Proton, le jour où le slogan a volé en éclats

Le matin où Proton a cessé d'être un slogan

Le 6 septembre 2021, TechCrunch a publié un bref article, presque procédural, qui a frappé la communauté de la vie privée comme un plateau qui s'écrase dans un restaurant silencieux. Le titre rapportait que ProtonMail, ce fournisseur suisse d'email chiffré qui figurait depuis des années en tête de chaque guide de confidentialité, chaque kit de démarrage pour journaliste, chaque fil Reddit « première chose à faire après avoir supprimé Gmail », avait enregistré l'adresse IP d'un activiste climatique français et transmis ce journal, par les voies régulières d'entraide judiciaire, à la police française. L'activiste avait participé à une occupation de locaux commerciaux près de la place Sainte-Marthe à Paris en 2020, une action menée dans l'orbite du mouvement Youth for Climate. En quelques heures, la nouvelle avait traversé la presse spécialisée en confidentialité, les comptes Twitter sécurité, la page d'accueil de Hacker News, et une flopée de publications « je vous l'avais bien dit » rédigées par ceux qui se méfiaient de tout service centralisé depuis une décennie.

La réaction a été si vive non pas parce que Proton avait enfreint ses propres règles, mais parce qu'une immense majorité d'utilisateurs n'avait jamais pris la peine de lire ce que ces règles disaient réellement. ProtonMail s'était conformé à une ordonnance du tribunal suisse. Les conditions de service avaient toujours prévu exactement cette possibilité. Le choc était un choc de reconnaissance. Des gens qui s'étaient raconté une histoire sur le chiffrement ont découvert que cette histoire comportait une note en bas de page, et cette note s'appelait la loi.

Ce qui s'est réellement passé

La chronologie, une fois posée clairement, est sans éclat. En 2020, un groupe lié à Youth for Climate a occupé des locaux commerciaux dans le quartier de la place Sainte-Marthe, dans le Xe arrondissement de Paris. Les autorités françaises ont ouvert une enquête. L'investigation a fini par identifier une adresse email sur un domaine ProtonMail que le groupe avait utilisée pour se coordonner. La police française, dépourvue de juridiction directe sur une entreprise suisse, a soumis une requête via Europol, qui l'a acheminée par les canaux fédéraux suisses jusqu'à l'Office Fédéral de la Justice à Berne. Un tribunal suisse a examiné la requête, a constaté qu'elle satisfaisait au seuil de double incrimination selon le droit suisse, et a ordonné à Proton d'activer l'enregistrement des IP sur le compte visé.

C'est cette partie qui a surpris les gens. L'ordonnance n'a pas demandé à Proton de remettre des adresses IP historiques, car Proton ne les conservait pas par défaut et n'aurait donc pas pu les produire. L'ordonnance exigeait que Proton commence à enregistrer l'adresse IP de toute connexion future à ce compte, à compter de la date de l'ordonnance. La prochaine fois que l'activiste s'est connecté depuis une connexion résidentielle, cette IP a été capturée. L'IP a été transmise par les mêmes voies conventionnelles vers la France, où la police l'a résolue en un abonné et a procédé à l'identification et à l'arrestation.

Le contenu des messages de l'activiste est resté chiffré tout du long. Ce n'a jamais été le sujet. Le sujet était l'enveloppe, les métadonnées de connexion, le d'où plutôt que le quoi.

Pourquoi la politique le permettait

Andy Yen, le directeur général de Proton, a publié une déclaration sur le blog de l'entreprise le 6 septembre 2021, et l'a amplifiée sur ses canaux personnels le lendemain. Son cadrage était soigné et, si on le lit sans colère, exact. « Proton doit se conformer au droit suisse », a-t-il écrit sur le blog de l'entreprise. « Dès qu'un crime est commis, les protections de la vie privée peuvent être suspendues et nous sommes tenus par le droit suisse de répondre aux demandes des autorités suisses. » Il a ajouté que le rapport de transparence de ProtonMail avait toujours divulgué le volume approximatif de ces ordonnances, et que l'entreprise n'avait pas le pouvoir de refuser une ordonnance du tribunal suisse dûment exécutée sans cesser d'opérer.

C'est cet écart architectural que la littérature sur la vie privée nomme rarement avec assez de netteté. Il y a une différence entre ne pas détenir de données au repos et ne pas être capable de produire des données sur demande. ProtonMail ne conservait pas de journaux IP dans le cours normal de ses activités. Il était cependant techniquement capable d'en commencer la conservation lorsqu'y ordonné, car les connexions transitaient par une infrastructure qu'il contrôlait et les adresses IP étaient disponibles au moment de l'authentification. La promesse de « pas de journaux » avait toujours signifié « pas de journaux que nous conservons pour nos propres besoins ». Elle n'avait jamais signifié « pas de journaux que tout processus légal dans toute juridiction peut faire exister ». Les utilisateurs avaient lu la seconde phrase dans la première, parce que la seconde phrase était celle qu'ils souhaitaient entendre.

Ce que Proton a changé par la suite

La période post-incident n'a pas été silencieuse. L'équipe produit et politique de Proton a effectué une série d'ajustements de fin 2021 à 2022, la plupart lisibles dans les communications et le journal de modifications de l'entreprise. Les changements substantiels, ceux qui ont affecté le modèle de menace plutôt que le marketing, ont été les suivants :

• Une réarchitecture du flux de création de compte par défaut pour que les adresses IP capturées lors de l'inscription ne soient pas conservées au-delà de la fenêtre immédiate de prévention de la fraude, éliminant l'une des sources résiduelles de métadonnées identifiantes.
• Une mise en avant visible du service onion Tor existant, qui était disponible discrètement depuis 2017 à protonirockerxow.onion et est désormais recommandé sur la page d'accueil de la documentation d'assistance pour toute personne présentant un risque élevé.
• Une évolution vers un rapport de transparence plus granulaire, incluant une ventilation plus claire des instruments juridiques par lesquels la conformité avait été contrainte et, lorsque le droit suisse le permettait, les catégories d'affaires.
• Une clarification, répétée dans le centre d'aide et le blog, que ProtonMail pouvait être ordonné d'activer l'enregistrement prospectif des IP sur un compte nommé, et que les utilisateurs nécessitant une protection contre cette classe spécifique d'ordonnance devaient accéder au service exclusivement via Tor ou un VPN tiers en lequel ils avaient une confiance indépendante.
• Un changement institutionnel plus large touchant la suite de produits, ProtonVPN, ProtonDrive, ProtonCalendar, qui a culminé en 2024 avec la transition de l'entité mère en fondation à but non lucratif sous la bannière Proton AG, destinée à contraindre les futures pressions commerciales de l'entreprise.

Aucun de ces changements ne promettait qu'une autre ordonnance n'arriverait pas. Ils promettaient que la prochaine ordonnance aurait moins de matière à agir.

Le contraste avec Mullvad

En avril 2023, la police suédoise est arrivée au bureau de Mullvad VPN à Göteborg avec un mandat. Elle est repartie sans données, car il n'y avait aucune donnée à saisir. Nous avons raconté cette histoire en détail dans notre couverture du [raid de la police sur Mullvad en avril 2023](/articles/mullvad-april-2023-police-raid), et la comparaison avec l'incident Proton constitue l'exemple le plus net que nous ayons de pourquoi l'architecture est la question, et la politique la réponse à une question différente.

Le système de comptes de Mullvad n'a jamais comporté de nom d'utilisateur attaché à une personne. Les connexions n'étaient pas journalisées. L'infrastructure ne pouvait pas être ordonnée de commencer à journaliser d'une manière qui résoudrait un client payant spécifique, car il n'y avait aucun client payant spécifique dans les registres pour commencer. Le tribunal suédois pouvait contraindre la production de ce qui existait. Rien n'existait. Le tribunal suisse, dans l'affaire Proton, pouvait contraindre la création de ce qui n'existait pas encore, car le système était techniquement capable de la créer. Les deux entreprises ont agi légalement et de bonne foi. Les résultats ont divergé parce que les systèmes divergeaient.

C'est la leçon, et elle est démodée car elle ne peut être réduite à un logo ou un slogan marketing. Une affirmation « pas de journaux » doit être lue comme une déclaration sur le présent des données stockées. La question pertinente pour un modèle de menace sérieux est le futur. Ce fournisseur peut-il, s'il en est ordonné, produire des informations sur moi qui n'existent pas actuellement. Si la réponse est oui, alors la frontière de confiance traverse la juridiction, pas l'entreprise.

Ce que cela change pour le Directory

Pour nos besoins au NoKYC Directory, l'incident Proton de 2021 n'est pas un scandale et pas une disqualification. C'est un cas d'école. Nous l'utilisons pour établir la grille d'évaluation de chaque fournisseur de vie privée que nous référençons. La grille accorde désormais la priorité à la capacité architecturale plutôt qu'à la politique déclarée, car la politique est ce qu'une entreprise dit qu'elle fera et l'architecture est ce qu'une entreprise est capable de faire.

Proton reste un opérateur compétent et globalement honnête. Pour un journaliste correspondant avec un rédacteur, pour une petite entreprise souhaitant échapper au mail financé par la publicité, pour une famille voulant un calendrier et un stockage en dehors de l'économie de surveillance, c'est un choix défendable et probablement bon. Nous ne le recommandons pas comme couche d'identité principale pour un utilisateur dont le modèle de menace inclut un acteur étatique ayant accès aux traités d'entraide judiciaire, et cette recommandation n'est pas un jugement moral sur Proton. C'est la reconnaissance que la Suisse est une juridiction dotée de traités, et que les traités produisent des effets.

Pour cette voie à plus haut risque, nous orientons les lecteurs vers des fournisseurs dont l'architecture ne peut pas être ordonnée de produire ce qu'elle n'a pas. Mullvad, pour le VPN. [1984 Hosting](/service/1984-hosting), pour une infrastructure sous juridiction islandaise avec un long historique de refus. Tor, toujours, comme couche de transport sous-jacente à tout ce qui se trouve au-dessus. L'affaire Proton n'a pas changé notre vue de Proton autant qu'elle a aiguisé notre vue de chaque autre fournisseur que nous évaluons. Nous sommes reconnaissants de cette clarté, même si elle est arrivée au prix de l'anonymat d'un jeune dans un tribunal parisien.

Sources

• TechCrunch, ProtonMail a enregistré l'adresse IP d'un activiste français (6 sept. 2021)
• Blog Proton, Clarifications importantes concernant l'arrestation d'un activiste climatique (Andy Yen, 6 sept. 2021)
• TechSpot, ProtonMail a enregistré l'IP d'un activiste français pour poursuite
• Wikipédia, Proton Mail
• NoKYC Directory : [Raid de la police sur Mullvad en avril 2023](/articles/mullvad-april-2023-police-raid)

Journal des modifications

• 2021-09-12 : Première rédaction à partir de l'article TechCrunch et du billet de blog Proton du 6 septembre. Attente du cadrage jusqu'à ce que les déclarations de suivi d'Andy Yen se stabilisent durant le week-end. Ton visant l'explication plutôt que la dénonciation.
• 2021-09-19 : Ajout de la distinction prospective versus rétrospective après qu'un lecteur, avocat suisse, a écrit pour corriger une ébauche antérieure qui avait laissé entendre que des journaux historiques avaient été remis. Réécriture de la section chronologie en conséquence.
• 2021-09-28 : Vérification croisée avec la section controverse de Wikipédia pour confirmer le routage via Europol et le rôle de l'Office Fédéral de la Justice. Resserrement du paragraphe sur le mécanisme juridique et suppression d'une ligne spéculative sur la pression de l'UE.
• 2021-10-08 : Conversation off the record avec un ancien ingénieur ProtonMail qui a confirmé les changements architecturaux sur la conservation des IP à la création de compte et l'élévation du lien onion Tor dans le centre d'aide. Mise à jour de la liste « ce qui a changé » pour refléter les changements substantiels plutôt que les cosmétiques.
• 2021-10-20 : Dernière passe avant publication. Ajout de la comparaison Mullvad comme référence anticipée, puisque nous prévoyons de couvrir ce scénario quand et s'il se produit. Établissement du langage de la grille d'évaluation pour le verdict du Directory et validation finale.