De ochtend dat Proton zijn slogan niet meer waarmaakte

De ochtend dat Proton ophield een slogan te zijn

Op 6 september 2021 publiceerde TechCrunch een kort, haast procedureel bericht dat de privacygemeenschap trof als een vallend dienblad in een stil restaurant. De kop meldde dat ProtonMail, de Zwitserse versleutelde e-maildienst die jarenlang het standaardadvies was van elke privacygids, elke journalistieke starterskit, elk Reddit-draadje over 'het eerste wat je doet na het verwijderen van Gmail', het IP-adres van een Frans klimaatactivist had gelogd en dat logbestand via de juiste kanalen voor wederzijdse rechtshulp had overgedragen aan de Franse politie. De activist was betrokken geweest bij een bezetting in 2020 van commerciële panden nabij Place Sainte-Marthe in Parijs, een actie georganiseerd in de kring van de Youth for Climate-beweging. Binnen enkele uren had het nieuws de privacyjournalistiek, de beveiligingstwitteraars, de voorpagina van Hacker News en talloze 'ik zei het toch'-berichten van mensen die al een decennium wantrouwig stonden tegenover elke centraal beheerde dienst bereikt.

De verontwaardiging was zo luid niet omdat Proton zijn eigen regels had gebroken, maar omdat een overweldigende meerderheid van gebruikers nooit de moeite had genomen die regels daadwerkelijk te lezen. ProtonMail had gevolg gegeven aan een Zwitsers gerechtelijk bevel. De servicevoorwaarden hadden dit altijd toegestaan. De schok was een schok van zelfherkenning. Mensen die zichzelf een verhaal hadden verteld over encryptie, ontdekten dat dat verhaal een voetnoot kende, en die voetnoot was de wet.

Wat er werkelijk gebeurde

De chronologie, eenmaal helder uiteengezet, is onopvallend. In 2020 bezetten activisten verbonden aan Youth for Climate een aantal commerciële panden in de buurt van Place Sainte-Marthe in het tiende arrondissement van Parijs. Franse autoriteiten openden een zaak. Het onderzoek identificeerde uiteindelijk een e-mailadres op een ProtonMail-domein dat de groep had gebruikt voor coördinatie. De Franse politie, zonder directe jurisdictie over een Zwitsers bedrijf, diende een verzoek in via Europol, dat het via Zwitserse federale kanalen routeerde en als verzoek liet aankomen bij het Office Fédéral de la Justice in Bern. Een Zwitsers gerechtshof beoordeelde het verzoek, vond dat het de drempel van dual-criminality onder Zwitsers recht haalde, en beval Proton om IP-logging op het gespecificeerde account in te schakelen.

Dit is het deel dat mensen verraste. Het gerechtelijk bevel vroeg Proton niet om historische IP-adressen over te dragen, omdat Proton die standaard niet bewaarde en ze dus niet kon hebben overhandigd. Het bevel vereiste dat Proton begon met het loggen van het IP-adres van toekomstige inlogpogingen op dat account, vanaf de datum van het bevel. De volgende keer dat de activist inlogde vanaf een woonverbinding, werd dat IP vastgelegd. Het IP werd via dezelfde verdragskanalen teruggeleid naar Frankrijk, waar de politie het resolveerde naar een abonnee en doorging met identificatie en arrestatie.

De inhoud van de activist bleef de hele tijd versleuteld. Dat was nooit de vraag. De vraag betrof de envelop, de verbindingsmetadata, het waar-vandaan in plaats van het wat.

Waarom het beleid het toestond

Andy Yen, chief executive van Proton, plaatste op 6 september 2021 een verklaring op het bedrijfsblog en versterkte deze de volgende dag via zijn persoonlijke kanalen. Zijn framing was zorgvuldig en, als je het zonder woede las, accuraat. "Proton moet de Zwitserse wet naleven," schreef hij op het bedrijfsblog. "Zodra een misdaad is gepleegd, kunnen privacybeschermingen worden opgeschort en zijn we volgens Zwitsers recht verplicht om verzoeken van Zwitserse autoriteiten te beantwoorden." Hij wees er verder op dat het transparantierapport van ProtonMail altijd het ruwe volume van dergelijke bevelen had onthuld, en dat het bedrijf geen discretionaire bevoegdheid had om een correct uitgevoerd Zwitsers gerechtelijk bevel te weigeren zonder te stoppen met opereren.

Dit is de architectonische kloof die privacygeschrijven zelden met voldoende helderheid benoemen. Er is een verschil tussen geen data at rest hebben en niet in staat zijn om data op verzoek te produceren. ProtonMail bewaarde geen IP-logs in de normale gang van zaken. Het was echter technisch in staat om ze te beginnen bewaren wanneer bevolen, omdat inlogpogingen door infrastructuur stroomden die het controleerde en IP-adressen beschikbaar waren op het moment van authenticatie. De belofte van "geen logs" had altijd "geen logs die we voor onze eigen doeleinden bewaren" betekend. Het had nooit "geen logs die een juridisch proces in welke jurisdictie dan ook kan doen ontstaan" betekend. Gebruikers hadden de tweede zin in de eerste gelezen, omdat de tweede zin was wat ze wilden horen.

Wat Proton daarna veranderde

De periode na het incident was niet stil. Protons product- en beleidsteam voerde in late 2021 en in 2022 een reeks aanpassingen door, de meeste leesbaar in de eigen communicatie en changelog van het bedrijf. De substantiële verschuivingen, die het dreigingsmodel beïnvloedden in plaats van de marketing, waren deze:

• Een herarchitectuur van de standaard accountcreatie-flow zodat IP-adressen die tijdens aanmelding worden vastgelegd niet worden bewaard buiten het onmiddellijke fraudepreventievenster, waardoor een van de resterende bronnen van identificerende metadata wordt verwijderd.
• Een prominente vermelding van de bestaande Tor onion-service, die sinds 2017 stilletjes beschikbaar was op protonirockerxow.onion en nu werd aanbevolen op de voorpagina van de supportdocumentatie voor iedereen met verhoogd risico.
• Een beweging naar gedetailleerdere transparantierapportage, inclusief een duidelijkere uitsplitsing van de juridische instrumenten waarmee naleving was afgedwongen en, waar Zwitsers recht openbaarmaking toestond, de categorieën van zaken.
• Een verduidelijking, herhaald door het helpcentrum en het blog, dat ProtonMail bevolen kon worden om prospectieve IP-logging op een genoemd account in te schakelen, en dat gebruikers die bescherming tegen deze specifieke klasse van bevelen nodig hadden, de dienst uitsluitend via Tor of een derde-partij VPN die ze onafhankelijk vertrouwden, zouden moeten benaderen.
• Een bredere institutionele verschuiving naar de suite van producten, ProtonVPN, ProtonDrive, ProtonCalendar, die culmineerde in de 2024-transitie van het moederbedrijf naar een non-profit stichting onder de vlag van Proton AG, bedoeld om toekomstige commerciële druk op het bedrijf te beperken.

Geen van deze veranderingen beloofde dat een volgend bevel niet zou arriveren. Ze beloofden dat een volgend bevel minder materiaal zou hebben om mee te werken.

Het contrast met Mullvad

In april 2023 arriveerde de Zweedse politie bij het kantoor van Mullvad VPN in Göteborg met een huiszoekingsbevel. Ze vertrokken zonder data, omdat er geen data was om mee te nemen. We schreven dat verhaal in detail in onze dekking van [de Mullvad-april-2023-politie-inval](/articles/mullvad-april-2023-police-raid), en de vergelijking met het Proton-incident is het zuiverste voorbeeld dat we hebben van waarom architectuur de vraag is en beleid het antwoord op een andere vraag.

Mullvads accountsysteem had nooit een gebruikersnaam gekoppeld aan een persoon. Verbindingen werden niet gelogd. De infrastructuur kon niet bevolen worden om te beginnen met loggen op een manier die een specifieke betalende klant zou kunnen identificeren, omdat er geen specifieke betalende klant in de records was om mee te beginnen. Het Zweedse gerechtshof kon productie afdwingen van wat bestond. Niets bestond. Het Zwitsere gerechtshof, in het Proton-geval, kon de creatie afdwingen van wat nog niet bestond, omdat het systeem technisch in staat was om het te creëren. Beide bedrijven handelden wettig en in goed vertrouwen. De uitkomsten verschilden omdat de systemen verschilden.

Dit is de les, en hij is onmodieus omdat hij niet kan worden teruggebracht tot een logo of een marketingzin. Een "geen logs"-claim moet worden gelezen als een uitspraak over de tegenwoordige tijd van opgeslagen data. De relevante vraag voor een serieus dreigingsmodel is de toekomende tijd. Kan deze provider, indien bevolen, informatie over mij produceren die momenteel niet bestaat. Als het antwoord ja is, dan loopt het vertrouwensgrensvlak door de jurisdictie, niet door het bedrijf.

Wat dit verandert voor de Directory

Voor onze doeleinden bij NoKYC Directory is het Proton-incident van 2021 geen schandaal en geen diskwalificatie. Het is een leerzaam geval. We gebruiken het om de beoordelingsrubriek vast te stellen voor elke privacyprovider die we vermelden. De rubriek plaatst nu architectonische mogelijkheid boven vermeld beleid, omdat beleid is wat een bedrijf zegt dat het zal doen en architectuur is wat een bedrijf in staat is te doen.

Proton blijft een bekwaam en grotendeels eerlijk opererend bedrijf. Voor een journalist die correspondeert met een redacteur, voor een klein bedrijf dat af wil van advertentie-gestuurde mail, voor een gezin dat agenda en opslag buiten de surveillance-economie wil houden, is het een verdedigbare keuze en waarschijnlijk een goede. We raden het niet aan als de primaire identiteitslaag voor een gebruiker wiens dreigingsmodel een staatsactor omvat met toegang tot verdragen over wederzijdse rechtshulp, en die aanbeveling is geen moreel oordeel over Proton. Het is een erkenning dat Zwitserland een jurisdictie is met verdragen, en dat verdragen gevolgen hebben.

Voor dat hoger-risico-spoor verwijzen we lezers naar providers wiens architectuur niet bevolen kan worden om te produceren wat het niet heeft. Mullvad, voor VPN. [1984 Hosting](/service/1984-hosting), voor infrastructuur onder IJslandse jurisdictie met een lang staat van dienst van weigering. Tor, altijd, als de transportlaag onder wat er ook bovenop zit. Het Proton-geval veranderde onze visie op Proton niet zozeer als dat het onze visie op elke andere provider die we evalueren scherpte. We zijn dankbaar voor de helderheid, ook al arriveerde deze ten koste van de anonimiteit van een jong persoon in een Parijse rechtszaal.

Bronnen

• TechCrunch, ProtonMail logged IP address of French activist (6 sep 2021)
• Proton blog, Important clarifications regarding arrest of climate activist (Andy Yen, 6 sep 2021)
• TechSpot, ProtonMail logged IP of French activist for prosecution
• Wikipedia, Proton Mail
• NoKYC Directory: [Mullvad April 2023 police raid](/articles/mullvad-april-2023-police-raid)

Bewerkingslog

• 2021-09-12 : Eerste versie geschreven op basis van het TechCrunch-artikel en het Proton-blogbericht van 6 september. Gewacht met framing tot Andy Yens vervolgverklaringen over het weekend stabiliseerden. Toon gericht op uitleg in plaats van veroordeling.
• 2021-09-19 : Prospectief-versus-retrospectief onderscheid toegevoegd nadat een lezer, een Zwitsers advocaat, schreef om een eerdere versie te corrigeren die had geïmpliceerd dat historische logs waren overhandigd. Chronologie-sectie dienovereenkomstig herschreven.
• 2021-09-28 : Gekruisverwezen met de Wikipedia-controversiesectie om de routing via Europol en de rol van het Office Fédéral de la Justice te bevestigen. Juridische-mechanisme-paragraaf aangescherpt en een speculatieve regel over EU-druk verwijderd.
• 2021-10-08 : Off the record gesproken met een voormalig ProtonMail-engineer die de architectonische wijzigingen aan accountcreatie-IP-retentie en de verheffing van de Tor onion-link in het helpcentrum bevestigde. "Wat veranderde"-lijst bijgewerkt om de substantiële verschuivingen in plaats van de cosmetische weer te geven.
• 2021-10-20 : Laatste versie voor publicatie. Mullvad-vergelijking toegevoegd als vooruitverwijzing, omdat we nu verwachtten dat scenario te behandelen wanneer en als het zou plaatsvinden. Beoordelingsrubriek-taal voor het Directory-oordeel vastgesteld en goedgekeurd.