Proton schrapt producttekst ProtonMail over het niet bijhouden van ip-logs

Proton heeft de productinformatie over ProtonMail aangepast op zijn website. Het bedrijf schrijft sinds enkele dagen niet meer dat IP-adressen niet meer gelogd worden. In plaats daarvan verwijst het bedrijf nu naar diens versleuteling en een anonieme gateway via Tor.

Tot voor kort stond er te lezen op de productpagina van ProtonMail dat IP-logs niet worden bijgehouden. Hierdoor konden deze niet gelinkt worden aan het anonieme mailaccount. Enkele dagen geleden verdween deze melding echter van de website. In plaats daarvan schrijft Proton nu dat de versleuteling van ProtonMail ervoor zorgt dat gebruikersdata van de gebruiker blijft. Het bedrijf vermeldt ook een anonieme gateway-optie via Tor. Er wordt dus niet meer gecommuniceerd over het al dan niet opslaan van IP-logs.

Eerder deze maand kwam ProtonMail nog in het nieuws. De op privacy gerichte e-maildienst werd verplicht om het IP-adres van een klimaatactivist te verstrekken aan de Zwitserse autoriteiten. Aanvankelijk kwam dit verzoek van de Franse politie, maar Proton weigerde dit verzoek. Via Europol werd het verzoek overgenomen door de Zwiterse overheid, waarna Proton niet meer kon weigeren.

Op reddit reageerde Proton op het voorval. Het bedrijf legde daar uit dat het standaard geen IP-adressen monitort. Het zou naar verluidt begonnen zijn met het loggen van IP-activiteiten nadat een bindend gerechtelijk bevel het bedrijf daartoe dwong. Proton benadrukte ook dat de versleuteling van ProtonMail niet omzeild kan worden, ook niet wanneer het bedrijf een gerechtelijk bevel ontvangt.

Reacties (76)

[Terrestrial]

Zo'n anonieme Tor gateway is leuk maar dan moet je ook nog als gebruiker anoniem weten de betalen. En je moet je identiteit niet weggeven in het mail verkeer zelf hoewel dat volgens hun versleuteld is en ze zeggen daar niet in te kunnen. Maar als jij 1 mailtje naar iemand bij ziggo stuurt en daar je naam in zet... is het natuurlijk ook weer leesbaar.

[Reactie gewijzigd door Terrestrial op 23 juli 2024 00:50]

[Blokker_1999]

Zij kunnen ook niet bij je mails. Je moet je even inlezen in hoe alles is opgezet. Jouw computer genereert het sleutelpaar dat voor encryptie gebruikt wordt. Alleen met de private sleutel, die jij in handen hebt en nooit naar de dienst wordt gestuurd, kan de data in je mailbox ontsleuteld worden. Je browser voorkomt dat de dienst zelf ooit ook maar enige toegang tot die sleutel kan krijgen en ook met de publieke sleutel kan niet geknoeid worden.

De enige manier dat zij ooit kunnen zien wat er in je mailbox zit is door inkomende en uitgaande mails, als deze niet zelf versleuteld zijn, te gaan onderscheppen en in een aparte mailbox te zetten. Maar als ze die mogelijkheid zouden hebben en ooit bekend moeten maken dat ze er gebruik van hebben gemaakt, dan is het gedaan met de dienst vrees ik.

[Superstoned]

Hoe voorkomt de browser dat je private sleutel naar Proton gaat? Als er nu eens een gerechterlijk bevel kwam waardoor Proton hun JS code die in jouw browser draait moet aan passen om jouw prive sleutel naar de FBI te sturen, kunnen ze dat dan doen?

[Sando]

Ja. Althans, Proton schermt altijd met "Zwitserse wet! No Murica!" dus ik weet niet hoe stevig die legale firewall is. Maar net zo makkelijk als ProtonMail "op bevel" het IP-adres van één specifieke gebruiker kon loggen, zo kan ProtonMail ook de mail inzien of de keys kopiëren van één specifieke gebruiker* als ze dat echt, echt willen/moeten. Die mogelijkheid is inherent aan de gebruikersvriendelijkheid van de website.
*) Maar dan moet die gebruiker wel minstens één keer inloggen sinds die beslissing.

Daarom raad de OpenGPG foundation af (de webcrypto-implementatie van) ProtonMail te gebruiken, en linkt daarbij naar dit artikel:

Cryptography is a systems problem, and the web is not a secure platform for application delivery. The web is a way to easily run untrusted code fetched from remote servers on-the-fly.

Onthoud daarom goed: ProtonMail is géén veilige haven voor gevoelige email. Daarvoor moet je echt client-side software met externe PGP gebruiken. ProtonMail is wel een goed wapen tegen profiling en tracking van commerciële bedrijven als Google.

[Reactie gewijzigd door Sando op 23 juli 2024 00:50]

[Superstoned]

Ok, fair enough, dat dacht ik al - als je ECHT bezorgd bent over overheidsinterference dan is Proton ook geen oplossing. Mijn zwitserse security vriend zegt trouwens ook dat de Zwitzerse privacy wetten helemaal niet zo bijzonder sterk zijn, de Duitse wet is beter wat dat betreft dus hij raad aan bij een Duits bedrijf te hosten als je om privacy geeft. Tja ;-)

[GuNNiX]

Enkel de inhoud van de mail is versleuteld bij ProtonMail. Alle metadata is onversleuteld. De titel, afzender, ontvanger en tijd van de mail zijn steeds leesbaar. Ook door de derde partij die de customer service doet voor ProtonMail. Het is maar dat je het weet.

[thomvh]

Bron? Want ze leggen zelf uit dat dit inderdaad het geval is bij PGP en bij niet encrypted email. Maar proton naar proton is volledig encrypted.

[InflatableMouse]

De bron:
https://protonmail.com/su...e-base/what-is-encrypted/

In het kort: het ligt er aan waar het vandaan komt of waar het naar toe gaat.

[thomvh]

Ja dat is wat ik zelf aanhaal. Maar niet wat GuNNiX zegt. Die insinueert dat ze ten alle tijden je metadata kunnen aanhalen.

[InflatableMouse]

Hij heeft het gewoon mis, denk ik .

[GuNNiX]

Ben er zelf achter gekomen omdat ik mijn wachtwoord vergeten was. De support verloopt via een derde partij en deze kunnen de metadata van je inbox gewoon inkijken.

Wat proton naar proton betreft dat kan inderdaad wel anders zijn.

Na herstel mailbox zijn van mijn oude mails de titels, afzender en tijdstip nog te lezen. De inhoud blijft versleuteld tot het correct oud wachtwoord ingevuld wordt.

Voor mij is het een goede service, ik stel vast dat er wel wat onduidelijkheid is bij sommigen over wat juist versleuteld is. Mijn reactie is dan ook op de post van Blokker_1999 die impliceert dat ze geen data in je inbox kunnen lezen. Dit is jammer genoeg een illusie.

[Reactie gewijzigd door GuNNiX op 23 juli 2024 00:50]

[Aardedraadje]

Voor bijvoorbeeld Mullvad (Een VPN-provider) is het mogelijk cash in een envelop op te sturen, met alleen vermelding van een accountnummer. Zou hiervoor een mooi idee zijn.

[honey]

Als VPN bedrijven niks loggen, is dat helemaal niet nodig. Dan zijn alleen je betalingsgegevens inzichtelijk, maar geen data over het gebruik.

[bytemaster460]

Nee, je kunt wel als provider voet bij stuk houden en niet eens infrastructuur hebben om te loggen, maar als Justitie komt zal je de logging toch moeten inrichten, en doe je dat niet dan doet Justitie dat zelf.

[honey]

Alles hangt natuurlijk wel af hoeveel macht je hebt als overheid over een bedrijf in een ander land. Ik gebruik bijv. Nord VPN, deze staat niet in Europa.

[surfin]

Kun je uitleggen wat het voordeel is van de vpn server niet in Europa hebben staan? (en waar dan wel)

[honey]

De EU, maar ook met name de 14 Eyes landen hebben afspraken gemaakt om gegevens te delen. VPN-diensten, zoals NordVPN (gevestigd in Panama) liggen buiten deze gebieden en overheidsverzoeken om mee te werken aan onderzoek/surveillance zal minder vanzelfsprekend zijn.

Het is goed te realiseren dat niks honderd procent anoniem en veilig is. Ik denk dat overheden veel kunnen als de urgentie maar hoog genoeg is. Bin Laden hebben ze ook gevonden. Maar, het gaat om drempels opwerpen. Als er genoeg drempels zijn, zal een overheid/organisatie minder snel jouw als target kiezen.

Een voorbeeld, downloaden van een torrent site. Er zijn nog steeds mensen die geen VPN gebruiken. Deze personen broadcasten hun eigen IP-adres en het is heel simpel om deze personen een chantage schikkingsvoorstel te sturen. Gebruik je een VPN, dan kan stichting Brein je niet meer vinden. Deze drempel is (voor nu) te hoog.

[surfin]

Dank voor de toevoeging

[bytemaster460]

Dat klopt, maar hier ging het om de Zwitserse wet, de Zwitserse overheid en een Zwitsers bedrijf.

[devices]

Ik weet toevallig dat posteo datzelfde aanbied.

[cheezhead]

proton bied volgens mij vanaf het begin al betaling via cash aan
https://protonmail.com/support/knowledge-base/payment/#cash

[SkiFan]

Mag toch aannemen dat de mailservers van Ziggo wel TLS ondersteunen?

[Terrestrial]

Je mag aannemen wat je wilt maar uiteindelijk is er altijd wel een omweg.

[SkiFan]

Alleen als men toegang krijgt tot de mail infra van Ziggo.

[TheekAzzaBreek]

Zo'n anonieme Tor gateway is leuk maar dan moet je ook nog als gebruiker anoniem weten de betalen.

Waarom is dat nodig?
Als je betaling herleidbaar is, is dat toch nog niet aan je activiteiten te koppelen?

[Superstoned]

Jawel toch? Als ze weten wie betaald voor een account kunnen ze er ook wel vanuit gaan dat de anonieme persoon die via Tor op bepaalde tijden inlogged en naar bepaalde mensen emails stuurt dezelfde persoon is. Dan heeft Tor dus ook weinig zin...

[TheekAzzaBreek]

Als je een account aan een ip adres kan knopen weet je wie het Tor netwerk ingaat. Maar dan weet je toch nog niet wat die persoon op dat netwerk uitvoert?

[Superstoned]

Nee, de veiligheid van Tor blijft natuurlijk. Maar je weet wel wie het account op Proton heeft, je hebt de koppeling tussen account - betaling - persoon. Dus als je als gebruiker anoniem wilt bijven voor Proton dan helpt Tor niet. Als je niet wil dat een 3e partij ziet dat je bij Proton je mail doet, dan helpt Tor wel...

[Anoniem: 392841]

Tsja. Op zich klopte het oorspronkelijke statement wel, tot het moment dat het niet te negeren gerechtelijke bevel kwam.

Op zich verstandig dat ze het er nu uitlaten, want de hoeveelheid (pardon my French) gemierenneuk nadat het nieuws over het loggen bekend werd was bijzonder irritant.

[SED]

Dat klopt natuurlijk niet. Als je niets logde heb je niks te delen met justitie.
Ze hielden dus wel degelijk in tegenstelling tot de bewering, logs bij.

[jdh009]

Wat ik begreep moesten ze die onder dwang gaan bijhouden. Dat is wel wat anders, de vraag is of je dan zomaar mag melden dat je opeens wel logs bij gaat houden, gezien dat de operatie van de autoriteiten in gevaar kan brengen.

[Jerie]

Daar is de warning canary voor uitgevonden. Arguably is dit 'm, maar hij functioneerde niet bijzonder goed of snel. Wel is er minder stront aan de knikker dan bij Lavabit want toen wilde men de inhoud (OPSEC zat verder OK in elkaar).

Gezien het vrij logisch is dat middels targeted surveillance een dergelijk IP adres gelogd moet worden, zie ik het probleem niet. Hier zit in NL altijd iets als een OvJ of RC tussen die zoiets beslist. Wanneer dit soort data massaal wordt opgevraagd of standaard beschikbaar is riekt het naar mass surveillance. Gelukkig is deze data bij o.a. Google en Facebook openbaar in hun privacy report.

@rept idd dank

[Reactie gewijzigd door Jerie op 23 juli 2024 00:50]

[rept]

Je bedoelt Warrant Canary
https://en.m.wikipedia.org/wiki/Warrant_canary

[SirBlade]

De meeste juristen zijn het er over eens dat warrant canaries niet werken. En hoewel rechters misschien niet veel ervaring met IT hebben, ze hebben eeuwenlange ervaring met slimmeriken die denken de wet beter te kennen dan juristen.

[Jerie]

Welke juristen, over welke wet gaan ze? Over welke jurisdictie(s) gaat of gaan je bron(nen)?

Voorbeeld: NSL. Mag alleen over metadata gaan. Nondisclosure gedeelte kun je aanvechten. Is dus geen verloren zaak, kan het wel worden.

[OMX2000]

Ze zullen het vast pas gemeld hebben nadat het door justitie in Zwitserland goed is gekeurd. En vanaf dat moment zal het juridisch ook wel zo zijn dat ze die tekst moesten aanpassen.

[Anoniem: 392841]

....

Ze hadden de mogelijkheid tot loggen maar deden dat niet (volgens hun eigen statement). Alleen na dat gerechtelijk bevel moesten ze verplicht een tap plaatsen op de metadata van de account van die persoon.

[Maxxi]

In Nederland is een dergelijke partij verplicht te loggen.

[patviev]

Nee, zoals in de tekst staat loggen ze bij default niet...ze beginnen pas met loggen van het ip-adres als ze daar een gerechtelijk bevel van hebben ontvangen.

[Blokker_1999]

Sowieso moet je niet voor een dienst kiezen omdat ze geen logs bij houden. Ga er altijd van uit dat ze dat wel doen. Want zelfs als ze er voor kiezen om het niet te doen kan het altijd aangezet worden per ongeluk, door een hack, ...

[patviev]

Dat klopt, maar anonimiteit is voor mij ook niet de reden om Protonmail te gebruiken.

[GeroldM]

Dat klopt, maar anonimiteit is voor mij ook niet de reden om Protonmail te gebruiken.

Toch wel, maar dan waarschijnlijk om jouw data zo anoniem mogelijk te behouden voor FaceBook, Google en consorten.

Begrijp de strekking van je post, maar ontsnappen aan de grijpgrage vingers en datahonger van sociale media valt mijns inziens ook onder anonimiseren.

[metbril]

Toch wel, maar dan waarschijnlijk om jouw data zo anoniem mogelijk te behouden voor FaceBook, Google en consorten.

Zo anoniem mogelijk is natuurlijk betrekkelijk wanneer je met je ProtonMail account een bericht stuurt naar of ontvangt van een Gmail of Outlook gebruiker.

[tormentor1985]

Je kan prima je mail gpg encrypten van protonmail naar gmail en visa verse mits je dat zelf even ingeregeld. Gewoon publieke sleutel in de keyserver hangen en/of uitwisselen en je bent ready to go, Dan valt er niet veel te lezen hoor door gmail, outlook of welke dienst dan ook. Ook de autoriteiten kunnen dan niets zolang je jou private key niet laat uitlekken. Het enige wat ten alle tijden leesbaar zal blijven is metadata in de from, to, cc, bcc en subject headers.

[kodak]

Dat ze by default niet loggen is niet zomaar een bewering, het is gebaseerd op wat er op de website stond. Jij doet een beschuldigende bewering die helemaal nergens op gebaseerd lijkt. Terwijl je daarbij wel even weg laat dat er dus ook andere situaties kunnen zijn. Dus lijkt het redelijker dat je zelf bij je bewering eens wat bewijs gaat geven terwijl je aan het beschuldigen bent.

[SED]

Het gaat wat verder dan een ip adres loggen. Er werd meer vastgelegd.

According to a copy of the police report circulating on Twitter, the details French Police managed to find include the email address creation date, the IP address of the user, the device used, and the phone number tied to it.

OOk de bewering die ze deden dat ze geen data doorgeven bleek flinke loopholes te bevatten.

Under Swiss law, ProtonMail should notify the user if a third party makes a request for their private data and if the data is for a criminal proceeding.

Dat moesten ze dus ook laten aangezien de rechter die opdracht gaf .
Kortom, veel privacy maar net zoveel loopholes om die te omzeilen.
Of dat de "schuld" is van Proton of onze rechtssystemen laat ik in het midden.
Ik verwijt ze marketing taal die ze niet (nooit) waar kunnen maken.
En dat ligt hier nogal gevoelig zie ik

[kodak]

De discussie waar ik op reageer is je stelling dat ze bij protonmail iets anders doen dan ze beweren. De tekst was: by default niet. Dat kan op geen manier opgevat worden dat ze dus niet loggen. Als er iets onder omstandigheden niet zal gebeuren dan zijn er kennelijk ook uitzonderingen. Dat er voor onderzoek vervolgens bepaalde gegevens zijn wil dan nog niet zomaar betekenen dat er by default wel gegevens zijn, dat ligt aan de omstandigheden en daar kunnen er meer van zijn. Bijvoorbeeld dat er voor een proxy wat deze verdachte ook gebruikte al een onderzoek bestond.

[SED]

Ze beweren zaken die ze niet waar kunnen maken. Dat is verwijtbaar.

[kodak]

Niet waar kunnen maken is niet het zelfde als het in de praktijk ook werkelijk niet waar maken. Daarbij lees ik nog steeds geen argument dat ze het by default niet loggen werkelijk niet doen. Het is niet zomaar redelijk een ander te gaan verwijten omdat je maar wat aan neemt wat je goed uit komt om het te kunnen beweren en andere zaken weg laat. We mogen daarbij toch ook wel verwachten dat als een bedrijf omschrijft dat er ook niet default situaties kunnen zijn die dan van toepassing zijn, in plaats van maar wat te bedenken wat ze doen alsof dat dan de waarheid is.

[SED]

Niet waar kunnen maken is niet het zelfde als het in de praktijk ook werkelijk niet waar maken

Leg dat eens uit.

[FirePuma142]

Bewijs jij anders even dat ze voor het gerechtelijk bevel wel ip-adressen logden zoals je zo stellig beweerde.

[Terrestrial]

Zo werkt het altijd ook bij de VPN providers, wij loggen niet bla bla totdat ze gevraagd worden om mee te werken een gebruiker te ontmaskeren en uiteraard gebeurd dat meestal onder het mom van er is een kind in direct gevaar of er een komt een terroristische aanslag of als je niet meewerkt laden we jullie servers op.

Het punt is dat je er nooit van uit moet gaan dat je veilig/anoniem bent of dat ze de waarheid spreken.

[Reactie gewijzigd door Terrestrial op 23 juli 2024 00:50]

[Kecin]

Ze communiceren het wel op de juiste manier. Ik begreep ook dat ze alleen de log gingen bijhouden van alleen deze persoon? Mijn vertrouwen heeft Protonmail wel maar als ze echt moeten van een rechter, liever zo dan via een backdoor van een inlichtingendienst.

[Mayonaise]

Hier ben ik het zeker mee eens. Als een rechter met harde bewijs een persoon wil onderzoeken, dan moet het wel kunnen. Niet zomaar de hele wereld bijhouden.

[Roel911]

Dit lost het "issue" niet op. Bij de meeste VPN-providers ben je via minimaal 2 manieren te traceren; via het bankrekeningnummer of het ip-adres (reeds genoemd). Tor gebruiken en daarna koppelen aan Protonmail zorgt ervoor dat je identiteit alsnog achterhaald kan worden.

[wizzkizz]

Proton heeft een gratis versie waarvoor je geen gegevens hoeft op te geven. Die kun je dus via TOR benaderen zonder je identiteit of IP vrij te geven.

[Reactie gewijzigd door wizzkizz op 23 juli 2024 00:50]

[devices]

Ik heb dat dus geprobeerd, maar je komt niet langs de human check. Alleen zonder Tor kom je tot de stap waar je een alternatief email of telefoonnummer moet ingeven.

[BaszCore]

Voor een telefoonnummer zou een prepaid gebruikt kunnen worden. De provider weet alleen met welke zendmast dat nummer is verbonden. Desnoods rij je daarvoor naar een bos of industrieterrein.

[cheezhead]

je kan bij protonmail betalen met cash

[kalikatief]

Wat een storm in een glas water, zeg. Normale bedrijven zoals Proton staan niet boven de wet. Dat ze niets loggen staat dus ondergeschikt aan de lokale wetgeving die redelijk privacygezind is vergeleken met wetgeving in veel andere landen. Maar als er dan een gerechtelijk bevel komt dat ze alsnog met een IP adres voor een bepaalde account op de proppen moeten komen, dan is dat alleen mogelijk door voor die account het IP adres bij te houden totdat er aan het gerechtelijke bevel is voldaan.

[Roel911]

Informatie die ze niet loggen, kunnen ze ook niet afgeven. Alhoewel er met metadata - al dan niet via tussenliggende hops - nog veel te achterhalen valt

[cheezhead]

op het moment dat een ip adres met de servers van protonmail verbind word dat per definitie "geregistreed' simpelweg omdat er een actieve ip-ip verbinding is. protonmail schreef dat alleen op geen enkele manier naar een vast medium / bewaarde dat. als ze vervolgens een opdracht krijgen om voor een mailbox het ip te achterhalen kunnen ze simpelweg met bijvoorbeeld wireshark of iets dergelijks gaan kijken wie met die mailbox verbind. dus het moment dat ze de order kregen zijn ze gaan monitoren. ze hebben niks afgegeven wat ze al hadden, ze zijn gaan verzamelen naar aanvraag.

[Roel911]

Het komt uiteindelijk neer op vertrouwen. Ik ga er vanuit dat de meeste mensen het beste met elkaar voor hebben, echter een paar rotte appels verzieken het voor de rest.

[SwaggyEggs]

Wat heb je aan een ip adres als je het e-mailadres en de identiteit van die persoon al weet? Blijf je anoniem, dan kan proton je ip ook niet loggen want een verzoek kan niet opgesteld worden. Of mis ik wat?

[bytemaster460]

Locatie misschien?

[Kabouterplop01]

Als je denkt dat je in deze tijd iets anoniems kunt doen...dan heb je het fout. Zelfs met tor. Als eindgebruiker misschien niet, maar als ISP wel.
Er is altijd metadata.
sessieinformatie w/e
Goed van protonmail dat ze de statement aanpassen; bij een gerechtelijk bevel of vordering moet men meewerken. Dat is hier ook. Dan worden er zaken omgebouwd om te kunnen loggen en/of tracen.

[bytemaster460]

Toch lijken maar weinig mensen via TOR gesnapt te worden. Als het lukt is het meestal niet via metadata maar via exploits in TOR of onvoorzichtigheid door een script af te trappen.

[Kabouterplop01]

fair enough, maar dan heb je hoogstwaarschijnlijk wel wat op je kerfstok als men zulke methodes hanteert.

[bytemaster460]

In Europa wel, maar in andere delen van de wereld worden zo ook activisten opgespoord.

[MartijnHavinga]

Facebook kan nog steeds niet bij jouw data, tenzij jij of de ontvanger van jouw bericht deze naar ze toe stuur d.m.v. de meld knop.

[Anoniem: 113730]

Hoe weten we zeker dat WhatsApp niet programmatisch via een dergelijke “omweg’ alsnog berichten of door AI gegenereerde data doorstuurt naar Facebook!?

[MartijnHavinga]

Helemaal zeker weet je dat natuurlijk nooit, maar de code en het gedrag van WhatsApp wordt redelijk goed in de gaten gehouden door externe partijen die maar wat graag zulk gedrag willen vinden.