Pagi Itu, Proton Tak Lagi Sekadar Slogan

Pagi ketika Proton berhenti menjadi slogan

Pada 6 September 2021, TechCrunch menerbitkan berita singkat yang nyaris prosedural, namun mengguncang komunitas privasi bak baki yang jatuh di restoran sepi. Judulnya melaporkan bahwa ProtonMail, penyedia surel terenkripsi asal Swiss yang selama bertahun-tahun menjadi rekomendasi baku setiap panduan privasi, setiap paket pemula jurnalis, setiap utas "hal pertama yang harus dilakukan setelah menghapus Gmail" di Reddit, telah mencatat alamat IP seorang aktivis iklim Prancis dan menyerahkan catatan itu, melalui saluran bantuan hukum timbal balik yang semestinya, ke polisi Prancis. Aktivis tersebut terlibat dalam okupasi properti komersial dekat Place Sainte-Marthe di Paris pada 2020, aksi yang diorganisir dalam orbit gerakan Youth for Climate. Dalam hitungan jam, berita itu menyebar di media privasi, akun keamanan Twitter, halaman depan Hacker News, serta banjir posting "sudah kubilang" dari mereka yang telah curiga terhadap layanan terpusat apa pun selama satu dekade.

Reaksi begitu keras bukan karena Proton melanggar aturannya sendiri, melainkan karena sebagian besar pengguna tidak pernah repot-repot membaca apa sebenarnya aturan itu. ProtonMail telah mematuhi perintah pengadilan Swiss. Ketentuan layanan selalu mengizinkannya. Kejutannya adalah kejutan pengenalan diri. Orang-orang yang telah bercerita pada diri sendiri soal enkripsi menemukan bahwa cerita itu punya catatan kaki, dan catatan kakinya adalah hukum.

Apa yang sebenarnya terjadi

Kronologi, setelah disusun dengan jelas, tidak mencolok. Pada 2020, kelompok yang terhubung dengan Youth for Climate menduduki sejumlah properti komersial di sekitar Place Sainte-Marthe, arondisemen kesepuluh Paris. Otoritas Prancis membuka kasus. Investigasi akhirnya mengidentifikasi alamat surel di domain ProtonMail yang digunakan kelompok tersebut untuk koordinasi. Polisi Prancis, yang tidak memiliki yurisdiksi langsung atas perusahaan Swiss, mengajukan permintaan melalui Europol, yang menyalurkannya via saluran federal Swiss dan tiba sebagai permintaan di Office Fédéral de la Justice di Bern. Pengadilan Swiss meninjau permintaan tersebut, menemukan bahwa permintaan itu memenuhi ambang batas kejahatan ganda menurut hukum Swiss, dan memerintahkan Proton untuk mengaktifkan pencatatan IP pada akun yang ditentukan.

Inilah bagian yang mengejutkan orang. Perintah pengadilan tidak meminta Proton menyerahkan alamat IP historis, karena Proton tidak menyimpannya secara default sehingga tidak dapat menghasilkannya. Perintah itu mengharuskan Proton mulai mencatat alamat IP dari setiap login mendatang ke akun tersebut, mulai tanggal perintah. Kali berikutnya aktivis login dari koneksi residensial, IP tersebut terekam. IP itu diteruskan kembali melalui saluran perjanjian yang sama ke Prancis, di mana polisi menelusurinya ke pelanggan dan melanjutkan identifikasi serta penangkapan.

Konten aktivis tetap terenkripsi sepanjang waktu. Itu tidak pernah jadi pertanyaan. Pertanyaannya adalah amplopnya, metadata koneksinya, dari-mana daripada apa-nya.

Mengapa kebijakan mengizinkannya

Andy Yen, chief executive Proton, memposting pernyataan di blog perusahaan pada 6 September 2021, dan memperkuatnya di saluran pribadinya keesokan harinya. Bingkainya hati-hati dan, jika dibaca tanpa amarah, akurat. "Proton harus mematuhi hukum Swiss," tulisnya di blog perusahaan. "Begitu kejahatan dilakukan, perlindungan privasi dapat ditangguhkan dan kami diwajibkan oleh hukum Swiss untuk menanggapi permintaan dari otoritas Swiss." Dia melanjutkan dengan menunjukkan bahwa laporan transparansi ProtonMail selalu mengungkapkan volume kasar perintah semacam itu, dan bahwa perusahaan tidak memiliki diskresi untuk menolak perintah pengadilan Swiss yang sah tanpa berhenti beroperasi.

Inilah celah arsitektural yang tulisan privasi jarang sebut dengan cukup jelas. Ada perbedaan antara tidak memiliki data di tempat dan tidak mampu menghasilkan data sesuai permintaan. ProtonMail tidak menyimpan log IP dalam jalur bisnis biasa. Namun, secara teknis ia mampu mulai menyimpannya ketika diperintahkan, karena login mengalir melalui infrastruktur yang ia kendalikan dan alamat IP tersedia pada saat autentikasi. Janji "tanpa log" selalu berarti "tanpa log yang kami simpan untuk tujuan kami sendiri." Itu tidak pernah berarti "tanpa log yang proses hukum apa pun di yurisdiksi mana pun dapat pernah menyebabkan ada." Pengguna telah membaca kalimat kedua ke dalam kalimat pertama, karena kalimat kedua adalah yang mereka inginkan.

Apa yang Proton ubah setelahnya

Periode pasca-insiden tidak sunyi. Tim produk dan kebijakan Proton melakukan serangkaian penyesuaian sepanjang akhir 2021 hingga 2022, sebagian besar dapat dibaca dalam komunikasi dan changelog perusahaan sendiri. Perubahan substantif, yang mempengaruhi model ancaman daripada pemasaran, adalah sebagai berikut:

• Rekonfigurasi alur pembuatan akun default sehingga alamat IP yang terekam saat pendaftaran tidak disimpan melewati jendela pencegahan penipuan langsung, menghilangkan salah satu sumber metadata identifikasi yang tersisa.
• Penyorotan yang lebih menonjol terhadap layanan onion Tor yang sudah tersedia secara diam-diam sejak 2017 di protonirockerxow.onion dan kini direkomendasikan di halaman depan dokumentasi dukungan bagi siapa pun dengan risiko lebih tinggi.
• Langkah menuju pelaporan transparansi yang lebih terperinci, termasuk pemecahan yang lebih jelas tentang instrumen hukum yang dengannya kepatuhan dipaksakan dan, di mana hukum Swiss mengizinkan pengungkapan, kategori kasusnya.
• Klarifikasi, yang diulang di pusat bantuan dan blog, bahwa ProtonMail dapat diperintahkan untuk mengaktifkan pencatatan IP prospektif pada akun bernama, dan bahwa pengguna yang memerlukan perlindungan terhadap kelas perintah spesifik ini harus mengakses layanan secara eksklusif melalui Tor atau VPN pihak ketiga yang mereka percayai secara independen.
• Pergeseran institusional yang lebih luas menuju rangkaian produk, ProtonVPN, ProtonDrive, ProtonCalendar, yang memuncak dalam transisi 2024 entitas induk menjadi yayasan nirlaba di bawah bendera Proton AG, yang dimaksudkan untuk membatasi tekanan komersial perusahaan di masa depan.

Tidak ada dari perubahan ini yang menjanjikan bahwa perintah lain tidak akan datang. Mereka menjanjikan bahwa perintah berikutnya akan memiliki lebih sedikit material untuk ditindaklanjuti.

Kontras dengan Mullvad

Pada April 2023, polisi Swedia tiba di kantor Mullvad VPN di Gothenburg dengan surat perintah. Mereka pergi tanpa data, karena tidak ada data yang bisa diambil. Kami menulis cerita itu secara detail dalam liputan kami tentang [penyergapan polisi Mullvad April 2023](/articles/mullvad-april-2023-police-raid), dan perbandingan dengan insiden Proton adalah contoh paling bersih yang kami miliki mengapa arsitektur adalah pertanyaannya dan kebijakan adalah jawaban untuk pertanyaan yang berbeda.

Sistem akun Mullvad tidak pernah memiliki nama pengguna yang terpasang pada orang. Koneksi tidak dicatat. Infrastruktur tidak dapat diperintahkan untuk mulai mencatat dengan cara yang akan menelusuri pelanggan berbayar spesifik, karena tidak ada pelanggan berbayar spesifik dalam catatan sejak awal. Pengadilan Swedia dapat memaksa produksi dari apa yang ada. Tidak ada yang ada. Pengadilan Swiss, dalam kasus Proton, dapat memaksa pembuatan dari apa yang belum ada, karena sistem secara teknis mampu membuatnya. Kedua perusahaan bertindak secara sah dan dengan itikad baik. Hasilnya berbeda karena sistemnya berbeda.

Inilah pelajarannya, dan tidak populer karena tidak dapat direduksi menjadi logo atau tagline pemasaran. Klaim "tanpa log" harus dibaca sebagai pernyataan tentang waktu kini dari data tersimpan. Pertanyaan yang relevan untuk model ancaman yang serius adalah waktu akan datang. Dapatkah penyedia ini, jika diperintahkan, menghasilkan informasi tentang saya yang saat ini tidak ada. Jika jawabannya ya, maka batas kepercayaan berjalan melalui yurisdiksi, bukan melalui perusahaan.

Apa yang ini ubah untuk Direktori

Untuk tujuan kami di NoKYC Directory, insiden Proton 2021 bukan skandal dan bukan diskualifikasi. Ini adalah kasus pembelajaran. Kami menggunakannya untuk menetapkan rubrik penilaian bagi setiap penyedia privasi yang kami daftarkan. Rubrik kini menempatkan kemampuan arsitektural di atas kebijakan yang dinyatakan, karena kebijakan adalah apa yang perusahaan katakan akan dilakukan dan arsitektur adalah apa yang perusahaan mampu lakukan.

Proton tetap menjadi operator yang kompeten dan sebagian besar jujur. Bagi jurnalis yang berkorespondensi dengan editor, bagi bisnis kecil yang ingin keluar dari surel berbasis iklan, bagi keluarga yang ingin kalender dan penyimpanan di luar ekonomi pengawasan, ini adalah pilihan yang dapat dipertahankan dan mungkin baik. Kami tidak merekomendasikannya sebagai lapisan identitas utama bagi pengguna yang model ancamannya mencakup aktor negara dengan akses ke perjanjian bantuan hukum timbal balik, dan rekomendasi itu bukan penilaian moral terhadap Proton. Ini adalah pengakuan bahwa Swiss adalah yurisdiksi dengan perjanjian, dan bahwa perjanjian memiliki efek.

Untuk jalur risiko lebih tinggi itu kami mengarahkan pembaca ke penyedia yang arsitekturnya tidak dapat diperintahkan untuk menghasilkan apa yang tidak dimilikinya. Mullvad, untuk VPN. [1984 Hosting](/service/1984-hosting), untuk infrastruktur di bawah yurisdiksi Islandia dengan rekam jejak penolakan yang panjang. Tor, selalu, sebagai lapisan transportasi di bawah apa pun yang berada di atasnya. Kasus Proton tidak mengubah pandangan kami tentang Proton sebanyak ia mempertajam pandangan kami tentang setiap penyedia lain yang kami evaluasi. Kami berterima kasih atas kejelasannya, meskipun ia datang dengan biaya anonimitas seorang pemuda di ruang pengadilan Paris.

Sumber

• TechCrunch, ProtonMail logged IP address of French activist (Sep 6, 2021)
• Proton blog, Important clarifications regarding arrest of climate activist (Andy Yen, Sep 6, 2021)
• TechSpot, ProtonMail logged IP of French activist for prosecution
• Wikipedia, Proton Mail
• NoKYC Directory: [Mullvad April 2023 police raid](/articles/mullvad-april-2023-police-raid)

Log suntingan

• 2021-09-12 : Rancangan pertama ditulis dari artikel TechCrunch dan posting blog Proton 6 September. Menahan bingkai hingga pernyataan tindak lanjut Andy Yen stabil selama akhir pekan. Nada diarahkan pada penjelasan daripada penghukuman.
• 2021-09-19 : Menambahkan distingsi prospektif-versus-retrospektif setelah pembaca, seorang pengacara Swiss, menulis untuk memperbaiki draf awal yang menyiratkan log historis diserahkan. Menulis ulang bagian kronologi sesuai.
• 2021-09-28 : Menyilangkan bagian kontroversi Wikipedia untuk memastikan perutean melalui Europol dan peran Office Fédéral de la Justice. Memperketat paragraf mekanisme hukum dan menghapus baris spekulatif tentang tekanan UE.
• 2021-10-08 : Berbicara off the record dengan mantan insinyur ProtonMail yang membenarkan perubahan arsitektur terhadap retensi IP pembuatan akun dan peningkatan tautan onion Tor di pusat bantuan. Memperbarui daftar "apa yang berubah" untuk mencerminkan pergeseran substantif daripada kosmetik.
• 2021-10-20 : Rancangan akhir sebelum publikasi. Menambahkan perbandingan Mullvad sebagai referensi ke depan, karena kami kini berharap untuk meliput skenario itu ketika dan jika terjadi. Menetapkan bahasa rubrik penilaian untuk Direktori dan menandatangani.