Raid chez Mullvad : la police suédoise repart bredouille, l'affaire qui fait jurisprudence pour le no-logs en Europe

Quand la police est venue chercher Mullvad et est repartie les mains vides

Mardi 18 avril 2023, au moins six agents du Département des opérations nationales suédois ont investi le bureau de Mullvad VPN à Göteborg, mandat de perquisition en main. Deux jours plus tard, l'entreprise publiait un bref billet confirmant l'incident, mais le titre enfoui dans ce texte n'était pas tant que la perquisition avait eu lieu, que les agents étaient repartis sans aucun équipement, sans logs, sans données de compte et sans aucun moyen de remonter au client visé. Pour une industrie dont le marketing noie la promesse « no-logs », c'était la première fois dans l'UE qu'un des plus fervents défenseurs de cette posture était contraint de la prouver sous mandat de perquisition.

La rétrospective vaut d'être lue car le résultat n'était pas rhétorique. Il était structurel.

Ce qui s'est réellement passé entre le 18 et le 20 avril

La chronologie, reconstituée à partir de la déclaration de Mullvad et des reportages de The Register et Bleeping Computer, est brève. Les agents du NOA sont arrivés au siège de Göteborg dans la matinée du 18. Selon Mullvad, le mandat autorisait la saisie d'« ordinateurs contenant des données clients » liées à un suspect précis. Le résumé ultérieur de l'incident sur Wikipédia, s'appuyant sur la presse suédoise, relie l'enquête sous-jacente à une affaire de chantage transmise par une requête des forces de l'ordre allemandes, bien que Mullvad ait refusé de confirmer la juridiction d'origine ou la nature de l'infraction présumée.

Ce qui suivit, selon les propres termes de Mullvad le 20 avril, fut davantage une négociation qu'une saisie. « Nous avons fait valoir qu'ils n'avaient aucune raison de s'attendre à trouver ce qu'ils cherchaient et que toute saisie serait donc illégale selon le droit suédois », écrivait l'entreprise, invoquant une règle procédurale de 1942 qui interdit aux autorités d'emporter des biens lorsque l'attente raisonnable de trouver des preuves a déjà été réfutée. Le personnel présent fit alors visiter aux agents l'architecture du service. « Après avoir démontré que c'est bien ainsi que fonctionne notre service et après consultation du procureur, ils sont repartis sans rien prendre et sans aucune information client », poursuivait le billet. Le blog ajoute une phrase qui mérite d'être relue deux fois : « S'ils avaient pris quelque chose, cela ne leur aurait pas donné accès à des informations clients. » L'essentiel, semble dire Mullvad, est que la question de la saisie était caduque avant même d'être posée.

D'ici le 20 avril, le billet était en ligne à l'adresse mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised, et dans les quarante-huit heures suivantes, il était repris par Bleeping Computer, The Register, TorrentFreak et l'essentiel de la presse spécialisée en confidentialité.

Pourquoi il n'y avait rien à prendre

Les décisions architecturales de Mullvad, prises progressivement depuis la fondation de l'entreprise en 2009 par Daniel Berntsson et Fredrik Strömberg, furent la raison pour laquelle le mandat s'est effondré au contact. Quatre choix en particulier ont fait le travail ce jour-là :

• La création de compte ne nécessite qu'un numéro de compte généré aléatoirement de seize chiffres. Il n'y a pas de nom d'utilisateur, pas d'adresse e-mail, pas de question de sécurité, pas de numéro de téléphone, pas de canal de récupération. Un client qui perd le numéro perd le compte, c'est le prix à payer pour n'avoir rien à assigner.
• Le paiement peut être effectué en Monero, en Bitcoin, en espèces envoyées par la poste dans une enveloppe banale, ou via des moyens conventionnels, mais aucun de ces instruments de paiement n'est lié au numéro de compte de manière consultable une fois le créditement effectué. Des enquêteurs traçant un relevé de carte n'arrivent donc pas à une personne.
• Depuis 2019, les points de terminaison VPN sont en RAM uniquement. Les serveurs démarrent à partir d'une image propre, ne conservent aucun état persistant sur disque et perdent tout lors d'un cycle d'alimentation. Un châssis confisqué dans un datacenter ne livrerait aucune donnée de session historique, même s'il était imagé sur place.
• L'entreprise a soumis ses clients et son backend à un examen indépendant, à commencer par le test de pénétration Cure53 en septembre 2018 et poursuivi par le travail d'Assured AB en 2020 et les tours suivants, de sorte que les affirmations concernant l'architecture ont été examinées par des parties sans intérêt commercial à les embellir.

Ce ne sont pas des slogans marketing accolés à une politique de confidentialité. Ce sont des décisions qui contraignent le produit. Un client ayant oublié son numéro de compte est un client perdu. Un paiement en espèces par courrier est pénible à réconcilier opérationnellement. Les flottes en RAM uniquement coûtent plus cher à exploiter que celles sur disque. L'architecture est coûteuse, et c'est ce coût qui fait de la promesse no-logs une charge portante plutôt qu'aspirationnelle.

Il vaut la peine de noter, dans le même cadre rétrospectif, qu'un mois après la perquisition, Mullvad annonçait l'abandon pur et simple du port forwarding, avec une prise d'effet au 1er juillet 2023. L'entreprise liait cette décision à l'abus de la fonctionnalité par un petit nombre d'utilisateurs et à la pression résultante des fournisseurs d'hébergement en amont, mais le calendrier rendait impossible d'ignorer le lien avec l'incident d'avril.

Le contraste avec ProtonVPN, 2021

Les défenseurs de la confidentialité ont rapidement comparé l'issue de Göteborg à un incident de 2021 impliquant ProtonMail et son service VPN sœur, dont le siège est en Suisse. Dans ce cas, une ordonnance du tribunal suisse, délivrée à la demande des autorités françaises enquêtant sur un militant climatique lié au mouvement Youth for Climate, a contraint Proton à enregistrer l'adresse IP utilisée par le compte visé. Proton s'est exécuté, car le droit suisse autorise exactement ce type de contrainte une fois l'ordonnance judiciaire délivrée, et car l'architecture laissait à l'entreprise la possibilité de s'exécuter lorsqu'ordonné.

La différence instructive n'est pas qu'une entreprise serait vertueuse et l'autre non. Proton est, selon la plupart des critères, un opérateur sérieux. La différence est que la posture de confidentialité de Proton repose sur une promesse juridique faite sous une juridiction qui peut outrepasser la promesse, tandis que celle de Mullvad repose sur un système qui ne peut pas produire les données même lorsque l'entreprise souhaiterait sincèrement le pouvoir. Un modèle est no-logs par politique. L'autre est no-logs par conception. La perquisition d'avril 2023 fut le premier test de stress européen qui a tracé cette distinction en public.

Ce que cela change pour la catégorie « no-logs »

Des centaines de VPNs prétendent à un zéro-logging. Un très petit nombre a jamais été mis en position de le prouver. Private Internet Access a rejoint la liste en 2016, lorsqu'une assignation du FBI dans l'enquête sur la canular Preff Cummings n'a rien livré d'exploitable. ExpressVPN a suivi en 2017, lorsque des enquêteurs turcs examinant l'assassinat de l'ambassadeur russe à Ankara ont saisi un serveur et n'y ont trouvé aucun log pertinent. L'issue d'avril 2023 de Mullvad le place dans cette très courte liste, et ce sous un mandat qui a été exécuté en personne plutôt que notifié sur papier.

Cette distinction importe. Une assignation remise à un conseiller juridique d'entreprise basé aux États-Unis est un type de test. Six agents d'une force de police nationale arrivant à un bureau de Göteborg avec l'autorité statutaire de repartir avec du matériel en est un autre. Le fait que l'architecture ait résisté au second cas, devant un procureur joignable en temps réel, est la preuve la plus solide disponible que cette affirmation n'est pas du théâtre.

Ce que cela change pour le Directory

Le verdict de ce bureau est simple. Jusqu'à présent, nous traitions un audit indépendant récent comme le summum pour la promesse no-logs d'un VPN. Après Göteborg, nous introduisons un niveau au-dessus : la survie documentée d'une tentative réelle de saisie par les forces de l'ordre, dans une juridiction dotée de tribunaux fonctionnels, avec un résultat vérifiable à la fois par la divulgation de l'opérateur et par la couverture de presse contemporaine. Mullvad occupe désormais ce niveau. La majeure partie du reste du marché ne l'occupe pas.

L'implication pour la partie hébergement du Directory est parallèle. Les opérateurs dont les architectures reposent sur l'absence de données collectées, plutôt que sur une promesse de ne pas partager des données collectées, méritent plus de poids dans nos classements. Notre fiche existante pour [1984 Hosting](/service/1984-hosting) à Reykjavik, qui fonctionne sur le même principe général, devient plus intéressante à cette lumière et non moins. Nous préférons recommander un service qui ne peut pas trahir ses utilisateurs plutôt qu'un qui s'est contenté de promettre, par écrit, de ne pas le faire.

Sources

• Mullvad VPN, Mullvad VPN was subject to a search warrant (20 avril 2023)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

Journal des modifications

• 2023-04-22 : Première rédaction déposée après avoir relu deux fois le billet de blog de Mullvad et vérifié la date du mandat par rapport au reportage de The Register. Publication retenue jusqu'à la parution de l'article de Bleeping Computer, qui a eu lieu vendredi soir.
• 2023-04-26 : Ajout de la liste architecturale après un long appel téléphonique avec un ami qui dirige une petite opération d'hébergement à Stockholm et qui m'a expliqué ce qu'une flotte en RAM uniquement coûte réellement à exploiter par rapport à une flotte sur disque. Suppression de deux paragraphes de spéculation sur l'affaire de chantage sous-jacente car la presse suédoise n'avait pas confirmé la juridiction.
• 2023-05-02 : Insertion de la comparaison avec ProtonVPN 2021 après qu'un lecteur a envoyé un e-mail pour demander pourquoi je ne l'avais pas mentionnée. Relecture du rapport de transparence de Proton de septembre 2021 et du fil de Reuters pour m'assurer que j'avais correctement le détail du militant climatique. Suppression d'une ligne antérieure qui exagérait la culpabilité de Proton.
• 2023-05-09 : L'annonce de retrait du port forwarding de Mullvad le 29 mai n'avait pas encore été faite lors de la première rédaction de cet article, j'ai donc ajouté une phrase prospective notant le calendrier. Je reviendrai sur ce point une fois la transition du 1er juillet effective.
• 2023-05-15 : Dernière passe sur la section verdict. Réécriture des paragraphes de clôture pour rendre le nouveau niveau de « survie documentée de mandat » explicite plutôt qu'implicite, et ajout du lien croisé vers la fiche de 1984 Hosting après confirmation auprès de l'éditeur du Directory que la fiche était toujours en ligne.