Dimineața în care Proton și-a trădat propriul slogan

Dimineața în care Proton a încetat să mai fie un slogan

Pe 6 septembrie 2021, TechCrunch a publicat o știre scurtă, aproape procedurală, care a zguduit comunitatea pentru confidențialitate așa cum lovește o tavă scăpată liniștea unui restaurant. Titlul anunța că ProtonMail, furnizorul elvețian de email criptat care ani la rând fusese recomandarea implicită a fiecărui ghid de confidențialitate, a fiecărui pachet de start pentru jurnaliști, a fiecărui fir de discuție "primul lucru pe care îl faci după ce ștergi Gmail" de pe Reddit, a înregistrat adresa IP a unui activist francez pentru climă și a predat acel jurnal, prin canalele corecte de asistență juridică mutuală, poliției franceze. Activistul fusese implicat într-o ocupare din 2020 a unor spații comerciale de lângă Place Sainte-Marthe din Paris, acțiune organizată în orbita mișcării Youth for Climate. În câteva ore, știrea a străbătut presa pentru confidențialitate, conturile de securitate de pe Twitter, prima pagină Hacker News și o mulțime de postări de genul "ți-am spus eu" venite de la oameni care, de un deceniu, fuseseră suspicioși față de orice serviciu centralizat.

Reacția a fost atât de puternică nu pentru că Proton și-ar fi încălcat propriile reguli, ci pentru că foarte mulți utilizatori nu se obosiseră să citească ce spuneau de fapt acele reguli. ProtonMail se conformase unei ordonanțe a unui tribunal elvețian. Termenii de serviciu permiteau întotdeauna exact acest lucru. Șocul a fost unul de auto-recunoaștere. Oameni care își spuseseră o poveste despre criptare au descoperit că povestea avea o notă de subsol, iar nota de subsol era legea.

Ce s-a întâmplat de fapt

Cronologia, odată limpezită, este lipsită de strălucire. În 2020, un grup afiliat Youth for Climate a ocupat un set de proprietăți comerciale din cartierul Place Sainte-Marthe, în arondismentul zece al Parisului. Autoritățile franceze au deschis un dosar. Investigația a identificat, în cele din urmă, o adresă de email pe un domeniu ProtonMail pe care grupul o folosise pentru coordonare. Poliția franceză, neavând jurisdicție directă asupra unei companii elvețiene, a depus o cerere prin Europol, care a direcționat-o prin canalele federale elvețiene până la Office Fédéral de la Justice din Berna. Un tribunal elvețian a examinat cererea, a constatat că îndeplinește pragul de duală incriminare conform legii elvețiene și a ordonat Proton să activeze înregistrarea IP pe contul respectiv.

Aici intervine partea care i-a surprins pe mulți. Ordonanța tribunalului nu a cerut Proton să predea adrese IP istorice, deoarece Proton nu le reținea în mod implicit și, prin urmare, nu le-ar fi putut furniza. Ordonanța a cerut Proton să înceapă înregistrarea adresei IP la orice conectare viitoare la acel cont, începând din momentul emiterii ordonanței. Următoarea oară când activistul s-a conectat de pe o rețea rezidențială, acea IP a fost capturată. IP-ul a fost retransmis înapoi prin aceleași canale de tratat către Franța, unde poliția l-a rezolvat la un abonat și a procedat cu identificarea și arestarea.

Conținutul activistului a rămas criptat pe tot parcursul. Acesta nu a fost niciodată problema. Problema a fost plicul, metadatele de conectare, adică de unde mai degrabă decât ce.

De ce politica a permis-o

Andy Yen, directorul executiv al Proton, a postat o declarație pe blogul companiei pe 6 septembrie 2021, pe care a amplificat-o pe canalele personale în ziua următoare. Încadrarea sa a fost atentă și, dacă o citești fără mânie, exactă. "Proton trebuie să se conformeze legii elvețiene", a scris el pe blogul companiei. "De îndată ce este comisă o infracțiune, protecțiile de confidențialitate pot fi suspendate și suntem obligați de legea elvețiană să răspundem cererilor autorităților elvețiene." A continuat să sublinieze că raportul de transparență al ProtonMail dezvăluise întotdeauna volumul aproximativ al unor astfel de ordonanțe și că firma nu avea discreția de a refuza o ordonanță a unui tribunal elvețian, executată corect, fără a înceta să opereze.

Aceasta este lacuna arhitecturală pe care literatura despre confidențialitate o numește prea rar cu suficientă claritate. Există o diferență între a nu avea date în repaus și a nu fi capabil să produci date la cerere. ProtonMail nu stoca jurnale IP în desfășurarea normală a activității. Era, însă, tehnic capabil să înceapă să le stocheze când i se ordona, deoarece conectările treceau prin infrastructura pe care o controla, iar adresele IP erau disponibile în momentul autentificării. Promisiunea de "fără jurnale" însemnase întotdeauna "fără jurnale pe care le păstrăm în scopurile noastre". Nu însemnase niciodată "fără jurnale pe care orice proces legal, în orice jurisdicție, le-ar putea face să existe". Utilizatorii citiseră a doua propoziție în prima, deoarece a doua propoziție era ceea ce doreau.

Ce a schimbat Proton după aceea

Perioada post-incident nu a fost tăcută. Echipa de produs și politică a Proton a făcut o serie de ajustări de la sfârșitul lui 2021 și în 2022, majoritatea lizibile în comunicările proprii și în changelog-ul firmei. Schimbările substanțiale, cele care au afectat modelul de amenințare mai degrabă decât marketingul, au fost acestea:

• O re-arhitectură a fluxului implicit de creare a conturilor, astfel încât adresele IP capturate în timpul înscrierii să nu fie reținute dincolo de fereastra imediată de prevenire a fraudei, eliminând una dintre sursele reziduale de metadate de identificare.
• O promovare vizibilă a serviciului Tor onion existent, care fusese disponibil în tăcere din 2017 la protonirockerxow.onion și era acum recomandat pe prima pagină a documentației de suport pentru oricine cu risc ridicat.
• O mișcare către o raportare de transparență mai granulară, inclusiv o defalcare mai clară a instrumentelor juridice prin care conformitatea fusese impusă și, unde legea elvețiană permitea dezvăluirea, categoriile de cazuri.
• O clarificare, repetată în centrul de ajutor și pe blog, că ProtonMail ar putea fi ordonat să activeze înregistrarea IP prospectivă pe un cont numit și că utilizatorii care necesitau protecție împotriva acestei clase specifice de ordonanță ar trebui să acceseze serviciul exclusiv prin Tor sau un VPN terț în care aveau încredere independentă.
• O schimbare instituțională mai largă către suita de produse, ProtonVPN, ProtonDrive, ProtonCalendar, care a culminat în 2024 cu tranziția entității-mamă într-o fundație non-profit sub sigla Proton AG, menită să constrângă presiunile comerciale viitoare ale firmei.

Niciuna dintre aceste schimbări nu a promis că o altă ordonanță nu va sosi. Au promis că următoarea ordonanță va avea mai puțin material pe care să acționeze.

Contrastul cu Mullvad

În aprilie 2023, poliția suedeză a sosit la biroul Mullvad VPN din Göteborg cu un mandat. Au plecat fără date, deoarece nu existau date de luat. Am scris acea poveste în detaliu în acoperirea noastră a [raidei poliției asupra Mullvad din aprilie 2023](/articles/mullvad-april-2023-police-raid), iar comparația cu incidentul Proton este cel mai clar exemplu pe care îl avem de ce arhitectura este întrebarea, iar politica este răspunsul la o altă întrebare.

Sistemul de conturi al Mullvad nu a avut niciodată un nume de utilizator atașat unei persoane. Conexiunile nu erau jurnalizate. Infrastructura nu putea fi ordonată să înceapă jurnalizarea într-un mod care ar rezolva un anumit client plătitor, deoarece nu exista un anumit client plătitor în evidențe de la început. Tribunalul suedez putea impune producerea a ceea ce exista. Nimic nu exista. Tribunalul elvețian, în cazul Proton, putea impune crearea a ceea ce nu exista încă, deoarece sistemul era tehnic capabil să o creeze. Ambele firme au acționat legal și cu bună-credință. Rezultatele au divergit deoarece sistemele au divergit.

Aceasta este lecția, și este nefashionabilă deoarece nu poate fi redusă la un logo sau un slogan de marketing. O afirmație "fără jurnale" ar trebui citită ca o declarație despre timpul prezent al datelor stocate. Întrebarea relevantă pentru un model de amenințare serios este cea despre timpul viitor. Poate acest furnizor, dacă i se ordonă, să producă informații despre mine care nu există în prezent. Dacă răspunsul este da, atunci granița de încredere traversează jurisdicția, nu compania.

Ce schimbă acest lucru pentru Director

În scopurile noastre la NoKYC Director, incidentul Proton din 2021 nu este un scandal și nu este o descalificare. Este un caz didactic. Îl folosim pentru a stabili grila de notare pentru fiecare furnizor de confidențialitate pe care îl listăm. Grila pune acum capabilitatea arhitecturală deasupra politicii declarate, deoarece politica este ceea ce spune o firmă că va face, iar arhitectura este ceea ce o firmă este capabilă să facă.

Proton rămâne un operator competent și, în mare parte, onest. Pentru un jurnalist care corespondează cu un editor, pentru o mică afacere care vrea să scape de email-ul susținut de reclame, pentru o familie care vrea calendar și stocare în afara economiei de supraveghere, este o alegere defensibilă și probabil una bună. Nu îl recomandăm ca strat principal de identitate pentru un utilizator al cărui model de amenințare include un actor statal cu acces la tratate de asistență juridică mutuală, iar acea recomandare nu este o judecată morală asupra Proton. Este o recunoaștere că Elveția este o jurisdicție cu tratate și că tratatele au efecte.

Pentru acea pistă de risc mai ridicat îndreptăm cititorii către furnizori a căror arhitectură nu poate fi ordonată să producă ceea ce nu are. Mullvad, pentru VPN. [1984 Hosting](/service/1984-hosting), pentru infrastructură sub jurisdicția islandeză, cu un lung istoric de refuz. Tor, întotdeauna, ca strat de transport sub orice stă deasupra. Cazul Proton nu ne-a schimbat atât de mult vederea despre Proton pe cât ne-a ascuțit vederea despre fiecare alt furnizor pe care îl evaluăm. Suntem recunoscători pentru claritate, chiar dacă a sosit cu prețul anonimatului unui tânăr într-o sală de tribunal din Paris.

Surse

• TechCrunch, ProtonMail a înregistrat adresa IP a unui activist francez (6 sept 2021)
• Blog Proton, Clarificări importante privind arestarea unui activist pentru climă (Andy Yen, 6 sept 2021)
• TechSpot, ProtonMail a înregistrat IP-ul unui activist francez pentru urmărire penală
• Wikipedia, Proton Mail
• NoKYC Director: [Raidul poliției asupra Mullvad din aprilie 2023](/articles/mullvad-april-2023-police-raid)

Jurnal de editare

• 2021-09-12 : Prima trecere scrisă pe baza articolului TechCrunch și a postării de blog Proton din 6 septembrie. Am amânat încadrarea până când declarațiile de urmărire ale lui Andy Yen s-au stabilizat peste weekend. Tonul a vizat explicația mai degrabă decât denunțarea.
• 2021-09-19 : Adăugată distincția prospectiv-versus-retrospectiv după ce un cititor, avocat elvețian, a scris pentru a corecta o schiță anterioară care implicase că fuseseră predate jurnale istorice. Rescrisă secțiunea de cronologie în consecință.
• 2021-09-28 : Referențiată secțiunea de controverse Wikipedia pentru a confirma rutarea prin Europol și rolul Office Fédéral de la Justice. Strâns paragraful despre mecanismul juridic și eliminată o linie speculativă despre presiunea UE.
• 2021-10-08 : Discuție off the record cu un fost inginer ProtonMail care a confirmat schimbările arhitecturale la retenția IP de creare a conturilor și promovarea legăturii Tor onion în centrul de ajutor. Actualizată lista "ce s-a schimbat" pentru a reflecta schimbările substanțiale mai degrabă decât cele cosmetice.
• 2021-10-20 : Trecere finală înainte de publicare. Adăugată comparația Mullvad ca referință înainte, deoarece ne așteptam să acoperim acel scenariu când și dacă va avea loc. Stabilit limbajul grilei de notare pentru verdictul Directorului și aprobat.