Proton Mail : la divulgation de données utilisateur conduit à une arrestation en Espagne
(restoreprivacy.com)- Proton Mail, service d’email sécurisé basé en Suisse, relance la controverse sur la vie privée après avoir fourni les informations d’email de récupération d’un compte pseudonyme lié au mouvement indépendantiste catalan Democratic Tsunami
- Les autorités espagnoles se sont appuyées sur l’adresse email de récupération obtenue pour demander des informations supplémentaires à Apple, ce qui a permis d’identifier une personne via le nom, l’adresse et le numéro de téléphone associés
- La demande a été formulée au nom de la législation antiterroriste, mais comme les principales activités de Democratic Tsunami consistaient en des manifestations et des blocages de routes, la proportionnalité et la légitimité de la mesure sont contestées
- Proton doit coopérer aux demandes internationales des forces de l’ordre lorsqu’elles sont appuyées par une ordonnance officielle d’un tribunal suisse, et a répondu à 5 971 demandes de données rien qu’en 2023
- Le contenu des emails, les pièces jointes et les fichiers sont chiffrés et illisibles pour Proton, mais les métadonnées du compte comme l’email de récupération doivent être gérées directement par l’utilisateur dans une logique d’OPSEC
Déroulé de l’affaire en Espagne
- Proton Mail est un service d’email sécurisé basé en Suisse, connu pour son chiffrement de bout en bout et sa politique sans logs
- Dans cette affaire, tout commence par une demande légale des autorités espagnoles visant une personne soupçonnée d’appartenir au mouvement indépendantiste catalan Democratic Tsunami
- Au centre de la controverse figure l’adresse email de récupération d’un compte Proton Mail utilisant le pseudonyme « Xuxo Rondinaire »
- La personne en question était soupçonnée d’être membre des Mossos d’Esquadra, la police catalane, et d’avoir aidé le mouvement Democratic Tsunami grâce à des informations internes
- Après que Proton Mail a transmis les informations de récupération, les autorités espagnoles ont demandé à Apple des données supplémentaires liées à cette adresse email, ce qui a permis d’identifier la personne
Le processus d’identification entre juridictions et entreprises technologiques
- Cette affaire repose sur une chaîne de demandes passant par plusieurs juridictions et entreprises
- Proton Mail est basé en Suisse
- Les autorités espagnoles ont obtenu l’email de récupération du compte Proton Mail
- Elles ont ensuite demandé à Apple des informations supplémentaires liées à cette adresse email
- Cette séquence met en lumière les interactions complexes entre entreprises technologiques, vie privée des utilisateurs et forces de l’ordre
- La demande a été faite au titre de la législation antiterroriste, mais Democratic Tsunami est surtout décrit comme ayant mené des manifestations et des blocages de routes
- La question centrale reste donc de savoir si l’action des forces de l’ordre était proportionnée et légitime
Les obligations légales de Proton et les précédents
- La coopération de Proton Mail est encadrée par le droit suisse, et l’entreprise doit collaborer lorsque les demandes internationales des forces de l’ordre sont formalisées par la voie officielle du système judiciaire suisse
- En 2021, Proton Mail avait déjà été au cœur d’une controverse après avoir répondu à une demande légale ayant conduit à l’arrestation d’un militant écologiste français
- À l’époque, Proton avait dû collecter des informations sur l’adresse IP d’une personne donnée conformément au droit suisse et les transmettre aux autorités suisses
- Les autorités suisses avaient ensuite partagé ces informations avec la police française
- Proton a précédemment déclaré à RestorePrivacy que « le contenu des emails, les pièces jointes, les fichiers, etc., est toujours chiffré et ne peut pas être lu »
- Selon le rapport de transparence de Proton, Proton Mail a répondu à 5 971 demandes de données en 2023, un chiffre en légère hausse par rapport à l’année précédente
La position de Proton
- Proton affirme avoir vérifié les principaux détails de cette affaire et savoir que le dossier espagnol pour terrorisme est lié à des accusations de menaces envers le roi d’Espagne
- L’entreprise précise toutefois qu’elle ne commente généralement pas les affaires spécifiques
- Proton soutient qu’elle conserve un minimum d’informations sur ses utilisateurs et souligne que, dans cette affaire, ce sont les données obtenues auprès d’Apple qui ont servi à identifier le suspect de terrorisme
- Proton explique qu’elle fournit par défaut de la vie privée, mais pas l’anonymat par défaut
- Pour obtenir l’anonymat, l’utilisateur doit mettre en place ses propres mesures d’OPSEC
- Proton cite comme exemple le fait de ne pas ajouter un compte Apple comme option de récupération facultative
- L’ajout d’une adresse de récupération n’est pas obligatoire, mais cette information peut théoriquement être fournie sur la base d’une ordonnance d’un tribunal suisse
Différence entre email de récupération et vérification à l’inscription
- Proton indique que l’ajout d’un email de récupération à un compte est facultatif
- Des tests ont toutefois montré que Proton a parfois demandé une adresse email de vérification lors d’une inscription via un VPN et Tor
- Dans la boîte de vérification de Proton, il est indiqué que cette adresse email est « utilisée uniquement pour une vérification ponctuelle »
- Contrairement à l’email de récupération, cet email de vérification ne semble pas rester lié durablement au compte
- L’email de récupération correspond donc à une information pouvant être associée au compte, tandis que l’email de vérification sert à une validation unique lors de l’inscription
Points d’attention pour les utilisateurs du point de vue OPSEC
- Même un service d’email chiffré comme Proton Mail n’est pas totalement à l’abri des demandes légales ou gouvernementales
- Les utilisateurs impliqués dans des activités sensibles ou politiques doivent faire de la sécurité opérationnelle (OPSEC) une priorité
- Mesures recommandées :
- éviter les emails de récupération ou numéros de téléphone directement liés à son identité réelle ou à ses activités professionnelles principales
- envisager des emails secondaires ou jetables, ainsi que des numéros de téléphone virtuels, pour ajouter une couche d’anonymat
- utiliser un VPN quand c’est possible afin de réduire l’exposition de l’adresse IP
- envisager l’usage de moyens de paiement anonymes
- vérifier les obligations légales du fournisseur de services de communication ainsi que sa politique de réponse aux demandes internationales des forces de l’ordre
- Des services comme Proton Mail offrent une protection importante et un chiffrement de bout en bout sur la plateforme email, mais il faut évaluer avec prudence l’équilibre entre les obligations légales du fournisseur et les besoins de sécurité de l’utilisateur
1 commentaires
Commentaires Hacker News
Les lecteurs semblent confondre la protection que ProtonMail peut réellement offrir avec le niveau de protection que l’on attend d’une entreprise légale
ProtonMail et Apple contesteront une assignation s’ils estiment qu’elle est abusive, mais ils n’ont pas le dernier mot et peuvent être contraints de fournir des données raisonnablement accessibles
Au final, l’utilisateur doit lui-même concevoir quelles informations il confie à un fournisseur de service, et évaluer aussi les faiblesses d’homme du milieu en tenant compte de la possibilité d’interception. Lier un numéro de téléphone ou un e-mail de récupération constitue un indice assez important
L’essentiel est de comprendre que même ce type de service peut être forcé de fournir les petites quantités d’informations auxquelles il a accès, et que ces informations peuvent être utiles pour identifier quelqu’un. La deuxième leçon est peut-être qu’il faut élire des gouvernements qui respectent les libertés démocratiques
La controverse autour de Proton vient du fait qu’il se présente comme un e-mail sûr et privé et promet de ne jamais transmettre les données des utilisateurs, alors qu’il l’a déjà fait. Quand on voit qu’il a fourni des données pour près de 6 000 demandes rien que l’an dernier, cela ne correspond pas au marketing d’un « e-mail qui ne balance jamais aux autorités »
Le problème plus grave, c’est que Proton semble désormais ne presque plus faire d’efforts pour résister aux demandes. Il a été rapporté que Tuta continue de contester presque toutes les injonctions, même lorsqu’il perd au tribunal : https://techcrunch.com/2020/12/08/german-secure-email-provid...
La question n’est pas de savoir si un fournisseur de service obéit à une demande du tribunal, mais s’il essaie au moins d’y résister ou s’il transmet les données sans poser de questions
En réalité, même les utilisateurs de HN ont de fortes chances de se tromper. C’est pourquoi je suis sceptique sur le fait de commercialiser ce genre de produit auprès du grand public
Le fait de contraindre un tiers, par décision de justice, à divulguer des informations sur un client n’est pas, aujourd’hui comme hier et probablement demain, quelque chose qu’on peut facilement qualifier d’abusif
Une injonction particulière peut être abusive et doit alors être contestée, mais l’existence même de cette procédure et de ce pouvoir n’est pas abusive
Le titre mentionne Proton Mail, mais il semble que les informations d’identification réelles, comme le nom réel et le numéro de téléphone, aient été fournies par Apple en réponse à une demande d’informations liée à cette adresse
Dans ce cas, l’adresse e-mail a servi d’indice, mais je me demande jusqu’où certaines informations peuvent suffire pour amener un opérateur à révéler une identité. Par exemple, si l’adresse IP utilisée à un moment précis avait été routée via un VPN à cet instant par Apple, cela pourrait-il constituer une information d’identification unique ?
Ou bien un cookie publicitaire Google pourrait-il être corrélé avec d’autres appareils montrant un comportement similaire ? Comme la façon dont Google suit un foyer ou des comptes liés
Je n’aime pas que les sites web qui ont “privacy” dans leur nom mélangent protection de la vie privée et anonymat. À mes yeux, la protection de la vie privée ne protège pas vraiment contre l’État, mais plutôt contre le grand public
Si vous affrontez l’État, si vous êtes devenu son ennemi, ou plus encore si vous avez affaire à des agents étatiques agissant de façon malveillante, une simple protection de la vie privée ne sert à rien. Pire, mal comprendre cela devient un vecteur d’attaque, comme dans ce cas
Les mesures d’anonymat nécessaires peuvent ne pas inclure une belle interface, de bonnes fonctionnalités, ni parfois même une fiabilité raisonnable. Parce que ces éléments sont sacrifiés pour ne laisser aucune trace
Par exemple, empêcher que le sujet d’une conversation soit révélé pour éviter qu’il soit utilisé à mauvais escient relève aussi de la protection de la vie privée. L’État a une longue histoire de persécution des personnes LGBT, des fidèles de certaines religions, des journalistes impliqués dans des révélations dérangeantes, etc.
Cela dit, protection de la vie privée et anonymat sont des notions proches mais distinctes. La confidentialité des communications ne signifie pas toujours l’anonymat, même si elle peut parfois l’inclure et devrait parfois le faire
En revanche, croire qu’un service de messagerie exploité légalement protégera ses utilisateurs contre une injonction légale appuyée par un juge est naïf et absurde
La fourniture de métadonnées n’est même pas le pire scénario. Un juge peut ordonner de copier les e-mails entrants non chiffrés, de copier les e-mails non chiffrés en cours de rédaction, ou d’affaiblir le chiffrement lors de la prochaine connexion
Le service peut contester cela, et s’il est exploité dans un endroit qu’on peut qualifier d’État de droit, cela réduit déjà les risques d’abus. Mais l’e-mail offre très peu de véritable protection de la vie privée, et encore moins d’anonymat
Cela ne veut pas dire que le service est inutile. Simplement, si vous craignez une persécution politique dans un pays de l’UE ou si vous commettez un crime, ce ne sera pas un bouclier
“Le droit d’être à l’abri d’atteintes non autorisées à la vie privée de la part des gouvernements, des entreprises ou des individus fait partie des lois sur la protection de la vie privée dans de nombreux pays, et dans certains cas de leur constitution”
Au moins selon Wikipedia, la protection de la vie privée inclut dans certains cas une protection contre l’État. J’aimerais savoir d’où vient votre définition
Mais cela ne signifie pas que les entreprises vont dissimuler les traces de données déjà partagées. Ici, il s’agissait de l’adresse e-mail de récupération
Si vous fournissez des données personnelles, commettez un crime, puis demandez qu’on vous le cache, vous ne demandez pas de l’anonymat, vous demandez un complice
Ce qui compte ici, c’est l’écart entre ce que Proton promet et met en avant auprès des utilisateurs et futurs utilisateurs, et ce qu’il peut réellement fournir. Je ne sais pas si Proton explique cela plus ouvertement, mais j’espère que ce n’est pas seulement enfoui dans de longues conditions d’utilisation que presque personne ne lit
ProtonMail a transmis l’adresse de récupération, et Apple a fourni le nom, l’adresse réelle et le numéro de téléphone liés à cette adresse
“Après avoir reçu cette information, ils ont demandé à Apple les informations liées à cette seconde adresse e-mail, et ont obtenu le nom, l’adresse du domicile et le numéro de téléphone. Ensuite, la Guardia Civil a aussi demandé à l’opérateur téléphonique correspondant à ce numéro l’identité du titulaire de la ligne, qui correspondait au nom fourni par Apple. Ils ont également confirmé que cette personne était enregistrée à la même adresse que celle fournie par Apple”
On voit le conseil “si possible, utilisez toujours un bon service VPN pour masquer votre adresse IP”, mais si le VPN est lié à un moyen de paiement, cela n’aurait fait qu’ajouter une étape intermédiaire de plus à remonter pour la police, et cela n’aurait probablement pas sauvé cet activiste
Dans les listes de VPN recommandés, Mullvad n’est souvent classé qu’en 9e position sur 10, mais à ma connaissance c’est le seul qui propose des moyens de paiement préservant l’anonymat
Encore faut-il le séparer totalement du reste de votre identité. Par exemple, il ne faut pas créer une adresse Proton via Tor puis mettre votre adresse e-mail habituelle comme adresse de récupération
La plupart affirment ne pas en conserver, et PIA a au moins une fois répondu à une assignation qu’il n’y avait pas de logs
Je ne vois pas comment la police pourrait remonter au-delà de cette étape intermédiaire pour m’identifier
Montrez-moi ne serait-ce qu’un VPN réputé qui fait cela. Montrez-moi aussi un cas réel où cela s’est produit. Les bons VPN, y compris Mullvad, sont des VPN sans logs, donc l’activité via le VPN n’est pas enregistrée ni rattachable aux utilisateurs
Plusieurs VPN ont non seulement fait vérifier cela par audit, mais cela a aussi été confirmé devant les tribunaux ou dans des tests réels. Mullvad en est un bon exemple : https://restoreprivacy.com/mullvad-vpn-says-customer-data-is...
Le fait qu’un compte VPN soit payé ne signifie pas que le VPN enregistre l’activité de l’utilisateur. La conservation des données de paiement et la journalisation de l’activité utilisateur sur les serveurs VPN sont deux choses différentes. Et la plupart des VPN connus acceptent aussi les paiements en cryptomonnaie
Le point clé, c’est celui-ci :
« En vertu du droit suisse, Proton Mail a été contraint de collecter les informations d’adresse IP de cette personne et de les fournir aux autorités suisses, qui les ont ensuite partagées avec la police française. »
Peu importe les garanties de confidentialité affichées : si elles ne sont pas garanties par la cryptographie, ce ne sont que des gestes symboliques. Personne n’ira en prison pour protéger la vie privée des utilisateurs.
Au cœur de la controverse actuelle, Proton Mail a fourni à la police espagnole l’adresse e-mail de récupération liée au compte Proton Mail d’une personne utilisant le pseudonyme « Xuxo Rondinaire ». Cette personne appartient aux Mossos d’Esquadra, c’est-à-dire la police catalane, et est soupçonnée d’avoir aidé le mouvement Democratic Tsunami en exploitant des connaissances internes.
Après avoir obtenu l’e-mail de récupération auprès de Proton Mail, les autorités espagnoles ont demandé à Apple des informations supplémentaires liées à cette adresse, ce qui a permis d’identifier la personne.
Si vous voulez vous cacher, il faut trouver un fournisseur qui n’opère pas dans le cadre légal. Mais dès qu’il ne s’agit plus d’une transaction légale, on perd beaucoup de commodités. Aucune garantie de recevoir le service payé, et difficile d’espérer une récupération de compte si l’on perd des éléments de sécurité importants.
Le contenu des e-mails est chiffré et Proton Mail n’y a pas accès.
Quand on réfléchit à ce genre d’affaire, il faut toujours garder à l’esprit la construction parallèle : https://en.m.wikipedia.org/wiki/Parallel_construction
Il est tout à fait possible que les autorités disposaient déjà de cette information. Elles ont peut-être même vu des e-mails en clair via une interception légale chez le fournisseur d’accès Internet. La piste Proton/Apple est déjà mauvaise, mais la source réelle était peut-être encore pire.
Proton Mail ne fournit des informations que lorsque le droit suisse l’exige et que les autorités d’enquête suisses le demandent. La législation suisse sur la vie privée est plutôt correcte.
Il est difficile d’attendre d’une entreprise une politique de confidentialité plus stricte que cela.
Proton Mail ne peut pas fournir le contenu des e-mails ; il ne peut fournir que des éléments comme les adresses e-mail ou les adresses IP.
Tout ce que quelqu’un a stocké peut être transmis. Cette information peut être utile, inutile, ou inutile aujourd’hui mais utile demain si la clé est obtenue.
Si l’on crée un compte ProtonMail via Tor, ils demandent une vérification du compte par numéro de téléphone. Si l’on utilise une IP qui n’est pas un proxy, cette étape est ignorée.
En fin de compte, ils veulent savoir qui est l’utilisateur, et c’est le cas depuis des années. À mon avis, c’était depuis longtemps un service d’appât.
Même dans ce cas, l’adresse e-mail n’est pas liée au compte ; seul le hachage cryptographique de l’e-mail est stocké. Comme une fonction de hachage est à sens unique, il est impossible de reconstituer les données d’origine à partir du hachage : https://proton.me/support/human-verification
Par le passé, ils utilisaient la vérification par téléphone, mais ce n’est plus le cas. Les numéros de téléphone étaient aussi stockés de la même manière que les adresses e-mail, donc là aussi il n’existe aucun moyen de revenir au hachage.
La raison de ces procédures est la lutte contre le spam. Malheureusement, cela peut être détourné et l’a effectivement déjà été.
La seule manière, ou presque, de garder l’e-mail un tant soit peu privé est d’utiliser un serveur auto-hébergé avec des clés GPG. Mais au moindre retard dans les mises à jour de sécurité de ce serveur, il peut être compromis presque immédiatement.
Je ne vois pas vraiment ce qu’on peut faire de plus.
J’ai toujours considéré que l’e-mail circulait comme du texte en clair. Mon fournisseur actuel, Fastmail, peut lui aussi être compromis par les autorités. Il est basé en Australie, donc soumis à l’Australian Privacy Act 1988, et ses serveurs fonctionnent à New York, donc il entre aussi dans le périmètre de PRISM.
Si le compte continue d’être utilisé uniquement via Tor, il ne devrait pas laisser d’informations traçables.
Parfois il faut un numéro de téléphone, parfois une adresse e-mail, et parfois un simple CAPTCHA suffit.
Ce n’est pas la première fois qu’un e-mail de récupération est fourni à des autorités fédérales.
https://www.forbes.com/sites/thomasbrewster/2023/08/08/proto...
Archive : https://web.archive.org/web/20230814144638/https://www.forbe...