Proton Mail’in FBI’ın ‘Stop Cop City’ protestocusunun kimliğini tespit etmesine yardım ettiği olay

• Gizlilik odaklı e-posta hizmeti Proton Mail, ABD FBI’ın talebiyle bağlantılı olarak İsviçre hükümetine ödeme verileri sağladı ve bu sayede anonim bir protestocunun kimliği tespit edildi
• Mahkeme kayıtlarına göre Proton Mail, ‘Stop Cop City’ hareketiyle ilişkili bir hesabın ödeme bilgilerini İsviçre makamlarına verdi ve İsviçre hükümeti de bunları FBI’a iletti
• Söz konusu hesap, Defend the Atlanta Forest (DTAF) grubuyla bağlantılıydı ve kundaklama, mala zarar verme, ifşa etme (doxing) suçlamaları kapsamında soruşturuluyordu
• ‘Stop Cop City’ hareketi, Atlanta’daki polis eğitim merkezi inşaatına karşı yapılan protestoları ifade ediyor; bazı katılımcılar ormanda kamp kurmak veya dava açmak gibi çeşitli eylemler yürüttü
• Bu örnek, Proton Mail’in uçtan uca şifreleme ve İsviçre gizlilik yasalarına tabi olduğunu vurgulamasına rağmen, yasal talepler durumunda üçüncü taraflara veri sağlayabileceğini gösteriyor

---

Proton Mail’in veri sağlaması ve FBI soruşturmasına iş birliği

• Mahkeme kayıtlarına göre Proton Mail, ‘Stop Cop City’ ile ilgili e-posta hesabının ödeme verilerini İsviçre hükümetine sağladı ve ardından FBI bu verileri kullanarak hesap sahibini belirledi
  • Proton Mail, gizlilik odaklı bir hizmet olarak biliniyor ve İsviçre gizlilik yasalarına tabi olduğunu öne çıkarıyor
  • Ancak bu olayda ödeme bilgilerinin üçüncü bir tarafa iletildiği doğrulandı
• Bu olay, Proton Mail’in hangi tür verileri dış kurumlara sağlayabileceğini gösteren bir örnek olarak anılıyor

‘Stop Cop City’ ve DTAF grubuna ilişkin soruşturma

• Söz konusu Proton Mail hesabı, Defend the Atlanta Forest (DTAF) ve Stop Cop City hareketiyle bağlantılıydı
  • Yetkililer bu grupları kundaklama, mala zarar verme ve ifşa etme (doxing) suçlamalarıyla soruşturuyordu
• ‘Stop Cop City’ hareketi, Atlanta’daki Intrenchment Creek Park yakınında kurulacak polis eğitim merkezine karşı bir protesto hareketiydi
  • Bazı katılımcılar ormanda kamp kurmak veya dava açmak gibi farklı yöntemlerle itiraz etti
  • Daha sonra 60’tan fazla kişiye yönelik suçlamalar düşürüldü

Proton Mail’in gizlilik politikası ve sınırları

• Proton Mail, uçtan uca şifreleme ve İsviçre yasalarına uyumu vurgulasa da,
  • bu olay yasal talepler halinde ödeme verileri gibi bazı bilgilerin sağlanabileceğini gösteriyor
• Haberde bu durum, Proton Mail’in gerçekte hangi verileri üçüncü taraflara verebileceğini anlamaya yardımcı olan bir örnek olarak sunuluyor

Olayın bağlamı ve sonraki adımlar

• FBI, İsviçre hükümetinden aldığı ödeme verilerini kullanarak anonim hesabın kimliğini tespit etti
• Proton Mail’in veri sağlamasının, kayıtlara göre mahkeme emrine dayalı usule uygun bir iş birliği kapsamında gerçekleştiği belirtiliyor
• Haberde ek hukuki ayrıntılara veya Proton Mail’in resmi açıklamasına yer verilmiyor

Özet anlamı

• Bu olay, gizlilik odaklı bir e-posta hizmetinde bile yasal talepler halinde kullanıcı bilgilerinin verilebileceğini gösteren bir örnek
• Proton Mail’in güvenilirliği ile hukuki yükümlülükleri arasındaki denge yeniden gündeme geliyor
• Şifreli hizmet kullanıcılarının yargı yetkisini ve veri paylaşımının kapsamını bilmesi gerektiğine işaret ediyor

[GN⁺]

Hacker News görüşleri

• Proton Mail ekibinden alınan resmi geri bildirimi paylaşıyor
  Proton'un FBI'a doğrudan bilgi vermediğini açıkça belirttiklerini söylüyor
  Verilerin İsviçre Federal Adalet Bakanlığı tarafından MLAT (Karşılıklı Adli Yardım Anlaşması) süreciyle elde edildiğini aktarıyor
  Proton'un yalnızca İsviçre yasalarına uyduğunu ve sadece İsviçre makamlarının yasal emri olduğunda yanıt verdiğini belirtiyor
  Bu olayın 2024'te patlayıcılar ve silahlı saldırı içeren ağır bir suçla ilgili olduğu için yasal eşiklerin karşılandığını söylüyor
  Açıklanan bilginin yalnızca kredi kartıyla ödeme yapan kullanıcının ödeme tanımlayıcısı olduğunu, e-posta içeriği ya da meta verilerin verilmediğini belirtiyor
  Bunun, Proton'un uçtan uca şifreleme tasarımının pratikte ne kadar sınırlı veri tuttuğunu gösteren bir örnek olduğunu açıklıyor

  • Tüm bunların zaten haberde yer aldığını da ekliyor

• Bu haberin kusursuz olmadığını düşünüyor
  Proton, yasal İsviçre makamlarının talebine uygun hareket etti ve bu, ToS (Hizmet Şartları) içinde belirtilen bir süreçti
  Kullanıcının kredi kartıyla ödeme yapması bir güvenlik hatası (opsec) idi
  Proton'un anonimliğe ihtiyaç duyan kullanıcılar için bir Tor adresi de sunduğunu belirtiyor
  Sonuçta sorunun özünün kullanıcının kendisinde olduğunu söylüyor

• Bunun, Proton Mail'in İsviçre yasaları uyarınca üçüncü taraflara hangi verileri sağlayabileceğini gösteren bir örnek olduğunu söylüyor
  Daha önce Proton'un İsviçre hükümetine güvenilemeyeceğini söyleyip sunucuları İsviçre dışına taşımayı planladığını hatırladığını belirtiyor
  Ancak bu olayda yalnızca ödeme bilgisi gerektiği için sunucu konumunun önemli olmadığını ifade ediyor

  • Proton'un Almanya'ya taşınmak istediğine dair laflar da duyulduğunu, bunun ise gizlilik açısından daha da kötü olabileceğini söylüyor
  • Hiçbir hükümete tamamen güvenilemeyeceği görüşü de dile getiriliyor
  • Proton'un uçtan uca şifrelemesinin yalnızca tüm alıcılar Proton kullandığında anlamlı olduğunu, gerçekte çoğu e-postanın düz metin olarak açığa çıktığını söylüyor; pazarlamanın abartılı olduğunu düşünüyor

• ProtonMail'in daha 2021'de kolluk kuvvetlerine kullanıcı verisi verdiğinin ve TOS'u değiştirdiğinin ortaya çıktığını, bu yüzden şaşırtıcı olmadığını söylüyor

  • Bir warrant'ın basit bir talep değil, yasal emir olduğunu; polisin warrant alabiliyorsa verilere erişebileceğinin varsayılması gerektiğini belirtiyor

• Proton Mail'in yalnızca yasal olarak reddedemeyeceği talepler doğrultusunda, kullanıcının gönüllü olarak sağladığı asgari bilgiyi teslim ettiğini söylüyor
  Anonimlik isteyenlerin kredi kartı ya da ev internet bağlantısı kullanmaması gerektiğini belirtiyor
  Haber başlığının Proton FBI'a yardım etmiş gibi göründüğünü, ama gerçekte durumun böyle olmadığını söylüyor

  • “Proton FBI'a yardım etmedi” ifadesiyle “yasal talep nedeniyle mecburen uydu” ifadesinin aynı anda dile getirildiğini söylüyor

• 404 Media ekibine son dönemde gerçekten çok iyi haberler yaptıkları için teşekkür ediyor

• Proton'un ödeme bilgilerini ne kadar süre sakladığını ve kripto para ödemelerinde de aynı şekilde saklayıp saklamadığını merak ettiğini soruyor

• Çevrimiçi ortamda 'düşünce suçu (thought crime)' nedeniyle cezalandırılmaktan kaçınmanın giderek zorlaştığını iddia ediyor
  Tor, Mullvad VPN, TutaMail, Proton gibi araçlar birlikte kullanılsa bile tam anonimlik sağlamanın zor olduğunu açıklıyor
  Teknoloji çalışanlarının gözetim teknolojilerini geliştirdiği gerçeğinden duyduğu hayal kırıklığını ifade ediyor

  • Tor Browser ile Proton'u tek kullanımlık e-postayla doğrulayarak kullanmanın yeterince güvenli olduğunu söyleyenler de var
  • “Gizliliği koruyan yasalara oy verdin mi, etik standartları destekledin mi, mühendis sendikası kurmaya çalıştın mı?” diyerek geliştiricilerin sorumluluğunu sorgulayan bir görüş de var
  • Gerçekten çevrimiçi ortamda farklı görüş ifade etmenin zor olduğu somut örnekler olup olmadığını soranlar da var
  • Adderall kötüye kullanımının empatiyi azalttığını ve gözetim teknolojileri ya da dark pattern'lere karşı duyarsızlaştırdığını söyleyen bir yorum da var
  • “Batı toplumlarında gerçekten düşünce suçu nedeniyle cezalandırılan bir örnek var mı?” şeklinde itiraz edenler de bulunuyor

• Diğer e-posta servisleri her gün tüm e-posta içeriğini, meta verileri ve ödeme bilgilerini verirken neden onlar hakkında böyle haberler çıkmadığını soruyor
  Proton'un anonim ödemeye izin verdiğini ve şifrelenmiş içeriği çözemediğini, bu yönüyle hâlâ nadir bir servis olduğunu vurguluyor

  • Proton'un kendisini 'güvenli ve özel e-posta' olarak halka çok güçlü biçimde pazarladığı için, verilerin İsviçre hükümeti üzerinden ABD hükümetine aktarılmasının haber değeri taşıdığını açıklıyor
  • Proton'un anonim ödemeye izin verdiği söylense de, aslında hesap kaydı gerektiğini hatırladığını belirten bir görüş de var