Proton Mail ने साइबरसिक्योरिटी एजेंसी के अनुरोध पर पत्रकारों के अकाउंट निलंबित किए
(theintercept.com)- Proton Mail ने कोरियाई सरकारी सिस्टम हैकिंग पर रिपोर्टिंग कर रहे पत्रकारों के अकाउंट को एक साइबरसिक्योरिटी एजेंसी के अनुरोध पर अस्थायी रूप से निलंबित कर दिया
- अकाउंट बहाल होने के बाद भी पत्रकारों ने Proton के निलंबन निर्णय की प्रक्रिया और आधार पर स्पष्ट स्पष्टीकरण की मांग की
- दुनिया भर के कई मीडिया संगठन Gmail के विकल्प के रूप में Proton Mail का उपयोग करते हैं, और इस घटना ने प्राइवेसी और विश्वसनीयता को लेकर चिंताएं बढ़ा दी हैं
- Proton ने माना कि बाहरी एजेंसी की रिपोर्ट के आधार पर अकाउंट पर कार्रवाई की गई, लेकिन उसने संबंधित एजेंसी का सटीक नाम या आधार सार्वजनिक नहीं किया
- यह घटना संकेत देती है कि पत्रकारों, whistleblowers और security researchers जैसे संवेदनशील उपयोगकर्ताओं के लिए सुरक्षा नीतियों को और मजबूत करने की जरूरत है
Proton Mail ने साइबरसिक्योरिटी एजेंसी के अनुरोध पर पत्रकारों के अकाउंट निलंबित किए
Proton की पहचान और पत्रकार अकाउंट निलंबन
- Proton एक ईमेल सेवा है जो खुद को "व्यक्तिगत डेटा की सुरक्षा करने वाला तटस्थ और सुरक्षित स्थान, और स्वतंत्रता की रक्षा के लिए समर्पित" बताती है
- पिछले महीने, एक साइबरसिक्योरिटी एजेंसी के अनुरोध पर कोरियाई सरकारी कंप्यूटर सिस्टम हैकिंग पर रिपोर्टिंग कर रहे दो पत्रकारों के Proton Mail अकाउंट निष्क्रिय कर दिए गए
- सार्वजनिक विरोध और लंबे समय के बाद अकाउंट बहाल कर दिए गए, लेकिन पत्रकारों और संपादकों ने Proton की अकाउंट निलंबन निर्णय-प्रक्रिया पर स्पष्ट जवाब मांगा
पत्रकार सुरक्षा और इस घटना के प्रभाव
- Freedom of the Press Foundation के Martin Shelton ने कहा कि कई मीडिया संगठन Proton Mail को Gmail आदि के विकल्प के रूप में चुनते हैं, ताकि ऐसी परिस्थितियों से बचा जा सके
- यह भी राय सामने आई कि जब पत्रकार Proton सेवा का उपयोग करें, तो निलंबन जैसे संवेदनशील मुद्दों पर पहले निजी संवाद को प्राथमिकता दी जानी चाहिए
- Reddit पर Proton के आधिकारिक अकाउंट ने इस मामले को "बढ़ा-चढ़ाकर पेश किया गया" बताया और कहा कि पत्रकार अकाउंट जानबूझकर ब्लॉक नहीं किए गए थे
पत्रकार अकाउंट निलंबन की पृष्ठभूमि
- जिन पत्रकारों के अकाउंट निष्क्रिय किए गए, वे Saber और cyb0rg थे, जिन्होंने Phrack के अगस्त अंक में कोरियाई सरकारी संस्थानों की हैकिंग से जुड़े APT हमलों (Advanced Persistent Threat) पर रिपोर्ट लिखी थी
- उन्होंने उत्तर कोरिया से जुड़े माने जाने वाले "Kimsuky" जैसे हैकिंग पैटर्न का पता लगाया, और Responsible Disclosure प्रक्रिया के तहत कमजोरी मिलने पर संबंधित एजेंसियों और सुरक्षा संगठनों (Korea Internet and Security Agency, KrCERT/CC आदि) को पहले से सूचित किया
- KrCERT ने उन्हें धन्यवाद देते हुए जवाब भी भेजा
CERT और साइबरसिक्योरिटी रिपोर्टिंग सिस्टम
- CERT (Computer Emergency Response Team) सुरक्षा घटनाओं के जवाब में विशेषज्ञता रखने वाला संगठन है
- CERT 70 से अधिक देशों में मौजूद हैं, कुछ सरकारी और कुछ निजी स्तर पर संचालित होते हैं, और अलग-अलग क्षेत्रों में विशेषज्ञता रखते हैं
- अमेरिका में Cybersecurity and Infrastructure Agency इसका एक प्रमुख उदाहरण है
अकाउंट निलंबन प्रक्रिया और मूल्यों पर विवाद
- Phrack के प्रिंट संस्करण के प्रकाशित होने के लगभग एक हफ्ते बाद, कमजोरी के खुलासे के लिए बनाए गए Proton Mail अकाउंट निलंबित कर दिए गए
- "नीति उल्लंघन की संभावना" को कारण बताया गया, और Proton Abuse Team ने अकाउंट्स के बीच संबंध तथा "दुर्भावनापूर्ण उपयोग" का हवाला देकर अकाउंट बहाली से इनकार किया
- Phrack के संपादकों ने तर्क दिया कि हैकिंग डेटा कभी Proton अकाउंट के जरिए भेजा या प्राप्त नहीं किया गया, इसलिए जानकारी के दुरुपयोग की आशंका निराधार है, लेकिन उन्हें कोई जवाब नहीं मिला
जनमत और सामाजिक विवाद
- Phrack के X (पूर्व Twitter) अकाउंट पर Proton की संचार शैली और नैतिक मानकों की आलोचना करने वाली पोस्ट व्यापक रूप से फैलीं और 1.5 लाख से अधिक views दर्ज हुए
- Proton के आधिकारिक अकाउंट ने कहा कि CERT की रिपोर्ट के आधार पर कई अकाउंट निलंबित किए गए और अब हर मामले की अलग-अलग समीक्षा की जा रही है
- उसने यह भी कहा कि वह "पत्रकारों के साथ खड़ा है", लेकिन यह माना कि अकाउंट एक्सेस पूरी तरह बंद होने से false positives रोकने की क्षमता सीमित हो जाती है
- किस CERT ने रिपोर्ट की थी, Proton ने उसका नाम या संबंधित संस्था का खुलासा नहीं किया
अकाउंट बहाली और आगे की प्रतिक्रिया
- Proton के संस्थापक और CEO Andy Yen ने केवल इतना बताया कि अकाउंट बहाल कर दिए गए हैं, लेकिन निलंबन और बहाली के ठोस कारणों या प्रक्रिया पर कोई अतिरिक्त स्पष्टीकरण नहीं दिया
- Phrack की ओर से कहा गया कि इस अकाउंट निलंबन के कारण पत्रकार अन्य मीडिया संस्थानों के साथ सहयोग और खबर पर प्रतिक्रिया देने में असमर्थ रहे, जिससे वास्तविक नुकसान हुआ
- उन्होंने यह भी लेकर गहरी चिंता जताई कि यह घटना आगे whistleblowers या पत्रकारों जैसे संवेदनशील समूहों को क्या संदेश देती है
- यह मांग भी उठी कि Proton को कम-से-कम तभी अकाउंट निलंबित करना चाहिए जब अदालत का आदेश हो, स्पष्ट अपराध हो, या सेवा की शर्तों के उल्लंघन का प्रमाणित आधार मौजूद हो
1 टिप्पणियां
Hacker News की राय
मैं X/Twitter पर इस मुद्दे को लगातार देख रहा हूँ, और मुझे लगता है कि यह बहुत गंभीर समस्या है कि Phrack ने Proton से कई बार निजी तौर पर संपर्क किया लेकिन उसे नज़रअंदाज़ कर दिया गया। Proton ने तभी प्रतिक्रिया दी और अकाउंट बहाल किया जब Phrack ने सार्वजनिक रूप से मुद्दा उठाया और वह X/Twitter पर वायरल हो गया। उससे पहले एक लेखक ने Proton में सीधे अपील की थी लेकिन उसे खारिज कर दिया गया, और यह मामला X/Twitter पर चर्चा में आने से पहले कोई कार्रवाई नहीं हुई। यानी मैं इस बात पर ज़ोर देना चाहता हूँ कि Proton ने सिर्फ CERT की आपत्ति पर तुरंत अकाउंट ब्लॉक कर दिया, लेकिन जब तक सामाजिक विवाद नहीं उठा, उसने बिल्कुल ध्यान नहीं दिया।
Proton असल में किसी व्यक्ति होने का सबूत भी माँगे बिना email account खोलने देता है। मैं इसे privacy tool के तौर पर ज़रूरी मानता हूँ, इसलिए इस बात के लिए Proton की आलोचना नहीं कर रहा। लेकिन यह काफ़ी डरावना था कि मैं कुछ ही सेकंड में सैकड़ों Proton mail addresses अपने आप बना सकता था। captcha भी इतना आसान है कि script से आसानी से bypass किया जा सकता है। हैरानी होती है कि इसे दुनिया भर की spam blocklists में नहीं डाला गया। कम से कम spam prevention system को और मज़बूत करने की ज़रूरत लगती है। अगर वह इस तरह के sensitive मामलों में तेज़ी से प्रतिक्रिया नहीं दे सकता, तो बेहतर है कि सेवा को और सावधानी से चलाया जाए।
थोड़ा जोखिम भरा दावा करूँ तो, मुझे लगता है कि इस मुद्दे में अमेरिकी cyber security agency शामिल थी। Proton के CEO मौजूदा अमेरिकी प्रशासन के बहुत समर्थक दिखे हैं (Proton के आधिकारिक Reddit account की deleted post देखें, संबंधित लेख यहाँ)। मेरे पास ठोस सबूत नहीं है, लेकिन CEO के सार्वजनिक बयानों को देखकर यह कल्पना करना पड़ता है कि कहीं Proton 21वीं सदी का Crypto AG तो नहीं।
Reddit के fan इस स्थिति को अजीब तरीक़े से मोड़कर justify या defend करने की कोशिश करते रहते हैं, लेकिन तथ्यों को दो हिस्सों में नहीं बाँटा जा सकता।
फिर भी सकारात्मक रूप से देखें तो यह दिलचस्प है कि अब social media power से समस्याएँ हल की जा सकती हैं।
Proton की आधिकारिक Reddit प्रतिक्रिया के अनुसार, यह सच नहीं है कि Phrack ने legal team से 8 बार संपर्क किया। उनका कहना है कि उन्हें वास्तव में सिर्फ दो emails मिलीं, और आख़िरी email शनिवार को legal team inbox में भेजी गई थी जिसमें 48 घंटे के भीतर जवाब माँगा गया था, जो Proton जैसी बड़ी कंपनी के लिए व्यावहारिक नहीं है। उन्होंने यह भी कहा कि संदेश official customer support channel की बजाय legal team inbox में भेजा गया था। मूल जवाब (लिंक)
किसी कंपनी की असली क़ीमत उसकी communication ability में दिखती है। अगर वह सिर्फ सामाजिक असर बड़ा होने पर ही संवाद करती है, तो उससे कंपनी के बारे में कैसी छवि बनती है? मुझे सच में एक सवाल है: क्या email service देने वाली कंपनियों में Proton Mail सबसे ठीक कंपनी है? मैं खुद अपना email host करता हूँ और आगे भी करता रहूँगा, लेकिन अगर किसी और के लिए email service चाहिए हो, तो क्या Proton Mail सबसे बेहतर विकल्पों में है? मैं दूसरों की राय जानना चाहता हूँ।
मेरा अनुभव सीमित है, लेकिन मैं इसका जवाब नहीं में देना चाहूँगा। Fastmail, Runbox, Purelymail (1–2 developers), Mailbox (customer support अच्छा नहीं, लेकिन system stable है, मैं खुद इस्तेमाल करता हूँ), Migadu (सिर्फ नाम सुना है), Tuta (मुझे व्यक्तिगत रूप से थोड़ा अजीब लगता है, Proton की तरह IMAP/POP disabled, Proton थोड़ा workaround से allow करता है), MXRoute की भी LET forum वगैरह पर अच्छी reputation है। Zoho भी अगर सिर्फ email के लिए चाहिए तो ठीक है, लेकिन अगर Zoho ही इस्तेमाल करना है तो Google या MSFT से फ़र्क़ लगभग सिर्फ cost का रह जाता है। विकल्प बहुत हैं। वैसे मैं ऐसी स्थिति में हूँ कि VPS पर seedbox भी ठीक से self-host नहीं कर पाता, इसलिए email self-hosting की कोशिश भी नहीं करूँगा।
मैंने 20 साल तक self-hosting की और बिना किसी समस्या के इस्तेमाल किया, लेकिन security issues की वजह से छोड़ दिया। कभी न कभी वापस जाना चाहता हूँ। सवाल: ऐसे server पर security को कैसे manage करते हैं? मेरे यहाँ patches इतने ज़्यादा होते थे कि unrelated चीज़ों की वजह से भी system बार-बार बिगड़ जाता था, और एक-दो दिन तक mail बंद रहना आम था।
मैं इस बात से सहमत हूँ कि corporate communication ability को value मानना सही है, लेकिन लगता है कि बहुत से लोग इसकी परवाह नहीं करते। यह वैसा ही है जैसे कोई Claude पर हर महीने बहुत पैसा ख़र्च करे, लेकिन Anthropic (Claude) की support team तक पहुँचना लगभग नामुमकिन हो। Tutanota पर भी एक बार विचार किया जा सकता है।
काश आप जल्दी से अपना email self-hosting stack साझा करें, यह पोस्ट देखकर अचानक self-hosting में दिलचस्पी जगी है।
Proton की आधिकारिक Reddit प्रतिक्रिया हमारी टीम को CERT से सूचना मिली कि कुछ accounts का hackers द्वारा दुरुपयोग किया गया है, इसलिए हमें ToS violation के आधार पर कई accounts disable करने पड़े। चूँकि हमारी संरचना zero-access है और हम account content नहीं देख सकते, हमें पता है कि anti-abuse system कभी-कभी legitimate activity को भी प्रभावित कर सकता है। जिन मामलों में account recovery संभव थी, उनकी अलग-अलग समीक्षा की गई और 2 accounts बहाल किए गए। जिन accounts में स्पष्ट ToS violation था, उन्हें बहाल नहीं किया जा सकता। Phrack ने legal team से 8 बार संपर्क किया था, यह दावा भी सही नहीं है। legal team email पर वास्तव में सिर्फ दो emails मिलीं, और आख़िरी email 6 सितंबर, शनिवार को 48 घंटे के भीतर जवाब की माँग के साथ भेजी गई थी, जो व्यवहारिक रूप से किसी बड़ी company के लिए कठिन है (और वह official customer support channel भी नहीं था)। हमें लगता है कि इस मामले को ज़रूरत से ज़्यादा बढ़ा दिया गया, जिससे हमें ठीक से जवाब देने का अवसर नहीं मिला। कृपया समझें। — Proton Team
एक बात मुझे ठीक से समझ नहीं आ रही: अगर Proton यह नहीं जान सकता कि policy violation हुआ या नहीं, तो उसने सिर्फ CERT की request पर account suspend करने का फ़ैसला कैसे किया? और आख़िरकार जिन दो accounts को बहाल किया गया, उनके लिए क्या मानदंड अपनाए गए?
यह जवाब तो और भी निराशाजनक है। CERT कोई कानूनी बल रखने वाली संस्था नहीं है। घटना का तेज़ और बारीक postmortem किए बिना ऐसी कार्रवाई करना Proton के मुख्य ग्राहकों के लिए बहुत चिंताजनक है। user base बढ़ने पर सावधानी ढीली पड़ना आसान होता है, और यही उसका ग़लत उदाहरण है। अगर यह social media issue नहीं बनता, तो उन accounts का क्या होता, यह सोचकर चिंता होती है।
Proton ने जब यह घोषणा की कि वह कुछ समय तक login न करने वाले accounts delete करेगा, तभी मैंने उसे अपनी सूची में “user-first” email platform के नंबर 1 स्थान से हटा दिया। अगर कोई email/messaging/communication provider 1 साल, 2 साल, 20 साल या मेरी ज़रूरत के अनुसार किसी अवधि तक सेवा की निरंतरता की गारंटी नहीं दे सकता, तो उसे इस्तेमाल करने का कारण नहीं बचता। और अगर वह paid service है, तो उसे privacy-preserving payment methods स्वीकार करने चाहिए, लेकिन उस स्थिति में भी मुझे हिचक होगी। पहले Proton ने VPN, business services आदि से free accounts की लागत संभाली थी, इसलिए उस पर भरोसा होता था, लेकिन delete policy की घोषणा ने वही भरोसा तोड़ दिया। मैं कोई अव्यावहारिक माँग नहीं कर रहा। कम से कम storage capacity के आधार पर अलग policy जैसे अधिक विकसित approaches अपनाए जाने चाहिए। मौजूदा ढाँचे में तो कुछ साल में एक बार इस्तेमाल होने वाला सरकारी account email भी सुरक्षित नहीं रखा जा सकता। अगर recovery email register करने पर alert दिया जाए तो शायद मदद मिले, लेकिन तब privacy email service होने का मतलब ही कमज़ोर पड़ जाता है। (संदर्भ के लिए, Google Voice भी इसी तरह अगर लगातार इस्तेमाल न किया जाए तो number delete कर देता है। 2FA के लिए इस्तेमाल होने वाले numbers के साथ भी ऐसा ही होता है, यहाँ तक कि account में $4 credit पड़ा हो तब भी।)
आपने delete period को अस्पष्ट कहा, लेकिन वास्तव में यह 1 साल है (आधिकारिक सूचना)।
यह policy सिर्फ free accounts पर लागू होती है: अगर 12–24 महीनों तक login न किया जाए तो deletion हो सकती है। paid service के लिए वे cash (banknotes) डाक से भेजकर payment भी स्वीकार करते हैं। मैं सिद्धांत समझता हूँ, लेकिन आपकी माँग करने का तरीका थोड़ा अव्यावहारिक customer जैसा लगता है।
जानना चाहूँगा कि नंबर 1 की जगह किसने ली।
मेरे पास भी Proton के कई free accounts हैं, और 4 साल से ज़्यादा उपयोग न करने पर भी वे बिना किसी समस्या के बने हुए हैं। सिर्फ इस एक बात के आधार पर Proton की आलोचना का माहौल कुछ ज़्यादा लगता है। थोड़ा सामूहिक विरोध जैसा महसूस होता है। बेशक यह perfect company नहीं है, लेकिन अमेरिकी big tech email services के मुकाबले privacy की तुलना ही नहीं की जा सकती। मैं चाहूँगा कि इसे सिर्फ नकारात्मक नज़र से न देखा जाए। और लोग इसे “unstable” भी कहते हैं, लेकिन मुझे desktop और mobile दोनों पर कोई समस्या नहीं हुई।
अगर आप पैसा नहीं दे रहे, तो आप customer नहीं हैं, बल्कि सिर्फ़ एक रियायत पा रहे हैं। हर चीज़ मुफ़्त चाहने की आदत से बचना चाहिए।
मैं 2018 से Proton का paid subscriber था, लेकिन service बहुत buggy और unstable लगी, इसलिए हाल ही में subscription cancel कर दिया (नवंबर में समाप्त होगी)। क्या कोई alternative email और VPN providers सुझा सकता है? Fastmail और mailbox.org के बारे में अच्छी बातें सुनी हैं (हाल ही में mailbox के नाम से rebrand भी हुआ है और services में बदलाव हुए हैं)। और क्या कोई आसान तरीका है कि SimpleLogin से बनाए गए मेरे असंख्य alias email addresses नई service में migrate हो जाएँ? उन्हें एक-एक करके manually बदलना बहुत थकाऊ होगा।
Fastmail के साथ कोई समस्या नहीं रही। UI थोड़ा सीमित है, लेकिन तकनीकी रूप से सब कुछ सही काम करता है और तेज़ है। outages लगभग नहीं के बराबर हैं। calendar, contacts और third-party integration भी अच्छे से चलते हैं। व्यक्तिगत उपयोगकर्ता के लिए काफ़ी है। हाल ही में offline support भी जोड़ा गया है। VPN के मामले में, अगर privacy बहुत महत्वपूर्ण है, तो Estonia जैसी जगह में VPS लेना या घर पर खुद Wireguard, DDNS आदि से tunnel बनाना बेहतर है।
9 साल पुराना मामला अभी भी याद है, इसलिए mailbox पर थोड़ा अविश्वास है लिंक
मैं Fastmail और Mullvad साथ में इस्तेमाल करता हूँ। दोनों की कीमत भी उचित है और दोनों अच्छे से काम करते हैं। अपने VPS पर खुद host करके देखने की भी सलाह दूँगा।
मैं 4 साल से ज़्यादा समय से परिवार के साथ Zoho इस्तेमाल कर रहा हूँ और बहुत संतुष्ट हूँ। domain के हिसाब से charge नहीं होता, इसलिए मैं 12 domains इस्तेमाल कर रहा हूँ। web और mobile app settings भी बहुत हैं, service तेज़ और stable है, और UI बार-बार नहीं बदलता इसलिए उसका व्यवहार अनुमानित रहता है, जो सुविधाजनक है।
Posteo.de (custom domain support नहीं), mailbox.org, runbox.com, mailfence, migadu, cranemail आदि पर भी विचार किया जा सकता है। ये Fastmail से सस्ते हैं और सभी IMAP support करते हैं, इसलिए migration या backup आसान है।
मुझे लगता है कि Proton इस स्थिति में कुछ भी करे, आलोचना से बचना कठिन है। अगर वह कहे कि court order के बिना कुछ नहीं हटाएँगे, तो media दुर्भावना से उसे “अपराधियों से भरी जगह” के रूप में पेश कर सकता है।
चिंता के कारण और ख़राब policy लागू करना सही नहीं है। Proton Mail पहले भी कई बार ऐसी आलोचना झेल चुका है, इसलिए बेहतर होगा कि वह लगातार एक reasonable policy पर टिके। clickbait media से प्रभावित होकर बेकार के समझौते न करे।
मौजूदा रुख़ मुझे सिर्फ़ जिम्मेदारी से बचने जैसा लगता है। वह अभी भी सहयोग करता है और कभी-कभी media से आलोचना भी झेलता है, इसलिए अगर वह अपने दावे के अनुसार चले भी, तो शायद बहुत फ़र्क़ नहीं पड़ेगा।
ज़्यादातर CERT requests सार्थक होती हैं और उन पर अमल करना चाहिए, लेकिन हर request को आँख बंद करके मान लेना भी ग़लत है, और सबको नज़रअंदाज़ करना भी। खासकर अगर मामला appeal या legitimate security report का हो, तो manual review ज़रूरी है। चरम विकल्पों की बजाय एक उचित मध्य मार्ग होना चाहिए।
Proton की आधिकारिक Reddit प्रतिक्रिया का लिंक (मूल), और मैं शुरुआती CERT संपर्क के बारे में और विस्तृत जानकारी जानना चाहता हूँ।
मुझे लगता है Proton की चुप्पी ने उल्टा उसके ख़िलाफ़ काम किया। इस घटना से उसकी trustworthy, safe और firm service वाली छवि कुछ कमज़ोर हुई है।
PSA: Proton 1 साल तक login न करने वाले accounts को “inactive” मानकर delete कर देता है। सिर्फ email receive करना और send न करना भी “unused” माना जा सकता है, यानी मानदंड स्पष्ट नहीं लगते। इसी वजह से मैं iCloud account recovery नहीं कर पाया, और अब account offboarding में काफ़ी समय लगेगा।
आपने “unused” के मानदंड को अस्पष्ट कहा, लेकिन आधिकारिक policy के अनुसार साल में सिर्फ 1 बार login करना account बनाए रखने के लिए काफ़ी है (policy लिंक)।
क्या Proton का पुराना opaque billing system अभी भी है? मेरा अनुभव यह था कि coupon से upgrade करने के बाद जब अवधि ख़त्म हुई, तो account अपने आप negative balance में चला गया और lock हो गया; उसे unlock करने के लिए payment करना पड़ा। उसके बाद से मैंने Proton का इस्तेमाल नहीं किया।
क्या यह policy paid accounts पर भी लागू होती है? उदाहरण के लिए अगर मैंने 5 साल का payment पहले ही कर दिया हो और 3 साल तक संपर्क में न रहूँ, तो क्या account फिर भी सक्रिय रहेगा?
यह मानना बहुत भोला है कि email और VPN कंपनियाँ क़ानून का पालन नहीं करतीं। अगर ऐसा होता, तो payment processors भी उन्हें approve नहीं करते। और यह भी ध्यान रखना चाहिए कि hosting companies या upstream network providers सीधे account या company को बंद कर सकते हैं।