Proton không còn là khẩu hiệu: Khi bức tường bảo mật sụp đổ trước tòa án Thụy Sĩ

Buổi sáng Proton ngừng là một khẩu hiệu

Ngày 6 tháng 9 năm 2021, TechCrunch đăng một tin ngắn, mang tính thủ tục, nhưng tác động đến cộng đồng quyền riêng tư tựa hồ tiếng khay rơi trong nhà hàng im lặng. Tiêu đề cho biết ProtonMail, dịch vụ email mã hóa của Thụy Sĩ từng là lựa chọn mặc định trong mọi hướng dẫn về quyền riêng tư, mọi bộ công cụ dành cho nhà báo, mọi chủ đề "việc đầu tiên sau khi xóa Gmail" trên Reddit, đã ghi lại địa chỉ IP của một nhà hoạt động khí hậu người Pháp và chuyển giao bản ghi đó cho cảnh sát Pháp qua các kênh hỗ trợ pháp lý lẫn nhau đúng quy trình. Nhà hoạt động này từng tham gia chiếm đóng một số cơ sở thương mại gần Place Sainte-Marthe ở Paris năm 2020, hành động thuộc phong trào Youth for Climate. Chỉ vài giờ sau, tin tức lan khắp giới báo chí về quyền riêng tư, các tài khoản Twitter về bảo mật, trang chủ Hacker News, và vô số bài đăng "tôi đã bảo rồi" từ những người vốn nghi ngờ mọi dịch vụ tập trung suốt cả thập kỷ.

Phản ứng dữ dội như vậy không phải vì Proton vi phạm quy tắc của chính mình, mà vì đa số người dùng chẳng buồn đọc xem những quy tắc ấy thực sự nói gì. ProtonMail đã tuân thủ lệnh tòa án Thụy Sĩ. Điều khoản dịch vụ luôn cho phép điều này. Cú sốc thực chất là cú sốc của sự tự nhận thức. Những người vẫn tự kể cho mình câu chuyện về mã hóa bỗng phát hiện câu chuyện ấy có một chú thích, và chú thích đó chính là luật pháp.

Chuyện gì thực sự đã xảy ra

Dòng thời gian, khi trình bày rõ ràng, chẳng có gì hào nhoáng. Năm 2020, một nhóm liên quan đến Youth for Climate chiếm đóng một số cơ sở thương mại ở khu vực Place Sainte-Marthe, quận 10 Paris. Chính quyền Pháp mở cuộc điều tra. Cuộc điều tra sau đó xác định một địa chỉ email trên miền ProtonMail mà nhóm này dùng để phối hợp. Cảnh sát Pháp, không có thẩm quyền trực tiếp đối với công ty Thụy Sĩ, gửi yêu cầu qua Europol, chuyển qua các kênh liên bang Thụy Sĩ và đến Văn phòng Tư pháp Liên bang (Office Fédéral de la Justice) ở Bern. Tòa án Thụy Sĩ xem xét yêu cầu, xác định đáp ứng ngưỡng tội phạm kép theo luật Thụy Sĩ, và ra lệnh cho Proton bật ghi nhật ký IP trên tài khoản được chỉ định.

Đây là phần khiến nhiều người ngạc nhiên. Lệnh tòa không yêu cầu Proton giao nộp địa chỉ IP lịch sử, vì Proton không lưu trữ chúng theo mặc định và do đó không thể cung cấp. Lệnh yêu cầu Proton bắt đầu ghi lại địa chỉ IP của mọi lần đăng nhập tiếp theo vào tài khoản đó, tính từ ngày ban hành lệnh. Lần tiếp theo nhà hoạt động đăng nhập từ kết nối cư trú, địa chỉ IP đã bị thu thập. IP được chuyển ngược lại qua các kênh điều ước tương tự đến Pháp, nơi cảnh sát xác định được thuê bao rồi tiến hành nhận diện và bắt giữ.

Nội dung của nhà hoạt động vẫn được mã hóa trong suốt quá trình. Điều đó không bao giờ là vấn đề. Vấn đề nằm ở phong bì, ở siêu dữ liệu kết nối, ở cái đến từ đâu thay vì cái gì.

Tại sao chính sách cho phép điều này

Andy Yen, giám đốc điều hành của Proton, đăng tuyên bố trên blog công ty ngày 6 tháng 9 năm 2021, rồi phát tán trên các kênh cá nhân ngày hôm sau. Cách đặt vấn đề của ông thận trọng và, nếu đọc mà không giận dữ, chính xác. "Proton phải tuân thủ luật pháp Thụy Sĩ," ông viết trên blog công ty. "Khi một tội phạm được xác định, các biện pháp bảo vệ quyền riêng tư có thể bị đình chỉ và chúng tôi buộc phải đáp ứng các yêu cầu từ chính quyền Thụy Sĩ." Ông tiếp tục chỉ ra rằng báo cáo minh bạch của ProtonMail luôn công bố khối lượng ước tính các lệnh như vậy, và công ty không có quyền từ chối lệnh tòa án Thụy Sĩ được thi hành đúng quy trình nếu không muốn ngừng hoạt động.

Đây là khoảng trống kiến trúc mà các bài viết về quyền riêng tư hiếm khi chỉ rõ đủ mức. Có sự khác biệt giữa không có dữ liệu tĩnh và không có khả năng tạo dữ liệu theo yêu cầu. ProtonMail không lưu nhật ký IP trong hoạt động kinh doanh thông thường. Tuy nhiên, về mặt kỹ thuật, công ty có thể bắt đầu lưu khi được lệnh làm vậy, vì các lần đăng nhập đi qua hạ tầng do công ty kiểm soát và địa chỉ IP có sẵn tại thời điểm xác thực. Lời hứa "không lưu nhật ký" luôn có nghĩa là "không có nhật ký mà chúng tôi giữ cho mục đích riêng." Nó chưa bao giờ có nghĩa là "không có nhật ký nào mà quy trình pháp lý ở bất kỳ quyền hạn nào có thể khiến tồn tại." Người dùng đã đọc câu thứ hai thành câu đầu tiên, vì câu thứ hai là điều họ muốn.

Proton đã thay đổi gì sau đó

Giai đoạn sau sự cố không im lặng. Đội ngũ sản phẩm và chính sách của Proton thực hiện một loạt điều chỉnh từ cuối năm 2021 đến đầu năm 2022, hầu hết có thể đọc được trong các thông cáo và nhật ký thay đổi của công ty. Các thay đổi có thực chất, tức là ảnh hưởng đến mô hình đe dọa thay vì chỉ marketing, như sau:

• Tái cấu trúc luồng tạo tài khoản mặc định để địa chỉ IP thu thập trong quá trình đăng ký không được giữ lại sau khung phòng chống gian lận tức thời, loại bỏ một trong những nguồn siêu dữ liệu nhận diện còn sót lại.
• Đưa dịch vụ Tor onion hiện có lên nổi bật, vốn đã âm thầm hoạt động từ năm 2017 tại protonirockerxow.onion và giờ được khuyến nghị trên trang chủ tài liệu hỗ trợ cho bất kỳ ai có rủi ro cao.
• Chuyển sang báo cáo minh bạch chi tiết hơn, bao gồm phân tích rõ ràng hơn về các công cụ pháp lý buộc phải tuân thủ và, nơi luật Thụy Sĩ cho phép công bố, các loại vụ án.
• Làm rõ, lặp lại trên trung tâm trợ giúp và blog, rằng ProtonMail có thể bị lệnh bật ghi nhật ký IP tương lai trên tài khoản được chỉ định, và người dùng cần bảo vệ chống lại loại lệnh cụ thể này nên truy cập dịch vụ hoàn toàn qua Tor hoặc VPN bên thứ ba mà họ tin tưởng độc lập.
• Chuyển dịch tổ chức rộng hơn về bộ sản phẩm, ProtonVPN, ProtonDrive, ProtonCalendar, đỉnh điểm là việc chuyển đổi thực thể mẹ thành quỹ phi lợi nhuận dưới thương hiệu Proton AG vào năm 2024, nhằm hạn chế các áp lực thương mại trong tương lai của công ty.

Không thay đổi nào trong số này hứa hẹn rằng sẽ không có lệnh nào khác đến. Chúng hứa hẹn rằng lệnh tiếp theo sẽ có ít dữ liệu hơn để tác động.

Sự tương phản với Mullvad

Tháng 4 năm 2023, cảnh sát Thụy Điển đến văn phòng Mullvad VPN ở Gothenburg với lệnh khám xét. Họ ra về không có dữ liệu, vì không có dữ liệu nào để lấy. Chúng tôi đã viết chi tiết câu chuyện đó trong bài đưa tin về [vụ cảnh sát đột kích Mullvad tháng 4 năm 2023](/articles/mullvad-april-2023-police-raid), và so sánh với vụ Proton là ví dụ rõ ràng nhất về tại sao kiến trúc là câu hỏi và chính sách là câu trả lời cho một câu hỏi khác.

Hệ thống tài khoản của Mullvad chưa bao giờ có tên người dùng gắn với cá nhân. Các kết nối không được ghi lại. Hạ tầng không thể bị lệnh bắt đầu ghi nhật ký theo cách xác định một khách hàng trả phí cụ thể, vì ngay từ đầu không có khách hàng trả phí cụ thể nào trong hồ sơ. Tòa án Thụy Điển có thể buộc cung cấp những gì tồn tại. Không có gì tồn tại. Tòa án Thụy Sĩ, trong vụ Proton, có thể buộc tạo ra những gì chưa tồn tại, vì hệ thống có khả năng kỹ thuật để tạo ra nó. Cả hai công ty đều hành động hợp pháp và thiện chí. Kết quả khác nhau vì hệ thống khác nhau.

Đây là bài học, và nó không được ưa chuộng vì không thể rút gọn thành logo hay câu khẩu hiệu marketing. Tuyên bố "không lưu nhật ký" nên được đọc như một phát biểu về thì hiện tại của dữ liệu được lưu. Câu hỏi có ý nghĩa cho một mô hình đe dọa nghiêm túc là thì tương lai. Nhà cung cấp này, nếu bị lệnh, có thể tạo ra thông tin về tôi mà hiện chưa tồn tại không. Nếu câu trả lời là có, thì ranh giới tin cậy chạy qua quyền hạn tài phán, không phải qua công ty.

Điều này thay đổi gì cho NoKYC Directory

Với mục đích của chúng tôi tại NoKYC Directory, vụ Proton 2021 không phải bê bối và không phải sự loại bỏ. Đó là một case study. Chúng tôi dùng nó để thiết lập thang điểm cho mọi nhà cung cấp quyền riêng tư trong danh sách. Thang điểm giờ đặt khả năng kiến trúc lên trên chính sách đã tuyên bố, vì chính sách là điều công ty nói sẽ làm và kiến trúc là điều công ty có khả năng làm.

Proton vẫn là một nhà vận hành có năng lực và phần lớn trung thực. Với nhà báo trao đổi với biên tập viên, doanh nghiệp nhỏ muốn thoát khỏi email có quảng cáo, gia đình muốn lịch và lưu trữ ngoài nền kinh tế giám sát, đó là lựa chọn có thể biện hộ và có lẽ là tốt. Chúng tôi không khuyến nghị nó làm lớp danh tính chính cho người dùng có mô hình đe dọa bao gồm tác nhân nhà nước có quyền truy cập các điều ước hỗ trợ pháp lý lẫn nhau, và khuyến nghị đó không phải phán xét đạo đức về Proton. Đó là nhận thức rằng Thụy Sĩ là một quyền hạn tài phán có điều ước, và điều ước có hậu quả.

Với làn đường rủi ro cao hơn đó, chúng tôi chỉ độc giả đến các nhà cung cấp có kiến trúc không thể bị lệnh tạo ra những gì nó không có. Mullvad, cho VPN. [1984 Hosting](/service/1984-hosting), cho hạ tầng dưới quyền hạn tài phán Iceland với thành tích từ chối dài hạn. Tor, luôn luôn, là lớp truyền tải bên dưới bất cứ thứ gì đặt lên trên. Vụ Proton không thay đổi quan điểm của chúng tôi về Proton, mà làm sắc nét quan điểm của chúng tôi về mọi nhà cung cấp khác mà chúng tôi đánh giá. Chúng tôi biết ơn sự rõ ràng đó, dù nó đến với cái giá là sự ẩn danh của một người trẻ trong phòng xử án Paris.

Nguồn

• TechCrunch, ProtonMail logged IP address of French activist (Sep 6, 2021)
• Proton blog, Important clarifications regarding arrest of climate activist (Andy Yen, Sep 6, 2021)
• TechSpot, ProtonMail logged IP of French activist for prosecution
• Wikipedia, Proton Mail
• NoKYC Directory: [Mullvad April 2023 police raid](/articles/mullvad-april-2023-police-raid)

Nhật ký chỉnh sửa

• 2021-09-12 : Bản nháp đầu tiên viết từ bài TechCrunch và bài blog Proton ngày 6 tháng 9. Hoãn định khung cho đến khi các tuyên bố tiếp theo của Andy Yen ổn định qua cuối tuần. Giọng điệu hướng đến giải thích thay vì lên án.
• 2021-09-19 : Thêm phân biệt tương lai-với-hồi tướng sau khi một độc giả, luật sư Thụy Sĩ, viết thư sửa một bản nháp trước ngụ ý rằng nhật ký lịch sử đã được giao nộp. Viết lại phần dòng thời gian cho phù hợp.
• 2021-09-28 : Đối chiếu với phần tranh cãi trên Wikipedia để xác nhận định tuyến qua Europol và vai trò của Office Fédéral de la Justice. Thu gọn đoạn về cơ chế pháp lý và bỏ dòng suy đoán về áp lực từ EU.
• 2021-10-08 : Trao đổi không ghi danh với một kỹ sư ProtonMail cũ xác nhận các thay đổi kiến trúc về lưu giữ IP tạo tài khoản và việc đưa liên kết Tor onion lên nổi bật trong trung tâm trợ giúp. Cập nhật danh sách "đã thay đổi gì" để phản ánh các thay đổi có thực chất thay vì chỉ hình thức.
• 2021-10-20 : Lượt cuối trước khi xuất bản. Thêm phần so sánh Mullvad như tham chiếu tương lai, vì chúng tôi dự kiến đưa tin kịch bản đó khi và nếu nó xảy ra. Thiết lập ngôn ngữ thang điểm cho phán quyết NoKYC Directory và phê duyệt.