Lavabit

Lavabit es un servicio de correo web cifrado de código abierto , fundado en 2004. El servicio suspendió sus operaciones el 8 de agosto de 2013, después de que el Gobierno Federal de EE. UU. le ordenara entregar sus claves privadas de Transport Layer Security (TLS) para permitir que el gobierno espiara el correo electrónico de Edward Snowden . ^{[ 1 ] [ 2 ] [ 3 ] [ 4 ]}

El propietario y operador de Lavabit, Ladar Levison, anunció el 20 de enero de 2017 que Lavabit volvería a operar utilizando el nuevo Dark Internet Mail Environment (DIME), una plataforma de cifrado de correo electrónico de extremo a extremo diseñada para ser más resistente a la vigilancia. Sin embargo, en junio de 2017, mientras se completaba la transición a DIME, el servicio solo se ofrecía a los clientes anteriores y a quienes aprovecharon la oferta de registro anticipado. ^{[ 5 ] [ 6 ] [ 7 ] [ 8 ]} En octubre de 2017, se volvió a ofrecer a los nuevos clientes la oportunidad de adquirir el servicio. ^{[ 9 ]}

Lavabit fue fundada por programadores con sede en Texas que formaron Nerdshack LLC (renombrada Lavabit LLC al año siguiente), citando preocupaciones de privacidad sobre Gmail , el servicio de correo electrónico gratuito y ampliamente utilizado de Google , y su uso del contenido del correo electrónico de los usuarios para generar anuncios y datos de marketing. ^{[ 10 ]} Lavabit ofreció una protección de privacidad significativa para el correo electrónico de sus usuarios, incluyendo cifrado asimétrico . La solidez de los métodos criptográficos utilizados era de un nivel que se presume imposible de descifrar incluso para las agencias de inteligencia. En agosto de 2013, Lavabit tenía alrededor de 410.000 usuarios y ofrecía cuentas gratuitas y de pago con niveles de almacenamiento que iban desde 128 megabytes hasta 8 gigabytes . ^{[ 11 ] [ 12 ]} En enero de 2011, ^{[ 13 ]} Lavabit había lanzado un servicio de alojamiento web compartido . ^{[ 14 ]}

Antes del incidente de Snowden, Lavabit había cumplido con órdenes de registro previas. Por ejemplo, en junio de 2013 se ejecutó una orden de registro contra una cuenta de Lavabit por presunta posesión de pornografía infantil. ^{[ 15 ]}

Lavabit recibió atención mediática en julio de 2013 cuando se reveló que Edward Snowden estaba utilizando la dirección de correo electrónico de Lavabit, Ed_Snowden@lavabit.com, para invitar a abogados y activistas de derechos humanos a una conferencia de prensa durante su confinamiento en el Aeropuerto Internacional Sheremetyevo de Moscú . ^{[ 16 ]} Al día siguiente de que Snowden revelara su identidad, el gobierno federal de Estados Unidos emitió una orden judicial, con fecha del 10 de junio de 2013, bajo el artículo 2703(d) del Título 18 del Código de los Estados Unidos, una enmienda de 1994 de la Ley de Comunicaciones Almacenadas , solicitando metadatos de un cliente no identificado. Kevin Poulsen de Wired escribió que "el momento y las circunstancias sugieren" que Snowden era este cliente. ^{[ 17 ]} En julio de 2013, el gobierno federal obtuvo una orden de registro que exigía a Lavabit entregar las claves SSL privadas de su servicio, lo que afectaba a todos los usuarios de Lavabit. ^{[ 18 ]} Un error de redacción de 2016 confirmó que Edward Snowden era el objetivo. ^{[ 2 ]}

El 8 de agosto de 2013, Lavabit suspendió sus operaciones y la página de inicio de sesión del servicio de correo electrónico fue reemplazada por un mensaje del propietario y operador Ladar Levison. ^{[ 1 ]} The New Yorker sugirió que la suspensión podría estar relacionada con las "prácticas de vigilancia interna" de la Agencia de Seguridad Nacional (NSA) de EE. UU. ^{[ 19 ]} Wired especuló que Levison estaba luchando contra una orden judicial o una carta de seguridad nacional que solicitaba información de los clientes en circunstancias extraordinarias, ya que Lavabit había cumplido con al menos una orden de registro rutinaria en el pasado. ^{[ 16 ] [ 20 ]} Levison declaró en una entrevista que respondió a "al menos dos docenas de citaciones" durante la vida útil del servicio. ^{[ 21 ]} Insinuó que la solicitud objetable era para "información sobre todos los usuarios" de Lavabit. ^{[ 22 ]}

Levison explicó que estaba sujeto a una orden de silencio y que legalmente no podía explicar al público por qué había terminado el servicio. ^{[ 21 ]} En cambio, solicitó donaciones para "luchar por la Constitución " en el Tribunal de Apelaciones del Cuarto Circuito de los Estados Unidos . Levison también afirmó que incluso se le había prohibido compartir cierta información con su abogado . ^{[ 21 ]} Mientras tanto, la Electronic Frontier Foundation instó al Buró Federal de Investigaciones (FBI) a brindar mayor transparencia al público, en parte para ayudar a los observadores a "comprender qué llevó a que una empresa con diez años de antigüedad cerrara sus puertas y a que una nueva empresa emergente abandonara una oportunidad de negocio". ^{[ 23 ]}

Levison dijo que podría ser arrestado por cerrar el sitio en lugar de divulgar la información, y se informó que la oficina del fiscal federal había enviado un correo electrónico al abogado de Levison en ese sentido. ^{[ 22 ] [ 24 ]}

Se cree que Lavabit es la primera empresa tecnológica que ha optado por suspender o cerrar sus operaciones en lugar de cumplir con una orden del gobierno de Estados Unidos para revelar información o conceder acceso a ella. ^{[ 3 ]} Silent Circle , un proveedor de servicios de correo electrónico cifrado, vídeo móvil y voz, siguió el ejemplo de Lavabit al interrumpir sus servicios de correo electrónico cifrado. ^{[ 25 ]} Alegando la imposibilidad de mantener la confidencialidad de los correos electrónicos de sus clientes en caso de recibir órdenes gubernamentales, Silent Circle borró permanentemente las claves de cifrado que permitían el acceso a los correos electrónicos almacenados o transmitidos por su servicio. ^{[ 26 ]}

En septiembre de 2013, Levison apeló la orden que resultó en el cierre de su sitio web. ^{[ 27 ]}

Levison y su abogado presentaron dos solicitudes al juez Claude M. Hilton para que se desclasificaran los registros, ambas denegadas. También interpusieron un recurso de apelación sobre la legalidad de la orden judicial original. El tribunal de apelaciones solicitó entonces que se desclasificaran los registros, y el juez Hilton concedió la solicitud. El 2 de octubre de 2013, el Tribunal Federal de Distrito de Alexandria, Virginia, desclasificó los registros de este caso, pero solo censuró el nombre y los detalles del objetivo de la orden de registro. Wired sugirió que el objetivo probablemente era Snowden. ^{[ 4 ]} Los registros judiciales muestran que el FBI solicitó la clave privada de Transport Layer Security (TLS/SSL) de Lavabit. Levison se opuso, argumentando que la clave permitiría al gobierno acceder a las comunicaciones de los 400.000 clientes de Lavabit. También ofreció añadir código a sus servidores que proporcionaría la información requerida solo para el objetivo de la orden. El tribunal rechazó esta oferta porque requeriría que el gobierno confiara en Levison y declaró que el hecho de que el gobierno pudiera acceder a las comunicaciones de todos los clientes no significaba que estuviera legalmente autorizado a hacerlo. Se le ordenó a Lavabit que proporcionara la clave SSL en formato legible por máquina antes del mediodía del 5 de agosto o se enfrentaría a una multa de 5000 dólares por día. ^{[ 28 ]} Levison cerró Lavabit tres días después.

El 14 de octubre de 2013, Levison anunció que permitiría a los usuarios de Lavabit cambiar sus contraseñas hasta el 18 de octubre de 2013, después de lo cual podrían descargar un archivo de sus correos electrónicos y datos personales. ^{[ 29 ] [ 30 ]}

Los documentos judiciales indicaron que el 13 de julio Levison envió una carta abierta al fiscal adjunto de los Estados Unidos, ofreciéndose a entregar metadatos de correo electrónico (sin el contenido del correo electrónico, nombres de usuario ni contraseñas) al FBI si le pagaban 2000 dólares "para cubrir el costo del tiempo de desarrollo y el equipo necesario para implementar mi solución" y 1500 dólares para entregar datos "de forma intermitente durante el período de recopilación". ^{[ 31 ]}

Posteriormente, Levison escribió que, tras ser contactado por el FBI, recibió una citación para comparecer ante un tribunal federal y se vio obligado a hacerlo sin representación legal debido al escaso tiempo de aviso. Además, como tercero, no tenía derecho a representación y no se le permitió solicitar a nadie que no fuera abogado que le ayudara a encontrar uno. También escribió que, además de que se le negó una audiencia sobre la orden judicial para obtener la información de los usuarios de Lavabit, fue declarado en desacato . El tribunal de apelaciones denegó su apelación por falta de objeción; sin embargo, escribió que, al no haber habido audiencia, no se podía haber presentado ninguna objeción. Su cargo por desacato también fue confirmado por no haber sido impugnado; de igual manera, no pudo impugnar el cargo porque no hubo audiencia para hacerlo. También escribió que "el gobierno argumentó que, dado que la 'inspección' de los datos iba a ser realizada por una máquina, estaba exenta de las protecciones normales de registro e incautación de la Cuarta Enmienda". ^{[ 32 ]}

Un año después de la suspensión de Lavabit, su fundador, Ladar Levison, anunció una especificación para el Dark Internet Mail Environment (DIME) en DEF CON 22. Está siendo desarrollado por la Dark Mail Alliance . ^{[ 33 ]}

En abril de 2014, después de que un tribunal de apelaciones confirmara la condena por desacato al tribunal por proporcionar la clave en forma impresa, describió la iniciativa a Ars Technica como "una solución tecnológica que eliminaría la decisión de la voluntad del hombre". ^{[ 34 ]}

El desacato al tribunal fue causado por Levison al proporcionar las claves impresas en una fuente diminuta (4 puntos), que fue considerada "en gran medida ilegible" por una moción del FBI, que luego se quejó de que "Para usar estas claves, el FBI tendría que ingresar manualmente los 2560 caracteres, y una sola pulsación de tecla incorrecta en este laborioso proceso haría que el sistema de recopilación del FBI fuera incapaz de recopilar datos descifrados". ^{[ 35 ]}

En noviembre de 2015, Levison dijo que el trabajo en DIME seguía avanzando, aunque más lentamente de lo que le gustaría. ^{[ 36 ]} En julio de 2016, las publicaciones en el foro de Dark Mail Alliance sugieren que todos los colaboradores han abandonado el proyecto y Ladar ha estado trabajando en DIME solo. ^{[ 37 ]}

El 20 de enero de 2017, Ladar Levison, propietario de Lavabit, relanzó el servicio. Según el comunicado, esta fecha coincidió con la investidura de Donald Trump (aunque no se le mencionó por su nombre). El servicio se renovó para utilizar los protocolos y el software del Entorno de Correo de la Internet Oscura (DIME, por sus siglas en inglés) en los que Ladar había estado trabajando durante los últimos años. Esta plataforma DIME , junto con el servidor de correo electrónico de código abierto Magma , está diseñada para utilizar cifrado de extremo a extremo, de manera que, al operar con la configuración de seguridad más alta, las órdenes judiciales no pueden obligar a los proveedores de servicios a dar acceso a los gobiernos al correo electrónico de sus clientes (ni a cerrar sus operaciones para evitarlo). Con la máxima seguridad, incluso un atacante que lograra acceder a los servidores DIME no tendría forma viable de acceder a los correos electrónicos de los clientes, lo que deja los ataques del lado del cliente como los únicos puntos de vulnerabilidad potenciales.

• Comparación de servidores de correo
• Comparación de proveedores de correo web

• Sitio web oficial
• Ladar Levison de Lavabit: "Si supieras lo que yo sé sobre el correo electrónico, probablemente no lo usarías". Forbes, 8 de agosto de 2013.
• Ladar Levison fue entrevistado en el programa de televisión Triangulation de la cadena TWiT.tv el 23 de octubre de 2013.
• Entrevista con Ladar Levison, BBC News, 31 de enero de 2014.
• Fundador de Lavabit: Las "mentiras descaradas" del gobierno y el programa de vigilancia masiva me obligaron a cerrar mi empresa | Democracy Now! 22/05/2014