ProtonMail交出手套那天：隐私社区被迫重读用户协议

Proton 不再是口号的那天早晨

2021年9月6日，TechCrunch 刊发了一条简短、近乎程式化的新闻，却在隐私社区引发了如同安静餐厅里托盘坠地般的震动。报道称，ProtonMail--这家瑞士加密邮件服务商，多年来一直是每份隐私指南、每位记者入门套装、每条 Reddit "删除 Gmail 后第一件事"帖子的默认推荐--记录了一名法国气候活动人士的 IP 地址，并通过司法互助的正规渠道将日志移交法国警方。该活动人士曾参与2020年巴黎圣玛尔塔广场附近一处商业场所的占领行动，行动由"青年为气候"运动组织。数小时内，这条新闻席卷了隐私媒体、安全 Twitter 账号、Hacker News 首页，以及大量十年来对任何中心化服务持怀疑态度的人发布的"我早就说过"帖子。

反应如此强烈，并非因为 Proton 违反了自身规则，而是因为绝大多数用户从未费心阅读这些规则的实际内容。ProtonMail 遵从了瑞士法院命令。服务条款始终允许这种情况。震惊是一种自我认知的震惊。那些一直告诉自己一个关于加密的故事的人发现，故事里有个脚注，而脚注是法律。

实际发生了什么

一旦平铺直叙地梳理，时间线并无戏剧性。2020年，一个与"青年为气候"相关的团体占领了巴黎第十区圣玛尔塔广场街区的一组商业房产。法国当局立案调查。调查最终确认该团体使用了一个 ProtonMail 域名的邮箱进行协调。法国警方因对瑞士公司无直接管辖权，通过 Europol 提交请求，经由瑞士联邦渠道转达，最终送达伯尔尼的联邦司法办公室。瑞士法院审查了该请求，认定其符合瑞士法律下的双重犯罪门槛，遂命令 Proton 对指定账户启用 IP 日志记录。

这正是令众人意外的部分。法院命令并未要求 Proton 交出历史 IP 地址，因为 Proton 默认不保留这些记录，也就无法提供。命令要求 Proton 开始记录该账户今后任何登录的 IP 地址，从命令日期起生效。当该活动人士下次通过住宅网络登录时，该 IP 被捕获。此 IP 经由同样的条约渠道转发回法国，警方将其解析为订阅用户，进而完成身份确认和逮捕。

该活动人士的内容始终处于加密状态。这从来不是问题的焦点。问题在于信封、连接元数据、从何而来而非内容本身。

政策为何允许

Proton 首席执行官 Andy Yen 于2021年9月6日在公司博客发布声明，并于次日通过个人渠道放大。他的措辞谨慎，若不带情绪阅读，是准确的。"Proton 必须遵守瑞士法律，"他在公司博客中写道。"一旦犯罪发生，隐私保护可以被暂停，瑞士法律要求我们回应瑞士当局的请求。"他接着指出，ProtonMail 的透明度报告始终披露了此类命令的大致数量，而公司无权拒绝正式执行的瑞士法院命令，除非停止运营。

这正是隐私写作很少足够清晰指出的架构缺口。"不持有静态数据"与"无法按需生成数据"之间存在区别。ProtonMail 在常规业务中不存储 IP 日志。然而，技术上它能够在接到命令时开始存储，因为登录流经其控制的基础设施，IP 地址在认证时刻是可获取的。"无日志"的承诺始终意味着"我们不为自己目的保留日志"。它从未意味着"任何司法辖区的任何法律程序都无法导致日志存在"。用户将第二句读入了第一句，因为第二句是他们想要的。

Proton 事后做了哪些改变

事件后的时期并非沉默。Proton 的产品与政策团队在2021年末至2022年进行了一系列调整，大多可从公司自身沟通和更新日志中读出。实质性的、影响威胁模型而非营销的变动如下：

• 重新架构默认账户创建流程，使注册期间捕获的 IP 地址不保留在即时反欺诈窗口之外，消除了识别性元数据的残余来源之一。
• 显著突出现有的 Tor 洋葱服务，该服务自2017年起已在 protonirockerxow.onion 静默可用，现被推荐至支持文档首页，供任何高风险用户使用。
• 转向更细粒度的透明度报告，包括更清晰细分强制遵从的法律文书类型，以及在瑞士法律允许披露的范围内，案件类别。
• 在帮助中心和博客中反复澄清，ProtonMail 可能被命令对指定账户启用前瞻性 IP 日志记录，需要针对此类命令获得保护的用户应仅通过 Tor 或其独立信任的第三方 VPN 访问服务。
• 更广泛地向产品套件转型，ProtonVPN、ProtonDrive、ProtonCalendar，最终于2024年将母公司转为 Proton AG 旗下的非营利基金会，旨在约束公司未来的商业压力。

这些变动无一承诺另一道命令不会到来。它们承诺的是下一道命令可作用的材料将更少。

与 Mullvad 的对比

2023年4月，瑞典警方持搜查令抵达 Mullvad VPN 的哥德堡办公室。他们空手而归，因为无数据可取。我们在[2023年4月 Mullvad 警方突袭](/articles/mullvad-april-2023-police-raid)的详细报道中写过这个故事，与 Proton 事件的对比是我们所拥有的最清晰例证，说明为何架构才是问题所在，而政策回答的是另一个问题。

Mullvad 的账户系统从未将用户名与个人绑定。连接不被记录。基础设施无法被命令开始以可解析特定付费用户的方式记录，因为记录中一开始就不存在特定付费用户。瑞典法院可以强制提供现存之物。什么都不存在。瑞士法院在 Proton 案中，可以强制创造尚不存在之物，因为系统技术上能够创造它。两家公司均合法、善意行事。结果分歧源于系统分歧。

这就是教训，它之所以不合时宜，是因为无法被简化为一个标志或一句营销语。"无日志"声明应被理解为关于存储数据现在时的陈述。对于严肃威胁模型，相关问题是将来时。这家提供商若被命令，能否生成关于我的、目前不存在的信息。若答案是肯定的，则信任边界穿过司法辖区，而非穿过公司。

这对 Directory 意味着什么

对于 NoKYC Directory 而言，2021年 Proton 事件不是丑闻，也不是取消资格。它是一个教学案例。我们用它为列出的每家隐私提供商设定评分标准。该标准现在将架构能力置于声明政策之上，因为政策是公司说会做什么，架构是公司能够做什么。

Proton 仍是一家有能力且大体诚实的运营商。对于与编辑通信的记者、希望摆脱广告支持邮件的小企业、希望日历和存储位于监控经济之外的家庭，它是一个可辩护的选择，很可能还是一个好选择。我们不将其推荐为威胁模型包含可通过司法互助条约获取资源的国家行为者的用户的主要身份层，这一推荐不是对 Proton 的道德评判。这是对瑞士是一个有条约的司法辖区、而条约有效果的认知。

对于更高风险层级，我们引导读者转向架构无法被命令生成其所不拥有的信息的提供商。Mullvad，用于 VPN。[1984 Hosting](/service/1984-hosting)，用于冰岛司法辖区下的基础设施，有长期拒绝记录。Tor，始终作为任何上层之下的传输层。Proton 案未改变我们对 Proton 的看法，而是锐化了我们对评估的其他每家提供商的看法。我们感激这份清晰，即使它以一名年轻人在巴黎法庭上的匿名性为代价而来。

来源

• TechCrunch, ProtonMail 记录法国活动人士 IP 地址（2021年9月6日）
• Proton 博客, 关于气候活动人士被捕的重要澄清（Andy Yen，2021年9月6日）
• TechSpot, ProtonMail 为起诉记录法国活动人士 IP
• Wikipedia, Proton Mail
• NoKYC Directory: [2023年4月 Mullvad 警方突袭](/articles/mullvad-april-2023-police-raid)

编辑日志

• 2021-09-12 : 初稿基于 TechCrunch 报道和9月6日 Proton 博客文章撰写。待 Andy Yen 周末跟进声明稳定后再确定框架。基调定位为解释而非谴责。
• 2021-09-19 : 一位读者（瑞士律师）来信纠正初稿暗示交出了历史日志的说法，据此添加前瞻性与追溯性区分。相应重写时间线部分。
• 2021-09-28 : 交叉核对 Wikipedia 争议部分，确认经由 Europol 路由及联邦司法办公室的作用。收紧法律机制段落，删除关于欧盟压力的推测性语句。
• 2021-10-08 : 与前 ProtonMail 工程师非正式交谈，其确认账户创建 IP 保留的架构变更及帮助中心 Tor 洋葱链接的升级。更新"有何改变"列表，反映实质性而非表面性变动。
• 2021-10-20 : 发布前终稿。添加 Mullvad 对比作为前向引用，因我们预期在发生该情景时进行报道。设定 Directory 裁决的评分标准用语并签批。