Хакер #311. Сетевые протоколы под микроскопом
Защищенный почтовый сервис Proton Mail снова подвергся критике, так как опять раскрыл правоохранителям данные одного из своих пользователей.
Компания Proton предлагает ряд сервисов, которые позиционируются как защищенные и безопасные, среди которых присутствует и почтовый сервис Proton Mail со сквозным шифрованием. Утверждается, что этот продукт предназначен для людей, заботящихся о своей конфиденциальности, никто не сможет прочитать содержимое писем и вложений пользователя, рекламные трекеры здесь отсутствуют, а также соблюдаются «высочайшие стандарты конфиденциальности».
Однако у Proton все же имеет доступ к информации о пользователях, которую компания порой передает третьим лицам. Один из таких громких скандалов произошел в 2021 году, когда руководство сервиса было вынуждено сохранить IP-адрес одного из своих клиентов, который человек использовал для входа в свой почтовый ящик на ProtonMail. Дело в том, что компания получила соответствующее распоряжение от швейцарских властей, которое невозможно было обжаловать или отклонить. Позже этот пользователь (французский активист) был арестован, так как Proton поделился этими же данными с французской полицией.
Вскоре после этого случая компания удалила со своего сайта заявление о том, что она не отслеживает IP-адреса пользователей, и в политику конфиденциальности внесли изменения. Так, вместо формулировки «по умолчанию мы не ведем логи IP-адресов, которые могут быть связаны с вашей анонимной учетной записью электронной почты» появилась фраза: «ProtonMail — это электронная почта, которая уважает конфиденциальность и ставит людей (а не рекламодателей) на первое место».
Кроме того, ранее компанию Proton обвиняли в том, что она помогает властям и предлагает следить за пользователями в режиме реального времени.
Теперь же стало известно, что руководство Proton передало испанской полиции информацию об email-адресе для восстановления аккаунта, связанного с человеком, который подозревают в поддержке каталонских сепаратистов. Испанские полицейские якобы передали этот email-адрес Apple, и компания смогла идентифицировать человека, связанного с этим аккаунтом. В итоге подозреваемый был арестован.
В Proton подтвердили представителям правозащитной организации Restore Privacy, что компании известно об этом деле, однако ее руки были связаны швейцарскими законами о борьбе с терроризмом.
«Proton располагает минимальной информацией о пользователях, о чем свидетельствует тот факт, что в данном случае данные, использованные для идентификации подозреваемого в терроризме, были полученные от Apple, — заявил представитель Proton. — Proton обеспечивает конфиденциальность по умолчанию, а не анонимность по умолчанию, потому что анонимность требует определенных действий со стороны пользователя для обеспечения надлежащей процедурной безопасности, например, не стоит добавлять учетную запись Apple в качестве дополнительного метода для восстановления».
Как объясняет в X (бывший Twitter) глава ProtonMail Энди Йен (Andy Yen), в случае получения судебного запроса от швейцарского суда, компания попросту не может его проигнорировать.
«Имя/адрес подозреваемого в терроризме на самом деле были предоставлены полиции компанией Apple, а не Proton. Подозреваемый в терроризме добавил реальный адрес своей электронной почты Apple в качестве дополнительного адреса для восстановления в Proton Mail. Proton не может расшифровать данные, но в делах о терроризме швейцарские суды могут узнать резервный адрес электронной почты для восстановления [учетной записи]», — пишет Йен.
