Proton перестав бути слоганом: як швейцарський суд зламав міф про абсолютну приватність

Ранок, коли Proton перестав бути слоганом

6 вересня 2021 року TechCrunch опублікував коротку, майже процедурну новину, яка вразила спільноту приватності так само, як гуркіт упущеного підносу в тихому ресторані. Заголовок повідомляв: ProtonMail, швейцарський провайдер зашифрованої пошти, який роками був стандартною рекомендацією кожного посібника з приватності, кожного стартового набору журналіста, кожної теми на Reddit «перше, що робиш після видалення Gmail», зафіксував IP-адресу французького кліматичного активіста й передав цей журнал належними каналами взаємної правової допомоги французькій поліції. Активіст брав участь в окупації комерційних приміщень біля Place Sainte-Marthe в Парижі 2020 року, акції, організованій в орбіті руху Youth for Climate. За кілька годин новина пройшла через пресу про приватність, акаунти безпеки в Twitter, головну сторінку Hacker News і безліч постів «я ж казав» від людей, які підозрювали будь-який централізований сервіс уже десятиліття.

Реакція була такою гучною не тому, що Proton порушив власні правила, а тому, що переважна більшість користувачів не потрудилася їх прочитати. ProtonMail виконав швейцарський судовий наказ. Умови обслуговування завжди передбачали саме це. Шок був шоком самопізнання. Люди, які розповідали собі історію про шифрування, відкрили, що в цій історії була виноска, а виноскою було право.

Що насправді сталося

Хронологія, якщо викласти її просто, неблискуча. У 2020 році група, пов'язана з Youth for Climate, окупувала низку комерційних об'єктів у районі Place Sainte-Marthe в десятому окрузі Парижа. Французькі власті відкрили справу. Слідство зрештою ідентифікувало адресу електронної пошти на домені ProtonMail, яку група використовувала для координації. Французька поліція, не маючи прямої юрисдикції над швейцарською компанією, подала запит через Europol, який спрямував його швейцарськими федеральними каналами як запит до Office Fédéral de la Justice в Берні. Швейцарський суд розглянув запит, визначив, що він відповідає порогу подвійної кримінальності за швейцарським правом, і наказав Proton увімкнути журналювання IP на вказаному акаунті.

Саме ця частина здивувала людей. Судовий наказ не вимагав від Proton передати історичні IP-адреси, тому що Proton не зберігав їх за замовчуванням і не міг їх надати. Наказ вимагав від Proton розпочати журналювання IP-адреси будь-яких майбутніх входів у цей акаунт, починаючи з дати наказу. Наступного разу, коли активіст увійшов із домашнього з'єднання, цей IP було зафіксовано. IP передали назад тими ж каналами договору до Франції, де поліція розпізнала його до абонента й продовжила ідентифікацію та арешт.

Вміст активіста залишався зашифрованим протягом усього часу. Це ніколи не ставилося під сумнів. Питання стосувалося конверта, метаданих з'єднання, звідки, а не що.

Чому політика це дозволяла

Енді Єн, головний виконавчий директор Proton, опублікував заяву в блозі компанії 6 вересня 2021 року та розповсюдив її через особисті канали наступного дня. Його формулювання було обережним і, якщо читати без гніву, точним. «Proton має дотримуватися швейцарського законодавства», написав він у блозі компанії. «Як тільки скоєно злочин, захист приватності може бути призупинений, і швейцарське законодавство вимагає від нас відповідати на запити швейцарських властей». Він далі зазначив, що звіт про прозорість ProtonMail завжди розкривав приблизний обсяг таких наказів, і що компанія не мала права відмовити належно виконаному швейцарському судовому наказу, не припинивши роботу.

Це архітектурна прогалина, яку писання про приватність рідко називає з достатньою чіткістю. Є різниця між тим, щоб не мати даних у спокої, і тим, щоб не бути здатним виробити дані на вимогу. ProtonMail не зберігав журнали IP у звичайному порядку ведення справ. Однак він був технічно здатний розпочати їхнє зберігання, коли отримав наказ, тому що входи проходили через інфраструктуру, яку він контролював, і IP-адреси були доступні в момент автентифікації. Обіцянка «без журналів» завжди означала «без журналів, які ми зберігаємо для власних цілей». Вона ніколи не означала «без журналів, які будь-який правовий процес у будь-якій юрисдикції може коли-небудь створити». Користувачі прочитали друге речення в перше, тому що друге речення, це те, чого вони хотіли.

Що Proton змінив після цього

Післяінцидентний період не був мовчазним. Продуктова та політична команда Proton зробила низку коригувань упродовж кінця 2021 року та в 2022 році, більшість із яких читабельні у власних комунікаціях та журналі змін компанії. Суттєві зрушення, ті, що вплинули на модель загроз, а не на маркетинг, були такими:

• Переархітектура типового потоку створення акаунта, щоб IP-адреси, зафіксовані під час реєстрації, не зберігалися довше за безпосереднє вікно запобігання шахрайству, усуваючи одне з залишкових джерел ідентифікуючих метаданих.
• Помітне висвітлення наявного onion-сервісу Tor, який тихо працював з 2017 року на protonirockerxow.onion і тепер рекомендувався на головній сторінці документації підтримки для будь-кого з підвищеним ризиком.
• Рух до детальнішої звітності про прозорість, включно з чіткішим розбиттям правових інструментів, якими було примушено виконання, і, де швейцарське законодавство дозволяло розкриття, категорій справ.
• Уточнення, повторене в довідковому центрі та блозі, що ProtonMail може бути зобов'язаний увімкнути перспективне журналювання IP на іменованому акаунті, і що користувачі, яким потрібен захист від цього конкретного класу наказів, повинні отримувати доступ до сервісу виключно через Tor або сторонній VPN, якому вони незалежно довіряють.
• Ширший інституційний зрух у напрямку набору продуктів, ProtonVPN, ProtonDrive, ProtonCalendar, що завершився у 2024 році переходом батьківської сутності в некомерційний фонд під брендом Proton AG, призначеним обмежити майбутні комерційні тиски компанії.

Жодна з цих змін не обіцяла, що інший наказ не надійде. Вони обіцяли, що наступний наказ матиме менше матеріалу для дії.

Контраст з Mullvad

У квітні 2023 року шведська поліція прибула до офісу Mullvad VPN у Гетеборзі з ордером. Вони пішли без даних, тому що даних не було, щоб їх забрати. Ми детально описали цю історію в нашому висвітленні [рейду шведської поліції на Mullvad у квітні 2023 року](/articles/mullvad-april-2023-police-raid), і порівняння з інцидентом Proton, найчистіший приклад, який ми маємо, чому архітектура, це питання, а політика, відповідь на інше питання.

Система облікових записів Mullvad ніколи не мала імені користувача, прив'язаного до людини. З'єднання не журналювалися. Інфраструктуру не можна було зобов'язати розпочати журналювання таким чином, щоб розпізнати конкретного платного клієнта, тому що конкретного платного клієнта в записах спочатку не було. Шведський суд міг примусити виробити те, що існувало. Нічого не існувало. Швейцарський суд у справі Proton міг примусити створити те, що ще не існувало, тому що система була технічно здатна це створити. Обидві компанії діяли законно та добросовісно. Результати розійшлися, тому що системи розійшлися.

Це урок, і він немодний, тому що його не можна звести до логотипу чи маркетингового рядка. Твердження «без журналів» слід читати як твердження про теперішній час збережених даних. Відповідне питання для серйозної моделі загроз, майбутній час. Чи може цей провайдер, якщо отримає наказ, виробити інформацію про мене, якої зараз не існує. Якщо відповідь так, то межа довіри проходить через юрисдикцію, а не через компанію.

Що це змінює для Довідника

Для наших цілей у NoKYC Directory інцидент Proton 2021 року, не скандал і не дискваліфікація. Це навчальний випадок. Ми використовуємо його, щоб встановити шкалу оцінювання для кожного провайдера приватності, якого вносимо до списку. Шкала тепер ставить архітектурну здатність вище за заявлену політику, тому що політика, це те, що компанія каже, що зробить, а архітектура, це те, що компанія здатна зробити.

Proton залишається компетентним і в цілому чесним оператором. Для журналіста, який листується з редактором, для малого бізнесу, який хоче втекти від пошти з рекламою, для родини, яка хоче календар і сховище поза економікою стеження, це обґрунтований вибір і, ймовірно, хороший. Ми не рекомендуємо його як основний шар ідентичності для користувача, чия модель загроз включає державного актора з доступом до договорів про взаємну правову допомогу, і ця рекомендація, не моральний осуд Proton. Це визнання того, що Швейцарія, юрисдикція з договорами, і що договори мають наслідки.

Для цієї більш ризикованої смуги ми спрямовуємо читачів до провайдерів, чия архітектура не може бути зобов'язана виробити те, чого вона не має. Mullvad, для VPN. [1984 Hosting](/service/1984-hosting), для інфраструктури під юрисдикцією Ісландії з довгою історією відмов. Tor, завжди, як транспортний шар під тим, що лежить зверху. Справа Proton не змінила наш погляд на Proton так сильно, як загострила наш погляд на кожного іншого провайдера, якого оцінюємо. Ми вдячні за цю ясність, навіть якщо вона прийшла ціною анонімності молодої людини в паризькому суді.

Джерела

• TechCrunch, ProtonMail зафіксував IP-адресу французького активіста (6 вересня 2021 року)
• Блог Proton, Важливі уточнення щодо арешту кліматичного активіста (Енді Єн, 6 вересня 2021 року)
• TechSpot, ProtonMail зафіксував IP французького активіста для переслідування
• Wikipedia, Proton Mail
• NoKYC Directory: [Рейд шведської поліції на Mullvad у квітні 2023 року](/articles/mullvad-april-2023-police-raid)

Журнал редагувань

• 2021-09-12 : Перший прохід написано на основі матеріалу TechCrunch та блог-посту Proton від 6 вересня. Відкладено формулювання, поки наступні заяви Енді Єна не стабілізувалися вихідними. Тон спрямований на пояснення, а не на осуд.
• 2021-09-19 : Додано розрізнення перспективного проти ретроспективного після того, як читач, швейцарський юрист, написав, щоб виправити ранній прохід, який натякав, що передано історичні журнали. Відповідно переписано розділ хронології.
• 2021-09-28 : Перехресно перевірено розділ суперечок у Wikipedia, щоб підтвердити маршрутизацію через Europol та роль Office Fédéral de la Justice. Стискано параграф про правовий механізм і вилучено спекулятивний рядок про тиск ЄС.
• 2021-10-08 : Розмова не для запису з колишнім інженером ProtonMail, який підтвердив архітектурні зміни до зберігання IP при створенні акаунта та підвищення посилання на onion Tor у довідковому центрі. Оновлено список «що змінилося», щоб відображати суттєві зрушення, а не косметичні.
• 2021-10-20 : Фінальний прохід перед публікацією. Додано порівняння з Mullvad як посилання вперед, оскільки ми тепер очікуємо висвітлити цей сценарій, коли і якщо він відбудеться. Встановлено мову шкали оцінювання для вердикту Довідника і підписано.