Mullvad: a polícia invadiu, vasculhou e não levou nada

Quando a polícia foi atrás da Mullvad e saiu de mãos abanando

Na terça-feira, 18 de abril de 2023, pelo menos seis agentes do Departamento Nacional de Operações da Suécia chegaram ao escritório da Mullvad VPN em Gotemburgo com um mandado de busca. Dois dias depois, a empresa publicou um breve post no blog confirmando o ocorrido, e a manchete enterrada naquele texto não era que a operação policial se tinha desenrolado, mas sim que os agentes haviam partido sem equipamentos, sem logs, sem registros de contas e sem qualquer meio de rastrear o cliente que procuravam. Para uma indústria cuja copy de marketing está saturada com a frase "no-logs", esta foi a primeira vez na UE que um dos mais vocais proponentes dessa promessa foi obrigado a prová-la perante um mandado de busca legal.

A retrospectiva importa porque o resultado não foi retórico. Foi estrutural.

O que realmente aconteceu entre 18 e 20 de abril

A cronologia, reconstituída a partir da própria declaração da Mullvad e de reportagens de acompanhamento no The Register e Bleeping Computer, é curta. Agentes da NOA chegaram à sede de Gotemburgo na manhã do dia 18. Segundo a Mullvad, o mandado autorizava a apreensão de "computadores com dados de clientes" ligados a um suspeito específico. O resumo posterior da Wikipédia sobre o incidente, com base na imprensa sueca, vincula a investigação subjacente a um caso de chantagem originado num pedido das autoridades alemãs, embora a própria Mullvad se tenha recusado a confirmar a jurisdição de origem ou a natureza do suposto delito.

O que se seguiu, nas próprias palavras da Mullvad em 20 de abril, foi uma negociação em vez de uma apreensão. "Argumentamos que eles não tinham motivo para esperar encontrar o que procuravam e que qualquer apreensão seria, portanto, ilegal segundo a lei sueca", escreveu a empresa, citando uma regra processual de 1942 que proíbe as autoridades suecas de levarem bens quando a expectativa razoável de encontrar provas já foi refutada. Os funcionários presentes guiaram então os agentes pela arquitetura do serviço. "Após demonstrar que é assim que o nosso serviço funciona e eles consultarem o promotor, partiram sem levar nada e sem nenhuma informação de clientes", prosseguiu o post. O blog acrescenta uma frase que merece ser lida duas vezes: "Se tivessem levado algo, isso não lhes daria acesso a nenhuma informação de clientes." O ponto inteiro, parece dizer a Mullvad, é que a questão da apreensão era irrelevante antes mesmo de começar.

Em 20 de abril, o post estava no ar em mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised, e em quarenta e oito horas foi destacado pelo Bleeping Computer, The Register, TorrentFreak e grande parte da imprensa especializada em privacidade.

Por que não havia nada para levar

As decisões arquitetónicas da Mullvad, tomadas gradualmente desde que a empresa foi fundada em 2009 por Daniel Berntsson e Fredrik Strömberg, foram a razão pela qual o mandado desfez-se ao contato. Quatro escolhas em particular fizeram o trabalho naquele dia:

• A criação de conta requer apenas um número de conta gerado aleatoriamente com dezesseis dígitos. Não há nome de utilizador, endereço de e-mail, pergunta de segurança, número de telefone, canal de recuperação. Um cliente que perde o número perde a conta, que é o preço de não ter nada para ser intimado.
• O pagamento pode ser feito em XMR, em BTC, em dinheiro enviado pelo correio num envelope simples, ou por meios convencionais, mas nenhum desses instrumentos de pagamento é vinculado ao número da conta de forma consultável após a confirmação do crédito. Investigadores a seguir um extrato de cartão, portanto, não chegam a uma pessoa.
• Desde 2019, os endpoints de VPN são exclusivamente em RAM. Os servidores inicializam a partir de uma imagem limpa, não mantêm estado persistente em disco e perdem tudo no ciclo de energia. Um chassi confiscado de um datacenter não produziria dados históricos de sessão, mesmo que fosse clonado no local.
• A empresa submeteu os seus clientes e backend a revisão independente, começando com o teste de penetração da Cure53 em setembro de 2018 e continuando com o trabalho da Assured AB em 2020 e rondas subsequentes, de modo que as alegações sobre a arquitetura foram examinadas por partes sem interesse comercial em lisonjeá-las.

Estes não são slogans de marketing anexados a uma política de privacidade. São decisões que restringem o produto. Um cliente com um número de conta esquecido é um cliente perdido. Um pagamento em dinheiro pelo correio é operacionalmente penoso de reconciliar. Frotas exclusivamente em RAM custam mais para operar do que as baseadas em disco. A arquitetura é cara, e é a despesa que torna a alegação de no-logs estrutural em vez de aspiracional.

Vale notar, no mesmo quadro retrospectivo, que um mês após a operação policial a Mullvad anunciou que estava a eliminar completamente o encaminhamento de portas, com a mudança efetiva em 1º de julho de 2023. A empresa vinculou a decisão ao abuso da funcionalidade por um pequeno número de utilizadores e à pressão resultante dos provedores de hospedagem upstream, mas o timing tornou a conexão com o incidente de abril impossível de ignorar.

O contraste com a ProtonVPN, 2021

Defensores da privacidade foram rápidos a comparar o resultado de Gotemburgo a um incidente de 2021 envolvendo a ProtonMail e a sua irmã de serviço VPN, sediada na Suíça. Naquele caso, uma ordem judicial suíça, emitida a pedido das autoridades francesas que investigavam um ativista climático ligado ao movimento Youth for Climate, obrigou a Proton a registar o endereço IP utilizado pela conta alvo. A Proton cumpriu, porque a lei suíça permite exatamente esse tipo de coação assim que uma ordem judicial chega, e porque a arquitetura deixava margem para a empresa cumprir quando ordenada.

A diferença instrutiva não é que uma empresa é virtuosa e a outra não. A Proton é, pela maioria das métricas, uma operadora séria. A diferença é que a postura de privacidade da Proton depende de uma promessa legal feita sob uma jurisdição que pode sobrepor a promessa, enquanto a postura da Mullvad depende de um sistema que não pode produzir os dados, mesmo quando a empresa genuinamente gostaria de poder. Um modelo é no-logs por política. O outro é no-logs por design. A operação de abril de 2023 foi o primeiro teste de stress europeu que traçou a distinção em público.

O que isso muda para o "no-logs" como categoria

Centenas de VPNs anunciam zero-logging. Um número muito pequeno já foi colocado em posição de o provar. A Private Internet Access entrou para a lista em 2016, quando uma intimação do FBI na investigação do hoax Preff Cummings não devolveu nada utilizável. A ExpressVPN entrou em 2017, quando investigadores turcos que apuravam o assassinato do embaixador russo em Ancara apreenderam um servidor e não encontraram logs relevantes. O resultado de abril de 2023 da Mullvad coloca-a nessa companhia muito restrita, e o faz sob um mandado que foi executado pessoalmente em vez de servido por papel.

Essa distinção importa. Uma intimação entregue a um advogado corporativo baseado nos EUA é um tipo de teste. Seis agentes de uma força policial nacional a chegarem a um escritório em Gotemburgo com autoridade estatutária para sair com hardware é outro. O facto de que a arquitetura resistiu ao segundo caso, perante um promotor que podia ser telefonado em tempo real, é a evidência mais forte disponível de que a alegação não é teatro.

O que isso muda para o Directory

O veredicto desta mesa é direto. Até agora, tratámos uma auditoria independente recente como o padrão-ouro para a alegação de no-logs de uma VPN. Após Gotemburgo, estamos a introduzir um nível acima disso: sobrevivência documentada de uma tentativa real de apreensão por aplicação da lei, numa jurisdição com tribunais funcionantes, com o resultado verificável tanto pelo próprio relato do operador quanto por cobertura de imprensa contemporânea. A Mullvad ocupa agora esse nível. A maior parte do restante do mercado não.

A implicação para o lado de hospedagem do Directory é paralela. Operadores cujas arquiteturas dependem da ausência de dados recolhidos, em vez de uma promessa de não partilhar dados recolhidos, merecem mais peso nas nossas classificações. A nossa listagem existente para [1984 Hosting](/service/1984-hosting) em Reykjavik, que opera sob o mesmo princípio geral, torna-se mais interessante sob essa luz e não menos. Preferimos recomendar um serviço que não pode trair os seus utilizadores a um que meramente prometeu, por escrito, que não o fará.

Fontes

• Mullvad VPN, Mullvad VPN was subject to a search warrant (April 20, 2023)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

Registro de edições

• 2023-04-22 : Primeiro rascunho arquivado após ler o post do blog da Mullvad duas vezes e verificar cruzadamente a data do mandado contra a reportagem do The Register. Retido da publicação até que a matéria do Bleeping Computer saísse, o que aconteceu na sexta-feira à noite.
• 2023-04-26 : Adicionada a lista arquitetônica após uma longa ligação com um amigo que opera uma pequena hospedagem em Estocolmo e que me explicou o que uma frota exclusivamente em RAM realmente custa para operar versus uma baseada em disco. Cortados dois parágrafos de especulação sobre o caso de chantagem subjacente porque a imprensa sueca não havia confirmado a jurisdição.
• 2023-05-02 : Inserida a comparação com a ProtonVPN de 2021 após um leitor enviar e-mail perguntando por que eu não a havia mencionado. Relei o relatório de transparência da Proton de setembro de 2021 e a reportagem da Reuters para garantir que tinha o detalhe do ativista climático correto. Removida uma linha anterior que exagerava a culpabilidade da Proton.
• 2023-05-09 : O anúncio de retirada do encaminhamento de portas da Mullvad em 29 de maio ainda não havia sido feito quando este texto foi redigido, então adicionei uma frase prospectiva observando o timing. Revisitarei quando a transição de 1º de julho entrar em vigor.
• 2023-05-15 : Revisão final na seção de veredicto. Reescritos os parágrafos finais para tornar explícito em vez de implícito o novo nível de "sobrevivência documentada de mandado", e adicionado o link cruzado para a listagem da 1984 Hosting após confirmar com o editor do Directory que a listagem ainda estava ativa.