บุก Mullvad จับอากาศธาตุ คดีเตือนยุโรป "นโยบายไม่เก็บล็อก" เอาอยู่จริง

เมื่อตำรวจบุก Mullvad แล้วกลับออกมือเปล่า

วันอังคารที่ 18 เมษายน 2023 เจ้าหน้าที่กรมปฏิบัติการแห่งชาติสวีเดน (NOA) อย่างน้อยหกนายมาถึงสำนักงาน Mullvad VPN ใน Gothenburg พร้อมหมายค้น สองวันต่อมา บริษัทเผยแพร่โพสต์บล็อกสั้นๆ เล่าเหตุการณ์ที่เกิดขึ้น แต่พาดหัวที่ฝังอยู่ในโพสต์ไม่ได้เน้นว่ามีการบุกค้น หากแต่เน้นว่าเจ้าหน้าที่เดินออกไปโดยไม่มีอุปกรณ์ ไม่มี logs ไม่มีบันทึกบัญชี และไม่มีวิธีติดตามลูกค้าที่พวกเขามาตามหา ในวงการที่คำโฆษณา "no-logs" ใช้กันจนชินปาก นี่เป็นครั้งแรกในสหภาพยุโรปที่ผู้สนับสนุนคำมั่นสัญญานี้รายหนึ่ง ซึ่งมีเสียงดังพอสมควร ถูกบังคับให้พิสูจน์ตัวเองภายใต้หมายค้นที่ถูกต้องตามกฎหมาย

การทบทวนย้อนหลังมีความสำคัญ เพราะผลลัพธ์ไม่ได้มาจากการโต้เถียง แต่มาจากโครงสร้าง

อะไรเกิดขึ้นจริงๆ ระหว่างวันที่ 18-20 เมษายน

ลำดับเหตุการณ์ ซึ่งรวบรวมจากคำแถลงของ Mullvad เองและรายงานติดตามใน The Register และ Bleeping Computer นั้นสั้นกระชับ เจ้าหน้าที่ NOA มาถึงสำนักงานใหญ่ Gothenburg ในตอนเช้าของวันที่ 18 ตามที่ Mullvad ระบุ หมายค้นอนุญาตให้ยึด "คอมพิวเตอร์ที่มีข้อมูลลูกค้า" ที่เชื่อมโยงกับผู้ต้องสงสัยรายเฉพาะ บทความวิกิพีเดียในภายหลังเกี่ยวกับเหตุการณ์นี้ อ้างอิงจากสื่อสวีเดน เชื่อมโยงการสอบสวนพื้นฐานไปยังคดีขู่กรองที่ส่งผ่านคำขอจากหน่วยงานบังคับใช้กฎหมายเยอรมัน แม้ Mullvad เองจะปฏิเสธที่จะยืนยันเขตอำนาจต้นทางหรือลักษณะของความผิดที่ถูกกล่าวหา

สิ่งที่ตามมา ในคำพูดของ Mullvad เองเมื่อวันที่ 20 เมษายน คือการเจรจามากกว่าการยึด "เราโต้แย้งว่าพวกเขาไม่มีเหตุผลที่สมเหตุสมผลที่จะคาดหวังว่าจะพบสิ่งที่ตามหา ดังนั้นการยึดใดๆ จึงเป็นการผิดกฎหมายตามกฎหมายสวีเดน" บริษัทเขียน อ้างถึงกฎระเบียบขั้นตอนปี 1942 ที่ห้ามไม่ให้เจ้าหน้าที่สวีเดนยึดทรัพย์สิน เมื่อความคาดหวังที่สมเหตุสมผลในการพบหลักฐานถูกหักล้างแล้ว พนักงานที่อยู่ในที่เกิดเหตุจากนั้นอธิบายสถาปัตยกรรมของบริการให้เจ้าหน้าที่ฟัง "หลังจากสาธิตให้เห็นว่านี่คือวิธีการทำงานของบริการเราจริงๆ และพวกเขาปรึกษาอัยการ พวกเขาก็ออกไปโดยไม่เอาอะไรไป และไม่มีข้อมูลลูกค้า" โพสต์ดำเนินต่อ บล็อกเพิ่มบรรทัดที่ควรอ่านสองครั้ง: "หากพวกเขายึดอะไรไป ก็จะไม่ทำให้พวกเขาเข้าถึงข้อมูลลูกค้าได้" ประเด็นทั้งหมดที่ Mullvad ดูเหมือนจะสื่อ คือคำถามเรื่องการยึดนั้นเป็นเรื่องไร้ประโยชน์ตั้งแต่ก่อนเริ่มต้น

ภายในวันที่ 20 เมษายน โพสต์ก็ออนไลน์ที่ mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised และภายใน 48 ชั่วโมง ก็ถูกหยิบยกโดย Bleeping Computer, The Register, TorrentFreak และสื่อด้านความเป็นส่วนตัวส่วนใหญ่

ทำไมถึงไม่มีอะไรให้ยึด

การตัดสินใจด้านสถาปัตยกรรมของ Mullvad ที่สะสมมาทีละน้อยตั้งแต่บริษัทก่อตั้งในปี 2009 โดย Daniel Berntsson และ Fredrik Strömberg คือเหตุผลที่หมายค้นพังทลายเมื่อสัมผัส มีสี่ทางเลือกที่ทำงานในวันนั้นโดยเฉพาะ:

• การสร้างบัญชีต้องการเพียงหมายเลขบัญชีสุ่ม 16 หลัก ไม่มีชื่อผู้ใช้ ไม่มีอีเมล ไม่มีคำถามรักษาความปลอดภัย ไม่มีเบอร์โทรศัพท์ ไม่มีช่องทางกู้คืน ลูกค้าที่สูญเสียหมายเลขก็สูญเสียบัญชี ซึ่งเป็นราคาของการไม่มีอะไรให้อายัด
• การชำระเงินสามารถทำได้ด้วย Monero, ด้วย Bitcoin, ด้วยเงินสดส่งทางไปรษณีย์ในซองธรรมดา หรือผ่านช่องทางปกติ แต่เครื่องมือชำระเงินเหล่านี้ไม่มีการเชื่อมโยงกลับไปยังหมายเลขบัญชีในลักษณะที่สามารถสืบค้นได้เมื่อการเติมเงินเสร็จสิ้น เจ้าหน้าที่สืบสวนที่ตามรอยใบแจ้งยอดบัตร จึงไปไม่ถึงตัวบุคคล
• ตั้งแต่ปี 2019 จุดปลายทาง VPN เป็น RAM-only เซิร์ฟเวอร์บูตจากอิมเมจสะอาด ไม่เก็บสถานะถาวรบนดิสก์ และสูญเสียทุกอย่างเมื่อรีเซ็ตพลังงาน ชาสซีที่ถูกยึดจากศูนย์ข้อมูลจะไม่ให้ข้อมูลเซสชันย้อนหลัง แม้จะถูกอิมเมจในที่เกิดเหตุ
• บริษัทได้ส่งไคลเอนต์และแบ็กเอนด์ให้ตรวจสอบโดยอิสระ เริ่มจากการทดสอบเจาะระบบ Cure53 ในเดือนกันยายน 2018 และต่อด้วยงานของ Assured AB ในปี 2020 และรอบต่อๆ ไป ดังนั้นข้อความอ้างอิงเกี่ยวกับสถาปัตยกรรมจึงถูกตรวจสอบโดยฝ่ายที่ไม่มีผลประโยชน์ทางการค้าในการป้อนข้อมูลเอื้ออำนวย

เหล่านี้ไม่ใช่สโลแกนการตลาดที่แปะติดมากับนโยบายความเป็นส่วนตัว แต่เป็นการตัดสินใจที่จำกัดผลิตภัณฑ์ ลูกค้าที่ลืมหมายเลขบัญชีคือลูกค้าที่สูญหาย การชำระเงินด้วยเงินสดทางไปรษณีย์นั้นยุ่งยากในการกระทบยอด ฝูง RAM-only มีค่าใช้จ่ายสูงกว่าฝูงที่มีดิสก์ สถาปัตยกรรมนี้มีราคาแพง และราคาแพงนี้ทำให้คำมั่นสัญญา no-logs เป็นสิ่งที่รับน้ำหนักได้จริง ไม่ใช่แค่ความปรารถนา

ควรระบุไว้ในกรอบการทบทวนเดียวกันว่า หนึ่งเดือนหลังการบุกค้น Mullvad ประกาศว่าจะยกเลิก port forwarding ทั้งหมด โดยมีผลตั้งแต่วันที่ 1 กรกฎาคม 2023 บริษัทเชื่อมโยงการตัดสินใจกับการใช้งานฟีเจอร์ในทางที่ผิดโดยผู้ใช้จำนวนน้อย และแรงกดดันจากผู้ให้บริการโฮสติ้งต้นทางที่ตามมา แต่ช่วงเวลาทำให้ความเชื่อมโยงกับเหตุการณ์เมษายนเป็นไปไม่ได้ที่จะมองข้าม

ความแตกต่างกับ ProtonVPN, 2021

นักสนับสนุนความเป็นส่วนตัวรวดเร็วในการเปรียบเทียบผลลัพธ์ Gothenburg กับเหตุการณ์ปี 2021 ที่เกี่ยวข้องกับ ProtonMail และบริการ VPN น้องสาว ซึ่งตั้งสำนักงานใหญ่ในสวิตเซอร์แลนด์ ในกรณีนั้น คำสั่งศาลสวิส ออกตามคำขอของเจ้าหน้าที่ฝรั่งเศสที่สอบสวนนักเคลื่อนไหวด้านสภาพภูมิอากาศที่เชื่อมโยงกับขบวนการ Youth for Climate บังคับให้ Proton บันทึก IP address ที่ใช้โดยบัญชีเป้าหมาย Proton ปฏิบัติตาม เพราะกฎหมายสวิสอนุญาตการบังคับเช่นนั้นพอดีเมื่อคำสั่งศาลมาถึง และเพราะสถาปัตยกรรมทิ้งช่องว่างไว้ให้บริษัทปฏิบัติตามเมื่อถูกสั่ง

ความแตกต่างที่เป็นสอนใจไม่ใช่ว่าบริษัทหนึ่งมีคุณธรรมและอีกบริษัทไม่มี Proton โดยมาตรการส่วนใหญ่ เป็นผู้ดำเนินการที่จริงจัง ความแตกต่างคือท่าทีความเป็นส่วนตัวของ Proton พึ่งพาคำมั่นสัญญาทางกฎหมายที่ทำภายใต้เขตอำนาจที่สามารถล้มละลายคำมั่นสัญญาได้ ในขณะที่ท่าทีของ Mullvad พึ่งพาระบบที่ไม่สามารถผลิตข้อมูลได้แม้เมื่อบริษัทต้องการจริงๆ รูปแบบหนึ่งคือ no-logs โดยนโยบาย อีกรูปแบบคือ no-logs โดยการออกแบบ การบุกค้นเมษายน 2023 เป็นการทดสอบความเครียดครั้งแรกของยุโรปที่วาดความแตกต่างนี้ให้สาธารณะเห็น

สิ่งนี้เปลี่ยนอะไรสำหรับหมวดหมู่ "no-logs"

VPN หลายร้อยแห่งโฆษณา zero-logging มีจำนวนน้อยมากที่เคยอยู่ในตำแหน่งต้องพิสูจน์ Private Internet Access เข้ารายการในปี 2016 เมื่อ subpoena ของ FBI ในการสอบสวน hoax Preff Cummings ไม่ได้ผลลัพธ์ที่ใช้ได้ ExpressVPN เข้าร่วมในปี 2017 เมื่อนักสืบตุรกีที่สอบสวนการลอบสังหารเอกอัครราชทูตรัสเซียใน Ankara ยึดเซิร์ฟเวอร์และไม่พบ logs ที่เกี่ยวข้อง ผลลัพธ์เมษายน 2023 ของ Mullvad จัดให้อยู่ในกลุ่มที่สั้นมากนั้น และทำเช่นนั้นภายใต้หมายค้นที่ถูกดำเนินการต่อหน้า แทนที่จะส่งทางเอกสาร

ความแตกต่างนั้นมีความสำคัญ subpoena ที่ส่งถึงที่ปรึกษากฎหมายของบริษัทในสหรัฐฯ เป็นการทดสอบประเภทหนึ่ง เจ้าหน้าที่ตำรวจแห่งชาติหกนายมาถึงสำนักงาน Gothenburg พร้อมอำนาจตามกฎหมายในการเดินออกไปพร้อมฮาร์ดแวร์ เป็นอีกประเภทหนึ่ง ความจริงที่ว่าสถาปัตยกรรมทนได้กรณีที่สอง ต่อหน้าอัยการที่สามารถโทรศัพท์ได้แบบเรียลไทม์ เป็นหลักฐานที่แข็งแกร่งที่สุดที่มีว่าข้อความอ้างอิงนั้นไม่ใช่ละคร

สิ่งนี้เปลี่ยนอะไรสำหรับ Directory

คำตัดสินจากโต๊ะนี้ตรงไปตรงมา จนถึงตอนนี้ เราถือการตรวจสอบอิสระล่าสุดเป็นมาตรฐานสูงสุดสำหรับคำอ้างอิง no-logs ของ VPN หลัง Gothenburg เรากำลังแนะนำระดับที่สูงกว่านั้น: การเอาตัวรอดจากความพยายามยึดโดยเจ้าหน้าที่บังคับใช้กฎหมายจริงที่มีเอกสารบันทึก ในเขตอำนาจที่มีศาลทำงานได้ โดยผลลัพธ์สามารถตรวจสอบได้ทั้งจากการเปิดเผยของผู้ดำเนินการเองและรายงานข่าวในขณะนั้น Mullvad ตอนนี้อยู่ในระดับนั้น ส่วนใหญ่ของตลาดที่เหลือไม่อยู่

นัยสำหรับด้านโฮสติ้งของ Directory เป็นไปในแนวเดียวกัน ผู้ดำเนินการที่สถาปัตยกรรมพึ่งพาความไม่มีของข้อมูลที่เก็บรวบรวม มากกว่าการพึ่งพาคำมั่นสัญญาว่าจะไม่แบ่งปันข้อมูลที่เก็บรวบรวม สมควรได้รับน้ำหนักมากกว่าในการจัดอันดับของเรา รายการที่มีอยู่ของเราสำหรับ [1984 Hosting](/service/1984-hosting) ใน Reykjavik ซึ่งดำเนินการตามหลักการเดียวกันโดยทั่วไป กลายเป็นสนใจมากขึ้นในแสงนี้ ไม่ใช่น้อยลง เราขอแนะนำบริการที่ไม่สามารถทรยศผู้ใช้ได้ มากกว่าบริการที่เพียงสัญญาเป็นลายลักษณ์อักษรว่าจะไม่ทำ

แหล่งที่มา

• Mullvad VPN, Mullvad VPN was subject to a search warrant (April 20, 2023)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

บันทึกการแก้ไข

• 2023-04-22 : ร่างแรกยื่นหลังอ่านโพสต์บล็อก Mullvad สองครั้งและตรวจสอบวันที่หมายค้นตามรายงานของ The Register งดเว้นจากการเผยแพร่จนกว่าบทความ Bleeping Computer จะออก ซึ่งก็ออกในค่ำวันศุกร์
• 2023-04-26 : เพิ่มรายการสถาปัตยกรรมหลังสนทนาทางโทรศัพท์ยาวกับเพื่อนที่ดำเนินการโฮสติ้งเล็กๆ ใน Stockholm และอธิบายให้ฟังว่าฝูง RAM-only มีค่าใช้จ่ายเท่าไรจริงๆ เมื่อเทียบกับฝูงที่มีดิสก์ ตัดย่อหน้าสองย่อหน้าเกี่ยวกับการคาดเดาในคดีขู่กรองพื้นฐาน เพราะสื่อสวีเดนยังไม่ยืนยันเขตอำนาจ
• 2023-05-02 : แทรกการเปรียบเทียบ ProtonVPN 2021 หลังผู้อ่านส่งอีเมลถามว่าทำไมไม่กล่าวถึง อ่านรายงานความโปร่งใสของ Proton จากกันยายน 2021 และสายลวด Reuters อีกครั้งเพื่อให้แน่ใจว่ารายละเอียดนักเคลื่อนไหวด้านสภาพภูมิอากาศถูกต้อง ลบบรรทัดก่อนหน้าที่กล่าวหา Proton เกินจริง
• 2023-05-09 : ประกาศถอน port-forwarding ของ Mullvad เมื่อวันที่ 29 พฤษภาคม ยังไม่ได้มีขึ้นเมื่อบทความนี้ร่างครั้งแรก ดังนั้นฉันเพิ่มประโยคที่มองไปข้างหน้าโน้ตช่วงเวลา จะกลับมาดูอีกครั้งเมื่อการเปลี่ยนผ่านวันที่ 1 กรกฎาคมมีผล
• 2023-05-15 : ผ่านสุดท้ายในส่วนคำตัดสิน เขียนย่อหน้าปิดท้ายใหม่เพื่อให้ระดับ "documented warrant survival" ใหม่ชัดเจนโดยตรงแทนที่จะโดยนัย และเพิ่มลิงก์ข้ามไปยังรายการ 1984 Hosting หลังยืนยันกับบรรณาธิการ Directory ว่ารายการยังใช้งานได้