ProtonMail modifie sa politique après avoir abandonné les données d’un militant

Ce week-end, des nouvelles a cassé que le service de messagerie anonyme ProtonMail retourné l’adresse IP et l’empreinte du navigateur d’un militant français pour le climat aux autorités suisses. Cette décision semblait contredire les propres politiques de l’entreprise axées sur la confidentialité, qui indiquaient pas plus tard que la semaine dernière : « Par défaut, nous ne conservons aucun journal IP pouvant être lié à votre compte de messagerie anonyme ».

Après avoir fourni les métadonnées de l’activiste aux autorités suisses, ProtonMail a supprimé la section qui promettait l’absence de journaux IP, la remplaçant par une autre disant: « ProtonMail est un e-mail qui respecte la vie privée et donne la priorité aux personnes (pas aux annonceurs) ».

Pas de journalisation ‘par défaut’

Comme d’habitude, le diable est dans les détails : la politique d’origine de ProtonMail disait simplement que le service ne conserve pas les journaux IP « par défaut ». Cependant, en tant qu’entreprise suisse, ProtonMail a été obligée de se conformer à la demande d’un tribunal suisse lui demandant de commencer l’enregistrement de l’adresse IP et des informations d’empreinte digitale du navigateur pour un compte ProtonMail particulier.

Ce compte était exploité par le chapitre parisien de Youth for Climate, que Wikipedia décrit comme un mouvement inspiré de Greta Thunberg axé sur les élèves qui sautent les cours du vendredi pour assister à des manifestations.

Selon plusieurs déclarations de ProtonMail publiées lundi, il n’a pas été en mesure de faire appel de la demande suisse de journalisation IP sur ce compte. Le service n’a pas pu faire appel à la fois parce qu’une loi suisse avait effectivement été enfreinte et parce que des « outils juridiques pour les crimes graves » ont été utilisés – des outils que ProtonMail juge inadaptés au cas d’espèce, mais auxquels il était légalement tenu de se conformer.

Lire aussi  Une Chinoise qui a pénétré dans le Trump Mar-a-Lago Resort a été expulsée

Déployez votre navigateur Tor

En plus de supprimer la référence trompeuse mais techniquement correcte à la politique de journalisation « par défaut », ProtonMail s’est engagé à encourager les militants à utiliser le réseau Tor. La nouvelle section « Vos données, vos règles » sur la page d’accueil de ProtonMail renvoie directement à une page de destination regroupant des informations sur l’utilisation de Tor pour accéder à ProtonMail.

L’utilisation de Tor pour accéder à ProtonMail peut accomplir ce que ProtonMail lui-même ne peut légalement : l’obscurcissement des adresses IP de ses utilisateurs. Étant donné que le réseau Tor cache l’origine du réseau d’un utilisateur avant que les paquets n’atteignent ProtonMail, même une assignation valide ne peut pas obtenir cette information de ProtonMail, car elle ne la reçoit jamais en premier lieu.

Il convient de noter que l’anonymat offert par Tor repose sur des moyens techniques et non sur des politiques, ce qui pourrait être une arme à double tranchant. Si un organisme gouvernemental pouvez compromettre les nœuds Tor que le trafic traverse afin de suivre ses origines, aucune politique n’empêche le gouvernement de le faire ou d’utiliser ces données à des fins d’application de la loi.

ProtonMail exploite également un service VPN appelé ProtonVPN, et il souligne que la loi suisse interdit aux tribunaux du pays d’obliger un service VPN à enregistrer les adresses IP. En théorie, si Youth for Climate avait utilisé ProtonVPN pour accéder à ProtonMail, le tribunal suisse n’aurait pas pu obliger le service à exposer sa « vraie » adresse IP. Cependant, la société semble pencher davantage pour recommander Tor à cette fin particulière.

Lire aussi  N'essayez pas d'atteindre ce robocaller. Il ne répondra pas au téléphone

Il n’y a que tant de choses qu’un service de messagerie peut chiffrer

ProtonMail prend également soin de souligner que, bien que l’adresse IP et l’empreinte digitale du navigateur de son utilisateur aient été collectées par les autorités suisses agissant pour le compte d’Interpol, les garanties de l’entreprise en matière de courrier électronique teneur la vie privée n’a pas été violée.

Le service utilise un cryptage de bout en bout et ne possède délibérément pas la clé nécessaire pour décrypter le corps ou les pièces jointes de l’e-mail d’un utilisateur. Contrairement à l’adresse IP source et à l’empreinte digitale du navigateur, la collecte de ces données n’est pas possible en modifiant simplement une configuration sur les propres serveurs de l’entreprise, comme l’exige une ordonnance du tribunal.

Bien que ProtonMail puisse chiffrer et chiffre le corps de l’e-mail lui-même avec des clés non disponibles pour les serveurs qui les traitent, le protocole SMTP exige que l’expéditeur, le destinataire et l’horodatage du message soient accessibles au serveur. L’accès au service via Tor ou un VPN peut aider à masquer les adresses IP et les empreintes digitales du navigateur, mais le service peut toujours être légalement contraint de fournir l’un de ces champs aux forces de l’ordre suisses.

De plus, les lignes d’objet des e-mails pourrait également être crypté sans enfreindre le protocole SMTP, mais dans la pratique, le service de ProtonMail ne le fait pas, ce qui signifie que les tribunaux compétents peuvent obliger le service à fournir également ces données.

Cette histoire est apparue à l’origine sur Ars Technica.


Plus de belles histoires WIRED

Lire aussi  Stephen Gutowski de Reload rapporte une énorme fuite d'informations privées sur les propriétaires d'armes à feu par le bureau de California AG - .

.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée.

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

Recent News

Editor's Pick