從 ProtonMail 事件，再談私隱與隱身

文：薯伯伯

最近 ProtonMail 涉及一宗引起極廣泛關注及討論的資訊安全事件，事緣一名法國社運人士被法國警方調查，法國警方透過歐洲刑警與瑞士警方交涉，瑞士警方向瑞士法院申請命令，要求 ProtonMail 監察涉事法國社運人士的 IP 地址，ProtonMail 如令執行。在法國警方提交給當地法庭的文件顯示，顯示了涉事者的 IP 地址。

這件事引起牽然大波的原因，是因為 ProtonMail 一直標榜安全及尊重私隱，而大多數用戶是真誠地相信該公司維持「零記錄政策」（no log policy），但 ProtonMail 的公司事後指出，在一般的情況下不會記錄用戶 IP，只有在收到瑞士法院的要求，才會開始記錄用戶的 IP 地址。

這件事引起不少香港人的關注及擔憂，我認為是好事，這顯示不少香港人早已脫離資安無明無知之心。正是因為了解資安對自己的重要，才會因資安事件而心生恐懼，從而作出相應的行動及策略，這是非常重大的進步。

我之前一直沒有評論 ProtonMail 事件，並非沒有看法，而是不願倉猝下結論，寧願多花一點時間去了解情況，以及等待各方回應，再給讀者建議。

我先說一下我的結論，然後再討論當中的細節及分析理據。

一，我的結論

我依然認為 Proton Technologies 是可靠的公司，而我仍然使用這家公司的 ProtonMail 及 ProtonVPN 作為自己最主要的電郵及 VPN 服務供應商。

（注：我以前多次介紹 ProtonMail 及 ProtonMail，每一次介紹都是用普通的連結，而非介紹人 referral 連結。讀者看完我的文章而選用該兩個服務，對我完全沒有利益，而我使用 ProtonMail 及 ProtonVPN 時，也是自己付費，沒有任何形式的贊助。）

二，不同場景

這宗案件最太的爭議，是當 Proton Technologies 公司收到瑞士法院的命令時，同意開始記錄客戶的 IP 地址。我們用五個不同的情況去逐一分析，當位於瑞士的 Proton 收到不同司法管轄區發出的法庭命令後，會如何應對。

Proton 公司主要有兩個服務，一是電郵，另一個是 VPN。目前涉事的是電郵的服務，但我也會討論一下他們對 VPN 的可能處理手法。

Case 1：在完全沒有法庭命令的情況下，ProtonMail 及 ProtonVPN 均不會記錄客戶的 IP 地址。但要留意這是不為，而非不能，也就是說在一般情況下，Proton 並不會記錄 ProtonMail 及 ProtonVPN 用戶的 IP 地址，但他們是有能力這樣做，只是在沒有命令的情況下，他們不會這樣做。

Case 2：假如瑞士警方拿到日內瓦州法院或瑞士聯邦最高法院的法院命令，由於 Proton 的註冊地是瑞士，法院的命令足以迫使 Proton 開始記錄 ProtonMail 的用戶 IP 地址。

Case 3：承上，值得留意的是，即使有日內瓦州法院或瑞士聯邦最高法院的法院命令，但該規定不能針對 VPN 供應商，也就是瑞士註冊的 VPN 供應商，在任何情況下也沒有法律責任去記錄客戶的 IP，而 Proton 對其 VPN 用戶，是一直保護他們原來的 IP，目前沒有向第三方交出過相關數據。這次上了新聞的人，是使用 ProtonMail 電郵用家戶，而該用戶沒有使用 VPN 連接郵件服務。

Case 4：當美國警方透過美國法院發出命令，要求位於瑞士的公司交出客戶資料，就必須要得到日內瓦州法院或瑞士聯邦最高法院的批準。而 Proton 不能單方面與美國的 FISA 法庭（外國情報監視法庭）合作，否則即屬違反瑞士法律。

Case 5：即使有瑞士法院的命令，ProtonMail 也只能記錄客戶的 IP 地址，而不能突破其 AES-256 加密，亦不能查看到客戶的電郵的主體文本內容，但要注意的是，電郵的 metadata，包括發送人的電郵地址、電郵主題，則不屬加密的部份。

Case 6：歐盟區內的法院向瑞士法院提出申請，獲批的機會較大。

Case 7：極權國家向瑞士法院提出批出命令，獲批的機會較小。

三，討論

當 ProtonMail 配合瑞士法院命令，記錄並交出法國社運人士的 IP 地址，有不少人來信，想我建議一些「更為安全」的電郵服務。但任何公司均會受其註冊地的司法管轄，例如另一間著名的安全郵箱服務供應商是 Tutanota，註冊地是德國，同樣會受德國法律規管。

承接 Case 3 的情況，如果用戶在連接 ProtonMail 服務時，有同時使用 ProtonVPN，即使瑞士法院同時向兩間公司發出命令要求記錄客戶 IP，但由於相關規定只適用於 Mail，而不能套用在 VPN 上，所以 Mail 要記錄 IP，但 VPN 則不會記錄，最終也就是無法得知使用者的 IP。

ProtonMail 本身亦有提供 TOR 版本的 ProtonMail（https://protonmail.com/tor），那就是連技術上也難以記錄用戶 IP 地址。

四，私隱與匿名

我發覺不少用戶混淆了私隱與匿名的概念，兩者看似相關，在實際執行時卻是兩個完全不同的事物。坊間經常有人把「保護私隱」及「隱藏身份」混為一談，這是錯誤的說法，也是危險的說法。要做到完全不留任何個人痕迹的「隱身」，不只牽涉極度複雜的操作，加上淵博的學識，還有非常考驗耐力及堅忍力。

舉個例子，有人頻密更換電話卡，以為使用「太空卡」就能隱藏自己身份，但卻把多張「太空卡」輪流放入同一部手提電話使用，當中也包括與自己有關連的電話卡，那麼其他電話卡就不算是匿名了。又或者用家本身很小心，把不同的太空卡放在不同手機，卻經常把太空機與自己常用的手機同時打開，出雙入對，那也做不到真正的匿名。

我曾經聽過有人跟我說買了「太空卡」，追問之下才知對方居然認為使用「沒有個人登記的八達通購買自由鳥」就當是「太空卡」，我就覺得非常不安。

我撰寫的資安文章，一直強調的是私隱，而非隱身。隱身是極為複雜的操作，對於大部份讀者而言，必須覺察自己不能輕易隱身的技術現實。有關隱身的討論，請參看：〈零基資安訓練營（九）：如果要完全隱藏網上身份〉
https://www.patreon.com/posts/38185283

五，防患

使用網上服務時，必須清楚明瞭自己的需要以及其服務的限制。以 ProtonMail 的為例，分三種情況去講：

A. 電郵內容文本：如果電郵用家只是想把電郵文本的內容加密，使用 ProtonMail 很合適。
B. 隱藏 IP：如果電郵用家想隱藏自己的 IP，每次連接 ProtonMail 時就應該使用 ProtonVPN，又或是使用 TOR 的登入點，但可能還是有其他蛛絲馬跡能查看到當時人的真實身份。
C. 電郵標題：這項資料未能加密，敏感資料不應寫在電郵標題。

六，尾聲

如果是要防止電郵內容被偷窺，收件及寄件雙方均使用 ProtonMail 是很合適的做法。以涉事法國社運人士的情況來看，ProtonMail 提供了其 IP 地址，卻沒有（亦不能）提交其加密的電郵文本內容。

收尾再重申我的結論：我目前仍然認為 ProtonMail 是安全的電郵供應商，而我的電郵地址上就是自己的名字，我清楚知道自己要求的是電郵文本內容加密，而非隱藏自己的身份。

如果要保持高度匿名，那就要使用 TOR、VPN，上網地點也要非常講究，必須經常轉換上網地點，像斯諾登在發佈 NSA 大規模監控公民的消息時，就是開車去搜尋 Wi-Fi 訊號，每次上網十多分鐘就要停下來。

ProtonMail 事件引起多人關注，而從不少讀者及朋友的反應來看，不只是關注，更引起不安。我很樂見這種不安，我相信這種不安其實是好事，這代表大眾更為注重資訊保安，早已脫離盲目相信安全無事的時代。不過在注意安全的同時，更要明白自己想保護的是甚麼類型的數據。遠離無知，保持警惕，但不過度恐慌，才能更掌握人民的科技優勢。

🔑 【超務實長清單整理：Do not make it easy!（2021年9月更新）】 https://www.patreon.com/posts/55578887

▶️ 請訂閱 Patreon 頻道，支持不受干預的獨立創作及評論 | www.patreon.com/pazu

#月旦法學雜誌 第317期(2021,10)
　　政府機關與各項公務之運作，端賴文官體制與公務員之良善治理。但公務員與其僱傭人間之法律關係，並非一般之私法人與其受僱人間之一般契約關係，而有一定之身分、資格、任用、晉升、退休、撫卹與各項職務執行評估之特殊規範。早期基於特別權力關係理論，相關公務員之內部關係與外部關係，均由特殊之法律規範，且其救濟亦有特別管道，甚至僅有內部救濟管道。然而近來由於此等特別關係之再檢視，相關「特別」之處越來越少，而公務員關於其權利救濟亦有真正外部化之司法救濟。有鑑於此，本期特別邀請到黃錦堂教授針對釋字第785號解釋與公務員訴權、許育典教授以該號解釋後之公務員程序保障等議題，提供嶄新的分析與省思。
　　
　　
此外，在新興法學議題部分，本期則有陳忠五教授對最高法院關於金融機構於受債權質權設定通知時之告知義務、王皇玉教授就侵害營業秘密之犯罪行為、沈冠伶教授就民事法院數位轉型與現代化等議題，均有精彩的闡述與論證。郭大維教授與劉明生副教授，則分別就今年新修正公布之電子支付機構管理條例，以及公害事件責任成立之因果關係與舉證責任，提供了即時性之論述。而中國大陸學者部分，本期則有方堃教授就環境法與稅法之互動、魏求月講師就涉外網路人格權紛爭之管轄決定，進行新穎的法學思考。同樣關於新興熱門涉外議題，吳光平副教授就跨國同性別結婚之準據法問題，分析了既有涉外民法的適用困境與修法建議。
　　
　　
關於實務見解之闡述，李素華教授就最高法院關於智慧財產權侵害之損害概念、許恒達教授針對詐欺罪之新近判決動向，均有第一手的評論。
　　
　　
📕本期內容
　　
【本月企劃】公務員權利保障與救濟程序
🎯釋字第785號解釋與公務人員訴權之發展
　──德國法之比較／黃錦堂
　　
🎯法治國下的公務員特別權力關係與程序基本權
　──釋字第785號解釋後的公務員程序保障／許育典
　　
【法學論述】
🔸金融機構於受債權質權設定通知時，有無告知質權人其得行使抵銷權的義務？
　──最高法院109年度台上字第1039號判決引發的問題／陳忠五
　　
🔸論侵害營業秘密之犯罪行為／王皇玉
　　
🔸民事訴訟之線上起訴與遠距審理（下）
　──民事法院數位轉型及現代化之展望／沈冠伶
　　
🔸論2021年1月新修正公布之電子支付機構管理條例
　──從比較法的角度觀察／郭大維
　　
🔸公害事件責任成立因果關係舉證責任分配與舉證減輕之研究／劉明生
　　
🔸環境保護中落實稅收法定原則的法理思考
　──以優化環境法與稅法的功能配置為切入點／方堃
　　
🔸涉外網路人格權糾紛中「損害結果發生地」法院管轄的分野與修正
　──兼評2019年《使用互聯網侵犯人格權》決議之第5條／魏求月
　　
【專題講座】
✒臺大民商法判決研究會系列之一
　再論智慧財產權侵害之「損害」概念
　──評最高法院107年度台上字第2359號民事判決／李素華
　　
✒國際私法新趨勢系列之二
　論跨國同性別二人之結婚
　──涉外民事法律適用法之現在與未來／吳光平
　　
【實務選評】
◾刑法裁判精選
　──詐欺罪之近期判決動向／許恒達
　　

📕本期完整介紹：http://www.angle.com.tw/magazine/m_single.asp?BKID=3832
　　

　　
　　

📢＃月旦雜誌，最新優惠：http://qr.angle.tw/gyj

📢＃月旦知識庫 最新購點優惠：http://qr.angle.tw/dzl

📚＃元照新書：http://qr.angle.tw/pp8

0917新加坡聯合早報

*【極右派週六聚集首都 華盛頓特區加強戒備】
美國極右派週末將在華盛頓哥倫比亞特區舉行集會，為預防國會山騷亂事件重演，美國當局提升安全防衛力，以應對可能的暴力事件。路透社報導，美國運輸安全管理局（TSA）發言人表示，華盛頓特區附近的機場已提高安全警戒水準。
https://www.zaobao.com.sg/realtime/world/story20210917-1194461

*【日本自民黨總裁選舉今天提名】
日本行政改革部長兼冠病疫苗部長河野太郎被看好是接替菅義偉出任首相的熱門人選。除了河野太郎，前外長岸田文雄、前總務部長高市早苗和自民黨幹事長代理野田聖子也宣佈參選。
https://www.zaobao.com.sg/realtime/world/story20210917-1194455

*【消息：英國將受邀加入歐盟一項防務協議】
《泰晤士報》引述外交消息人士說，英國將受邀參與歐盟的一項防務協議。該消息人士說，荷蘭首相呂特到唐寧街10號與英國首相強森會晤時，將邀請英國與歐盟簽署一項防衛與安全合作協定。消息人士說：“自英國退出歐盟後，與強森保持聯繫的歐洲領導人並不是很多。確保地緣政治避免出現分歧是很重要的，基於此，我們有必要與英國進行合作。”
https://www.zaobao.com.sg/realtime/world/story20210917-1194453

*【布林肯：法國為印太關鍵夥伴 華府將繼續與法國合作】
美國國務卿布林肯表示，法國是印太地區的“關鍵夥伴”，並強調華盛頓將繼續與法國合作。路透社報導，布林肯這番言論似乎旨為平息法國對美國、澳洲和英國宣佈成立新的三邊安全夥伴關係的憤怒。
https://www.zaobao.com.sg/realtime/world/story20210917-1194451

*【美英澳成立新三邊安全夥伴關係 澳獲協助自製核動力潛艦 中方批破壞區域和平】
新的安全架構結合軍事與外交，並在包括網路、人工智慧、量子科技及深海能力等科技領域合作，加強資訊科技的分享。分析認為，這是自二戰以來，三國達成的最重大的安全安排。
https://www.zaobao.com.sg/news/world/story20210917-1194362

*【分析：猶如冒險進入未知水域 澳洲發展核潛艇與中國關係將惡化】
美國前國家情報總監克拉珀表示，澳洲在走出大膽的一步，因為澳洲的經濟相當依賴與中國的貿易，“顯然，中國將視此為挑釁”。澳洲前總理基廷認為，此舉將把澳洲鎖定在“美國對抗中國的任何軍事交鋒中”。
https://www.zaobao.com.sg/news/world/story20210917-1194363

*【美英澳成立新軍事聯盟 歐盟不知情】
歐盟一位發言人表示，歐盟沒有被提前告知美國、英國和澳洲之間的新軍事夥伴關係，加劇了歐洲被華盛頓排除在外的擔憂。
https://www.zaobao.com.sg/realtime/world/story20210916-1194327

*【白宮官員稱美國不會回到TPP】
美國官員在中國申請加入《跨太平洋夥伴全面進展協定》（CPTPP）後稱，美國不會加入最初的《跨太平洋夥伴關係協定》（TPP）設計架構，並正與盟友一起應對中國的強制貿易行為。
https://www.zaobao.com.sg/realtime/china/story20210917-1194450

*【中國正式申請加入CPTPP】
中國商務部部長王文濤向《全面與進步跨太平洋夥伴關係協定》（CPTPP）保存方紐西蘭貿易與出口增長部長奧康納提交了中國正式申請加入CPTPP的書面信函。
https://www.zaobao.com.sg/realtime/china/story20210916-1194330

*【IMF對阿富汗經濟形勢深表關切】
國際貨幣基金組織（IMF）對阿富汗面臨的經濟形勢深表關切。該組織警告，自塔利班接管阿富汗後，該國面臨著迫在眉睫的人道主義危機。國際貨幣基金組織表示，全球貸款與阿富汗的接觸不復存在，意味著國際貨幣基金組織的資金被擱置。
https://www.zaobao.com.sg/realtime/world/story20210916-1194332

*【畢馬威與馬國政府和解 為一馬公司案支付1億】
馬來西亞財政部宣佈，畢馬威會計事務所（KPMG）已同意支付3億3300萬令吉和解金，以解決所有與一馬公司（1MDB）在2010年至2012年期間有關帳目的會計責任索賠。
https://www.zaobao.com.sg/realtime/world/story20210916-1194329

*【葉門發生武裝衝突 至少50人喪命】
葉門軍方一名政府軍事官員說：“過去24小時，在貝達地區與胡塞武裝分子的戰鬥中，一名上校及另外19名效忠人士喪生。”他還說，有30名武裝分子死亡。據悉，2014年9月，胡塞武裝奪取葉門首都沙那，後又佔領葉門南部地區。2015年3月，沙烏地阿拉伯等國對胡塞武裝發起代號為“果斷風暴”的軍事行動。
https://www.zaobao.com.sg/realtime/world/story20210916-1194324

*【德國警方成功阻止一場向猶太教堂發動的襲擊】
德國北萊茵－威斯特法倫內政部長表示，當局成功阻止了一起由伊斯蘭教徒向猶太教堂發動的襲擊事件。四人在恐怖威脅的罪名下被捕，其中包括一名16歲的敘利亞青年。
https://www.zaobao.com.sg/realtime/world/story20210916-1194322

*【馬克洪：法軍擊斃極端組織大撒哈拉伊斯蘭國頭目】
法國總統馬克洪表示，極端組織“大撒哈拉伊斯蘭國”的頭目阿德南·阿布·瓦利德·薩赫拉維已經被法國軍隊擊斃，並稱這是法軍在與該地區“伊斯蘭國”戰鬥8年後取得的重大成功。
https://www.zaobao.com.sg/realtime/world/story20210916-1194319

*【朝鮮證實試射“列車”搭載兩彈道導彈】
朝鮮昨日證實，週三試射由“列車”搭載的兩個彈道導彈。分析指出，雖然繼前蘇聯之後，俄羅斯採用的列車導彈發射方式有利於同時發動突襲攻擊，但實際部署的效果還是未知數。
https://www.zaobao.com.sg/news/world/story20210917-1194366

*【法國3000名醫療工作者因未接種疫苗被令停職】
法國衛生部長維蘭表示，法國各地數以千計的醫療工作者因未能在本周的最後期限前接種冠病疫苗而被停職。法新社報導，法國國家公共衛生機構上周估計，約有12%的醫院工作人員和約6%的私人診所醫生尚未接種疫苗。
https://www.zaobao.com.sg/realtime/world/story20210916-1194317

*【以色列研究：為60歲及以上人士接種第三劑疫苗 施打輝瑞追加劑可顯著降低發病率】
研究發現，以色列開始為國民注射追加劑後的幾周，原本從7月下旬的70多起猛增到8月中旬的600起的重症病例數，開始穩定下來，目前低於700起。接種第三劑的人的感染率也很低。另一方面，輝瑞和莫德納的分析也表明，它們的冠病疫苗功效會隨著時間的推移而減弱。輝瑞與莫德納都表示有必要接種追加劑。
https://www.zaobao.com.sg/news/world/story20210917-1194367

*【蘭卡威“旅遊泡泡”首日吸引約3200國內遊客】
馬來西亞北部島嶼蘭卡威16日正式啟動全國首個“旅遊泡泡”計畫，第一天就吸引約3200名已完成疫苗接種的遊客前往遊玩觀光，掀起報復性旅遊熱潮，為飽受冠病疫情重創的旅遊業注入生機。
https://www.zaobao.com.sg/news/sea/story20210917-1194401

*【蘭卡威“旅遊泡泡”啟動 5人確診冠病被令居家隔離】
馬來西亞蘭卡威“旅遊泡泡”開跑首日，衛生部在機場及港口碼頭為2546人進行冠病檢測，其中發現5人確診冠病，並接獲居家隔離令，隔離10天。
https://www.zaobao.com.sg/realtime/world/story20210916-1194323

*【世衛：非洲無法達到接種目標 全球抗疫恐回原點】
世界衛生組織說，在全球冠病疫苗獲取機制（COVAX）聯盟削減其預計出貨量後，非洲今年仍面對4.7億劑冠病疫苗短缺，這增加了出現新的致命性變種冠病病毒的風險。
https://www.zaobao.com.sg/realtime/world/story20210917-1194475

*【美眾院議長稱中國對科技資料的控制威脅西方】
美國眾議院議長裴洛西稱，中國對言論自由和人權的限制越來越嚴重，對科技資料的控制也給西方國家構成威脅。裴洛西16日訪問英國期間，在劍橋聯盟的一場討論中說：“中國在民主改革、言論自由或多元主義，甚至僅僅是人們發聲的能力方面都在縮緊，情況變得越來越糟。”
https://www.zaobao.com.sg/realtime/china/story20210917-1194472

*【歐盟料提出新歐洲晶片法案 促進半導體自給自足】
面對日益激烈的全球半導體競爭，歐盟委員會主席馮德萊恩在歐洲議會上表示：“我們將提出一項新的歐洲晶片法案，旨在共同打造包括生產在內的最先進的歐洲晶片生態系統。這將確保我們的供應安全，並為突破性的歐洲技術開發新市場。”歐盟官員表示，歐盟將提出的新晶片法案旨在阻止歐洲國家相互競爭，幫助歐盟在全球展開競爭。
https://www.zaobao.com.sg/realtime/world/story20210916-1194309

*【被裁定反毒運動或構成危害人類罪 杜特蒂律師：國際刑事法院無司法權 總統不會配合調查】
國際刑事法院日前判定菲律賓總統杜特蒂發起的反毒運動可能構成危害人類罪，批准展開全面調查。杜特蒂的律師堅稱，國際刑事法院對菲律賓沒有司法管轄權，杜特爾特不會配合調查。
https://www.zaobao.com.sg/news/sea/story20210917-1194399

*【印尼法院：佐科威須加強監督執法 解決雅城空氣污染問題】
印尼雅加達的地方法院裁定，總統佐科威和數名高級政府官員未能解決首都雅加達長期的空氣污染問題，下令他們收緊條例，加強對首都空氣品質的監督和執法。
https://www.zaobao.com.sg/news/sea/story20210917-1194400

*【IMF總裁被點名曾為提高中國營商環境排名而施壓】
根據週四（16日）發佈的一項獨立調查，世界銀行領袖包括格奧杰娃在其擔任世行行長期間，曾為提高中國在《營商環境報告》中的排名而施加壓力。格奧杰娃現為國際貨幣基金組織（IMF）總裁。
https://www.zaobao.com.sg/realtime/world/story20210917-1194452

鈞鈞TG頻道👉
https://t.me/jingjing520

鈞鈞donate 👉
綠界：https://p.ecpay.com.tw/232E3
Paypal：https://www.paypal.me/jingjingkao

鈞鈞微博👉
https://weibo.com/u/7276906767

鈞鈞今日頭條👉
https://reurl.cc/NjAx69

鈞鈞抖音👉
https://vt.tiktok.com/YogG6B/

鈞鈞IG👉
https://www.instagram.com/jing.jing.520/

鈞鈞美食地圖👉
http://bit.ly/39K4tQ8

#韓國瑜
#東沙島
#火箭回收
#香港孩童
#罷免
#吳音寧
#招明威
#刪除統一

版權宣告:
鈞鈞Youtube頻道所提供之所有內容，包括文字、照片、影像、插圖、錄音片、影音片或其他任何形式之素材等，均受到中華民國著作權法及國際著作權法律的保障。在著作權法下，轉傳網址須註明出處。若是重製部分，全部或營利行為等，未經鈞鈞頻道書面同意，不得為之，並依台北地方法院為約定管轄。