Follow

Gnagnagna, services de courriels ne protègent pas l'anonymat.

Minimum syndical requis pour être sûr qu'au moins les IP (et seulement les IP) ne seront pas dévoilées : que le service de courriel ne permette de connexion (webmail, SMTP, POP, IMAP) que via des services cachés , et refuse les autres.

Ça n'existe pas à ma connaissance.

Voilà.

De rien.

@parleur
On est obligé d'enregistrer les IP et de les associées à un compte ?
Obligation technique ou légale ?

(Il me semble que le pb est qu'ils ont annoncé ne pas les enregistrer, ce qui aurait été un mensonge)

@nartagnan Il y a une obligation légale plus ou moins contraignante en fonction du pays.
Et l'adage « trust your admin » n'étant visiblement pas suffisant, il faut passer à « never trust your admin », et en plus que ce dernier accepte de se donner les moyens qu'on ne lui fasse pas confiance.

@parleur
À ma connaissance il n'y a pas d'obligation légale de mentir sur le fait de ne pas les conserver, sauf pilotage direct par les flics (et encore). Si c'est le cas, c'est moche.

"never trust your admin" ca concerne les données (et méta-données), non ? Si on considère qu'on ne doit pas non plus lui faire confiance sur les outils mis en place, c'est encore différent.

@nartagnan Il y a des pays où il peut être obligé de mentir sur cette information.
D’où l’existence de « canaris », qui peuvent permettre de contourner cette obligation au mensonge. Il y en a un chez Riseup, par exemple.
riseup.net/canary

@parleur
En général on peut t'interdire de révéler queque chose (inaction), mais c'est + compliqué de t'obliger à dire (action) un truc faux.
Sauf dans le cas où la police est directement aux commandes (opération CIA ou pédoporno par ex).

Et s'il a menti là-dessus, qui dit qu'il ne ment pas sur autre chose ?
Si la police est aux commande, elle envoie peut-etre des malwares par exemple, et il ne faut en aucun cas utiliser ce service, si ?

@nartagnan « *Never* trust your admin ». :p
Surtout sur du webmail (l’IMAP et le SMTP, à la rigueur, ce sera plus compliqué à balancer du malware).

@parleur
Dans ce cas, si protonmail peut mentir activement sur les outils, ce service a un intérêt proche de zéro, non ?

@nartagnan Oui. Et c’est ce que je me tuais à dire à des gens il y a quelques années. Je me suis lassé.

@parleur
Aaaaaaa ok.

Parce que d'autres défendent protonmail en mode "ils font au mieux mais aucun service n'est absolument parfait/safe".

Là c'est + un "je vous l'avais bien dit, lachez ce truc au + vite", le contraire d'une défense donc ^^

Désolé, j'avait pas capté ^^

@nartagnan Les deux peuvent être vrais (mais pas forcément) : ils peuvent faire de leur mieux et aucun servie n’est parfaitement safe… mais faire leur campagne de communication là dessus, ça en fait à la fois un service privilégié par les gens qui ont besoins d’anonymat et (donc) une cible de choix pour qui veut faire péter cet anonymat.

@nartagnan Et de base, ProtonMail fait sauter une grosse partie des protocoles préexistants pour apporter de la « sécurité », rien que ça, ça mériterait de s’en passer.

@parleur

Je défend pas Protonmail, je l'utilise pas. S'il y a d'autres arguments contre, ok, moi je croyais que tu défendais le service.
Car dire qu'un service parfait n'existe pas, ça oublie de dire si protonmail est quand même mieux que AOL ou apple (ou pas).

@parleur@mastodon.parleur.net @nartagnan@mstdn.fr Lesquels ? 🤔

Parce que ça utilise les protocoles classiques de messagerie, la seule chose qui est un peu différente c’est que c’est eux qui gèrent ta clé GPG (hors mot de passe maître, qui reste le tien, dans ta tête)

Le client à installer si tu veux recevoir tes mails dans ton Thunderbird/autre est juste là pour faire le déchiffrement GPG sans setup tout le bordel qui va avec.

@Darks La dernière fois que j'ai regardé il y a quatre ans, au moins l'IMAP.
@nartagnan

@Darks Ok. On a donc un protocole pété qui empêche de récupérer les courriels tout à fait sur la plateforme qu’on veut, en gagnant une sécurité très relative.
@nartagnan

@parleur@mastodon.parleur.net @nartagnan@mstdn.fr C’est le prix à payer si tu veux du GPG sans gérer ta clé… Si t’es capable de le faire tout seul, tu va pas chez Protonmail
Faut pas extrapoler la sécurité du produit hein. Depuis le début c’était clair dans leur communication, ne tombent des nues que ceux qui n’ont pas lu la présentation en page d’accueil du site x)

@Darks
Est-ce qu'ils avaient écrit qu'ils n'enregistraient pas les IP ?

Au dela du protocole et de la fiabilité réelle, c'est surtout leur honneteté / bonne foi qui m'intéresse.

@parleur

@nartagnan@mstdn.fr @parleur@mastodon.parleur.net

By default, we do not keep any IP logs


Une enquête judiciaire, ça sort évidemment du cadre "par défaut".
Et dans les CGU « However, IP logs may be kept temporarily »

Il ne faut pas lire que ce qui t’intéresse…

@nartagnan@mstdn.fr

we have access to the following email metadata: sender and recipient email addresses, the IP address incoming messages originated from, message subject, and message sent and received times


We will only disclose the limited user data we possess if we are instructed to do so by a fully binding request coming from the competent Swiss authorities


Et puis leurs stats sur les demandes d’accès :
https://protonmail.com/blog/transparency-report/

Ils peuvent pas être plus transparents que ça…

@parleur@mastodon.parleur.net

Show newer

@parleur
Et c'est surtout demander de manière indue leur confiance aux gens.
Pour une boutique de fringue qui sécurise pas son fichier client ok, mais pour des experts sécu, des promesses bidons, on serait proche de la malveillance non ?

@parleur
Les dev de TOR qui collectent des dons pourraient aussi tenter d'introduire des failles pour les revendre. Ce serait aussi du commerce.

Tu peux rien faire sans confiance. "Never trust", en pratique, c'est impossible sans devenir ermite.

@nartagnan
Sauf qu'en général, c'est précisé. Dans la communication de PM, il était dit « par défaut » et dans les CGU, c'était expliqué qu'ils pouvaient enregistrer les IPs sur réquisition judiciaire. Il n'y a donc, dans le cas de PM pas de mensonge.
@parleur

Merci
@uyxae

Dans ce que j'avais lu, le "par défaut" avait été omis.
C'est + clair maintenant, bonne journée à toi ^^

@nartagnan @parleur

Si tu parles de protonmail, d'après ce qu'ils disent (et que je n'ai pas vu contester par ailleurs) ils ne conservent pas les IP par défaut.
Ils ont eu une injonction légale par un tribunal suisse de les logger pour un utilisateur, et ils ont toujours dit qu'ils obéissaient à la loi Suisse (et uniquement à elle).

Sign in to participate in the conversation
Mastonado ! - Instance Mastodon sur parleur.net

The social network of the future: No ads, no corporate surveillance, ethical design, and decentralization! Own your data with Mastodon!