Liggingopsporing on Arpokrat

SignalTrace: Europa voer die toesig uit wat hy homself nie toelaat nie

Tue, 01 Sep 2026 00:00:00 +0000

’n Grys sedan ry teen 110 km/h onder ’n snelwegportaal deur. Die kamera op die paal lees die nommerplaat, merk die tyd, stoor dit. Niks nuuts nie: hierdie toestel bestaan al twintig jaar en is in tienduisende eksemplare opgestel, in Noord-Amerika sowel as in Europa.

Maar as daardie portaal die module ontvang het wat die Italiaanse groep Leonardo sedert Junie 2026 bemark, het dit pas iets anders ook opgeteken. Die bestuurder se iPhone. Die passasier se draadlose oorstukkies. Die slimhorlosie op die paneelbord. Die motorradio. Die gekoppelde sleutelhouer in die paneelkissie. Die drukmeters van al vier bande. Die toegangskaart wat in ’n baadjie bly lê het. En as ’n hond agter slaap, sy identifikasiechip ook.

’n Stuk of tien identifiseerders, een nommerplaat, een posisie, een tyd. Herhaal dit by elke portaal in die netwerk en jy volg nie meer ’n motor nie: jy volg mense, en jy weet saam met wie hulle beweeg.

Wat die toestel werklik doen

Die produk heet SignalTrace. Dit word deur Leonardo US Cyber and Security Solutions verkoop en vul die ELSAG-reeks aan, een van die mees verspreide reekse outomatiese nommerplaatlesers op die Amerikaanse mark. Die bestaan daarvan is op 8 Junie 2026 deur Joseph Cox in 404 Media onthul, op grond van ’n produkblad van die vervaardiger.

Die deurslaggewende punt pas in een sin: dit gaan nie oor nuwe kameras nie. SignalTrace is ’n radiosensor wat by reeds geïnstalleerde nommerplaatlesers gevoeg word. Die paal verander nie, die plek verander nie, die silhoeët van die toerusting langs die pad verander nie. Wat verander, is waarna die toerusting luister.

Die sensor teken die identifiseerders aan wat in die oop deur die Bluetooth-, Wi-Fi- en RFID-protokolle van die toestelle in die voertuig uitgesaai word. ’n Tegniese punt wat dikwels verkeerd verstaan word: geen toestel word gekap nie en geen kwesbaarheid word uitgebuit nie. ’n Bluetooth- of Wi-Fi-toestel stuur voortdurend ontdekkingsrame uit, omdat dié protokolle so ontwerp is. Jou oorstukkies kondig hul teenwoordigheid aan sodat jou foon hulle kan vind, en die foon self ondervra die omringende lug op soek na die netwerke wat hy ken. Hierdie uitsendings is per konstruksie openbaar, en enige ontvanger binne bereik hoor hulle.

Leonardo self meld dat die stelsel met of sonder ’n nommerplaatleser werk, ook binnenshuis, en ’n voertuig herken waarvan die plaat toegeplak of verwyder is.

Die opgradering van bestaande toerusting is die werklike politieke kwessie. Om ’n nuwe kameranetwerk te installeer, ontketen ’n stemming, ’n beraadslaging, soms ’n hofsaak. Om ’n elektroniese kaart by ’n reeds goedgekeurde omhulsel te voeg, ontketen niks nie. Die toesigvermoë verander van aard sonder openbare debat, want daar is materieel niks nuuts om te sien nie.

Van die voertuig na die persoon, en van die persoon na die groep

’n Nommerplaatleser antwoord een vraag: waar was hierdie voertuig. SignalTrace voeg twee by: wie was daarin, en saam met wie.

Leonardo steek dit nie weg nie, dit is die verkoopsargument. Die stelsel vorm wat die dokumentasie ’n elektroniese vingerafdruk noem, ’n stel identifiseerders wat “gereeld saam uitgesaai word”. Die vervaardiger se voorbeeld is duidelik: in ’n hele stad sal net een voertuig ’n iPhone 13rev2, ’n Audi-motorradio, ’n Bose-kopstuk, ’n Garmin-horlosie, ’n sleutelspoorder en die plaat ABC-1234 verbind.

Die produk volg nie net voertuie nie. Dit produseer outomaties ’n grafiek van verhoudinge tussen mense, sonder dat enigiemand die geringste verdenking hoefde uit te spreek.

Hier vind die kwalitatiewe sprong plaas. Deur die toestelle te korreleer wat gereeld saam reis, bou die stelsel meganies ’n sosiale grafiek. Twee fone wat elke oggend in dieselfde motor beland, is saamry, of ’n verhouding wat nie een van die twee openbaar wil maak nie. Vyftig toestelle wat op dieselfde plek op dieselfde tyd opgevang word, is ’n byeenkoms: ’n betoging, ’n erediens, ’n vakbondvergadering of ’n ry voor ’n kliniek.

Geen van hierdie gevolgtrekkings vereis toegang tot die inhoud van ’n kommunikasie nie. Dit word uit ’n nabyheidstabel afgelei, by verstek, oor die hele rondbewegende bevolking en nie oor aangewese teikens nie. Dit is skuld deur assosiasie, nywerheidsgewys geproduseer, voor enige ondersoek. Tom Bowman, regsman by die Center for Democracy & Technology, som die probleem in TechNewsWorld op: wat die instrument nuttig maak om ’n werklike verdagte te volg, maak dit net so in staat om al die ander motoriste te volg, van wie nie een ingestem het dat sy toestelle aangeteken word nie.

Leonardo stel twee argumente daarteenoor: die stelsel ontsyfer of lees nie die inhoud van kommunikasie nie, en dit identifiseer nie self persone nie. Albei stellings is korrek, en albei mis die punt. Die inligting wat gesoek word, was nooit die inhoud nie, dit lê in die liggingsmetadata, wat meer verklap as ’n boodskap. Wat identifikasie betref, erken die vervaardiger self dat ’n ondersoeker ’n elektroniese handtekening aan ’n plaat kan koppel en dan via die registrasieregisters by die eienaar kan uitkom.

’n Amerikaanse reg wat vir iets anders geskryf is

In die Verenigde State bestaan daar staatswette wat nommerplaatlesers reguleer, en sommige is veeleisend oor bewaartermyne en toegangsdoeleindes. Maar almal is rondom een presiese voorwerp opgestel: die beeld van ’n nommerplaat. Nie een antisipeer die opvang van identifiseerders van persoonlike toestelle deur dieselfde toerusting nie.

Hierdie gaping skep nie onwettigheid nie maar ’n grys gebied, wat vir die verkoper geriefliker is. ’n Polisiediens kan sonder om te lieg volhou dat sy nommerplaatleserprogram gemagtig en voldoenend is, terwyl dit voortaan onder dieselfde bestel data van ’n heeltemal ander aard versamel. Leonardo beskik boonop oor federale kontrakte, by die Special Operations Command en die General Services Administration, dus ’n aankoopweg wat plaaslike goedkeurings grootliks omseil.

Die grondwetlike debat het pas verskuif, en hier moet ’n mens presies wees omdat die regstoestand hierdie somer verander het. In Januarie 2026 het ’n federale hof in Virginia in die saak Schmidt v. City of Norfolk beslis dat die stad se Flock-kameranetwerk nie ’n deursoeking uitmaak nie in die sin van die vierde amendement, omdat dit nie die volle bewegings van die inwoners dek nie. Die beslissing is op appèl voor die Vierde Kring, waar die ACLU tussenbeide getree het.

Daarna, op 29 Junie 2026, het die Hooggeregshof Chatrie v. United States gelewer. Met vyf stemme teen vier, uit die pen van regter Kagan, het dit beslis dat die polisie se verkryging van ’n foon se liggingsdata ’n deursoeking uitmaak, aangesien ’n individu ’n redelike privaatheidsverwagting oor daardie data behou, selfs wanneer ’n derde party dit hou en oor ’n kort tydperk. Die uitspraak verleng Carpenter v. United States van 2018 en verswak die derdepartyleerstuk, soos die CDT opgemerk het.

Die presiese draagwydte van Chatrie op SignalTrace is nie beslis nie, en dit sou onverstandig wees om die teendeel te beweer: die uitspraak handel oor data wat by Google geëis is, nie oor ’n regstreekse opvang deur ’n polisiesensor in die openbare ruimte nie. Maar dit vestig die redenasie wat saak maak, naamlik dat die sensitiwiteit van liggingsdata nie afhang van wie dit hou nie.

Die Europese vraag, wat die werklike vraag is

Hier word die saak ongemaklik vir Europa. Leonardo is nie ’n Amerikaanse verskaffer nie, maar ’n Italiaanse groep wat in Milaan genoteer is en waarvan die grootste aandeelhouer die Italiaanse Ministerie van Ekonomie en Finansies is, met ongeveer 30 % van die kapitaal en die bevoegdheid om die meerderheid van die direksie aan te wys. Die Italiaanse staat is nie ’n passiewe aandeelhouer in hierdie produk nie.

Eers die tegniese punt

In die Europese reg is ’n toestelidentifiseerder persoonlike data. Dit is nie ’n leerstellige mening nie maar die bestendige standpunt van die owerhede. Die CNIL behandel die MAC-adres uitdruklik so in sy leerstuk oor stelsels vir die meting van besoekersvloei, en laat die insameling daarvan in die openbare ruimte slegs onder eng voorwaardes toe: anonimisering binne ’n paar minute met ’n hoë botsingsyfer tussen individue, of betroubare pseudonimisering gevolg deur vernietiging binne vier-en-twintig uur, by gebreke waarvan toestemming verpligtend word. Dieselfde leerstuk stel dit dat om mense te vra om hul Wi-Fi af te skakel nie ’n aanvaarbare wyse van beswaar is nie.

Die Hof van Justisie van die Europese Unie het op 4 September 2025, in die saak EDPS teen SRB (C-413/23 P), gepreseer dat die persoonlike aard van gepseudonimiseerde data beoordeel word in die lig van die middele van heridentifikasie wat redelikerwys aangewend kan word. Hier is die houer egter ’n polisie-owerheid, wat oor die voertuigregisters beskik. Die middele van heridentifikasie is nie hipoteties nie, hulle is in die kantoor langsaan.

Die nuanse wat alles verander

Dit sou verkeerd wees om te skryf dat SignalTrace “in Europa onwettig sou wees”, en ’n regsgeleerde leser sou dit dadelik raaksien. ’n Verwerking wat deur ’n bevoegde owerheid vir doeleindes van misdaadvoorkoming en -vervolging uitgevoer word, val nie onder die AVG nie. Dit val onder riglyn (EU) 2016/680, die sogenaamde polisie-en-justisie-riglyn, wat elke lidstaat afsonderlik omskep, in Frankryk in titel III van die wet op inligting en vryhede. Die CNIL herinner daaraan dat hierdie bestel outonoom is, met sy eie gronde vir regmatigheid en sy eie regte.

Die regte vraag is dus nie dié van abstrakte wettigheid nie, maar dié van voorwaardes. Onder hierdie bestel sou so ’n toestel ’n uitdruklike nasionale regsgrondslag, bepaalde doeleindes, ’n bewese noodsaaklikheid, ’n begrensde bewaartermyn, ’n impakbeoordeling en onafhanklike toesig veronderstel. In Frankryk word nommerplaatlesers so gereguleer: artikels L233-1 en L233-1-1 van die kode van binnelandse veiligheid stel ’n beperkende lys misdrywe vas wat die reg op hul gebruik open, en die bewaring bly onder die kortstes in die Unie, in beginsel vyftien dae, selfs al probeer ’n Senaatswetsontwerp dit verleng.

Dit is die wesenlike verskil met die Amerikaanse situasie. In die Verenigde State reguleer die wet ’n voorwerp, die plaat, en die stilte oor toestelidentifiseerders geld as toestemming. In Europa reguleer die wet doeleindes en datakategorieë, en daardie stilte geld eerder as verbod, by gebrek aan ’n uitdruklike regsgrondslag. Die leemte wat oorkant die Atlantiese Oseaan waargeneem word, bestaan hier nie in dieselfde vorm nie. Nie dat Europa deugsamer is nie: sy regstegniek is omgekeerd.

Wat die beskerming dan werd is

Die vraag waaroor hierdie artikel gaan, bly oor. Wat is ’n Europese regulatoriese beskerming werd wanneer ’n Europese onderneming, beheer deur ’n lidstaat, buite Europa ’n vermoë verkoop wat dit tuis nie sonder ’n nuwe wet sou kon ontplooi nie?

Die besware verdien om ernstig opgeneem te word. ’n Vervaardiger is nie verantwoordelik vir sy kliënt se regsraamwerk nie: dit is vir die Amerikaanse owerhede om te besluit wat hulle by hulself toelaat. Die produk word nie aan ’n diktatuur verkoop nie maar aan ’n regstaat met ’n bedrywige hooggeregshof, soos Chatrie pas herinner het. En die argument van industriële soewereiniteit is geldig: as die Europese groepe hulself hierdie markte ontsê, sal Israeliese, Amerikaanse of Chinese verskaffers dit neem, sonder dat toesig ’n enkele meter terugtree, en Europa sal daarby sy tegnologiese basis verloor.

Hierdie argumente is aanvaarbaar. Hulle antwoord nie op die probleem nie.

Eerstens omdat die Unie reeds erken het dat die uitvoer van toesigmiddele nie handel soos enige ander is nie. Verordening (EU) 2021/821 oor tweeledigegebruiksgoedere het in artikel 5 ’n vangnetklousule ingevoer wat op kubertoesiggoedere gemik is, omdat die wetgewer erken het dat ’n instrument wat wettig is om te vervaardig by sy bestemming onregmatig kan wees. Sy beperking is leersaam: dit tree in werking by ’n risiko van interne onderdrukking of ernstige menseregteskendings, kategorieë wat vir outoritêre regimes bedink is. ’n Verkoop aan ’n Amerikaanse munisipale polisie val nie daarin nie. Die Europese raamwerk ondersoek die kliënt se moraliteit, nooit die aard van die vermoë wat verkoop word nie.

Tweedens omdat so ’n produk nie ’n voorraad is wat afgelaai word nie, maar ’n vermoë wat onderhou word: dit finansier navorsing, lei ingenieurs op, versamel kundigheid en skep ’n geïnstalleerde basis. Die dag wanneer ’n ernstige aanslag ’n lidstaat dwing om hierdie vermoë te eis, sal die debat nie meer oor die wenslikheid gaan om dit te bou nie. Dit sal bestaan, dit sal Europees wees, dit sal volwasse wees, en sy verskaffer sal deels openbaar wees. Die argument “ons volg net die mark” word dan sirkelredenasie, aangesien die tuismark deur die uitvoer voorberei sal wees.

Dít is wat ’n regulatoriese beskerming in hierdie scenario werd is: dit beskerm Europeërs teen die gebruike, nie teen die bestaan van die middele nie. Dit besleg die vraag wie die reg het om die knoppie te druk, en laat dit aan die nywerheid oor om dit te bou, te verkoop, te verbeter en dan te wag.

Wat gedoen kan word, sonder om onsself iets wys te maak

Die eerste antwoord wat genoem word, is altyd MAC-adres-verewekansiging. Dit verdien ’n eerlike ondersoek, nie bevordering of afkraking nie. Dit is werklik en dit werk.

Android sedert weergawe 10 en iOS sedert weergawe 14 verewekans by verstek die MAC-adres wat op Wi-Fi gebruik word, met ’n aparte adres per netwerk. In Bluetooth Low Energy saai moderne toestelle oplosbare privaat adresse uit, wat periodiek verander en slegs deur ’n teenparty met die oplossleutel aan die werklike toestel gekoppel kan word.

Die beperkinge daarvan is net so werklik.

Paring maak die deur weer oop. Die oplossleutel word tydens paring oorgedra. ’n Toestel wat reeds gepaar of uitdruklik goedgekeur is, vind die stabiele identiteit agter die roterende adres terug. Die meganisme is daarvoor ontwerp.
Baie voorwerpe verewekans niks nie. Banddrukmeters, RFID-kaarte, diere-identifikasiechips, motorradio’s en goedkoop randapparatuur stuur vaste identifiseerders uit. Leonardo se produkblad noem presies hierdie kategorieë, wat nie toeval is nie.
Verewekansiging kan afgeskakel word. Dit word netwerk vir netwerk gedeaktiveer, en is dikwels afgeskakel vir gerief, vir MAC-filtrering op ’n tuisroeteerder of weens ’n maatskappybeleid.
Die groep oorleef die rotasie van identifiseerders. Dit is die mins intuïtiewe en belangrikste punt. SignalTrace soek nie ’n identifiseerder nie, dit soek ’n stel toestelle wat saam reis. As ’n enkele lid van die groep ’n vaste identifiseerder uitstuur, bly die hele stel toeskryfbaar, ongeag hoe gedissiplineerd die ander is.

Die doeltreffendste maatreël bly die vervelendste: om nie uit te stuur nie. Dit veronderstel dat Bluetooth en Wi-Fi op stelselvlak, in die instellings, afgeskakel word, en nie vanaf die kortpadpaneel nie. Die onderskeid is nie kosmeties nie, ons het dit uiteengesit in ons artikel oor die deurlopende liggingsopsporing van die foon: op die meeste verbruikerstelsels sny die knoppie op die snelpaneel die sigbare paring af maar laat die sagtewarestapel lewend, en die nabyheidsontledings gaan voort. Daardie artikel het Bluetooth-skandering as ’n teoretiese vektor beskryf. SignalTrace is die kommersiële produk daarvan, gekatalogiseer en lewerbaar.

’n Mens moet eerlik bly oor die uitkoms: hierdie maatreëls verklein die blootstellingsoppervlak, hulle hef dit nie op nie. ’n Voertuig bly ’n nommerplaat, en ’n nommerplaat bly leesbaar. Die enigste manier om niks uit te stuur nie, is om niks te dra nie, en dit is nie ’n openbare beleid nie.

Wat dit oor ons ontwerpkeuses sê

By Arpokrat is dit juis hierdie redenasie wat ons daartoe gelei het om Bluetooth op die vlak van die Core van ArpokratOS te hanteer eerder as op die vlak van die instellings. ’n Skakelaar in ’n koppelvlak is ’n gebruikersvoorkeur: ’n bywerking, ’n stelseltoepassing of ’n liggingsdiens kan dit omseil of weer aanskakel, sonder dat die gebruiker daarvan weet. ’n Stapel wat afwesig is, word nie weer geaktiveer nie.

Teenoor ’n opvang soos dié van SignalTrace maak dit ’n toestel natuurlik nie onopspoorbaar nie, en ons beweer dit ook nie: ’n foon bly op ’n mobiele netwerk, en die ander voorwerpe in ’n voertuig stuur vir hul eie rekening uit. Wat dit wél waarborg, is dat ’n bepaalde uitstuurvektor per konstruksie afwesig is eerder as op vertroue afgeskakel. Dit is die stelling wat ons oor 5G en die reg se teikenfout verdedig het: die regsbeskerming konsentreer op toegang tot die data terwyl dit op die bestaan self van die infrastruktuur wat dit voortbring behoort te fokus. SignalTrace is die illustrasie daarvan, met dié verskil dat hierdie infrastruktuur in Europa gebou word.

Slot

Die opvallendste in hierdie saak is nie die tegniese vermoë nie, wat navorsers al jare beskryf. Dit is die ontplooiingsmetode.

Daar sal geen nuwe kameranetwerk wees om in te wy nie, geen munisipale besluit om te betwis nie, geen openbare kontrak wat as ’n aardsverandering herkenbaar is nie. Daar sal modules wees wat by bestaande pale gevoeg word, onder bestaande kontrakte, binne programme wat reeds gemagtig is. Die dag wanneer die openbare debat oopgaan, sal die infrastruktuur geïnstalleer, afgeskryf en in die ondersoekprosedures ingebed wees. Die debat sal dan oor die toegangsvoorwaardes tot ’n databasis gaan wat bestaan, nooit oor die wenslikheid om dit saam te stel nie.

Dit is die gewone gang van sake in toesigaangeleenthede, en dit is nie toevallig nie. Wat oorbly, is om te weet of Europa meen dat hy iets te sê het wanneer sy eie nywerhede, gesteun deur sy eie state, hierdie infrastruktuur vir ander bou. Die Europese reg het die antwoord sorgvuldig georden op die vraag wie hierdie data by ons mag raadpleeg. Dit het nooit die vraag gestel wie die reg het om die masjien te bou nie.

5G, liggingsdata en die reg se verkeerde teiken

Tue, 18 Aug 2026 00:00:00 +0000

In 2011 het die Detroit-polisie by ’n selfoonoperateur die geskiedenis opgevra van hoe Timothy Carpenter se foon aan torings gekoppel het. Hulle het 12 898 liggingspunte oor 127 dae ontvang, ongeveer honderd per dag. Sewe jaar later het die Hooggeregshof van die Verenigde State beslis dat hierdie versoek ’n deursoeking was en ’n lasbrief vereis het.

Daardie 12 898 punte het van vierdegenerasie-torings gekom, wat elk ’n radius van etlike kilometers gedek het. Dieselfde versoek, vandag aan ’n stedelike 5G-netwerk gerig, sou nie honderd punte per dag met ’n paar kilometer se akkuraatheid teruggee nie. Dit sou ’n veel groter volume teruggee, met ’n paar dosyn meter se akkuraatheid.

Die tegnologie het van skaal verander. Die regsredenasie het op dieselfde plek in die ketting bly staan.

’n Regsbelang wat regters aan albei kante van die Atlantiese Oseaan erken

Daar bestaan ’n belang wat byna almal erken en wat byna geen wetsteks doeltreffend beskerm nie: die reg om êrens te wees sonder dat daardie feit aangeteken word.

Die Europese regspraak het dit ondubbelsinnig vasgestel. In Digital Rights Ireland (gevoegde sake C-293/12 en C-594/12, 8 April 2014), en daarna in Tele2 Sverige en Watson (gevoegde sake C-203/15 en C-698/15, Groot Kamer, 21 Desember 2016), het die Hof van Justisie van die Europese Unie beslis dat hierdie data, in hul geheel geneem, dit moontlik maak om baie presiese afleidings oor mense se privaat lewe te maak: gewoontes van die daaglikse lewe, verblyfplekke, bewegings, aktiwiteite wat beoefen word, en sosiale verhoudings.

Die Hooggeregshof van die Verenigde State het ’n verwante gevolgtrekking bereik in Carpenter v. United States, 585 U.S. 296 (2018). Dit het klem gelê op ’n punt wat die Amerikaanse regsleer breedvoerig bespreek het: die onontkombare en outomatiese aard van hierdie insameling. Niemand stem in om aan ’n toring gekoppel te word nie; jy is gekoppel omdat jy ’n foon het wat aan is.

Die regsbelang bestaan dus, en dit word erken deur die twee howe wat op hierdie gebied gewig dra. Die probleem lê elders.

Wat 5G werklik verander het

’n Algemene verwarring is om ligging te behandel as data wat die foon uitstuur, net soos ’n boodskap of ’n foto. Dit is nie so nie. Ligging is ’n fisiese gevolg van hoe die netwerk werk. Die operateur weet aan watter toring die toestel gekoppel is omdat hy dit moet weet om ’n oproep deur te stuur. Daar bestaan geen sleutel om hierdie inligting te enkripteer nie, want dit is nie inhoud nie maar ’n eienskap van die verbinding self.

Juis dit maak 5G betekenisvol op regsvlak, en nie op tegniese vlak nie.

Vroeëre argitekture het op wye selle berus. ’n 4G-toring bedien gewoonlik ’n radius van etlike kilometers, en die posisie wat bloot uit die koppeling afgelei is, is in stede in honderde meter gemeet, op die platteland soms in tiene kilometers. 5G berus op massiewe verdigting: stedelike selle dek tipies ’n paar honderd meter, en die ingenieursliteratuur reken met digthede in die orde van veertig tot vyftig basisstasies per vierkante kilometer, teenoor vier of vyf in die 3G-era.

Die gevolg is meganies. Volgens Ericsson se witskrif oor 5G-posisiebepaling bereik die infrastruktuur wat slegs vir konnektiwiteit ontplooi is ’n akkuraatheid van twintig tot vyftig meter buite en van een tot drie meter binne, en sak dit onder een meter in gunstige stedelike toestande. Dit gaan nie oor ’n liggingsfunksie wat êrens aangeskakel is nie, maar oor wat die netwerk uit sy aard weet, sonder dat ’n enkele toepassing geïnstalleer of ’n enkele toestemming verleen is. Ons het al hierdie meganismes, sowel as die teenmaatreëls wat werklik werk, uiteengesit in ons artikel oor die foon se voortdurende geoligging.

Die indringing het dus met etlike ordes van grootte toegeneem. Die toepaslike regsraamwerk bly dié wat vir 2G en 3G bedink is. Geen normatiewe aanpassing het hierdie skaalverandering vergesel nie.

Die reg beskerm toegang, nie ontstaan nie

Die Europese reg reël sorgvuldig wie toegang tot liggingsdata mag hê, onder watter voorwaardes en onder watter toesig. Riglyn 2002/58/EG stel die beginsel van vertroulikheid van kommunikasie, en die Hof van Justisie het in La Quadrature du Net (gevoegde sake C-511/18, C-512/18 en C-520/18, Groot Kamer, 6 Oktober 2020) beslis dat artikel 15(1) van daardie riglyn, gelees in die lig van artikels 7, 8, 11 en 52(1) van die Handves, ’n algemene en onderskeidlose bewaring van verkeers- en liggingsdata by wyse van voorkoming uitsluit. Die Hof het nietemin afgebakende afwykings toegelaat wanneer ’n lidstaat ’n ernstige bedreiging vir die nasionale veiligheid in die gesig staar wat werklik en huidig of voorsienbaar blyk te wees, onderworpe aan doeltreffende toesig.

Dit is werklike beskermings, en dit sou onsinnig wees om hulle af te maak. Maar hulle tree almal ná die tyd in werking. Hulle veronderstel dat die data bestaan, dat dit bewaar word, en reël dan die voorwaardes vir die gebruik daarvan.

As ligging egter ’n onvermydelike neweproduk van die netwerk se werking is, is die tersaaklike punt van ingryping nie vertroulikheid nie. Dit is volharding.

’n Oombliklike posisie, nodig om ’n kommunikasie deur te stuur en onmiddellik daarna uitgewis, is nie ’n instrument van toesig nie. ’n Geskiedenis van posisies wat maande lank bewaar word, is dit wel, ongeag watter toegangswaarborge dit omring.

Die verskil tussen die twee is nie regs van aard nie, maar argitektonies. En die Europese tydskedule maak die vraag dringend eerder as teoreties. Die Kommissie het die voorgestelde ePrivacy-verordening in 2025 teruggetrek, weens ’n gebrek aan ooreenkoms tussen die medewetgewers. Sedertdien werk sy aan ’n afsonderlike instrument oor databewaring vir strafregtelike doeleindes, aangekondig vir 2026, wat nasionale stelsels moet harmoniseer wat uiteengeloop het sedert die riglyn van 2006 nietig verklaar is. Met ander woorde, die teks wat vir ’n dekade die regime van liggingsmetadata sal bepaal, word op hierdie oomblik geskryf, op grond van ’n redenasie wat in die era van kilometergroot selle bedink is.

Die presedent wat 5G self geskep het

Die interessantste aspek van die saak is dat die regte antwoord reeds in die tegniese standaard staan, maar op ’n ander voorwerp toegepas is.

Tot en met 4G het die intekenaar se permanente identifiseerder, die IMSI, ongeënkripteer oor die radiokoppelvlak beweeg tydens die aanhegting. Dit is wat IMSI-vangers moontlik gemaak het, daardie vals basisstasies wat, volgens die verwysingsbeskrywing van die Electronic Frontier Foundation, sterker uitsaai as die wettige torings om toestelle te lok en hul identifiseerder te vang.

Sedert Release 15 van die 3GPP-spesifikasies, in 2019 gepubliseer, bring 5G ’n elegante antwoord. Die permanente identifiseerder, nou die SUPI genoem, kan op die radiokoppelvlak vervang word deur die SUCI, ’n verskuilde identifiseerder wat verkry word deur die intekenaarspesifieke deel te enkripteer met elliptiese-kromme-kriptografie, met die tuisoperateur se publieke sleutel. Slegs die tuisnetwerk, wat die ooreenstemmende private sleutel hou, kan dit ontsyfer. Die resultaat is uniek by elke berekening, wat korrelasie van die een sessie na die ander verhoed.

Die logika wat gevolg is, verdien beklemtoning, want dit is presies die logika wat die wetgewer behoort te lei: mens enkripteer nie die posisie nie, wat tegnies onmoontlik sou wees, mens enkripteer die identiteit. ’n Posisie sonder ’n toekenbare identiteit het baie beperkte waarde vir geïndividualiseerde toesig.

Die leemte: ’n opsionele beskerming

Daar is egter ’n aansienlike voorbehoud, en dit is na ons mening die mees konkrete punt van ingryping in die hele saak.

Die witskrif NIST CSWP 36A, in Maart 2026 deur die National Institute of Standards and Technology gepubliseer, stel dit sonder omhaal. Toestelle en netwerkfunksies wat aan Release 15 of later voldoen, moet die SUCI ondersteun, maar die aktivering daarvan bly opsioneel vir die operateur. Drie voorwaardes moet saamval: die toerustingvervaardiger moet dit ondersteun, die operateur moet dit op sy netwerk aanskakel, en die SIM-kaart moet die elemente dra wat vir die berekening nodig is.

Daarby kom ’n konfigurasieslagyster. Die standaard voorsien ’n nul-beskermingskema, waarin die SUCI-formaat formeel gebruik word maar sonder werklike enkripsie, sodat die identifiseerder oop beweeg. NIST skryf dat dit nodig is dat die operateur sy netwerk met ’n nie-nul beskermingskema konfigureer, en herinner daaraan dat ’n verslag van CSRIC, die adviesliggaam van die Federal Communications Commission, reeds in 2021 aanbeveel het dat die nulskema slegs vir noodoproepe van ’n toestel wat die netwerk nie ken nie, voorbehou word.

Die stelling verdien dit om net so te bly staan. Die beste beskikbare beskerming teen die volg van mobiele toestelle bestaan sedert 2019 in die tegniese standaard. Dit berus op ’n konfigurasiekeuse wat aan die operateur se diskresie oorgelaat word. ’n Amerikaanse federale agentskap ag dit nuttig om in 2026 ’n dokument te publiseer om te herinner dat dit aangeskakel behoort te word. En geen Europese regsinstrument skryf dit voor nie.

Daar moet bygevoeg word dat die SUCI nie die onderwerp afsluit nie. Die werk wat onder die titel 5G SUCI-catchers: still catching them all? aangebied is, dokumenteer koppelbaarheidsaanvalle wat dit moontlik maak om sessies ondanks die enkripsie weer te korreleer, en die beskerming val heeltemal weg indien die aanvaller die toestel dwing om na ’n vroeëre generasie terug te val. ’n Regsplig sou dus nie alles oplos nie. Dit sou nietemin ’n gaping verwyder waarvoor geen verdedigbare regverdiging bestaan nie: dié tussen wat die standaard toelaat en wat kommersiële netwerke doen.

Drie samehangende ingrepe

As mens die gedagte ernstig opneem dat ligging deur ontwerp geminimaliseer moet word eerder as om ná die tyd beskerm te word, volg drie maatreëls logies.

Maak die doeltreffende verskuiling van die identifiseerder verpligtend. Verplig die aktivering van die SUCI en verbied nul-beskermingskemas op kommersiële netwerke, behalwe in die oorblywende geval van noodoproepe. Dit gaan nie oor die voorskryf van ’n nuwe tegnologie of die finansiering van ’n ontplooiing nie, maar oor die eis dat ’n funksie aangeskakel word wat sewe jaar gelede gestandaardiseer is en reeds in die toerusting teenwoordig is.
Behandel bewaring as die uitsondering, nie as die verstek nie. Die posisie wat nodig is om ’n kommunikasie deur te stuur, behoort uitgewis te word sodra daardie funksie vervul is. Die opbou van ’n geskiedenis behoort ’n spesifieke regverdiging te vereis. Dit is die verskil tussen ’n netwerk wat weet waar jy is en ’n netwerk wat onthou waar jy was.
Maak die bewaring van die sleutel die tersaaklike aanknopingspunt. Die ligging van bedieners in die Unie beteken nie veel as die sleutels wat die data leesbaar maak elders is nie. Die regtens beslissende maatstaf behoort werklike beheer oor die ontsyferingsmiddele te wees, ’n vraag wat ons in besonderhede ondersoek het rondom die konflik tussen die Data Act en die CLOUD Act.

Die hoek wat Arpokrat volg

Hierdie redenasie is nie eie aan die telekommunikasiereg nie. Dit is dié wat ons op ons eie argitektuurkeuses toepas, en dit pas in een sin: wat nie voortgebring is nie, hoef nie beskerm te word nie.

Daarom verwyder ArpokratOS GPS, Bluetooth en NFC op kernvlak eerder as om hulle in ’n kieslys af te skakel. ’n Skakelaar is ’n beleid: dit kan omseil word deur ’n bevoorregte komponent, weer aangeskakel word deur ’n bywerking, geïgnoreer word deur ’n gekompromitteerde stelsel. Om die kodepad te verwyder, laat die vraag verval. Dit is die oorplasing, op die skaal van ’n toestel, van dieselfde verskuiwing wat ons op die skaal van die reg bepleit: ingryp by die ontstaan eerder as by die toegang.

Daar moet dadelik gesê word wat dit nie doen nie. Geen bedryfstelsel onttrek ’n toestel aan die geometrie van die netwerk nie. Solank ’n SIM-kaart aktief is, ken die operateur die sel waaraan dit gekoppel is, en om alle verkeer deur Tor te stuur verander niks daaraan nie, want dit beskerm inhoud en bestemming, nie die radiolaag nie. Juis daarom is die onderwerp ’n regsonderwerp. Daar bestaan ’n kategorie risiko’s wat geen individuele konfigurasie verklein nie, en waarvoor die enigste beskikbare veranderlike die reël is wat op die operateur van toepassing is.

Dieselfde besorgdheid rig die res van ons werk. Data wat nie bestaan nie kan nie opgeëis, herverkoop, uitgevoer of oor tien jaar ontsyfer word deur ’n masjien wat niemand vandag het nie, ’n vraag wat ons behandel het vanuit die hoek van enkripsie wat nou geoes en later gebreek word.

Slot

Die openbare debat oor mobiele toesig fokus byna uitsluitlik op toegang: wie die data mag raadpleeg, op watter grondslag, met watter magtiging. Daardie debat is geldig, en die uitsprake wat die Hof van Justisie sedert 2014 gelewer het, het tasbare gevolge gehad. Maar dit tree te laat in die ketting in.

Die voorafgaande en meer beslissende vraag is of die geskiedenis hoegenaamd behoort te bestaan. ’n Databasis wat vandag om ’n geldige rede opgebou word, bly môre beskikbaar vir ’n ander, en die waarborge daaromheen hang af van latere politieke besluite wat niemand op die oomblik van insameling beheer nie. Dit is ’n weddenskap op die stabiliteit van instellings, aangegaan vir ’n tydperk wat niemand bepaal nie.

5G het die resolusie van hierdie inligting vermenigvuldig sonder dat enige normatiewe aanpassing plaasgevind het. Terselfdertyd het dit, deur die SUCI-meganisme, getoon dat die begaanbare weg daarin lê om posisie van identiteit te skei eerder as om te probeer om ’n fisiese eienskap van die netwerk te enkripteer. Die tegniese standaard het die antwoord sewe jaar verskaf voordat die reg die vraag gestel het.

Die Europese teks oor databewaring word nou geskryf. Dit sal oor metadata gaan, dus oor ligging, dus oor wat 5G voortaan voortbring met ’n fynheid wat sy opstellers nie geken het nie. Of dit tevrede sal wees om toegang tot ’n geskiedenis wat as vanselfsprekend aanvaar word te reël, en of dit die moed sal hê om die noodsaak van daardie geskiedenis te bevraagteken, is waarskynlik die belangrikste privaatheidsvraag van die komende jare in Europa. En dit is ’n vraag wat die tegniese sektor, vir een keer, reeds in die regte rigting besleg het.

Bronne

Hof van Justisie van die Europese Unie, Digital Rights Ireland, gevoegde sake C-293/12 en C-594/12, 8 April 2014
Hof van Justisie van die Europese Unie, Tele2 Sverige en Watson, gevoegde sake C-203/15 en C-698/15, Groot Kamer, 21 Desember 2016
Hof van Justisie van die Europese Unie, La Quadrature du Net e.a., gevoegde sake C-511/18, C-512/18 en C-520/18, Groot Kamer, 6 Oktober 2020
Hooggeregshof van die Verenigde State, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, Maart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta e.a., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Permanente ligginguitspeuring: hoe jou foon jou volg selfs wanneer jy glo jy het dit verhoed

Sun, 02 Aug 2026 00:00:00 +0000

In 2024 het twee navorsers van die Universiteit van Maryland Apple se Wi-Fi-posisioneringsdiens herhaaldelik bevraag, sonder enige besondere voorreg en sonder gespesialiseerde toerusting, en binne een jaar die presiese ligging van meer as twee miljard Wi-Fi-toegangspunte wêreldwyd herbou. Hulle artikel, Surveilling the Masses with Wi-Fi-Based Positioning Systems, wys wat daardie kaart moontlik maak: om toerusting te volg wat Oekraïne binnegaan en verlaat, om die verskuiwing van bevolkings ná die Maui-brande waar te neem, om iemand deur sy huis se internetroeteerder op te spoor.

Nie een van daardie toestelle het GPS aangehad nie. Die ligging het van elders gekom.

Dit is die mees algemene blinde kol wanneer dit by privaatheid op selfone kom: die oortuiging dat daar ’n liggingskakelaar bestaan, en dat die foon, sodra dit afgeskakel is, ophou weet waar hy is. Daardie oortuiging is op sewe verskillende vlakke verkeerd.

Ligging is nie ’n funksie wat jou foon aanskakel nie. Dit is ’n eienskap van wat die foon is.

GPS, oftewel die minste problematiese roete

Die enigste meganisme wat almal kan noem, is terselfdertyd dié een wat jou die minste behoort te bekommer.

GNSS, die versamelnaam wat die Amerikaanse GPS, Galileo, GLONASS en BeiDou insluit, werk deur te luister. Satelliete straal deurlopend tydgemerkte seine uit, die ontvanger vang verskeie daarvan op en bereken sy posisie uit die verskille in voortplantingstyd. Gebruiklike akkuraatheid in die oop veld: drie tot vyf meter, en dikwels etlike tientalle meter in die stad, waar geboue se fasades die seine weerkaats.

Die deurslaggewende punt is dat hierdie berekening passief is. Die foon straal niks na die satelliete uit nie, en geen satellietoperateur weet dat jy bestaan nie. As GNSS al was wat ter sprake is, sou dit genoeg gewees het om GPS af te skakel.

Daar is egter ’n nuanse. Om die eerste posisiebepaling te versnel, gebruik fone A-GPS: hulle laai die satelliete se baandata van ’n bediener af, via die SUPL-protokol. Om die regte data te kry, stuur die foon aan daardie bediener die identifiseerder van die netwerksel waaraan dit gekoppel is. Suiwer GNSS verraai jou nie, maar die versneller wat daarop geënt is, doen wel.

Die selnetwerk: wat die operateur uit die aard van die saak weet

Sodat ’n oproep jou kan bereik, moet die netwerk weet in watter gebied jy is. Dit is nie ’n opsie wat aangeskakel kan word nie, dit is die bestaansvoorwaarde van die diens. Jou foon meld homself voortdurend by die naaste toring aan, en daardie registrasie laat ’n spoor by die operateur. Geen geïnstalleerde toepassing nie, geen toestemming wat verleen is nie: ’n aktiewe SIM-kaart is genoeg.

Die akkuraatheid hang van die metode af:

Selidentifiseerder alleen: van 200 meter in ’n digbeboude stadsgebied tot meer as 30 kilometer op die platteland, waar een toring ’n baie groot radius dek.
Verrykte Cell ID, wat die antennasektor byvoeg (die meeste terreine is in drie sektore van 120 grade verdeel) en die seinsterkte: van 100 meter tot ’n paar kilometer.
Timing advance, wat die heen-en-weer-vertraging tussen foon en toring meet: in die orde van 550 meter op GSM, sowat 78 meter op LTE.
Multilaterasie oor drie of meer torings: 50 tot 300 meter op stedelike LTE.

5G verander die skaal om twee redes wat bymekaar tel. Eerstens digtheid: 5G-selle dek veel korter radiusse, sodat blote koppeling reeds fyn inligting is. Tweedens standaardisering: sedert Release 16 sluit 3GPP eie posisioneringseine in. Die kommersiële mikpunte is minder as 3 meter binnenshuis en minder as 10 meter buite vir 80 % van toestelle, en Release 18 daal tot op sentimetervlak vir sekere industriële toepassings.

Die infrastruktuur wat jou verbind, word dus ’n posisioneringstelsel van ’n gehalte vergelykbaar met GPS, sonder dat jy enigiets aangeskakel het. Hierdie data word volgens nasionale reëls bewaar en is deur uiteenlopende prosedures vir owerhede toeganklik. Dit is dieselfde grondliggende debat as dié oor die jurisdiksie wat op gehuisveste data van toepassing is: tegniese beskerming en regsbeskerming val nie saam nie.

Wi-Fi: ’n wêreldkaart gemaak van hardewareadresse

Elke Wi-Fi-toegangspunt saai deurlopend ’n unieke hardeware-identifiseerder uit, die BSSID. Hierdie identifiseerders is vas en geografies stabiel: ’n huisroeteerder bly jare lank op dieselfde plek.

Apple, Google en ’n paar gespesialiseerde spelers onderhou databasisse wat elke BSSID aan koördinate koppel, en dit word gebou deur die fone van hulle eie gebruikers, wat die lys van sigbare toegangspunte saam met ’n GNSS-posisie deurgee. Daarna word die bewerking omgekeer: ’n foon wat vier bekende toegangspunte sien, het nie meer ’n enkele satelliet nodig nie. In ’n digbeboude stadsgebied haal die akkuraatheid gewoonlik ’n paar tientalle meter, en binnenshuis daal dit nog laer.

Twee eienskappe maak hierdie meganisme moeilik om te neutraliseer. Eerstens skandeer die foon selfs wanneer Wi-Fi afgeskakel lyk: sedert Android 4.3 behou die stelsel ’n periodieke skandering wat die ligging moet verbeter, onafhanklik van die skakelaar op die kitspaneel. Hierdie gedrag hang af van ’n afsonderlike instelling, diep in die liggingsdienste begrawe, wat feitlik geen gebruiker nog ooit oopgemaak het nie.

Tweedens kan die databasis van buite bevraag word. Dit is presies die gaping wat Rye en Levin benut het: die posisioneringskoppelvlakke gee nie net die gevraagde posisie terug nie, maar ook dié van naburige toegangspunte, wat dit moontlik maak om die kaart te oes sonder om ooit fisiek naby daardie plekke te kom.

Bluetooth en BLE: opgespoor deur ander mense se fone

Bluetooth Low Energy voeg ’n nabyheidslaag by, met ’n reikafstand van ’n paar meter tot ’n paar tientalle meter, dus met ’n veel fyner korrel as die selnetwerk. Twee gebruike bestaan langs mekaar. Kommersiële bakens, wat in winkels, lughawens of inkopiesentrums geplaas word, straal ’n identifiseerder uit wat toepassings op die foon herken, wat verklap voor watter rak jy stilgestaan het en vir hoe lank. En samewerkende opsporingsnetwerke, waarvan Apple se Find My die model is, sedertdien deur Google en Samsung oorgeneem.

Hierdie tweede meganisme keer ’n onuitgesproke aanname om. Die toonaangewende ontleding Who Can Find My Devices?, gepubliseer in die verrigtinge van PETS 2021 deur navorsers van die Tegniese Universiteit van Darmstadt, het Apple se protokol met omgekeerde ingenieurswese herbou. ’n Vanlyn toestel straal ’n BLE-sein uit, enige Apple-toestel naby vang dit op, voeg sy eie posisie by en stuur dit versleuteld na Apple se bedieners, sonder die medewete van sy eie eienaar of dié van die toestel wat opgespoor word.

Die gevolg is struktureel: ’n toestel sonder SIM-kaart, sonder Wi-Fi, sonder enige netwerkverbinding bly opspoorbaar, mits ’n vreemdeling met ’n foon in die sak verbyloop. Jou afsondering hang nie meer van jou instellings af nie, maar van dié van verbygangers.

Traagheidsensors: opspoor sonder liggingstoestemming

’n Foon bevat ’n versnellingsmeter, ’n giroskoop, ’n magnetometer en dikwels ’n barometer. Hierdie sensors val onder ’n toestemmingskategorie wat van ligging geskei is: ’n toepassing kan hulle lees sonder dat dit ooit gevra het waar jy is.

Navorsers van Princeton het dit met PinMe bewys. Hulle toepassing begin by die IP-adres en die tydsone vir ’n growwe posisie, en lees dan die sensors: die versnellingsmeter gee die versnellings- en remprofiel, die giroskoop die volgorde van draaie, die magnetometer die rigting, die barometer die hoogteveranderings. ’n Neurale netwerk bepaal die vervoerwyse, te voet, met die motor, per trein of per vliegtuig, en die roete word teen openbare kaart-, hoogte- en weerdata gepas. Die resultaat: ’n roete met ’n akkuraatheid vergelykbaar met GPS, sonder liggingstoestemming. Die metode het grense, wat die outeurs dokumenteer, want dit misluk in gebiede sonder paaie en verswak op eenvormige roosterplanne, waar baie roetes dieselfde handtekening lewer. Dit bly nietemin die bewys dat ’n geweierde toestemming nie ’n toe deur is nie.

Die barometer lewer boonop die dimensie wat GNSS swak hanteer, naamlik die vertikale. Die Amerikaanse vereistes vir noodoproepe skryf ’n vloervlak-akkuraatheid van plus of minus 3 meter voor vir 80 % van oproepe wat binnenshuis gemaak word. Om te weet op watter verdieping iemand is, is van ’n ander aard as om te weet in watter blok hy is.

Die datamark: die alledaagste roete

Die voorafgaande meganismes beskryf hoe ’n posisie bereken word. Wat oorbly, is waarheen dit gaan, en juis daar word die grootste deel van die daaglikse risiko beslis.

Duisende toepassings sluit advertensie-SDK’s in, sagtewarekomponente van derde partye wat ’n ontwikkelaar byvoeg om sy werk te verdien of sy gehoor te meet. Hierdie komponente erf die toestemmings van die gasheertoepassing: ’n weertoepassing wat jou posisie regmatig nodig het, gee dit deur aan spelers wie se name jy nog nooit gelees het nie. Daarby kom die advertensie-veilingstrome, waar jou benaderde posisie by elke banieradvertensie aan tientalle voornemende kopers uitgestuur word, ook aan dié wat niks koop nie en hulle by luister bepaal.

Hierdie grondstof voed ’n hele bedryf. Die Electronic Frontier Foundation het die geval van Fog Data Science gedokumenteer, wat aanspraak gemaak het op miljarde datapunte oor meer as 250 miljoen toestelle, wat aan plaaslike Amerikaanse polisie verkoop is. Brian Krebs het Locate X beskryf, ’n produk waarmee jy ’n veelhoek op ’n kaart kan trek en die geskiedenis kan sien van die toestelle wat daardie gebied binnegekom en verlaat het.

Hierdie roete verg geen tegniese kragtoer nie, net iemand wat bereid is om te betaal. Die prys is beskeie.

IMSI-vangers: aktiewe opsporing

Die meganismes wat tot dusver bespreek is, buit ’n normale werking uit. Daar bestaan ook aktiewe opsporing, uitgevoer deur ’n derde party wat op die netwerk ingryp.

’n IMSI-vanger, of seltoringsimulator, is toerusting wat hom as ’n wettige toring voordoen. Fone binne trefafstand koppel daaraan en verklap sodoende hulle intekenaaridentifiseerder en hulle teenwoordigheid binne ’n eng omtrek.

5G moes daardie deur toemaak deur die permanente identifiseerder wat in die oop gestuur word, met ’n versleutelde een, die SUCI, te vervang. Die sluiting is gedeeltelik. Die werk wat onder die titel 5G SUCI-catchers: still catching them all? aangebied is, dokumenteer koppelaanvalle wat dit moontlik maak om sessies weer te korreleer ondanks die versleuteling. Bowenal val die beskerming heeltemal weg as die aanvaller die toestel dwing om na ’n vroeër geslag terug te val, veral 2G, waarvan die verifikasie eensydig is. ’n 5G-foon bly kwesbaar vir ’n aanval wat vir ’n netwerk uit die 1990’s ontwerp is, omdat dit steeds bereid is om daarheen af te sak.

Die teenmaatreëls en hulle werklike doeltreffendheid

Elke maatreël hieronder doen iets. Nie een doen alles nie, en die gaping tussen wat hulle doen en wat aan hulle toegeskryf word, lewer die verkeerde besluite op.

Vliegtuigmodus

Vliegtuigmodus sny die uitstraling van die selmodem, van Wi-Fi en van Bluetooth af. Dit is werklik, en dit is die beste resultaat vir so ’n geringe moeite.

Wat dit nie doen nie: dit stop nie die traagheidsensors nie, dit vee nie die posisies uit wat reeds gekas is nie, wat by herverbinding sal vertrek, en op die meeste toestelle laat dit toe dat Wi-Fi of Bluetooth afsonderlik weer aangeskakel word sonder om dit te verlaat. Uiteindelik is dit ’n sagtewaretoestand, nie ’n kragonderbreking nie: die betroubaarheid daarvan hang af van die integriteit van die stelsel wat dit afdwing.

’n Onderskatte besonderheid: die ontkoppeling van die netwerk en die herkoppeling daaraan is self gebeurtenisse met ’n tydstempel by die operateur. ’n Foon wat om 21:00 in een sel verdwyn en om 23:00 in ’n ander weer opduik, het inligting voortgebring, nie stilte nie.

Die verewekansiging van die MAC-adres

Selfoonstelsels straal vandag ewekansige MAC-adresse uit tydens skanderings, om opsporing van plek tot plek te verhoed. Die bedoeling is goed, die resultaat onvolledig. Die toonaangewende werk, waaronder Why MAC Address Randomization is not Enough, wys dat die inhoud van die ontdekkingsrame dikwels genoeg is om die toestel weer te identifiseer: die aantal inligtingselemente, hulle waardes en hulle volgorde vorm ’n vingerafdruk. Daarby kom die volgordenommers, wat oplopend en dus aaneenskakelbaar is, en die tydhandtekening eie aan elke model. Sommige studies rapporteer dat die helfte van die toestelle vir minstens twintig minute korrek gevolg kon word.

Laastens ’n begripsgrens: die verewekansiging raak net die ontdekkingsfase. Sodra jy aan ’n netwerk koppel, is die adres wat gebruik word vir daardie netwerk stabiel, uit die aard van die ontwerp, sodat die verbinding kan werk. Die koffiewinkel waarheen jy elke oggend gaan, herken jou.

Om die skanderings werklik af te skakel

Dit is die lonendste en die mees geïgnoreerde instelling. Op Android is Wi-Fi-soektogte en Bluetooth-soektogte twee afsonderlike opsies, geleë in die liggingsdienste, onafhanklik van die skakelaars op die kitspaneel. Solank hulle aktief is, is dit nie genoeg om Wi-Fi van die paneel af te skakel nie: die skandering gaan voort.

Om hulle te deaktiveer verwyder ’n hele versamelingslaag, sonder ander koste as ’n eerste posisiebepaling wat effens stadiger is. Vir die meeste lesers is dit die beste verhouding tussen die moeite wat gedoen word en die resultaat wat verkry word.

Toepassingstoestemmings

Om die liggingstoestemming te herroep by toepassings wat dit klaarblyklik nie nodig het nie, bly nuttig, en onlangse stelsels bied drie gradasies: eenmalige toestemming, toestemming beperk tot aktiewe gebruik, en benaderde ligging, wat slegs ’n gebied in die orde van ’n kilometer deurgee.

Dit beskerm egter nie teen SDK’s wat binne ’n toepassing huisves wat ’n regmatige rede het om jou posisie te gebruik nie, ook nie teen die traagheidsensors nie, en ook nie teen die netwerklae wat deur geen toestemming loop nie.

Waarteen ’n VPN nie beskerm nie

’n Punt wat opgeklaar moet word, want die teenoorgestelde oortuiging is baie wydverspreid: ’n VPN verberg nie jou ligging nie. Dit verberg jou openbare IP-adres, en versteur dus die liggingbepaling volgens IP, wat in elk geval die growwerigste meganisme op die lys is.

’n VPN raak nie die GNSS-ontvanger nie, ook nie die Wi-Fi-skandering nie, nie Bluetooth nie en nie die sensors nie. Dit verander niks aan wat jou operateur weet nie, aangesien die versleutelde tonnel deur sy torings loop en die selkoppeling vir hom sigbaar bly. Dit keer ook nie ’n toepassing met liggingstoestemming om presiese koördinate binne die tonnel te stuur nie. Die VPN beskerm die inhoud en die bestemming van jou kommunikasie op ’n onbetroubare netwerk, en dit is reeds baie. Ligging val nie binne sy omvang nie.

Die fisiese grense

’n Faraday-sakkie werk in die letterlike sin: dit blokkeer uitstraling sowel as ontvangs. Om die battery te verwyder ook, waar dit nog moontlik is. ’n Toegewyde toestel, of eenvoudig om jou foon elders te los, bly die stewigste maatreël.

Hierdie oplossings deel ’n gebrek waarna ’n mens reguit moet kyk: hulle skep ’n afwyking. ’n Foon wat elke Dinsdagaand twee uur lank stilbly, sê iets. Teen ’n teenstander wat patrone ontleed eerder as oomblikposisies, is afwesigheid self data.

Drie teenstanders, drie strategieë

Dit is die belangrikste onderskeid van hierdie artikel, en dié een wat ’n mens die minste lees.

Teen ’n adverteerder of ’n datamakelaar kan die stryd gewen word. Dissipline met toestemmings, die afskakeling van skanderings, ’n stelsel sonder eiendomsmatige liggingsdienste, die terugstelling van die advertensie-identifiseerder: saam verminder dit die versamelde volume baie sterk. Hierdie teenstander soek goedkoop volume, nie jou spesifieke geval nie.

Teen jou operateur is geen konfigurasie genoeg nie. Selopsporing is die voorwaarde van die diens. Die enigste werklike veranderlikes is regsveranderlikes, naamlik wat die wet toelaat om te bewaar en oor te dra, en materiële veranderlikes: watter toestel, watter SIM-kaart, op wie se naam, en waar aangeskakel.

Teen ’n geteikende staatsteenstander verander die redenasie weer, want hy kombineer regmatige toegang tot die operateur se data, aktiewe opsporing met ’n seltoringsimulator, opdragte aan die platforms en, waar nodig, die kompromittering van die toestel self. Sagtewareteenmaatreëls verklein die oppervlak, maar die realistiese doel is nie om te verdwyn nie: dit is om presies te weet wat blootgestel bly.

Die benadering van ArpokratOS

ArpokratOS antwoord op hierdie landskap met ’n keuse wat uit die bogenoemde onderskeid voortvloei: wat geneutraliseer moet word, word op stelselvlak geneutraliseer, nie in ’n kieslys nie.

Wat GNSS betref, is die hardewaredrywer verwyder. Die toestel tree op asof die skyfie nie bestaan nie, sowel vir toepassings as vir die stelsel self. Die verskil met ’n skakelaar in die instellings is nie kosmeties nie. ’n Skakelaar is ’n beleid: dit word afgedwing deur ’n laag wat omseil kan word deur ’n komponent met genoeg voorregte, weer aangeskakel kan word deur ’n opdatering, of geïgnoreer kan word deur ’n gekompromitteerde stelsel. Om die kodepad te verwyder, laat die vraag verval, want daar is niks meer om aan te skakel nie.

Bluetooth word op Core-vlak hanteer, met dieselfde logika. Bluetooth wat in die instellings afgeskakel is, laat in die praktyk op baie toestelle die sagtewarestapel lewend, om die nabyheidsdienste en die samewerkende opsporingsnetwerke te voed. Wanneer dit op stelselvlak afwesig is, kan dit nie met ’n winkelbaken praat nie, nie aan ’n netwerk van die Find My-tipe deelneem nie, en ook nie as ’n aanvalsoppervlak sonder interaksie dien nie.

’n Mens moet duidelik sê wat dit nie doen nie. ArpokratOS maak ’n foon nie onopspoorbaar nie. Solank ’n SIM-kaart aktief is, weet die operateur aan watter sel jy gekoppel is, en geen bedryfstelsel verander dit nie, selfs nie met al die verkeer wat deur Tor gestuur word nie. Roetering beskerm die inhoud en die bestemming, nie die radiogeometrie nie. Wie onsigbaarheid belowe, verkoop ’n storie.

Wat so ’n argitektuur bied, is beskeier: die verwydering van die toepassings- en nabyheidslae, waardeur die oorgrote meerderheid van die werklike versameling loop, en ’n uitdruklike bedreigingsmodel vir wat oorbly. Dit is dieselfde redenasie wat op die keuse van ’n rekenaarstelsel toegepas word, uiteengesit in ons vergelyking van bedryfstelsels: die nuttige vraag is nie of ’n hulpmiddel beskerm nie, maar waarteen dit beskerm en teen watter prys.

Slot

Hierdie artikel bied nie ’n metode om te verdwyn nie. Daardie metode bestaan nie, en tekste wat die teendeel voorgee, lewer veral valse vertroue op, wat gevaarliker is as die afwesigheid van beskerming omdat dit mense laat risiko’s neem.

Die doel was om ’n binêre vraag, naamlik of ek opspoorbaar is of nie, met ’n nuttige vraag te vervang: deur wie, met watter akkuraatheid, teen watter koste vir hulle, en of dit vir my saak maak. Die antwoord verskil vir ’n joernalis wat ’n bron beskerm, vir ’n bestuurder wat in ’n sensitiewe jurisdiksie reis, vir ’n prokureur wie se afsprake ’n strategie verklap, of vir ’n gewone mens wat bloot geïrriteerd is dat ’n adverteerder sy gewoontes ken.

Wat trouens die aandag behoort te trek, is nie die prestasie van elkeen van hierdie meganismes afsonderlik nie, maar die feit dat hulle mekaar oorvleuel. ’n Posisie tot op vyftig meter akkuraat is nie baie interessant nie. ’n Posisie tot op vyftig meter akkuraat, elke kwartier, twee jaar lank, teken ’n woning, ’n werkplek, ’n geloofsoortuiging, ’n gesondheidstoestand, ’n verhouding, ’n bron. Liggingdata is die metadata wat al die ander leesbaar maak, en juis daarom is dit soveel werd.

Bronne

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense