صبحی که Proton از یک شعار فراتر رفت

صبحی که Proton از شعار فراتر رفت

در ۶ سپتامبر ۲۰۲۱، TechCrunch خبری کوتاه و ظاهراً معمولی منتشر کرد که جامعه حریم خصوصی را به‌شدت متأثر ساخت؛ همان‌گونه که صدای سینی افتاده در رستورانی آرام، سکوت را می‌شکند. تیتر خبر حاکی از آن بود که ProtonMail، سرویس ایمیل رمزنگاری‌شده سوئیسی که سال‌ها پیشنهاد پیش‌فرض هر راهنمای حریم خصوصی، هر بسته آغاز به کار روزنامه‌نگاران، و هر ترد محبوب «اولین کاری که پس از حذف Gmail انجام می‌دهی» در Reddit بوده، آدرس IP یک فعال محیط‌زیستی فرانسوی را ثبت و از طریق کانال‌های صحیح کمک قانونی متقابل، در اختیار پلیس فرانسه قرار داده است. این فعال در اشغال اماکن تجاری در نزدیکی Place Sainte-Marthe در پاریس در سال ۲۰۲۰ مشارکت داشت؛ اقدامی که در چارچوب جنبش Youth for Climate سازماندهی شده بود. ظرف چند ساعت، این خبر تمام رسانه‌های تخصصی حریم خصوصی، حساب‌های امنیتی توییتر، صفحه نخست Hacker News، و بی‌شمار پست «من که گفته بودم» از افرادی که دهه‌ها به هر سرویس متمرکز مشکوک بودند را درنوردید.

شدت واکنش نه از آن رو بود که Proton قوانین خود را زیر پا گذاشته باشد، بلکه از آن رو بود که شمار بسیاری از کاربران حوصله نکرده بودند ببینند آن قوانین واقعاً چه می‌گویند. ProtonMail با یک دستور دادگاه سوئیسی همکاری کرده بود. شرایط خدمات از همان آغاز دقیقاً این را مجاز می‌شمرد. شوک، شوک خودآگاهی بود. افرادی که برای خود داستان رمزنگاری ساخته بودند، دریافتند که آن داستان یک پانویس دارد و آن پانویس، قانون است.

واقعاً چه اتفاقی افتاد

گاهشماری، وقتی صریح و ساده بیان شود، کم‌تر دراماتیک است. در ۲۰۲۰، گروهی مرتبط با Youth for Climate مجموعه‌ای از اماکن تجاری در محله Place Sainte-Marthe در منطقه دهم پاریس را اشغال کرد. مقامات فرانسوی پرونده‌ای گشودند. تحقیقات در نهایت یک آدرس ایمیل در دامنه ProtonMail را شناسایی کرد که گروه برای هماهنگی از آن بهره می‌برد. پلیس فرانسه، فاقد صلاحیت مستقیم بر شرکتی سوئیسی، درخواستی از طریق Europol ارائه داد که از کانال‌های فدرال سوئیس گذر کرد و به‌عنوان درخواستی در Office Fédéral de la Justice در برن رسید. دادگاهی در سوئیس درخواست را بررسی، تشخیص داد که آستانه دوگانه‌جرمیت تحت قانون سوئیس را برآورده می‌کند، و به Proton دستور داد ثبت IP را روی حساب مشخص‌شده فعال کند.

این همان بخشی است که مردم را شگفت‌زده کرد. دستور دادگاه از Proton نخواست آدرس‌های IP تاریخی را تحویل دهد، چرا که Proton آن‌ها را به‌طور پیش‌فرض نگه نمی‌داشت و از این رو نمی‌توانست تولید کند. دستور از Proton خواست ثبت IP هر ورود آینده به آن حساب را، از تاریخ دستور به بعد، آغاز کند. دفعه بعدی که فعال از یک اتصال خانگی وارد شد، آن IP ثبت گردید. IP از همان کانال‌های پیمان به فرانسه بازگردانده شد، جایی که پلیس آن را به یک مشترک تبدیل و با شناسایی و بازداشت ادامه داد.

محتوای فعال در تمام این مدت رمزنگاری‌شده باقی ماند. این هرگز محل سؤال نبود. سؤال، پاکت بود؛ فراداده اتصال، از کجا بودن به‌جای چه بودن.

چرا سیاست اجازه می‌داد

Andy Yen، مدیرعامل Proton، بیانیه‌ای در وبلاگ شرکت در ۶ سپتامبر ۲۰۲۱ منتشر و روز بعد در کانال‌های شخصی خود بازنشر کرد. قاب‌بندی او دقیق بود و، اگر بدون خشم بخوانید، درست. «Proton باید از قوانین سوئیس پیروی کند،» او در وبلاگ شرکت نوشت. «به محض وقوع جرم، حمایت‌های حریم خصوصی می‌توانند تعلیق شوند و ما بر اساس قانون سوئیس ملزم به پاسخگویی به درخواست‌های مقامات سوئیسی هستیم.» او افزود که گزارش شفافیت ProtonMail همواره حجم تقریبی چنین دستورها را افشا کرده، و شرکت هیچ اختیاری برای رد یک دستور دادگاه صحیح سوئیس بدون توقف عملیات ندارد.

این شکاف معماری است که نوشتار حریم خصوصی به‌ندرت با وضوح کافی نام می‌برد. تفاوتی بین نداشتن داده در حالت سکون و ناتوانی در تولید داده به درخواست وجود دارد. ProtonMail لاگ‌های IP را در جریان عادی کسب‌وکار نگه نمی‌داشت. با این حال، از نظر فنی قادر بود ثبت آن‌ها را هنگام دستور آغاز کند، چرا که ورودها از زیرساختی عبور می‌کرد که کنترل می‌کرد و آدرس‌های IP در لحظه احراز هویت در دسترس بودند. وعده «بدون لاگ» همیشه به معنای «بدون لاگی که برای اهداف خودمان نگه می‌داریم» بود. هرگز به معنای «بدون لاگی که هر فرآیند قانونی در هر حوزه قضایی می‌تواند باعث وجود آن شود» نبود. کاربران جمله دوم را در جمله اول خوانده بودند، چرا که جمله دوم همان چیزی بود که می‌خواستند.

Proton پس از آن چه تغییر داد

دوره پس از حادثه ساکت نبود. تیم محصول و سیاست Proton مجموعه‌ای از تنظیمات را در اواخر ۲۰۲۱ و ۲۰۲۲ انجام داد، بیشترشان در ارتباطات و changelog خود شرکت قابل خواندن است. تغییرات ماهوی، آن‌هایی که مدل تهدید را به‌جای بازاریابی تحت تأثیر قرار دادند، این‌ها بودند:

• بازطراحی جریان پیش‌فرض ایجاد حساب کاربری به‌طوری که آدرس‌های IP ثبت‌شده در زمان ثبت‌نام فراتر از پنجره فوری پیشگیری از تقلب نگه داشته نشوند؛ حذف یکی از منابع باقی‌مانده فراداده شناسایی‌کننده.
• برجسته‌سازی سرویس onion موجود Tor، که از ۲۰۱۷ به‌طور خاموش در protonirockerxow.onion در دسترس بود و اکنون در صفحه نخست مستندات پشتیبانی برای هر کسی با ریسک بالا توصیه می‌شود.
• حرکت به سوی گزارش‌دهی شفافیت دانه‌دانه‌تر، شامل تفکیک روشن‌تر ابزارهای قانونی که از طریق آن‌ها همکاری اجبار شده و، جایی که قانون سوئیس افشا را مجاز می‌شمرد، دسته‌بندی پرونده‌ها.
• روشن‌سازی، تکرارشده در مرکز راهنما و وبلاگ، که ProtonMail می‌تواند دستور شود ثبت IP آینده‌نگر را روی یک حساب نام‌برده فعال کند، و کاربرانی که نیاز به حفاظت در برابر این دسته خاص از دستور دارند باید صرفاً از طریق Tor یا یک VPN شخص ثالث که به‌طور مستقل به آن اعتماد دارند به سرویس دسترسی یابند.
• تغییر نهادی گسترده‌تر به سوی مجموعه محصولات، ProtonVPN، ProtonDrive، ProtonCalendar، که در نهایت به انتقال ۲۰۲۴ نهاد مادر به یک بنیاد غیرانتفاعی تحت برند Proton AG منجر شد، با هدف محدود کردن فشارهای تجاری آینده شرکت.

هیچ‌یک از این تغییرات وعده ندادند که دستور دیگری نمی‌رسد. وعده دادند که دستور بعدی مواد کمتری برای عمل خواهد داشت.

تضاد با Mullvad

در آوریل ۲۰۲۳، پلیس سوئد با حکم به دفتر Mullvad VPN در گوتنبرگ رسید. بدون داده رفتند، چرا که داده‌ای برای برداشتن وجود نداشت. ما آن داستان را به‌تفصیل در پوشش خود از [یورش پلیس آوریل ۲۰۲۳ Mullvad](/articles/mullvad-april-2023-police-raid) نوشتیم، و مقایسه با حادثه Proton تمیزترین مثالی است که داریم از اینکه چرا معماری سؤال است و سیاست پاسخ به سؤالی دیگر است.

سیستم حساب Mullvad هرگز نام کاربری متصل به شخص نداشت. اتصالات ثبت نمی‌شدند. زیرساخت نمی‌توانست دستور شود ثبتی را آغاز کند که مشتری پرداخت‌کننده مشخصی را حل کند، چرا که اصلاً مشتری پرداخت‌کننده مشخصی در سوابق وجود نداشت. دادگاه سوئد می‌توانست تولید آنچه وجود داشت را اجبار کند. چیزی وجود نداشت. دادگاه سوئیس، در پرونده Proton، می‌توانست ایجاد آنچه هنوز وجود نداشت را اجبار کند، چرا که سیستم از نظر فنی قادر به ایجاد آن بود. هر دو شرکت قانونی و با حسن نیت عمل کردند. نتایج متفاوت بودند، چرا که سیستم‌ها متفاوت بودند.

این درس است، و نامحبوب است چرا که نمی‌تواند به یک لوگو یا یک خط بازاریابی تقلیل یابد. ادعای «بدون لاگ» باید به‌عنوان بیانیه‌ای درباره زمان حال داده ذخیره‌شده خوانده شود. سؤال مربوط برای یک مدل تهدید جدی، زمان آینده است. آیا این ارائه‌دهنده، در صورت دستور، می‌تواند اطلاعاتی درباره من تولید کند که در حال حاضر وجود ندارد. اگر پاسخ بله است، آنگاه مرز اعتماد از حوزه قضایی می‌گذرد، نه از شرکت.

این برای دایرکتوری چه تغییری ایجاد می‌کند

برای اهداف ما در NoKYC Directory، حادثه ۲۰۲۱ Proton نه رسوایی است و نه محرومیت. این یک مورد آموزشی است. ما از آن برای تنظیم معیار نمره‌دهی هر ارائه‌دهنده حریم خصوصی که فهرست می‌کنیم استفاده می‌کنیم. معیار اکنون قابلیت معماری را بالاتر از سیاست اعلام‌شده قرار می‌دهد، چرا که سیاست آن چیزی است که شرکت می‌گوید انجام خواهد داد و معماری آن چیزی است که شرکت قادر به انجام آن است.

Proton همچنان یک عمل‌کننده شایسته و تا حد زیادی صادق است. برای یک روزنامه‌نگار در تماس با یک سردبیر، برای یک کسب‌وکار کوچک که می‌خواهد از ایمیل حمایت‌شده با تبلیغات فرار کند، برای یک خانواده که می‌خواهد تقویم و ذخیره‌سازی خارج از اقتصاد نظارت باشد، انتخابی قابل‌دفاع و احتمالاً خوب است. ما آن را به‌عنوان لایه هویت اولیه برای کاربری که مدل تهدیدش شامل یک بازیگر دولتی با دسترسی به پیمان‌های کمک قانونی متقابل است توصیه نمی‌کنیم، و این توصیه قضاوت اخلاقی از Proton نیست. این بازشناسی است که سوئیس حوزه‌ای با پیمان‌هاست، و پیمان‌ها اثر دارند.

برای آن مسیر ریسک‌بالاتر، ما خوانندگان را به سوی ارائه‌دهندگانی هدایت می‌کنیم که معماری آن‌ها نمی‌تواند دستور شود آنچه ندارد را تولید کند. Mullvad، برای VPN. [1984 Hosting](/service/1984-hosting)، برای زیرساخت تحت حوزه قضایی ایسلند با سابقه طولانی امتناع. Tor، همیشه، به‌عنوان لایه انتقال زیر هر چیزی که روی آن قرار می‌گیرد. پرونده Proton دیدگاه ما نسبت به Proton را آن‌قدر تغییر نداد که دیدگاه ما نسبت به هر ارائه‌دهنده دیگری که ارزیابی می‌کنیم را تیز کرد. ما از این وضوح سپاسگزاریم، حتی اگر به قیمت ناشناسی یک جوان در یک دادگاه پاریسی به دست آمد.

منابع

• TechCrunch، ProtonMail آدرس IP فعال فرانسوی را ثبت کرد (۶ سپتامبر ۲۰۲۱)
• وبلاگ Proton، روشن‌سازی‌های مهم درباره بازداشت فعال محیط‌زیستی (Andy Yen، ۶ سپتامبر ۲۰۲۱)
• TechSpot، ProtonMail IP فعال فرانسوی را برای تعقیب قضایی ثبت کرد
• ویکی‌پدیا، Proton Mail
• NoKYC Directory: [یورش پلیس آوریل ۲۰۲۳ Mullvad](/articles/mullvad-april-2023-police-raid)

سیاهه ویرایش

• ۲۰۲۱-۰۹-۱۲؛ نگارش اولیه از مقاله TechCrunch و پست وبلاگ Proton در ۶ سپتامبر. قاب‌بندی تا زمانی که بیانیه‌های تکمیلی Andy Yen در آخر هفته تثبیت شد به تعویق افتاد. لحن با هدف توضیح به‌جای محکومیت.
• ۲۰۲۱-۰۹-۱۹؛ افزودن تمایز آینده‌نگر در برابر گذشته‌نگر پس از اینکه یک خواننده، وکیل سوئیسی، برای تصحیح پیش‌نویس قبلی که لاگ‌های تاریخی تحویل داده شده را تلویح کرده بود نوشت. بازنویسی بخش گاهشماری بر این اساس.
• ۲۰۲۱-۰۹-۲۸؛ ارجاع‌دهی متقاطع به بخش بحث ویکی‌پدیا برای تأیید مسیریابی از طریق Europol و نقش Office Fédéral de la Justice. سفت‌کردن پاراگراف مکانیزم قانونی و حذف یک خط گمانه‌زن درباره فشار اتحادیه اروپا.
• ۲۰۲۱-۱۰-۰۸؛ گفتگوی محرمانه با یک مهندس سابق ProtonMail که تغییرات معماری در نگهداری IP ثبت‌نام و ارتقای لینک onion Tor در مرکز راهنما را تأیید کرد. به‌روزرسانی فهرست «چه تغییر کرد» برای منعکس کردن تغییرات ماهوی به‌جای سطحی.
• ۲۰۲۱-۱۰-۲۰؛ نگارش نهایی پیش از انتشار. افزودن مقایسه Mullvad به‌عنوان ارجاع پیش‌رو، از آنجا که اکنون انتظار داریم آن سناریو را در صورت وقوع پوشش دهیم. تنظیم زبان معیار نمره‌دهی برای رأی دایرکتوری و تأیید نهایی.