Έφυγαν με άδεια χέρια: Το «τίποτα» που άφησε η έφοδος της αστυνομίας στη Mullvad

Όταν η αστυνομία ήρθε για τη Mullvad και έφυγε με άδεια χέρια

Την Τρίτη 18 Απριλίου 2023, τουλάχιστον έξι αξιωματικοί του Σουηδικού Τμήματος Εθνικών Επιχειρήσεων έφτασαν στα γραφεία της Mullvad VPN στο Γκέτεμποργκ κρατώντας ένταλμα έρευνας. Δύο μέρες μετά, η εταιρεία δημοσίευσε σύντομη ανάρτηση στο blog της με την επιβεβαίωση του περιστατικού. Ο τίτλος που κρυβόταν μέσα σε αυτή την ανάρτηση δεν ήταν ότι είχε γίνει η επιδρομή, αλλά ότι οι αξιωματικοί έφυγαν χωρίς εξοπλισμό, χωρίς logs, χωρίς στοιχεία λογαριασμών και χωρίς κανέναν τρόπο να εντοπίσουν τον πελάτη που είχαν έρθει να αναζητήσουν. Για μια βιομηχανία του οποίου το marketing έχει κορεστεί με τη φράση «no-logs», αυτή ήταν η πρώτη φορά στην ΕΕ που ένας από τους πιο φανατικούς υποστηρικτές αυτής της υπόσχεσης αναγκάστηκε να την αποδείξει κάτω από το καθεστώς νόμιμου εντάλματος έρευνας.

Η αναδρομή έχει σημασία, γιατί το αποτέλεσμα δεν ήταν ρητορικό. Ήταν δομικό.

Τι πραγματικά συνέβη μεταξύ 18 και 20 Απριλίου

Η χρονολογία, όπως τη συνέθεσαν η ίδια η Mullvad μαζί με τις συνεχιζόμενες αναφορές του The Register και του Bleeping Computer, είναι σύντομη. Αξιωματικοί της NOA έφτασαν στα κεντρικά γραφεία του Γκέτεμποργκ το πρωί της 18ης. Σύμφωνα με τη Mullvad, το ένταλμα εξουσιοδοτούσε την κατάσχεση «υπολογιστών με δεδομένα πελατών» που σχετίζονταν με συγκεκριμένο ύποπτο. Η μεταγενέστερη περίληψη της Wikipedia για το περιστατικό, βασισμένη στον σουηδικό Τύπο, συνδέει την υποκείμενη έρευνα με υπόθεση εκβιασμού που κινήθηκε μέσω γερμανικού αιτήματος δικαστικής συνδρομής, αν και η ίδια η Mullvad αρνήθηκε να επιβεβαιώσει είτε την αρχική δικαιοδοσία είτε τη φύση του φερόμενου αδικήματος.

Αυτό που ακολούθησε, με τα λόγια της ίδιας της Mullvad στις 20 Απριλίου, ήταν διαπραγμάτευση αντί για κατάσχεση. «Υποστηρίξαμε ότι δεν είχαν κανέναν λόγο να αναμένουν ότι θα βρουν αυτό που έψαχναν και ότι κάθε κατάσχεση θα ήταν συνεπώς παράνομη σύμφωνα με το σουηδικό δίκαιο», έγραψε η εταιρεία, επικαλούμενη διαδικαστικό κανόνα του 1942 που απαγορεύει στις σουηδικές αρχές να απομακρύνουν περιουσία όταν η εύλογη προσδοκία εύρεσης αποδεικτικών στοιχείων έχει ήδη αντικρουστεί. Το προσωπικό που ήταν παρόν περιέγραψε στους αξιωματικούς την αρχιτεκτονική της υπηρεσίας. «Αφού αποδείξαμε ότι πράγματι έτσι λειτουργεί η υπηρεσία μας και αφού συμβουλεύτηκαν τον εισαγγελέα, έφυγαν χωρίς να πάρουν τίποτα και χωρίς κανένα στοιχείο πελάτη», συνέχισε η ανάρτηση. Το blog προσθέτει μια φράση που αξίζει να διαβαστεί δύο φορές: «Αν είχαν πάρει κάτι, αυτό δεν θα τους έδινε πρόσβαση σε κανένα στοιχείο πελάτη». Ολόκληρο το νόημα, όπως φαίνεται να λέει η Mullvad, είναι ότι το ερώτημα της κατάσχεσης ήταν άτοπο πριν καν αρχίσει.

Μέχρι τις 20 Απριλίου, η ανάρτηση ήταν ζωντανή στο mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised, και μέσα σε σαράντα οκτώ ώρες είχε αναπαραχθεί από το Bleeping Computer, το The Register, το TorrentFreak και το μεγαλύτερο μέρος του Τύπου για την ιδιωτικότητα.

Γιατί δεν υπήρχε τίποτα να πάρουν

Οι αρχιτεκτονικές επιλογές της Mullvad, που λήφθηκαν σταδιακά από τότε που η εταιρεία ιδρύθηκε το 2009 από τους Daniel Berntsson και Fredrik Strömberg, ήταν ο λόγος που το ένταλμα κατέρρευσε κατά την επαφή. Τέσσερις επιλογές ειδικότερα έκαναν τη δουλειά εκείνη την ημέρα:

• Η δημιουργία λογαριασμού απαιτεί μόνο έναν τυχαία παραγόμενο δεκαεξαψήφιο αριθμό. Δεν υπάρχει όνομα χρήστη, διεύθυνση email, ερώτηση ασφαλείας, αριθμός τηλεφώνου, κανάλι ανάκτησης. Ένας πελάτης που χάνει τον αριθμό χάνει τον λογαριασμό, κι αυτό είναι το τίμημα του να μην υπάρχει τίποτα για κλήτευση.
• Η πληρωμή μπορεί να γίνει σε XMR, σε BTC, σε μετρητά που αποστέλλονται ταχυδρομικά σε απλό φάκελο, ή μέσω συμβατικών δικτύων, αλλά κανένα από αυτά τα μέσα πληρωμής δεν συνδέεται με τον αριθμό λογαριασμού με τρόπο ερωτήσιμο αφού ολοκληρωθεί η ανανέωση. Οι ερευνητές που κυνηγούν μια κίνηση κάρτας δεν καταλήγουν συνεπώς σε πρόσωπο.
• Από το 2019, τα τερματικά VPN είναι αποκλειστικά σε RAM. Οι διακομιστές εκκινούν από καθαρό image, δεν διατηρούν καμία μόνιμη κατάσταση σε δίσκο και χάνουν τα πάντα στον κύκλο ισχύος. Ένα κατασχεθέν chassis από datacentre δεν θα απέδιδε ιστορικά δεδομένα συνεδρίας ακόμα κι αν εξεταζόταν επιτόπου.
• Η εταιρεία έχει υποβάλει τους πελάτες και το backend σε ανεξάρτητη αξιολόγηση, ξεκινώντας με τη δοκιμή διείσδυσης της Cure53 τον Σεπτέμβριο του 2018 και συνεχίζοντας με τη δουλειά της Assured AB το 2020 και στις επόμενες γύρες, οπότε οι ισχυρισμοί για την αρχιτεκτονική έχουν εξεταστεί από μέρη χωρίς εμπορικό συμφέρον να τα κολακέψουν.

Αυτά δεν είναι marketing slogans προσαρτημένα σε μια πολιτική απορρήτου. Είναι αποφάσεις που περιορίζουν το προϊόν. Ένας πελάτης με ξεχασμένο αριθμό λογαριασμού είναι χαμένος πελάτης. Μια πληρωμή με μετρητά ταχυδρομικά είναι λειτουργικά επίπονη στην εκκαθάριση. Στόλοι αποκλειστικά σε RAM κοστίζουν περισσότερο στη λειτουργία από ό,τι οι δικτυωμένοι με δίσκο. Η αρχιτεκτονική είναι ακριβή, και είναι το κόστος που καθιστά τον ισχυρισμό no-logs φορτίου-αντοχής παρά επιθυμητό.

Αξίζει να σημειωθεί, στο ίδιο αναδρομικό πλαίσιο, ότι έναν μήνα μετά την επιδρομή η Mullvad ανακοίνωσε ότι καταργεί εντελώς την προώθηση θυρών, με την αλλαγή να ισχύει από την 1η Ιουλίου 2023. Η εταιρεία συνέδεσε την απόφαση με κατάχρηση της λειτουργίας από μικρό αριθμό χρηστών και με την επακόλουθη πίεση από upstream παρόχους hosting, αλλά ο χρόνος καθιστούσε αδύνατο να αγνοηθεί η σύνδεση με το περιστατικό του Απριλίου.

Η αντίθεση με το ProtonVPN, 2021

Οι υποστηρικτές της ιδιωτικότητας ήταν γρήγοροι να συγκρίνουν το αποτέλεσμα του Γκέτεμποργκ με περιστατικό του 2021 που αφορούσε το ProtonMail και την αδελφή υπηρεσία VPN, με έδρα την Ελβετία. Σε εκείνη την περίπτωση, ελβετική δικαστική απόφαση που εκδόθηκε κατόπιν αιτήματος γαλλικών αρχών που ερευνούσαν ακτιβιστή για το κλίμα συνδεδεμένο με το κίνημα Youth for Climate ανάγκασε το Proton να καταγράψει τη διεύθυνση IP που χρησιμοποιούσε ο στοχευμένος λογαριασμός. Το Proton συμμορφώθηκε, γιατί το ελβετικό δίκαιο επιτρέπει ακριβώς αυτόν τον εξαναγκασμό μόλις φτάσει δικαστική απόφαση, και γιατί η αρχιτεκτονική άφηνε στην εταιρεία περιθώριο να συμμορφωθεί όταν διατάχθηκε.

Η διδακτική διαφορά δεν είναι ότι η μια εταιρεία είναι ενάρετη και η άλλη όχι. Το Proton είναι, κατά τα περισσότερα μέτρα, σοβαρός παίκτης. Η διαφορά είναι ότι η στάση ιδιωτικότητας του Proton βασίζεται σε νομική υπόσχεση που γίνεται σε δικαιοδοσία που μπορεί να την παρακάμψει, ενώ η στάση της Mullvad βασίζεται σε σύστημα που δεν μπορεί να παράγει τα δεδομένα ακόμα κι όταν η εταιρεία το επιθυμεί ειλικρινά. Το ένα μοντέλο είναι no-logs κατά πολιτική. Το άλλο είναι no-logs κατά σχεδιασμό. Η επιδρομή του Απριλίου 2023 ήταν το πρώτο ευρωπαϊκό stress test που απέσπασε τη διάκριση δημοσίως.

Τι αλλάζει αυτό για την κατηγορία «no-logs»

Εκατοντάδες VPN διαφημίζουν zero-logging. Πολύ μικρός αριθμός έχει βρεθεί ποτέ σε θέση να το αποδείξει. Το Private Internet Access μπήκε στη λίστα το 2016, όταν κλήτευση του FBI στην έρευνα hoax Preff Cummings δεν απέδωσε τίποτα χρησιμοποιήσιμο. Το ExpressVPN προστέθηκε το 2017, όταν Τούρκοι ερευνητές που ερευνούσαν τη δολοφονία του Ρώσου πρέσβη στην Άγκυρα κατέσχεσαν διακομιστή και δεν βρήκαν σχετικά logs. Το αποτέλεσμα του Απριλίου 2023 της Mullvad την τοποθετεί σε αυτή την πολύ μικρή παρέα, και το κάνει υπό ένταλμα που εκτελέστηκε αυτοπροσώπως παρά που επιδόθηκε σε χαρτί.

Αυτή η διάκριση έχει σημασία. Μια κλήτευση που επιδίδεται σε δικηγόρο εταιρείας με έδρα τις ΗΠΑ είναι ένα είδος δοκιμής. Έξι αξιωματικοί από εθνική αστυνομική δύναμη που φτάνουν σε γραφείο του Γκέτεμποργκ με νόμιμη εξουσία να βγουν με hardware είναι κάτι άλλο. Το γεγονός ότι η αρχιτεκτονική άντεξε στη δεύτερη περίπτωση, μπροστά σε εισαγγελέα που μπορούσε να κληθεί τηλεφωνικά σε πραγματικό χρόνο, είναι το ισχυρότερο διαθέσιμο αποδεικτικό ότι ο ισχυρισμός δεν είναι θέατρο.

Τι αλλάζει αυτό για τον Directory

Η κρίση από αυτό το γραφείο είναι απλή. Μέχρι τώρα, αντιμετωπίζαμε ένα πρόσφατο ανεξάρτητο audit ως το υψηλότερο σημείο αναφοράς για τον ισχυρισμό no-logs ενός VPN. Μετά το Γκέτεμποργκ, εισάγουμε ένα επίπεδο πάνω από αυτό: τεκμηριωμένη επιβίωση πραγματικής απόπειρας κατάσχεσης από αρχές επιβολής του νόμου, σε δικαιοδοσία με λειτουργικά δικαστήρια, με το αποτέλεσμα επαληθεύσιμο τόσο από τη δική αποκάλυψη του παρόχου όσο και από σύγχρονη κάλυψη του Τύπου. Η Mullvad κάθεται πλέον σε αυτό το επίπεδο. Το μεγαλύτερο μέρος της υπόλοιπης αγοράς όχι.

Η συνέπεια για την πλευρά hosting του Directory είναι παράλληλη. Πάροχοι των οποίων οι αρχιτεκτονικές βασίζονται στην απουσία συλλεγμένων δεδομένων, παρά σε υπόσχεση να μην μοιραστούν συλλεγμένα δεδομένα, αξίζουν μεγαλύτερο βάρος στις κατατάξεις μας. Η υπάρχουσα καταχώρησή μας για το [1984 Hosting](/service/1984-hosting) στο Ρέυκιαβικ, που λειτουργεί κατά βάση στην ίδια αρχή, γίνεται πιο ενδιαφέρουσα υπό αυτό το πρίσμα και όχι λιγότερο. Προτιμούμε να προτείνουμε υπηρεσία που δεν μπορεί να προδώσει τους χρήστες της παρά μια που έχει απλώς υποσχεθεί, γραπτώς, ότι δεν θα το κάνει.

Πηγές

• Mullvad VPN, Mullvad VPN was subject to a search warrant (April 20, 2023)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

Ημερολόγιο επεξεργασιών

• 2023-04-22 : Πρώτο προσχέδιο κατατεθέν αφού διαβάστηκε το blog post της Mullvad δύο φορές και έγινε διασταύρωση της ημερομηνίας του εντάλματος με την αναφορά του The Register. Κρατήθηκε από τη δημοσίευση μέχρι να εμφανιστεί το άρθρο του Bleeping Computer, το οποίο έγινε το βράδυ της Παρασκευής.
• 2023-04-26 : Προστέθηκε η αρχιτεκτονική λίστα μετά από μακρά τηλεφωνική συνομιλία με φίλο που διαχειρίζεται μικρή hosting επιχείρηση στη Στοκχόλμη και που μου εξήγησε τι πραγματικά κοστίζει να τρέχεις στόλο αποκλειστικά σε RAM σε σχέση με δικτυωμένο σε δίσκο. Κόπηκαν δύο παράγραφοι εικασιών για την υποκείμενη υπόθεση εκβιασμού επειδή ο σουηδικός Τύπος δεν είχε επιβεβαιώσει τη δικαιοδοσία.
• 2023-05-02 : Εισήχθη η σύγκριση ProtonVPN 2021 αφού αναγνώστης έστειλε email να ρωτήσει γιατί δεν την είχα αναφέρει. Ξαναδιάβασα την έκθεση διαφάνειας του Proton από τον Σεπτέμβριο 2021 και το τηλεγράφημα του Reuters για να βεβαιωθώ ότι είχα σωστή τη λεπτομέρεια για τον ακτιβιστή του κλίματος. Αφαιρέθηκε προηγούμενη γραμμή που υπερέβαλλε στην ενοχή του Proton.
• 2023-05-09 : Η ανακοίνωση απόσυρσης προώθησης θυρών της Mullvad στις 29 Μαΐου δεν είχε γίνει ακόμα όταν γράφτηκε αυτό το κείμενο, οπότε προστέθηκε προοπτική πρόταση που σημείωνε το χρονοδιάγραμμα. Θα επανεξεταστεί όταν τεθεί σε ισχύ η μετάβαση της 1ης Ιουλίου.
• 2023-05-15 : Τελικό πέρασμα στην ενότητα κρίσης. Ξαναγράφτηκαν τα τελευταία εδάφια για να καταστεί το νέο επίπεδο «τεκμηριωμένης επιβίωσης εντάλματος» ρητό παρά υπονοούμενο, και προστέθηκε ο σύνδεσμος στην καταχώρηση 1984 Hosting αφού επιβεβαιώθηκε με τον συντάκτη του Directory ότι η καταχώρηση ήταν ακόμα ενεργή.