Proton Mail 让收件箱连 Proton 自己也读不到。一纸瑞士法院命令,仍可把你的 IP 撬出来。

工作方式

Proton Mail 在 2014 年从一次 CERN 黑客松正式上线,如今由 Proton AG 在日内瓦以南的 Plan-les-Ouates 运营。免费档提供 1 GB 存储与一个邮箱地址;付费档增加存储、自定义域名以及 Proton 套件的其余部分——VPN、Drive、Calendar、Pass。邮件经过 Proton 的服务器,正文、附件和日历邀请通过 OpenPGP 与 zero-access 加密封存——密钥藏在你的账户密码之后,而非 Proton 一侧。来自非 Proton 发件方的入站邮件在送达后再静态加密;只有信头与路由元数据对运营方仍然可读。客户端涵盖 Web 应用、原生 iOS 与 Android 应用、主流桌面平台的应用,以及面向 Thunderbird 或 Outlook 的 IMAP/SMTP Bridge。加密库 OpenPGPjs 与各端应用本身均为开源。

KYC 与隐私

注册仅需用户名与密码。恢复邮箱或手机号被作为可选项提供,从不强制,Tor 洋葱镜像 也直接接受新账户注册。任何环节都不索取政府身份证件。边界是法律层面的,而非架构层面的:Proton AG 是一家瑞士公司,瑞士的通信监听法律允许调查人员送达命令,要求对特定账户实时记录 IP。2021 年 9 月,Proton 在 Bonjour 案中执行了这样一份命令——一名巴黎气候活动人士所用账户的 IP,经瑞士当局之手交给法国警方;不久之后,Proton 主页上 “我们不保留任何 IP 日志” 的措辞被悄然撤下。Proton 季度发布的 透明度报告 显示,每年都会执行数千份命令;而无法被交出、因为根本未被存储的,是邮件的明文正文。

优势与局限

密码学姿态扎实。Cure53 审计了 Proton Mail 客户端 与 OpenPGPjs 库,Proton 同时公开源代码与审计报告。付费档接受 Bitcoin(仅限已存在的账户),让付款轨迹可以与银行卡解绑。局限主要在法域。瑞士法律给 Proton 带来的暴露面,协议层级的服务无法消除,但可以收窄;一个通过 Tor 创建、不留恢复联系方式、用 Bitcoin 付款的账户,要回溯起来比一个用 Visa 卡、明网 IP 开通的免费账户难得多。支持是软肋——付费用户常常要等好几天才能等到回复——反滥用系统在注册看起来像是自动化时,会要求手机号或备用邮箱,这会拦下一部分 Tor 流量。

结论

Proton Mail 是开箱即用的私密邮箱中最强的一档:开源、有审计,Tor 镜像在新账户注册环节确实能用。但它并非匿名邮件——瑞士司法程序已被用于把 IP 与具体账户挂钩,因此凡是把外国警方的严肃兴趣纳入威胁模型的人,都应当把信箱当作化名,而不是隐形。它适合记者、正在离开 Gmail 的专业人士,以及希望在不自建服务器的前提下使用加密邮件的所有人。