Discussion :

[Invité]

Pour les marketeux, un VPN dit "no-log" signifie que les données de navigation ne sont pas centralisées en Suisse, au Panama, aux Îles Vierges Britanniques.

Par contre, les fournisseurs de VPN respectent la loi des pays où ils louent leurs serveurs. En France (LCEN) et aux USA (Patriot Act), les adresses IP ainsi que les historiques de navigation doivent être conservés pour une durée de 12 mois minimum.

Même si ces données restent sur les serveurs et ne sont pas exploitées par la société mère, on est très loin du "no-log".

Certains pays (ex: Hong-Kong) n'imposent pas de conservation d'historique si bien que le "no-log" apparaît comme possible. Néanmoins, les grands fournisseurs de VPN ayant plus de 1000 serveurs dans le monde doivent certainement les déployer automatiquement avec des scripts sans adapter la configuration pour tel ou tel pays. Trop lourd, trop compliqué.

[toutwd]

A votre avis, les services de messagerie devraient-ils être soumis à des règles de surveillance ? dans quelles mesures ?

Que PRONTOMAIL est gagné ou perdu son recours, je m'en moque complètement, cela ne pas changer ma vie de contribuable Français.

Pour rappel PRONTOMAIL avait touchée 2 M€ de subvention de l'Europe.
https://www.developpez.net/forums/d1.../#post10814289

Aujourd’hui on vois bien que cet argent est perdu pour les Français que nous sommes puisque c'est le droit Suisse qui est à la commande.
Le droit Européen est plus que bancale, puisque contesté au sein même des 27 membres, Pologne et Hongrie en tête, alors de là à peser sur quoi que se soit en Suisse...

Du reste, le système PRONTOMAIL est selon moi perfectible.
En effet, il faut utiliser un navigateur web pour se logger à leur webmail sécurisé, et ça, c'est bien le premier élément "open bar" du système.
Les navigateurs sont accessibles depuis l'extérieur, car ils sont TOUS développés avec pour mission première la récupérer, avec ou sans consentement, des précieuses datas utilisateurs.

D'autre part, tout le monde c'est bien que le déchiffrage par force brute est toujours possible, cela prend du temps mais c'est possible, de plus le navigateur web permet un ciblage individuel précis, on est plus dans la surveillance de masse là.

Selon moi, pour qu'un système d'échange de courriels puisse être très hautement sécurisé il faudrait que PRONTOMAIL développe un logiciel, un client courriel sécurisé portable et exclusivement dédié à leurs infrastructures/services.
Il n'y aurait alors plus d'intermédiaire, donc plus de sources de fuites, surtout quant le support USB est retirer du poste utilisateur.

Et puis, peut être faire en sorte que plus aucune donnée ne soient conservées sur leurs serveurs en transformant leurs équipements en simples relais entrée/sortie.
Les données chiffrées resteraient des lors uniquement sur les postes utilisateurs et sous leurs responsabilité, ainsi PRONTOMAIL n'aurait plus de soucis avec la justice de son pays puisque ils ne détiendraient plus aucun données.

[calvaire]

Que PRONTOMAIL est gagné ou perdu son recours, je m'en moque complètement, cela ne pas changer ma vie de contribuable Français.

Pour rappel PRONTOMAIL avait touchée 2 M€ de subvention de l'Europe.
https://www.developpez.net/forums/d1.../#post10814289

Aujourd’hui on vois bien que cet argent est perdu pour les Français que nous sommes puisque c'est le droit Suisse qui est à la commande.
Le droit Européen est plus que bancale, puisque contesté au sein même des 27 membres, Pologne et Hongrie en tête, alors de là à peser sur quoi que se soit en Suisse...

Du reste, le système PRONTOMAIL est selon moi perfectible.
En effet, il faut utiliser un navigateur web pour se logger à leur webmail sécurisé, et ça, c'est bien le premier élément "open bar" du système.
Les navigateurs sont accessibles depuis l'extérieur, car ils sont TOUS développés avec pour mission première la récupérer, avec ou sans consentement, des précieuses datas utilisateurs.

D'autre part, tout le monde c'est bien que le déchiffrage par force brute est toujours possible, cela prend du temps mais c'est possible, de plus le navigateur web permet un ciblage individuel précis, on est plus dans la surveillance de masse là.

Selon moi, pour qu'un système d'échange de courriels puisse être très hautement sécurisé il faudrait que PRONTOMAIL développe un logiciel, un client courriel sécurisé portable et exclusivement dédié à leurs infrastructures/services.
Il n'y aurait alors plus d'intermédiaire, donc plus de sources de fuites, surtout quant le support USB est retirer du poste utilisateur.

Et puis, peut être faire en sorte que plus aucune donnée ne soient conservées sur leurs serveurs en transformant leurs équipements en simples relais entrée/sortie.
Les données chiffrées resteraient des lors uniquement sur les postes utilisateurs et sous leurs responsabilité, ainsi PRONTOMAIL n'aurait plus de soucis avec la justice de son pays puisque ils ne détiendraient plus aucun données.

je pense que protonmail s'adresse à des gens qui veulent pas se faire chier.
J'utilise signal qui lui fait office de relai et c'est chiant de synchroniser mes conversations entre le téléphone et le pc, copier les backups sur le nas... etc.
Protonmail tous est accessible et sauvegarder de manière fiable depuis la page web et c'est un certain confort.

Techniquement je suppose que protonmail pourrais laisser le choix, et meme ajouter cette option relai dans l'offre payante en utilisant le protocole pop

[phil995511]

je pense que protonmail s'adresse à des gens qui veulent pas se faire chier.
J'utilise signal qui lui fait office de relai et c'est chiant de synchroniser mes conversations entre le téléphone et le pc, copier les backups sur le nas... etc.
Protonmail tous est accessible et sauvegarder de manière fiable depuis la page web et c'est un certain confort.

Techniquement je suppose que protonmail pourrais laisser le choix, et meme ajouter cette option relai dans l'offre payante en utilisant le protocole pop

Proton mail s'adresse à ceux qui envoient des e-mails...

Après si vous préférez les applications envoyant des SMS (textos), c'est une toute autre catégorie de messagerie. Signal est la pire application existante pour synchroniser vos messages d'un même compte d'utilisateur entre plusieurs périphériques !!! Telegram fait beaucoup mieux de ce point de vue, tout comme l'affreux WhatsApp de l'horrible société FB qui elle revend vos données privées à des tiers, etc.

[Fagus]

...
Du reste, le système PRONTOMAIL est selon moi perfectible.
En effet, il faut utiliser un navigateur web pour se logger à leur webmail sécurisé, et ça, c'est bien le premier élément "open bar" du système.
Les navigateurs sont accessibles depuis l'extérieur, car ils sont TOUS développés avec pour mission première la récupérer, avec ou sans consentement, des précieuses datas utilisateurs.

D'autre part, tout le monde c'est bien que le déchiffrage par force brute est toujours possible, cela prend du temps mais c'est possible, de plus le navigateur web permet un ciblage individuel précis, on est plus dans la surveillance de masse là.

Selon moi, pour qu'un système d'échange de courriels puisse être très hautement sécurisé il faudrait que PRONTOMAIL développe un logiciel, un client courriel sécurisé portable ...

- C'est une histoire de modèle de menace. Disons que protonmail empêche google de lire les courriels entre deux utilisateurs de proton, ou un rarissime utilisateur de GPG, mais pas avec M. ou Me tout le monde sur son webmail gratuit qui extait leurs données.

- Buteforce : il me semble que GPG n'a jamais été cassé et leur crypto n'est pas sensée être forçable (sans ordinateur quantique).

- GPG a déjà été contourné par un exploit dans les clients pop. Mais bon, qui utilise un PC hors-ligne pour déchiffrer ses messages ? parce qu'à la fin, ça ne sert à rien de faire confiance au client pop si l'OS et le matériel ne sont pas sûrs.

[tanaka59]

Bonjour,

La société Proton AG obtient gain de cause en Suisse concernant les règles de surveillance et déclare que la décision constitue une victoire pour la protection de la vie privée.

Que pensez-vous de ce verdict ?

Proton AG via Proton Mail est au même titre que la messagerie de n'importe quel opérateur télécom .

Le fond de commerce reste un service d'envoi de mail (et dans une moindre mesure les datas autours). Si Proton Mail doit se plier à un décision de justice en bonne et due forme , il n'y a rien choquant .

Encore une fois , si ils arrivent à surfer sur une législation comportant un vide juridique, qui permet de ne pas conserver de logs ou alors des logs minimalistes/anonymes ...

Contractuellement l'utilisateur qui souscrit à un service de provider mail , laisse bien certaines infos réglementaires (facturation, contact, ...)

À votre avis, les services de messagerie devraient-ils être soumis à des règles de surveillance ? Dans quelles mesures ?

1) On parle d'un système qui attrait à du mailing , donc dans le fond, l’opérateur télécom classique sont à loger à la même enseigne.

2) Que Proton Mail doit "blinder" sa sécurité, pour éviter qu'un intrus ne mette la mains sur les datas clients/users, la on tombe plus dans le domaine marketing / commercial .

Dans le fond non pas besoin d'avoir plus de mesures. C'est comme ci Renault et Mercedes essayaient de se justifier , sur la robustesse d'un système anti vol plus performant chez l'un ou l'autre. On s'en fout , c'est du commercial . La fonction première est déjà de respecter un standard pour la dite voiture.

Si commercialement et techniquement Proton Mail arrive à se démarquer de ces concurrents, tant mieux c'est louable pour eux.

[Mathis Lucas]

ProtonMail a répondu à 5 957 demandes visant à divulguer des données d'utilisateurs aux autorités en 2022
poussant les critiques à remettre en cause ses garanties en matière de sécurité

La réputation du service de messagerie chiffré ProtonMail commence à être mise à l' épreuve en raison du fait que le nombre de demandes de données auxquelles l'entreprise satisfait continue d'augmenter. Des données publiées récemment indiquent que ProtonMail s'est conformé à près de 6 000 demandes de données en 2022. ProtonMail vante souvent sa juridiction suisse, mais dans le même temps, l'entreprise se conforme à un nombre record d'ordonnances de demande de données passant par le système juridique suisse. Les demandes proviennent également de l'étranger, notamment d'agences de renseignement ou de services de police comme le FBI.

ProtonMail est l'un des services de messagerie électronique sécurisée les plus populaires au monde. Il a été lancé en 2014 par le biais d'une campagne de financement participatif (crowdfunding). Le service de messagerie est exploité par Proton AG (anciennement Proton Technologies AG), une entreprise cofondée par Andy Yen, Jason Stockman et Wei Sun. ProtonMail promet un niveau de confidentialité et de sécurité supérieur à celui des plateformes de messagerie concurrentes et se targue souvent d'appartenir à la juridiction suisse. Mais les chiffres sur les demandes de données montrent que la Suisse n'est pas une garantie pour la sécurité des données.

Le nouveau rapport de transparence de ProtonMail, dont la première version remonte à 2017, indique qu'en 2022, l'entreprise a donné suite à 5 957 demandes émises par les autorités suisses pour obtenir des informations personnelles des utilisateurs de l'application. Le nombre total de demandes était de 6 995 et l'entreprise déclare avoir contesté 1 038 d'entre elles. Le rapport rappelle aux utilisateurs : « de temps à autre, Proton peut être légalement contraint de divulguer certaines informations sur les utilisateurs aux autorités suisses, comme indiqué dans notre politique de confidentialité. Cela peut se produire en cas d'infraction à la loi suisse ».

Un rapport publié par Forbes au début du mois relate une affaire dans laquelle le FBI a pu obtenir des informations sur un utilisateur américain de ProtonMail qui faisait l'objet d'une enquête pour harcèlement (mais qui n'était accusé d'aucun délit). Le mandat a révélé que le FBI avait réussi à obtenir des données de Proton pour lancer la chasse au suspect. Il s'agit d'un exemple rare de demande de données américaines à Proton, qui montre comment de petits éléments de métadonnées provenant de logiciels chiffrés peuvent s'avérer très utiles pour les policiers qui tentent de démasquer des utilisateurs qui pensent être protégés à 100 %.

Le FBI a reçu la récupération et les adresses électroniques associées à l'utilisateur de ProtonMail. Selon le rapport, ces informations se sont avérées cruciales, car elles ont permis au FBI de trouver plus d'informations sur la personne en ligne et d'effectuer un balayage des comptes Internet du suspect, notamment sur Amazon, Apple, Coinbase, Google, PayPal et Spotify. Le FBI n'a pas expliqué clairement dans le mandat pourquoi il avait besoin d'obtenir l'activité des comptes sur les différentes plateformes, mais il est probable qu'il s'agissait de recueillir d'autres preuves. Le suspect n'a pas été inculpé et le rapport ne le nomme pas.

Betsy Jones, porte-parole de Proton, a déclaré : « les activités illégales n'ont pas leur place sur les plateformes de Proton, comme l'indiquent clairement nos conditions générales. Nous employons plusieurs équipes bien dotées en personnel qui traitent les cas d'abus de nos conditions générales et désactivent rapidement et de manière proactive les comptes qui se révèlent être en infraction ». Dans le même temps, Proton laisse entendre que les données qu'il fournit ne sont pas d'une grande utilité aux autorités en raison de leur nature. « Tous les courriels, fichiers et invitations sont chiffrés et nous n'avons aucun moyen de les déchiffrer », a-t-il déclaré.

Le mandat du FBI n'indique pas en détail la procédure légale utilisée par l'agence pour obtenir les informations sur le suspect. Proton précise toutefois qu'en vertu de la législation suisse, les organisations étrangères qui souhaitent obtenir des informations sur les comptes de Proton doivent passer par les autorités suisses. Dans le cas contraire, les demandes ne sont pas prises en compte par l'entreprise. « En vertu de l'article 271 du Code pénal suisse, Proton ne peut pas transmettre directement des données à des autorités étrangères, et nous rejetons donc toutes les requêtes qui émanent des autorités étrangères », explique Proton.

« Les autorités suisses peuvent ponctuellement assister des autorités étrangères dans leurs demandes, pour autant qu'elles soient valables dans le cadre des procédures d'entraide judiciaire internationale et qu'elles soient jugées conformes au droit suisse. Dans ces cas, le critère de la légalité est à nouveau basé sur le droit suisse. En général, les autorités suisses n'assistent pas les pays ayant des antécédents en matière de violations des droits de l'homme », ajoute l'entreprise. Au regard de tout ce qui précède, de nombreux critiques remettent en cause les garanties en matière de vie privée et de confidentialité mises en avant par ProtonMail.

Selon certains experts, ProtonMail est sûr si vous recherchez un service de messagerie sécurisé et chiffré qui n'a pas accès au contenu de votre boîte de réception. Ils estiment que le service est bien meilleur que Gmail ou Yahoo en matière de confidentialité. Par contre, si vous faites des choses susceptibles d'attirer l'attention des forces de l'ordre, les données que vous fournissez lorsque vous utilisez ProtonMail, telles que l'adresse IP et l'e-mail de récupération, peuvent être partagées avec les autorités si Proton est légalement contraint de le faire. Toutes les entreprises doivent se conformer aux lois des pays dans lesquels elles sont légalement basées.

Par ailleurs, la comparaison des chiffres montre que le nombre de demandes (nombre de requêtes, demandes satisfaites et demandes contestées) augmente chaque année depuis la version du rapport de transparence. Ceci étant dit, cette croissance n'est pas surprenante étant donné que ProtonMail est une marque populaire avec une base d'utilisateurs croissante. Outre le courrier électronique, l'entreprise propose également Proton VPN et Proton Pass, un gestionnaire de mots de passe. Pour expliquer l'augmentation du nombre de demandes, Proton a déclaré : « l'augmentation du nombre de cas reflète l'augmentation de notre base d'utilisateurs».

« Proton ayant pris de l'ampleur et comptant aujourd'hui 100 millions d'inscriptions à ses services, il n'est pas surprenant que ces chiffres aient augmenté. Ces cas ont été traités par les autorités suisses (ce qui permet de vérifier leur validité) et ont également été examinés par Proton afin de s'assurer qu'il est raisonnable pour nous d'y répondre », ajoute l'entreprise. Selon les experts, ma seule autre option est de fermer, comme cela a été le cas avec CTemplar en 2022 et Lavabit en 2013. WhatsApp et Signal menacent actuellement de qui quitter le Royaume-Uni si le pays adopte son projet de loi sur la sécurité en ligne (Online Safety Bill).

Source : Proton

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous du service de messagerie chiffré ProtonMail ?
Selon vous, ProtonMail est-il un service sûr ? Pourquoi ?
Quelle comparaison faites-vous entre ProtonMail et ses concurrents ?
Que pensez-vous des données fournies par ProtonMail aux autorités suisses ?

Voir aussi

ProtonMail a transmis à la police l'adresse IP d'un militant français pour le climat suite à une décision de justice en Suisse, ce qui a conduit à son arrestation

La Russie bloque ProtonMail pour avoir refusé de fournir les informations sur les personnes associées aux fausses alertes à la bombe

ProtonMail a supprimé « nous n'enregistrons pas les métadonnées telles que les adresses IP » de sa politique de confidentialité et annoncé que Sir Tim Berners-Lee rejoint son conseil consultatif

[bdr443]

Mais les chiffres sur les demandes de données montrent que la Suisse n'est pas une garantie pour la sécurité des données.

La sécurité des données n'est pas garantie ni par la Suisse ni par les bons sentiments. La garantie qu'offre proton c'est le chiffrement.

La question n'est donc pas de savoir si proton a transmis ou pas des données aux autorités puisqu'il est légalement obligé de le faire, mais de savoir QUELLES données ont été transmises et l'état de leur lisibilité au moment du transfert.
On ne demande pas à proton de résister au FBI ou autres services de polices, mais d'informer si le contenu des messages envoyés est bien chiffré, et s'il n'y a pas de backdoor dans le code permettant de les déchiffrer sans le consentement de l'utilisateur.

Pour tout le reste, méta-données du style adresse IP, heure de connexion, destinataire des messages, heure d'envois des messages, volume des messages échangés, etc... il faut considérer tout ça comme accessible par les gouvernements qui en feront la demande, et ce quel que soit l'entreprise, proton ou pas proton.