איתור מיקום on Arpokrat

סיגנל‌טרייס: אירופה מייצאת את המעקב שאינה מתירה לעצמה

Tue, 01 Sep 2026 00:00:00 +0000

מכונית סדאן אפורה חולפת מתחת לגשר סימון בכביש מהיר במהירות 110 קמ״ש. המצלמה המקובעת לתורן קוראת את הלוחית, מחתימה אותה בזמן, שומרת אותה. אין בכך חידוש: המתקן הזה קיים כבר עשרים שנה, פרוס בעשרות אלפי עותקים בצפון אמריקה כמו באירופה.

אבל אם הגשר הזה קיבל את היחידה שקבוצת לאונרדו האיטלקית משווקת מיוני 2026, הוא הרגע רשם עוד משהו. את האייפון של הנהג. את האוזניות האלחוטיות של הנוסעת. את השעון החכם על לוח המחוונים. את מערכת השמע. את מחזיק המפתחות המחובר בתא הכפפות. את חיישני הלחץ של ארבעת הצמיגים. את תג הכניסה שנשאר בז׳קט. ואם כלב ישן מאחור, גם את שבב הזיהוי שלו.

תריסר מזהים, לוחית אחת, מיקום אחד, שעה אחת. חזרו על כך בכל גשר ברשת ואתם כבר לא עוקבים אחרי מכונית: אתם עוקבים אחרי אנשים, ואתם יודעים עם מי הם נעים.

מה המתקן עושה באמת

שם המוצר SignalTrace. הוא נמכר על ידי Leonardo US Cyber and Security Solutions ומשלים את סדרת ELSAG, אחד מקווי קוראי לוחיות הרישוי האוטומטיים הנפוצים ביותר בשוק האמריקאי. על קיומו נחשף ב-8 ביוני 2026 על ידי ג׳וזף קוקס ב404 Media, מתוך דף מוצר של היצרן.

הנקודה המכרעת נכנסת למשפט אחד: אין מדובר במצלמות חדשות. SignalTrace הוא חיישן רדיו שמתווסף לקוראי לוחיות שכבר מותקנים. התורן אינו משתנה, המיקום אינו משתנה, מתאר הציוד בצד הדרך אינו משתנה. מה שמשתנה הוא למה הציוד מאזין.

החיישן רושם את המזהים שמשודרים בגלוי על ידי פרוטוקולי הבלוטות׳, ה-Wi-Fi וה-RFID של המכשירים שברכב. נקודה טכנית שלרוב מובנת לא נכון: אף מכשיר אינו נפרץ ואף חולשה אינה מנוצלת. מכשיר בלוטות׳ או Wi-Fi משדר ברציפות מסגרות גילוי, משום שכך תוכננו הפרוטוקולים. האוזניות שלכם מכריזות על נוכחותן כדי שהטלפון ימצא אותן, והטלפון עצמו תוהה אל האוויר שסביבו בחיפוש אחר הרשתות שהוא מכיר. שידורים אלה פומביים מעצם בנייתם, וכל מקלט בטווח שומע אותם.

לאונרדו אף מציינת שהמערכת פועלת עם קורא לוחיות או בלעדיו, לרבות בתוך מבנים, ומזהה רכב שלוחיתו הוסתרה או הוסרה.

השדרוג של ציוד קיים הוא הסוגיה הפוליטית האמיתית. התקנת רשת מצלמות חדשה מחייבת הצבעה, דיון, לעתים התדיינות משפטית. הוספת כרטיס אלקטרוני לתוך מארז שכבר אושר אינה מחייבת דבר. יכולת המעקב משנה את טיבה בלי דיון ציבורי, משום שמבחינה חומרית אין שום דבר חדש לראות.

מהרכב אל האדם, ומהאדם אל הקבוצה

קורא לוחיות עונה על שאלה אחת: היכן היה הרכב הזה. SignalTrace מוסיף שתיים: מי היה בו, ועם מי.

לאונרדו אינה מסתירה זאת, זו טענת המכירה. המערכת יוצרת את מה שהתיעוד מכנה טביעת אצבע אלקטרונית, אוסף של מזהים ש״משודרים לעתים קרובות יחד״. הדוגמה של היצרן מפורשת: בעיר שלמה, רק רכב אחד יצרף אייפון 13rev2, מערכת שמע של אאודי, אוזניות Bose, שעון Garmin, איתרן מפתחות והלוחית ABC-1234.

המוצר אינו מסתפק במעקב אחרי כלי רכב. הוא מייצר אוטומטית גרף של קשרים בין אנשים, בלי שאיש נדרש לנסח ולו את החשד הקל ביותר.

כאן מתרחשת הקפיצה האיכותית. באמצעות מתאם בין מכשירים שנוסעים יחד באופן סדיר, המערכת בונה מכנית גרף חברתי. שני טלפונים שנפגשים כל בוקר באותה מכונית הם נסיעה משותפת, או קשר ששני הצדדים אינם מעוניינים לפרסם. חמישים מכשירים שנקלטים באותו מקום ובאותה שעה הם התכנסות: הפגנה, תפילה, ישיבת ועד עובדים או תור לפני מרפאה.

אף אחת מהמסקנות הללו אינה דורשת גישה לתוכן של תקשורת. היא נגזרת מטבלת קרבה, כברירת מחדל, על כלל האוכלוסייה הנעה ולא על יעדים שהוגדרו. זו אשמה מכוח היכרות, המיוצרת בקנה מידה תעשייתי, לפני כל חקירה. טום באומן, משפטן בCenter for Democracy & Technology, מסכם את הבעיה בעמודי TechNewsWorld: מה שהופך את הכלי למועיל למעקב אחרי חשוד אמיתי הופך אותו מסוגל באותה מידה לעקוב אחרי כל שאר הנהגים, שאיש מהם לא הסכים לכך שמכשיריו יירשמו.

לאונרדו משיבה בשתי טענות: המערכת אינה מפענחת ואינה קוראת את תוכן התקשורת, והיא אינה מזהה אנשים מעצמה. שתי הקביעות מדויקות, ושתיהן חורגות מהעניין. המידע המבוקש מעולם לא היה התוכן, הוא נמצא במטא-נתון המיקום, החושפני יותר ממסר. באשר לזיהוי, היצרן עצמו מודה שחוקר יכול לקשור חתימה אלקטרונית ללוחית, ומשם להגיע לבעלים דרך מרשמי הרישוי.

דין אמריקאי שנכתב לדבר אחר

בארצות הברית קיימים חוקי מדינה המסדירים את קוראי הלוחיות, וחלקם תובעניים באשר לתקופות שמירה ולמטרות גישה. אבל כולם נוסחו סביב מושא מוגדר אחד: תמונת לוחית הרישוי. אף אחד מהם אינו צופה קליטה של מזהי מכשירים אישיים על ידי אותו ציוד עצמו.

הפער הזה אינו יוצר אי-חוקיות אלא אזור אפור, נוח יותר למוכר. משטרה יכולה לטעון, בלי לשקר, שתוכנית קוראי הלוחיות שלה מאושרת ותקינה, בעודה אוספת מעתה תחת אותו משטר נתונים בעלי טיב שונה לחלוטין. לאונרדו גם מחזיקה בחוזים פדרליים, מול פיקוד המבצעים המיוחדים ומול מינהל השירותים הכלליים, כלומר נתיב רכש העוקף במידה רבה את האישורים המקומיים.

הדיון החוקתי, מצדו, זז זה עתה, ויש להקפיד כאן על דיוק משום שמצב הדין השתנה בקיץ הזה. בינואר 2026 קבע בית משפט פדרלי בווירג׳יניה, בעניין Schmidt v. City of Norfolk, שרשת מצלמות Flock של העיר אינה מהווה חיפוש במובן התיקון הרביעי, משום שאינה מכסה את מלוא תנועותיהם של התושבים. ההחלטה נמצאת בערעור בפני המחוז הרביעי, שם התייצב הACLU.

לאחר מכן, ב-29 ביוני 2026, נתן בית המשפט העליון את פסק הדין Chatrie v. United States. ברוב של חמישה מול ארבעה, מפי השופטת קייגן, נקבע שהשגת נתוני המיקום של טלפון בידי המשטרה מהווה חיפוש, שכן אדם שומר על ציפייה סבירה לפרטיות בנתונים אלה גם כשהם מוחזקים בידי צד שלישי וגם לתקופה קצרה. פסק הדין ממשיך את Carpenter v. United States משנת 2018 ומחליש את דוקטרינת הצד השלישי, כפי שציין הCDT.

היקפו המדויק של Chatrie לגבי SignalTrace לא הוכרע, ויהיה זה פזיז לטעון אחרת: פסק הדין עוסק בנתונים שנדרשו מגוגל, לא בקליטה ישירה של חיישן משטרתי במרחב הציבורי. אבל הוא מבסס את ההיגיון שחשוב, דהיינו שרגישותו של נתון מיקום אינה תלויה במי שמחזיק בו.

השאלה האירופית, שהיא השאלה האמיתית

כאן התיק נעשה לא נוח לאירופה. לאונרדו אינה ספקית אמריקאית אלא קבוצה איטלקית הנסחרת במילאנו, שבעלת המניות הראשונה בה היא משרד הכלכלה והאוצר האיטלקי, בשיעור של כ-30 % מההון, ובידה הכוח למנות את רוב הדירקטוריון. המדינה האיטלקית אינה בעלת מניות פסיבית במוצר הזה.

ראשית הנקודה הטכנית

בדין האירופי, מזהה של מכשיר הוא נתון אישי. אין זו דעה תיאורטית אלא עמדתן העקבית של הרשויות. ה-CNIL מתייחסת במפורש לכתובת ה-MAC ככזו בהנחיותיה בנוגע למערכות מדידת תנועת קהל, ומתירה את איסופן במרחב הציבורי רק בתנאים צרים: אנונימיזציה בתוך דקות ספורות עם שיעור התנגשות גבוה בין פרטים, או פסאודונימיזציה אמינה ולאחריה השמדה בתוך עשרים וארבע שעות, שאחרת ההסכמה נעשית חובה. אותן הנחיות מבהירות שהזמנת אנשים לכבות את ה-Wi-Fi אינה דרך התנגדות קבילה.

בית הדין של האיחוד האירופי הבהיר ב-4 בספטמבר 2025, בעניין EDPS נגד SRB (C-413/23 P), שאופיו האישי של נתון מפוסאודן נבחן לאור אמצעי הזיהוי מחדש שניתן לגייס באופן סביר. והנה כאן המחזיק הוא רשות משטרתית, שבידיה מרשמי הרישוי. אמצעי הזיהוי מחדש אינם היפותטיים, הם בחדר הסמוך.

הניואנס שמשנה הכול

יהיה זה שגוי לכתוב ש-SignalTrace ״יהיה בלתי חוקי באירופה״, וקורא משפטן יבחין בכך מיד. עיבוד המתבצע בידי רשות מוסמכת לצורכי מניעה ואכיפה פלילית אינו כפוף ל-GDPR. הוא כפוף להנחיה (האיחוד האירופי) 2016/680, הקרויה הנחיית המשטרה והמשפט, שכל מדינה חברה מיישמת בנפרד, ובצרפת בפרק השלישי של חוק המידע והחירויות. ה-CNIL מזכירה שמשטר זה עצמאי, עם בסיסי חוקיות משלו וזכויות משלו.

השאלה הנכונה אינה אפוא שאלת החוקיות המופשטת, אלא שאלת התנאים. תחת משטר זה, מתקן כזה יחייב בסיס חוקי לאומי מפורש, מטרות מוגדרות, נחיצות מוכחת, תקופת שמירה תחומה, הערכת השפעה ופיקוח עצמאי. בצרפת, קוראי הלוחיות מוסדרים כך: סעיפים L233-1 ו-L233-1-1 לחוק הביטחון הפנים קובעים רשימה סגורה של עבירות המקנות זכות לשימוש בהם, ותקופת השמירה נותרת מהקצרות באיחוד, חמישה עשר יום ככלל, גם אם הצעת חוק של הסנאט מבקשת להאריכה.

זהו ההבדל המהותי מן המצב האמריקאי. בארצות הברית החוק מסדיר מושא, הלוחית, והשתיקה באשר למזהי מכשירים כמוה כהיתר. באירופה החוק מסדיר מטרות וקטגוריות של נתונים, ושתיקה זו כמוה דווקא כאיסור, בהיעדר בסיס חוקי מפורש. החלל שנצפה מעבר לאוקיינוס אינו קיים כאן באותה צורה. לא משום שאירופה מוסרית יותר: הטכניקה המשפטית שלה הפוכה.

ומה שווה אז ההגנה

נותרת השאלה שבגללה נכתב מאמר זה. מה שווה הגנה רגולטורית אירופית כאשר חברה אירופית, הנשלטת בידי מדינה חברה, מוכרת מחוץ לאירופה יכולת שלא הייתה יכולה לפרוס אצלה בלי חוק חדש?

ההשגות ראויות להתייחסות רצינית. יצרן אינו אחראי למסגרת החוקית של לקוחו: על הרשויות האמריקאיות להחליט מה מותר אצלן. המוצר אינו נמכר לדיקטטורה אלא למדינת חוק בעלת בית משפט עליון פעיל, כפי ש-Chatrie הזכיר זה עתה. וטענת הריבונות התעשייתית לגיטימית: אם הקבוצות האירופיות יאסרו על עצמן את השווקים האלה, ייטלו אותם ספקים ישראלים, אמריקאים או סינים, בלי שהמעקב ייסוג ולו מטר אחד, ואירופה תאבד את בסיסה הטכנולוגי.

טענות אלה קבילות. הן אינן משיבות על הבעיה.

ראשית, משום שהאיחוד כבר הכיר בכך שייצוא אמצעי מעקב אינו מסחר ככל מסחר. תקנה (האיחוד האירופי) 2021/821 בדבר פריטים דו-שימושיים הכניסה בסעיף 5 שלה סעיף-סל המכוון לפריטי מעקב סייבר, משום שהמחוקק הודה שכלי שחוקי לייצור עשוי להיות בלתי לגיטימי ביעדו. מגבלתו מאלפת: הוא מופעל בסיכון של דיכוי פנימי או הפרות חמורות של זכויות אדם, קטגוריות שנוסחו עבור משטרים סמכותניים. מכירה למשטרה עירונית אמריקאית אינה נכנסת בהן. הסרגל האירופי בוחן את מוסריות הלקוח, ולעולם לא את טיבה של היכולת הנמכרת.

שנית, משום שמוצר כזה אינו מלאי שמחסלים, אלא יכולת שמתחזקים: היא מממנת מחקר, מכשירה מהנדסים, צוברת ידע-כיצד ויוצרת בסיס מותקן. ביום שבו פיגוע גדול ידחוף מדינה חברה לדרוש את היכולת הזו, הדיון כבר לא יעסוק בשאלה אם ראוי לבנותה. היא תתקיים, היא תהיה אירופית, היא תהיה בשלה, וספקה יהיה ציבורי בחלקו. הטענה ״אנחנו רק הולכים אחרי השוק״ נעשית אז מעגלית, שכן השוק המקומי הוכשר בידי הייצוא.

זה מה ששווה הגנה רגולטורית בתרחיש הזה: היא מגינה על האירופים מפני השימושים, לא מפני עצם קיומם של האמצעים. היא מסדירה את השאלה מי רשאי ללחוץ על הכפתור, ומשאירה לתעשייה לבנות אותו, למכור אותו, לשפר אותו, ואז להמתין.

מה אפשר לעשות, בלי לספר לעצמנו סיפורים

התשובה הראשונה שעולה תמיד היא אקראיות כתובת ה-MAC. היא ראויה לבחינה כנה, לא קידום ולא זלזול. היא אמיתית והיא עובדת.

אנדרואיד מגרסה 10 ו-iOS מגרסה 14 מבצעים כברירת מחדל אקראיות של כתובת ה-MAC המשמשת ב-Wi-Fi, עם כתובת נפרדת לכל רשת. ב-Bluetooth Low Energy מכשירים מודרניים משדרים כתובות פרטיות הניתנות לפענוח, המשתנות מעת לעת וניתנות לקישור למכשיר האמיתי רק בידי צד המחזיק במפתח הפענוח.

מגבלותיה אמיתיות באותה מידה.

הצימוד פותח את הדלת מחדש. מפתח הפענוח מועבר בעת הצימוד. מכשיר שכבר צומד, או שאושר במפורש, מוצא מחדש את הזהות היציבה שמאחורי הכתובת המתחלפת. המנגנון תוכנן בדיוק לשם כך.
הרבה חפצים אינם מבצעים אקראיות כלל. חיישני לחץ אוויר בצמיגים, תגי RFID, שבבי זיהוי לבעלי חיים, מערכות שמע לרכב ואביזרים זולים משדרים מזהים קבועים. דף המוצר של לאונרדו מזכיר בדיוק את הקטגוריות האלה, וזה אינו מקרי.
את האקראיות אפשר לכבות. היא מנוטרלת רשת אחר רשת, ולעתים קרובות היא כבויה מטעמי נוחות, לצורך סינון MAC בנתב ביתי או מכוח מדיניות ארגונית.
הקבוצה שורדת את חילופי המזהים. זו הנקודה הפחות אינטואיטיבית והחשובה ביותר. SignalTrace אינו מחפש מזהה, הוא מחפש אוסף של מכשירים הנוסעים יחד. אם חבר אחד בקבוצה משדר מזהה יציב, האוסף כולו נותר בר-שיוך, יהיה אשר יהיה המשמעת של האחרים.

האמצעי היעיל ביותר נותר המשעמם ביותר: לא לשדר. משמעות הדבר היא לכבות בלוטות׳ ו-Wi-Fi ברמת המערכת, בהגדרות, ולא מלוח הקיצורים. ההבחנה אינה קוסמטית, פירטנו אותה במאמרנו על האיכון המתמיד של הטלפון: ברוב מערכות הצריכה, הכפתור בלוח המהיר מנתק את הצימוד הנראה אך משאיר את מחסנית התוכנה חיה, וניתוחי הקרבה נמשכים. אותו מאמר תיאר את סריקת הבלוטות׳ כווקטור תיאורטי. SignalTrace הוא המוצר המסחרי שלה, מקוטלג וניתן לאספקה.

יש להישאר כנים לגבי התוצאה: אמצעים אלה מצמצמים את משטח החשיפה, אינם מבטלים אותו. רכב נותר לוחית, ולוחית נותרת קריאה. הדרך היחידה לא לשדר דבר היא לא לשאת דבר, וזו אינה מדיניות ציבורית.

מה זה אומר על בחירות התכן שלנו

ב-Arpokrat, ההיגיון הזה בדיוק הוא שהוביל אותנו לטפל בבלוטות׳ ברמת ה-Core של ArpokratOS ולא ברמת ההגדרות. מתג בממשק הוא העדפת משתמש: עדכון, יישום מערכת או שירות מיקום יכולים לעקוף אותו או להפעילו מחדש, בלי שהמשתמש יידע. מחסנית שאיננה אינה מופעלת מחדש.

מול קליטה כמו זו של SignalTrace, ברור שאין בכך כדי להפוך מכשיר לבלתי ניתן לגילוי, ואיננו טוענים זאת: טלפון נותר ברשת סלולרית, והחפצים האחרים ברכב משדרים על חשבון עצמם. מה שזה מבטיח הוא שווקטור שידור מסוים נעדר מעצם הבנייה במקום להיות מכובה מכוח אמון. זו התזה שהצגנו בעניין ה-5G וטעות המיקוד של הדין: ההגנה המשפטית מתרכזת בגישה לנתונים בעוד שהיא צריכה לעסוק בעצם קיומה של התשתית המייצרת אותם. SignalTrace הוא ההמחשה לכך, אלא שהתשתית הזו נבנית באירופה.

סיכום

הדבר המדהים ביותר בתיק הזה אינו היכולת הטכנית, שחוקרים מתארים כבר שנים. זו שיטת הפריסה.

לא תהיה רשת מצלמות חדשה לחנוך, לא תהיה החלטה עירונית לתקוף, לא יהיה מכרז ציבורי שניתן לזהותו כשינוי מהותי. יהיו יחידות שיתווספו לתרנים קיימים, תחת חוזים קיימים, בתוכניות שכבר אושרו. ביום שבו הדיון הציבורי ייפתח, התשתית תהיה מותקנת, מופחתת ומשולבת בהליכי החקירה. הדיון יעסוק אז בתנאי הגישה למאגר שכבר קיים, ולעולם לא בשאלה אם היה ראוי להקימו.

זהו הסדר הרגיל של הדברים בענייני מעקב, והוא אינו מקרי. נותר לדעת אם אירופה סבורה שיש לה מה לומר כאשר התעשיינים שלה עצמה, בגיבוי מדינותיה שלה, בונים את התשתית הזו עבור אחרים. הדין האירופי ארגן בקפידה את התשובה לשאלה מי רשאי לעיין בנתונים האלה אצלנו. הוא מעולם לא שאל מי רשאי לייצר את המכונה.

5G, נתוני מיקום והמטרה השגויה של המשפט

Tue, 18 Aug 2026 00:00:00 +0000

בשנת 2011 ביקשה משטרת דטרויט מחברת סלולר את היסטוריית ההתחברות של הטלפון של טימותי קרפנטר לאנטנות. היא קיבלה 12,898 נקודות מיקום שנפרסו על פני 127 ימים, כמאה ליום. שבע שנים לאחר מכן קבע בית המשפט העליון של ארצות הברית שבקשה כזו מהווה חיפוש ומחייבת צו.

אותן 12,898 נקודות הגיעו מאנטנות של הדור הרביעי, שכל אחת מהן כיסתה רדיוס של כמה קילומטרים. אותה בקשה עצמה, אילו הופנתה היום לרשת 5G עירונית, לא הייתה מחזירה מאה נקודות ביום בדיוק של כמה קילומטרים. היא הייתה מחזירה נפח גדול בהרבה, בדיוק של כמה עשרות מטרים.

הטכנולוגיה החליפה סדר גודל. החשיבה המשפטית נותרה באותה נקודה בשרשרת.

אינטרס מוגן ששופטים משני עברי האוקיינוס מכירים בו

יש אינטרס שכמעט כולם מודים בקיומו וכמעט שום הוראה אינה מגנה עליו ביעילות: הזכות להימצא במקום כלשהו בלי שהעובדה הזו תתועד.

הפסיקה האירופית קבעה זאת באופן חד־משמעי. בפרשת Digital Rights Ireland (תיקים מאוחדים C-293/12 ו-C-594/12, 8 באפריל 2014), ולאחר מכן בפרשת Tele2 Sverige ו-Watson (תיקים מאוחדים C-203/15 ו-C-698/15, המותב המורחב, 21 בדצמבר 2016), קבע בית הדין של האיחוד האירופי שנתונים אלה, בהצטברותם, מאפשרים להסיק מסקנות מדויקות מאוד על חייהם הפרטיים של אנשים: הרגלי היום־יום, מקומות שהייה, תנועות, פעילויות ויחסים חברתיים.

בית המשפט העליון של ארצות הברית הגיע למסקנה קרובה בפרשת Carpenter v. United States, 585 U.S. 296 (2018). הוא הדגיש נקודה שהספרות האמריקאית דנה בה רבות: האופי הבלתי נמנע והאוטומטי של האיסוף. איש אינו מסכים להיות מחובר לאנטנה; הוא מחובר משום שיש בידיו טלפון דלוק.

האינטרס המוגן קיים אפוא, ושני בתי המשפט שיש להם משקל בתחום מכירים בו. הבעיה נמצאת במקום אחר.

מה ה-5G באמת שינה

בלבול נפוץ הוא לראות במיקום נתון שהטלפון משדר, בדיוק כמו הודעה או תמונה. זה אינו המצב. המיקום הוא תוצאה פיזיקלית של אופן פעולת הרשת. המפעילה יודעת לאיזו אנטנה המכשיר מחובר משום שהיא חייבת לדעת זאת כדי לנתב שיחה. אין שום מפתח שבאמצעותו אפשר להצפין את המידע הזה, שכן אין מדובר בתוכן אלא בתכונה של החיבור עצמו.

זה בדיוק מה שהופך את ה-5G למשמעותי במישור המשפטי ולא במישור הטכני.

הארכיטקטורות הקודמות נשענו על תאים רחבים. אנטנת 4G משרתת בדרך כלל רדיוס של כמה קילומטרים, והמיקום שנגזר מעצם ההתחברות נמדד במאות מטרים בעיר, ולעתים בעשרות קילומטרים באזור כפרי. ה-5G נשען על ציפוף מסיבי: תאים עירוניים מכסים בדרך כלל כמה מאות מטרים, וספרות ההנדסה מדברת על צפיפות של ארבעים עד חמישים תחנות בסיס לקילומטר רבוע, לעומת ארבע או חמש בימי ה-3G.

התוצאה מכנית. על פי הנייר הלבן של אריקסון על מיקום ב-5G, התשתית שנפרסה לצורכי קישוריות בלבד מגיעה לדיוק של עשרים עד חמישים מטרים בחוץ ושל מטר עד שלושה מטרים בפנים, ויורדת אל מתחת למטר בתנאים עירוניים נוחים. אין זו פונקציית מיקום שהופעלה אי־שם, אלא מה שהרשת יודעת מעצם מבנֶהָ, בלי שהותקנה אפליקציה ובלי שניתנה הרשאה. פירטנו את כל המנגנונים הללו, וגם את אמצעי הנגד שבאמת עובדים, במאמרנו על איתור המיקום המתמיד של הטלפון.

הפגיעה גדלה אפוא בכמה סדרי גודל. המסגרת המשפטית החלה נותרה זו שנועדה ל-2G ול-3G. שום התאמה נורמטיבית לא ליוותה את שינוי סדר הגודל.

המשפט מגן על הגישה, לא על ההיווצרות

המשפט האירופי מסדיר בקפידה מי רשאי לגשת לנתוני מיקום, באילו תנאים ותחת איזו בקרה. הוראה 2002/58/EC קובעת את עקרון חיסיון התקשורת, ובית הדין קבע בפרשת La Quadrature du Net (תיקים מאוחדים C-511/18, C-512/18 ו-C-520/18, המותב המורחב, 6 באוקטובר 2020) שסעיף 15(1) להוראה זו, בקריאה לאור סעיפים 7, 8, 11 ו-52(1) לאמנה, מונע שמירה כללית ובלתי מבחינה של נתוני תעבורה ומיקום כאמצעי מניעה. עם זאת בית הדין התיר חריגים מתוחמים כאשר מדינה חברה ניצבת מול איום חמור על הביטחון הלאומי המתברר כממשי ועכשווי או צפוי, בכפוף לביקורת אפקטיבית.

אלה הגנות אמיתיות, ויהיה זה מגוחך להמעיט בהן. אך כולן מתערבות בדיעבד. הן מניחות שהנתון קיים, שהוא נשמר, ורק אז מסדירות את תנאי השימוש בו.

אלא שאם המיקום הוא תוצר לוואי בלתי נמנע של פעולת הרשת, נקודת ההתערבות הנכונה אינה החיסיון. היא ההתמדה בזמן.

מיקום רגעי, הדרוש לניתוב תקשורת ונמחק מיד לאחר מכן, אינו כלי מעקב. היסטוריית מיקומים הנשמרת חודשים היא כלי כזה, יהיו אשר יהיו ערובות הגישה העוטפות אותה.

ההבדל בין השניים אינו משפטי אלא ארכיטקטוני. ולוח הזמנים האירופי הופך את השאלה לדחופה ולא לתיאורטית. הנציבות משכה את הצעת תקנת ה-ePrivacy ב-2025, בהיעדר הסכמה בין המחוקקים השותפים. מאז היא עובדת על מכשיר נפרד בעניין שמירת נתונים לצרכים פליליים, שהוכרז לשנת 2026 ונועד להאחיד משטרים לאומיים שהתפצלו מאז ביטול ההוראה משנת 2006. במילים אחרות, הטקסט שיקבע לעשור את משטר מטא־נתוני המיקום נכתב ברגע זה, על יסוד חשיבה שגובשה בעידן התאים הקילומטריים.

התקדים שה-5G יצר בעצמו

ההיבט המעניין ביותר בתיק הוא שהתשובה הנכונה כבר מופיעה בתקן הטכני, אלא שהיא מיושמת על אובייקט אחר.

עד ה-4G, המזהה הקבוע של המנוי, ה-IMSI, עבר בגלוי בממשק הרדיו בעת ההתחברות. זה מה שאפשר את לוכדי ה-IMSI, אותן תחנות בסיס מזויפות אשר, לפי התיאור המקובל של קרן החזית האלקטרונית, משדרות חזק יותר מהאנטנות הלגיטימיות כדי למשוך מכשירים וללכוד את המזהה שלהם.

החל מ-Release 15 של מפרטי 3GPP, שפורסם ב-2019, ה-5G מציע תשובה אלגנטית. המזהה הקבוע, הקרוי כיום SUPI, ניתן להחלפה בממשק הרדיו ב-SUCI, מזהה מוסתר המתקבל מהצפנת החלק הייחודי למנוי באמצעות קריפטוגרפיה של עקומים אליפטיים, עם המפתח הציבורי של המפעילה הביתית. רק הרשת הביתית, המחזיקה במפתח הפרטי המתאים, יכולה לפענח אותו. התוצאה ייחודית בכל חישוב, מה שמונע קישור בין מושב אחד למשנהו.

ההיגיון שנבחר ראוי להדגשה, משום שהוא בדיוק ההיגיון שאמור להנחות את המחוקק: לא מצפינים את המיקום, דבר שאינו אפשרי טכנית, אלא מצפינים את הזהות. למיקום שאין לשייך לו זהות יש ערך מוגבל מאוד לצורכי מעקב פרטני.

הכשל: הגנה שהיא רשות

ואולם יש הסתייגות כבדת משקל, ולדעתנו זו נקודת ההתערבות המעשית ביותר בכל התיק.

הנייר הלבן NIST CSWP 36A, שפורסם במרץ 2026 בידי המכון הלאומי לתקנים וטכנולוגיה, אומר זאת בלי כחל ושרק. מכשירים ופונקציות רשת התואמים ל-Release 15 ואילך חייבים לתמוך ב-SUCI, אך הפעלתו נותרת רשות בידי המפעילה. שלושה תנאים חייבים להתקיים יחד: יצרן הציוד חייב לתמוך, המפעילה חייבת להפעיל זאת ברשת שלה, וכרטיס ה-SIM חייב לשאת את הרכיבים הדרושים לחישוב.

לכך מתווספת מלכודת תצורה. התקן קובע סכמת הגנה אפסית, שבה משתמשים בפורמט SUCI באופן פורמלי אך ללא הצפנה של ממש, כך שהמזהה עובר בגלוי. NIST כותב שעל המפעילה להגדיר את רשתה בסכמת הגנה שאינה אפסית, ומזכיר שדוח של CSRIC, הגוף המייעץ של רשות התקשורת הפדרלית, המליץ כבר ב-2021 לייחד את הסכמה האפסית אך ורק לשיחות חירום ממכשיר שאינו מוכר לרשת.

ראוי להשאיר את הניסוח כפי שהוא. ההגנה הזמינה הטובה ביותר מפני מעקב אחר מכשירים ניידים קיימת בתקן הטכני מאז 2019. היא נשענת על בחירת תצורה שנתונה לשיקול דעתה של המפעילה. סוכנות פדרלית אמריקאית מוצאת לנכון לפרסם מסמך ב-2026 כדי להזכיר שכדאי להפעיל אותה. ושום מכשיר משפטי אירופי אינו מחייב זאת.

יש להוסיף שה-SUCI אינו סוגר את הנושא. העבודות שהוצגו תחת הכותרת 5G SUCI-catchers: still catching them all? מתעדות התקפות קישוריות המאפשרות לקשר מחדש מושבים חרף ההצפנה, וההגנה קורסת כליל אם התוקף מאלץ את המכשיר לרדת לדור קודם. חובה משפטית לא תפתור אפוא הכול. עם זאת היא תבטל פער שאין לו הצדקה שניתן להגן עליה: הפער בין מה שהתקן מתיר לבין מה שרשתות מסחריות עושות בפועל.

שלוש התערבויות עקיבות

אם לוקחים ברצינות את הרעיון שיש למזער את המיקום כבר בתכנון ולא להגן עליו בדיעבד, מתבקשות שלוש פעולות.

להפוך את ההסתרה האפקטיבית של המזהה לחובה. לחייב הפעלת SUCI ולאסור סכמות הגנה אפסיות ברשתות מסחריות, למעט המקרה השיורי של שיחות חירום. אין מדובר בהכתבת טכנולוגיה חדשה או במימון פריסה, אלא בדרישה להפעיל פונקציה שתוקננה לפני שבע שנים וכבר קיימת בציוד.
להתייחס לשמירה כאל חריג ולא כאל ברירת מחדל. המיקום הדרוש לניתוב תקשורת אמור להימחק ברגע שתפקיד זה הושלם. יצירת היסטוריה אמורה לחייב הצדקה ייחודית. זה ההבדל בין רשת שיודעת היכן אתם לבין רשת שזוכרת היכן הייתם.
להפוך את החזקת המפתח לזיקה המשפטית הרלוונטית. מיקום השרתים בתוך האיחוד אינו אומר הרבה אם המפתחות ההופכים את הנתונים לקריאים מצויים במקום אחר. הקריטריון בעל המשמעות המשפטית אמור להיות שליטה אפקטיבית באמצעי הפענוח, שאלה שבחנו בפירוט בהקשר ההתנגשות בין ה-Data Act ל-CLOUD Act.

הזווית שבה Arpokrat נוקטת

חשיבה זו אינה ייחודית לדיני התקשורת. זו החשיבה שאנו מיישמים על בחירות הארכיטקטורה שלנו, והיא נכנסת למשפט אחד: מה שלא נוצר אינו זקוק להגנה.

מסיבה זו ArpokratOS מסירה את ה-GPS, ה-Bluetooth וה-NFC ברמת הליבה במקום לכבות אותם בתפריט. מתג הוא מדיניות: רכיב בעל הרשאות יכול לעקוף אותו, עדכון יכול להדליק אותו מחדש, מערכת שנפרצה יכולה להתעלם ממנו. הסרת נתיב הקוד מבטלת את השאלה. זו ההעתקה, בקנה מידה של מכשיר בודד, של אותה תזוזה שאנו קוראים לה בקנה מידה של המשפט: להתערב בהיווצרות ולא בגישה.

יש לומר מיד גם מה זה אינו עושה. שום מערכת הפעלה אינה מוציאה מכשיר מגאומטריית הרשת. כל עוד כרטיס SIM פעיל, המפעילה יודעת באיזה תא המכשיר מחובר, וניתוב כל התעבורה דרך Tor אינו משנה זאת, שכן הוא מגן על התוכן ועל היעד ולא על שכבת הרדיו. בדיוק משום כך הנושא הוא נושא משפטי. יש קטגוריה של סיכונים ששום תצורה אישית אינה מצמצמת, ושהמשתנה היחיד הזמין לגביה הוא הכלל החל על המפעילה.

אותה דאגה מנחה את שאר עבודתנו. נתון שאינו קיים אינו יכול להיתפס, להימכר, לדלוף, או להיות מפוענח בעוד עשר שנים במכונה שאיש אינו מחזיק בה היום, שאלה שטיפלנו בה מזווית ההצפנה הנקצרת עכשיו ונשברת מאוחר יותר.

סיכום

הדיון הציבורי במעקב הסלולרי מתרכז כמעט אך ורק בגישה: מי רשאי לעיין בנתונים, על סמך מה, באיזה היתר. דיון זה לגיטימי, ולפסיקות בית הדין מאז 2014 היו השפעות מוחשיות. אבל הוא מתערב מאוחר מדי בשרשרת.

השאלה הקודמת לו, והמכרעת יותר, היא אם ההיסטוריה צריכה בכלל להתקיים. מאגר שנבנה היום מטעם לגיטימי נשאר זמין מחר לטעם אחר, והערובות העוטפות אותו תלויות בהחלטות פוליטיות עתידיות שאיש אינו שולט בהן ברגע האיסוף. זהו הימור על יציבות המוסדות, שנעשה לתקופה שאיש אינו קוצב.

ה-5G הכפיל פי כמה את הרזולוציה של המידע הזה בלי ששום התאמה נורמטיבית התרחשה. במקביל הוא הוכיח, באמצעות מנגנון ה-SUCI, שהדרך המעשית היא לנתק את המיקום מן הזהות ולא לנסות להצפין תכונה פיזיקלית של הרשת. התקן הטכני סיפק את התשובה שבע שנים לפני שהמשפט שאל את השאלה.

הטקסט האירופי על שמירת נתונים נכתב עכשיו. הוא יעסוק במטא־נתונים, כלומר במיקום, כלומר במה שה-5G מייצר כיום ברזולוציה שמנסחיו לא הכירו. אם יסתפק בהסדרת הגישה להיסטוריה שנתפסת כמובנת מאליה, או יעז לשאול אם ההיסטוריה הזו נחוצה בכלל, היא ככל הנראה שאלת הפרטיות החשובה ביותר בשנים הקרובות באירופה. וזו שאלה שהמגזר הטכני, לשם שינוי, כבר הכריע בה לכיוון הנכון.

מקורות

בית הדין של האיחוד האירופי, Digital Rights Ireland, תיקים מאוחדים C-293/12 ו-C-594/12, 8 באפריל 2014
בית הדין של האיחוד האירופי, Tele2 Sverige ו-Watson, תיקים מאוחדים C-203/15 ו-C-698/15, המותב המורחב, 21 בדצמבר 2016
בית הדין של האיחוד האירופי, La Quadrature du Net ואחרים, תיקים מאוחדים C-511/18, C-512/18 ו-C-520/18, המותב המורחב, 6 באוקטובר 2020
בית המשפט העליון של ארצות הברית, Carpenter v. United States, 585 U.S. 296, 2018
המכון הלאומי לתקנים וטכנולוגיה, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, מרץ 2026
אריקסון, 5G positioning: Locating devices anywhere
Merlin Chlosta ואחרים, 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
קרן החזית האלקטרונית, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

איתור מיקום תמידי: כך הטלפון עוקב אחריכם גם כשאתם בטוחים שמנעתם זאת

Sun, 02 Aug 2026 00:00:00 +0000

בשנת 2024 שני חוקרים מאוניברסיטת מרילנד תשאלו שוב ושוב את שירות מיקום ה-Wi-Fi של אפל, בלי שום הרשאה מיוחדת ובלי חומרה ייעודית, ובתוך שנה שחזרו את המיקום המדויק של יותר משני מיליארד נקודות גישה אלחוטיות ברחבי העולם. המאמר שלהם, Surveilling the Masses with Wi-Fi-Based Positioning Systems, מראה מה המפה הזו מאפשרת: לעקוב אחר ציוד שנכנס לאוקראינה ויוצא ממנה, לצפות בתנועת האוכלוסייה לאחר השרפות במאווי, לאתר אדם דרך הנתב הביתי שלו.

באף אחד מהמכשירים האלה לא הופעל GPS. המיקום הגיע ממקום אחר.

זהו הנקודה העיוורת הנפוצה ביותר בכל הנוגע לפרטיות בנייד: האמונה שקיים מתג מיקום, ושברגע שהוא כבוי הטלפון מפסיק לדעת היכן הוא נמצא. האמונה הזו שגויה בשבעה מישורים שונים.

מיקום אינו תכונה שהטלפון שלכם מפעיל. הוא תכונה של עצם היותו טלפון.

ה-GPS, או הערוץ הפחות בעייתי

המנגנון היחיד שכולם יודעים לנקוב בשמו הוא גם זה שאמור להדאיג אתכם הכי מעט.

GNSS, המונח הכולל שמאגד את ה-GPS האמריקאי, גלילאו, גלונאס ובאידו, פועל בהאזנה. הלוויינים משדרים ברציפות אותות עם חותמת זמן, המקלט קולט כמה מהם ומחשב את מיקומו מהפרשי זמני ההגעה. דיוק מקובל בשטח פתוח: שלושה עד חמישה מטרים, ולעיתים קרובות עשרות מטרים בעיר, שם החזיתות מחזירות את האותות.

הנקודה המכרעת היא שהחישוב הזה סביל. הטלפון אינו משדר דבר לעבר הלוויינים, ואף מפעיל לווייני אינו יודע על קיומכם. אילו היה מדובר ב-GNSS בלבד, כיבוי ה-GPS היה מספיק.

ובכל זאת יש ניואנס. כדי לזרז את החישוב הראשון, טלפונים משתמשים ב-A-GPS: הם מורידים משרת את נתוני מסלולי הלוויינים, באמצעות פרוטוקול SUPL. כדי לקבל את הנתונים הנכונים, הטלפון מוסר לאותו שרת את מזהה תא הרשת שאליו הוא מחובר. ה-GNSS הטהור אינו מסגיר אתכם, אבל המאיץ שהורכב עליו כן.

הרשת הסלולרית: מה שהמפעיל יודע מעצם המבנה

כדי ששיחה תוכל להגיע אליכם, הרשת חייבת לדעת באיזה אזור אתם נמצאים. זו אינה אפשרות שניתן להפעיל, אלא תנאי לעצם קיומו של השירות. הטלפון שלכם מדווח על עצמו ברציפות לאנטנה הקרובה ביותר, והרישום הזה מותיר עקבות אצל המפעיל. בלי שום אפליקציה מותקנת, בלי שום הרשאה שניתנה: כרטיס SIM פעיל מספיק.

הדיוק תלוי בשיטה:

מזהה תא בלבד: מ-200 מטר באזור עירוני צפוף ועד יותר מ-30 קילומטרים באזור כפרי, שם אנטנה אחת מכסה רדיוס רחב מאוד.
Cell ID מועשר, שמוסיף את מגזר האנטנה (רוב האתרים מחולקים לשלושה מגזרים של 120 מעלות) ואת עוצמת האות: מ-100 מטר עד כמה קילומטרים.
Timing advance, שמודד את זמן ההלוך ושוב בין הטלפון לאנטנה: בסדר גודל של 550 מטר ב-GSM, וכ-78 מטר ב-LTE.
ריבוי מדידות משלוש אנטנות ומעלה: 50 עד 300 מטר ב-LTE עירוני.

5G משנה את סדר הגודל משתי סיבות מצטברות. ראשית הצפיפות: תאי 5G מכסים רדיוסים קצרים בהרבה, ולכן עצם ההתחברות היא כבר מידע מדויק. שנית התקינה: החל מ-Release 16 משלב ה-3GPP אותות מיקום מובנים. היעדים המסחריים מכוונים לפחות מ-3 מטרים בתוך מבנים ולפחות מ-10 מטרים בחוץ עבור 80 % מהמכשירים, ו-Release 18 יורד עד רמת הסנטימטר בחלק מהשימושים התעשייתיים.

וכך התשתית שמחברת אתכם הופכת למערכת מיקום באיכות דומה ל-GPS, בלי שהפעלתם דבר. הנתונים האלה נשמרים לפי כללים לאומיים ונגישים לרשויות בהליכים משתנים. זה אותו ויכוח יסודי שנדון בהקשר של תחולת הדין על נתונים מאוחסנים: הגנה טכנית והגנה משפטית אינן חופפות.

ה-Wi-Fi: מפת עולם עשויה כתובות חומרה

כל נקודת גישה אלחוטית משדרת ברציפות מזהה חומרה ייחודי, ה-BSSID. המזהים האלה קבועים ויציבים גיאוגרפית: נתב ביתי נשאר שנים באותו מקום.

אפל, גוגל וכמה שחקנים מתמחים מתחזקים מאגרים שמשייכים לכל BSSID קואורדינטות, ואלה נבנים בידי הטלפונים של המשתמשים שלהם עצמם, שמדווחים את רשימת הנקודות הנראות יחד עם מיקום GNSS. לאחר מכן הפעולה מתהפכת: טלפון שרואה ארבע נקודות מוכרות כבר אינו זקוק ולו ללוויין אחד. באזור עירוני צפוף הדיוק מגיע בדרך כלל לכמה עשרות מטרים, ויורד מתחת לכך בתוך מבנים.

שתי תכונות מקשות על נטרול המנגנון הזה. ראשית, הטלפון סורק גם כאשר ה-Wi-Fi נראה מכובה: החל מאנדרואיד 4.3 המערכת שומרת על סריקה מחזורית שנועדה לשפר את איתור המיקום, ללא תלות במתג שבלוח ההגדרות המהיר. ההתנהגות הזו תלויה בהגדרה נפרדת, קבורה עמוק בשירותי המיקום, שכמעט אף משתמש מעולם לא פתח.

שנית, אפשר לתשאל את המאגר מבחוץ. זהו הפרצה שריי ולוין ניצלו: ממשקי המיקום מחזירים לא רק את המיקום המבוקש אלא גם את מיקומן של נקודות סמוכות, מה שמאפשר לקצור את המפה בלי להתקרב פיזית לאותם מקומות אף פעם.

בלוטות’ ו-BLE: מאותרים בידי הטלפונים של אחרים

Bluetooth Low Energy מוסיף שכבת קרבה, בטווח של כמה מטרים עד כמה עשרות מטרים, כלומר ברזולוציה עדינה בהרבה מזו של הרשת הסלולרית. שני שימושים מתקיימים זה לצד זה. משדרי איתור מסחריים, הפרוסים בחנויות, בשדות תעופה או בקניונים, משדרים מזהה שאפליקציות בטלפון מזהות, וכך מתגלה לפני איזה מדף עצרתם ולכמה זמן. ולצידם רשתות איתור שיתופיות, שה-Find My של אפל הוא המודל שלהן, ומאז אומץ גם בידי גוגל וסמסונג.

המנגנון השני הופך הנחה סמויה. הניתוח המכונן Who Can Find My Devices?, שפורסם בקובץ המאמרים של PETS 2021 בידי חוקרים מהאוניברסיטה הטכנית של דרמשטדט, שחזר את הפרוטוקול של אפל בהנדסה לאחור. מכשיר לא מקוון משדר אות BLE, כל מכשיר אפל בקרבת מקום קולט אותו, מצרף לו את מיקומו שלו ומעביר אותו מוצפן לשרתי אפל, בלי ידיעתו של המחזיק בו ובלי ידיעתו של המחזיק במכשיר המאותר.

התוצאה מבנית: מכשיר בלי כרטיס SIM, בלי Wi-Fi, בלי שום חיבור רשת נשאר בר-איתור, ובלבד שאדם זר יחלוף בקרבתו עם טלפון בכיס. הבידוד שלכם כבר אינו תלוי בהגדרות שלכם, אלא בהגדרות של העוברים ושבים.

חיישני התמד: לאתר בלי הרשאת מיקום

טלפון מכיל מד תאוצה, ג’ירוסקופ, מגנטומטר ולעיתים קרובות גם ברומטר. החיישנים האלה משתייכים לקטגוריית הרשאות נפרדת מזו של המיקום: אפליקציה יכולה לקרוא אותם בלי שביקשה מעולם לדעת היכן אתם.

חוקרים מפרינסטון הוכיחו זאת באמצעות PinMe. האפליקציה שלהם יוצאת מכתובת ה-IP ומאזור הזמן לקבלת מיקום גס, ואז קוראת את החיישנים: מד התאוצה מספק את פרופיל ההאצה והבלימה, הג’ירוסקופ את רצף הפניות, המגנטומטר את הכיוון, והברומטר את שינויי הגובה. רשת נוירונים מזהה את אמצעי התחבורה, הליכה, רכב, רכבת או מטוס, והמסלול מוצמד לנתונים ציבוריים של מיפוי, טופוגרפיה ומזג אוויר. התוצאה: מסלול בדיוק דומה ל-GPS, בלי הרשאת מיקום. לשיטה יש מגבלות, שהמחברים מתעדים, שכן היא נכשלת באזורים ללא כבישים ומידרדרת בתוכניות רשת אחידות, שבהן מסלולים רבים מייצרים אותה חתימה. היא נותרת ההוכחה לכך שהרשאה שנדחתה אינה דלת סגורה.

הברומטר מוסיף גם את הממד שה-GNSS מתקשה איתו, הממד האנכי. הדרישות האמריקאיות לשיחות חירום מחייבות דיוק ברמת הקומה של פלוס מינוס 3 מטרים ב-80 % מהשיחות מתוך מבנים. לדעת באיזו קומה נמצא אדם הוא דבר שונה במהותו מלדעת באיזה מקבץ בניינים הוא נמצא.

שוק הנתונים: הערוץ הבנאלי מכולם

המנגנונים הקודמים מתארים כיצד מחושב מיקום. נותר לדעת לאן הוא הולך, ושם מוכרע עיקר הסיכון היומיומי.

אלפי אפליקציות משלבות ערכות פיתוח פרסומיות (SDK), רכיבי תוכנה של צד שלישי שמפתח מוסיף כדי להפיק הכנסה מעבודתו או למדוד את קהלו. הרכיבים האלה יורשים את הרשאות האפליקציה המארחת: אפליקציית מזג אוויר שזקוקה למיקומכם מסיבה לגיטימית מעבירה אותו לגורמים ששמם מעולם לא נקרא בעיניכם. לכך מתווספים זרמי מכרזי הפרסום, שבהם המיקום המשוער שלכם מופץ לעשרות קונים פוטנציאליים בכל הצגה של באנר, כולל לאלה שאינם קונים דבר ומסתפקים בהאזנה.

חומר הגלם הזה מזין תעשייה שלמה. ארגון Electronic Frontier Foundation תיעד את המקרה של Fog Data Science, שטענה למיליארדי נקודות נתונים על יותר מ-250 מיליון מכשירים, שנמכרו למשטרות מקומיות בארצות הברית. בריאן קרבס תיאר את Locate X, מוצר שמאפשר לשרטט מצולע על מפה ולצפות בהיסטוריית המכשירים שנכנסו לאזור ויצאו ממנו.

הערוץ הזה אינו דורש שום הישג טכני, אלא רק שמישהו יסכים לשלם. המחיר צנוע.

מלכודות IMSI: איתור פעיל

המנגנונים שנסקרו עד כה מנצלים תפקוד תקין. קיים גם איתור פעיל, שמבצע צד שלישי המתערב ברשת.

מלכודת IMSI, או סימולטור תא, היא ציוד שמתחזה לאנטנה לגיטימית. טלפונים בטווח מתחברים אליה, וחושפים בכך את מזהה המנוי שלהם ואת נוכחותם בתחום מצומצם.

ה-5G היה אמור לסגור את הדלת הזו, בהחליפו את המזהה הקבוע הגלוי במזהה מוצפן, ה-SUCI. הסגירה חלקית. העבודות שהוצגו תחת הכותרת 5G SUCI-catchers: still catching them all? מתעדות התקפות קישור שמאפשרות לקשור מחדש הפעלות חרף ההצפנה. ובעיקר, ההגנה קורסת כליל אם התוקף מאלץ את המכשיר לרדת לדור קודם, ובמיוחד ל-2G, שהאימות בו חד-כיווני. טלפון 5G נותר פגיע להתקפה שתוכננה עבור רשת משנות התשעים, משום שהוא עדיין מסכים לרדת אליה.

אמצעי הנגד ויעילותם האמיתית

כל אחד מהאמצעים שלהלן עושה משהו. אף אחד מהם אינו עושה הכול, והפער בין מה שהם עושים ובין מה שמייחסים להם הוא שמייצר את ההחלטות הגרועות.

מצב טיסה

מצב טיסה מנתק את השידור של המודם הסלולרי, של ה-Wi-Fi ושל הבלוטות’. זו השפעה אמיתית, וזו התוצאה הטובה ביותר תמורת מאמץ כה קטן.

מה שהוא אינו עושה: הוא אינו עוצר את חיישני ההתמד, אינו מוחק מיקומים ששמורים כבר במטמון ושייצאו עם החיבור מחדש, ובמרבית המכשירים הוא מאפשר להפעיל מחדש את ה-Wi-Fi או את הבלוטות’ בנפרד בלי לצאת ממנו. ולבסוף, זהו מצב תוכנתי ולא ניתוק חשמל: אמינותו תלויה בשלמות המערכת שאוכפת אותו.

פרט שממעיטים בערכו: ההתנתקות מהרשת וההתחברות מחדש אליה הן כשלעצמן אירועים עם חותמת זמן אצל המפעיל. טלפון שנעלם ב-21:00 בתא אחד ומופיע מחדש ב-23:00 בתא אחר ייצר מידע, לא שתיקה.

אקראיות של כתובת MAC

מערכות ניידות משדרות היום כתובות MAC אקראיות בעת סריקות, כדי למנוע מעקב ממקום למקום. הכוונה טובה, התוצאה חלקית. העבודות המכוננות, ובהן Why MAC Address Randomization is not Enough, מראות שתוכן מסגרות הגילוי מספיק פעמים רבות כדי לזהות מחדש את המכשיר: מספר רכיבי המידע, ערכיהם וסדרם יוצרים טביעת אצבע. לכך נוספים מספרי הרצף, שהם עולים ולכן ניתנים לשרשור, והחתימה הזמנית הייחודית לכל דגם. מחקרים מסוימים מדווחים על מעקב נכון אחר מחצית המכשירים במשך עשרים דקות לפחות.

ולבסוף מגבלה עקרונית: האקראיות נוגעת רק לשלב הגילוי. ברגע שאתם מתחברים לרשת, הכתובת שבשימוש יציבה עבור אותה רשת, מעצם התכנון, כדי שהחיבור יעבוד. בית הקפה שאליו אתם הולכים כל בוקר מזהה אתכם.

לכבות באמת את הסריקות

זו ההגדרה המשתלמת ביותר וגם המוזנחת ביותר. באנדרואיד, חיפוש Wi-Fi וחיפוש בלוטות’ הם שתי אפשרויות נפרדות, הממוקמות בשירותי המיקום, ובלתי תלויות במתגים של הלוח המהיר. כל עוד הן פעילות, כיבוי ה-Wi-Fi מהלוח אינו מספיק: הסריקה נמשכת.

כיבוין מסלק שכבת איסוף שלמה, בלי מחיר אחר מלבד חישוב מיקום ראשון איטי מעט יותר. עבור רוב הקוראים, זה היחס הטוב ביותר בין המאמץ שהושקע לתוצאה שהושגה.

הרשאות אפליקציות

שלילת הרשאת המיקום מאפליקציות שברור שאינן זקוקות לה נותרת מועילה, והמערכות העדכניות מציעות שלוש דרגות: אישור חד-פעמי, אישור המוגבל לשימוש פעיל, ומיקום מקורב, שמעביר רק אזור בסדר גודל של קילומטר.

לעומת זאת, זה אינו מגן מפני ערכות SDK שמתארחות באפליקציה שיש לה סיבה לגיטימית לגשת למיקומכם, ולא מפני חיישני ההתמד, ולא מפני שכבות הרשת, שאינן עוברות דרך שום הרשאה.

ממה ה-VPN אינו מגן

נקודה שראוי להבהיר, משום שהאמונה ההפוכה נפוצה מאוד: VPN אינו מסתיר את מיקומכם. הוא מסתיר את כתובת ה-IP הציבורית שלכם, ולכן מטעה את איתור המיקום לפי IP, שהוא ממילא המנגנון הגס ביותר ברשימה.

VPN אינו נוגע לא במקלט ה-GNSS, לא בסריקת ה-Wi-Fi, לא בבלוטות’ ולא בחיישנים. הוא אינו משנה דבר במה שהמפעיל שלכם יודע, שכן המנהרה המוצפנת עוברת דרך האנטנות שלו וההתחברות לתא נשארת גלויה לו. הוא אינו מונע מאפליקציה בעלת הרשאת מיקום לשדר קואורדינטות מדויקות בתוך המנהרה. ה-VPN מגן על התוכן ועל היעד של התקשורת שלכם ברשת שאינה אמינה, וזה כבר הרבה. המיקום אינו בתחום אחריותו.

המגבלות הפיזיות

נרתיק פאראדיי עובד במובן המילולי: הוא חוסם שידור וקליטה. גם הוצאת הסוללה, במקומות שבהם הדבר עדיין אפשרי. מכשיר ייעודי, או פשוט להשאיר את הטלפון במקום אחר, נותר האמצעי החסין ביותר.

לפתרונות האלה יש חיסרון משותף שיש להביט בו בפנים: הם מייצרים חריגה. טלפון ששותק שעתיים בכל יום שלישי בערב אומר משהו. מול יריב שמנתח דפוסים במקום מיקומים רגעיים, ההיעדרות עצמה היא נתון.

שלושה יריבים, שלוש אסטרטגיות

זו ההבחנה החשובה ביותר במאמר הזה, וזו שקוראים עליה הכי פחות.

מול מפרסם או סוחר נתונים, אפשר לנצח בקרב. משמעת בהרשאות, כיבוי הסריקות, מערכת בלי שירותי מיקום קנייניים, איפוס מזהה הפרסום: כל אלה יחד מפחיתים מאוד את הנפח הנאסף. היריב הזה מחפש נפח בזול, לא את המקרה הפרטי שלכם.

מול המפעיל שלכם, שום תצורה אינה מספיקה. איתור סלולרי הוא תנאי לשירות. המשתנים האמיתיים היחידים הם משפטיים, כלומר מה שהחוק מתיר לשמור ולהעביר, וחומריים: איזה מכשיר, איזה כרטיס SIM, על שם מי, ומופעל היכן.

מול יריב מדינתי ממוקד, ההיגיון משתנה שוב, שכן הוא משלב גישה חוקית לנתוני המפעיל, איתור פעיל באמצעות סימולטור תא, דרישות מהפלטפורמות ובמידת הצורך גם פריצה למכשיר עצמו. אמצעי נגד תוכנתיים מצמצמים את המשטח, אבל המטרה הריאלית אינה היעלמות: היא לדעת בדיוק מה נותר חשוף.

הגישה של ArpokratOS

ArpokratOS משיב לנוף הזה בבחירה שנגזרת מההבחנה שלעיל: מה שצריך לנטרל מנוטרל ברמת המערכת, לא בתפריט.

בכל הנוגע ל-GNSS, מנהל ההתקן החומרתי מוסר. המכשיר מתנהג כאילו השבב אינו קיים, הן עבור האפליקציות והן עבור המערכת עצמה. ההבדל ממתג בהגדרות אינו קוסמטי. מתג הוא מדיניות: אוכפת אותו שכבה שרכיב בעל הרשאות מספיקות יכול לעקוף, שעדכון יכול להפעיל מחדש, ושמערכת שנפרצה יכולה להתעלם ממנה. הסרת נתיב הקוד מבטלת את השאלה, שכן כבר אין מה להפעיל.

הבלוטות’ מטופל ברמת ה-Core, באותו היגיון. בלוטות’ שכובה בהגדרות משאיר בפועל במכשירים רבים את מחסנית התוכנה חיה, כדי להזין שירותי קרבה ורשתות איתור שיתופיות. כשהוא נעדר ברמת המערכת, הוא אינו יכול לתקשר עם משדר בחנות, אינו יכול להשתתף ברשת מסוג Find My, ואינו יכול לשמש משטח תקיפה ללא אינטראקציה.

צריך לומר בבירור מה זה אינו עושה. ArpokratOS אינו הופך טלפון לבלתי ניתן לגילוי. כל עוד כרטיס SIM פעיל, המפעיל יודע לאיזה תא אתם מחוברים, ושום מערכת הפעלה אינה משנה זאת, גם לא כשכל התעבורה מנותבת דרך Tor. הניתוב מגן על התוכן ועל היעד, לא על הגאומטריה של הרדיו. מי שמבטיח חוסר נראות מוכר סיפור.

מה שארכיטקטורה כזו מספקת צנוע יותר: סילוק שכבות היישום והקרבה, שדרכן עובר הרוב המכריע של האיסוף בפועל, ומודל איומים מפורש לגבי מה שנותר. זהו אותו היגיון שהוחל על בחירת מערכת שולחנית, שפורט אצלנו בהשוואת מערכות ההפעלה: השאלה המועילה אינה אם כלי מגן, אלא ממה הוא מגן ובאיזה מחיר.

סיכום

המאמר הזה אינו מספק שיטה להיעלם. השיטה הזו אינה קיימת, והטקסטים שמתיימרים לטעון אחרת מייצרים בעיקר ביטחון כוזב, מסוכן יותר מהיעדר הגנה משום שהוא גורם לאנשים ליטול סיכונים.

המטרה הייתה להחליף שאלה בינארית, האם אפשר לאתר אותי או לא, בשאלה מועילה: על ידי מי, באיזה דיוק, במחיר איזה מאמץ מצידם, והאם זה משנה לי. התשובה שונה עבור עיתונאי שמגן על מקור, עבור מנהל שנוסע לתחום שיפוט רגיש, עבור עורך דין שפגישותיו חושפות אסטרטגיה, או עבור אדם פרטי שמתעצבן על כך שמפרסם מכיר את הרגליו.

מה שראוי לתשומת לב אינו דווקא ביצועיו של כל אחד מהמנגנונים האלה בנפרד, אלא העובדה שהם חופפים זה לזה. מיקום בדיוק של חמישים מטר אינו מעניין במיוחד. מיקום בדיוק של חמישים מטר, בכל רבע שעה, במשך שנתיים, משרטט מגורים, מקום עבודה, אמונה דתית, מצב בריאותי, רומן, מקור עיתונאי. נתון המיקום הוא המטא-נתון שהופך את כל השאר לקריאים, ומשום כך הוא שווה כסף רב.

מקורות

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense