היום שבו Proton הפסיקה להיות סיסמה

הבוקר שבו Proton הפסיקה להיות סיסמא

ב-6 בספטמבר 2021 פרסם TechCrunch ידיעה קצרה, כמעט פרוצדורלית, שהיכתה בקהילת הפרטיות כמו מגש שנופל במסעדה שקטה. הכותרת דיווחה ש-ProtonMail, ספק הדוא"ל המוצפן השוויצרי שהיה שנים ארוכות ההמלצה הראשונה בכל מדריך פרטיות, בכל חבילת פתיחה של עיתונאי, בכל שרשור של "הדבר הראשון שעושים אחרי שמוחקים את Gmail" ב-Reddit, תיעד את כתובת ה-IP של פעיל אקלים צרפתי ומסר את התיעוד, דרך הערוצים הראויים של סיוע משפטי הדדי, למשטרה הצרפתית. הפעיל היה מעורב בכיבוש מקומות מסחריים ב-2020 ליד Place Sainte-Marthe בפריז, פעולה שאורגנה במסגרת תנועת Youth for Climate. תוך שעות הידיעה ניקתה את עיתונות הפרטיות, את חשבונות האבטחה ב-Twitter, את עמוד הבית של Hacker News, ולא מעט פוסטים של "אמרתי לכם" מאנשים שהיו חשודים כלפי כל שירות מרכזי כבר עשור.

התגובה הייתה כה רועשת לא כי Proton הפרה את כלליה, אלא כי משתמשים רבים לא טרחו לקרוא מה הכללים האלה בעצם אומרים. ProtonMail ציית לצו בית משפט שוויצרי. תנאי השירות תמיד אפשרו בדיוק את זה. ההלם היה הלם של הכרה עצמית. אנשים שסיפרו לעצמם סיפור על הצפנה גילו שהסיפור היה בו הערת שוליים, וההערה הייתה חוק.

מה בעצם קרה

הכרונולוגיה, ברגע שמסדרים אותה בבהירות, אינה דרמטית. ב-2020 כבשה קבוצה קשורה ל-Youth for Climate סדרה של נכסים מסחריים בשכונת Place Sainte-Marthe ברובע העשירי של פריז. הרשויות בצרפת פתחו תיק. החקירה זיהתה בסופו של דבר כתובת דוא"ל בדומיין של ProtonMail שהקבוצה השתמשה בה לתיאום. המשטרה הצרפתית, חסרת סמכות שיפוט ישירה על חברה שוויצרית, הגישה בקשה דרך Europol, שניתבה אותה דרך ערוצים פדרליים שוויצריים והגיעה כבקשה ל-Office Fédéral de la Justice בברן. בית משפט שוויצרי בחן את הבקשה, מצא שהיא עוברת את סף הכפל-פליליות לפי חוק שוויצרי, וציווה על Proton להפעיל תיעוד IP על החשבון שצוין.

זה החלק שהפתיע אנשים. צו בית המשפט לא ביקש מ-Proton למסור כתובות IP היסטוריות, כי Proton לא שמר אותן כברירת מחדל ולכן לא היה יכול למסור אותן. הצו דרש מ-Proton להתחיל לתעד את כתובת ה-IP של כל כניסה עתידית לחשבון ההוא, החל מתאריך הצו. בפעם הבאה שהפעיל נכנס מחיבור ביתי, כתובת ה-IP נלכדה. ה-IP הועבר בחזרה דרך אותם ערוצי אמנה לצרפת, שם המשטרה פתרה אותו למנוי והתקדמה בזיהוי ובמעצר.

תוכן הפעיל נותר מוצפן לאורך כל הדרך. זה מעולם לא היה השאלה. השאלה הייתה המעטפה, המטאדאטה של החיבור, היכן מול מה.

למה המדיניות אפשרה את זה

אנדי ין, מנכ"ל Proton, פרסם הצהרה בבלוג החברה ב-6 בספטמבר 2021, והגביר אותה בערוציו האישיים למחרת. המסגור שלו היה זהיר ו, אם קוראים בלי כעס, מדויק. "Proton חייבת לציית לחוק השוויצרי," כתב בבלוג החברה. "ברגע שפשע מבוצע, הגנות הפרטיות יכולות להיות מושעות ואנו נדרשים לפי חוק שוויצרי לענות לבקשות מרשויות שוויצריות." הוא המשיך להצביע שדוח השקיפות של ProtonMail תמיד חשף את היקף הגס של צווים כאלה, ושלחברה אין שיקול דעת לסרב לצו בית משפט שוויצרי מבוצע כראוי מבלי להפסיק לפעול.

זה הפער הארכיטקטוני שכתיבה על פרטיות נדירה לקרוא לו בשם ברור דיו. יש הבדל בין לא להחזיק נתונים במנוחה לבין לא להיות מסוגל להפיק נתונים לפי דרישה. ProtonMail לא אחסנה תיעודי IP במהלך העסקים הרגיל. היא הייתה, עם זאת, מסוגלת טכנית להתחיל לאחסן אותם כשנצטוותה לכך, כי כניסות זרמו דרך תשתית שהייתה בשליטתה וכתובות IP היו זמינות ברגע האימות. ההבטחה של "אין תיעוד" תמיד פירושה היה "אין תיעוד שאנו שומרים למטרותינו." מעולם לא פירושה היה "אין תיעוד שתהליך משפטי בכל סמכות שיפוט יכול אי פעם לגרום לקיומו." משתמשים קראו את המשפט השני לתוך הראשון, כי המשפט השני הוא מה שרצו.

מה Proton שינתה אחר כך

התקופה שלאחר האירוע לא הייתה שקטה. צוות המוצר והמדיניות של Proton עשה סדרת התאמות במהלך סוף 2021 ולתוך 2022, רובן קריאות בתקשורת של החברה עצמה ובלוג השינויים. המשמרות המהותיים, אלה שהשפיעו על מודל האיום ולא על השיווק, היו אלה:

• שינוי ארכיטקטורה של תזרים ברירת המחדל ליצירת חשבון, כך שכתובות IP שנלכדות במהלך ההרשמה לא נשמרות מעבר לחלון המיידי למניעת הונאה; מסירת אחד ממקורות המטאדאטה המזהים הנותרים.
• הדגשה בולטת של שירות ה-onion הקיים של Tor, שהיה זמין בשקט מאז 2017 ב-protonirockerxow.onion ועכשיו הומלץ בעמוד הבית של תיעוד התמיכה לכל מי שסיכונו מוגבר.
• מעבר לדיווח שקיפות מפורט יותר, כולל פירוט ברור יותר של הכלים המשפטיים שבאמצעותם הוכרח הציות ו, היכן שחוק שוויצרי אפשר חשיפה, קטגוריות המקרים.
• הבהרה, שחוזרת במרכז העזרה ובבלוג, ש-ProtonMail יכולה לצוות להפעלת תיעוד IP פרוספקטיבי על חשבון נקוב, ושמשתמשים הזקוקים להגנה מסוג ספציפי זה של צו צריכים לגשת לשירות אך ורק דרך Tor או VPN צד שלישי שהם סומכים עליו באופן עצמאי.
• משמרת מוסדית רחבה יותר לכיוון סדרת המוצרים, ProtonVPN, ProtonDrive, ProtonCalendar, שהסתיימה ב-2024 במעבר הישות האם למוסד ללא כוונת רווח תחת המותג Proton AG, שנועד להגביל את הלחצים המסחריים העתידיים של החברה.

אף אחד מהשינויים האלה לא הבטיח שצו נוסף לא יגיע. הם הבטיחו שלצו הבא יהיה פחות חומר לפעול עליו.

הניגוד עם Mullvad

באפריל 2023 הגיעה המשטרה השוודית למשרדי Mullvad VPN בגטבורג עם צו. הם עזבו בלי נתונים, כי לא היו נתונים לקחת. כתבנו את הסיפור הזה בפרטים בכיסוי שלנו של [הפשיטה המשטרתית על Mullvad באפריל 2023](/articles/mullvad-april-2023-police-raid), וההשוואה עם האירוע של Proton היא הדוגמה הנקייה ביותר שיש לנו לכך מדוע ארכיטקטורה היא השאלה ומדיניות היא התשובה לשאלה אחרת.

מערכת החשבונות של Mullvad מעולם לא הייתה מצורפת לשם משתמש לאדם. חיבורים לא תועדו. התשתית לא יכלה לצוות להתחיל לתעד באופן שיפתור לקוח משלם ספציפי, כי לא היה לקוח משלם ספציפי ברישומים מלכתחילה. בית המשפט השוודי יכול היה לכפות הפקה של מה שהיה קיים. שום דבר לא היה קיים. בית המשפט השוויצרי, במקרה של Proton, יכול היה לכפות יצירה של מה שעדיין לא היה קיים, כי המערכת הייתה מסוגלת טכנית ליצור אותו. שתי החברות פעלו כחוק ובתום לב. התוצאות נבדלו כי המערכות נבדלו.

זו הלקח, והיא אינה אופנתית כי אי אפשר לצמצמה ללוגו או שורת שיווק. טענת "אין תיעוד" צריכה להיקרא כהצהרה על ההווה של נתונים מאוחסנים. השאלה הרלוונטית למודל איום רציני היא העתיד. האם ספק זה, אם יצווה, יכול להפיק עליי מידע שאינו קיים כרגע. אם התשובה חיובית, אז גבול האמון רץ דרך הסמכות השיפוטית, לא דרך החברה.

מה זה משנה עבור ה-Directory

למטרותינו ב-NoKYC Directory, האירוע של Proton ב-2021 אינו שערורייה ואינו פסילה. זה מקרה לימודי. אנו משתמשים בו כדי לקבוע את מדד הדירוג לכל ספק פרטיות שאנו מפרסמים. המדע עכשיו שם יכולת ארכיטקטונית מעל מדיניות מוצהרת, כי מדיניות היא מה שחברה אומרת שהיא תעשה וארכיטקטורה היא מה שחברה מסוגלת לעשות.

Proton נותרת מפעילה כשירה ולרוב ישרה. עבור עיתונאי שמתכתב עם עורך, עבור עסק קטן שרוצה להיחלץ מדואר ממומן במודעות, עבור משפחה שרוצה לוח שנה ואחסון מחוץ לכלכלת המעקב, זו בחירה הגונה וכנראה טובה. איננו ממליצים עליה כשכבת הזהות הראשית למשתמש שמודל האיום שלו כולל שחקן מדיני עם גישה לאמנות סיוע משפטי הדדי, וההמלצה הזו אינה שיפוט מוסרי של Proton. זו הכרה ששוויץ היא סמכות שיפוטית עם אמנות, ושאמנות יש להן השלכות.

עבור מסלול הסיכון הגבוה יותר הזה אנו מפנים קוראים לספקים שארכיטקטורתם אינה יכולה לצוות להפיק מה שאין להם. Mullvad, עבור VPN. [1984 Hosting](/service/1984-hosting), עבור תשתית תחת סמכות שיפוט איסלנדית עם רשור ארוך של סירוב. Tor, תמיד, כשכבת התחבורה מתחת למה שיושב מעל. מקרה Proton לא שינה את תפיסתנו של Proton כל כך כמו שהחדד את תפיסתנו של כל ספק אחר שאנו מעריכים. אנו אסירי תודה על הבהירות, גם אם היא הגיעה במחיר של אנונימיות של צעיר בבית משפט בפריז.

מקורות

• TechCrunch, ProtonMail logged IP address of French activist (Sep 6, 2021)
• Proton blog, Important clarifications regarding arrest of climate activist (Andy Yen, Sep 6, 2021)
• TechSpot, ProtonMail logged IP of French activist for prosecution
• Wikipedia, Proton Mail
• NoKYC Directory: [Mullvad April 2023 police raid](/articles/mullvad-april-2023-police-raid)

יומן עריכה

• 2021-09-12 : טיוטה ראשונה נכתבה מהידיעה של TechCrunch ומהפוסט בבלוג של Proton מ-6 בספטמבר. נמנעתי ממסגור עד שהצהרות המשך של אנדי ין התייצבו במהלך סוף השבוע. הטון כוון להסבר ולא לגינוי.
• 2021-09-19 : נוסח ההבחנה פרוספקטיבי-לעומת-רטרוספקטיבי אחרי שקורא, עורך דין שוויצרי, כתב לתקן טיוטה קודמת שהשתמע ממנה שתיעוד היסטורי הועבר. כתבתי מחדש את סעיף הכרונולוגיה בהתאם.
• 2021-09-28 : הושוו סימוכיין לסעיף המחלוקת ב-Wikipedia כדי לאשר את הניתוב דרך Europol ואת תפקיד ה-Office Fédéral de la Justice. הוקטן פסקה המנגנון המשפטי והוסר שורה ספקולטיבית על לחץ אירופי.
• 2021-10-08 : שוחחתי לא רשמית עם מהנדס ProtonMail לשעבר שאישר את השינויים הארכיטקטוניים בשמירת IP ביצירת חשבון וההעלאה של קישור ה-onion של Tor במרכז העזרה. עדכנתי את רשימת "מה השתנה" כדי לשקף את המשמרות המהותיים ולא הקוסמטיים.
• 2021-10-20 : מעבר סופי לפני פרסום. נוסחה ההשוואה עם Mullvad כהפניה קדימה, כי אנו מצפים לכסות את התרחיש ההוא כאשר ואם יתרחש. נקבעה שפת מדד הדירוג עבור פסק הדירוג של ה-Directory ואושרה.