Proton、スローガンの終焉　スイス法廷命令でプライバシー共同体に衝撃

Protonがスローガンでなくなった朝

2021年9月6日、TechCrunchが短く形式的なニュース記事を掲載した。静かなレストランにトレイが落とされたように、プライバシーコミュニティに衝撃が走った。見出しはこうだった。スイスの暗号化メールプロバイダーProtonMailが、フランスの気候活動家のIPアドレスを記録し、相互法援助の正式なチャネルを通じてフランス警察にログを引き渡した。長年、あらゆるプライバシーガイド、ジャーナリストのスターターパック、Redditの「Gmail削除後に最初にやること」スレッドのデフォルト推薦だったProtonMailが。活動家は2020年、パリのサント・マルト広場近くの商業施設を占拠した事件に関与していた。ユース・フォー・クライメート運動の周辺で組織された行動だった。数時間も経たないうちに、このニュースはプライバシー専門メディア、セキュリティ系Twitterアカウント、Hacker Newsのトップページを席巻し、10年間中央集権型サービスを疑い続けてきた人々からの「言っただろう」という投稿で埋め尽くされた。

反応がこれほど大きかったのは、Protonが自社のルールを破ったからではない。圧倒的多数のユーザーが、ルールの実際の文言を読んでいなかったからだ。ProtonMailはスイスの裁判所命令に従った。利用規約は常にこれを許容していた。衝撃は自己認識の衝撃だった。暗号化について物語を語ってきた人々が、その物語に脚注があり、その脚注が法律であることに気づいたのだ。

実際に何が起きたか

年表を素直に整理すれば、派手さはない。2020年、ユース・フォー・クライメートに関連するグループがパリ10区サント・マルト地区の商業施設を占拠した。フランス当局が捜査を進める中、グループの連絡先としてProtonMailドメインのメールアドレスが特定された。フランス警察はスイスの企業に対する直接の管轄権を持たないため、Europolを通じて申請を提出した。それはスイスの連邦チャネルを経由し、ベルンのOffice Fédéral de la Justiceに届いた。スイスの裁判所は申請を審査し、スイス法下の両罰性要件を満たしていると判断。指定されたアカウントでIPログ記録を有効化するようProtonに命令した。

これが人々を驚かせた部分だ。裁判所命令はProtonに過去のIPアドレスの提出を求めなかった。Protonはデフォルトでそれらを保持しておらず、提出できなかったからだ。命令は、命令の日付から将来にわたり、そのアカウントへのログイン時のIPアドレスの記録開始をProtonに要求した。次に活動家が住宅回線からログインしたとき、そのIPが捕捉された。IPは同じ条約チャネルを通じてフランスに送り返され、警察はそこで加入者に解決し、身元特定と逮捕を進めた。

活動家のコンテンツは一貫して暗号化されたままだった。それは問題ではなかった。問題だったのは封筒であり、接続メタデータであり、何ではなくどこからだった。

なぜポリシーがそれを許容したか

Protonの最高経営責任者Andy Yenは、2021年9月6日に企業ブログに声明を投稿し、翌日に個人チャネルで拡散した。彼の枠組みは慎重で、冷静に読めば正確だった。「Protonはスイス法に従わなければならない」と彼は企業ブログに書いた。「犯罪が犯された時点で、プライバシー保護は停止され、スイス法によりスイス当局からの要請に応じることが求められる」。彼はさらに、ProtonMailの透明性レポートが常にそのような命令の概算量を開示してきたこと、そして同社が適切に執行されたスイスの裁判所命令を拒否する裁量権を持たず、営業を停止しない限り従わざるを得ないことを指摘した。

これがプライバシー論が十分な明確さで名付けることがめったにない、アーキテクチャ上の隙間だ。保存中のデータを持たないことと、要求に応じてデータを生成できないことには違いがある。ProtonMailは通常の業務過程でIPログを保存していなかった。しかし、ログインが管理下のインフラを通じて流れ、IPアドレスが認証時に利用可能だったため、命令があれば保存を開始する技術的能力はあった。「ログなし」の約束は常に「自社の目的で保持するログなし」を意味していた。それは「どの法域のどの法的プロセスによっても存在させることができないログなし」を意味していたわけではなかった。ユーザーは2文目を1文目に読み込んでいた。なぜなら、2文目が彼らの望みだったからだ。

Protonがその後変更したこと

事後の期間は沈黙ではなかった。Protonのプロダクトとポリシーチームは2021年後半から2022年にかけて一連の調整を行い、そのほとんどは同社の自社コミュニケーションとchangelogで読み取れる。マーケティングではなく脅威モデルに影響を与えた実質的な変更は以下の通りだった。

• サインアップ時に捕捉されたIPアドレスが即時の不正防止期間を超えて保持されないよう、アカウント作成フローを再設計。これにより、識別メタデータの残余ソースの1つが除去された。
• 2017年からprotonirockerxow.onionで静かに利用可能だった既存のTor onionサービスを顕在化。リスクが高い人向けに、サポートドキュメントのトップページで推奨されるようになった。
• より粒度の高い透明性レポートへの移行。コンプライアンスが強制された法的手段の明確な内訳、およびスイス法が開示を許可する範囲で事件のカテゴリーを含む。
• ヘルプセンターとブログで繰り返された明確化。ProtonMailは指定されたアカウントで将来向けのIPログ記録を開始するよう命令される可能性があり、この特定の命令クラスから保護を必要とするユーザーは、Torまたは独立して信頼する第三者VPNを介してのみサービスにアクセスすべきであると。
• ProtonVPN、ProtonDrive、ProtonCalendarという製品群へのより広範な制度的シフト。これは2024年に親会社をProton AGの下で非営利財団に移行させ、将来の商業的圧力を抑制することを意図した。

これらの変更のどれも、別の命令が来ないことを約束したわけではない。次の命令が作用する材料をより少なくすることを約束した。

Mullvadとの対比

2023年4月、スウェーデン警察はMullvad VPNのヨーテボリ事務所に令状を持って到着した。データがないため、データなしで立ち去った。私たちはその話を[Mullvad 2023年4月警察襲撃](/articles/mullvad-april-2023-police-raid)の報道で詳しく書いたが、Proton事件との比較は、アーキテクチャが問題であり、ポリシーは別の問題への答えである理由について、私たちが持つ最も明確な例だ。

Mullvadのアカウントシステムには、人に紐づくユーザー名がなかった。接続はログ記録されなかった。インフラは、特定の支払い顧客を解決する方法で記録を開始するよう命令されることができなかった。なぜなら、記録に特定の支払い顧客がそもそも存在しなかったからだ。スウェーデンの裁判所は存在するものの提出を強制できた。何も存在しなかった。Proton事件では、スイスの裁判所はシステムが技術的に作成可能だったため、まだ存在しないものの作成を強制できた。両社とも合法的かつ誠実に行動した。結果が分岐したのは、システムが分岐していたからだ。

これが教訓であり、ロゴやマーケティングラインに還元できないため流行ではない。「ログなし」の主張は、保存データの現在形についての表明として読まれるべきだ。真剣な脅威モデルにとって重要な問いは未来形だ。このプロバイダーは、命令されれば、現在存在しない私に関する情報を生成できるか。答えがイエスなら、信頼境界は管轄権を貫き、企業を貫かない。

Directoryにとってこれが何を変えるか

NoKYC Directoryにおける私たちの目的では、Proton 2021年の事件はスキャンダルでも失格でもない。それは事例研究だ。私たちはそれを、掲載するあらゆるプライバシープロバイダーの評価基準を設定するために使用する。この基準は、ポリシーは企業が何をすると言うかであり、アーキテクチャは企業が何をできるかであるため、現在アーキテクチャ上の能力を表明されたポリシー以上に重視する。

Protonは有能で、おおむね誠実な事業者であり続ける。編集者と通信するジャーナリストにとって、広告サポートのメールから脱却したい中小企業にとって、監視経済の外にカレンダーとストレージを求める家族にとって、それは擁護可能な選択であり、おそらく良い選択だ。私たちは、相互法援助条約へのアクセスを持つ国家行為者を含む脅威モデルのユーザーに対する主要なアイデンティティ層としては推奨しない。この推奨はProtonの道徳的評価ではない。スイスが条約を持つ管轄権であり、条約には効果があるという認識だ。

そのより高リスクのレーンでは、私たちは読者を、アーキテクチャが持っていないものの生成を命令できないプロバイダーへ向ける。VPNにはMullvad。インフラには、[1984 Hosting](/service/1984-hosting)（アイスランドの管轄権下で長年の拒否の実績を持つ）。常に、Torを、上に何が乗ろうとその下のトランスポート層として。Proton事件は、私たちのProtonに対する見方を変えたというより、私たちが評価する他のあらゆるプロバイダーに対する見方を鋭化させた。若者の匿名性がパリの法廷で犠牲になった代償として、その明確さに感謝している。

情報源

• TechCrunch, ProtonMail logged IP address of French activist (2021年9月6日)
• Proton blog, Important clarifications regarding arrest of climate activist (Andy Yen, 2021年9月6日)
• TechSpot, ProtonMail logged IP of French activist for prosecution
• Wikipedia, Proton Mail
• NoKYC Directory: [Mullvad April 2023 police raid](/articles/mullvad-april-2023-police-raid)

編集履歴

• 2021-09-12 : TechCrunchの記事と9月6日のProtonブログ投稿から初稿を執筆。Andy Yenの週末のフォロー声明が安定するまでフレーミングを保留。トーンは非難ではなく説明を目指した。
• 2021-09-19 : スイスの弁護士である読者から、過去のログが引き渡されたことを示唆した早期の草稿を訂正する手紙を受け取り、将来向け対過去向けの区別を追加。それに応じて年表セクションを書き換えた。
• 2021-09-28 : Europol経由のルーティングとOffice Fédéral de la Justiceの役割を確認するため、Wikipediaの論争セクションと相互参照。法的メカニズムの段落を締め、EU圧力についての推測的な一文を削除。
• 2021-10-08 : 元ProtonMailエンジニアとオフレコードで話し、アカウント作成IP保持のアーキテクチャ変更とヘルプセンターでのTor onionリンクの昇格を確認。「変更点」リストを実質的な変更に反映するよう更新。
• 2021-10-20 : 公開前の最終確認。Mullvad比較を前方参照として追加（そのシナリオが発生した際にカバーする予定があるため）。Directory判定の評価基準言語を設定し、サインオフ。