À qui se fier en ce bas monde ? Petit scandale cette semaine dans la communauté OPSEC : l’emblématique société suisse Protonmail a été prise en flagrant délit de collaboration avec Europol. Plus précisément, Protonmail a livré à la police les adresses IP de militants « environnementalistes », ce qui a permis l’arrestation de ces derniers, ainsi que la perquisition de leurs domiciles.
La société @ProtonMail a livré à la police les IP de militants pour le climat, suite à quoi ces militants ont été arrêtés et perquisitionnés. ProtonMail prétend pourtant sur son site web ne pas conserver les adresses IP de ses utilisateurs. https://t.co/TlarH9DD9F
— onestla.tech (@OnEstLaTech) September 5, 2021
En fait, les militants environnementalistes en question militaient contre la gentrification du quartier Sainte Marthe à Paris. Une lutte noble à laquelle nous ne pouvons que souscrire, malgré le pedigree plutôt gauchiste des militants en question.
En effet, ce quartier ouvrier historique est depuis quelque années la victime de la rapacité de spéculateurs immobiliers comme Nexity et Edmond Coignet. De plus, comme ailleurs à Paris ou dans les centre-villes des métropoles françaises, les prix explosent tandis que les anciens commerces et artisans traditionnels sont remplacés par les appartements AIRBNB et les bars à hipsters.
Il convient de noter que les militants interpellés semblent clairement appartenir à la mouvance antifa, dont nous ne pouvons ni cautionner les méthodes, ni l’idéologie dépravée.
Détail important : si les médias ont généralement présenté les interpellés comme des « militants écologistes », il faut savoir qu’un l’un des principaux impliqués est accusé de cambriolage.
Le procès de ces individus s’est ouvert au début de l’année 2021. C’est au cours de ce procès qu’il a été révélé que Protonmail avait collaboré avec les forces de police.
Mais cela dit, toute cette affaire soulève des inquiétudes pour tous les utilisateurs des services de Protonmail.
En effet, sur son site, Protonmail garantit (ou plutôt garantissait, jusqu’à cette affaire) :
Aucun suivi ou journalisation des informations personnelles identifiables. Contrairement aux services concurrents, nous n’enregistrons aucune information de suivi. Par défaut, nous n’enregistrons pas les métadonnées telles que les adresses IP utilisées pour se connecter à des comptes.
Notez que ces termes ne sont plus les mêmes depuis quelques jours, ce qui a fait grand bruit sur Twitter et Reddit.
Protonmail a immédiatement fait savoir « qu’ils allaient mettre à jour leur site pour clarifier les obligations de Protonmail en cas de procédures judiciaires ». Le communiqué précise aussi : « Nous clarifions aussi le fait que l’utilisation de notre site onion est hautement recommandé pour les utilisateurs ayant des hauts besoins en matière de confidentialité ».
Alors, Protonmail, menteurs, vendus, collabos ? En fait, ce n’est pas si simple. Le fondateur et CEO de Protonmail, Andy Yen, est lui-même intervenu publiquement pour clarifier les choses en déclarant :
Proton doit se conformer à la loi suisse. Dès qu’un crime est commis, les protections liées à la vie privée peuvent être suspendues et la loi suisse nous oblige à répondre aux demandes des autorités suisses.
D’une manière générale, Protonmail ne peut pas être utilisé par les gens qui pratiquent des activités illégales en Suisse. Ceci est explicitement interdit par nos termes de service.
Proton must comply with Swiss law. As soon as a crime is committed, privacy protections can be suspended and we're required by Swiss law to answer requests from Swiss authorities.
— Andy Yen (@andyyen) September 5, 2021
Ces explications n’ont guère convaincu au sein de la communauté confidentialiste. Furieux, beaucoup ont déclaré vouloir cesser d’utiliser les services Protonmail et se tourner vers la concurrence.
Pourtant, les arguments de Protonmail ont une certaine pertinence. En tant que société suisse, ils doivent répondre à la loi suisse. Cependant, il y a deux problèmes ici :
- D’une part, le principal fait reproché à Protonmail, c’est leur promesse de ne pas enregistrer les adresses IP de leurs utilisateurs.
- D’autre part, il y a le fait que l’affaire en question concernait des suspects français dans le cadre d’événements s’étant déroulés à Paris, et non pas en Suisse. Les éléments du procès ont permis d’apprendre que c’est Europol qui a envoyé une requête à la police suisse pour procéder à l’identification des adresses IP des militants anti-gentrification.
Donc, si la justice française est capable de mobiliser Europol et la police suisse pour une bande de gauchistes anti-gentrification, imaginez ce qu’elle serait capable de faire pour identifier des militants de droite. Certes, ces derniers ne se livrent ni à la violence, ni aux dégradations des propriétés privées, mais l’actualité nous prouve que le régime se montre beaucoup plus féroce contre les simples crimes de pensée des catholiques et des nationalistes français, qu’envers les actes de terrorisme ou de violence de l’extrême-gauche.
Il convient donc de garder ces choses à l’esprit en utilisant Protonmail. Nous ne pensons pas que Protonmail soit totalement compromis. Simplement, il ne faut pas s’imaginer qu’un service utilisant les différents protocoles emails puisse faire des miracles. Sachez en effet que les protocoles emails sont parmi les moins confidentiels au monde. Un email, c’est essentiellement du texte clair qui transite sur internet, un peu comme les SMS. Protonmail permettent d’ajouter un encryptage du contenu des emails, mais cet encryptage n’est efficace qu’entre deux adresses Protonmail. Utiliser un compte Protonmail pour envoyer un email à une adresse Hotmail ou Gmail n’encryptera pas du tout le contenu du mail.
De plus, l’encryptage du contenu des emails est une chose, mais le rattachement de l’utilisateur du compte à une adresse IP en est une autre.
Si vous êtes un militant et que vous estimez être sous surveillance rapprochée, il va de soit que vous devriez éviter d’utiliser Protonmail sans au minimum un bon VPN ou sans passer par l’adresse onion du site et surtout dans utiliser PGP.
Et ceci vaut également pour les services concurrents comme Tutanota. En conclusion, nous continuerons à faire confiance aux services Protonmail dans la limite du raisonnable, sans naïveté aucune. Le seul reproche valable qu’on puisse leur faire, c’est de n’avoir pas été assez explicites et francs dans leur présentation de leurs services avant cette affaire.
