Proton Mail divulga dados de usuário e leva a prisão na Espanha
(restoreprivacy.com)- O Proton Mail, serviço de e-mail seguro sediado na Suíça, voltou a gerar controvérsia sobre privacidade ao fornecer informações de e-mail de recuperação de uma conta pseudônima ligada à organização independentista catalã Democratic Tsunami
- As autoridades espanholas solicitaram informações adicionais à Apple com base no endereço de e-mail de recuperação obtido, e chegaram à identificação da pessoa por meio do nome, endereço e telefone vinculados
- A solicitação foi feita sob o pretexto de leis antiterrorismo, mas a proporcionalidade e a legitimidade da medida se tornaram pontos de debate, já que as principais atividades do Democratic Tsunami foram protestos e bloqueios de estradas
- O Proton deve cooperar com solicitações internacionais de aplicação da lei quando há uma ordem judicial suíça formal, e atendeu a 5.971 solicitações de dados somente em 2023
- O corpo dos e-mails, anexos e arquivos são criptografados e nem o Proton consegue lê-los, mas metadados da conta, como e-mail de recuperação, precisam ser gerenciados diretamente pelo usuário do ponto de vista de OPSEC
Linha do tempo do caso na Espanha
- O Proton Mail é um serviço de e-mail seguro sediado na Suíça que tem promovido criptografia de ponta a ponta e uma política de não manter logs
- O caso começou com uma solicitação legal das autoridades espanholas sobre uma pessoa que elas suspeitavam ser integrante da organização independentista catalã Democratic Tsunami
- No centro da controvérsia está o endereço de e-mail de recuperação de uma conta do Proton Mail usada sob o pseudônimo “Xuxo Rondinaire”
- A pessoa era suspeita de fazer parte da polícia da Catalunha, os Mossos d’Esquadra, e de ter usado conhecimento interno para ajudar o movimento Democratic Tsunami
- Depois que o Proton Mail forneceu as informações do e-mail de recuperação, as autoridades espanholas pediram à Apple informações adicionais vinculadas a esse e-mail e chegaram à identificação da pessoa
Processo de identificação passando por jurisdições e empresas de tecnologia
- O caso consiste em uma cadeia de solicitações que atravessou várias jurisdições e empresas
- O Proton Mail é sediado na Suíça
- As autoridades espanholas obtiveram o e-mail de recuperação da conta do Proton Mail
- Depois, solicitaram à Apple informações adicionais relacionadas a esse e-mail
- Esse fluxo revela a interação complexa entre empresas de tecnologia, privacidade do usuário e órgãos de aplicação da lei
- A solicitação foi feita sob o pretexto de leis antiterrorismo, mas as principais atividades do Democratic Tsunami foram descritas como protestos e bloqueios de estradas
- Por isso, a questão central que permanece é se a medida de aplicação da lei foi proporcional e legítima
Obrigações legais do Proton e casos anteriores
- A cooperação do Proton Mail está vinculada à lei suíça, e a empresa deve colaborar quando solicitações internacionais de aplicação da lei são formalizadas pelo caminho oficial, o sistema judicial suíço
- Em 2021, o Proton Mail também enfrentou controvérsia ao atender a uma solicitação legal que levou à prisão de ativistas climáticos franceses
- Na época, pela lei suíça, a empresa precisou coletar informações de endereço IP de pessoas específicas e fornecê-las às autoridades suíças
- As autoridades suíças compartilharam essas informações com a polícia francesa
- O Proton afirmou anteriormente ao RestorePrivacy que “o corpo dos e-mails, anexos, arquivos etc. estão sempre criptografados e não podem ser lidos”
- Segundo o relatório de transparência do Proton, o Proton Mail atendeu a 5.971 solicitações de dados em 2023, um número ligeiramente maior que o do ano anterior
Posição do Proton
- O Proton afirmou ter confirmado detalhes centrais deste caso e estar ciente de que o caso de terrorismo na Espanha está relacionado a acusações de ameaças contra o rei da Espanha
- Ao mesmo tempo, disse que, em geral, não comenta casos específicos
- O Proton destacou que possui uma quantidade mínima de informações de usuários e apontou que, neste caso, dados obtidos da Apple foram usados para identificar suspeitos de terrorismo
- O Proton explicou que fornece privacidade por padrão, mas não oferece anonimato por padrão
- Para anonimato, são necessárias medidas de OPSEC por parte do usuário
- Como exemplo, citou não adicionar uma conta da Apple como método opcional de recuperação
- Adicionar um endereço de recuperação não é obrigatório, e essa informação pode, em tese, ser fornecida mediante ordem judicial suíça
Diferença entre e-mail de recuperação e verificação de cadastro
- O Proton explicou que adicionar um e-mail de recuperação a uma conta de e-mail é opcional
- No entanto, em testes, houve casos em que o Proton exigiu um endereço de e-mail de verificação ao fazer cadastro por meio de serviço de VPN e Tor
- A caixa de verificação do Proton informa que esse endereço de e-mail é “usado apenas para verificação única”
- Diferentemente do e-mail de recuperação, esse e-mail de verificação não parece permanecer vinculado à conta
- Portanto, o e-mail de recuperação é uma informação que pode ficar vinculada à conta, enquanto o e-mail de verificação é classificado como destinado à verificação única de cadastro
Cuidados do usuário do ponto de vista de OPSEC
- Mesmo serviços de e-mail criptografado como o Proton Mail não estão totalmente livres de solicitações legais e governamentais
- Usuários envolvidos em atividades sensíveis ou políticas devem considerar a segurança operacional (OPSEC) como prioridade
- As medidas recomendadas são as seguintes
- Evitar e-mails de recuperação ou números de telefone diretamente vinculados à identidade pessoal ou às principais atividades profissionais
- Considerar e-mails secundários ou descartáveis e números de telefone virtuais para camadas adicionais de anonimato
- Quando possível, usar VPN para reduzir a exposição do endereço IP
- Considerar o uso de meios de pagamento anônimos
- Verificar as obrigações legais do provedor de serviços de comunicação e suas políticas de resposta a solicitações internacionais de aplicação da lei
- O Proton Mail e serviços semelhantes oferecem proteção significativa e criptografia de ponta a ponta em plataformas de e-mail, mas é necessário avaliar cuidadosamente as obrigações legais do provedor e as necessidades de segurança do usuário
1 comentários
Comentários do Hacker News
Parece que os leitores estão confusos entre a proteção que o ProtonMail realmente pode oferecer e o nível de proteção que se espera de uma empresa legalmente estabelecida
ProtonMail e Apple contestariam uma intimação se entendessem que ela é indevida, mas não têm a palavra final e podem ser obrigadas a fornecer dados razoavelmente acessíveis
No fim, o próprio usuário precisa planejar que tipo de informação vai entregar ao provedor de serviço e também avaliar vulnerabilidades de intermediário considerando até a possibilidade de interceptação. Vincular um número de telefone ou e-mail de recuperação vira uma pista bem grande
O ponto central é reconhecer que até esses serviços podem ser forçados a entregar as pequenas informações às quais têm acesso, e que esses dados podem ser úteis para identificação. A segunda lição talvez seja eleger governos que respeitem as liberdades democráticas
A controvérsia da Proton começou porque ela se promove como um e-mail seguro e privado e prometeu que nunca entregaria dados de usuários, mas na prática já entregou. Quando se vê que no ano passado ela forneceu dados em quase 6 mil solicitações, isso não combina com o marketing de “e-mail que nunca dedura você para as autoridades”
O problema maior é que agora a Proton nem parece fazer muito esforço para contestar esses pedidos. Há relatos de que a Tuta continua brigando contra quase todas as ordens, mesmo quando perde na Justiça: https://techcrunch.com/2020/12/08/german-secure-email-provid...
A questão não é se o provedor de serviço cumpre uma ordem judicial, mas se ele ao menos tenta reagir a isso ou simplesmente entrega os dados sem fazer perguntas
Na verdade, até usuários do HN têm grande chance de cometer erros. Por isso sou cético quanto a fazer marketing desses produtos para o consumidor em geral
Obrigar um terceiro por ordem judicial a revelar informações de clientes não é algo que seja fácil considerar indevido, nem hoje, nem no passado, nem no futuro
Uma ordem específica pode ser indevida e nesse caso deve ser contestada, mas a existência desse procedimento e dessa autoridade em si não é indevida
O título menciona o Proton Mail, mas parece que as informações de identificação reais, como nome verdadeiro e número de telefone, foram fornecidas pela Apple em resposta a um pedido de informações relacionado àquele endereço
Nesse caso o endereço de e-mail foi a pista, mas fico me perguntando que tipo de informação seria suficiente para levar a operadora a revelar a identidade. Por exemplo, se um endereço IP usado em certo horário tivesse passado por VPN via Apple naquele momento, isso poderia virar um identificador único?
Ou um cookie de anúncios do Google poderia ser correlacionado com outros dispositivos que mostram comportamento parecido, do mesmo jeito que o Google rastreia domicílios ou contas relacionadas?
Não gosto que sites com “privacy” no nome misturem privacidade com anonimato. Vejo privacidade mais como proteção contra o público, não como algo que protege do Estado
Se você está lutando contra o Estado, virou inimigo do Estado, ou ainda mais se está lidando com agentes estatais agindo de má-fé, simples privacidade não serve para nada. Pior: entender isso errado vira um vetor de ataque, como neste caso
As medidas de anonimato necessárias podem não incluir uma UI bonita, bons recursos e, às vezes, nem mesmo uma confiabilidade razoável. Isso porque essas coisas são sacrificadas para não deixar rastros
Por exemplo, impedir que o tema de uma conversa seja exposto e usado de forma abusiva também é privacidade. O Estado tem uma longa história de perseguir pessoas LGBT, fiéis de determinadas religiões, jornalistas envolvidos em denúncias incômodas etc.
Ainda assim, privacidade e anonimato são conceitos próximos, mas diferentes. A privacidade das comunicações nem sempre significa anonimato, embora às vezes o inclua e em certos casos precise incluir
Dito isso, é tolo e estranho acreditar que um serviço de e-mail operando legalmente vá proteger usuários contra uma ordem legal, respaldada por um juiz
Fornecer metadados nem é o pior cenário. Um juiz também pode mandar copiar e-mails recebidos não criptografados, copiar e-mails não criptografados em elaboração ou ordenar que a criptografia seja enfraquecida no próximo login
O serviço pode contestar a ordem, e se opera em um lugar que pode ser chamado de Estado de direito, isso por si só já reduz a possibilidade de abuso. Mas e-mail quase não oferece privacidade real, e oferece ainda menos anonimato
Isso não quer dizer que o serviço seja inútil. Só que ele não será um escudo se você teme perseguição política em um país da UE ou se está cometendo um crime
“O direito de não sofrer intrusões não autorizadas na vida privada por parte de governos, corporações ou indivíduos faz parte das leis de privacidade de muitos países e, em alguns casos, de suas constituições”
Pelo menos segundo a Wikipedia, privacidade inclui, em alguns casos, proteção contra o Estado. Fico curioso sobre de onde vem essa definição
Mas isso não significa que uma empresa vá ocultar rastros de dados que você já compartilhou. Neste caso, isso se aplica ao endereço de e-mail de recuperação
Se você entrega informações pessoais, comete um crime e depois exige que a outra parte esconda isso, você não está pedindo anonimato, está pedindo cumplicidade
O importante aqui é a diferença entre o que a Proton prometeu ou anunciou a usuários e potenciais usuários e o que de fato consegue fornecer. Não sei se a Proton explica isso de forma mais aberta, mas espero que não esteja enterrado apenas em termos de serviço longos que quase ninguém lê
A ProtonMail entregou o endereço de recuperação, e a Apple entregou o nome, endereço real e número de telefone vinculados a esse endereço
“Depois de receber essa informação, solicitaram à Apple dados relacionados a esse segundo endereço de e-mail e receberam nome, endereço residencial e número de telefone. Em seguida, a Guardia Civil também pediu à operadora responsável por esse número a identificação do titular da linha, que batia com o nome fornecido pela Apple. Também foi confirmado que essa pessoa estava registrada no mesmo endereço fornecido pela Apple”
Há o conselho de “sempre usar um bom serviço de VPN, se possível, para esconder o endereço IP”, mas se a VPN estiver vinculada ao meio de pagamento, isso só teria acrescentado uma etapa intermediária para a polícia rastrear e não teria salvado esse ativista
Na lista de VPNs recomendadas, a Mullvad aparece apenas em 9º lugar entre 10, mas, pelo que sei, a Mullvad é a única que oferece formas de pagamento que preservam o anonimato
Mas isso só funciona se ficar completamente separado do resto da sua identidade. Por exemplo, não adianta criar um endereço Proton pelo Tor e depois colocar seu e-mail habitual como endereço de recuperação
A maioria afirma não ter logs, e a PIA pelo menos uma vez recebeu uma intimação e respondeu que não tinha logs
Não vejo como a polícia conseguiria me encontrar passando por essa etapa intermediária
Mostre uma única VPN respeitável que faça isso. Mostre também um caso real em que isso tenha acontecido. Boas VPNs, incluindo a Mullvad, são VPNs sem logs, então a atividade feita pela VPN não é registrada nem pode ser vinculada ao usuário
Várias VPNs não só tiveram isso verificado por auditorias, como também isso foi confirmado em tribunal ou em testes reais. A Mullvad é um bom exemplo: https://restoreprivacy.com/mullvad-vpn-says-customer-data-is...
O fato de a conta da VPN ser paga não significa que a VPN registre a atividade do usuário. Guardar registros de pagamento e registrar a atividade do usuário nos servidores da VPN são coisas diferentes. E a maioria das VPNs conhecidas também aceita pagamento em criptomoedas
O ponto principal é esta parte:
“De acordo com a lei suíça, o Proton Mail foi obrigado a coletar informações de endereço IP dessa pessoa e fornecê-las às autoridades suíças, que as compartilharam com a polícia francesa”
Não importa quais garantias de privacidade sejam anunciadas: se essa garantia não for assegurada por criptografia, é só um gesto vazio. Ninguém vai para a prisão para proteger a privacidade do usuário
O centro da controvérsia agora é que o Proton Mail forneceu à polícia espanhola o endereço de e-mail de recuperação vinculado à conta Proton Mail de uma pessoa que usava o pseudônimo “Xuxo Rondinaire”. Essa pessoa pertence aos Mossos d’Esquadra, ou seja, à polícia da Catalunha, e é suspeita de ter ajudado o movimento Democratic Tsunami usando conhecimento interno
Depois de receber o e-mail de recuperação do Proton Mail, as autoridades espanholas pediram à Apple informações adicionais vinculadas a esse e-mail, e assim conseguiram identificar a pessoa
Se você quer esconder isso, precisa procurar um provedor que não opere dentro do arcabouço legal. Só que, quando a relação deixa de ser legal, muita conveniência desaparece. Não há garantia de que você receberá o serviço pelo qual pagou, e também fica difícil esperar recuperação de conta quando perder alguma segurança importante
O conteúdo dos e-mails é criptografado e o Proton Mail não consegue acessá-lo
Ao pensar em casos assim, sempre é preciso ter em mente a construção paralela: https://en.m.wikipedia.org/wiki/Parallel_construction
É bem possível que as autoridades já tivessem essa informação. Elas podem até ter visto e-mails em texto puro por meio de interceptação legal do provedor de internet. O caminho via Proton/Apple é ruim, mas a origem real pode ter sido ainda pior
O Proton Mail só fornece informações quando a lei suíça exige e quando os investigadores suíços solicitam. A lei suíça de privacidade é bastante razoável
É difícil esperar de qualquer empresa uma política de privacidade mais rígida do que isso
O Proton Mail não pode fornecer o conteúdo dos e-mails; só pode fornecer coisas como endereços de e-mail ou endereços IP
Qualquer coisa que alguém tenha armazenado pode ser entregue. Essa informação pode ser útil, pode ser inútil, ou pode ser inútil agora e se tornar útil amanhã caso a chave seja obtida
Se você tentar criar uma conta ProtonMail via Tor, eles pedem verificação da conta por número de telefone. Se usar um IP que não seja proxy, essa etapa é pulada
No fim das contas, eles querem saber quem é o usuário, e isso já acontece há anos. Na minha opinião, sempre foi um serviço-isca
Mesmo nesses casos, o endereço de e-mail não é vinculado à conta, e só é armazenado o hash criptográfico do e-mail. Como a função hash é de mão única, não dá para recuperar os dados originais a partir do hash: https://proton.me/support/human-verification
No passado eles usavam verificação por telefone, mas isso não acontece mais. O número de telefone também era armazenado da mesma forma que o endereço de e-mail, então igualmente não havia como reverter o hash
O motivo desses procedimentos é prevenção de spam. Infelizmente, isso pode ser abusado e de fato já foi abusado
Quase a única forma de manter e-mail minimamente privado é usar um servidor próprio com chaves GPG. Mas, se você perder até mesmo um pouco das atualizações de segurança desse servidor, ele pode ser comprometido quase imediatamente
Não consigo pensar em muito mais que se possa fazer além disso
Sempre tratei o e-mail como algo que trafega em texto puro. Meu provedor atual, Fastmail, também pode ser comprometido pelas autoridades. Como fica na Austrália, está sujeito ao Australian Privacy Act 1988, e como os servidores operam em Nova York, também cai no PRISM
Se a conta continuar sendo usada apenas via Tor, não deve restar nenhuma informação rastreável
Às vezes é preciso número de telefone, às vezes endereço de e-mail, e às vezes basta um CAPTCHA
Não é a primeira vez que um e-mail de recuperação é fornecido a uma agência federal
https://www.forbes.com/sites/thomasbrewster/2023/08/08/proto...
Arquivo: https://web.archive.org/web/20230814144638/https://www.forbe...