Permanente ligginguitspeuring: hoe jou foon jou volg selfs wanneer jy glo jy het dit verhoed

Sun, 02 Aug 2026 00:00:00 +0000

In 2024 het twee navorsers van die Universiteit van Maryland Apple se Wi-Fi-posisioneringsdiens herhaaldelik bevraag, sonder enige besondere voorreg en sonder gespesialiseerde toerusting, en binne een jaar die presiese ligging van meer as twee miljard Wi-Fi-toegangspunte wêreldwyd herbou. Hulle artikel, Surveilling the Masses with Wi-Fi-Based Positioning Systems , wys wat daardie kaart moontlik maak: om toerusting te volg wat Oekraïne binnegaan en verlaat, om die verskuiwing van bevolkings ná die Maui-brande waar te neem, om iemand deur sy huis se internetroeteerder op te spoor.

Nie een van daardie toestelle het GPS aangehad nie. Die ligging het van elders gekom.

Dit is die mees algemene blinde kol wanneer dit by privaatheid op selfone kom: die oortuiging dat daar ’n liggingskakelaar bestaan, en dat die foon, sodra dit afgeskakel is, ophou weet waar hy is. Daardie oortuiging is op sewe verskillende vlakke verkeerd.

Ligging is nie ’n funksie wat jou foon aanskakel nie. Dit is ’n eienskap van wat die foon is.

GPS, oftewel die minste problematiese roete

Die enigste meganisme wat almal kan noem, is terselfdertyd dié een wat jou die minste behoort te bekommer.

GNSS, die versamelnaam wat die Amerikaanse GPS, Galileo, GLONASS en BeiDou insluit, werk deur te luister. Satelliete straal deurlopend tydgemerkte seine uit, die ontvanger vang verskeie daarvan op en bereken sy posisie uit die verskille in voortplantingstyd. Gebruiklike akkuraatheid in die oop veld: drie tot vyf meter, en dikwels etlike tientalle meter in die stad, waar geboue se fasades die seine weerkaats.

Die deurslaggewende punt is dat hierdie berekening passief is. Die foon straal niks na die satelliete uit nie, en geen satellietoperateur weet dat jy bestaan nie. As GNSS al was wat ter sprake is, sou dit genoeg gewees het om GPS af te skakel.

Daar is egter ’n nuanse. Om die eerste posisiebepaling te versnel, gebruik fone A-GPS: hulle laai die satelliete se baandata van ’n bediener af, via die SUPL -protokol. Om die regte data te kry, stuur die foon aan daardie bediener die identifiseerder van die netwerksel waaraan dit gekoppel is. Suiwer GNSS verraai jou nie, maar die versneller wat daarop geënt is, doen wel.

Die selnetwerk: wat die operateur uit die aard van die saak weet

Sodat ’n oproep jou kan bereik, moet die netwerk weet in watter gebied jy is. Dit is nie ’n opsie wat aangeskakel kan word nie, dit is die bestaansvoorwaarde van die diens. Jou foon meld homself voortdurend by die naaste toring aan, en daardie registrasie laat ’n spoor by die operateur. Geen geïnstalleerde toepassing nie, geen toestemming wat verleen is nie: ’n aktiewe SIM-kaart is genoeg.

Die akkuraatheid hang van die metode af:

Selidentifiseerder alleen: van 200 meter in ’n digbeboude stadsgebied tot meer as 30 kilometer op die platteland, waar een toring ’n baie groot radius dek.
Verrykte Cell ID, wat die antennasektor byvoeg (die meeste terreine is in drie sektore van 120 grade verdeel) en die seinsterkte: van 100 meter tot ’n paar kilometer.
Timing advance, wat die heen-en-weer-vertraging tussen foon en toring meet: in die orde van 550 meter op GSM, sowat 78 meter op LTE.
Multilaterasie oor drie of meer torings: 50 tot 300 meter op stedelike LTE.

5G verander die skaal om twee redes wat bymekaar tel. Eerstens digtheid: 5G-selle dek veel korter radiusse, sodat blote koppeling reeds fyn inligting is. Tweedens standaardisering: sedert Release 16 sluit 3GPP eie posisioneringseine in. Die kommersiële mikpunte is minder as 3 meter binnenshuis en minder as 10 meter buite vir 80 % van toestelle, en Release 18 daal tot op sentimetervlak vir sekere industriële toepassings.

Die infrastruktuur wat jou verbind, word dus ’n posisioneringstelsel van ’n gehalte vergelykbaar met GPS, sonder dat jy enigiets aangeskakel het. Hierdie data word volgens nasionale reëls bewaar en is deur uiteenlopende prosedures vir owerhede toeganklik. Dit is dieselfde grondliggende debat as dié oor die jurisdiksie wat op gehuisveste data van toepassing is : tegniese beskerming en regsbeskerming val nie saam nie.

Wi-Fi: ’n wêreldkaart gemaak van hardewareadresse

Elke Wi-Fi-toegangspunt saai deurlopend ’n unieke hardeware-identifiseerder uit, die BSSID. Hierdie identifiseerders is vas en geografies stabiel: ’n huisroeteerder bly jare lank op dieselfde plek.

Apple, Google en ’n paar gespesialiseerde spelers onderhou databasisse wat elke BSSID aan koördinate koppel, en dit word gebou deur die fone van hulle eie gebruikers, wat die lys van sigbare toegangspunte saam met ’n GNSS-posisie deurgee. Daarna word die bewerking omgekeer: ’n foon wat vier bekende toegangspunte sien, het nie meer ’n enkele satelliet nodig nie. In ’n digbeboude stadsgebied haal die akkuraatheid gewoonlik ’n paar tientalle meter, en binnenshuis daal dit nog laer.

Twee eienskappe maak hierdie meganisme moeilik om te neutraliseer. Eerstens skandeer die foon selfs wanneer Wi-Fi afgeskakel lyk: sedert Android 4.3 behou die stelsel ’n periodieke skandering wat die ligging moet verbeter, onafhanklik van die skakelaar op die kitspaneel. Hierdie gedrag hang af van ’n afsonderlike instelling, diep in die liggingsdienste begrawe, wat feitlik geen gebruiker nog ooit oopgemaak het nie.

Tweedens kan die databasis van buite bevraag word. Dit is presies die gaping wat Rye en Levin benut het: die posisioneringskoppelvlakke gee nie net die gevraagde posisie terug nie, maar ook dié van naburige toegangspunte, wat dit moontlik maak om die kaart te oes sonder om ooit fisiek naby daardie plekke te kom.

Bluetooth en BLE: opgespoor deur ander mense se fone

Bluetooth Low Energy voeg ’n nabyheidslaag by, met ’n reikafstand van ’n paar meter tot ’n paar tientalle meter, dus met ’n veel fyner korrel as die selnetwerk. Twee gebruike bestaan langs mekaar. Kommersiële bakens, wat in winkels, lughawens of inkopiesentrums geplaas word, straal ’n identifiseerder uit wat toepassings op die foon herken, wat verklap voor watter rak jy stilgestaan het en vir hoe lank. En samewerkende opsporingsnetwerke, waarvan Apple se Find My die model is, sedertdien deur Google en Samsung oorgeneem.

Hierdie tweede meganisme keer ’n onuitgesproke aanname om. Die toonaangewende ontleding Who Can Find My Devices? , gepubliseer in die verrigtinge van PETS 2021 deur navorsers van die Tegniese Universiteit van Darmstadt, het Apple se protokol met omgekeerde ingenieurswese herbou. ’n Vanlyn toestel straal ’n BLE-sein uit, enige Apple-toestel naby vang dit op, voeg sy eie posisie by en stuur dit versleuteld na Apple se bedieners, sonder die medewete van sy eie eienaar of dié van die toestel wat opgespoor word.

Die gevolg is struktureel: ’n toestel sonder SIM-kaart, sonder Wi-Fi, sonder enige netwerkverbinding bly opspoorbaar, mits ’n vreemdeling met ’n foon in die sak verbyloop. Jou afsondering hang nie meer van jou instellings af nie, maar van dié van verbygangers.

Traagheidsensors: opspoor sonder liggingstoestemming

’n Foon bevat ’n versnellingsmeter, ’n giroskoop, ’n magnetometer en dikwels ’n barometer. Hierdie sensors val onder ’n toestemmingskategorie wat van ligging geskei is: ’n toepassing kan hulle lees sonder dat dit ooit gevra het waar jy is.

Navorsers van Princeton het dit met PinMe bewys. Hulle toepassing begin by die IP-adres en die tydsone vir ’n growwe posisie, en lees dan die sensors: die versnellingsmeter gee die versnellings- en remprofiel, die giroskoop die volgorde van draaie, die magnetometer die rigting, die barometer die hoogteveranderings. ’n Neurale netwerk bepaal die vervoerwyse, te voet, met die motor, per trein of per vliegtuig, en die roete word teen openbare kaart-, hoogte- en weerdata gepas. Die resultaat: ’n roete met ’n akkuraatheid vergelykbaar met GPS, sonder liggingstoestemming. Die metode het grense, wat die outeurs dokumenteer, want dit misluk in gebiede sonder paaie en verswak op eenvormige roosterplanne, waar baie roetes dieselfde handtekening lewer. Dit bly nietemin die bewys dat ’n geweierde toestemming nie ’n toe deur is nie.

Die barometer lewer boonop die dimensie wat GNSS swak hanteer, naamlik die vertikale. Die Amerikaanse vereistes vir noodoproepe skryf ’n vloervlak-akkuraatheid van plus of minus 3 meter voor vir 80 % van oproepe wat binnenshuis gemaak word. Om te weet op watter verdieping iemand is, is van ’n ander aard as om te weet in watter blok hy is.

Die datamark: die alledaagste roete

Die voorafgaande meganismes beskryf hoe ’n posisie bereken word. Wat oorbly, is waarheen dit gaan, en juis daar word die grootste deel van die daaglikse risiko beslis.

Duisende toepassings sluit advertensie-SDK’s in, sagtewarekomponente van derde partye wat ’n ontwikkelaar byvoeg om sy werk te verdien of sy gehoor te meet. Hierdie komponente erf die toestemmings van die gasheertoepassing: ’n weertoepassing wat jou posisie regmatig nodig het, gee dit deur aan spelers wie se name jy nog nooit gelees het nie. Daarby kom die advertensie-veilingstrome, waar jou benaderde posisie by elke banieradvertensie aan tientalle voornemende kopers uitgestuur word, ook aan dié wat niks koop nie en hulle by luister bepaal.

Hierdie grondstof voed ’n hele bedryf. Die Electronic Frontier Foundation het die geval van Fog Data Science gedokumenteer, wat aanspraak gemaak het op miljarde datapunte oor meer as 250 miljoen toestelle, wat aan plaaslike Amerikaanse polisie verkoop is. Brian Krebs het Locate X beskryf, ’n produk waarmee jy ’n veelhoek op ’n kaart kan trek en die geskiedenis kan sien van die toestelle wat daardie gebied binnegekom en verlaat het.

Hierdie roete verg geen tegniese kragtoer nie, net iemand wat bereid is om te betaal. Die prys is beskeie.

IMSI-vangers: aktiewe opsporing

Die meganismes wat tot dusver bespreek is, buit ’n normale werking uit. Daar bestaan ook aktiewe opsporing, uitgevoer deur ’n derde party wat op die netwerk ingryp.

’n IMSI-vanger, of seltoringsimulator, is toerusting wat hom as ’n wettige toring voordoen. Fone binne trefafstand koppel daaraan en verklap sodoende hulle intekenaaridentifiseerder en hulle teenwoordigheid binne ’n eng omtrek.

5G moes daardie deur toemaak deur die permanente identifiseerder wat in die oop gestuur word, met ’n versleutelde een, die SUCI, te vervang. Die sluiting is gedeeltelik. Die werk wat onder die titel 5G SUCI-catchers: still catching them all? aangebied is, dokumenteer koppelaanvalle wat dit moontlik maak om sessies weer te korreleer ondanks die versleuteling. Bowenal val die beskerming heeltemal weg as die aanvaller die toestel dwing om na ’n vroeër geslag terug te val, veral 2G, waarvan die verifikasie eensydig is. ’n 5G-foon bly kwesbaar vir ’n aanval wat vir ’n netwerk uit die 1990’s ontwerp is, omdat dit steeds bereid is om daarheen af te sak.

Die teenmaatreëls en hulle werklike doeltreffendheid

Elke maatreël hieronder doen iets. Nie een doen alles nie, en die gaping tussen wat hulle doen en wat aan hulle toegeskryf word, lewer die verkeerde besluite op.

Vliegtuigmodus

Vliegtuigmodus sny die uitstraling van die selmodem, van Wi-Fi en van Bluetooth af. Dit is werklik, en dit is die beste resultaat vir so ’n geringe moeite.

Wat dit nie doen nie: dit stop nie die traagheidsensors nie, dit vee nie die posisies uit wat reeds gekas is nie, wat by herverbinding sal vertrek, en op die meeste toestelle laat dit toe dat Wi-Fi of Bluetooth afsonderlik weer aangeskakel word sonder om dit te verlaat. Uiteindelik is dit ’n sagtewaretoestand, nie ’n kragonderbreking nie: die betroubaarheid daarvan hang af van die integriteit van die stelsel wat dit afdwing.

’n Onderskatte besonderheid: die ontkoppeling van die netwerk en die herkoppeling daaraan is self gebeurtenisse met ’n tydstempel by die operateur. ’n Foon wat om 21:00 in een sel verdwyn en om 23:00 in ’n ander weer opduik, het inligting voortgebring, nie stilte nie.

Die verewekansiging van die MAC-adres

Selfoonstelsels straal vandag ewekansige MAC-adresse uit tydens skanderings, om opsporing van plek tot plek te verhoed. Die bedoeling is goed, die resultaat onvolledig. Die toonaangewende werk, waaronder Why MAC Address Randomization is not Enough , wys dat die inhoud van die ontdekkingsrame dikwels genoeg is om die toestel weer te identifiseer: die aantal inligtingselemente, hulle waardes en hulle volgorde vorm ’n vingerafdruk. Daarby kom die volgordenommers, wat oplopend en dus aaneenskakelbaar is, en die tydhandtekening eie aan elke model. Sommige studies rapporteer dat die helfte van die toestelle vir minstens twintig minute korrek gevolg kon word.

Laastens ’n begripsgrens: die verewekansiging raak net die ontdekkingsfase. Sodra jy aan ’n netwerk koppel, is die adres wat gebruik word vir daardie netwerk stabiel, uit die aard van die ontwerp, sodat die verbinding kan werk. Die koffiewinkel waarheen jy elke oggend gaan, herken jou.

Om die skanderings werklik af te skakel

Dit is die lonendste en die mees geïgnoreerde instelling. Op Android is Wi-Fi-soektogte en Bluetooth-soektogte twee afsonderlike opsies, geleë in die liggingsdienste, onafhanklik van die skakelaars op die kitspaneel. Solank hulle aktief is, is dit nie genoeg om Wi-Fi van die paneel af te skakel nie: die skandering gaan voort.

Om hulle te deaktiveer verwyder ’n hele versamelingslaag, sonder ander koste as ’n eerste posisiebepaling wat effens stadiger is. Vir die meeste lesers is dit die beste verhouding tussen die moeite wat gedoen word en die resultaat wat verkry word.

Toepassingstoestemmings

Om die liggingstoestemming te herroep by toepassings wat dit klaarblyklik nie nodig het nie, bly nuttig, en onlangse stelsels bied drie gradasies: eenmalige toestemming, toestemming beperk tot aktiewe gebruik, en benaderde ligging, wat slegs ’n gebied in die orde van ’n kilometer deurgee.

Dit beskerm egter nie teen SDK’s wat binne ’n toepassing huisves wat ’n regmatige rede het om jou posisie te gebruik nie, ook nie teen die traagheidsensors nie, en ook nie teen die netwerklae wat deur geen toestemming loop nie.

Waarteen ’n VPN nie beskerm nie

’n Punt wat opgeklaar moet word, want die teenoorgestelde oortuiging is baie wydverspreid: ’n VPN verberg nie jou ligging nie. Dit verberg jou openbare IP-adres, en versteur dus die liggingbepaling volgens IP, wat in elk geval die growwerigste meganisme op die lys is.

’n VPN raak nie die GNSS-ontvanger nie, ook nie die Wi-Fi-skandering nie, nie Bluetooth nie en nie die sensors nie. Dit verander niks aan wat jou operateur weet nie, aangesien die versleutelde tonnel deur sy torings loop en die selkoppeling vir hom sigbaar bly. Dit keer ook nie ’n toepassing met liggingstoestemming om presiese koördinate binne die tonnel te stuur nie. Die VPN beskerm die inhoud en die bestemming van jou kommunikasie op ’n onbetroubare netwerk, en dit is reeds baie. Ligging val nie binne sy omvang nie.

Die fisiese grense

’n Faraday-sakkie werk in die letterlike sin: dit blokkeer uitstraling sowel as ontvangs. Om die battery te verwyder ook, waar dit nog moontlik is. ’n Toegewyde toestel, of eenvoudig om jou foon elders te los, bly die stewigste maatreël.

Hierdie oplossings deel ’n gebrek waarna ’n mens reguit moet kyk: hulle skep ’n afwyking. ’n Foon wat elke Dinsdagaand twee uur lank stilbly, sê iets. Teen ’n teenstander wat patrone ontleed eerder as oomblikposisies, is afwesigheid self data.

Drie teenstanders, drie strategieë

Dit is die belangrikste onderskeid van hierdie artikel, en dié een wat ’n mens die minste lees.

Teen ’n adverteerder of ’n datamakelaar kan die stryd gewen word. Dissipline met toestemmings, die afskakeling van skanderings, ’n stelsel sonder eiendomsmatige liggingsdienste, die terugstelling van die advertensie-identifiseerder: saam verminder dit die versamelde volume baie sterk. Hierdie teenstander soek goedkoop volume, nie jou spesifieke geval nie.

Teen jou operateur is geen konfigurasie genoeg nie. Selopsporing is die voorwaarde van die diens. Die enigste werklike veranderlikes is regsveranderlikes, naamlik wat die wet toelaat om te bewaar en oor te dra, en materiële veranderlikes: watter toestel, watter SIM-kaart, op wie se naam, en waar aangeskakel.

Teen ’n geteikende staatsteenstander verander die redenasie weer, want hy kombineer regmatige toegang tot die operateur se data, aktiewe opsporing met ’n seltoringsimulator, opdragte aan die platforms en, waar nodig, die kompromittering van die toestel self. Sagtewareteenmaatreëls verklein die oppervlak, maar die realistiese doel is nie om te verdwyn nie: dit is om presies te weet wat blootgestel bly.

Die benadering van ArpokratOS

ArpokratOS antwoord op hierdie landskap met ’n keuse wat uit die bogenoemde onderskeid voortvloei: wat geneutraliseer moet word, word op stelselvlak geneutraliseer, nie in ’n kieslys nie.

Wat GNSS betref, is die hardewaredrywer verwyder. Die toestel tree op asof die skyfie nie bestaan nie, sowel vir toepassings as vir die stelsel self. Die verskil met ’n skakelaar in die instellings is nie kosmeties nie. ’n Skakelaar is ’n beleid: dit word afgedwing deur ’n laag wat omseil kan word deur ’n komponent met genoeg voorregte, weer aangeskakel kan word deur ’n opdatering, of geïgnoreer kan word deur ’n gekompromitteerde stelsel. Om die kodepad te verwyder, laat die vraag verval, want daar is niks meer om aan te skakel nie.

Bluetooth word op Core-vlak hanteer, met dieselfde logika. Bluetooth wat in die instellings afgeskakel is, laat in die praktyk op baie toestelle die sagtewarestapel lewend, om die nabyheidsdienste en die samewerkende opsporingsnetwerke te voed. Wanneer dit op stelselvlak afwesig is, kan dit nie met ’n winkelbaken praat nie, nie aan ’n netwerk van die Find My-tipe deelneem nie, en ook nie as ’n aanvalsoppervlak sonder interaksie dien nie.

’n Mens moet duidelik sê wat dit nie doen nie. ArpokratOS maak ’n foon nie onopspoorbaar nie. Solank ’n SIM-kaart aktief is, weet die operateur aan watter sel jy gekoppel is, en geen bedryfstelsel verander dit nie, selfs nie met al die verkeer wat deur Tor gestuur word nie. Roetering beskerm die inhoud en die bestemming, nie die radiogeometrie nie. Wie onsigbaarheid belowe, verkoop ’n storie.

Wat so ’n argitektuur bied, is beskeier: die verwydering van die toepassings- en nabyheidslae, waardeur die oorgrote meerderheid van die werklike versameling loop, en ’n uitdruklike bedreigingsmodel vir wat oorbly. Dit is dieselfde redenasie wat op die keuse van ’n rekenaarstelsel toegepas word, uiteengesit in ons vergelyking van bedryfstelsels : die nuttige vraag is nie of ’n hulpmiddel beskerm nie, maar waarteen dit beskerm en teen watter prys.

Slot

Hierdie artikel bied nie ’n metode om te verdwyn nie. Daardie metode bestaan nie, en tekste wat die teendeel voorgee, lewer veral valse vertroue op, wat gevaarliker is as die afwesigheid van beskerming omdat dit mense laat risiko’s neem.

Die doel was om ’n binêre vraag, naamlik of ek opspoorbaar is of nie, met ’n nuttige vraag te vervang: deur wie, met watter akkuraatheid, teen watter koste vir hulle, en of dit vir my saak maak. Die antwoord verskil vir ’n joernalis wat ’n bron beskerm, vir ’n bestuurder wat in ’n sensitiewe jurisdiksie reis, vir ’n prokureur wie se afsprake ’n strategie verklap, of vir ’n gewone mens wat bloot geïrriteerd is dat ’n adverteerder sy gewoontes ken.

Wat trouens die aandag behoort te trek, is nie die prestasie van elkeen van hierdie meganismes afsonderlik nie, maar die feit dat hulle mekaar oorvleuel. ’n Posisie tot op vyftig meter akkuraat is nie baie interessant nie. ’n Posisie tot op vyftig meter akkuraat, elke kwartier, twee jaar lank, teken ’n woning, ’n werkplek, ’n geloofsoortuiging, ’n gesondheidstoestand, ’n verhouding, ’n bron. Liggingdata is die metadata wat al die ander leesbaar maak, en juis daarom is dit soveel werd.

Bronne

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

Ligginguitspeuring on Arpokrat