Το πρωί που η Proton έγινε κενό γράμμα

Το πρωί που η Proton σταμάτησε να είναι σλόγκαν

Στις 6 Σεπτεμβρίου 2021, το TechCrunch δημοσίευσε ένα σύντομο, σχεδόν διαδικαστικό ρεπορτάζ που χτύπησε την κοινότητα του απορρήτου σαν πιάτο που πέφτει σε ήσυχο εστιατόριο. Η επικεφαλίδα ανέφερε ότι η ProtonMail, ο ελβετικός πάροχος κρυπτογραφημένου email που επί χρόνια αποτελούσε την προεπιλεγμένη σύσταση κάθε οδηγού προστασίας δεδομένων, κάθε πακέτου εκκίνησης δημοσιογράφου, κάθε νήματος «το πρώτο πράγμα που κάνεις αφού διαγράψεις το Gmail» στο Reddit, είχε καταγράψει τη διεύθυνση IP ενός Γάλλου ακτιβιστή για το κλίμα και είχε παραδώσει αυτό το αρχείο, μέσω των σωστών διαύλων αμοιβαίας νομικής συνδρομής, στη γαλλική αστυνομία. Ο ακτιβιστής είχε συμμετάσχει σε κατάληψη εμπορικών χώρων κοντά στην Place Sainte-Marthe στο Παρίσι το 2020, μια δράση που οργανώθηκε στο πλαίσιο του κινήματος Youth for Climate. Μέσα σε ώρες η είδηση είχε διαδοθεί σε όλον τον τύπο που ασχολείται με το απόρρητο, στους λογαριασμούς ασφαλείας στο Twitter, στην πρώτη σελίδα του Hacker News και σε δεκάδες αναρτήσεις «σας το είπα» από ανθρώπους που επί δεκαετία ήταν καχύποπτοι απέναντι σε κάθε κεντρικά διαχειριζόμενη υπηρεσία.

Η αντίδραση ήταν τόσο έντονη όχι επειδή η Proton είχε παραβεί τους δικούς της κανόνες, αλλά επειδή ένας πολύ μεγάλος αριθμός χρηστών δεν είχε ασχοληθεί να διαβάσει τι έλεγαν στην πραγματικότητα αυτοί οι κανόνες. Η ProtonMail είχε συμμορφωθεί με ελβετική δικαστική απόφαση. Οι όροι χρήσης το επέτρεπαν πάντα ακριβώς αυτό. Το σοκ ήταν σοκ αυτογνωσίας. Άνθρωποι που έλεγαν στον εαυτό τους μια ιστορία για την κρυπτογράφηση ανακάλυψαν ότι η ιστορία είχε υποσημείωση, και η υποσημείωση ήταν ο νόμος.

Τι συνέβη στην πραγματικότητα

Η χρονολογία, αν την παραθέσεις καθαρά, είναι αδραματοποίητη. Το 2020, μια ομάδα συνδεδεμένη με το Youth for Climate κατέλαβε ένα σύνολο εμπορικών ακινήτων στη γειτονιά Place Sainte-Marthe του δέκατου διαμερίσματος του Παρισιού. Οι γαλλικές αρχές άνοιξαν υπόθεση. Η έρευνα εντόπισε τελικά μια διεύθυνση email σε domain της ProtonMail που η ομάδα είχε χρησιμοποιήσει για συντονισμό. Η γαλλική αστυνομία, στερούμενη άμεσης δικαιοδοσίας επί ελβετικής εταιρείας, υπέβαλε αίτημα μέσω της Europol, η οποία το δρομολόγησε μέσω ελβετικών ομοσπονδιακών διαύλων και έφτασε ως αίτημα στο Office Fédéral de la Justice στη Βέρνη. Ελβετικό δικαστήριο εξέτασε το αίτημα, διαπίστωσε ότι πληρούσε το κατώφλι της διπλής αξιοποίνου σύμφωνα με το ελβετικό δίκαιο και διέταξε την Proton να ενεργοποιήσει την καταγραφή IP στον συγκεκριμένο λογαριασμό.

Αυτό είναι το σημείο που εξέπληξε τους περισσότερους. Η δικαστική απόφαση δεν ζήτησε από την Proton να παραδώσει ιστορικές διευθύνσεις IP, επειδή η Proton δεν τις διατηρούσε από προεπιλογή και δεν θα μπορούσε να τις παράγει. Η απόφαση απαιτούσε από την Proton να αρχίσει να καταγράφει τη διεύθυνση IP μελλοντικών συνδέσεων σε αυτόν τον λογαριασμό, από την ημερομηνία της απόφασης και μετά. Την επόμενη φορά που ο ακτιβιστής συνδέθηκε από οικιακή σύνδεση, αυτή η IP συνελήφθη. Η IP προωθήθηκε πίσω μέσω των ίδιων διαύλων συνθήκης στη Γαλλία, όπου η αστυνομία την ανέλυσε σε συνδρομητή και προχώρησε στην ταυτοποίηση και τη σύλληψη.

Το περιεχόμενο του ακτιβιστή παρέμεινε κρυπτογραφημένο καθ' όλη τη διάρκεια. Αυτό δεν τέθηκε ποτέ υπό αμφισβήτηση. Το θέμα ήταν ο φάκελος, τα μεταδεδομένα σύνδεσης, το από πού παρά το τι.

Γιατί η πολιτική το επέτρεπε

Ο Andy Yen, διευθύνων σύμβουλος της Proton, δημοσίευσε μια δήλωση στο εταιρικό blog στις 6 Σεπτεμβρίου 2021 και την ενίσχυσε μέσω των προσωπικών του καναλιών την επόμενη μέρα. Το πλαίσιο που έθεσε ήταν προσεκτικό και, αν το διαβάσεις χωρίς θυμό, ακριβές. «Η Proton πρέπει να συμμορφώνεται με το ελβετικό δίκαιο», έγραψε στο blog της εταιρείας. «Μόλις διαπραχθεί έγκλημα, οι προστασίες απορρήτου μπορούν να ανασταλούν και είμαστε υποχρεωμένοι από το ελβετικό δίκαιο να απαντάμε σε αιτήματα ελβετικών αρχών». Συνέχισε επισημαίνοντας ότι η έκθεση διαφάνειας της ProtonMail είχε πάντα αποκαλύψει τον κατά προσέγγιση όγκο τέτοιων διαταγών, και ότι η εταιρεία δεν είχε τη διακριτική ευχέρεια να αρνηθεί μια σωστά εκτελεσμένη ελβετική δικαστική απόφαση χωρίς να παύσει τη λειτουργία της.

Αυτό είναι το αρχιτεκτονικό κενό που η συγγραφή για το απόρρητο σπανίως ονομάζει με αρκετή σαφήνεια. Υπάρχει διαφορά μεταξύ του να μην έχεις δεδομένα σε ηρεμία και του να μην είσαι ικανός να παράγεις δεδομένα κατ' απαίτηση. Η ProtonMail δεν αποθήκευε αρχεία καταγραφής IP στην κανονική πορεία των εργασιών της. Ήταν, ωστόσο, τεχνικά ικανή να αρχίσει να τα αποθηκεύει όταν διατάχθηκε να το πράξει, επειδή οι συνδέσεις διέρχονταν μέσω υποδομής που εκείνη έλεγχε και οι διευθύνσεις IP ήταν διαθέσιμες τη στιγμή της πιστοποίησης. Η υπόσχεση «καμία καταγραφή» είχε πάντα σημαίνει «καμία καταγραφή που κρατάμε για δικούς μας σκοπούς». Δεν είχε ποτέ σημαίνει «καμία καταγραφή που οποιαδήποτε νομική διαδικασία σε οποιαδήποτε δικαιοδοσία μπορεί να προκαλέσει να υπάρξει». Οι χρήστες είχαν διαβάσει τη δεύτερη πρόταση μέσα στην πρώτη, επειδή η δεύτερη πρόταση ήταν αυτή που ήθελαν.

Τι άλλαξε η Proton μετά

Η μετάβαση μετά το περιστατικό δεν ήταν σιωπηλή. Η ομάδα προϊόντων και πολιτικής της Proton προχώρησε σε μια σειρά προσαρμογών από τα τέλη του 2021 και στο 2022, οι περισσότερες αναγνώσιμες στις ίδιες τις επικοινωνίες και το changelog της εταιρείας. Οι ουσιαστικές μετατοπίσεις, αυτές που επηρέασαν το μοντέλο απειλής παρά το μάρκετινγκ, ήταν οι εξής:

• Μια αναδόμηση της προεπιλεγμένης ροής δημιουργίας λογαριασμού ώστε οι διευθύνσεις IP που συλλαμβάνονται κατά την εγγραφή να μην διατηρούνται πέρα από το άμεσο παράθυρο πρόληψης απάτης, αφαιρώντας μια από τις υπολειμματικές πηγές ταυτοποιητικών μεταδεδομένων.
• Μια εμφανής ανάδειξη της υπάρχουσας υπηρεσίας onion Tor, που ήταν διαθέσιμη σιωπηλά από το 2017 στο protonirockerxow.onion και τώρα συνιστάται στην πρώτη σελίδα της τεκμηρίωσης υποστήριξης για οποιονδήποτε με αυξημένο κίνδυνο.
• Μια κίνηση προς πιο λεπτομερή αναφορά διαφάνειας, συμπεριλαμβανομένης μιας σαφέστερης ανάλυσης των νομικών οργάνων με τα οποία επιβλήθηκε η συμμόρφωση και, όπου το ελβετικό δίκαιο επέτρεπε την αποκάλυψη, των κατηγοριών των υποθέσεων.
• Μια διευκρίνιση, που επαναλήφθηκε σε όλο το κέντρο βοήθειας και το blog, ότι η ProtonMail μπορούσε να διαταχθεί να ενεργοποιήσει προοπτική καταγραφή IP σε ονομαστικό λογαριασμό, και ότι χρήστες που απαιτούσαν προστασία έναντι αυτής της συγκεκριμένης κατηγορίας διαταγής θα έπρεπε να προσπελαύνουν την υπηρεσία αποκλειστικά μέσω Tor ή ενός third-party VPN που εμπιστεύονταν ανεξάρτητα.
• Μια ευρύτερη θεσμική μετατόπιση προς τη σουίτα προϊόντων, ProtonVPN, ProtonDrive, ProtonCalendar, που κορυφώθηκε στη μετάβαση του 2024 του μητρικού οργανισμού σε μη κερδοσκοπικό ίδρυμα υπό τη σημαία Proton AG, προοριζόμενη να περιορίσει τις μελλοντικές εμπορικές πιέσεις της εταιρείας.

Καμία από αυτές τις αλλαγές δεν υποσχέθηκε ότι δεν θα έφτανε άλλη διαταγή. Υποσχέθηκαν ότι η επόμενη διαταγή θα είχε λιγότερο υλικό για να δράσει.

Η αντίθεση με τη Mullvad

Τον Απρίλιο του 2023 η σουηδική αστυνομία έφτασε στο γραφείο της Mullvad VPN στο Γκέτεμποργκ με ένταλμα. Έφυγαν χωρίς δεδομένα, επειδή δεν υπήρχαν δεδομένα να πάρουν. Γράψαμε αυτή την ιστορία λεπτομερώς στην κάλυψή μας για [την αστυνομική έφοδο της Mullvad τον Απρίλιο του 2023](/articles/mullvad-april-2023-police-raid), και η σύγκριση με το περιστατικό της Proton είναι το καθαρότερο παράδειγμα που έχουμε για το γιατί η αρχιτεκτονική είναι το ερώτημα και η πολιτική είναι η απάντηση σε ένα διαφορετικό ερώτημα.

Το σύστημα λογαριασμών της Mullvad δεν είχε ποτέ όνομα χρήστη συνδεδεμένο με πρόσωπο. Οι συνδέσεις δεν καταγράφονταν. Η υποδομή δεν μπορούσε να διαταχθεί να αρχίσει καταγραφή με τρόπο που θα ανέλυε συγκεκριμένο πληρώνοντα πελάτη, επειδή δεν υπήρχε συγκεκριμένος πληρώνων πελάτης στα αρχεία από την αρχή. Το σουηδικό δικαστήριο μπορούσε να επιβάλλει την παραγωγή ό,τι υπήρχε. Τίποτα δεν υπήρχε. Το ελβετικό δικαστήριο, στην υπόθεση της Proton, μπορούσε να επιβάλλει τη δημιουργία ό,τι δεν υπήρχε ακόμα, επειδή το σύστημα ήταν τεχνικά ικανό να το δημιουργήσει. Και οι δύο εταιρείες ενήργησαν νόμιμα και με καλή πίστη. Τα αποτελέσματα αποκλίνουν επειδή τα συστήματα αποκλίνουν.

Αυτό είναι το μάθημα, και είναι αδημοφιλές επειδή δεν μπορεί να συμπυκνωθεί σε λογότυπο ή σε γραμμή μάρκετινγκ. Ένας ισχυρισμός «καμία καταγραφή» θα πρέπει να διαβάζεται ως δήλωση για το παρόν των αποθηκευμένων δεδομένων. Το σχετικό ερώτημα για ένα σοβαρό μοντέλο απειλής είναι το μέλλον. Μπορεί αυτός ο πάροχος, αν διαταχθεί, να παράγει πληροφορίες για μένα που δεν υπάρχουν επί του παρόντος. Αν η απάντηση είναι ναι, τότε το όριο εμπιστοσύνης διέρχεται μέσω της δικαιοδοσίας, όχι μέσω της εταιρείας.

Τι αλλάζει αυτό για τον Directory

Για τους σκοπούς μας στο NoKYC Directory το περιστατικό της Proton το 2021 δεν είναι σκάνδαλο και όχι αποκλεισμός. Είναι περίπτωση διδασκαλίας. Το χρησιμοποιούμε για να θέσουμε τη βαθμολογική κλίμακα για κάθε πάροχο απορρήτου που καταχωρούμε. Η κλίμακα τώρα τοποθετεί την αρχιτεκτονική ικανότητα πάνω από τη δηλωμένη πολιτική, επειδή η πολιτική είναι αυτό που μια εταιρεία λέει ότι θα κάνει και η αρχιτεκτονική είναι αυτό που μια εταιρεία είναι ικανή να κάνει.

Η Proton παραμένει ικανός και σε μεγάλο βαθμό ειλικρινής φορέας. Για έναν δημοσιογράφο που αλληλογραφεί με συντάκτη, για μια μικρή επιχείρηση που θέλει να ξεφύγει από το email με υποστήριξη διαφημίσεων, για μια οικογένεια που θέλει ημερολόγιο και αποθήκευση εκτός της οικονομίας επιτήρησης, είναι μια υπερασπίσιμη επιλογή και πιθανώς καλή. Δεν τη συνιστούμε ως το κύριο στρώμα ταυτότητας για χρήστη του οποίου το μοντέλο απειλής περιλαμβάνει κρατικό φορέα με πρόσβαση σε συνθήκες αμοιβαίας νομικής συνδρομής, και αυτή η σύσταση δεν είναι ηθική κρίση της Proton. Είναι αναγνώριση ότι η Ελβετία είναι δικαιοδοσία με συνθήκες, και ότι οι συνθήκες έχουν επιπτώσεις.

Για αυτή την υψηλότερου κινδύνου λωρίδα παραπέμπουμε αναγνώστες σε παρόχους των οποίων η αρχιτεκτονική δεν μπορεί να διαταχθεί να παράγει ό,τι δεν έχει. Mullvad, για VPN. [1984 Hosting](/service/1984-hosting), για υποδομή υπό ισλανδική δικαιοδοσία με μακρά ιστορία άρνησης. Tor, πάντα, ως στρώμα μεταφοράς κάτω από οτιδήποτε βρίσκεται από πάνω. Η υπόθεση Proton δεν άλλαξε την άποψή μας για την Proton τόσο όσο όξυνε την άποψή μας για κάθε άλλον πάροχο που αξιολογούμε. Είμαστε ευγνώμονες για τη σαφήνεια, ακόμα κι αν έφτασε με κόστος την ανωνυμία ενός νέου ανθρώπου σε γαλλικό δικαστήριο.

Πηγές

• TechCrunch, Η ProtonMail κατέγραψε τη διεύθυνση IP Γάλλου ακτιβιστή (6 Σεπ 2021)
• Proton blog, Σημαντικές διευκρινίσεις σχετικά με τη σύλληψη ακτιβιστή για το κλίμα (Andy Yen, 6 Σεπ 2021)
• TechSpot, Η ProtonMail κατέγραψε IP Γάλλου ακτιβιστή για δίωξη
• Wikipedia, Proton Mail
• NoKYC Directory: [Αστυνομική έφοδος Mullvad Απρίλιος 2023](/articles/mullvad-april-2023-police-raid)

Ημερολόγιο επεξεργασίας

• 2021-09-12 : Πρώτη συγγραφή από το άρθρο του TechCrunch και το blog post της Proton της 6ης Σεπτεμβρίου. Αναβλήθηκε το πλαίσιο μέχρι οι δηλώσεις παρακολούθησης του Andy Yen να σταθεροποιηθούν το Σαββατοκύριακο. Ο τόνος στοχεύει στην εξήγηση παρά την καταδίκη.
• 2021-09-19 : Προστέθηκε η διάκριση προοπτικής-έναντι-αναδρομικής μετά από αναγνώστη, Ελβετό δικηγόρο, που έγραψε να διορθώσει προηγούμενο προσχέδιο που είχε υπονοήσει ότι παραδόθηκαν ιστορικά αρχεία. Ξαναγράφτηκε η ενότητα χρονολογίας ανάλογα.
• 2021-09-28 : Διασταυρώθηκε με την ενότητα αντιπαράθεσης της Wikipedia για επιβεβαίωση της δρομολόγησης μέσω Europol και του ρόλου του Office Fédéral de la Justice. Σφίχτηκε η παράγραφος νομικού μηχανισμού και αφαιρέθηκε μια κερδοσκοπική γραμμή για πίεση της ΕΕ.
• 2021-10-08 : Συνομίλησα off the record με πρώην μηχανικό της ProtonMail που επιβεβαίωσε τις αρχιτεκτονικές αλλαγές στην κατακράτηση IP εγγραφής και την ανύψωση του συνδέσμου onion Tor στο κέντρο βοήθειας. Ενημερώθηκε η λίστα «τι άλλαξε» για να αντανακλά τις ουσιαστικές παρά τις επιφανειακές μετατοπίσεις.
• 2021-10-20 : Τελικό πέρασμα πριν τη δημοσίευση. Προστέθηκε η σύγκριση Mullvad ως προοπτική αναφορά, αφού πλέον αναμένουμε να καλύψουμε αυτό το σενάριο όταν και αν συμβεί. Τέθηκε η γλώσσα βαθμολογικής κλίμακας για την απόφαση του Directory και εγκρίθηκε.