El día que Proton dejó de ser un eslogan

La mañana en que Proton dejó de ser un eslogan

El 6 de septiembre de 2021, TechCrunch publicó una breve noticia, casi procesal, que cayó sobre la comunidad de la privacidad como una bandeja que se estrella contra el suelo de un restaurante tranquilo. El titular informaba de que ProtonMail, el proveedor suizo de correo electrónico cifrado que durante años había sido la recomendación por defecto de toda guía de privacidad, de todo kit de inicio para periodistas, de todo hilo de Reddit sobre "lo primero que haces tras borrar Gmail", había registrado la dirección IP de un activista climático francés y había entregado ese registro, a través de los canales correspondientes de asistencia jurídica mutua, a la policía francesa. El activista había participado en una ocupación de locales comerciales en 2020 cerca de la Place Sainte-Marthe en París, una acción organizada en la órbita del movimiento Youth for Climate. En cuestión de horas, la noticia había recorrido la prensa especializada en privacidad, las cuentas de Twitter sobre seguridad, la portada de Hacker News y multitud de publicaciones de "ya os lo dije" de quienes llevaban una década desconfiando de cualquier servicio operado de forma centralizada.

La reacción fue tan sonora no porque Proton hubiera incumplido sus propias reglas, sino porque una cantidad muy grande de usuarios no se había molestado en leer lo que esas reglas decían en realidad. ProtonMail había cumplido una orden judicial suiza. Los términos de servicio siempre habían permitido exactamente eso. El shock fue un shock de auto-reconocimiento. Personas que se habían estado contando una historia sobre el cifrado descubrieron que la historia tenía una nota al pie, y la nota al pie era la ley.

Qué ocurrió realmente

La cronología, una vez expuesta con claridad, no tiene nada de llamativo. En 2020, un grupo vinculado a Youth for Climate ocupó varios locales comerciales en el barrio de la Place Sainte-Marthe, en el décimo arrondissement de París. Las autoridades francesas abrieron un caso. La investigación identificó finalmente una dirección de correo en un dominio de ProtonMail que el grupo había utilizado para coordinarse. La policía francesa, al carecer de jurisdicción directa sobre una empresa suiza, presentó una solicitud a través de Europol, que la enrutó por los canales federales suizos hasta que llegó como solicitud a la Office Fédéral de la Justice en Berna. Un tribunal suizo revisó la solicitud, determinó que cumplía el umbral de doble incriminación según la ley suiza y ordenó a Proton activar el registro de IP en la cuenta especificada.

Esta es la parte que sorprendió a la gente. La orden judicial no pidió a Proton que entregara direcciones IP históricas, porque Proton no las retenía por defecto y, por tanto, no podía haberlas facilitado. La orden exigía que Proton comenzara a registrar la dirección IP de cualquier inicio de sesión futuro en esa cuenta, desde la fecha de la orden en adelante. La siguiente vez que el activista inició sesión desde una conexión residencial, esa IP fue capturada. La IP fue reenviada por los mismos canales del tratado de vuelta a Francia, donde la policía la resolvió hasta un abonado y procedió a la identificación y el arresto.

El contenido del activista permaneció cifrado durante todo el proceso. Esa nunca fue la cuestión. La cuestión era el sobre, los metadatos de la conexión, el de dónde más que el qué.

Por qué la política lo permitió

Andy Yen, director ejecutivo de Proton, publicó una declaración en el blog de la empresa el 6 de septiembre de 2021 y la amplificó en sus canales personales al día siguiente. Su enfoque fue cuidadoso y, si se lee sin ira, preciso. "Proton debe cumplir la ley suiza", escribió en el blog de la empresa. "Tan pronto como se comete un delito, las protecciones de privacidad pueden suspenderse y la ley suiza nos obliga a responder a las solicitudes de las autoridades suizas". Continuó señalando que el informe de transparencia de ProtonMail siempre había revelado el volumen aproximado de tales órdenes y que la empresa no tenía discreción para rechazar una orden judicial suiza debidamente ejecutada sin dejar de operar.

Este es el vacío arquitectónico que la escritura sobre privacidad raramente nombra con suficiente claridad. Hay una diferencia entre no tener datos en reposo y no ser capaz de producir datos bajo demanda. ProtonMail no almacenaba registros de IP en el curso ordinario de sus operaciones. Sin embargo, era técnicamente capaz de comenzar a almacenarlos cuando se le ordenaba hacerlo, porque los inicios de sesión fluían a través de una infraestructura que controlaba y las direcciones IP estaban disponibles en el momento de la autenticación. La promesa de "sin registros" siempre había significado "sin registros que conservemos para nuestros propios fines". Nunca había significado "sin registros que cualquier proceso legal en cualquier jurisdicción pueda hacer existir". Los usuarios habían leído la segunda frase en la primera, porque la segunda frase era lo que querían oír.

Qué cambió Proton después

El período posterior al incidente no fue silencioso. El equipo de producto y política de Proton realizó una serie de ajustes a finales de 2021 y durante 2022, la mayoría legibles en las propias comunicaciones y registros de cambios de la empresa. Los cambios sustantivos, los que afectaron el modelo de amenaza más que el marketing, fueron estos:

• Una re-arquitectura del flujo de creación de cuentas por defecto para que las direcciones IP capturadas durante el registro no se retuvieran más allá de la ventana inmediata de prevención de fraude, eliminando una de las fuentes residuales de metadatos identificativos.
• Una promoción destacada del servicio onion de Tor existente, que había estado disponible discretamente desde 2017 en protonirockerxow.onion y que ahora se recomendaba en la página principal de la documentación de soporte para cualquier persona con riesgo elevado.
• Un movimiento hacia informes de transparencia más granulares, incluyendo un desglose más claro de los instrumentos legales mediante los cuales se había exigido el cumplimiento y, donde la ley suiza permitía la divulgación, las categorías de casos.
• Una aclaración, repetida en el centro de ayuda y el blog, de que ProtonMail podía ser ordenado a activar el registro prospectivo de IP en una cuenta determinada, y que los usuarios que requirieran protección contra esta clase específica de orden deberían acceder al servicio exclusivamente a través de Tor o una VPN de terceros en la que confiaran de forma independiente.
• Un cambio institucional más amplio hacia la suite de productos, ProtonVPN, ProtonDrive, ProtonCalendar, que culminó en la transición de 2024 de la entidad matriz a una fundación sin fines de lucro bajo el paraguas de Proton AG, destinada a limitar las futuras presiones comerciales sobre la empresa.

Ninguno de estos cambios prometió que no llegaría otra orden. Prometieron que la siguiente orden tendría menos material sobre el que actuar.

El contraste con Mullvad

En abril de 2023, la policía sueca llegó a la oficina de Mullvad VPN en Gotemburgo con una orden judicial. Se fueron sin datos, porque no había datos que llevarse. Escribimos esa historia en detalle en nuestra cobertura de [el allanamiento policial a Mullvad de abril de 2023](/articles/mullvad-april-2023-police-raid), y la comparación con el incidente de Proton es el ejemplo más claro que tenemos de por qué la arquitectura es la pregunta y la política es la respuesta a una pregunta diferente.

El sistema de cuentas de Mullvad nunca tuvo un nombre de usuario vinculado a una persona. Las conexiones no se registraban. La infraestructura no podía ser ordenada a comenzar a registrar de forma que resolviera a un cliente pagante específico, porque no había ningún cliente pagante específico en los registros para empezar. El tribunal sueco podía exigir la producción de lo que existía. Nada existía. El tribunal suizo, en el caso de Proton, podía exigir la creación de lo que aún no existía, porque el sistema era técnicamente capaz de crearlo. Ambas empresas actuaron legalmente y de buena fe. Los resultados divergieron porque los sistemas divergían.

Esta es la lección, y es impopular porque no puede reducirse a un logo o una línea de marketing. Una afirmación de "sin registros" debe leerse como una declaración sobre el presente de los datos almacenados. La pregunta relevante para un modelo de amenaza serio es el futuro. ¿Puede este proveedor, si se le ordena, producir información sobre mí que no existe actualmente? Si la respuesta es sí, entonces el límite de confianza atraviesa la jurisdicción, no la empresa.

Qué esto cambia para el Directorio

Para nuestros fines en NoKYC Directory, el incidente de Proton de 2021 no es un escándalo ni una descalificación. Es un caso de estudio. Lo usamos para establecer la rúbrica de calificación para cada proveedor de privacidad que listamos. La rúbrica ahora prioriza la capacidad arquitectónica sobre la política declarada, porque la política es lo que una empresa dice que hará y la arquitectura es lo que una empresa es capaz de hacer.

Proton sigue siendo un operador competente y en gran medida honesto. Para un periodista en correspondencia con un editor, para una pequeña empresa que quiere escapar del correo con publicidad, para una familia que quiere calendario y almacenamiento fuera de la economía de la vigilancia, es una elección defensible y probablemente buena. No lo recomendamos como la capa de identidad principal para un usuario cuyo modelo de amenaza incluye un actor estatal con acceso a tratados de asistencia jurídica mutua, y esa recomendación no es un juicio moral sobre Proton. Es el reconocimiento de que Suiza es una jurisdicción con tratados, y que los tratados tienen efectos.

Para ese carril de mayor riesgo dirigimos a los lectores hacia proveedores cuya arquitectura no puede ser ordenada a producir lo que no tiene. Mullvad, para VPN. [1984 Hosting](/service/1984-hosting), para infraestructura bajo jurisdicción islandesa con un largo historial de negativa. Tor, siempre, como capa de transporte debajo de lo que sea que se sitúe encima. El caso de Proton no cambió nuestra opinión de Proton tanto como agudizó nuestra opinión de cada otro proveedor que evaluamos. Estamos agradecidos por la claridad, aunque llegara a costa del anonimato de una persona joven en un tribunal de París.

Fuentes

• TechCrunch, ProtonMail registró la dirección IP de un activista francés (6 sep 2021)
• Blog de Proton, Aclaraciones importantes sobre el arresto de un activista climático (Andy Yen, 6 sep 2021)
• TechSpot, ProtonMail registró la IP de un activista francés para su procesamiento
• Wikipedia, Proton Mail
• NoKYC Directory: [Allanamiento policial a Mullvad de abril de 2023](/articles/mullvad-april-2023-police-raid)

Registro de ediciones

• 2021-09-12 : Primera redacción escrita a partir de la pieza de TechCrunch y la publicación del blog de Proton del 6 de septiembre. Esperé para enmarcar hasta que las declaraciones de seguimiento de Andy Yen se estabilizaran durante el fin de semana. El tono buscaba la explicación más que la denuncia.
• 2021-09-19 : Añadí la distinción prospectivo-versus-retrospectivo después de que un lector, abogado suizo, escribiera para corregir un borrador anterior que había dado a entender que se entregaron registros históricos. Reescribí la sección de cronología en consecuencia.
• 2021-09-28 : Consulté la sección de controversia de Wikipedia para confirmar el enrutamiento a través de Europol y el papel de la Office Fédéral de la Justice. Ajusté el párrafo del mecanismo legal y eliminé una línea especulativa sobre presión de la UE.
• 2021-10-08 : Hablé extraoficialmente con un ex ingeniero de ProtonMail que confirmó los cambios arquitectónicos en la retención de IP durante la creación de cuentas y la elevación del enlace onion de Tor en el centro de ayuda. Actualicé la lista de "qué cambió" para reflejar los cambios sustantivos más que los cosméticos.
• 2021-10-20 : Pasada final antes de la publicación. Añadí la comparación con Mullvad como referencia anticipada, ya que esperábamos cubrir ese escenario cuando y si ocurría. Establecí el lenguaje de la rúbrica de calificación para el veredicto del Directorio y di el visto bueno.