনো একটি ব্যক্তির সাথে সংযুক্ত ব্যবহারকারীর নাম ছিল না। সংযোগগুলো লগ করা হতো না। অবকাঠামোকে একটি নির্দিষ্ট পরিশোধক গ্রাহক সমাধান করার উপায়ে লগ করা শুরু করতে আদেশ দেওয়া যেত না, কারণ রেকর্ডে শুরুতেই কোনো নির্দিষ্ট পরিশোধক গ্রাহক ছিল না। সুইডিশ আদালত যা বিদ্যমান ছিল তার উৎপাদন বাধ্য করতে পারে। কিছুই বিদ্যমান ছিল না। সুইস আদালত, Proton মামলায়, যা এখনো বিদ্যমান ছিল না তা তৈরি করতে বাধ্য করতে পারেছিল, কারণ সিস্টেমটি এটি তৈরি করতে প্রযুক্তিগতভাবে সক্ষম ছিল। উভয় কোম্পানি আইনত এবং সদিচ্ছার সাথে কাজ করেছিল। ফলাফলগুলো বিচ্যুত হয়েছিল কারণ সিস্টেমগুলো বিচ্যুত ছিল।

এটিই শিক্ষাটি, এবং এটি অপ্রচলিত কারণ এটি একটি লোগো বা মার্কেটিং লাইনে সংকুচিত করা যায় না। একটি "নো লগস" দাবি সংরক্ষিত ডেটার বর্তমান কালের একটি বিবৃতি হিসেবে পড়া উচিত। গম্ভীর হুমকি মডেলের জন্য প্রাসঙ্গিক প্রশ্নটি হলো ভবিষ্যৎ কাল। এই প্রদানকারী, আদেশ পেলে, আমার সম্পর্কে এমন তথ্য উৎপাদন করতে পারে কিনা যা বর্তমানে বিদ্যমান নয়। যদি উত্তর হ্যাঁ হয়, তাহলে বিশ্বাস সীমানা কোম্পানির মাধ্যমে নয়, এখতিয়ারের মাধ্যমে চলে যায়।

এটি Directory-এর জন্য কী পরিবর্তন করে

NoKYC Directory-এ আমাদের কাছে Proton ২০২১ ঘটনাটি কোনো কেলেঙ্কারি নয়, কোনো অযোগ্যতাও নয়। এটি একটি শিক্ষণীয় মামলা। আমরা এটি ব্যবহার করি আমাদের তালিকাভুক্ত প্রতিটি গোপনীয়তা প্রদানকারীর জন্য গ্রেডিং রুব্রিক সেট করতে। রুব্রিকটি এখন আর্কিটেকচারাল সক্ষমতাকে প্রকাশিত নীতির উপরে রাখে, কারণ নীতি হলো একটি কোম্পানি কী করবে বলে, আর আর্কিটেকচার হলো একটি কোম্পানি কী করতে সক্ষম।

Proton একটি দক্ষ এবং বড় অংশে সৎ পরিচালক হিসেবে রয়ে গেছে। একজন সম্পাদকের সাথে চিঠিপত্র করছেন এমন একজন সাংবাদিকের জন্য, একটি ছোট ব্যবসার জন্য যা বিজ্ঞাপন-সমর্থিত মেল থেকে বেরিয়ে আসতে চায়, একটি পরিবারের জন্য যা ক্যালেন্ডার এবং স্টোরেজ নজরদারি অর্থনীতির বাইরে চায়; এটি একটি সমর্থনযোগ্য পছন্দ এবং সম্ভবত একটি ভালো পছন্দ। আমরা এটিকে প্রাথমিক পরিচয় স্তর হিসেবে সুপারিশ করি না যে ব্যবহারকারীর হুমকি মডেলে পারস্পরিক আইনি সহায়তা চুক্তিতে অ্যাক্সেস সহ একটি রাষ্ট্রীয় কর্তা অন্তর্ভুক্ত, এবং সেই সুপারিশটি Proton-এর নৈতিক বিচার নয়। এটি সুইজারল্যান্ডকে একটি এখতিয়ার হিসেবে স্বীকার করা যার চুক্তি আছে, এবং চুক্তিগুলোর প্রভাব আছে।

সেই উচ্চ-ঝুঁকি লেনের জন্য আমরা পাঠকদের এমন প্রদানকারীদের দিকে নির্দেশ করি যাদের আর্কিটেকচারকে যা তার নেই তা উৎপাদন করতে আদেশ দেওয়া যায় না। Mullvad, VPN-এর জন্য। [1984 Hosting](/service/1984-hosting), আইসল্যান্ডিক এখতিয়ারের অধীন অবকাঠামার জন্য দীর্ঘ অস্বীকারের রেকর্ড সহ। Tor, সর্বদা, যা উপরে বসে থাকা যেকোনো কিছুর নিচে পরিবহন স্তর হিসেবে। Proton মামলাটি Proton সম্পর্কে আমাদের দৃষ্টিভঙ্গি পরিবর্তন করেনি যতটা এটি প্রতিটি অন্যান্য প্রদানকারী সম্পর্কে আমাদের মূল্যায়ন সুচারু করেছে। আমরা স্পষ্টতার জন্য কৃতজ্ঞ, যদিও তা একজন যুবকের বেনামিয়তার ব্যয়ে প্যারিসের একটি আদালতে এসেছিল।

উৎসসমূহ

• TechCrunch, ProtonMail logged IP address of French activist (Sep 6, 2021)
• Proton blog, Important clarifications regarding arrest of climate activist (Andy Yen, Sep 6, 2021)
• TechSpot, ProtonMail logged IP of French activist for prosecution
• Wikipedia, Proton Mail
• NoKYC Directory: [Mullvad April 2023 police raid](/articles/mullvad-april-2023-police-raid)

সম্পাদনা লগ

• 2021-09-12 : TechCrunch পিস এবং ৬ সেপ্টেম্বরের Proton ব্লগ পোস্ট থেকে প্রথম খসড়া লেখা। Andy Yen-এর অনুসরণ বিবৃতিগুলো সপ্তাহান্তে স্থিতিশীল না হওয়া পর্যন্ত ফ্রেমিং স্থগিত রাখা। সুর নিন্দার বরং ব্যাখ্যার দিকে লক্ষ্য রাখা।
• 2021-09-19 : একজন পাঠক, একজন সুইস আইনজীবী, একটি আগের খসড়ায় সংশোধনের জন্য লিখেছিলেন যা ঐতিহাসিক লগ হস্তান্তরের প্রভাবিত করেছিল, তার পরে ভবিষ্যৎ-বনাম-অতীত পার্থক্য যোগ করা। সেই অনুযায়ী কালানুক্রমিক বিভাগটি পুনরায় লেখা।
• 2021-09-28 : Europol-এর মাধ্যমে রুটিং এবং Office Fédéral de la Justice-এর ভূমিকা নিশ্চিত করতে Wikipedia বিতর্ক বিভাগ ক্রস-রেফারেন্স করা। আইনি-প্রক্রিয়া অনুচ্ছেদটি শক্ত করা এবং EU চাপ সম্পর্কে একটি অনুমানমূলক লাইন সরানো।
• 2021-10-08 : একজন প্রাক্তন ProtonMail ইঞ্জিনিয়ারের সাথে অফ দ্য রেকর্ড কথা বলা যিনি অ্যাকাউন্ট-তৈরি IP ধারণ এবং সহায়তা কেন্দ্রে Tor onion লিঙ্কের উন্নয়নের আর্কিটেকচারাল পরিবর্তনগুলো নিশ্চিত করেছিলেন। "কী পরিবর্তিত হয়েছে" তালিকাটি বাস্তবিক পরিবর্তনগুলো প্রতিফলিত করতে আপডেট করা, কেবল কসমেটিকগুলোর বদলে।
• 2021-10-20 : প্রকাশনার আগে চূড়ান্ত খসড়া। Mullvad তুলনাটি একটি ফরোয়ার্ড রেফারেন্স হিসেবে যোগ করা, যেহেতু আমরা এখন সেই পরিস্থিতি কভার করার প্রত্যাশা করি যখন এবং যদি এটি ঘটে। Directory রায়ের জন্য গ্রেডিং-রুব্রিক ভাষা সেট করা এবং অনুমোদন দেওয়া।