After exhausting our legal options, Riseup recently chose to comply with two sealed warrants from the FBI, rather than facing contempt of court (which would have resulted in jail time for Riseup birds and/or termination of the Riseup organization). The first concerned the public contact address for an international DDoS extortion ring. The second concerned an account using ransomware to extort money from people.
Extortion activities clearly violate both the letter and the spirit of the social contract 1 we have with our users: We have your back so long as you are not pursuing exploitative, misogynist, racist, or bigoted agendas.
There was a “gag order” that prevented us from disclosing even the existence of these warrants until now. This was also the reason why we could not update our “Canary” 2.
We have taken action to ensure that Riseup never again has access to a user’s stored email in plaintext. Starting today, all new Riseup email accounts will feature personally encrypted storage on our servers, only accessible by you. In the near future, we will begin to migrate all existing accounts to use this new system (for technical details, see 3).
To be absolutely clear, this type of encryption is not end-to-end message encryption. With Riseup’s new system, you still put faith in the server while you are logged in. For full end-to-end email encryption, as before, you must use a client that supports OpenPGP (and is not web-based).
We are working to roll out a more comprehensive end-to-end system in the coming year, but until that is ready, we are deploying personally encrypted storage in the mean time.
in solidarity,
The Riseup Birds
Questions
Q: Are you compromised by law enforcement?
A: No. We have never permitted installation of any hardware or software monitoring on any system that we control; law enforcement has not taken our servers; does not, and has never had access to them. We would rather stop being Riseup before we did that.
Q: Couldn’t the government just make you say that?
A: Forced speech is actually quite rare in the US legal context. It’s usually only in cases of consumer protection where the government has been successful in compelling speech (e.g. forced cigarette warnings). Nevertheless, no they aren’t forcing us to say anything.
Q: Why didn’t you update your canary?
A: In the Winter of 2016, the canary was not updated on time. The canary was so broad that any attempt to issue a new one would be a violation of a gag order related to an investigation into a DDoS extortion ring and ransomware operation. This is not desirable, because if any one of a number of minor things happen, it signals to users that a major thing has happened.
Q: Why does the new Canary not mention gag orders, FISA court orders, National Security Letters, etc?
A: Our initial Canary strategy was only harming users by freaking them out unnecessarily when minor events happened. A Canary is supposed to signal important risk information to users, but there is also danger in signaling the wrong thing to users or leading to general fear and confusion for no good reason. The current Canary is limited to significant events that could compromise the security of Riseup users.
1 https://riseup.net/tos
2 https://riseup.net/canary
3 https://0xacab.org/riseuplabs/trees
what?
does it mean that riseup gave content of two mail adresses to the FBI? or did i understood something wrong?
thx
seems so
"Riseup recently chose to comply with two sealed warrants from the FBI"
I guess they're not allowed to tell, what the exact content of these warrants is. So I guess they can not answer your question directly.
The rest of the statement does however make it reasonably clear that they did give content of these two mail adresses to the FBI.
They also made very clear in their statement, that any activist has nothing to worry about.
I for my part am very very reliefed, that all the "not updated canary" stuff is cleared up now.
If you have lost your trust to riseup through this, thats an understandable reaction. You should then move your mail account etc. to another host. Luckily there are quite some other hosts for activists.
You can also run a server of your own. It's a bit of work, but it's doable.
Riseup wechselt zu verschlüsselten E-Mails als Antwort auf Anord
Schnell-Übersetzung ins deutsche:
Nachdem wir unsere rechtlichen Optionen ausgeschöpft hatten, entschloss sich Riseup kürzlich, zwei "versiegelten", also geheimen Verfügungen des FBI nachzukommen, anstatt uns einem Gerichtsprozess auszusetzen (der mit Knast für Riseup-Vögelchen und dem Ende der Riseup-Organisation geendet hätte).
Die erste Verfügung betraf die öffentliche Kontakt-Adresse eines internationalen Erpresser-Rings, der Denial-of-Service-Attacken (absichtlich herbeigeführte Serverüberlastungen) durchführte. Die zweite Anfrage betraf einen Account, der (ebenfalls) Schadprogramme nutzte, um an Geld von Leuten zu kommen.
Erpressungs-AKtivitäten verletzen ganz klar den Text und auch den Geist unseres social contract 1, den wir mit unseren Nutzer*Innen haben. Wir haben Eure Rückendeckung, so lange Ihr keine ausbeuterischen, sexistischen, rassistischen oder bigotten Ziele verfolgt.
Es gab eine sogenannte “gag order”, also eine Art Schweige-Befehl, der uns hinderte, auch nur die Existenz dieser Anfragen bis jetzt öffentlich zu machen. Dies war auch der Grund, warum wir unseren “Canary” 2 nicht updaten konnten und der Kanarienvogel stumm blieb.
Wir haben nun Vorkehrungen getroffen, damit Riseup nie wieder Zugang hat zum Volltext von gespeicherten NutzerInnen-Mails. Ab heute werden alle Riseup-Mail-Accounts so ausgestattet sein, dass sie einen persönlich verschlüsselten Speicherplatz auf unseren Servern haben, der nur für Euch alleine zugänglich ist. In naher Zugang werden wir alle bestehenden Acconus in dieses neue System umziehen (technische Details hier 3).
Um es ganz deutlich zu sagen: diese Verschlüsselung ist keine end-to-end - Nachrichten-Verschlüsselung. Bei diesem neuen Riseup-System gilt immer noch das Vertrauen in den Server, in den Ihr Euch einloggt. Um eine komplette end-to-end- E-mail-Verschlüsselung zu haben, müsst Ihr wie vorher auch einen Client benutzen, der OpenPGP unterstützt und der nicht webbasiert ist.
Wir sind dabei, im kommenden Jahr ein verständlicheres end-to-end-System zu entwickeln, aber bis es soweit ist, setzen wir demnächst ein persönlich verschlüsselten Speichersystem auf.
In Solidarität,
The Riseup Birds
Fragen
F: Seid Ihr kompromittiert durch eine gerichtliche Vollstreckung/Verfügung?
A: Nein. Wir haben es niemandem erlaubt, irgendeine Hardware oder Beobachtungssoftware an irgendeinem System zu installueren, das wir kontrollieren; das FBI hat nicht unsere Server beschlagnahmt, es hat und hatte keinen Zugang zu ihnen. Wir würden eher Riseup stoppen, als dies zuzulassen.
F: Könnte es nicht sein, dass die Regierung Euch zwingst, das so zu sagen?
A: Solche erzwungenen Aussagen sind sehr selten im rechtlichen Kontext der USA. Es kommt am ehesten vor in Bereichen des Verbraucherschutzes, wo die Regierung erfolgreich darin war, erzwungene Aussagen zu machen (z.B. verpflichtende Zigarettenwarnungen). Wie auch immer: nein, sie zwingen uns nicht, irgendetwas zu sagen/ zu verschweigen.
F: Warum habt Ihr den Kanarienvogel nicht singen lassen?
A:Im Winter 2016 wurde der canary nicht rechtzeitig upgedatet. Der Kanarienvogel war so umfassend [das Konzept dahinter so breit und allgemein aufgestellt], dass jeder Versuch, einen neuen aufzusetzen eine Verletzung der "gag order" bezüglich der Untersuchung gegen den Erpresser-Ring und der Schad-Software-Operation gewesen wäre.
Das ist nicht wünschenswert, denn wenn eine Reihe kleinerer Dinge passieren, signalisiert das den Nutzer*Innen, dass ein großes Ding passiert wäre.
F: Warum zwitschert der neue Kanarienvogel nichts über "gag orders", FISA court orders, National Security Letters, etc?
A: Unsere ursprüngliche Kanarienvogel-Strategie hat Nutzer*Innen eher unnötig aufgeschreckt, wenn kleinere Dinge vorkamen. Ein Kanarienvogel sollte die Nutzer*Innen über wesentliche und wichtige Sicherheitsrisiken informieren - aber es gibt dabei die Gefahr, die falschen Sachen anzudeuten oder eine generelle Furcht und Unsicherheit zu verbreiten ohne, dass es dafür einen guten Grund gäbe. Der jetzige Kanarienvogel ist darauf beschränkt, nur signifikate Vorkommnisse anzuzeigen, die die Sicherheit von Riseup-Nutzer*Innen tangieren würden.
1 https://riseup.net/tos
2 https://riseup.net/canary
3 https://0xacab.org/riseuplabs/trees
Übesetzung
Nach Ausschöpfung aller rechtlichen Optionen hat Riseup vor kurzem enschieden, zwei verdeckten Durchsuchungsbefehlen des FBI nachzukommen, anstatt Widerstand gegen die Vollstreckung zu leisten (was zur Inhaftierung von Riseup Birds und/oder Auflösung der Organisation Riseup geführt hätte). Der erste Durchsuchungsbefehl betraf die öffentliche Adresse eines internationalen DDoS-Erpresserrings. Der zweite richtete sich gegen einen Account, der Ransomware nutzte, um Geld zu erpressen.
Erpressung ist eindeutig ein Verstoß sowohl gegen den Wortlaut als auch den Sinn des sozialen Vertrags [1], den wir mit unseren Nutzer_innen schließen: Wir halten euch den Rücken frei, solange ihr nicht ausbeuterische, frauenfeindliche, rassistische oder hetzerische Ziele verfolgt.
Es gab eine „gag order“ („Maulkorb-Anordnung“), die uns bis jetzt verbot, auch nur die Existenz der Durchsuchungsbefehle offenzulegen. Dies ist auch der Grund, weshalb wir unseren „Canary“[2] nicht aktualisieren konnten.
Wir haben Maßnahmen ergriffen, um sicherzustellen, dass Riseup nie wieder Zugang zum Klartext der Emails hat, die ein_e Nutzer_in gespeichert hat. Von heute an werden alle neuen Riseup-Email-Accounts mit einem persönlichen verschlüsselten Speicher auf unserem Server ausgestattet, der nur für euch zugänglich ist. In der nahen Zukunft werden wir damit beginnen, alle bestehenden Accounts in dieses neue System zu überführen (für technische Details siehe [3]).
Um das absolut klar zu machen, diese Art der Verschlüsselung ist keine „Ende-zu-Ende“-Verschlüsselung eurer Nachrichten. Mit dem neuen System von Riseup werdet ihr auch weiterhin dem Server vertrauen müssen, auf dem ihr euch anmeldet. Für eine volle „Ende-zu-Ende“-Verschlüsselung müsst ihr, wie zuvor, einen Mailclient nutzen der OpenPGP unterstützt (und nicht webbasiert ist).
Wir arbeiten daran, im kommenden Jahr ein verständlicheres „Ende-zu-Ende“-Verschlüsselungsystem herauszubringen, aber bis das fertig ist, setzen wir persönlich verschlüsselten Speicherplatz ein.
Solidarische Grüße,
Die Riseup Birds
Fragen
F: Seid ihr von Strafverfolgungsbehörden kompromittiert?
A: Nein. Wir haben niemals die Installation von Hardware- oder Software-Überwachungsystemen in irgendeinem von uns kontrollierten System gestattet; die Strafverfolgungsbehörden haben nicht unsere Server mitgenommen; haben nicht und hatten niemals Zugriff auf diese. Wir würden eher aufhören Riseup zu sein, bevor wir das zuließen.
F: Könnte die Regierung euch nicht zwingen, das zu sagen?
A: Erzwungene Aussagen sind im US-Rechssystem sehr selten. Üblicherweise finden sie nur im Bereich des Verbraucherschutz' statt, wo die Regierung erfolgreich Aussagen erzwungen hat (z.B. verpflichtende Warnungen vor Zigaretten). Wie dem auch sei, nein, sie zwingen uns nicht, irgendetwas zu sagen.
F: Warum habt ihr euren „Canary“ nicht aktualisiert?
A: Im Winter 2016 wurde der „Canary“ nicht rechtzeitig aktualisiert. Der „Canary“ war so breit angelegt, dass jeder Versuch, einen neuen herauszugeben, ein Verstoß gegen die „Gag-Order“ bzgl. der Ermittlung gegen einen DDoS-Erpresserring und eine Ransomware-Operation gewesen wäre. Dies ist nicht wünschenswert, weil es, wenn eine Reihe von kleineren Dingen passiert, dazu führt, dass die Nutzer_innen annehmen müssen, etwas großes sei passiert.
F: Warum erwähnt der neue „Canary“ nicht „Gag Order“, FISA-Gerichtsanordnungen, National Security Letters usw.?
A: Unsere ursprüngliche „Canary“-Strategie hat unseren Nutzer_innen geschadet, indem es sie unnötig in Aufruhr versetzt hat, weil nebensächliche Dinge passiert sind. Ein „Canary“ soll den Nutzer_innen ernsthafte Bedrohungen signalisieren, doch es besteht die Gefahr, dass den Nutzer_innen falsche Dinge vermittelt werden oder ohne guten Grund allgemeine Furcht und Verwirrung gestiftet wird. Der aktuelle „Canary“ ist auf bedeutende Ereignisse beschränkt, die die Sicherheit der Nutzer_innen von Riseup gefährden könnten.
1 https://riseup.net/tos
2 https://riseup.net/canary
3 https://0xacab.org/riseuplabs/trees