Mobilní sítě on Arpokrat

Dvoufaktor přes SMS už nechrání nic: co používat místo něj

Tue, 08 Sep 2026 00:00:00 +0000

ledna 2024 oznámil oficiální účet na síti X americké Komise pro cenné papíry a burzy (SEC), tedy regulátora finančních trhů, schválení bitcoinových ETF, tedy rozhodnutí, na které trh čekal měsíce. Během několika minut bitcoin získal více než 1 000 dolarů na jednotce. Pak to SEC popřela: účet byl napadený. Kurz spadl o více než 2 000 dolarů.

Poučné na tom případu není rozsah pohybu na trhu, ale banalita použitého prostředku. Podle tiskové zprávy amerického ministerstva spravedlnosti si šestadvacetiletý Eric Council Jr. vytiskl falešný doklad totožnosti na přenosné tiskárně karet, přišel do prodejny AT&T a přesvědčil zaměstnance, aby telefonní číslo spojené s účtem převedl na SIM kartu, kterou ovládal. SMS zprávou pak obdržel kódy pro obnovení hesla a předal je svým komplicům. 16. května 2025 byl odsouzen ke 14 měsícům vězení.

Je nutné jedno upřesnění, které mění čtení případu, aniž by oslabilo jeho poučení. Podle oficiálního prohlášení SEC bylo vícefaktorové ověření na tomto účtu vypnuto v červenci 2023, a to na žádost samotného týmu. SMS tedy v době činu nesloužila jako druhý faktor, ale jako kanál pro obnovu přístupu. A právě to činí příklad užitečným: ať už jde o druhý faktor, nebo o zadní vrátka, telefonní číslo zůstává místem, kde řetěz povolí.

Co má druhý faktor zaručit

Princip se vejde do jedné věty. Samotné heslo je něco, co víte; přidává se k němu něco, co máte (telefon, fyzický klíč) nebo něco, čím jste (otisk prstu). Kdo vám ukradne heslo z úniku dat, ještě tím nedisponuje vaším fyzickým předmětem.

Úvaha stojí na zřídka vyslovovaném předpokladu: že druhý faktor je skutečně vázán na předmět ve vašem držení a že jeho předložení něco dokazuje o tom, kde se právě přihlašujete. SMS selhává v obou bodech.

SMS není faktor vlastnictví

Přijetí kódu SMS zprávou nedokazuje, že vlastníte zařízení, ale že telefonní číslo, přidělené operátorem a tímtéž operátorem měnitelné, ukazuje na nějaký přístroj. To není totéž. Tento rozdíl využívají tři vektory a neopravují se stejným způsobem.

SIM swapping

To je útok z případu SEC a nestojí na žádné technické chybě. Útočník shromáždí osobní údaje o cíli, často už dostupné z veřejných úniků, a pak kontaktuje operátora s tím, že je danou osobou: ztracený telefon, prosím o převod čísla na novou SIM. Pokud je přesvědčivý, nebo pokud spolupracuje některý zaměstnanec, číslo změní majitele a všechny SMS chodí jemu. Výroční zpráva IC3 za rok 2024, centra pro hlášení FBI, eviduje jen za tento rok 982 hlášení o SIM swappingu a téměř 26 milionů dolarů deklarovaných ztrát, přičemž počítá pouze oběti, které podaly oznámení. Žádná aktualizace softwaru tento vektor neopraví: nemíří na software, míří na lidský obchodní proces.

Odposlech přes SS7

Signaling System 7 je protokol, díky němuž spolu telefonní sítě po celém světě komunikují: směrují hovor, obsluhují roaming, doručí SMS od jednoho operátora druhému. Byl navržen v roce 1975, kdy byl klub operátorů uzavřený, nepočetný a každý považoval ostatní ze své podstaty za důvěryhodné. Neobsahuje proto žádnou nativní autentizaci mezi sítěmi: požadavek, který vypadá legitimně, je jako legitimní vyřízen.

Není to teoretická slabina. V prosinci 2014 ji němečtí výzkumníci Tobias Engel a Karsten Nohl veřejně předvedli na Chaos Communication Congress: lokalizace účastníka a odposlech jeho SMS pouze na základě telefonního čísla. V roce 2017 bylo potvrzeno reálné zneužití: německý operátor O2-Telefónica přiznal, že několika zákazníkům byly vybílené bankovní účty poté, co útočníci získali přístup do sítě zahraničního operátora a nastavili přesměrování SMS, aby zachytili bankovní potvrzovací kódy.

Phishing v reálném čase

Třetí vektor je nejdůležitější, protože nezávisí na žádné telekomunikační chybě a přežije vše, co by se v předchozích dvou opravilo.

Falešná stránka dokonale napodobí přihlašovací stránku služby. Zadáte tam uživatelské jméno a heslo, které falešná stránka okamžitě přepošle té pravé, a ta odešle SMS na váš telefon. SMS vám skutečně dorazí a je pravá. Kód zadáte na falešné stránce, která jej během několika sekund přepošle dál. Relace se otevře a drží ji útočník.

Říká se tomu útok adversary-in-the-middle. Je zprůmyslněný: nástroje jako Evilginx, reverzní proxy, která se objevila v roce 2017, nebo sady prodávané v měsíčním předplatném, jej zpřístupňují bez jakýchkoli zvláštních dovedností. Ostatně to, co je ukradeno, není jen kód, ale session cookie, díky které lze zůstat přihlášen, aniž by bylo nutné znovu projít jakýmkoli ověřením.

Jde o věc architektury. Kód odeslaný SMS zprávou neobsahuje žádnou informaci o stránce, která jej vyžádala. Nemůže tedy odlišit pravou od falešné: je platný všude, kam jej zadáte.

Tohle už není názor, tohle je oficiální stanovisko

Nejsilnější argument proti SMS nepřichází od dodavatelů řešení, ale od institucí, které píší standardy.

V červenci 2025 vydal americký NIST finální verzi SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. Text vytváří výslovnou kategorii omezených autentizátorů, vyhrazenou mechanismům, jejichž schopnost odolávat útokům se s vývojem hrozeb zhoršila. Oddíl 3.1.3.3 tam řadí využití veřejné telefonní sítě, tedy kódy zasílané SMS zprávou nebo hlasovým hovorem: „Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9." Konkrétně to znamená, že služba, která jej stále používá, musí nabídnout neomezenou alternativu, informovat uživatele o riziku a mít migrační plán.

V prosinci 2024 vydala CISA, americká agentura pro kybernetickou bezpečnost, svůj dokument Mobile Communications Best Practice Guidance, a to po špionážní kampani Salt Typhoon, při níž aktéři napojení na čínský stát pronikli do několika amerických telekomunikačních operátorů. Formulace nenechává prostor pro výklad: „Do not use SMS as a second factor for authentication. SMS messages are not encrypted", a dále bez obalu: „Only FIDO authentication is phishing-resistant." Dokument výslovně doporučuje hardwarové klíče FIDO, jmenovitě Yubico a Google Titan, a upřesňuje, že po zapnutí FIDO je nutné SMS vypnout, jinak zůstává jako zneužitelná záložní cesta.

Autentizační aplikace: skutečný pokrok, ale jen částečné řešení

Aplikace typu TOTP, tedy Time-based One-Time Password, generují šestimístný kód, který se mění každých třicet sekund a počítá se lokálně ze sdíleného tajemství z aktivace a z aktuálního času. Telefonní sítí neprochází nic.

Zisk je okamžitý: SIM swapping ztrácí účinek, protože číslo už nehraje roli, a odposlech přes SS7 také, protože se nepřenáší žádná zpráva. Přechod na autentizační aplikaci se vyplatí u každého účtu, který nemůže jít dál.

Třetí vektor však zůstává nedotčen. Kód TOTP zadaný na falešné stránce se přepošle na pravou přesně stejně jako kód z SMS. Aplikace neví, kde se přihlašujete: zobrazí číslo, a to číslo je platné u kohokoli, kdo je předloží ve svém třicetisekundovém okně. CISA to říká stejnými slovy: kódy z autentizační aplikace jsou lepší než SMS, ale zůstávají zranitelné vůči phishingu.

TOTP je poctivý mezistupeň, nikoli cíl.

Proč klíč FIDO2 mění povahu problému

Hardwarový klíč FIDO2/WebAuthn se nespokojí s tím, že útok ztíží, on mu odebírá mechanickou možnost.

Při registraci u služby klíč vygeneruje kryptografický pár klíčů určený právě této službě. Veřejná část putuje ke službě, soukromá nikdy neopustí čip a nelze ji ani exportovat, ani přečíst. Žádné sdílené tajemství, které by šlo zkopírovat, žádný šestimístný kód k odchycení.

Pak přichází rozhodující mechanismus, vazba na origin. Při přihlášení předá prohlížeč klíči skutečný název domény zobrazené stránky. Tato informace je součástí podepisovaných dat a prohlížeč ji vynucuje: JavaScript stránky ji nemůže ani změnit, ani zfalšovat.

Klíč FIDO2 nedělá phishing těžším k provedení. Dělá výsledek phishingu nepoužitelným.

Vraťme se k útoku adversary-in-the-middle, tentokrát s klíčem. Falešná stránka je dokonalá, oběť nic nepozná a dotkne se klíče. Prohlížeč předá skutečnou doménu stránky, tedy tu podvodnou. Klíč zjistí, že pro tuto doménu žádný pár neexistuje, nebo pro ni podepíše a vytvoří podpis, který pravá služba odmítne. V obou případech útočník nezíská nic použitelného.

V tom je ten rozdíl v povaze. U SMS nebo TOTP stojí bezpečnost nakonec na bdělosti uživatele, na jeho schopnosti odhalit zfalšovanou doménu v adresním řádku ve chvíli, kdy spěchá a stránka vypadá normálně. U FIDO2 provádí tuto kontrolu stroj, pokaždé, bez závislosti na něčí pozornosti. Právě tento přenos odpovědnosti je důležitější než kryptografická odolnost.

Efekt lze změřit. Google zavedl povinné klíče pro své zaměstnance na začátku roku 2017 a v roce 2018 uvedl, že nezaznamenal žádné kompromitování účtu u více než 85 000 lidí.

Skutečné limity hardwarových klíčů

Vydávat je za dokonalé by bylo nepoctivé a k přípravě opravdových rozhodnutí zbytečné.

Náklady existují. Počítejte s 25 až 60 eury podle modelu, více u biometrických verzí, a vynásobte dvěma.

Ztráta klíče je to skutečné riziko. Jediný klíč u kritického účtu je konstrukční chyba. U každého důležitého účtu je třeba mít zaregistrované dva, přičemž jeden je uložený jinde, u blízké osoby nebo v trezoru. Druhý není komfort, je to to, co umožňuje používat první bez obav.

Pokrytí je neúplné. Mnoho služeb, zejména bankovních v Evropě, FIDO2 zatím nepodporuje, odtud následující stanovení priorit.

Klíč lze ukrást. Odtud nutnost nastavit na klíči PIN nebo zvolit model s otiskem prstu: bez toho stačí samotný předmět tomu, kdo jej zvedne.

Záložní cesta zůstává nejslabším článkem. Zapnout FIDO2 bez vypnutí SMS nechrání před ničím: útočník prostě půjde cestou, která zůstala otevřená. Migrace končí až tehdy, když je starý mechanismus z účtu odstraněn, včetně možností obnovy.

Co se hardwaru týče, řada YubiKey pokrývá nejširší spektrum protokolů, klíče Google Titan jsou levnější a omezují se na FIDO, Nitrokey a SoloKeys nabízejí alternativy s otevřeným a auditovatelným firmwarem a Token2 vyrábí modely s vestavěnou klávesnicí, kde se PIN zadává přímo na klíči, nikoli na klávesnici počítače. Mezi klíči certifikovanými pro FIDO2 neexistuje špatná volba: protokol je stejný a liší se jen doplňková využití.

Kde začít, když nelze změnit všechno

Pořadí migrace není věcí preference, vyplývá ze závislostí mezi vašimi účty.

Nejdřív hlavní e-mailová schránka. Přijímá odkazy pro obnovu téměř všeho ostatního. Útočník, který ji ovládne, převezme ostatní účty jeden po druhém, aniž by na kterýkoli z nich přímo zaútočil. Nic si nezaslouží být zabezpečeno dřív než ona.
Správce hesel. Soustřeďuje první faktor všech vašich přístupů, takže jeho ochrana musí odpovídat ochraně nejlépe zabezpečeného účtu, který obsahuje. Je to chvíle prověřit kvalitu hlavního hesla, což je téma podrobně rozebrané v našem článku o entropii a vědě za vaší bezpečností.
Finanční účty a kryptoplatformy. Cíle s okamžitou hodnotou, kde se kompromitace během několika minut promění v nevratnou ztrátu.
Sociální sítě s publikem. Případ SEC ukazuje, jakou váhu má slovo sledovaného účtu, a škoda nedopadá vždy na jeho majitele.
Zbytek může počkat, s aplikací TOTP místo SMS. Fórum nebo streamovací služba stejné úsilí neospravedlňují.

U účtů, které FIDO2 zatím nepodporují: přejít na TOTP všude, kde to jde, a požádat operátora o zablokování přenosu čísla, což je u většiny bezplatná volba.

Co to říká o přístupu Arpokrat

Tento text popisuje problém, který existuje jen proto, že do středu systému byl postaven identifikátor. Telefonní číslo nikdy nebylo koncipováno jako důkaz totožnosti: páteří online autentizace se stalo ze zvyku a všechny tři výše popsané útoky využívají právě tohle zneužití účelu.

To je úvaha, která stála u návrhu protokolu Arpokrat Messenger: žádné telefonní číslo, žádná e-mailová adresa, žádný účet. Uživatel existuje jako soubor kryptografických klíčů uložených na vlastním zařízení a navázání kontaktu probíhá přes jednorázové pozvánkové odkazy. Logika je stejná jako u FIDO2, jen o stupeň výš: co třetí strana nedrží, to z ní nelze dostat, ani sociálním inženýrstvím vůči operátorovi, ani úředním příkazem. Tuto souvislost s architekturou Zero-Knowledge rozvíjíme v článku o sbírej teď, dešifruj později.

Hardwarový klíč, který podepisuje, aniž by kdy odhalil své tajemství, je ostatně také principem offline kryptopeněženky, popsané v našem kompletním průvodci cold walletem: držet tajnou část ve vyhrazeném předmětu a ven pustit jen podpis.

Závěr

Dvoufaktor přes SMS nebyl špatně navržen. Když se na počátku desátých let rozšířil, představoval oproti samotnému heslu značný pokrok a měl pro sebe jedinou vlastnost, která ve velkém měřítku rozhoduje: telefon už měl každý.

Problémem není jeho vynález, ale jeho přežívání. Demonstrace SS7 pocházejí z roku 2014, reálné zneužití v bankovnictví z roku 2017, industrializace phishingu v reálném čase z konce téže dekády. CISA napsala, ať se přestane používat, v roce 2024, NIST omezení formalizoval v roce 2025. Zhruba deset let dělí okamžik, kdy se díry staly zneužitelnými ve velkém, od okamžiku, kdy to instituce daly na papír. A SMS zůstává u většiny služeb pro širokou veřejnost výchozím druhým faktorem.

Právě tento rozestup je skutečnou informací tohoto textu. Bezpečnostní mechanismy nemizí, když přestanou fungovat, ale když je nahradí něco stejně jednoduchého, a to trvá mnohem déle. Otázka tedy nezní, zda byste měli SMS opustit, to je rozhodnuto už roky. Zní: která další ochrana, kterou považujete za samozřejmou, se už, aniž by to zatím někdo napsal, nachází ve stejné situaci.

Zdroje

Ministerstvo spravedlnosti USA, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16. května 2025
Securities and Exchange Commission, SECGov X Account, oficiální prohlášení z 22. ledna 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, finální verze z července 2025
CISA, Mobile Communications Best Practice Guidance, 18. prosince 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, demonstrace Tobiase Engela a Karstena Nohla, prosinec 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, květen 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, červenec 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, specifikace WebAuthn

5G, lokalizační údaje a chybný cíl práva

Tue, 18 Aug 2026 00:00:00 +0000

V roce 2011 si policie v Detroitu vyžádala od mobilního operátora historii přihlášení telefonu Timothyho Carpentera k základnovým stanicím. Získala 12 898 lokalizačních bodů rozložených do 127 dnů, přibližně sto denně. O sedm let později Nejvyšší soud Spojených států rozhodl, že tato žádost představuje prohlídku a vyžaduje soudní příkaz.

Oněch 12 898 bodů pocházelo z antén čtvrté generace, z nichž každá pokrývala okruh několika kilometrů. Tentýž požadavek adresovaný dnes městské síti 5G by nevrátil sto bodů denně s přesností na několik kilometrů. Vrátil by objem mnohem větší, s přesností na několik desítek metrů.

Technologie změnila měřítko. Právní úvaha zůstala na témž místě řetězce.

Právní statek, který soudy uznávají na obou stranách Atlantiku

Existuje zájem, který připouští téměř každý a který téměř žádný předpis účinně nechrání: právo někde být, aniž je tato skutečnost zaznamenána.

Evropská judikatura to stanovila jednoznačně. Ve věci Digital Rights Ireland (spojené věci C-293/12 a C-594/12, 8. dubna 2014) a poté v rozsudku Tele2 Sverige a Watson (spojené věci C-203/15 a C-698/15, velký senát, 21. prosince 2016) Soudní dvůr Evropské unie rozhodl, že tyto údaje ve svém souhrnu umožňují vyvodit velmi přesné závěry o soukromém životě osob: zvyklosti každodenního života, místa pobytu, pohyb, vykonávané činnosti a společenské vztahy.

Nejvyšší soud Spojených států dospěl k blízkému závěru ve věci Carpenter v. United States, 585 U.S. 296 (2018). Zdůraznil bod, který americká nauka hojně komentovala: nevyhnutelnou a automatickou povahu tohoto sběru. Nikdo nesouhlasí s tím, že bude přihlášen k anténě; je k ní přihlášen proto, že vlastní zapnutý telefon.

Právní statek tedy existuje a uznávají jej oba soudy, na nichž v této oblasti záleží. Problém leží jinde.

Co 5G skutečně změnilo

Běžný omyl spočívá v tom, že se lokalizace pokládá za údaj, který telefon odesílá, stejně jako zprávu nebo fotografii. Tak tomu není. Lokalizace je fyzickým důsledkem fungování sítě. Operátor ví, ke které anténě je přístroj přihlášen, protože to vědět musí, aby mohl směrovat hovor. Neexistuje žádný klíč, jímž by šlo tuto informaci zašifrovat, neboť nejde o obsah, nýbrž o vlastnost samotného spojení.

Právě to činí 5G významným v rovině právní, nikoli technické.

Dřívější architektury stály na širokých buňkách. Anténa 4G běžně obsluhuje okruh několika kilometrů a poloha odvozená ze samotného přihlášení se ve městě počítala ve stovkách metrů, na venkově někdy v desítkách kilometrů. 5G stojí na masivním zahuštění: městské buňky pokrývají obvykle několik set metrů a inženýrská literatura počítá s hustotami řádu čtyřiceti až padesáti základnových stanic na kilometr čtvereční, oproti čtyřem či pěti v době 3G.

Důsledek je mechanický. Podle bílé knihy společnosti Ericsson o pozicování v 5G dosahuje infrastruktura nasazená pouze pro konektivitu přesnosti dvaceti až padesáti metrů venku a jednoho až tří metrů uvnitř budov a za příznivých městských podmínek klesá pod metr. Nejde o kdesi zapnutou lokalizační funkci, nýbrž o to, co síť ví ze své konstrukce, bez jediné nainstalované aplikace a bez jediného uděleného oprávnění. Všechny tyto mechanismy, jakož i protiopatření, která skutečně fungují, jsme podrobně rozebrali v článku o trvalé geolokalizaci telefonu.

Zásah tedy vzrostl o několik řádů. Použitelný právní rámec zůstává tím, který byl vymyšlen pro 2G a 3G. Tuto změnu měřítka neprovázela žádná normativní úprava.

Právo chrání přístup, nikoli vznik

Evropské právo pečlivě upravuje, kdo smí k lokalizačním údajům přistupovat, za jakých podmínek a pod jakou kontrolou. Směrnice 2002/58/ES zakotvuje zásadu důvěrnosti komunikací a Soudní dvůr rozhodl ve věci La Quadrature du Net (spojené věci C-511/18, C-512/18 a C-520/18, velký senát, 6. října 2020), že čl. 15 odst. 1 této směrnice, vykládaný ve světle článků 7, 8, 11 a čl. 52 odst. 1 Listiny, brání plošnému a nerozlišujícímu uchovávání provozních a lokalizačních údajů preventivní povahy. Soudní dvůr nicméně připustil vymezené výjimky, čelí-li členský stát vážné hrozbě pro národní bezpečnost, která se jeví jako skutečná a aktuální nebo předvídatelná, za podmínky účinné kontroly.

Jde o skutečné záruky a bylo by absurdní je zlehčovat. Všechny však nastupují až následně. Předpokládají, že údaj existuje, že je uchováván, a teprve poté upravují podmínky jeho využití.

Je-li však lokalizace nevyhnutelným vedlejším produktem fungování sítě, není příslušným bodem zásahu důvěrnost. Je jím perzistence.

Okamžitá poloha, nutná ke směrování komunikace a hned poté smazaná, není nástrojem sledování. Historie poloh uchovávaná měsíce jím je, ať ji obklopují jakékoli záruky přístupu.

Rozdíl mezi obojím není právní, nýbrž architektonický. A evropský harmonogram činí otázku naléhavou spíše než teoretickou. Komise v roce 2025 stáhla návrh nařízení ePrivacy pro nedostatek shody mezi spolunormotvůrci. Od té doby pracuje na samostatném nástroji o uchovávání údajů pro trestní účely, ohlášeném na rok 2026, který má sjednotit vnitrostátní režimy, jež se od zrušení směrnice z roku 2006 rozešly. Jinými slovy, text, který na deset let určí režim lokalizačních metadat, se píše právě teď, na základě úvahy vzniklé v době kilometrových buněk.

Precedent, který si 5G vytvořilo samo

Nejzajímavější na celé věci je, že správná odpověď už v technické normě je, jen se uplatňuje na jiný předmět.

Až do 4G putoval trvalý identifikátor účastníka, IMSI, po rádiovém rozhraní při přihlášení v otevřené podobě. Právě to umožnilo IMSI catchery, ony falešné základnové stanice, které podle referenčního popisu Electronic Frontier Foundation vysílají silněji než legitimní antény, aby přilákaly koncová zařízení a zachytily jejich identifikátor.

Od Release 15 specifikací 3GPP, zveřejněné v roce 2019, přináší 5G elegantní odpověď. Trvalý identifikátor, nyní zvaný SUPI, může být na rádiovém rozhraní nahrazen identifikátorem SUCI, skrytým identifikátorem získaným zašifrováním účastnické části pomocí kryptografie eliptických křivek veřejným klíčem domovského operátora. Rozšifrovat jej může jen domovská síť, která drží odpovídající soukromý klíč. Výsledek je při každém výpočtu jiný, což znemožňuje korelaci mezi relacemi.

Zvolená logika si zaslouží zdůraznit, protože je přesně tou, jíž by se měl řídit zákonodárce: nešifruje se poloha, což by bylo technicky nemožné, šifruje se identita. Poloha bez přiřaditelné identity má pro individualizované sledování velmi omezenou hodnotu.

Slabina: nepovinná ochrana

Existuje však závažná výhrada a je podle nás nejkonkrétnějším bodem zásahu v celém spisu.

Bílá kniha NIST CSWP 36A, vydaná v březnu 2026 institucí National Institute of Standards and Technology, to říká bez obalu. Koncová zařízení a síťové funkce odpovídající Release 15 nebo pozdější musí SUCI podporovat, jeho zapnutí však zůstává na volbě operátora. Musí být splněny tři podmínky: výrobce zařízení jej musí podporovat, operátor jej musí ve své síti zapnout a SIM karta musí nést prvky nutné k výpočtu.

K tomu se přidává konfigurační past. Norma počítá s nulovým ochranným schématem, v němž se formát SUCI formálně používá, ale bez skutečného šifrování, takže identifikátor putuje otevřeně. NIST píše, že operátor musí svou síť nakonfigurovat s nenulovým ochranným schématem, a připomíná, že zpráva CSRIC, poradního orgánu Federal Communications Commission, doporučovala už v roce 2021 vyhradit nulové schéma pouze tísňovým voláním ze zařízení, které síť nezná.

Tuto formulaci stojí za to ponechat tak, jak je. Nejlepší dostupná ochrana proti sledování mobilních zařízení existuje v technické normě od roku 2019. Spočívá na konfigurační volbě ponechané na uvážení operátora. Americká federální agentura považuje za užitečné vydat v roce 2026 dokument připomínající, že by se měla zapnout. A žádný evropský právní nástroj ji neukládá.

Je třeba dodat, že SUCI téma neuzavírá. Práce představené pod názvem 5G SUCI-catchers: still catching them all? dokládají propojovací útoky, které umožňují znovu korelovat relace navzdory šifrování, a ochrana zcela padá, přinutí-li útočník zařízení přejít na starší generaci. Právní povinnost by tedy nevyřešila všechno. Odstranila by však rozdíl, pro nějž neexistuje obhajitelné odůvodnění: rozdíl mezi tím, co norma umožňuje, a tím, co komerční sítě dělají.

Tři soudržné zásahy

Bereme-li vážně myšlenku, že lokalizace se má minimalizovat už návrhem, a nikoli chránit až následně, logicky se nabízejí tři opatření.

Učinit skutečné skrytí identifikátoru povinným. Uložit zapnutí SUCI a zakázat nulová ochranná schémata v komerčních sítích, s výjimkou zbytkového případu tísňových volání. Nejde o předepsání nové technologie ani o financování nasazení, nýbrž o požadavek zapnout funkci normalizovanou už sedm let a v zařízeních přítomnou.
Považovat uchovávání za výjimku, ne za výchozí stav. Poloha nutná ke směrování komunikace by měla být smazána, jakmile je tato funkce splněna. Vytváření historie by mělo vyžadovat zvláštní odůvodnění. To je rozdíl mezi sítí, která ví, kde jste, a sítí, která si pamatuje, kde jste byli.
Učinit správu klíče rozhodným hraničním určovatelem. Umístění serverů v Unii mnoho neznamená, jsou-li klíče, jimiž lze údaje učinit srozumitelnými, jinde. Právně významným kritériem by měla být skutečná kontrola nad prostředky dešifrování, což je otázka, kterou jsme podrobně zkoumali v souvislosti s konfliktem mezi Data Act a CLOUD Act.

Úhel pohledu, který sleduje Arpokrat

Tato úvaha není vlastní jen telekomunikačnímu právu. Je to tatáž, kterou uplatňujeme na vlastní architektonická rozhodnutí, a vejde se do jedné věty: co nevzniklo, není třeba chránit.

Proto ArpokratOS odstraňuje GPS, Bluetooth a NFC na úrovni jádra, místo aby je vypínal v nabídce. Přepínač je politika: může jej obejít privilegovaná komponenta, znovu zapnout aktualizace, ignorovat kompromitovaný systém. Odstranění cesty v kódu otázku ruší. Je to přenesení téhož posunu, který na úrovni práva prosazujeme, na úroveň zařízení: zasáhnout u vzniku, nikoli u přístupu.

Je třeba hned říci, co to neudělá. Žádný operační systém nevyjme zařízení z geometrie sítě. Dokud je SIM karta aktivní, operátor zná buňku, k níž je zařízení přihlášeno, a směrování veškerého provozu přes Tor na tom nic nemění, protože chrání obsah a cíl, nikoli rádiovou vrstvu. Právě proto je téma právní. Existuje kategorie rizik, kterou žádná individuální konfigurace nesnižuje a pro niž je jedinou dostupnou proměnnou pravidlo platné pro operátora.

Táž starost řídí i zbytek naší práce. Údaj, který neexistuje, nelze zabavit, přeprodat, odcizit ani za deset let dešifrovat strojem, jímž dnes nikdo nedisponuje, což je otázka, kterou jsme zpracovali z pohledu šifrování sklizeného nyní a prolomeného později.

Závěr

Veřejná debata o mobilním sledování se soustředí téměř výhradně na přístup: kdo smí údaje nahlížet, na jakém základě, s jakým povolením. Tato debata je legitimní a rozhodnutí vydaná Soudním dvorem od roku 2014 měla hmatatelné účinky. Nastupuje však v řetězci příliš pozdě.

Předcházející a rozhodnější otázkou je, zda má historie vůbec existovat. Databáze zřízená dnes z legitimního důvodu zůstává zítra k dispozici pro jiný a záruky, které ji obklopují, závisejí na pozdějších politických rozhodnutích, jež v okamžiku sběru nikdo neovládá. Je to sázka na stabilitu institucí, uzavřená na dobu, kterou nikdo nestanoví.

5G mnohonásobně zvýšilo rozlišení této informace, aniž došlo k jakékoli normativní úpravě. Zároveň mechanismem SUCI ukázalo, že schůdná cesta spočívá v oddělení polohy od identity, nikoli v pokusu zašifrovat fyzickou vlastnost sítě. Technická norma poskytla odpověď sedm let předtím, než právo položilo otázku.

Evropský text o uchovávání údajů se píše nyní. Bude se týkat metadat, tedy lokalizace, tedy toho, co 5G dnes vytváří v jemnosti, jakou jeho autoři nepoznali. Zda se spokojí s úpravou přístupu k historii pokládané za samozřejmou, nebo zda se odváží zpochybnit nezbytnost této historie, je pravděpodobně nejdůležitější otázkou soukromí příštích let v Evropě. A je to otázka, kterou technický sektor pro jednou už rozhodl správným směrem.

Zdroje

Soudní dvůr Evropské unie, Digital Rights Ireland, spojené věci C-293/12 a C-594/12, 8. dubna 2014
Soudní dvůr Evropské unie, Tele2 Sverige a Watson, spojené věci C-203/15 a C-698/15, velký senát, 21. prosince 2016
Soudní dvůr Evropské unie, La Quadrature du Net a další, spojené věci C-511/18, C-512/18 a C-520/18, velký senát, 6. října 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, březen 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta a kol., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Trvalá geolokalizace: jak vás telefon sleduje, i když si myslíte, že jste mu to znemožnili

Sun, 02 Aug 2026 00:00:00 +0000

V roce 2024 se dva výzkumníci z Marylandské univerzity opakovaně dotazovali služby Apple pro určování polohy podle Wi-Fi, bez zvláštních oprávnění a bez specializovaného vybavení, a za rok zrekonstruovali přesnou polohu více než dvou miliard Wi-Fi přístupových bodů na světě. Jejich práce Surveilling the Masses with Wi-Fi-Based Positioning Systems ukazuje, co taková mapa umožňuje: sledovat techniku vjíždějící na Ukrajinu a vyjíždějící z ní, pozorovat přesuny obyvatel po požárech na Maui, stopovat konkrétního člověka přes jeho domácí router.

Ani jedno z těch zařízení nemělo zapnutou GPS. Poloha přicházela odjinud.

Je to nejrozšířenější slepá skvrna v oblasti mobilního soukromí: přesvědčení, že existuje vypínač polohy a že jakmile ho vypnete, telefon přestane vědět, kde je. To přesvědčení je nepravdivé na sedmi různých úrovních.

Poloha není funkce, kterou telefon zapíná. Je to vlastnost toho, čím telefon je.

GPS, čili nejméně problematický vektor

Jediný mechanismus, který dokáže pojmenovat každý, je zároveň ten, který by vás měl znepokojovat nejméně.

GNSS, obecný pojem zahrnující americkou GPS, Galileo, GLONASS a BeiDou, funguje na principu naslouchání. Družice nepřetržitě vysílají signály s časovou značkou, přijímač jich zachytí několik a ze zpoždění šíření vypočítá svou polohu. Běžná přesnost ve volném prostoru: tři až pět metrů, ve městě často několik desítek metrů, protože fasády signály odrážejí.

Rozhodující je, že tento výpočet je pasivní. Telefon nevysílá směrem k družicím nic, žádný provozovatel družic neví, že existujete. Kdyby ve hře byla jen GNSS, vypnutí GPS by stačilo.

Existuje tu ale jeden detail. Aby se první výpočet urychlil, telefony používají A-GPS: stahují ze serveru družicové efemeridy prostřednictvím protokolu SUPL. Aby dostaly správná data, předá telefon tomuto serveru identifikátor buňky sítě, k níž je připojen. Čistá GNSS vás nezradí, ale urychlovač, který k ní byl přiroubován, ano.

Mobilní síť: co operátor ví z principu

Aby se k vám hovor mohl dostat, musí síť vědět, v jaké oblasti se nacházíte. To není volitelná funkce, to je podmínka existence služby. Váš telefon se nepřetržitě hlásí nejbližšímu vysílači a tato registrace zanechává stopu na straně operátora. Žádná nainstalovaná aplikace, žádné udělené oprávnění: stačí aktivní SIM karta.

Přesnost závisí na metodě:

Samotný identifikátor buňky: od 200 metrů v husté městské zástavbě po více než 30 kilometrů na venkově, kde jeden vysílač pokrývá velmi široký okruh.
Obohacené Cell ID, které přidává sektor antény (většina stanovišť je rozdělena na tři sektory po 120 stupních) a sílu signálu: od 100 metrů po několik kilometrů.
Timing advance, měřící zpoždění cesty tam a zpět mezi telefonem a vysílačem: řádově 550 metrů u GSM, kolem 78 metrů u LTE.
Multilaterace ze tří a více vysílačů: 50 až 300 metrů u městského LTE.

5G mění měřítko ze dvou kumulativních důvodů. Nejprve hustota: buňky 5G pokrývají mnohem kratší poloměry, takže samotné připojení už je jemná informace. Poté standardizace: od Release 16 zahrnuje 3GPP nativní signály pro určování polohy. Komerční cíle míří pod 3 metry uvnitř budov a pod 10 metrů venku pro 80 % terminálů a Release 18 klesá u některých průmyslových využití až na centimetry.

Infrastruktura, která vás připojuje, se tak stává systémem určování polohy v kvalitě srovnatelné s GPS, aniž byste cokoli zapnuli. Tato data se uchovávají podle národních pravidel a orgánům jsou přístupná různými postupy. Jde o tutéž základní debatu jako u práva rozhodného pro hostovaná data: technická ochrana a právní ochrana se nepřekrývají.

Wi-Fi: mapa světa složená z hardwarových adres

Každý přístupový bod Wi-Fi neustále vysílá jedinečný hardwarový identifikátor, BSSID. Tyto identifikátory jsou pevné a geograficky stabilní: domácí router zůstává roky na stejném místě.

Apple, Google a několik specializovaných hráčů udržují databáze, které každému BSSID přiřazují souřadnice. Budují je telefony jejich vlastních uživatelů, které odesílají seznam viditelných přístupových bodů spolu s polohou z GNSS. Operace se pak obrátí: telefon, který vidí čtyři známé přístupové body, už nepotřebuje jedinou družici. V husté městské zástavbě dosahuje přesnost běžně několika desítek metrů a uvnitř budov klesá ještě níž.

Dvě vlastnosti činí tento mechanismus obtížně neutralizovatelným. Za prvé, telefon skenuje i tehdy, když se Wi-Fi jeví jako vypnutá: od Androidu 4.3 systém udržuje periodické prohledávání určené ke zpřesnění polohy, nezávisle na přepínači v rychlém panelu. Toto chování závisí na samostatném nastavení, zahrabaném ve službách určování polohy, které naprostá většina uživatelů nikdy neotevřela.

Za druhé, databázi lze dotazovat zvenčí. To je právě mezera, kterou využili Rye a Levin: rozhraní pro určování polohy vracejí nejen požadovanou polohu, ale i polohu sousedních přístupových bodů, což umožňuje mapu sklízet, aniž byste se k daným místům kdy fyzicky přiblížili.

Bluetooth a BLE: nalezeni telefony ostatních lidí

Bluetooth Low Energy přidává vrstvu blízkosti s dosahem od několika metrů po několik desítek metrů, tedy s mnohem jemnějším rozlišením než mobilní síť. Souběžně existují dvě využití. Komerční majáčky, nasazené v obchodech, na letištích nebo v nákupních centrech, vysílají identifikátor, který aplikace v telefonu rozpoznají, a odhalí tak, před kterým regálem jste se zastavili a na jak dlouho. A kolaborativní lokalizační sítě, jejichž vzorem je Find My od Applu, převzatý od té doby Googlem a Samsungem.

Druhý mechanismus obrací nevyslovený předpoklad. Referenční analýza Who Can Find My Devices?, publikovaná ve sborníku PETS 2021 výzkumníky z Technické univerzity v Darmstadtu, zrekonstruovala protokol Applu zpětným inženýrstvím. Zařízení bez připojení vyšle signál BLE, libovolné zařízení Apple v okolí jej zachytí, připojí k němu vlastní polohu a šifrovaně ji odešle na servery Applu, bez vědomí svého majitele i majitele lokalizovaného zařízení.

Důsledek je strukturální: zařízení bez SIM karty, bez Wi-Fi, bez jakéhokoli síťového připojení zůstává dohledatelné, stačí, aby kolem prošel neznámý člověk s telefonem v kapse. Vaše izolace už nezávisí na vašem nastavení, ale na nastavení kolemjdoucích.

Inerciální senzory: lokalizace bez oprávnění k poloze

Telefon obsahuje akcelerometr, gyroskop, magnetometr a často i barometr. Tyto senzory spadají do kategorie oprávnění odlišné od polohy: aplikace je může číst, aniž by se kdy zeptala, kde jste.

Výzkumníci z Princetonu to prokázali s PinMe. Jejich aplikace vychází z IP adresy a časového pásma pro hrubou polohu a poté čte senzory: akcelerometr dává profil zrychlování a brzdění, gyroskop sled zatáček, magnetometr směr jízdy, barometr změny nadmořské výšky. Neuronová síť určí způsob dopravy, pěšky, autem, vlakem či letadlem, a trasa se přiloží na veřejná mapová, výšková a meteorologická data. Výsledek: trajektorie s přesností srovnatelnou s GPS, bez oprávnění k poloze. Metoda má své meze, které autoři dokumentují, protože selhává v oblastech bez silnic a zhoršuje se u pravidelných šachovnicových půdorysů, kde mnoho tras dává stejný podpis. Zůstává důkazem, že odepřené oprávnění není zavřenými dveřmi.

Barometr navíc přináší rozměr, s nímž si GNSS poradí špatně, totiž vertikálu. Americké požadavky na tísňová volání ukládají přesnost na úrovni patra plus minus 3 metry pro 80 % hovorů uskutečněných uvnitř budov. Vědět, v jakém patře se někdo nachází, je něco jiného než vědět, ve kterém bloku domů je.

Trh s daty: nejbanálnější vektor

Předchozí mechanismy popisují, jak se poloha vypočítá. Zbývá vědět, kam odchází, a právě tam se odehrává podstata každodenního rizika.

Tisíce aplikací obsahují reklamní SDK, softwarové stavební bloky dodávané třetími stranami, které vývojář přidá, aby svou práci zpeněžil nebo změřil dosah. Tyto bloky dědí oprávnění hostitelské aplikace: aplikace pro počasí, která vaši polohu legitimně potřebuje, ji předává hráčům, jejichž jméno jste nikdy nečetli. K tomu se přidávají toky reklamních aukcí, v nichž se vaše přibližná poloha při každém zobrazení banneru rozešle desítkám potenciálních kupců, včetně těch, kdo nekupují nic a spokojí se s nasloucháním.

Tato surovina živí celé odvětví. Electronic Frontier Foundation zdokumentovala případ Fog Data Science, která se chlubila miliardami datových bodů o více než 250 milionech zařízení, prodávaných americkým místním policejním sborům. Brian Krebs popsal Locate X, produkt umožňující nakreslit na mapě mnohoúhelník a zobrazit historii zařízení, která do této zóny vstoupila a opustila ji.

Tento vektor nevyžaduje žádný technický majstrštyk, jen aby byl někdo ochoten zaplatit. Cena je skromná.

IMSI catchery: aktivní lokalizace

Dosud popsané mechanismy zneužívají běžný provoz. Existuje ale i aktivní lokalizace, kterou provádí třetí strana zasahující do sítě.

IMSI catcher, neboli simulátor základnové stanice, je zařízení vydávající se za legitimní vysílač. Telefony v dosahu se k němu připojí a odhalí přitom svůj identifikátor účastníka a svou přítomnost v úzce vymezeném prostoru.

5G měla tyto dveře zavřít tím, že trvalý identifikátor přenášený otevřeně nahradila šifrovaným, tedy SUCI. Uzavření je částečné. Práce prezentované pod názvem 5G SUCI-catchers: still catching them all? dokumentují propojovací útoky, které umožňují znovu korelovat relace navzdory šifrování. Především ale ochrana padá zcela, pokud útočník donutí terminál sestoupit na starší generaci, zejména 2G, jehož autentizace je jednostranná. Telefon s 5G zůstává zranitelný útokem navrženým pro síť z devadesátých let, protože stále souhlasí s tím, že na ni sestoupí.

Protiopatření a jejich skutečná účinnost

Každé z níže uvedených opatření něco dělá. Žádné nedělá všechno a rozdíl mezi tím, co dělají, a tím, co se jim připisuje, plodí špatná rozhodnutí.

Režim Letadlo

Režim Letadlo vypne vysílání mobilního modemu, Wi-Fi a Bluetooth. To je skutečný účinek a je to nejlepší výsledek za tak malé úsilí.

Co nedělá: nezastaví inerciální senzory, nesmaže již uložené polohy, které odejdou při opětovném připojení, a na většině zařízení umožňuje zapnout Wi-Fi či Bluetooth samostatně, aniž byste režim opustili. Je to konečně softwarový stav, nikoli odpojení napájení: jeho spolehlivost závisí na integritě systému, který jej vynucuje.

Podceňovaný detail: odhlášení ze sítě a následné opětovné přihlášení jsou samy o sobě událostmi s časovou značkou na straně operátora. Telefon, který ve 21 hodin zmizí v jedné buňce a ve 23 hodin se objeví v jiné, vytvořil informaci, nikoli ticho.

Náhodné generování MAC adresy

Mobilní systémy dnes při prohledávání vysílají náhodné MAC adresy, aby zabránily sledování z místa na místo. Záměr je dobrý, výsledek neúplný. Referenční práce, mezi nimi Why MAC Address Randomization is not Enough, ukazují, že obsah vyhledávacích rámců často stačí k opětovné identifikaci zařízení: počet informačních prvků, jejich hodnoty a jejich pořadí tvoří otisk. K tomu se přidávají sekvenční čísla, přírůstková a tedy řetězitelná, a časový podpis vlastní každému modelu. Některé studie uvádějí správné sledování poloviny zařízení po dobu nejméně dvaceti minut.

Konečně pojmové omezení: náhodné generování se týká pouze fáze vyhledávání. Jakmile se připojíte k síti, je použitá adresa pro tuto síť z podstaty konstrukce stálá, aby spojení fungovalo. Kavárna, kam chodíte každé ráno, vás pozná.

Skutečně vypnout prohledávání

To je nejvýhodnější a nejpřehlíženější nastavení. V Androidu jsou vyhledávání Wi-Fi a vyhledávání Bluetooth dvě samostatné volby umístěné ve službách určování polohy, nezávislé na přepínačích v rychlém panelu. Dokud jsou aktivní, nestačí vypnout Wi-Fi z panelu: prohledávání pokračuje.

Jejich vypnutí odstraní celou vrstvu sběru dat, a to za jedinou cenu poněkud pomalejšího prvního určení polohy. Pro většinu čtenářů je to nejlepší poměr mezi vynaloženým úsilím a dosaženým výsledkem.

Oprávnění aplikací

Odebrat oprávnění k poloze aplikacím, které jej zjevně nepotřebují, zůstává užitečné, a novější systémy nabízejí tři stupně: jednorázové povolení, povolení omezené na aktivní používání a přibližnou polohu, která předává jen oblast řádově kilometrovou.

Neochrání to však ani před SDK uvnitř aplikace, která má legitimní důvod k přístupu k vaší poloze, ani před inerciálními senzory, ani před síťovými vrstvami, jež neprocházejí žádným oprávněním.

Před čím VPN nechrání

Bod, který je třeba vyjasnit, protože opačné přesvědčení je velmi rozšířené: VPN vaši polohu neskrývá. Skrývá vaši veřejnou IP adresu, takže zkresluje geolokalizaci podle IP, což je stejně nejhrubší mechanismus ze seznamu.

VPN se nedotýká ani přijímače GNSS, ani prohledávání Wi-Fi, ani Bluetoothu, ani senzorů. Nemění nic na tom, co ví váš operátor, protože šifrovaný tunel prochází jeho vysílači a připojení k buňce mu zůstává viditelné. Nezabrání aplikaci s oprávněním k poloze, aby uvnitř tunelu odeslala přesné souřadnice. VPN chrání obsah a cíl vaší komunikace v nedůvěryhodné síti, a to už je hodně. Poloha do jejího záběru nespadá.

Fyzické meze

Faradayovo pouzdro funguje doslova: blokuje vysílání i příjem. Vyjmutí baterie také, tam kde je to ještě možné. Vyhrazené zařízení, nebo prostě nechat telefon jinde, zůstává nejodolnějším opatřením.

Tato řešení sdílejí nedostatek, kterému je třeba pohlédnout do tváře: vytvářejí anomálii. Telefon, který každé úterý večer dvě hodiny mlčí, něco vypovídá. Proti protivníkovi, který analyzuje vzorce místo okamžitých poloh, je nepřítomnost sama o sobě údajem.

Tři protivníci, tři strategie

To je nejdůležitější rozlišení tohoto článku a zároveň to, které se čte nejméně často.

Proti inzerentovi nebo datovému brokerovi je boj vyhratelný. Disciplína v oprávněních, vypnutí prohledávání, systém bez proprietárních lokalizačních služeb, obnovení reklamního identifikátoru: dohromady velmi silně snižují sbíraný objem. Tento protivník hledá levný objem, nikoli váš konkrétní případ.

Proti vašemu operátorovi nestačí žádná konfigurace. Lokalizace v mobilní síti je podmínkou služby. Jediné skutečné proměnné jsou právní, tedy co zákon dovoluje uchovávat a předávat, a materiální: jaké zařízení, jaká SIM karta, na čí jméno, zapnuté kde.

Proti cílenému státnímu protivníkovi se úvaha mění znovu, protože ten kombinuje zákonný přístup k datům operátora, aktivní lokalizaci simulátorem základnové stanice, vyžádání údajů od platforem a případně kompromitaci samotného terminálu. Softwarová protiopatření zmenšují plochu, ale realistickým cílem není zmizení: je jím přesně vědět, co zůstává vystaveno.

Přístup ArpokratOS

ArpokratOS odpovídá na tuto krajinu volbou vyplývající z výše uvedeného rozlišení: co má být neutralizováno, je neutralizováno na úrovni systému, nikoli v nabídce nastavení.

U GNSS je hardwarový ovladač odstraněn. Zařízení se chová, jako by čip neexistoval, jak vůči aplikacím, tak vůči systému samotnému. Rozdíl oproti přepínači v nastavení není kosmetický. Přepínač je politika: vynucuje ji vrstva, kterou může dostatečně privilegovaná komponenta obejít, aktualizace znovu zapnout nebo kompromitovaný systém ignorovat. Odstranění kódové cesty otázku ruší, protože už není co zapínat.

Bluetooth je řešen na úrovni Core, se stejnou logikou. Bluetooth vypnutý v nastavení v praxi na mnoha zařízeních ponechává softwarový zásobník naživu, aby obsluhoval služby blízkosti a kolaborativní lokalizační sítě. Chybí-li na úrovni systému, nemůže ani komunikovat s majáčkem v obchodě, ani se účastnit sítě typu Find My, ani sloužit jako plocha útoku bez interakce.

Je třeba jasně říci, co to nedělá. ArpokratOS nečiní telefon nezjistitelným. Dokud je SIM karta aktivní, operátor zná buňku připojení a žádný operační systém to nezmění, ani při veškerém provozu vedeném přes Tor. Směrování chrání obsah a cíl, nikoli rádiovou geometrii. Kdo slibuje neviditelnost, prodává pohádku.

To, co taková architektura přináší, je skromnější: odstranění aplikační vrstvy a vrstvy blízkosti, kudy prochází drtivá většina skutečného sběru, a výslovný model hrozeb pro to, co zůstává. Je to táž úvaha, jakou uplatňujeme při výběru systému pro počítač, rozvedená v našem srovnání operačních systémů: užitečná otázka nezní, zda nástroj chrání, ale před čím chrání a za jakou cenu.

Závěr

Tento článek neposkytuje metodu, jak zmizet. Taková metoda neexistuje a texty, které tvrdí opak, plodí především falešnou jistotu, jež je nebezpečnější než chybějící ochrana, protože svádí k riskování.

Cílem bylo nahradit binární otázku, zda jsem lokalizovatelný či nikoli, otázkou užitečnou: kým, s jakou přesností, za jakou cenu pro ně a zda mi to vadí. Odpověď se liší pro novináře chránícího zdroj, pro manažera cestujícího v citlivé jurisdikci, pro advokáta, jehož schůzky prozrazují strategii, i pro soukromou osobu, kterou dráždí, že inzerent zná její zvyky.

Pozornost by ostatně neměla poutat výkonnost každého z těchto mechanismů zvlášť, ale to, že se navzájem překrývají. Poloha s přesností na padesát metrů není příliš zajímavá. Poloha s přesností na padesát metrů, každou čtvrthodinu, po dva roky, vykreslí bydliště, pracoviště, vyznání, zdravotní stav, milostný poměr, zdroj informací. Údaj o poloze je tím metadatem, které činí všechna ostatní čitelnými, a právě proto má takovou cenu.

Zdroje

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: Nová „Super-Cookie“ telekomunikačních operátorů, která ohrožuje vaše soukromí

Mon, 01 Jun 2026 00:00:00 +0000

Plánovaný konec cookies třetích stran ve webových prohlížečích spustil skutečné závody ve zbrojení v odvětví cílené reklamy. Zatímco Google se snaží prosadit své vlastní standardy (jako Privacy Sandbox), další nečekaný hráč se rozhodl ukousnout si z koláče: váš poskytovatel internetového připojení (ISP).

Tak se zrodil Utiq (dříve známý jako projekt TrustPid), společný podnik založený evropskými telekomunikačními giganty. Utiq, prodávaný široké veřejnosti jako „transparentní a respektující“ řešení, je ve skutečnosti tím, čeho se odborníci na kybernetickou bezpečnost obávají nejvíce: „super-cookie“ fungující na úrovni sítě.

Co je Utiq a jak funguje?

Tradičně je reklamní sledování (cookies) spravováno vaším webovým prohlížečem (Chrome, Firefox, Safari). Mohli jste jej blokovat pomocí rozšíření (jako uBlock Origin) nebo prohlížeče zaměřeného na soukromí (jako Brave).

Utiq posouvá problém o krok zpět: na úroveň vašeho síťového připojení.

Zde je návod, jak sklapne past:

Zadržení v síti: Když procházíte internet přes mobilní připojení (4G/5G) nebo optický box, Utiq k vaší identifikaci používá vaši IP adresu a údaje o vašem telekomunikačním předplatném.
Souhlas (falešná volba): Po příchodu na partnerský web vás vyskakovací okno (popup) vyzve k přijetí Utiq. Vzhledem k únavě z neustálých cookie lišt (Consent Fatigue) miliony uživatelů kliknou na „Přijmout“ bez čtení.
„Network Signal“: Po udělení souhlasu Utiq přímo kontaktuje vašeho telekomunikačního operátora. Ten vygeneruje jedinečný a pseudonymizovaný identifikační token (síťový signál), který předá inzerentům.

Nyní jste sledovatelní z webu na web, nikoli pomocí souboru uloženého ve vašem počítači, ale prostřednictvím samotné infrastruktury, která vám poskytuje internet.

Proč je Utiq noční můrou pro soukromí (OPSEC)

Tato iniciativa přináší vážné problémy pro digitální suverenitu a důvěrnost vašich dat:

Sledování u zdroje: Na rozdíl od běžných cookies nemůžete jednoduše „vymazat historii“ nebo „vymazat mezipaměť“, abyste se zbavili Utiq. Identifikační token generuje váš ISP.
Centralizace profilů: Telekomunikační operátoři již znají vaše jméno, vaši fyzickou adresu, vaše bankovní údaje a vaši polohu v reálném čase. Propojením vaší historie prohlížení webu přes Utiq vytvářejí profilování chování ohromující přesnosti.
Mezera v pseudonymizaci: Utiq se brání tím, že nesdílí vaše jméno v prostém textu, a tvrdí, že používá „šifrované“ tokeny. Ve světě kybernetické bezpečnosti je však dokázáno, že pseudonymizace je reverzibilní. Křížové porovnání těchto tokenů s jinými databázemi umožňuje snadnou opětovnou identifikaci osob.

Kteří operátoři používají Utiq?

Utiq založila aliance čtyř největších evropských operátorů. Pokud jste klientem některého z nich (nebo některé z jejich nízkonákladových dceřiných společností), vaše připojení je již pravděpodobně „kompatibilní“ s tímto sledováním.

Zde jsou zakladatelé a odkazy na jejich příslušné zásady ochrany osobních údajů:

Orange (Francie, Španělsko, Polsko, atd.)
Vodafone (Německo, Španělsko, Velká Británie, atd.)
Telefónica / O2 / Movistar (Španělsko, Německo, atd.)
Deutsche Telekom (Německo, střední Evropa)

Tip OPSEC: Přestože Utiq nabízí centralizovaný portál pro správu souhlasu (consenthub.utiq.com) pro zrušení přístupu, nejlepší obrana zůstává technologická.

Přístup Zero-Trust k boji proti Utiq

Filozofie digitální suverenity, podporovaná ekosystémy, jako je Arpokrat, je založena na jednoduchém principu: nikdy nedůvěřujte síťové infrastruktuře.

K technické neutralizaci systémů, jako je Utiq, je řešením skrýt váš provoz před vlastním poskytovatelem internetu:

Použití suverénní VPN: Zašifrováním vašeho provozu, jakmile opustí vaše zařízení, vidí váš ISP pouze nečitelný tok dat směrovaný na server VPN. Již nemůže vkládat ani číst tokeny Utiq.
Síť Tor (Orbot): Cibulové směrování zabraňuje jakékoli end-to-end identifikaci.
Šifrování DNS (DoH/DoT): Zabraňuje vašemu operátorovi vědět, které weby chcete navštívit.

Stručně řečeno, Utiq je důkazem toho, že poskytovatelé internetových služeb se již nespokojí s tím, že jsou pouhými „trubkami“; chtějí se stát zprostředkovateli dat. Více než kdy jindy již šifrování vašeho provozu není bezpečnostní možností, ale naprostou nutností pro zachování vašeho digitálního ticha.