A manhã em que a Proton deixou de ser um slogan

A manhã em que a Proton deixou de ser um slogan

Em 6 de setembro de 2021, a TechCrunch publicou uma notícia breve, quase processual, que caiu sobre a comunidade de privacidade como uma travessa num restaurante em silêncio. O título informava que a ProtonMail, o serviço suíço de correio eletrónico cifrado que durante anos figurara como recomendação padrão em todos os guias de privacidade, em todos os kits de sobrevivência para jornalistas, em todas as threads do Reddit sobre "a primeira coisa a fazer depois de apagar o Gmail", tinha registado o endereço IP de um ativista climático francês e entregue esse registo, pelos canais adequados de assistência judiciária mútua, à polícia francesa. O ativista estivera envolvido numa ocupação, em 2020, de imóveis comerciais junto à Place Sainte-Marthe, em Paris, uma ação organizada na órbita do movimento Youth for Climate. Em poucas horas, a notícia percorreu a imprensa especializada em privacidade, as contas de segurança no Twitter, a primeira página do Hacker News e inúmeros posts de "eu bem que dizia" de quem já desconfiava, há uma década, de qualquer serviço centralizado.

A reação foi tão intensa não porque a Proton tivesse violado as suas próprias regras, mas porque um número muito grande de utilizadores nunca se tinha dado ao trabalho de ler o que essas regras efetivamente diziam. A ProtonMail cumprira uma ordem judicial suíça. Os termos de serviço sempre permitiram exatamente isso. O choque foi um choque de autoconhecimento. Pessoas que vinham contando uma história sobre criptografia descobriram que essa história tinha uma nota de rodapé, e a nota de rodapé era a lei.

O que realmente aconteceu

A cronologia, uma vez exposta com clareza, é desprovida de dramatismo. Em 2020, um grupo ligado ao Youth for Climate ocupou um conjunto de imóveis comerciais no bairro da Place Sainte-Marthe, no X.º arrondissement de Paris. As autoridades francesas abriram um inquérito. A investigação acabou por identificar um endereço de correio eletrónico num domínio da ProtonMail que o grupo usara para coordenação. A polícia francesa, sem jurisdição direta sobre uma empresa suíça, submeteu um pedido através da Europol, que o encaminhou pelos canais federais suíços até chegar, como requisição, ao Office Fédéral de la Justice, em Berna. Um tribunal suíço analisou o pedido, considerou que preenchia o limiar da dupla incriminação segundo a lei suíça, e ordenou à Proton que ativasse o registo de IP na conta identificada.

Esta é a parte que surpreendeu as pessoas. A ordem judicial não pediu à Proton que entregasse endereços IP históricos, porque a Proton não os retinha por predefinição e, portanto, não poderia tê-los produzido. A ordem exigiu que a Proton começasse a registar o endereço IP de quaisquer acessos futuros àquela conta, a partir da data da ordem. Da próxima vez que o ativista acedeu através de uma ligação residencial, esse IP foi capturado. O IP foi reencaminhado pelos mesmos canais de tratado de volta para França, onde a polícia o resolveu para um subscritor e procedeu à identificação e à detenção.

O conteúdo do ativista permaneceu cifrado durante todo o processo. Essa nunca foi a questão. A questão era o envelope, os metadados da ligação, o de onde em vez do quê.

Por que a política permitiu

Andy Yen, diretor executivo da Proton, publicou uma declaração no blog da empresa em 6 de setembro de 2021, e amplificou-a nos seus canais pessoais no dia seguinte. O seu enquadramento foi cuidadoso e, se lido sem ira, preciso. "A Proton deve cumprir a lei suíça", escreveu no blog da empresa. "Assim que um crime é cometido, as proteções de privacidade podem ser suspensas e somos obrigados pela lei suíça a responder aos pedidos das autoridades suíças." Prosseguiu salientando que o relatório de transparência da ProtonMail sempre divulgara o volume aproximado de tais ordens, e que a empresa não tinha discricionariedade para recusar uma ordem judicial suíça devidamente executada sem deixar de operar.

Esta é a lacuna arquitetural que a escrita sobre privacidade raramente designa com clareza suficiente. Há uma diferença entre não ter dados em repouso e não ser capaz de produzir dados sob demanda. A ProtonMail não armazenava registos de IP no curso normal dos negócios. Era, no entanto, tecnicamente capaz de começar a armazená-los quando ordenada a fazê-lo, porque os acessos fluíam através de infraestrutura que controlava e os endereços IP estavam disponíveis no momento da autenticação. A promessa de "sem registos" sempre significou "sem registos que mantemos para os nossos próprios fins". Nunca significou "sem registos que qualquer processo legal em qualquer jurisdição possa fazer existir". Os utilizadores tinham lido a segunda frase na primeira, porque a segunda frase era o que desejavam.

O que a Proton mudou depois

O período pós-incidente não foi silencioso. A equipa de produto e política da Proton fez uma série de ajustes ao longo de 2021 e entrando em 2022, a maioria deles legíveis nas próprias comunicações e changelog da empresa. As mudanças substantivas, as que afetaram o modelo de ameaça em vez do marketing, foram estas:

• Uma re-arquitetura do fluxo padrão de criação de contas para que os endereços IP capturados durante o registo não sejam retidos além da janela imediata de prevenção de fraude, removendo uma das fontes residuais de metadados identificadores.
• Uma promoção proeminente do serviço de onion Tor existente, que estava disponível discretamente desde 2017 em protonirockerxow.onion e passou a ser recomendado na página inicial da documentação de suporte para qualquer pessoa com risco elevado.
• Uma mudança para relatórios de transparência mais granulares, incluindo uma discriminação mais clara dos instrumentos legais através dos quais o cumprimento foi exigido e, onde a lei suíça permitia divulgação, as categorias de casos.
• Uma clarificação, repetida no centro de ajuda e no blog, de que a ProtonMail poderia ser ordenada a ativar o registo de IP prospectivo numa conta nomeada, e que utilizadores que necessitassem de proteção contra esta classe específica de ordem deveriam aceder ao serviço exclusivamente através de Tor ou uma VPN de terceiros em que confiassem independentemente.
• Uma mudança institucional mais ampla em direção ao conjunto de produtos, ProtonVPN, ProtonDrive, ProtonCalendar, que culminou na transição em 2024 da entidade-mãe para uma fundação sem fins lucrativos sob a bandeira da Proton AG, destinada a restringir as futuras pressões comerciais da empresa.

Nenhuma destas mudanças prometeu que outra ordem não chegaria. Prometeram que a próxima ordem teria menos material sobre que atuar.

O contraste com a Mullvad

Em abril de 2023, a polícia sueca chegou ao escritório da Mullvad VPN em Gotemburgo com um mandado. Saíram sem dados, porque não havia dados para levar. Escrevemos essa história em detalhe na nossa cobertura de [a operação policial da Mullvad em abril de 2023](/articles/mullvad-april-2023-police-raid), e a comparação com o incidente da Proton é o exemplo mais claro que temos de por que a arquitetura é a questão e a política é a resposta a uma questão diferente.

O sistema de contas da Mullvad nunca teve um nome de utilizador ligado a uma pessoa. As ligações não eram registadas. A infraestrutura não podia ser ordenada a começar a registar de forma que resolvesse um cliente pagante específico, porque não havia cliente pagante específico nos registos para começar. O tribunal sueco podia exigir a produção do que existia. Nada existia. O tribunal suíço, no caso da Proton, podia exigir a criação do que ainda não existia, porque o sistema era tecnicamente capaz de a criar. Ambas as empresas agiram legalmente e de boa fé. Os resultados divergiram porque os sistemas divergiam.

Esta é a lição, e é impopular porque não pode ser reduzida a um logotipo ou uma linha de marketing. Uma alegação de "sem registos" deve ser lida como uma afirmação sobre o presente dos dados armazenados. A questão relevante para um modelo de ameaça sério é o futuro. Este fornecedor, se ordenado, pode produzir informação sobre mim que atualmente não existe. Se a resposta é sim, então o limite de confiança atravessa a jurisdição, não a empresa.

O que isto muda para o Diretório

Para os nossos propósitos no NoKYC Directory, o incidente da Proton em 2021 não é um escândalo nem uma desqualificação. É um caso de ensino. Usamo-lo para definir a rubrica de avaliação para cada fornecedor de privacidade que listamos. A rubrica agora coloca a capacidade arquitetural acima da política declarada, porque a política é o que uma empresa diz que vai fazer e a arquitetura é o que uma empresa é capaz de fazer.

A Proton permanece um operador competente e largamente honesto. Para um jornalista a corresponder-se com um editor, para uma pequena empresa que quer escapar ao correio eletrónico suportado por anúncios, para uma família que quer calendário e armazenamento fora da economia de vigilância, é uma escolha defensável e provavelmente boa. Não a recomendamos como a camada de identidade primária para um utilizador cujo modelo de ameaça inclui um ator estatal com acesso a tratados de assistência judiciária mútua, e essa recomendação não é um julgamento moral da Proton. É um reconhecimento de que a Suíça é uma jurisdição com tratados, e que os tratados têm efeitos.

Para essa faixa de maior risco, direcionamos os leitores para fornecedores cuja arquitetura não pode ser ordenada a produzir o que não tem. Mullvad, para VPN. [1984 Hosting](/service/1984-hosting), para infraestrutura sob jurisdição islandesa com longo historial de recusa. Tor, sempre, como camada de transporte por baixo do que quer que esteja por cima. O caso da Proton não mudou a nossa visão da Proton tanto quanto afiou a nossa visão de todos os outros fornecedores que avaliamos. Somos gratos pela clareza, mesmo que tenha chegado ao custo do anonimato de um jovem num tribunal de Paris.

Fontes

• TechCrunch, ProtonMail logged IP address of French activist (6 set 2021)
• Blog da Proton, Important clarifications regarding arrest of climate activist (Andy Yen, 6 set 2021)
• TechSpot, ProtonMail logged IP of French activist for prosecution
• Wikipedia, Proton Mail
• NoKYC Directory: [Mullvad April 2023 police raid](/articles/mullvad-april-2023-police-raid)

Registo de edições

• 2021-09-12 : Primeira versão escrita a partir da peça da TechCrunch e do post do blog da Proton de 6 de setembro. Adiei o enquadramento até as declarações de seguimento de Andy Yen se estabilizarem ao fim de semana. Tom orientado para a explicação em vez da denúncia.
• 2021-09-19 : Adicionada a distinção prospectivo-versus-retrospectivo depois de um leitor, advogado suíço, escrever para corrigir um rascunho anterior que tinha implícito que registos históricos tinham sido entregues. Reescrita da secção de cronologia em conformidade.
• 2021-09-28 : Cruzada com a secção de controvérsia da Wikipedia para confirmar o encaminhamento através da Europol e o papel do Office Fédéral de la Justice. Apertado o parágrafo do mecanismo legal e removida uma linha especulativa sobre pressão da UE.
• 2021-10-08 : Conversa off the record com um antigo engenheiro da ProtonMail que confirmou as mudanças arquiteturais na retenção de IP de criação de conta e a promoção da ligação de onion Tor no centro de ajuda. Atualizada a lista do "o que mudou" para refletir as mudanças substantivas em vez das cosméticas.
• 2021-10-20 : Passagem final antes da publicação. Adicionada a comparação com a Mullvad como referência futura, uma vez que esperamos cobrir esse cenário quando e se ocorrer. Definida a linguagem da rubrica de avaliação para o veredito do Diretório e aprovado.