ردیابی مکان on Arpokrat

سیگنال‌تریس: اروپا نظارتی را صادر می‌کند که به خود اجازه‌اش را نمی‌دهد

Tue, 01 Sep 2026 00:00:00 +0000

یک سدان خاکستری با سرعت ۱۱۰ کیلومتر بر ساعت از زیر دروازهٔ بزرگراه می‌گذرد. دوربین نصب‌شده بر تیرک پلاک را می‌خواند، زمان را ثبت می‌کند، و آن را ذخیره می‌کند. چیز تازه‌ای در کار نیست: این تجهیزات بیست سال است وجود دارند و ده‌ها هزار نمونه از آن‌ها هم در آمریکای شمالی و هم در اروپا نصب شده است.

اما اگر آن دروازه ماژولی را دریافت کرده باشد که گروه ایتالیایی لئوناردو از ژوئن ۲۰۲۶ به بازار عرضه می‌کند، همین حالا چیز دیگری هم ثبت کرده است. آیفون راننده. هدفون بی‌سیم سرنشین. ساعت هوشمند روی داشبورد. رادیوپخش خودرو. جاکلیدی متصل داخل داشبورد. حسگرهای فشار هر چهار لاستیک. کارت ورودی که در جیب کت جا مانده است. و اگر سگی عقب خوابیده باشد، تراشهٔ شناسایی‌اش را هم.

ده‌ودوازده شناسه، یک پلاک، یک موقعیت، یک ساعت. این را در هر دروازهٔ شبکه تکرار کنید و دیگر یک خودرو را دنبال نمی‌کنید: آدم‌ها را دنبال می‌کنید و می‌دانید با چه کسی جابه‌جا می‌شوند.

این دستگاه واقعاً چه می‌کند

نام محصول SignalTrace است. Leonardo US Cyber and Security Solutions آن را می‌فروشد و مکمل خانوادهٔ ELSAG است، یکی از پرکاربردترین خطوط پلاک‌خوان خودکار در بازار آمریکا. وجود آن را در ۸ ژوئن ۲۰۲۶ جوزف کاکس در 404 Media بر پایهٔ برگهٔ محصول سازنده افشا کرد.

نکتهٔ تعیین‌کننده در یک جمله جا می‌شود: بحث بر سر دوربین‌های تازه نیست. SignalTrace حسگری رادیویی است که به پلاک‌خوان‌های ازپیش‌نصب‌شده افزوده می‌شود. تیرک تغییر نمی‌کند، محل تغییر نمی‌کند، ظاهر تجهیزات کنار جاده تغییر نمی‌کند. آنچه تغییر می‌کند این است که این تجهیزات به چه چیزی گوش می‌دهند.

حسگر شناسه‌هایی را ثبت می‌کند که پروتکل‌های بلوتوث، وای‌فای و RFID دستگاه‌های داخل خودرو به‌صورت آشکار پخش می‌کنند. نکتهٔ فنی‌ای که اغلب بد فهمیده می‌شود: هیچ دستگاهی هک نمی‌شود و از هیچ آسیب‌پذیری‌ای سوءاستفاده نمی‌شود. دستگاه بلوتوثی یا وای‌فای پیوسته قاب‌های کشف می‌فرستد، چون این پروتکل‌ها همین‌گونه طراحی شده‌اند. هدفون شما حضورش را اعلام می‌کند تا تلفن پیدایش کند، و خود تلفن هم فضای پیرامون را برای یافتن شبکه‌هایی که می‌شناسد می‌کاود. این ارسال‌ها بنا بر ساختار عمومی‌اند و هر گیرنده‌ای در برد آن‌ها را می‌شنود.

لئوناردو خود نیز تصریح می‌کند که این سامانه با پلاک‌خوان یا بدون آن کار می‌کند، از جمله در فضای بسته، و خودرویی را که پلاکش پوشانده یا برداشته شده نیز بازمی‌شناسد.

مسئلهٔ سیاسی واقعی همین ارتقای تجهیزات موجود است. نصب یک شبکهٔ دوربین تازه رأی‌گیری، شور و گاه دعوای حقوقی به دنبال دارد. افزودن یک برد الکترونیکی درون جعبه‌ای که پیش‌تر تأیید شده هیچ چیز به دنبال ندارد. توان نظارت بدون بحث عمومی ماهیت خود را عوض می‌کند، چون از نظر مادی چیز تازه‌ای برای دیدن نیست.

از خودرو به شخص، و از شخص به گروه

پلاک‌خوان به یک پرسش پاسخ می‌دهد: این خودرو کجا بوده است. SignalTrace دو پرسش دیگر می‌افزاید: چه کسی درون آن بوده، و با چه کسی.

لئوناردو این را پنهان نمی‌کند، همین استدلال فروش است. سامانه چیزی می‌سازد که مستندات آن را اثر انگشت الکترونیکی می‌نامد، مجموعه‌ای از شناسه‌ها که «غالباً با هم فرستاده می‌شوند». مثال سازنده صریح است: در یک شهر کامل، تنها یک خودرو آیفون 13rev2، رادیوپخش آئودی، هدست بوز، ساعت گارمین، ردیاب کلید و پلاک ABC-1234 را کنار هم خواهد داشت.

این محصول تنها خودروها را دنبال نمی‌کند. به‌طور خودکار گرافی از روابط میان اشخاص تولید می‌کند، بی‌آنکه کسی ناچار باشد کوچک‌ترین ظنی را صورت‌بندی کند.

جهش کیفی همین‌جا رخ می‌دهد. سامانه با هم‌بسته‌کردن دستگاه‌هایی که مرتب با هم سفر می‌کنند، به‌طور مکانیکی گرافی اجتماعی می‌سازد. دو تلفن که هر صبح در یک خودرو کنار هم می‌آیند یا هم‌سفری‌اند یا رابطه‌ای که هیچ‌کدام نمی‌خواهند علنی شود. پنجاه دستگاه که در یک مکان و یک ساعت ثبت می‌شوند یعنی یک گردهمایی: یک تظاهرات، یک مراسم دینی، یک نشست صنفی یا صفی جلوی یک درمانگاه.

هیچ‌یک از این نتیجه‌گیری‌ها نیازمند دسترسی به محتوای یک ارتباط نیست. از جدولی از مجاورت استنتاج می‌شود، به‌طور پیش‌فرض، دربارهٔ کل جمعیت در حال تردد و نه دربارهٔ اهدافی مشخص. این مجرمیت به سبب معاشرت است، تولیدشده در مقیاس صنعتی، پیش از هر تحقیقی. تام باومن، حقوق‌دان Center for Democracy & Technology، مسئله را در TechNewsWorld چنین خلاصه می‌کند: آنچه این ابزار را برای تعقیب یک مظنون واقعی سودمند می‌کند، آن را به همان اندازه توانا می‌سازد که همهٔ رانندگان دیگر را نیز دنبال کند، رانندگانی که هیچ‌یک به ثبت دستگاه‌هایشان رضایت نداده‌اند.

لئوناردو دو استدلال در برابر می‌گذارد: سامانه محتوای ارتباطات را نه رمزگشایی می‌کند و نه می‌خواند، و به خودی خود هویت اشخاص را تعیین نمی‌کند. هر دو گزاره درست‌اند و هر دو بی‌ربط. اطلاعاتی که جست‌وجو می‌شود هرگز محتوا نبوده است، در فرادادهٔ موقعیت نهفته است که از یک پیام گویاتر است. دربارهٔ شناسایی هم، خود سازنده می‌پذیرد که بازپرس می‌تواند یک امضای الکترونیکی را به یک پلاک پیوند بزند و سپس از راه سوابق شماره‌گذاری به مالک برسد.

حقوقی آمریکایی که برای چیز دیگری نوشته شده

در ایالات متحده قوانین ایالتی ناظر بر پلاک‌خوان‌ها وجود دارد و برخی دربارهٔ مدت نگهداری و اهداف دسترسی سخت‌گیرند. اما همه پیرامون یک موضوع دقیق نوشته شده‌اند: تصویر یک پلاک خودرو. هیچ‌یک ثبت شناسه‌های دستگاه‌های شخصی توسط همان تجهیزات را پیش‌بینی نمی‌کند.

این ناهم‌خوانی نه بی‌قانونی، که منطقه‌ای خاکستری می‌سازد که برای فروشنده راحت‌تر است. یک ادارهٔ پلیس می‌تواند بی‌آنکه دروغ بگوید بگوید برنامهٔ پلاک‌خوانش مجاز و منطبق است، در حالی که از این پس زیر همان رژیم داده‌هایی با ماهیتی کاملاً متفاوت گرد می‌آورد. لئوناردو افزون بر این قراردادهای فدرال دارد، با Special Operations Command و General Services Administration، یعنی مسیر خریدی که تأییدهای محلی را تا حد زیادی دور می‌زند.

بحث قانون اساسی هم تازه تکان خورده است، و اینجا باید دقیق بود چون وضع حقوقی این تابستان تغییر کرد. در ژانویهٔ ۲۰۲۶ دادگاهی فدرال در ویرجینیا در پروندهٔ Schmidt v. City of Norfolk رأی داد که شبکهٔ دوربین Flock شهر تفتیش محسوب نمی‌شود به معنای متمم چهارم، چون همهٔ جابه‌جایی‌های ساکنان را پوشش نمی‌دهد. این رأی در مرحلهٔ تجدیدنظر در حوزهٔ چهارم است، جایی که ACLU وارد شده است.

سپس در ۲۹ ژوئن ۲۰۲۶ دیوان عالی رأی Chatrie v. United States را صادر کرد. با پنج رأی در برابر چهار، به قلم قاضی کیگن، مقرر داشت که تحصیل داده‌های موقعیت یک تلفن توسط پلیس تفتیش است، زیرا فرد انتظار معقول حریم خصوصی نسبت به این داده‌ها را حفظ می‌کند، حتی وقتی نزد شخص ثالث باشد و حتی برای مدتی کوتاه. این رأی Carpenter v. United States سال ۲۰۱۸ را امتداد می‌دهد و دکترین شخص ثالث را تضعیف می‌کند، چنان‌که CDT یادآور شده است.

دامنهٔ دقیق Chatrie دربارهٔ SignalTrace روشن نیست و ادعای خلاف آن بی‌احتیاطی است: رأی ناظر بر داده‌هایی است که از گوگل خواسته شده، نه بر ثبت مستقیم توسط حسگر پلیس در فضای عمومی. اما استدلالی را مستقر می‌کند که اهمیت دارد، یعنی اینکه حساسیت یک دادهٔ موقعیت به این بستگی ندارد که چه کسی آن را در اختیار دارد.

پرسش اروپایی، که پرسش اصلی است

اینجاست که پرونده برای اروپا آزاردهنده می‌شود. لئوناردو تأمین‌کننده‌ای آمریکایی نیست، بلکه گروهی ایتالیایی است پذیرفته‌شده در بورس میلان که سهام‌دار نخست آن وزارت اقتصاد و دارایی ایتالیا با حدود ۳۰ ٪ سرمایه است و اختیار تعیین اکثریت هیئت‌مدیره را دارد. دولت ایتالیا در این محصول سهام‌داری منفعل نیست.

نخست نکتهٔ فنی

در حقوق اروپا، شناسهٔ یک دستگاه دادهٔ شخصی است. این نظری دکترینی نیست بلکه موضع پایدار مقامات است. CNIL نشانی MAC را در دکترین خود دربارهٔ سامانه‌های سنجش تردد صراحتاً چنین تلقی می‌کند و گردآوری آن در فضای عمومی را تنها با شرایطی تنگ می‌پذیرد: ناشناس‌سازی در چند دقیقه با نرخ برخورد بالا میان افراد، یا نام‌مستعارسازی مطمئن و سپس نابودسازی ظرف بیست‌وچهار ساعت، وگرنه رضایت الزامی می‌شود. همان دکترین تصریح می‌کند که دعوت مردم به خاموش‌کردن وای‌فای شیوهٔ قابل قبولی برای اعتراض نیست.

دیوان دادگستری اتحادیهٔ اروپا در ۴ سپتامبر ۲۰۲۵ در پروندهٔ EDPS علیه SRB (C-413/23 P) روشن کرد که شخصی‌بودن یک دادهٔ نام‌مستعارشده در پرتو ابزارهای بازشناسایی‌ای سنجیده می‌شود که به‌طور معقول قابل به‌کارگیری‌اند. حال آنکه اینجا دارنده یک مقام پلیسی است که سوابق شماره‌گذاری را در اختیار دارد. ابزارهای بازشناسایی فرضی نیستند، در اتاق بغلی‌اند.

ظرافتی که همه چیز را عوض می‌کند

نوشتن اینکه SignalTrace «در اروپا غیرقانونی خواهد بود» نادرست است و خوانندهٔ حقوق‌دان بی‌درنگ متوجه می‌شود. پردازشی که یک مقام صالح برای اهداف پیشگیری و تعقیب کیفری انجام می‌دهد مشمول GDPR نیست. مشمول دستورالعمل (اتحادیهٔ اروپا) ۲۰۱۶/۶۸۰ است، موسوم به دستورالعمل پلیس و دادگستری، که هر کشور عضو جداگانه آن را به حقوق داخلی خود منتقل می‌کند، در فرانسه در باب سوم قانون اطلاعات و آزادی‌ها. CNIL یادآور می‌شود که این رژیم مستقل است، با مبانی مشروعیت و حقوق ویژهٔ خود.

پرسش درست بنابراین پرسش مشروعیت انتزاعی نیست، بلکه پرسش شرایط است. زیر این رژیم، چنین سامانه‌ای مستلزم مبنای قانونی ملی صریح، اهداف معین، ضرورت اثبات‌شده، مدت نگهداری محدود، ارزیابی اثر و نظارت مستقل است. در فرانسه پلاک‌خوان‌ها همین‌گونه تنظیم شده‌اند: مواد L233-1 و L233-1-1 قانون امنیت داخلی فهرستی حصری از جرایمی را تعیین می‌کنند که کاربرد آن‌ها را مجاز می‌سازد، و مدت نگهداری همچنان از کوتاه‌ترین‌ها در اتحادیه است، اصولاً پانزده روز، هرچند طرحی در مجلس سنا در پی افزایش آن است.

این تفاوت بنیادی با وضعیت آمریکاست. در ایالات متحده قانون یک موضوع را تنظیم می‌کند، پلاک را، و سکوت دربارهٔ شناسه‌های دستگاه‌ها در حکم اجازه است. در اروپا قانون اهداف و دسته‌های داده را تنظیم می‌کند و این سکوت، در نبود مبنای قانونی صریح، بیشتر در حکم ممنوعیت است. خلائی که آن سوی اقیانوس دیده می‌شود اینجا به همان شکل وجود ندارد. نه از آن رو که اروپا فضیلت‌مندتر است: فن حقوقی‌اش وارونه است.

پس این حمایت چه ارزشی دارد

پرسشی می‌ماند که این نوشته برای آن است. حمایت مقرراتی اروپایی چه ارزشی دارد وقتی یک شرکت اروپایی، تحت کنترل یک کشور عضو، بیرون از اروپا توانی را می‌فروشد که در خانهٔ خود بدون قانونی تازه نمی‌تواند مستقر کند؟

ایرادها شایستهٔ توجه جدی‌اند. یک صنعتگر مسئول چارچوب قانونی مشتری‌اش نیست: تصمیم دربارهٔ آنچه در خاک خود مجاز می‌دانند با مقامات آمریکایی است. محصول به یک دیکتاتوری فروخته نمی‌شود بلکه به یک دولت حقوقی با دیوان عالی فعال، چنان‌که Chatrie همین حالا یادآوری کرد. و استدلال حاکمیت صنعتی مشروع است: اگر گروه‌های اروپایی این بازارها را بر خود ببندند، تأمین‌کنندگان اسرائیلی، آمریکایی یا چینی آن‌ها را می‌گیرند، بی‌آنکه نظارت یک متر عقب بنشیند، و اروپا پایگاه فناورانه‌اش را از دست می‌دهد.

این استدلال‌ها پذیرفتنی‌اند. اما به مسئله پاسخ نمی‌دهند.

نخست از آن رو که اتحادیه پیشاپیش پذیرفته است که صدور ابزارهای نظارت تجارتی مانند دیگر تجارت‌ها نیست. مقررات (اتحادیهٔ اروپا) ۲۰۲۱/۸۲۱ دربارهٔ کالاهای دومنظوره در مادهٔ ۵ خود بندی فراگیر ناظر بر کالاهای نظارت سایبری وارد کرد، چون قانون‌گذار پذیرفت ابزاری که ساختش قانونی است ممکن است در مقصد نامشروع باشد. حد آن آموزنده است: با خطر سرکوب داخلی یا نقض‌های شدید حقوق بشر فعال می‌شود، یعنی دسته‌هایی که برای رژیم‌های اقتدارگرا اندیشیده شده‌اند. فروش به یک پلیس شهرداری آمریکایی در آن نمی‌گنجد. شبکهٔ سنجش اروپایی اخلاق مشتری را می‌سنجد، هرگز ماهیت توانی را که فروخته می‌شود.

دوم از آن رو که چنین محصولی انبار کالایی نیست که تخلیه شود، بلکه توانی است که نگه‌داری می‌شود: پژوهش را تأمین مالی می‌کند، مهندس تربیت می‌کند، دانش فنی می‌انبارد و پایگاهی نصب‌شده پدید می‌آورد. روزی که حمله‌ای بزرگ کشوری عضو را به مطالبهٔ این توان وادارد، بحث دیگر بر سر شایستگی ساختن آن نخواهد بود. وجود خواهد داشت، اروپایی خواهد بود، پخته خواهد بود، و تأمین‌کننده‌اش تا حدی دولتی. آنگاه استدلال «ما فقط از بازار پیروی می‌کنیم» دوری می‌شود، چون بازار داخلی را همان صادرات آماده کرده است.

ارزش یک حمایت مقرراتی در این سناریو همین است: اروپایی‌ها را در برابر کاربردها حفظ می‌کند، نه در برابر وجود ابزارها. این پرسش را حل می‌کند که چه کسی حق فشردن دکمه را دارد و ساختن، فروختن، بهبوددادن و سپس انتظارکشیدن را به صنعت وامی‌گذارد.

چه می‌توان کرد، بی‌آنکه خود را فریب دهیم

نخستین پاسخی که همیشه مطرح می‌شود تصادفی‌سازی نشانی MAC است. سزاوار بررسی صادقانه است، نه تبلیغ و نه تحقیر. واقعی است و کار می‌کند.

اندروید از نسخهٔ ۱۰ و iOS از نسخهٔ ۱۴ به‌طور پیش‌فرض نشانی MAC به‌کاررفته در وای‌فای را تصادفی می‌کنند، با نشانی متفاوت برای هر شبکه. در بلوتوث کم‌مصرف، دستگاه‌های امروزی نشانی‌های خصوصی قابل‌تحلیل پخش می‌کنند که به‌طور دوره‌ای عوض می‌شوند و تنها طرفی که کلید تحلیل را دارد می‌تواند آن‌ها را به دستگاه واقعی نسبت دهد.

محدودیت‌هایش به همان اندازه واقعی‌اند.

جفت‌شدن دوباره در را باز می‌کند. کلید تحلیل هنگام جفت‌شدن منتقل می‌شود. دستگاهی که پیش‌تر جفت شده یا صریحاً تأیید شده، هویت پایدار پشت نشانی چرخان را بازمی‌یابد. سازوکار برای همین ساخته شده است.
بسیاری از اشیا هیچ چیز را تصادفی نمی‌کنند. حسگرهای فشار لاستیک، کارت‌های RFID، تراشه‌های شناسایی حیوان، رادیوپخش خودرو و لوازم جانبی ارزان شناسه‌های ثابت می‌فرستند. برگهٔ محصول لئوناردو دقیقاً همین دسته‌ها را نام می‌برد و این تصادفی نیست.
تصادفی‌سازی را می‌توان خاموش کرد. شبکه‌به‌شبکه غیرفعال می‌شود و اغلب برای راحتی خاموش است، برای فیلتر MAC روی روتر خانگی یا به حکم سیاست سازمانی.
گروه از چرخش شناسه‌ها جان به در می‌برد. این کم‌شهودی‌ترین و مهم‌ترین نکته است. SignalTrace دنبال یک شناسه نیست، دنبال مجموعه‌ای از دستگاه‌هاست که با هم سفر می‌کنند. اگر تنها یک عضو گروه شناسه‌ای ثابت بفرستد، کل مجموعه قابل انتساب می‌ماند، هر اندازه هم بقیه منضبط باشند.

مؤثرترین تدبیر همچنان کسل‌کننده‌ترین است: نفرستادن. این یعنی خاموش‌کردن بلوتوث و وای‌فای در سطح سیستم، در تنظیمات، نه از پنل میان‌بر. این تمایز آرایشی نیست، آن را در نوشته‌مان دربارهٔ ردیابی دائمی موقعیت تلفن به تفصیل آورده بودیم: در بیشتر سیستم‌های مصرفی، دکمهٔ پنل سریع جفت‌شدن آشکار را قطع می‌کند اما پشتهٔ نرم‌افزاری را زنده می‌گذارد و تحلیل‌های مجاورت ادامه می‌یابد. آن نوشته پویش بلوتوث را برداری نظری توصیف می‌کرد. SignalTrace محصول تجاری آن است، فهرست‌شده و قابل تحویل.

باید دربارهٔ نتیجه صادق ماند: این تدبیرها سطح مواجهه را کم می‌کنند، از میان نمی‌برند. خودرو همچنان یک پلاک است و پلاک همچنان خواندنی. تنها راه هیچ نفرستادن، هیچ همراه نداشتن است، و این سیاست عمومی نیست.

این دربارهٔ انتخاب‌های طراحی ما چه می‌گوید

در آرپوکرات، همین استدلال ما را به آنجا رساند که بلوتوث را در سطح Core در ArpokratOS مدیریت کنیم نه در سطح تنظیمات. یک کلید در رابط کاربری ترجیح کاربر است: یک به‌روزرسانی، یک برنامهٔ سیستمی یا یک سرویس موقعیت‌یابی می‌تواند آن را دور بزند یا دوباره فعال کند، بی‌آنکه کاربر بداند. پشته‌ای که وجود ندارد دوباره فعال نمی‌شود.

در برابر ثبتی مانند SignalTrace، این بدیهی است که دستگاه را غیرقابل‌کشف نمی‌کند و ما هم چنین ادعایی نداریم: تلفن روی شبکهٔ همراه می‌ماند و دیگر اشیای خودرو به حساب خود می‌فرستند. آنچه تضمین می‌کند این است که یک بردار ارسال مشخص بنا بر ساخت غایب است نه اینکه بر پایهٔ اعتماد خاموش شده باشد. این همان نظریه‌ای است که دربارهٔ ۵G و خطای هدف‌گیری حقوق از آن دفاع می‌کردیم: حمایت حقوقی بر دسترسی به داده‌ها متمرکز است حال آنکه باید بر خودِ وجود زیرساختی باشد که آن‌ها را تولید می‌کند. SignalTrace نمونهٔ آن است، با این تفاوت که این زیرساخت در اروپا ساخته می‌شود.

نتیجه‌گیری

چشمگیرترین چیز در این پرونده توان فنی نیست، که پژوهشگران سال‌هاست وصفش می‌کنند. شیوهٔ استقرار است.

هیچ شبکهٔ دوربین تازه‌ای برای افتتاح نخواهد بود، هیچ مصوبهٔ شهرداری برای اعتراض، هیچ مناقصهٔ عمومی که بتوان آن را تغییری ماهوی شناخت. ماژول‌هایی خواهند بود که به تیرک‌های موجود افزوده می‌شوند، ذیل قراردادهای موجود، در برنامه‌هایی که پیش‌تر مجاز شده‌اند. روزی که بحث عمومی آغاز شود، زیرساخت نصب‌شده، مستهلک‌شده و در رویه‌های تحقیق ادغام‌شده خواهد بود. بحث آنگاه بر سر شرایط دسترسی به پایگاهی خواهد بود که وجود دارد، هرگز بر سر شایستگی تشکیل آن.

این ترتیب معمول امور در حوزهٔ نظارت است و تصادفی نیست. می‌ماند اینکه بدانیم آیا اروپا برای خود حرفی می‌بیند وقتی صنعتگران خودش، با تکیه بر دولت‌های خودش، این زیرساخت را برای دیگران می‌سازند. حقوق اروپا پاسخ به این پرسش را که چه کسی می‌تواند نزد ما این داده‌ها را ببیند با دقت سامان داده است. اما هرگز این پرسش را طرح نکرده که چه کسی حق ساختن ماشین را دارد.

نسل پنجم، داده‌های مکانی و خطای هدف‌گیری حقوق

Tue, 18 Aug 2026 00:00:00 +0000

در سال ۲۰۱۱ پلیس دیترویت از یک اپراتور تلفن همراه سابقه‌ی اتصال گوشی تیموتی کارپنتر به دکل‌ها را خواست. ۱۲٬۸۹۸ نقطه‌ی مکانی پراکنده در ۱۲۷ روز به دستش رسید، یعنی حدود صد نقطه در روز. هفت سال بعد، دیوان عالی ایالات متحده رأی داد که چنین درخواستی تفتیش به شمار می‌آید و نیازمند حکم قضایی است.

آن ۱۲٬۸۹۸ نقطه از دکل‌های نسل چهارم می‌آمد که هر یک شعاعی چند کیلومتری را پوشش می‌داد. همان درخواست اگر امروز به یک شبکه‌ی نسل پنجم شهری فرستاده شود، صد نقطه در روز با دقت چند کیلومتر برنمی‌گرداند. حجمی بسیار بیشتر برمی‌گرداند، با دقت چند ده متر.

مقیاس فناوری عوض شد. استدلال حقوقی اما در همان نقطه‌ی زنجیره ماند.

منفعتی حقوقی که قضات دو سوی اقیانوس اطلس آن را می‌شناسند

منفعتی هست که تقریباً همه به آن اذعان دارند و تقریباً هیچ متنی به‌طور مؤثر از آن حمایت نمی‌کند: حق بودن در جایی بدون آنکه این واقعیت ثبت شود.

رویه‌ی قضایی اروپا این را بی‌ابهام تثبیت کرده است. در پرونده‌ی Digital Rights Ireland (پرونده‌های پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴) و سپس در Tele2 Sverige و Watson (پرونده‌های پیوسته C-203/15 و C-698/15، شعبه‌ی بزرگ، ۲۱ دسامبر ۲۰۱۶)، دیوان دادگستری اتحادیه‌ی اروپا رأی داد که این داده‌ها در مجموع خود امکان می‌دهند نتیجه‌گیری‌های بسیار دقیقی درباره‌ی زندگی خصوصی اشخاص انجام شود: عادت‌های زندگی روزمره، محل‌های اقامت، جابه‌جایی‌ها، فعالیت‌های انجام‌شده و روابط اجتماعی.

دیوان عالی ایالات متحده در Carpenter v. United States، 585 U.S. 296 (2018) به نتیجه‌ای نزدیک رسید. بر نکته‌ای تأکید کرد که حقوق‌دانان آمریکایی بسیار درباره‌اش نوشته‌اند: ماهیت گریزناپذیر و خودکار این گردآوری. کسی به اتصال به یک دکل رضایت نمی‌دهد؛ متصل است چون گوشی روشنی در اختیار دارد.

پس منفعت حقوقی وجود دارد و دو دادگاهی که در این حوزه وزن دارند آن را به رسمیت می‌شناسند. مشکل جای دیگری است.

آنچه نسل پنجم واقعاً تغییر داد

خلط رایج آن است که مکان را داده‌ای بدانیم که گوشی ارسال می‌کند، درست مانند یک پیام یا یک عکس. چنین نیست. مکان نتیجه‌ی فیزیکی کارکرد شبکه است. اپراتور می‌داند دستگاه به کدام دکل متصل است چون برای مسیریابی یک تماس ناگزیر باید بداند. هیچ کلیدی برای رمزگذاری این اطلاعات وجود ندارد، چون محتوا نیست بلکه ویژگی خودِ اتصال است.

دقیقاً همین است که نسل پنجم را در سطح حقوقی، و نه فنی، معنادار می‌کند.

معماری‌های پیشین بر سلول‌های پهن استوار بودند. یک دکل نسل چهارم معمولاً شعاعی چند کیلومتری را سرویس می‌دهد و موقعیتی که تنها از اتصال استنتاج می‌شد در شهر به صدها متر و در روستا گاه به ده‌ها کیلومتر می‌رسید. نسل پنجم بر تراکم گسترده استوار است: سلول‌های شهری معمولاً چند صد متر را پوشش می‌دهند و ادبیات مهندسی چگالی‌هایی در حدود چهل تا پنجاه ایستگاه پایه در هر کیلومتر مربع را در نظر می‌گیرد، در برابر چهار یا پنج در دوره‌ی نسل سوم.

پیامد، مکانیکی است. بنا بر سند سفید اریکسون درباره‌ی مکان‌یابی در نسل پنجم، زیرساختی که تنها برای اتصال‌پذیری مستقر شده به دقت بیست تا پنجاه متر در فضای باز و یک تا سه متر در فضای بسته می‌رسد و در شرایط مساعد شهری به زیر یک متر می‌رود. سخن از یک قابلیت مکان‌یابی که جایی روشن شده باشد نیست، بلکه از چیزی است که شبکه بنا بر ساختارش می‌داند، بدون نصب هیچ برنامه‌ای و بدون اعطای هیچ مجوزی. همه‌ی این سازوکارها و نیز اقدام‌های متقابلی که واقعاً کار می‌کنند را در نوشته‌مان درباره‌ی مکان‌یابی دائمی گوشی به تفصیل آورده‌ایم.

بنابراین میزان تعرض چند مرتبه‌ی بزرگی افزایش یافته است. چارچوب حقوقی قابل اعمال همان است که برای نسل دوم و سوم اندیشیده شده بود. هیچ تطبیق هنجاری‌ای همراه این تغییر مقیاس نبوده است.

حقوق از دسترسی حمایت می‌کند، نه از تولید

حقوق اروپا با دقت تعیین می‌کند چه کسی، تحت چه شرایطی و زیر چه نظارتی می‌تواند به داده‌های مکانی دسترسی داشته باشد. دستورالعمل 2002/58/EC اصل محرمانگی ارتباطات را می‌نهد و دیوان دادگستری در پرونده‌ی La Quadrature du Net (پرونده‌های پیوسته C-511/18، C-512/18 و C-520/18، شعبه‌ی بزرگ، ۶ اکتبر ۲۰۲۰) رأی داد که ماده‌ی ۱۵(۱) این دستورالعمل، در پرتو مواد ۷، ۸، ۱۱ و ۵۲(۱) منشور، مانع نگهداری عام و بدون تفکیک داده‌های ترافیک و مکان به‌صورت پیشگیرانه است. با این حال دیوان استثناهایی چارچوب‌دار را پذیرفت، آنجا که یک کشور عضو با تهدیدی جدی علیه امنیت ملی روبه‌روست که واقعی و کنونی یا قابل پیش‌بینی باشد، مشروط به نظارت مؤثر.

اینها حمایت‌هایی واقعی‌اند و کم‌شمردن‌شان بیهوده است. اما همگی پس از وقوع وارد می‌شوند. فرض می‌گیرند داده وجود دارد و نگهداری می‌شود، و آنگاه شرایط بهره‌برداری از آن را سامان می‌دهند.

اما اگر مکان محصول جانبی گریزناپذیر کارکرد شبکه باشد، نقطه‌ی مداخله‌ی درست محرمانگی نیست. ماندگاری است.

موقعیتی لحظه‌ای که برای مسیریابی یک ارتباط لازم است و بی‌درنگ پس از آن پاک می‌شود، ابزار نظارت نیست. تاریخچه‌ای از موقعیت‌ها که ماه‌ها نگهداری شود، هست، هر تضمین دسترسی‌ای هم که پیرامونش باشد.

تفاوت این دو حقوقی نیست، معماری است. و تقویم اروپایی این پرسش را به‌جای نظری، فوری می‌کند. کمیسیون در ۲۰۲۵ پیشنهاد مقررات ePrivacy را پس گرفت، به دلیل نبود توافق میان قانون‌گذاران مشترک. از آن پس روی سندی جداگانه درباره‌ی نگهداری داده برای مقاصد کیفری کار می‌کند که برای ۲۰۲۶ اعلام شده و قرار است نظام‌های ملی را که از زمان ابطال دستورالعمل ۲۰۰۶ پراکنده شده‌اند هماهنگ کند. به بیان دیگر، متنی که برای یک دهه نظام فراداده‌های مکانی را تعیین خواهد کرد هم‌اکنون نوشته می‌شود، بر پایه‌ی استدلالی که در دوران سلول‌های کیلومتری شکل گرفته بود.

سابقه‌ای که خود نسل پنجم ساخت

جالب‌ترین وجه ماجرا این است که پاسخ درست پیشاپیش در استاندارد فنی آمده است، اما بر موضوعی دیگر اعمال شده.

تا نسل چهارم، شناسه‌ی دائمی مشترک، یعنی IMSI، هنگام اتصال به‌صورت آشکار روی رابط رادیویی منتقل می‌شد. همین بود که گیرنده‌های IMSI را ممکن کرد؛ همان ایستگاه‌های پایه‌ی جعلی که بنا بر توصیف مرجع بنیاد مرزهای الکترونیک قوی‌تر از دکل‌های مشروع می‌تابند تا دستگاه‌ها را جذب کنند و شناسه‌شان را بگیرند.

از Release 15 مشخصات 3GPP، منتشرشده در ۲۰۱۹، نسل پنجم پاسخی ظریف آورده است. شناسه‌ی دائمی که اکنون SUPI نامیده می‌شود می‌تواند روی رابط رادیویی با SUCI جایگزین شود؛ شناسه‌ای پنهان‌شده که از رمزگذاری بخش مخصوص مشترک با رمزنگاری خم بیضوی و با کلید عمومی اپراتور خانگی به دست می‌آید. تنها شبکه‌ی خانگی که کلید خصوصی متناظر را دارد می‌تواند آن را بگشاید. نتیجه در هر محاسبه یکتاست و همین همبسته‌سازی نشست‌ها را ناممکن می‌کند.

منطق برگزیده شایسته‌ی تأکید است، زیرا دقیقاً همان منطقی است که باید راهنمای قانون‌گذار باشد: موقعیت را رمز نمی‌کنند، که از نظر فنی ناممکن است، هویت را رمز می‌کنند. موقعیتی که هویت قابل انتسابی نداشته باشد، برای نظارت فردی ارزش بسیار محدودی دارد.

رخنه: حمایتی اختیاری

با این همه تحفظی بزرگ در کار است و به نظر ما ملموس‌ترین نقطه‌ی مداخله در سراسر این پرونده همین است.

سند سفید NIST CSWP 36A، منتشرشده در مارس ۲۰۲۶ از سوی مؤسسه‌ی ملی استانداردها و فناوری، آن را بی‌پرده بیان می‌کند. دستگاه‌ها و کارکردهای شبکه‌ی منطبق با Release 15 یا پس از آن موظف‌اند از SUCI پشتیبانی کنند، اما فعال‌سازی‌اش اختیاری برای اپراتور می‌ماند. سه شرط باید گرد هم آیند: سازنده‌ی تجهیزات باید پشتیبانی کند، اپراتور باید آن را روی شبکه‌اش فعال کند و سیم‌کارت باید عناصر لازم برای محاسبه را داشته باشد.

به این یک دام پیکربندی هم افزوده می‌شود. استاندارد طرح حفاظتی صفر را پیش‌بینی کرده است که در آن قالب SUCI به‌صورت صوری به کار می‌رود اما بدون رمزگذاری واقعی، چنان‌که شناسه آشکار منتقل می‌شود. NIST می‌نویسد که لازم است اپراتور شبکه‌اش را با طرح حفاظتی غیرصفر پیکربندی کند و یادآور می‌شود که گزارشی از CSRIC، نهاد مشورتی کمیسیون ارتباطات فدرال، همان ۲۰۲۱ توصیه کرده بود طرح صفر تنها به تماس‌های اضطراری از دستگاهی که برای شبکه ناشناخته است محدود شود.

این عبارت را باید همان‌گونه که هست نگه داشت. بهترین حمایت موجود در برابر ردیابی دستگاه‌های همراه از ۲۰۱۹ در استاندارد فنی وجود دارد. بر انتخابی پیکربندی استوار است که به صلاحدید اپراتور واگذار شده. یک نهاد فدرال آمریکایی مفید می‌داند در ۲۰۲۶ سندی منتشر کند تا یادآوری کند باید آن را روشن کرد. و هیچ سند حقوقی اروپایی آن را الزامی نمی‌کند.

باید افزود که SUCI پرونده را نمی‌بندد. کارهایی که با عنوان 5G SUCI-catchers: still catching them all? ارائه شده‌اند حمله‌های پیوندپذیری را مستند می‌کنند که با وجود رمزگذاری امکان همبسته‌سازی دوباره‌ی نشست‌ها را می‌دهند، و اگر مهاجم دستگاه را وادار به بازگشت به نسلی پیشین کند حفاظت به‌کلی فرو می‌ریزد. پس یک الزام حقوقی همه‌چیز را حل نمی‌کند. با این حال شکافی را از میان برمی‌دارد که هیچ توجیه دفاع‌پذیری ندارد: شکاف میان آنچه استاندارد اجازه می‌دهد و آنچه شبکه‌های تجاری انجام می‌دهند.

سه مداخله‌ی هم‌ساز

اگر این اندیشه را جدی بگیریم که مکان باید از مرحله‌ی طراحی کمینه شود نه آنکه پس از تولید حمایت شود، سه اقدام به‌طور منطقی خود را تحمیل می‌کنند.

الزامی‌کردن پنهان‌سازی مؤثر شناسه. الزام به فعال‌سازی SUCI و ممنوعیت طرح‌های حفاظتی صفر در شبکه‌های تجاری، جز در مورد باقی‌مانده‌ی تماس‌های اضطراری. سخن از تجویز فناوری‌ای نو یا تأمین مالی یک استقرار نیست، بلکه از الزام به فعال‌کردن قابلیتی است که هفت سال است استاندارد شده و از پیش در تجهیزات وجود دارد.
نگهداری را استثنا بدانیم، نه پیش‌فرض. موقعیتی که برای مسیریابی یک ارتباط لازم است باید به‌محض انجام این کارکرد پاک شود. تشکیل یک تاریخچه باید توجیهی ویژه بطلبد. تفاوت میان شبکه‌ای که می‌داند کجا هستید و شبکه‌ای که به یاد دارد کجا بوده‌اید همین است.
نگهداری کلید را عامل ارتباط مربوط قرار دهیم. استقرار سرورها در اتحادیه چندان معنایی ندارد اگر کلیدهایی که داده‌ها را خوانا می‌کنند جای دیگری باشند. معیار دارای اهمیت حقوقی باید تسلط مؤثر بر ابزارهای رمزگشایی باشد؛ پرسشی که آن را در بحث تعارض میان Data Act و CLOUD Act به تفصیل بررسی کرده‌ایم.

زاویه‌ای که Arpokrat دنبال می‌کند

این استدلال ویژه‌ی حقوق ارتباطات نیست. همان است که بر انتخاب‌های معماری خودمان اعمال می‌کنیم و در یک جمله می‌گنجد: آنچه تولید نشده، نیازی به حفاظت ندارد.

به همین سبب ArpokratOS به‌جای خاموش‌کردن GPS و بلوتوث و NFC در یک منو، آنها را در سطح هسته حذف می‌کند. یک کلید، یک سیاست است: مؤلفه‌ای دارای امتیاز می‌تواند دورش بزند، یک به‌روزرسانی می‌تواند دوباره روشنش کند، سامانه‌ای که به خطر افتاده می‌تواند نادیده‌اش بگیرد. حذف مسیر کد، خودِ پرسش را از میان برمی‌دارد. این در مقیاس یک دستگاه، همان جابه‌جایی‌ای است که در مقیاس حقوق خواستارش هستیم: مداخله در تولید، نه در دسترسی.

بی‌درنگ باید گفت این کار چه نمی‌کند. هیچ سیستم‌عاملی دستگاه را از هندسه‌ی شبکه بیرون نمی‌برد. تا وقتی سیم‌کارتی فعال باشد، اپراتور سلول اتصال را می‌داند و عبور دادن تمام ترافیک از Tor چیزی را عوض نمی‌کند، چون Tor از محتوا و مقصد حفاظت می‌کند نه از لایه‌ی رادیویی. دقیقاً به همین دلیل موضوع حقوقی است. دسته‌ای از خطرها هست که هیچ پیکربندی فردی آنها را کم نمی‌کند و تنها متغیر در دسترس برایشان قاعده‌ی حاکم بر اپراتور است.

همین دغدغه بر باقی کار ما نیز حاکم است. داده‌ای که وجود ندارد نه می‌توان ضبطش کرد، نه فروختش، نه بیرونش کشید، و نه ده سال بعد با ماشینی که امروز کسی در اختیار ندارد رمزگشایی‌اش کرد؛ پرسشی که آن را از زاویه‌ی رمزنگاری امروز برداشت‌شده و بعداً شکسته بررسی کرده‌ایم.

نتیجه

بحث عمومی درباره‌ی نظارت بر تلفن همراه تقریباً به‌طور کامل بر دسترسی متمرکز است: چه کسی می‌تواند داده‌ها را ببیند، بر چه مبنایی، با چه مجوزی. این بحث مشروع است و آرای دیوان دادگستری از ۲۰۱۴ به این‌سو آثار ملموسی داشته‌اند. اما در زنجیره خیلی دیر وارد می‌شود.

پرسش مقدم‌تر و تعیین‌کننده‌تر این است که آیا اصلاً باید تاریخچه‌ای وجود داشته باشد. پایگاهی که امروز به دلیلی مشروع ساخته می‌شود فردا برای دلیلی دیگر در دسترس می‌ماند، و تضمین‌های پیرامون آن به تصمیم‌های سیاسی بعدی وابسته‌اند که در لحظه‌ی گردآوری هیچ‌کس مهارشان نمی‌کند. این شرط‌بندی بر ثبات نهادهاست، برای مدتی که هیچ‌کس تعیینش نمی‌کند.

نسل پنجم تفکیک‌پذیری این اطلاعات را چند برابر کرد بی‌آنکه هیچ تطبیق هنجاری‌ای رخ دهد. هم‌زمان با سازوکار SUCI نشان داد که راه عملی، جداکردن موقعیت از هویت است نه تلاش برای رمزگذاری یک ویژگی فیزیکی شبکه. استاندارد فنی پاسخ را هفت سال پیش از آنکه حقوق پرسش را طرح کند فراهم کرده بود.

متن اروپایی درباره‌ی نگهداری داده هم‌اکنون نوشته می‌شود. به فراداده‌ها مربوط خواهد بود، یعنی به مکان، یعنی به آنچه نسل پنجم اکنون با دقتی تولید می‌کند که نویسندگانش آن را نمی‌شناختند. اینکه آیا به سامان‌دادن دسترسی به تاریخچه‌ای که مفروض گرفته شده بسنده می‌کند یا جسارت پرسیدن از ضرورت آن تاریخچه را دارد، احتمالاً مهم‌ترین پرسش حریم خصوصی سال‌های آینده در اروپاست. و پرسشی است که بخش فنی، برای یک بار هم که شده، پیشاپیش در جهت درست به آن پاسخ داده است.

منابع

دیوان دادگستری اتحادیه‌ی اروپا، Digital Rights Ireland، پرونده‌های پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴
دیوان دادگستری اتحادیه‌ی اروپا، Tele2 Sverige و Watson، پرونده‌های پیوسته C-203/15 و C-698/15، شعبه‌ی بزرگ، ۲۱ دسامبر ۲۰۱۶
دیوان دادگستری اتحادیه‌ی اروپا، La Quadrature du Net و دیگران، پرونده‌های پیوسته C-511/18، C-512/18 و C-520/18، شعبه‌ی بزرگ، ۶ اکتبر ۲۰۲۰
دیوان عالی ایالات متحده، Carpenter v. United States، 585 U.S. 296، ۲۰۱۸
مؤسسه‌ی ملی استانداردها و فناوری، Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI)، NIST CSWP 36A، مارس ۲۰۲۶
اریکسون، 5G positioning: Locating devices anywhere
Merlin Chlosta و دیگران، 5G SUCI-catchers: still catching them all?، ACM WiSec، ۲۰۲۱
بنیاد مرزهای الکترونیک، Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights، The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online، Data Retention: Commission to present proposal by mid-2026

موقعیت‌یابی دائمی: چگونه گوشی شما را دنبال می‌کند، حتی وقتی گمان می‌کنید جلویش را گرفته‌اید

Sun, 02 Aug 2026 00:00:00 +0000

در سال ۲۰۲۴، دو پژوهشگر دانشگاه مریلند بارها و بارها از سرویس موقعیت‌یابی وای‌فای اپل پرس‌وجو کردند، بدون هیچ دسترسی ویژه و بدون سخت‌افزار تخصصی، و در یک سال موقعیت دقیق بیش از دو میلیارد نقطه دسترسی وای‌فای در سراسر جهان را بازسازی کردند. مقاله آنان، Surveilling the Masses with Wi-Fi-Based Positioning Systems، نشان می‌دهد این نقشه چه چیزی را ممکن می‌کند: ردیابی تجهیزاتی که وارد اوکراین می‌شوند و از آن خارج می‌شوند، مشاهده جابه‌جایی جمعیت پس از آتش‌سوزی‌های مائویی، و تعقیب یک فرد از طریق مودم اینترنت خانه‌اش.

هیچ‌کدام از این دستگاه‌ها GPS را فعال نکرده بودند. موقعیت از جای دیگری می‌آمد.

این رایج‌ترین نقطه کور در زمینه حریم خصوصی موبایل است: این باور که کلیدی برای موقعیت‌یابی وجود دارد و همین که خاموشش کنی، گوشی دیگر نمی‌داند کجاست. این باور در هفت سطح متفاوت نادرست است.

موقعیت‌یابی قابلیتی نیست که گوشی شما آن را روشن کند. خاصیتی است از آنچه گوشی هست.

GPS، یا کم‌دردسرترین مسیر

تنها سازوکاری که همه نامش را می‌دانند، همان است که باید کمتر از همه نگرانتان کند.

GNSS، اصطلاح کلی که GPS آمریکایی، گالیله، گلوناس و بیدو را در بر می‌گیرد، با شنیدن کار می‌کند. ماهواره‌ها پیوسته سیگنال‌هایی با مهر زمانی می‌فرستند، گیرنده چند تای آن‌ها را می‌گیرد و از اختلاف زمان انتشار، موقعیت خود را حساب می‌کند. دقت معمول در فضای باز: سه تا پنج متر، و در شهر اغلب چند ده متر، چون نمای ساختمان‌ها سیگنال‌ها را بازتاب می‌دهد.

نکته تعیین‌کننده این است که این محاسبه منفعل است. گوشی چیزی به‌سوی ماهواره‌ها نمی‌فرستد و هیچ اپراتور ماهواره‌ای نمی‌داند شما وجود دارید. اگر تنها GNSS در میان بود، خاموش‌کردن GPS کفایت می‌کرد.

با این حال یک نکته باریک هست. برای شتاب‌بخشیدن به نخستین محاسبه، گوشی‌ها از A-GPS استفاده می‌کنند: داده‌های مداری ماهواره‌ها را از یک سرور و از طریق پروتکل SUPL دانلود می‌کنند. برای دریافت داده درست، گوشی شناسه سلولی شبکه‌ای را که به آن متصل است به همان سرور می‌فرستد. GNSS خالص شما را لو نمی‌دهد، اما شتاب‌دهنده‌ای که به آن پیوند زده‌اند، می‌دهد.

شبکه همراه: آنچه اپراتور بنا بر ساختار می‌داند

برای اینکه تماسی به شما برسد، شبکه باید بداند در کدام محدوده هستید. این گزینه‌ای برای فعال‌کردن نیست، بلکه شرط وجود خود سرویس است. گوشی شما پیوسته خود را به نزدیک‌ترین دکل معرفی می‌کند و این ثبت، نزد اپراتور ردی به‌جا می‌گذارد. هیچ برنامه‌ای نصب نشده، هیچ دسترسی‌ای داده نشده: یک سیم‌کارت فعال کافی است.

دقت به روش بستگی دارد:

تنها شناسه سلول: از ۲۰۰ متر در بافت شهری متراکم تا بیش از ۳۰ کیلومتر در مناطق روستایی، جایی که یک دکل شعاع بسیار وسیعی را پوشش می‌دهد.
Cell ID غنی‌شده، که بخش آنتن (بیشتر سایت‌ها به سه بخش ۱۲۰ درجه تقسیم شده‌اند) و قدرت سیگنال را می‌افزاید: از ۱۰۰ متر تا چند کیلومتر.
Timing advance، که تأخیر رفت و برگشت میان گوشی و دکل را اندازه می‌گیرد: حدود ۵۵۰ متر در GSM و نزدیک ۷۸ متر در LTE.
چندفاصله‌سنجی بر پایه سه دکل یا بیشتر: ۵۰ تا ۳۰۰ متر در LTE شهری.

۵G به دو دلیل انباشتی، مقیاس را دگرگون می‌کند. نخست تراکم: سلول‌های ۵G شعاع‌های بسیار کوتاه‌تری را پوشش می‌دهند، پس صرفِ اتصال هم خودش اطلاعاتی دقیق است. سپس استانداردسازی: از نسخه Release 16 به بعد، 3GPP سیگنال‌های موقعیت‌یابی بومی را در خود دارد. هدف‌های تجاری کمتر از ۳ متر در فضای بسته و کمتر از ۱۰ متر در فضای باز برای ۸۰ ٪ دستگاه‌هاست، و Release 18 برای برخی کاربردهای صنعتی تا سطح سانتی‌متر پایین می‌آید.

پس زیرساختی که شما را متصل می‌کند، خودش به سامانه‌ای موقعیت‌یاب با کیفیتی همسنگ GPS بدل می‌شود، بی‌آنکه شما چیزی را فعال کرده باشید. این داده بر پایه قواعد ملی نگهداری می‌شود و با رویه‌های گوناگون در دسترس مقامات قرار می‌گیرد. این همان بحث بنیادینی است که درباره صلاحیت قضایی حاکم بر داده‌های میزبانی‌شده مطرح کردیم: حفاظت فنی و حفاظت حقوقی بر هم منطبق نیستند.

وای‌فای: نقشه‌ای از جهان، ساخته‌شده از نشانی‌های سخت‌افزاری

هر نقطه دسترسی وای‌فای پیوسته یک شناسه سخت‌افزاری یکتا، یعنی BSSID، پخش می‌کند. این شناسه‌ها ثابت‌اند و از نظر جغرافیایی پایدار: مودم خانگی سال‌ها در همان نقطه می‌ماند.

اپل، گوگل و چند بازیگر تخصصی، پایگاه‌هایی نگه می‌دارند که هر BSSID را به مختصاتی پیوند می‌زند؛ این پایگاه‌ها را گوشی کاربران خودشان می‌سازند، گوشی‌هایی که فهرست نقاط دیده‌شده را همراه با یک موقعیت GNSS گزارش می‌کنند. سپس عملیات وارونه می‌شود: گوشی‌ای که چهار نقطه شناخته‌شده را می‌بیند، دیگر به هیچ ماهواره‌ای نیاز ندارد. در بافت شهری متراکم، دقت معمولاً به چند ده متر می‌رسد و در فضای بسته از آن هم پایین‌تر می‌آید.

دو ویژگی، خنثی‌کردن این سازوکار را دشوار می‌کند. نخست اینکه گوشی حتی وقتی وای‌فای خاموش به‌نظر می‌رسد هم پویش می‌کند: از اندروید ۴.۳ به بعد، سیستم یک پویش دوره‌ای را برای بهبود موقعیت‌یابی نگه می‌دارد، مستقل از کلید موجود در پنل سریع. این رفتار به تنظیمی جداگانه وابسته است که در دل سرویس‌های موقعیت‌یابی دفن شده و تقریباً هیچ کاربری هرگز آن را باز نکرده است.

دوم اینکه می‌توان از بیرون از این پایگاه پرس‌وجو کرد. همین رخنه‌ای است که رای و لوین از آن بهره بردند: رابط‌های موقعیت‌یابی نه‌تنها موقعیت درخواستی، بلکه موقعیت نقاط همسایه را نیز برمی‌گردانند، و همین امکان می‌دهد نقشه را درو کنی بی‌آنکه هرگز از نظر فیزیکی به آن مکان‌ها نزدیک شوی.

بلوتوث و BLE: موقعیت‌یابی به‌دست گوشی دیگران

بلوتوث کم‌مصرف (BLE) لایه‌ای از مجاورت می‌افزاید، با بردی از چند متر تا چند ده متر، یعنی با دانه‌بندی بسیار ریزتر از شبکه همراه. دو کاربرد در کنار هم وجود دارند. بیکن‌های تجاری، که در فروشگاه‌ها، فرودگاه‌ها یا مراکز خرید نصب می‌شوند، شناسه‌ای می‌فرستند که برنامه‌های روی گوشی آن را می‌شناسند و بدین‌سان آشکار می‌شود جلوی کدام قفسه و چه مدت ایستاده‌اید. و دیگری شبکه‌های موقعیت‌یابی مشارکتی، که Find My اپل الگوی آن‌هاست و از آن پس گوگل و سامسونگ نیز آن را برگرفته‌اند.

این سازوکار دوم، فرضی ناگفته را وارونه می‌کند. تحلیل مرجع Who Can Find My Devices?، که پژوهشگران دانشگاه فنی دارمشتات در مجموعه‌مقالات PETS 2021 منتشر کردند، پروتکل اپل را با مهندسی معکوس بازسازی کرد. دستگاهی که آفلاین است سیگنالی BLE می‌فرستد، هر دستگاه اپلی در آن حوالی آن را می‌گیرد، موقعیت خود را به آن می‌افزاید و رمزگذاری‌شده به سرورهای اپل می‌فرستد، بی‌آنکه نه دارنده‌اش خبردار شود و نه دارنده دستگاهی که موقعیتش پیدا شده است.

پیامد، ساختاری است: دستگاهی بدون سیم‌کارت، بدون وای‌فای و بدون هیچ‌گونه اتصال شبکه، همچنان قابل ردیابی می‌ماند، به شرط آنکه ناشناسی با گوشی در جیب از کنارش بگذرد. انزوای شما دیگر به تنظیمات شما بستگی ندارد، بلکه به تنظیمات رهگذران وابسته است.

حسگرهای اینرسی: موقعیت‌یابی بدون مجوز موقعیت

گوشی شتاب‌سنج، ژیروسکوپ، مغناطیس‌سنج و اغلب فشارسنج دارد. این حسگرها در دسته‌ای از مجوزها جای می‌گیرند که از موقعیت جداست: یک برنامه می‌تواند آن‌ها را بخواند بی‌آنکه هرگز پرسیده باشد کجایید.

پژوهشگران پرینستون این را با PinMe نشان دادند. برنامه آن‌ها برای یک موقعیت خام از نشانی IP و منطقه زمانی آغاز می‌کند و سپس حسگرها را می‌خواند: شتاب‌سنج الگوی شتاب‌گیری و ترمز را می‌دهد، ژیروسکوپ ترتیب پیچ‌ها را، مغناطیس‌سنج جهت حرکت را و فشارسنج تغییرات ارتفاع را. یک شبکه عصبی شیوه جابه‌جایی را تشخیص می‌دهد، پیاده، خودرو، قطار یا هواپیما، و مسیر روی داده‌های عمومی نقشه، ارتفاع و هواشناسی منطبق می‌شود. نتیجه: مسیری با دقتی همسنگ GPS، بدون مجوز موقعیت. این روش محدودیت‌هایی دارد که نویسندگان ثبتشان کرده‌اند، چون در مناطق بدون جاده ناکام می‌ماند و در بافت‌های شطرنجی یکنواخت افت می‌کند، جایی که مسیرهای بسیاری امضای یکسانی می‌سازند. اما همچنان اثباتی است بر اینکه مجوز ردشده، درِ بسته نیست.

فشارسنج افزون بر این، بُعدی را فراهم می‌کند که GNSS در آن ضعیف است، یعنی بُعد عمودی. الزامات آمریکا برای تماس‌های اضطراری، دقت در حد طبقه با خطای مثبت و منفی ۳ متر را برای ۸۰ ٪ تماس‌های داخل ساختمان مقرر می‌کند. دانستن اینکه کسی در کدام طبقه است، از جنس دیگری است تا دانستن اینکه در کدام بلوک ساختمانی است.

بازار داده: پیش‌پاافتاده‌ترین مسیر

سازوکارهای پیشین توضیح می‌دهند موقعیت چگونه محاسبه می‌شود. می‌ماند اینکه به کجا می‌رود، و بخش عمده خطر روزمره درست همان‌جا رقم می‌خورد.

هزاران برنامه SDK‌های تبلیغاتی را در خود جای می‌دهند، یعنی قطعه‌های نرم‌افزاری از شرکت‌های ثالث که توسعه‌دهنده برای کسب درآمد از کارش یا سنجش مخاطبش به برنامه می‌افزاید. این قطعه‌ها مجوزهای برنامه میزبان را به ارث می‌برند: برنامه هواشناسی‌ای که به‌حق به موقعیت شما نیاز دارد، آن را به بازیگرانی می‌سپارد که هرگز نامشان را نخوانده‌اید. به این باید جریان‌های مزایده تبلیغاتی را افزود، جایی که با هر بار نمایش یک بنر، موقعیت تقریبی شما میان ده‌ها خریدار بالقوه پخش می‌شود، از جمله آنان که چیزی نمی‌خرند و تنها گوش می‌سپارند.

این ماده خام، صنعتی را تغذیه می‌کند. بنیاد مرزهای الکترونیک پرونده Fog Data Science را مستند کرد؛ شرکتی که مدعی میلیاردها نقطه‌داده درباره بیش از ۲۵۰ میلیون دستگاه بود و آن‌ها را به پلیس‌های محلی آمریکا می‌فروخت. برایان کربس Locate X را توصیف کرد، محصولی که اجازه می‌دهد روی نقشه چندضلعی‌ای بکشی و تاریخچه دستگاه‌هایی را ببینی که وارد آن محدوده شده و از آن خارج شده‌اند.

این مسیر به هیچ هنرنمایی فنی نیاز ندارد، تنها کافی است کسی حاضر به پرداخت باشد. بها هم اندک است.

دستگاه‌های شکار IMSI: موقعیت‌یابی فعال

سازوکارهایی که تا اینجا دیدیم از کارکرد عادی بهره می‌برند. موقعیت‌یابی فعالی هم هست که شخص ثالثی با مداخله در شبکه انجامش می‌دهد.

دستگاه شکار IMSI، یا شبیه‌ساز سلول، تجهیزاتی است که خود را به‌جای یک دکل قانونی جا می‌زند. گوشی‌های درون برد به آن متصل می‌شوند و بدین‌سان شناسه مشترک خود و حضورشان در محدوده‌ای تنگ را آشکار می‌کنند.

قرار بود ۵G با جایگزین‌کردن شناسه دائمی آشکار با شناسه‌ای رمزگذاری‌شده به نام SUCI این در را ببندد. این بستن ناقص است. پژوهش‌های ارائه‌شده با عنوان 5G SUCI-catchers: still catching them all? حمله‌های پیونددهی را مستند می‌کنند که با وجود رمزگذاری، امکان همبسته‌کردن دوباره نشست‌ها را می‌دهند. مهم‌تر آنکه اگر مهاجم دستگاه را وادار کند به نسلی پیشین، به‌ویژه ۲G که احراز هویتش یک‌طرفه است، سقوط کند، حفاظت به‌کلی فرو می‌ریزد. گوشی ۵G همچنان در برابر حمله‌ای که برای شبکه دهه ۱۹۹۰ طراحی شده آسیب‌پذیر می‌ماند، چون هنوز می‌پذیرد به آنجا فرود بیاید.

اقدام‌های متقابل و کارآمدی واقعی‌شان

هر یک از اقدام‌های زیر کاری انجام می‌دهد. هیچ‌کدام همه‌کار را نمی‌کند، و شکاف میان آنچه انجام می‌دهند و آنچه به آن‌ها نسبت داده می‌شود، تصمیم‌های نادرست را می‌سازد.

حالت پرواز

حالت پرواز ارسال مودم همراه، وای‌فای و بلوتوث را قطع می‌کند. این اثری واقعی است و بهترین نتیجه در برابر چنین تلاش ناچیزی.

آنچه انجام نمی‌دهد: حسگرهای اینرسی را متوقف نمی‌کند، موقعیت‌های ذخیره‌شده در حافظه نهان را پاک نمی‌کند، که با اتصال دوباره ارسال خواهند شد، و در بیشتر دستگاه‌ها اجازه می‌دهد وای‌فای یا بلوتوث را جداگانه دوباره روشن کنید بی‌آنکه از آن خارج شوید. سرانجام اینکه این یک وضعیت نرم‌افزاری است، نه قطع برق: اتکاپذیری‌اش به سلامت سیستمی بستگی دارد که آن را اعمال می‌کند.

جزئیاتی که دست‌کم گرفته می‌شود: جداشدن از شبکه و اتصال دوباره به آن، خودشان رویدادهایی با مهر زمانی نزد اپراتورند. گوشی‌ای که ساعت ۲۱ در یک سلول ناپدید می‌شود و ساعت ۲۳ در سلولی دیگر پدیدار، اطلاعات تولید کرده است، نه سکوت.

تصادفی‌سازی نشانی MAC

سامانه‌های همراه امروز هنگام پویش نشانی‌های MAC تصادفی می‌فرستند تا ردیابی از مکانی به مکان دیگر ناممکن شود. نیت خوب است و نتیجه ناقص. پژوهش‌های مرجع، از جمله Why MAC Address Randomization is not Enough، نشان می‌دهند محتوای فریم‌های کشف اغلب برای بازشناسی دستگاه کافی است: شمار عناصر اطلاعاتی، مقادیرشان و ترتیبشان یک اثر انگشت می‌سازد. به این باید شماره‌های ترتیبی را افزود که افزایشی و از این‌رو زنجیره‌پذیرند، و امضای زمانی ویژه هر مدل. برخی مطالعات از ردیابی درست نیمی از دستگاه‌ها دست‌کم به مدت بیست دقیقه خبر می‌دهند.

سرانجام یک محدودیت مفهومی: تصادفی‌سازی تنها به مرحله کشف مربوط است. همین که به شبکه‌ای وصل شوید، نشانی به‌کاررفته برای آن شبکه ثابت است، بنا بر طراحی، تا اتصال کار کند. کافه‌ای که هر روز صبح به آن می‌روید شما را می‌شناسد.

واقعاً خاموش‌کردن پویش‌ها

این پرصرفه‌ترین و نادیده‌گرفته‌شده‌ترین تنظیم است. در اندروید، جست‌وجوی وای‌فای و جست‌وجوی بلوتوث دو گزینه مجزا هستند، در دل سرویس‌های موقعیت‌یابی، و مستقل از کلیدهای پنل سریع. تا وقتی این‌ها فعال‌اند، خاموش‌کردن وای‌فای از پنل کافی نیست: پویش ادامه دارد.

غیرفعال‌کردنشان یک لایه کامل از جمع‌آوری را برمی‌دارد، بی‌هیچ هزینه‌ای جز اینکه نخستین محاسبه موقعیت اندکی کندتر می‌شود. برای بیشتر خوانندگان، این بهترین نسبت میان تلاش صرف‌شده و نتیجه به‌دست‌آمده است.

مجوزهای برنامه‌ها

پس‌گرفتن مجوز موقعیت از برنامه‌هایی که آشکارا به آن نیاز ندارند همچنان سودمند است، و سامانه‌های تازه سه درجه ارائه می‌کنند: اجازه یک‌بار مصرف، اجازه محدود به هنگام استفاده فعال، و موقعیت تقریبی که تنها محدوده‌ای در حدود یک کیلومتر را می‌فرستد.

در مقابل، این کار نه در برابر SDKهایی که درون برنامه‌ای با دلیل موجه برای دسترسی به موقعیت شما جا خوش کرده‌اند محافظت می‌کند، نه در برابر حسگرهای اینرسی، و نه در برابر لایه‌های شبکه که اصلاً از هیچ مجوزی نمی‌گذرند.

آنچه VPN از آن محافظت نمی‌کند

نکته‌ای که باید روشن شود، چون باور وارونه‌اش بسیار رایج است: VPN موقعیت شما را پنهان نمی‌کند. نشانی IP عمومی شما را پنهان می‌کند، پس موقعیت‌یابی بر پایه IP را مختل می‌کند، که به‌هرحال خام‌ترین سازوکار این فهرست است.

VPN نه به گیرنده GNSS دست می‌زند، نه به پویش وای‌فای، نه به بلوتوث و نه به حسگرها. چیزی از آنچه اپراتور شما می‌داند تغییر نمی‌دهد، چون تونل رمزگذاری‌شده از دکل‌های همو می‌گذرد و اتصال به سلول برایش دیدنی می‌ماند. جلوی برنامه‌ای را هم که مجوز موقعیت دارد نمی‌گیرد تا مختصات دقیق را درون تونل بفرستد. VPN محتوا و مقصد ارتباطات شما را روی شبکه‌ای نامطمئن حفظ می‌کند، و همین خود بسیار است. موقعیت در قلمرو آن نیست.

مرزهای فیزیکی

کیف فارادی به معنای واقعی کلمه کار می‌کند: ارسال و دریافت را سد می‌کند. برداشتن باتری هم، جایی که هنوز شدنی است. دستگاه اختصاصی، یا اینکه گوشی را جای دیگری بگذارید، همچنان استوارترین اقدام است.

این راه‌حل‌ها عیبی مشترک دارند که باید در چشمش نگاه کرد: ناهنجاری می‌سازند. گوشی‌ای که هر سه‌شنبه‌شب دو ساعت خاموشی می‌گیرد، چیزی می‌گوید. در برابر حریفی که به‌جای موقعیت‌های لحظه‌ای الگوها را تحلیل می‌کند، خودِ غیبت یک داده است.

سه حریف، سه راهبرد

این مهم‌ترین تمایز این نوشته است، و همان که کمتر از همه خوانده می‌شود.

در برابر یک آگهی‌دهنده یا دلال داده، این نبرد بردنی است. انضباط در مجوزها، خاموش‌کردن پویش‌ها، سیستمی بدون سرویس‌های موقعیت‌یابی انحصاری، بازنشانی شناسه تبلیغاتی: مجموع این‌ها حجم گردآوری‌شده را به‌شدت پایین می‌آورد. این حریف در پی حجم ارزان است، نه پرونده خاص شما.

در برابر اپراتورتان، هیچ پیکربندی‌ای بسنده نیست. موقعیت‌یابی سلولی شرط خود سرویس است. تنها متغیرهای واقعی حقوقی‌اند، یعنی آنچه قانون اجازه نگهداری و تحویلش را می‌دهد، و مادی: کدام دستگاه، کدام سیم‌کارت، به نام چه کسی، روشن در کجا.

در برابر حریف دولتیِ هدفمند، استدلال باز هم تغییر می‌کند، چون او دسترسی قانونی به داده‌های اپراتور، موقعیت‌یابی فعال با شبیه‌ساز سلول، درخواست از پلتفرم‌ها و در صورت لزوم نفوذ به خود دستگاه را با هم ترکیب می‌کند. اقدام‌های متقابل نرم‌افزاری سطح حمله را کوچک می‌کنند، اما هدف واقع‌بینانه ناپدیدشدن نیست: دانستن دقیق این است که چه چیزی همچنان در معرض می‌ماند.

رویکرد ArpokratOS

ArpokratOS به این چشم‌انداز با انتخابی پاسخ می‌دهد که از همان تمایز بالا برمی‌آید: آنچه باید خنثی شود، در سطح سیستم خنثی می‌شود، نه در یک منو.

درباره GNSS، درایور سخت‌افزار برداشته شده است. دستگاه چنان رفتار می‌کند که گویی آن تراشه اصلاً وجود ندارد، هم برای برنامه‌ها و هم برای خود سیستم. تفاوت با یک کلید در تنظیمات ظاهری نیست. کلید یک سیاست است: لایه‌ای آن را اعمال می‌کند که مؤلفه‌ای با دسترسی کافی می‌تواند دورش بزند، به‌روزرسانی می‌تواند دوباره فعالش کند، و سیستمی آلوده می‌تواند نادیده‌اش بگیرد. برداشتن مسیر کد، خودِ پرسش را حذف می‌کند، چون دیگر چیزی برای فعال‌کردن نمانده است.

بلوتوث با همین منطق در سطح Core مدیریت می‌شود. بلوتوثی که در تنظیمات خاموش شده، در عمل روی بسیاری از دستگاه‌ها پشته نرم‌افزاری را زنده نگه می‌دارد تا سرویس‌های مجاورت و شبکه‌های موقعیت‌یابی مشارکتی را تغذیه کند. وقتی در سطح سیستم غایب باشد، نه می‌تواند با بیکن فروشگاه گفت‌وگو کند، نه در شبکه‌ای از نوع Find My شرکت کند و نه سطح حمله‌ای بدون تعامل باشد.

باید روشن گفت این کار چه چیزی را انجام نمی‌دهد. ArpokratOS گوشی را غیرقابل‌شناسایی نمی‌کند. تا وقتی سیم‌کارتی فعال باشد، اپراتور سلول اتصال را می‌داند و هیچ سیستم‌عاملی این را تغییر نمی‌دهد، حتی با هدایت تمام ترافیک از راه Tor. مسیریابی از محتوا و مقصد محافظت می‌کند، نه از هندسه رادیویی. هرکس نامرئی‌شدن را وعده دهد، افسانه می‌فروشد.

آنچه چنین معماری‌ای به ارمغان می‌آورد فروتنانه‌تر است: حذف لایه‌های برنامه‌ای و مجاورتی، که بخش عمده گردآوری واقعی از آن‌ها می‌گذرد، و مدل تهدیدی صریح درباره آنچه باقی می‌ماند. همان استدلالی که در انتخاب یک سیستم رومیزی به کار بستیم و در مقایسه سیستم‌عامل‌ها شرح دادیم: پرسش سودمند این نیست که آیا ابزاری محافظت می‌کند، بلکه این است که از چه چیزی و به چه بهایی محافظت می‌کند.

نتیجه‌گیری

این نوشته روشی برای ناپدیدشدن ارائه نمی‌دهد. چنین روشی وجود ندارد، و متن‌هایی که خلافش را ادعا می‌کنند بیش از هر چیز اعتماد کاذب می‌سازند، که خطرناک‌تر از نبودِ حفاظت است، چون آدم را به خطرکردن وامی‌دارد.

هدف این بود که پرسشی دوگانه، یعنی «آیا مرا می‌توان یافت یا نه»، جای خود را به پرسشی سودمند بدهد: به‌دست چه کسی، با چه دقتی، به چه هزینه‌ای برای او، و آیا این برای من مهم است. پاسخ برای روزنامه‌نگاری که از یک منبع محافظت می‌کند، مدیری که در حوزه قضایی حساسی سفر می‌کند، وکیلی که قرارهایش راهبردی را لو می‌دهد، و فردی که تنها از دانستن عادت‌هایش به‌دست یک آگهی‌دهنده آزرده است، متفاوت است.

آنچه در واقع باید توجه را جلب کند، کارآمدی هریک از این سازوکارها به‌تنهایی نیست، بلکه این است که با هم هم‌پوشانی دارند. موقعیتی با خطای پنجاه متر چندان جالب نیست. اما موقعیتی با خطای پنجاه متر، هر ربع ساعت، به مدت دو سال، خانه‌ای را ترسیم می‌کند، محل کاری، یک باور دینی، یک وضعیت سلامت، یک رابطه، یک منبع خبری. داده موقعیت همان فراداده‌ای است که همه فراداده‌های دیگر را خواندنی می‌کند، و درست به همین دلیل گران است.

منابع

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense