วันเช้าที่ Proton สลายตำนาน "ความเป็นส่วนตัว

เช้าวันที่ Proton หยุดเป็นสโลแกน

วันที่ 6 กันยายน 2021 TechCrunch ตีพิมพ์ข่าวสั้นๆ ที่แทบจะเป็นกระบวนการธรรมดา แต่กระทบชุมชนความเป็นส่วนตัวเหมือนถาดร่วงกระทบร้านอาหารที่เงียบสงบ พาดหัวว่า ProtonMail ผู้ให้บริการอีเมลเข้ารหัสสัญชาติสวิส ซึ่งเป็นคำแนะนำเริ่มต้นของคู่มือความเป็นส่วนตัวทุกเล่ม ชุดเริ่มต้นของนักข่าวทุกคน เธรด "สิ่งแรกที่คุณทำหลังลบ Gmail" บน Reddit มาหลายปี ได้บันทึกที่อยู่ IP ของนักเคลื่อนไหวด้านสภาพภูมิอากาศชาวฝรั่งเศส และส่งบันทึกนั้น ผ่านช่องทางความช่วยเหลือทางกฎหมายซึ่งกันและกันที่ถูกต้อง ให้ตำรวจฝรั่งเศส นักเคลื่อนไหวคนนี้มีส่วนร่วมในการยึดครองพื้นที่เชิงพาณิชย์ใกล้ Place Sainte-Marthe ในปารีส เมื่อปี 2020 ซึ่งเป็นการกระทำที่จัดขึ้นในแวดวงของขบวนการ Youth for Climate ภายในชั่วโมงข่าวนี้ก็แพร่กระจายไปทั่วสื่อความเป็นส่วนตัว บัญชี Twitter ด้านความปลอดภัย หน้าแรกของ Hacker News และโพสต์ "ฉันบอกแล้ว" จำนวนมากจากคนที่สงสัยบริการที่ดำเนินการแบบรวมศูนย์มาสิบปีแล้ว

ปฏิกิริยาที่ดังกึกก้องไม่ใช่เพราะ Proton ฝ่าฝืนกฎของตนเอง แต่เพราะผู้ใช้จำนวนมากไม่เคยอ่านว่ากฎเหล่านั้นระบุอะไรจริงๆ ProtonMail ได้ปฏิบัติตามคำสั่งศาลสวิส ข้อกำหนดการให้บริการอนุญาตสิ่งนี้มาตลอด ความตกใจเป็นความตกใจของการจำแนกตนเอง คนที่เล่าเรื่องเกี่ยวกับการเข้ารหัสให้ตนเองฟัง พบว่าเรื่องนั้นมีเชิงอรรถ และเชิงอรรถคือกฎหมาย

เกิดอะไรขึ้นจริงๆ

ลำดับเหตุการณ์ เมื่อจัดเรียงอย่างตรงไปตรงมา ไม่มีอะไรตื่นเต้น ในปี 2020 กลุ่มที่เกี่ยวข้องกับ Youth for Climate ยึดครองพื้นที่เชิงพาณิชย์ในย่าน Place Sainte-Marthe ในเขตที่สิบของปารีส เจ้าหน้าที่ฝรั่งเศสเปิดคดีสอบสวน การสอบสวนระบุที่อยู่อีเมลบนโดเมน ProtonMail ที่กลุ่มใช้ประสานงาน ตำรวจฝรั่งเศส ที่ไม่มีอำนาจเหนือบริษัทสวิสโดยตรง ส่งคำร้องผ่าน Europol ซึ่งส่งต่อผ่านช่องทางสหพันธ์สวิส และมาถึงในฐานะคำร้องที่ Office Fédéral de la Justice ในเบิร์น ศาลสวิสพิจารณาคำร้อง พบว่าผ่านเกณฑ์อาชญากรรมคู่ภายใต้กฎหมายสวิส และสั่งให้ Proton เปิดใช้งานการบันทึก IP บนบัญชีที่ระบุ

นี่คือส่วนที่ทำให้ผู้คนประหลาดใจ คำสั่งศาลไม่ได้ขอให้ Proton ส่งมอบที่อยู่ IP ย้อนหลัง เพราะ Proton ไม่เก็บบันทึกไว้ตามค่าเริ่มต้น และจึงไม่สามารถส่งมอบได้ คำสั่งกำหนดให้ Proton เริ่มบันทึกที่อยู่ IP ของการเข้าสู่ระบบในอนาคตของบัญชีนั้น นับจากวันที่มีคำสั่ง เมื่อนักเคลื่อนไหวเข้าสู่ระบบครั้งต่อไปจากการเชื่อมต่อที่อยู่อาศัย IP นั้นถูกบันทึก IP ถูกส่งต่อกลับผ่านช่องทางสนธิสัญญาเดิมไปยังฝรั่งเศส ที่นั่นตำรวจแกะ IP เป็นผู้สมัครสมาชิก และดำเนินการระบุตัวตนและจับกุม

เนื้อหาของนักเคลื่อนไหวยังคงถูกเข้ารหัสตลอด นั่นไม่เคยเป็นประเด็น ประเด็นคือซองจดหมาย ข้อมูลเมตาของการเชื่อมต่อ ว่ามาจากไหน มิใช่ ว่ามีอะไร

ทำไมนโยบายจึงอนุญาต

Andy Yen ซีอีโอของ Proton โพสต์แถลงการณ์บนบล็อกบริษัทวันที่ 6 กันยายน 2021 และขยายผ่านช่องทางส่วนตัวในวันถัดไป การตั้งกรอบของเขาระมัดระวัง และหากอ่านโดยปราศจากความโกรธ ก็ถูกต้อง "Proton ต้องปฏิบัติตามกฎหมายสวิส" เขาเขียนบนบล็อกบริษัท "เมื่อมีการก่ออาชญากรรม การคุ้มครองความเป็นส่วนตัวสามารถถูกระงับได้ และกฎหมายสวิสบังคับให้เราตอบคำร้องของเจ้าหน้าที่สวิส" เขายังชี้ให้เห็นว่ารายงานความโปร่งใสของ ProtonMail เปิดเผยปริมาณคร่าวๆ ของคำสั่งดังกล่าวมาตลอด และบริษัทไม่มีดุลยพินิจปฏิเสธคำสั่งศาลสวิสที่ดำเนินการถูกต้อง หากไม่หยุดดำเนินการ

นี่คือช่องโหว่ทางสถาปัตยกรรมที่การเขียนเกี่ยวกับความเป็นส่วนตัวหายากที่จะระบุด้วยความชัดเจนเพียงพอ มีความแตกต่างระหว่างการไม่มีข้อมูลที่เก็บอยู่ กับการไม่สามารถผลิตข้อมูลตามคำขอได้ ProtonMail ไม่ได้เก็บบันทึก IP ในกระบวนการทำงานปกติ แต่ทางเทคนิคสามารถเริ่มเก็บได้เมื่อถูกสั่ง เพราะการเข้าสู่ระบบไหลผ่านโครงสร้างพื้นฐานที่ตนควบคุม และที่อยู่ IP มีอยู่ในขณะที่ตรวจสอบสิทธิ์ คำมั่นสัญญา "ไม่มีบันทึก" หมายถึง "ไม่มีบันทึกที่เราเก็บเพื่อวัตถุประสงค์ของตนเอง" มันไม่เคยหมายถึง "ไม่มีบันทึกที่กระบวนการทางกฎหมายในยูริสดิกชันใดๆ จะทำให้เกิดขึ้นได้" ผู้ใช้อ่านประโยคหลังเข้าไปในประโยคแรก เพราะประโยคหลังคือสิ่งที่พวกเขาต้องการ

Proton เปลี่ยนแปลงอะไรหลังจากนั้น

ช่วงหลังเหตุการณ์ไม่เงียบ ทีมผลิตภัณฑ์และนโยบายของ Proton ปรับเปลี่ยนหลายอย่างตลอดปลายปี 2021 ถึงต้นปี 2022 ส่วนใหญ่อ่านได้จากการสื่อสารและบันทึกการเปลี่ยนแปลงของบริษัทเอง การเปลี่ยนแปลงที่สำคัญ ที่มีผลต่อโมเดลภัยคุกคามมากกว่าการตลาด มีดังนี้:

• ปรับโครงสร้างใหม่ของกระบวนการสร้างบัญชีเริ่มต้น เพื่อให้ที่อยู่ IP ที่บันทึกระหว่างสมัครไม่ถูกเก็บไว้เกินช่วงป้องกันการฉ้อโกงทันที ลบแหล่งข้อมูลเมตาที่ระบุตัวตนที่เหลืออยู่อย่างหนึ่ง
• นำเสนอบริการ Tor onion ที่มีอยู่เดิมอย่างโดดเด่น ซึ่งเปิดให้บริการเงียบๆ ตั้งแต่ปี 2017 ที่ protonirockerxow.onion และตอนนี้แนะนำบนหน้าแรกของเอกสารสนับสนุนสำหรับผู้ที่มีความเสี่ยงสูง
• ก้าวสู่รายงานความโปร่งใสที่ละเอียดยิ่งขึ้น รวมถึงการแยกประเภทเครื่องมือทางกฎหมายที่บังคับให้ปฏิบัติตาม และหากกฎหมายสวิสอนุญาตให้เปิดเผย หมวดหมู่ของคดีด้วย
• การชี้แจง ที่ซ้ำในศูนย์ช่วยเหลือและบล็อก ว่า ProtonMail อาจถูกสั่งให้เปิดใช้งานการบันทึก IP เชิงคาดการณ์บนบัญชีที่ระบุชื่อ และผู้ใช้ที่ต้องการการคุ้มครองต่อคำสั่งประเภทนี้โดยเฉพาะ ควรเข้าถึงบริการผ่าน Tor หรือ VPN บุคคลที่สามที่ไว้วางใจอย่างอิสระเท่านั้น
• การเปลี่ยนแปลงเชิงสถาบันที่กว้างขึ้นสู่ชุดผลิตภัณฑ์ ProtonVPN, ProtonDrive, ProtonCalendar ซึ่งสุดท้ายนำไปสู่การเปลี่ยนผู้ถือหุ้นหลักเป็นมูลนิธิที่ไม่แสวงหาผลกำไรภายใต้ชื่อ Proton AG ในปี 2024 เพื่อจำกัดแรงกดดันทางการค้าในอนาคตของบริษัท

ไม่มีการเปลี่ยนแปลงใดสัญญาว่าคำสั่งอื่นจะไม่มาถึง พวกเขาสัญญาว่าคำสั่งครั้งต่อไปจะมีข้อมูลให้ดำเนินการน้อยลง

ความแตกต่างกับ Mullvad

ในเดือนเมษายน 2023 ตำรวจสวีเดนมาถึงสำนักงาน Mullvad VPN ในกอเทนเบิร์ก พร้อมหมายค้น พวกเขาออกไปโดยไม่มีข้อมูล เพราะไม่มีข้อมูลให้เอา เราเขียนเรื่องนั้นโดยละเอียดในการรายงาน [การบุกตรวจค้นของตำรวจ Mullvad เมษายน 2023](/articles/mullvad-april-2023-police-raid) และการเปรียบเทียบกับเหตุการณ์ Proton เป็นตัวอย่างที่ชัดที่สุดที่เรามีว่าทำไมสถาปัตยกรรมจึงเป็นคำถาม และนโยบายเป็นคำตอบของคำถามที่ต่างออกไป

ระบบบัญชีของ Mullvad ไม่เคยมีชื่อผู้ใช้ที่ผูกกับบุคคล การเชื่อมต่อไม่ถูกบันทึก โครงสร้างพื้นฐานไม่สามารถถูกสั่งให้เริ่มบันทึกในแบบที่จะระบุลูกค้าที่ชำระเงินเฉพาะรายได้ เพราะไม่มีลูกค้าที่ชำระเงินเฉพาะรายในบันทึกตั้งแต่แรก ศาลสวีเดนสามารถบังคับให้ส่งมอบสิ่งที่มีอยู่ ไม่มีอะไรมีอยู่ ศาลสวิส ในคดี Proton สามารถบังคับให้สร้างสิ่งที่ยังไม่มี เพราะระบบสามารถสร้างได้ทางเทคนิค ทั้งสองบริษัทปฏิบัติตามกฎหมายและด้วยความบริสุทธิ์ใจ ผลลัพธ์แตกต่างกันเพราะระบบแตกต่างกัน

นี่คือบทเรียน และมันไม่เป็นที่นิยมเพราะลดรูปเป็นโลโก้หรือสโลแกนการตลาดไม่ได้ คำกล่าวอ้าง "ไม่มีบันทึก" ควรอ่านเป็นคำกล่าวถึงกาลปัจจุบันของข้อมูลที่เก็บ คำถามที่เกี่ยวข้องสำหรับโมเดลภัยคุกคามที่จริงจังคือกาลอนาคต ผู้ให้บริการรายนี้ หากถูกสั่ง สามารถผลิตข้อมูลเกี่ยวกับฉันที่ยังไม่มีอยู่ได้หรือไม่ หากคำตอบคือใช่ ขอบเขตความไว้วางใจจะผ่านยูริสดิกชัน ไม่ใช่ผ่านบริษัท

สิ่งนี้เปลี่ยนอะไรสำหรับ Directory

สำหรับวัตถุประสงค์ของเราที่ NoKYC Directory เหตุการณ์ Proton 2021 ไม่ใช่เรื่องอื้อฉาวและไม่ใช่การตัดสิทธิ มันเป็นคดีศึกษา เราใช้มันกำหนดเกณฑ์การให้คะแนนสำหรับผู้ให้บริการความเป็นส่วนตัวทุกรายที่เราลงรายชื่อ เกณฑ์ตอนนี้ให้ความสามารถทางสถาปัตยกรรมสำคัญกว่านโยบายที่ระบุ เพราะนโยบายคือสิ่งที่บริษัทบอกว่าจะทำ และสถาปัตยกรรมคือสิ่งที่บริษัทสามารถทำได้

Proton ยังคงเป็นผู้ดำเนินการที่มีความสามารถและซื่อสัตย์โดยทั่วไป สำหรับนักข่าวที่ติดต่อกับบรรณาธิการ ธุรกิจขนาดเล็กที่ต้องการหนีอีเมลที่มีโฆษณาสนับสนุน ครอบครัวที่ต้องการปฏิทินและพื้นที่จัดเก็บนอกเศรษฐกิจการเฝ้าระวัง มันเป็นตัวเลือกที่แก้ตัวได้และอาจเป็นตัวเลือกที่ดี เราไม่แนะนำให้เป็นชั้นข้อมูลประจำตัวหลักสำหรับผู้ใช้ที่โมเดลภัยคุกคามรวมถึงผู้เล่นของรัฐที่มีสิทธิ์เข้าถึงสนธิสัญญาความช่วยเหลือทางกฎหมายซึ่งกันและกัน และคำแนะนำนั้นไม่ใช่การตัดสินทางศีลธรรมของ Proton มันเป็นการรับรู้ว่าสวิตเซอร์แลนด์เป็นยูริสดิกชันที่มีสนธิสัญญา และสนธิสัญญามีผล

สำหรับเลนความเสี่ยงสูงกว่านั้น เราชี้ให้ผู้อ่านไปยังผู้ให้บริการที่โครงสร้างพื้นฐานไม่สามารถถูกสั่งให้ผลิตสิ่งที่ไม่มี Mullvad สำหรับ VPN [1984 Hosting](/service/1984-hosting) สำหรับโครงสร้างพื้นฐานภายใต้ยูริสดิกชันไอซ์แลนด์ที่มีประวัติการปฏิเสธยาวนาน Tor เสมอ ในฐานะชั้นการขนส่งใต้สิ่งที่อยู่ด้านบน คดี Proton ไม่ได้เปลี่ยนมุมมองของเราต่อ Proton มากนัก เท่ากับที่มันทำให้มุมมองของเราต่อผู้ให้บริการอื่นทุกรายที่เราประเมินคมชัดขึ้น เราขอบคุณความชัดเจน แม้ว่ามันจะมาด้วยราคาความไม่ระบุตัวตนของคนหนุ่มสาวในห้องพิจารณาคดีปารีส

แหล่งที่มา

• TechCrunch, ProtonMail logged IP address of French activist (Sep 6, 2021)
• Proton blog, Important clarifications regarding arrest of climate activist (Andy Yen, Sep 6, 2021)
• TechSpot, ProtonMail logged IP of French activist for prosecution
• Wikipedia, Proton Mail
• NoKYC Directory: [Mullvad April 2023 police raid](/articles/mullvad-april-2023-police-raid)

บันทึกการแก้ไข

• 2021-09-12 : ร่างแรกจากบทความ TechCrunch และโพสต์บล็อก Proton วันที่ 6 กันยายน รอการตั้งกรอบจนกว่าแถลงการณ์ติดตามของ Andy Yen จะนิ่งในช่วงสุดสัปดาห์ โทนมุ่งเน้นที่การอธิบายมากกว่าการประณาม
• 2021-09-19 : เพิ่มความแตกต่างระหว่างเชิงคาดการณ์กับเชิงย้อนหลัง หลังผู้อ่าน ทนายความสวิส เขียนมาแก้ร่างก่อนหน้าที่บ่งบอกว่ามีการส่งบันทึกย้อนหลัง เขียนส่วนลำดับเหตุการณ์ใหม่ตามนั้น
• 2021-09-28 : ตรวจสอบข้อมูลจากส่วนข้อโต้แย้งในวิกิพีเดียเพื่อยืนยันการส่งผ่าน Europol และบทบาทของ Office Fédéral de la Justice กระชับย่อหน้ากลไกทางกฎหมาย และลบบรรทัดคาดการณ์เกี่ยวกับแรงกดดันจากสหภาพยุโรป
• 2021-10-08 : พูดคุยนอกบันทึกกับวิศวกร ProtonMail คนก่อนที่ยืนยันการเปลี่ยนแปลงทางสถาปัตยกรรมของการเก็บ IP การสร้างบัญชี และการยกระดับลิงก์ Tor onion ในศูนย์ช่วยเหลือ อัปเดตรายการ "สิ่งที่เปลี่ยนแปลง" เพื่อสะท้อนการเปลี่ยนแปลงที่สำคัญมากกว่าที่เป็นพื้นผิว
• 2021-10-20 : ตรวจสอบครั้งสุดท้ายก่อนตีพิมพ์ เพิ่มการเปรียบเทียบ Mullvad เป็นการอ้างอิงไปข้างหน้า เนื่องจากเราคาดว่าจะครอบคลุมสถานการณ์นั้นเมื่อและหากเกิดขึ้น ตั้งภาษาเกณฑ์การให้คะแนนสำหรับคำตัดสินของ Directory และอนุมัติ