Mobiele netwerken on Arpokrat

Sms-2FA beschermt niets meer: wat u in plaats daarvan moet gebruiken

Tue, 08 Sep 2026 00:00:00 +0000

Op 9 januari 2024 kondigde het officiële X-account van de Securities and Exchange Commission, de Amerikaanse toezichthouder op de financiële markten, de goedkeuring van Bitcoin-ETF’s aan, een besluit waar de markt al maanden op wachtte. Binnen enkele minuten won Bitcoin meer dan 1.000 dollar per stuk. Daarna sprak de SEC het tegen: het account was gehackt. De koers zakte met meer dan 2.000 dollar terug.

Wat de zaak leerzaam maakt is niet de omvang van de koersbeweging, maar hoe alledaags het middel was. Volgens het persbericht van het Amerikaanse ministerie van Justitie printte Eric Council Jr., 26 jaar, een vals identiteitsbewijs met een draagbare kaartprinter, liep een AT&T-winkel binnen en overtuigde een medewerker om het bij het account horende telefoonnummer over te zetten naar een simkaart die hij beheerde. Hij ontving de resetcodes voor het wachtwoord per sms en gaf ze door aan zijn medeplichtigen. Op 16 mei 2025 werd hij veroordeeld tot 14 maanden cel.

Eén precisering is nodig, die de lezing van de zaak verandert zonder de les te ondermijnen. Volgens de officiële verklaring van de SEC was de multifactorauthenticatie op dat account in juli 2023 uitgeschakeld, op verzoek van de medewerkers zelf. Sms diende ten tijde van de feiten dus niet als tweede factor, maar als herstelkanaal. En precies dat maakt het voorbeeld bruikbaar: tweede factor of achterdeur, het telefoonnummer blijft het punt waar de ketting bezwijkt.

Wat een tweede factor zou moeten garanderen

Het principe past in één zin. Een wachtwoord alleen is iets wat u weet; daar komt iets wat u heeft bij (een telefoon, een fysieke sleutel) of iets wat u bent (een vingerafdruk). Wie uw wachtwoord uit een datalek steelt, beschikt daarmee nog niet over uw fysieke voorwerp.

De redenering rust op een aanname die zelden wordt uitgesproken: dat de tweede factor werkelijk gebonden is aan een voorwerp in uw bezit, en dat het tonen ervan iets bewijst over de plek waar u inlogt. Sms faalt op beide punten.

Sms is geen bezitsfactor

Een code per sms ontvangen bewijst niet dat u een apparaat bezit, maar dat een telefoonnummer, toegekend door een provider en door diezelfde provider te wijzigen, naar een toestel verwijst. Dat is niet hetzelfde. Drie vectoren buiten dat gat uit, en ze worden niet op dezelfde manier gedicht.

SIM-swapping

Dit is de aanval uit de SEC-zaak, en hij berust op geen enkel technisch lek. De aanvaller verzamelt persoonlijke gegevens over het doelwit, vaak al beschikbaar uit openbare datalekken, en benadert vervolgens de provider terwijl hij zich voordoet als die persoon: telefoon kwijt, graag het nummer overzetten naar een nieuwe simkaart. Is hij overtuigend, of werkt een medewerker mee, dan wisselt het nummer van hand en komen alle sms’jes bij hem binnen. Het IC3-jaarverslag 2024 van de FBI telt alleen al voor dat jaar 982 meldingen van SIM-swapping en bijna 26 miljoen dollar aan opgegeven schade, en rekent daarbij alleen slachtoffers mee die aangifte deden. Geen enkele software-update dicht deze vector: hij richt zich niet op software, maar op een menselijk bedrijfsproces.

Onderschepping via SS7

Signaling System 7 is het protocol waarmee telefoonnetwerken wereldwijd met elkaar praten: een gesprek routeren, roaming afhandelen, een sms van de ene provider bij de andere afleveren. Het werd in 1975 ontworpen, toen de club van operators gesloten en klein was en iedereen de anderen per constructie vertrouwde. Het bevat dan ook geen enkele native authenticatie tussen netwerken: een verzoek dat er legitiem uitziet, wordt als legitiem behandeld.

Dit is geen theoretische zwakte. In december 2014 demonstreerden de Duitse onderzoekers Tobias Engel en Karsten Nohl het publiekelijk op het Chaos Communication Congress: een abonnee lokaliseren en zijn sms’jes onderscheppen op basis van alleen het telefoonnummer. In 2017 werd echte uitbuiting bevestigd: de Duitse provider O2-Telefónica erkende dat klanten hun bankrekening leeggehaald hadden zien worden, nadat de aanvallers toegang hadden gekregen tot het netwerk van een buitenlandse operator en sms-doorschakeling hadden ingesteld om de bevestigingscodes van de bank te onderscheppen.

Realtime phishing

De derde vector is de belangrijkste, omdat hij van geen enkel telecomlek afhangt en alles overleeft wat je in de twee vorige zou repareren.

Een nepsite bootst de inlogpagina van een dienst perfect na. U voert daar uw gebruikersnaam en wachtwoord in, die de nepsite meteen doorstuurt naar de echte, waarna die een sms naar uw telefoon stuurt. De sms bereikt u daadwerkelijk, en hij is echt. U typt de code in op de nepsite, die hem op zijn beurt binnen enkele seconden doorstuurt. De sessie opent, en het is de aanvaller die hem in handen heeft.

Dit heet een adversary-in-the-middle-aanval. Hij is geïndustrialiseerd: tools als Evilginx, een in 2017 opgedoken reverse proxy, of kits die per maand worden verkocht, maken hem toegankelijk zonder bijzondere kennis. Wat er trouwens wordt gestolen is niet alleen de code, maar de sessiecookie, die het daarna mogelijk maakt ingelogd te blijven zonder nog enige authenticatie te doorlopen.

Het punt is architectonisch. De per sms verzonden code bevat geen enkele informatie over de site die hem heeft opgevraagd. Hij kan echt dus niet van vals onderscheiden: hij is geldig overal waar hij wordt ingetypt.

Dit is geen mening meer, dit is een officieel standpunt

Het sterkste argument tegen sms komt niet van leveranciers van oplossingen, maar van de instellingen die de standaarden schrijven.

In juli 2025 publiceerde het Amerikaanse NIST de definitieve versie van SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. De tekst schept een uitdrukkelijke categorie beperkte authenticators, voorbehouden aan mechanismen waarvan de weerbaarheid met de evolutie van de dreigingen is afgenomen. Paragraaf 3.1.3.3 plaatst daar het gebruik van het geschakelde telefoonnetwerk onder, dus codes verstuurd per sms of via een spraakoproep: “Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.” Concreet moet een dienst die er nog gebruik van maakt een niet-beperkt alternatief bieden, zijn gebruikers over het risico informeren en over een migratieplan beschikken.

In december 2024 had CISA, het Amerikaanse cyberveiligheidsagentschap, zijn Mobile Communications Best Practice Guidance gepubliceerd, na de spionagecampagne Salt Typhoon, waarbij aan de Chinese staat gelieerde actoren waren doorgedrongen tot meerdere Amerikaanse telecomoperators. De formulering laat geen ruimte voor interpretatie: “Do not use SMS as a second factor for authentication. SMS messages are not encrypted”, en verderop, zonder omhaal: “Only FIDO authentication is phishing-resistant.” Het document beveelt uitdrukkelijk hardwarematige FIDO-sleutels aan, met Yubico en Google Titan bij naam, en stelt dat zodra FIDO is ingeschakeld sms moet worden uitgezet, omdat het anders als exploiteerbare terugvaloptie blijft bestaan.

Authenticator-apps: echte vooruitgang, een gedeeltelijke oplossing

TOTP-apps, van Time-based One-Time Password, genereren een code van zes cijfers die elke dertig seconden verandert, lokaal berekend uit een bij de activering gedeeld geheim en de actuele tijd. Er gaat niets over het telefoonnetwerk.

De winst is meteen merkbaar: SIM-swapping wordt zinloos omdat het nummer niet meer meespeelt, en SS7-onderschepping ook, omdat er geen bericht wordt vervoerd. Overstappen op een authenticator-app is de moeite waard bij elk account dat niet verder kan gaan.

Maar de derde vector blijft volledig overeind. Een TOTP-code die op een nepsite wordt ingetypt, gaat precies zoals een sms-code door naar de echte site. De app weet niet waar u inlogt: hij toont een getal, en dat getal is geldig bij iedereen die het binnen het venster van dertig seconden aanbiedt. CISA zegt het in dezelfde bewoordingen: authenticatorcodes zijn beter dan sms maar blijven kwetsbaar voor phishing.

TOTP is een eerlijke tussenstap, geen eindbestemming.

Waarom een FIDO2-sleutel de aard van het probleem verandert

Een FIDO2/WebAuthn-hardwaresleutel maakt de aanval niet alleen moeilijker, hij ontneemt hem de mechanische mogelijkheid.

Bij registratie bij een dienst genereert de sleutel een cryptografisch sleutelpaar dat aan die dienst is gewijd. De publieke helft gaat naar de dienst, de private helft verlaat de chip nooit en is niet exporteerbaar of leesbaar. Geen gedeeld geheim dat gekopieerd kan worden, geen code van zes cijfers om te onderscheppen.

Dan volgt het beslissende mechanisme, de binding aan de origin. Bij het inloggen geeft de browser de sleutel de echte domeinnaam van de getoonde pagina door. Die informatie zit in de ondertekende gegevens, en de browser dwingt haar af: het JavaScript van de pagina kan haar noch wijzigen noch vervalsen.

Een FIDO2-sleutel maakt phishing niet moeilijker te laten slagen. Hij maakt het resultaat van phishing onbruikbaar.

Neem de adversary-in-the-middle-aanval opnieuw, nu met een sleutel. De nepsite is perfect, het slachtoffer merkt niets en raakt de sleutel aan. De browser geeft het echte domein van de pagina door, dat van de frauduleuze site. De sleutel stelt vast dat er voor dat domein geen paar bestaat, of tekent ervoor en produceert daarmee een handtekening die de echte dienst zal weigeren. In beide gevallen krijgt de aanvaller niets bruikbaars.

Daar zit het verschil in aard. Bij sms of TOTP rust de beveiliging uiteindelijk op de oplettendheid van de gebruiker, op zijn vermogen een vervalst domein in een adresbalk te herkennen, op een moment dat hij haast heeft en de pagina er normaal uitziet. Bij FIDO2 wordt die controle door een machine gedaan, stelselmatig, zonder afhankelijk te zijn van iemands aandacht. Die verschuiving van verantwoordelijkheid telt zwaarder dan de cryptografische sterkte.

Het effect is meetbaar. Google maakte de sleutels begin 2017 verplicht voor zijn medewerkers en verklaarde in 2018 geen enkele accountcompromittering te hebben vastgesteld onder meer dan 85.000 mensen.

De echte grenzen van hardwaresleutels

Ze als perfect voorstellen zou oneerlijk zijn, en nutteloos om de beslissingen voor te bereiden die er echt toe doen.

De kosten bestaan. Reken op 25 tot 60 euro afhankelijk van het model, meer voor biometrische versies, en maal twee.

Een sleutel verliezen is het echte risico. Eén sleutel op een kritiek account is een ontwerpfout. Er moeten er twee geregistreerd staan op elk belangrijk account, waarvan er één elders wordt bewaard, bij een naaste of in een kluis. De tweede is geen comfort, hij is wat de eerste zonder angst bruikbaar maakt.

De dekking is onvolledig. Veel diensten, met name banken in Europa, ondersteunen FIDO2 nog niet, vandaar de prioritering hieronder.

Een sleutel kan gestolen worden. Vandaar de noodzaak een pincode op de sleutel in te stellen, of een model met vingerafdruk te kiezen: zonder dat volstaat het voorwerp alleen voor wie het opraapt.

De terugvaloptie blijft de zwakke schakel. FIDO2 inschakelen zonder sms uit te schakelen beschermt nergens tegen: een aanvaller neemt gewoon de route die openbleef. De migratie is pas klaar wanneer het oude mechanisme uit het account is verwijderd, herstelopties inbegrepen.

Wat de hardware betreft: de YubiKey-reeks dekt het breedste spectrum aan protocollen, Google Titan is goedkoper en beperkt zich tot FIDO, Nitrokey en SoloKeys bieden alternatieven met open, controleerbare firmware, en Token2 maakt modellen met ingebouwd toetsenblok waarbij de pincode op de sleutel zelf wordt ingevoerd in plaats van op het toetsenbord. Er is geen verkeerde keuze onder de FIDO2-gecertificeerde sleutels: het protocol is hetzelfde en alleen de nevenfuncties verschillen.

Waar te beginnen als u niet alles kunt veranderen

De volgorde van migratie is geen kwestie van voorkeur, ze volgt uit de afhankelijkheden tussen uw accounts.

Eerst de hoofdmailbox. Die ontvangt de herstellinks van bijna al het andere. Een aanvaller die haar beheerst, neemt de overige accounts een voor een over, zonder er ook maar één rechtstreeks aan te vallen. Niets verdient het eerder beveiligd te worden.
De wachtwoordmanager. Die bundelt de eerste factor van al uw toegangen, dus zijn bescherming moet gelijk zijn aan die van het best beschermde account dat hij bevat. Dit is het moment om de kwaliteit van het hoofdwachtwoord te controleren, een onderwerp dat we uitwerken in ons artikel over entropie en de wetenschap achter uw veiligheid.
Financiële accounts en cryptoplatforms. Doelwitten van directe waarde, waar een compromittering binnen minuten een onomkeerbaar verlies wordt.
Sociale accounts met bereik. De SEC-zaak laat zien wat het woord van een gevolgd account waard is, en de schade treft niet altijd de eigenaar.
De rest kan wachten, met een TOTP-app in plaats van sms. Een forum of een streamingdienst rechtvaardigt niet dezelfde inspanning.

Voor accounts die FIDO2 nog niet ondersteunen: overstappen op TOTP waar dat kan, en uw provider vragen om een blokkade op nummerportabiliteit, bij de meeste een gratis optie.

Wat dit zegt over de aanpak van Arpokrat

Dit dossier beschrijft een probleem dat alleen bestaat omdat een identificator in het midden van het systeem is gezet. Het telefoonnummer is nooit bedoeld als identiteitsbewijs: het werd uit gewoonte de ruggengraat van online authenticatie, en alle drie de hierboven beschreven aanvallen buiten precies dat oneigenlijke gebruik uit.

Dat is de redenering achter het ontwerp van het protocol van Arpokrat Messenger: geen telefoonnummer, geen e-mailadres, geen account. De gebruiker bestaat als een verzameling cryptografische sleutels die op zijn eigen apparaat blijven, en contact verloopt via uitnodigingslinks voor eenmalig gebruik. De logica is die van FIDO2, een trede hoger: wat een derde niet in handen heeft, kan hem niet worden ontfutseld, niet door social engineering tegen een provider en niet door een vordering. Deze samenhang met de Zero-Knowledge-architectuur werken we uit in ons artikel over nu verzamelen, later ontsleutelen.

Een hardwaresleutel die tekent zonder zijn geheim ooit prijs te geven, is overigens ook hoe een offline cryptowallet werkt, uitgewerkt in onze complete cold wallet-gids: het geheime deel in een eigen voorwerp houden en er niets anders uit laten komen dan een handtekening.

Conclusie

Sms-2FA was niet slecht ontworpen. Toen het rond het begin van de jaren tien gemeengoed werd, was het een aanzienlijke stap vooruit ten opzichte van het wachtwoord alleen, en het had de enige eigenschap mee die op schaal telt: iedereen had al een telefoon.

Het probleem is niet de uitvinding, maar het voortbestaan. De SS7-demonstraties dateren van 2014, de echte bancaire uitbuiting van 2017, de industrialisering van realtime phishing van het einde van dat decennium. CISA schreef in 2024 dat het niet meer gebruikt moest worden, NIST legde de beperking in 2025 vast. Ongeveer tien jaar zit er tussen het moment waarop de lekken op schaal exploiteerbaar werden en het moment waarop instellingen het opschreven. En sms blijft bij de meeste consumentendiensten de standaard tweede factor.

Die kloof is de echte informatie in dit dossier. Beveiligingsmechanismen verdwijnen niet wanneer ze ophouden te werken, maar wanneer iets even eenvoudigs ze komt vervangen, en dat duurt veel langer. De vraag is dus niet of u sms zou moeten opgeven, dat is al jaren beslecht. De vraag is welke andere beschermingen die u vanzelfsprekend vindt zich al, zonder dat iemand het heeft opgeschreven, in dezelfde situatie bevinden.

Bronnen

Amerikaans ministerie van Justitie, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 mei 2025
Securities and Exchange Commission, SECGov X Account, officiële verklaring van 22 januari 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, definitieve versie, juli 2025
CISA, Mobile Communications Best Practice Guidance, 18 december 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, demonstratie van Tobias Engel en Karsten Nohl, december 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, mei 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, juli 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, WebAuthn-specificatie

5G, locatiegegevens en de verkeerde focus van het recht

Tue, 18 Aug 2026 00:00:00 +0000

In 2011 vroeg de politie van Detroit een mobiele operator om de zendmastgegevens van de telefoon van Timothy Carpenter. Zij kreeg 12.898 locatiepunten verspreid over 127 dagen, ongeveer honderd per dag. Zeven jaar later oordeelde het Hooggerechtshof van de Verenigde Staten dat dit verzoek een doorzoeking vormde en een bevel vereiste.

Die 12.898 punten kwamen van masten van de vierde generatie, die elk een straal van meerdere kilometers bestreken. Dezelfde vraag, vandaag gericht aan een stedelijk 5G-netwerk, zou geen honderd punten per dag opleveren met een marge van enkele kilometers. Zij zou een veel groter volume opleveren, met een marge van enkele tientallen meters.

De techniek is van schaal veranderd. De juridische redenering is op dezelfde plek in de keten blijven staan.

Een rechtsgoed dat rechters aan beide zijden van de Atlantische Oceaan erkennen

Er bestaat een belang dat vrijwel iedereen erkent en dat vrijwel geen enkele tekst doeltreffend beschermt: het recht om ergens te zijn zonder dat dit feit wordt vastgelegd.

De Europese rechtspraak heeft het ondubbelzinnig vastgesteld. In Digital Rights Ireland (gevoegde zaken C-293/12 en C-594/12, 8 april 2014) en vervolgens in Tele2 Sverige en Watson (gevoegde zaken C-203/15 en C-698/15, Grote kamer, 21 december 2016) oordeelde het Hof van Justitie van de Europese Unie dat deze gegevens, in hun geheel beschouwd, zeer precieze conclusies mogelijk maken over het privéleven van personen: dagelijkse gewoonten, verblijfplaatsen, verplaatsingen, verrichte activiteiten en sociale relaties.

Het Hooggerechtshof van de Verenigde Staten kwam tot een verwante conclusie in Carpenter v. United States, 585 U.S. 296 (2018). Het benadrukte een punt dat de Amerikaanse rechtsleer uitvoerig heeft becommentarieerd: het onontkoombare en automatische karakter van die verzameling. Niemand stemt ermee in aan een zendmast te worden gekoppeld; men is het omdat men een ingeschakelde telefoon heeft.

Het rechtsgoed bestaat dus, en het wordt erkend door de twee rechtscolleges die er in deze materie toe doen. Het probleem ligt elders.

Wat 5G werkelijk heeft veranderd

Een veelvoorkomende verwarring bestaat erin locatie te behandelen als een gegeven dat de telefoon verzendt, net als een bericht of een foto. Dat is niet zo. Locatie is een fysiek gevolg van de werking van het netwerk. De operator weet aan welke mast het toestel is gekoppeld omdat hij dat moet weten om een oproep te routeren. Er bestaat geen sleutel om die informatie te versleutelen, want het gaat niet om inhoud maar om een eigenschap van de verbinding zelf.

Precies dat maakt 5G juridisch relevant, en niet technisch.

Eerdere architecturen berustten op brede cellen. Een 4G-mast bedient doorgaans een straal van meerdere kilometers, en de louter uit de koppeling afgeleide positie werd in de stad in honderden meters uitgedrukt, op het platteland soms in tientallen kilometers. 5G berust op massale verdichting: stedelijke cellen bestrijken doorgaans enkele honderden meters, en de technische literatuur rekent met dichtheden in de orde van veertig tot vijftig basisstations per vierkante kilometer, tegenover vier of vijf in het 3G-tijdperk.

Het gevolg is mechanisch. Volgens de white paper van Ericsson over 5G-positiebepaling haalt de infrastructuur die alleen voor connectiviteit is uitgerold een nauwkeurigheid van twintig tot vijftig meter buiten en van één tot drie meter binnen, en zakt zij onder de meter in gunstige stedelijke omstandigheden. Het gaat niet om een ergens ingeschakelde locatiefunctie, maar om wat het netwerk van bouw af weet, zonder dat er een app is geïnstalleerd of een toestemming is verleend. Al deze mechanismen, en de tegenmaatregelen die echt werken, hebben wij uitgewerkt in ons artikel over de permanente geolocatie van de telefoon.

De inbreuk is dus met meerdere ordes van grootte toegenomen. Het toepasselijke juridische kader blijft dat wat voor 2G en 3G is bedacht. Geen enkele normatieve aanpassing heeft die schaalverandering begeleid.

Het recht beschermt de toegang, niet het ontstaan

Het Europese recht regelt zorgvuldig wie toegang mag krijgen tot locatiegegevens, onder welke voorwaarden en onder welk toezicht. Richtlijn 2002/58/EG legt het beginsel van vertrouwelijkheid van communicatie vast, en het Hof van Justitie oordeelde in La Quadrature du Net (gevoegde zaken C-511/18, C-512/18 en C-520/18, Grote kamer, 6 oktober 2020) dat artikel 15, lid 1, van die richtlijn, gelezen in het licht van de artikelen 7, 8, 11 en 52, lid 1, van het Handvest, zich verzet tegen een algemene en ongedifferentieerde bewaring van verkeers- en locatiegegevens bij wijze van preventie. Het Hof aanvaardde niettemin afgebakende uitzonderingen wanneer een lidstaat wordt geconfronteerd met een ernstige bedreiging van de nationale veiligheid die werkelijk en actueel of voorzienbaar blijkt, mits er doeltreffend toezicht is.

Dit zijn echte waarborgen, en het zou absurd zijn ze te bagatelliseren. Maar ze grijpen allemaal achteraf in. Ze veronderstellen dat het gegeven bestaat en wordt bewaard, en regelen vervolgens de voorwaarden voor het gebruik ervan.

Als locatie echter een onvermijdelijk bijproduct van de netwerkwerking is, dan is het relevante aangrijpingspunt niet de vertrouwelijkheid. Het is de persistentie.

Een momentane positie, nodig om een communicatie te routeren en meteen daarna gewist, is geen surveillance-instrument. Een maandenlang bewaarde positiegeschiedenis is dat wel, ongeacht de toegangswaarborgen eromheen.

Het verschil tussen beide is niet juridisch maar architecturaal. En de Europese agenda maakt de kwestie dringend in plaats van theoretisch. De Commissie heeft het voorstel voor een ePrivacyverordening ingetrokken in 2025, bij gebrek aan overeenstemming tussen de medewetgevers. Zij werkt sindsdien aan een afzonderlijk instrument over dataretentie voor strafrechtelijke doeleinden, aangekondigd voor 2026 en bedoeld om nationale regimes te harmoniseren die uiteen zijn gaan lopen sinds de nietigverklaring van de richtlijn van 2006. Met andere woorden: de tekst die voor een decennium het regime van locatiemetadata zal vastleggen, wordt op dit moment geschreven, op basis van een redenering die is bedacht in het tijdperk van kilometergrote cellen.

Het precedent dat 5G zelf heeft geschapen

Het interessantste aan het dossier is dat het juiste antwoord al in de technische norm staat, maar op een ander voorwerp is toegepast.

Tot en met 4G reisde de permanente abonnee-identificatie, de IMSI, onversleuteld over de radio-interface bij het aanmelden. Dat maakte de IMSI-catchers mogelijk, die valse basisstations die volgens de referentiebeschrijving van de Electronic Frontier Foundation sterker uitzenden dan legitieme masten om toestellen aan te trekken en hun identificatie op te vangen.

Sinds Release 15 van de 3GPP-specificaties, gepubliceerd in 2019, biedt 5G een elegant antwoord. De permanente identificatie, nu SUPI genoemd, kan op de radio-interface worden vervangen door de SUCI, een verhulde identificatie die wordt verkregen door het abonnee-specifieke deel te versleutelen met elliptische-krommecryptografie, met de publieke sleutel van de thuisoperator. Alleen het thuisnetwerk, dat de bijbehorende privésleutel bezit, kan haar ontsleutelen. Het resultaat is bij elke berekening uniek, wat correlatie van de ene sessie naar de andere verhindert.

De gekozen logica verdient onderstreping, want zij is precies die welke de wetgever zou moeten leiden: men versleutelt niet de positie, wat technisch onmogelijk zou zijn, men versleutelt de identiteit. Een positie zonder toewijsbare identiteit heeft zeer beperkte waarde voor geïndividualiseerde surveillance.

De zwakke plek: een facultatieve bescherming

Er is echter een aanzienlijk voorbehoud, en dat is naar ons oordeel het meest concrete aangrijpingspunt van het hele dossier.

De white paper NIST CSWP 36A, in maart 2026 gepubliceerd door het National Institute of Standards and Technology, zegt het onomwonden. Toestellen en netwerkfuncties die aan Release 15 of later voldoen, moeten de SUCI ondersteunen, maar de activering ervan blijft facultatief voor de operator. Er moeten drie voorwaarden samenvallen: de apparatuurleverancier moet het ondersteunen, de operator moet het op zijn netwerk inschakelen, en de simkaart moet de voor de berekening benodigde elementen bevatten.

Daar komt een configuratieval bij. De norm voorziet in een nul-beschermingsschema, waarbij het SUCI-formaat formeel wordt gebruikt maar zonder werkelijke versleuteling, zodat de identificatie onversleuteld reist. NIST schrijft dat de operator zijn netwerk met een niet-nul beschermingsschema moet configureren, en herinnert eraan dat een rapport van CSRIC, het adviesorgaan van de Federal Communications Commission, al in 2021 aanbeval het nulschema uitsluitend voor te behouden aan noodoproepen vanaf een toestel dat het netwerk niet kent.

De formulering verdient het om zo te blijven staan. De best beschikbare bescherming tegen het volgen van mobiele toestellen bestaat sinds 2019 in de technische norm. Zij berust op een configuratiekeuze die aan het oordeel van de operator is overgelaten. Een Amerikaanse federale instantie acht het in 2026 zinvol een document te publiceren om eraan te herinneren dat men haar zou moeten inschakelen. En geen enkel Europees rechtsinstrument schrijft haar voor.

Daaraan moet worden toegevoegd dat de SUCI het onderwerp niet afsluit. Het werk dat is gepresenteerd onder de titel 5G SUCI-catchers: still catching them all? documenteert koppelingsaanvallen waarmee sessies ondanks de versleuteling opnieuw kunnen worden gecorreleerd, en de bescherming valt volledig weg als de aanvaller het toestel dwingt terug te vallen op een oudere generatie. Een wettelijke verplichting zou dus niet alles oplossen. Zij zou niettemin een kloof wegnemen waarvoor geen verdedigbare rechtvaardiging bestaat: die tussen wat de norm toelaat en wat commerciële netwerken doen.

Drie samenhangende ingrepen

Wie de gedachte serieus neemt dat locatie door ontwerp moet worden geminimaliseerd in plaats van achteraf beschermd, komt logischerwijs op drie maatregelen uit.

De effectieve verhulling van de identificatie verplicht stellen. De activering van de SUCI opleggen en nul-beschermingsschema’s op commerciële netwerken verbieden, afgezien van het restgeval van noodoproepen. Het gaat er niet om een nieuwe technologie voor te schrijven of een uitrol te financieren, maar om de activering te eisen van een functie die zeven jaar geleden is gestandaardiseerd en al in de apparatuur aanwezig is.
Bewaring als uitzondering behandelen, niet als standaard. De positie die nodig is om een communicatie te routeren zou moeten worden gewist zodra die functie is vervuld. Het opbouwen van een geschiedenis zou een specifieke rechtvaardiging moeten vergen. Dat is het verschil tussen een netwerk dat weet waar u bent en een netwerk dat zich herinnert waar u bent geweest.
Het beheer van de sleutel tot het relevante aanknopingspunt maken. De locatie van servers in de Unie betekent weinig als de sleutels waarmee de gegevens leesbaar worden elders liggen. Het juridisch doorslaggevende criterium zou de daadwerkelijke zeggenschap over de ontsleutelingsmiddelen moeten zijn, een vraag die wij uitvoerig hebben onderzocht bij het conflict tussen de Data Act en de CLOUD Act.

De invalshoek die Arpokrat volgt

Deze redenering is niet eigen aan het telecommunicatierecht. Zij is degene die wij op onze eigen architectuurkeuzes toepassen, en zij past in één zin: wat niet is voortgebracht, hoeft niet te worden beschermd.

Daarom verwijdert ArpokratOS gps, bluetooth en NFC op kernelniveau in plaats van ze in een menu uit te schakelen. Een schakelaar is een beleidsregel: hij kan worden omzeild door een bevoorrechte component, opnieuw ingeschakeld door een update, genegeerd door een gecompromitteerd systeem. Het codepad verwijderen laat de vraag vervallen. Het is de vertaling, op de schaal van een apparaat, van dezelfde verschuiving die wij op de schaal van het recht bepleiten: ingrijpen bij het ontstaan in plaats van bij de toegang.

Er moet meteen bij worden gezegd wat dit niet doet. Geen enkel besturingssysteem onttrekt een toestel aan de geometrie van het netwerk. Zolang een simkaart actief is, kent de operator de cel waaraan het toestel is gekoppeld, en al het verkeer via Tor routeren verandert daar niets aan, want dat beschermt inhoud en bestemming, niet de radiolaag. Juist daarom is het onderwerp juridisch. Er bestaat een categorie risico’s die geen enkele individuele configuratie verkleint, en waarvoor de enige beschikbare variabele de regel is die voor de operator geldt.

Dezelfde zorg bepaalt de rest van ons werk. Een gegeven dat niet bestaat, kan niet worden gevorderd, doorverkocht, geëxfiltreerd of over tien jaar ontsleuteld door een machine waarover vandaag niemand beschikt, een kwestie die wij hebben behandeld vanuit de invalshoek van nu geoogste en later gekraakte versleuteling.

Conclusie

Het publieke debat over mobiele surveillance richt zich vrijwel uitsluitend op toegang: wie de gegevens mag raadplegen, op welke grondslag, met welke machtiging. Dat debat is legitiem, en de uitspraken die het Hof van Justitie sinds 2014 heeft gedaan, hebben tastbare gevolgen gehad. Maar het komt te laat in de keten.

De voorafgaande en beslissender vraag is of de geschiedenis moet bestaan. Een bestand dat vandaag om een legitieme reden wordt aangelegd, blijft morgen beschikbaar voor een andere, en de waarborgen eromheen hangen af van latere politieke besluiten die op het moment van verzameling niemand in de hand heeft. Het is een weddenschap op de stabiliteit van instellingen, aangegaan voor een duur die niemand vaststelt.

5G heeft de resolutie van deze informatie vermenigvuldigd zonder dat er enige normatieve aanpassing plaatsvond. Het heeft tegelijk, via het SUCI-mechanisme, aangetoond dat de begaanbare weg erin bestaat positie van identiteit los te koppelen in plaats van te proberen een fysieke eigenschap van het netwerk te versleutelen. De technische norm leverde het antwoord zeven jaar voordat het recht de vraag stelde.

De Europese tekst over dataretentie wordt nu geschreven. Hij zal over metadata gaan, dus over locatie, dus over wat 5G voortaan produceert met een fijnheid die zijn opstellers niet hebben gekend. Of hij zich zal beperken tot het regelen van de toegang tot een als vanzelfsprekend beschouwde geschiedenis, dan wel of hij de noodzaak van die geschiedenis durft te bevragen, is waarschijnlijk de belangrijkste privacyvraag van de komende jaren in Europa. En het is een vraag die de technische sector, voor één keer, al in de goede richting heeft beslecht.

Bronnen

Hof van Justitie van de Europese Unie, Digital Rights Ireland, gevoegde zaken C-293/12 en C-594/12, 8 april 2014
Hof van Justitie van de Europese Unie, Tele2 Sverige en Watson, gevoegde zaken C-203/15 en C-698/15, Grote kamer, 21 december 2016
Hof van Justitie van de Europese Unie, La Quadrature du Net e.a., gevoegde zaken C-511/18, C-512/18 en C-520/18, Grote kamer, 6 oktober 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, maart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta e.a., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Permanente locatiebepaling: hoe uw telefoon u volgt, ook als u denkt dat u dat hebt verhinderd

Sun, 02 Aug 2026 00:00:00 +0000

In 2024 bevroegen twee onderzoekers van de University of Maryland herhaaldelijk de wifi-locatiedienst van Apple, zonder bijzondere rechten en zonder gespecialiseerde apparatuur, en reconstrueerden zij in één jaar de precieze positie van meer dan twee miljard wifi-toegangspunten wereldwijd. Hun artikel Surveilling the Masses with Wi-Fi-Based Positioning Systems laat zien wat die kaart mogelijk maakt: materieel volgen dat Oekraïne binnenkomt en weer verlaat, de verplaatsing van de bevolking na de branden op Maui observeren, iemand opsporen via zijn internetmodem thuis.

Bij geen van die apparaten stond gps aan. De positie kwam ergens anders vandaan.

Dit is de meest verbreide blinde vlek op het gebied van mobiele privacy: de overtuiging dat er een locatieschakelaar bestaat en dat de telefoon, zodra die uitstaat, niet meer weet waar hij is. Die overtuiging is op zeven verschillende niveaus onjuist.

Locatie is geen functie die uw telefoon inschakelt. Het is een eigenschap van wat hij is.

Gps, de minst problematische vector

Het enige mechanisme dat iedereen kan benoemen, is ook het mechanisme waarover u zich het minst zorgen zou moeten maken.

GNSS, de verzamelterm voor het Amerikaanse gps, Galileo, GLONASS en BeiDou, werkt door te luisteren. De satellieten zenden continu signalen met een tijdstempel uit, de ontvanger vangt er meerdere op en berekent zijn positie uit de verschillen in looptijd. Gebruikelijke nauwkeurigheid in de open lucht: drie tot vijf meter, in de stad vaak enkele tientallen meters, waar gevels de signalen weerkaatsen.

Doorslaggevend is dat deze berekening passief is. De telefoon zendt niets naar de satellieten, geen enkele satellietexploitant weet dat u bestaat. Als GNSS het enige was dat meespeelde, zou gps uitzetten volstaan.

Er is echter een nuance. Om de eerste positiebepaling te versnellen gebruiken telefoons A-GPS: ze halen de satellietbaangegevens op bij een server, via het SUPL-protocol. Om de juiste gegevens te krijgen, stuurt de telefoon die server het identificatienummer van de netwerkcel waarop hij is ingelogd. Zuivere GNSS verraadt u niet, maar de versneller die eraan is vastgeplakt wel.

Het mobiele netwerk: wat de provider per definitie weet

Wil een oproep u kunnen bereiken, dan moet het netwerk weten in welk gebied u zich bevindt. Dat is geen optie die u kunt inschakelen, het is de bestaansvoorwaarde van de dienst. Uw telefoon meldt zich permanent bij de dichtstbijzijnde mast, en die registratie laat een spoor na bij de provider. Geen geïnstalleerde app, geen verleende toestemming: een actieve simkaart volstaat.

De nauwkeurigheid hangt af van de methode:

Cell-ID alleen: van 200 meter in dichtbebouwd stedelijk gebied tot meer dan 30 kilometer op het platteland, waar één mast een zeer grote straal bestrijkt.
Verrijkte Cell ID, die de mastsector toevoegt (de meeste locaties zijn verdeeld in drie sectoren van 120 graden) plus de signaalsterkte: van 100 meter tot enkele kilometers.
Timing advance, dat de heen-en-weertijd tussen telefoon en mast meet: in de orde van 550 meter bij GSM, rond 78 meter bij LTE.
Multilateratie over drie masten of meer: 50 tot 300 meter bij stedelijk LTE.

5G verandert de schaal om twee cumulatieve redenen. Eerst de dichtheid: 5G-cellen bestrijken veel kleinere stralen, waardoor het enkele inloggen al fijnmazige informatie is. Dan de normalisatie: sinds Release 16 bevat 3GPP native positioneringssignalen. De commerciële doelstellingen mikken op minder dan 3 meter binnenshuis en minder dan 10 meter buiten voor 80 % van de toestellen, en Release 18 gaat voor bepaalde industriële toepassingen tot op de centimeter.

De infrastructuur die u verbindt, wordt daarmee een positioneringssysteem van een kwaliteit vergelijkbaar met gps, zonder dat u iets hebt ingeschakeld. Die gegevens worden bewaard volgens nationale regels en zijn voor autoriteiten toegankelijk via uiteenlopende procedures. Het is hetzelfde grondprobleem als bij het recht dat van toepassing is op gehoste gegevens: technische bescherming en juridische bescherming vallen niet samen.

Wifi: een wereldkaart van hardware-adressen

Elk wifi-toegangspunt zendt permanent een uniek hardware-identificatienummer uit, het BSSID. Die identificatienummers liggen vast en zijn geografisch stabiel: een thuismodem blijft jarenlang op dezelfde plek staan.

Apple, Google en enkele gespecialiseerde partijen onderhouden databases die elk BSSID aan coördinaten koppelen, opgebouwd door de telefoons van hun eigen gebruikers, die de lijst van zichtbare toegangspunten doorgeven samen met een GNSS-positie. Daarna wordt de bewerking omgekeerd: een telefoon die vier bekende toegangspunten ziet, heeft geen enkele satelliet meer nodig. In dichtbevolkt stedelijk gebied haalt de nauwkeurigheid doorgaans enkele tientallen meters, en binnenshuis komt ze daaronder.

Twee eigenschappen maken dit mechanisme moeilijk te neutraliseren. Ten eerste scant de telefoon ook wanneer wifi uit lijkt te staan: sinds Android 4.3 houdt het systeem een periodieke scan aan die de locatiebepaling moet verbeteren, los van de schakelaar in het snelmenu. Dat gedrag hangt af van een aparte instelling, diep weggestopt in de locatiediensten, die vrijwel geen enkele gebruiker ooit heeft geopend.

Ten tweede is de database van buitenaf te bevragen. Dat is het gat dat Rye en Levin hebben uitgebuit: de positioneringsinterfaces geven niet alleen de gevraagde positie terug, maar ook die van naburige toegangspunten, waardoor de kaart geoogst kan worden zonder ooit fysiek in de buurt van die plekken te komen.

Bluetooth en BLE: gelokaliseerd door de telefoons van anderen

Bluetooth Low Energy voegt een nabijheidslaag toe, met een bereik van enkele meters tot enkele tientallen meters, en dus een veel fijnere korrel dan het mobiele netwerk. Er bestaan twee toepassingen naast elkaar. Commerciële beacons, geplaatst in winkels, luchthavens of winkelcentra, zenden een identificatienummer uit dat apps op de telefoon herkennen, waardoor duidelijk wordt voor welk schap u bent blijven staan en hoe lang. En collaboratieve locatienetwerken, waarvan Apples Find My het model is, sindsdien overgenomen door Google en Samsung.

Dat tweede mechanisme keert een impliciete aanname om. De toonaangevende analyse Who Can Find My Devices?, gepubliceerd in de proceedings van PETS 2021 door onderzoekers van de Technische Universiteit Darmstadt, heeft Apples protocol via reverse engineering gereconstrueerd. Een apparaat zonder verbinding zendt een BLE-signaal uit, een willekeurig Apple-apparaat in de buurt vangt dat op, voegt zijn eigen positie toe en stuurt die versleuteld naar Apples servers, buiten medeweten van zowel de eigenaar ervan als de eigenaar van het gelokaliseerde apparaat.

Het gevolg is structureel: een apparaat zonder simkaart, zonder wifi, zonder enige netwerkverbinding blijft lokaliseerbaar, mits een onbekende met een telefoon op zak langsloopt. Uw isolement hangt niet langer af van uw instellingen, maar van die van voorbijgangers.

De traagheidssensoren: lokaliseren zonder locatietoestemming

Een telefoon bevat een versnellingsmeter, een gyroscoop, een magnetometer en vaak een barometer. Die sensoren vallen onder een andere toestemmingscategorie dan locatie: een app kan ze uitlezen zonder ooit te hebben gevraagd waar u bent.

Onderzoekers van Princeton hebben dat aangetoond met PinMe. Hun app vertrekt van het IP-adres en de tijdzone voor een grove positie en leest vervolgens de sensoren uit: de versnellingsmeter geeft het optrek- en remprofiel, de gyroscoop de opeenvolging van bochten, de magnetometer de koers, de barometer de hoogteverschillen. Een neuraal netwerk bepaalt de vervoerswijze, te voet, auto, trein of vliegtuig, en het traject wordt teruggelegd op openbare kaart-, hoogte- en weergegevens. Resultaat: een traject met een nauwkeurigheid vergelijkbaar met gps, zonder locatietoestemming. De methode heeft grenzen, die de auteurs documenteren, want ze faalt in gebieden zonder wegen en verslechtert bij uniforme rasterplattegronden, waar veel routes dezelfde signatuur opleveren. Ze blijft het bewijs dat een geweigerde toestemming geen gesloten deur is.

De barometer levert bovendien de dimensie waar GNSS slecht mee omgaat: de verticale. De Amerikaanse eisen voor noodoproepen schrijven een verdiepingsnauwkeurigheid van plus of min 3 meter voor bij 80 % van de oproepen binnenshuis. Weten op welke verdieping iemand zich bevindt, is van een andere orde dan weten in welk huizenblok.

De datamarkt: de banaalste vector

De voorgaande mechanismen beschrijven hoe een positie wordt berekend. Rest de vraag waar die naartoe gaat, en daar speelt zich het leeuwendeel van het dagelijkse risico af.

Duizenden apps bevatten reclame-SDK’s, softwarebouwstenen van derden die een ontwikkelaar toevoegt om zijn werk te gelde te maken of zijn bereik te meten. Die bouwstenen erven de rechten van de gastheerapp: een weerapp die uw positie legitiem nodig heeft, geeft die door aan partijen van wie u de naam nooit hebt gelezen. Daar komen de advertentieveilingstromen bij, waarin uw geschatte positie bij elke bannervertoning naar tientallen potentiële kopers wordt gestuurd, ook naar wie niets koopt en zich beperkt tot meeluisteren.

Deze grondstof voedt een hele industrie. De Electronic Frontier Foundation documenteerde de zaak Fog Data Science, dat miljarden datapunten over meer dan 250 miljoen apparaten claimde en die verkocht aan lokale Amerikaanse politiekorpsen. Brian Krebs beschreef Locate X, een product waarmee u een veelhoek op een kaart tekent en de geschiedenis ziet van de apparaten die dat gebied binnenkwamen en verlieten.

Deze vector vergt geen technisch huzarenstukje, alleen iemand die bereid is te betalen. De prijs is bescheiden.

IMSI-catchers: de actieve lokalisatie

De tot dusver besproken mechanismen buiten een normale werking uit. Daarnaast bestaat actieve lokalisatie, uitgevoerd door een derde die op het netwerk ingrijpt.

Een IMSI-catcher, of celsimulator, is apparatuur die zich voordoet als een legitieme mast. Telefoons binnen bereik loggen erop in en onthullen daarbij hun abonnee-identificatie en hun aanwezigheid binnen een beperkte straal.

5G zou die deur sluiten door de permanente identificatie in leesbare vorm te vervangen door een versleutelde, de SUCI. De sluiting is gedeeltelijk. Het werk dat is gepresenteerd onder de titel 5G SUCI-catchers: still catching them all? documenteert koppelingsaanvallen waarmee sessies ondanks de versleuteling opnieuw te correleren zijn. Belangrijker nog: de bescherming valt volledig weg als de aanvaller het toestel dwingt terug te vallen op een eerdere generatie, met name 2G, waarvan de authenticatie eenzijdig is. Een 5G-telefoon blijft kwetsbaar voor een aanval die is ontworpen voor een netwerk uit de jaren negentig, omdat hij nog altijd bereid is daarheen af te dalen.

De tegenmaatregelen en hun werkelijke effect

Elke maatregel hieronder doet iets. Geen enkele doet alles, en het gat tussen wat ze doen en wat men hun toeschrijft, leidt tot de verkeerde beslissingen.

De vliegtuigmodus

De vliegtuigmodus schakelt het zenden van de mobiele modem, wifi en bluetooth uit. Dat is reëel, en het is het beste resultaat voor zo weinig moeite.

Wat hij niet doet: hij stopt de traagheidssensoren niet, hij wist de al opgeslagen posities niet, die bij het opnieuw verbinden alsnog vertrekken, en op de meeste toestellen laat hij toe wifi of bluetooth afzonderlijk weer aan te zetten zonder hem te verlaten. Het is ten slotte een softwaretoestand, geen stroomonderbreking: de betrouwbaarheid hangt af van de integriteit van het systeem dat hem toepast.

Een onderschat detail: het loskoppelen en opnieuw aanmelden bij het netwerk zijn zelf gebeurtenissen met een tijdstempel aan de kant van de provider. Een telefoon die om 21 uur in de ene cel verdwijnt en om 23 uur in een andere weer opduikt, heeft informatie geproduceerd, geen stilte.

De randomisatie van het MAC-adres

Mobiele systemen zenden tegenwoordig willekeurige MAC-adressen uit tijdens het scannen, om te voorkomen dat men van plaats naar plaats gevolgd wordt. De bedoeling is goed, het resultaat onvolledig. Het toonaangevende werk, waaronder Why MAC Address Randomization is not Enough, laat zien dat de inhoud van de zoekframes vaak volstaat om het apparaat opnieuw te identificeren: het aantal informatie-elementen, hun waarden en hun volgorde vormen een vingerafdruk. Daar komen de volgnummers bij, die oplopend en dus aaneen te rijgen zijn, en de tijdsignatuur die eigen is aan elk model. Sommige studies melden dat de helft van de apparaten minstens twintig minuten correct te volgen is.

Ten slotte een conceptuele grens: de randomisatie betreft alleen de zoekfase. Zodra u verbinding maakt met een netwerk, is het gebruikte adres per ontwerp stabiel voor dat netwerk, opdat de verbinding werkt. Het café waar u elke ochtend komt, herkent u.

De scans echt uitzetten

Dit is de meest lonende en de meest genegeerde instelling. Op Android zijn wifi-scannen en bluetooth-scannen twee aparte opties, ondergebracht bij de locatiediensten, los van de schakelaars in het snelmenu. Zolang ze aanstaan, volstaat het niet wifi via het paneel uit te zetten: het scannen gaat door.

Ze uitschakelen verwijdert een volledige verzamellaag, zonder andere kosten dan een iets tragere eerste positiebepaling. Voor de meeste lezers is dat de beste verhouding tussen geleverde inspanning en behaald resultaat.

De app-toestemmingen

Locatietoestemming intrekken bij apps die haar aantoonbaar niet nodig hebben, blijft nuttig, en recente systemen bieden drie gradaties: eenmalige toestemming, toestemming beperkt tot actief gebruik, en geschatte locatie, die slechts een gebied in de orde van een kilometer doorgeeft.

Dat beschermt echter niet tegen SDK’s die draaien binnen een app met een legitieme reden om uw positie op te vragen, noch tegen de traagheidssensoren, noch tegen de netwerklagen, die via geen enkele toestemming lopen.

Waartegen een VPN niet beschermt

Een punt dat verheldering verdient, omdat de tegenovergestelde overtuiging zeer wijdverbreid is: een VPN verbergt uw locatie niet. Hij verbergt uw publieke IP-adres en vervalst dus de locatiebepaling op basis van IP, die sowieso het grofste mechanisme uit de lijst is.

Een VPN raakt noch de GNSS-ontvanger, noch het wifi-scannen, noch bluetooth, noch de sensoren. Hij verandert niets aan wat uw provider weet, want de versleutelde tunnel loopt via zijn masten en het inloggen op de cel blijft voor hem zichtbaar. Hij verhindert niet dat een app met locatietoestemming exacte coördinaten binnen de tunnel doorgeeft. Een VPN beschermt de inhoud en de bestemming van uw communicatie op een onbetrouwbaar netwerk, en dat is al veel. Locatiebepaling valt niet binnen zijn bereik.

De fysieke grenzen

Een faradayhoes werkt in letterlijke zin: hij blokkeert zenden en ontvangen. Het verwijderen van de batterij ook, waar dat nog mogelijk is. Een apart toestel, of gewoon uw telefoon elders laten, blijft de robuustste maatregel.

Deze oplossingen delen een gebrek waar we recht in het gezicht moeten kijken: ze produceren een afwijking. Een telefoon die elke dinsdagavond twee uur zwijgt, zegt iets. Tegen een tegenstander die patronen analyseert in plaats van momentopnames, is afwezigheid zelf een gegeven.

Drie tegenstanders, drie strategieën

Dit is het belangrijkste onderscheid van dit artikel en het onderscheid dat men het minst vaak leest.

Tegen een adverteerder of een datahandelaar is de strijd te winnen. Discipline bij toestemmingen, scans uitschakelen, een systeem zonder propriëtaire locatiediensten, de reclame-identificatie resetten: samen verlagen die het verzamelde volume zeer sterk. Deze tegenstander zoekt goedkoop volume, niet uw specifieke geval.

Tegen uw provider volstaat geen enkele configuratie. Locatiebepaling via het mobiele netwerk is de voorwaarde van de dienst. De enige echte variabelen zijn juridisch, namelijk wat de wet toestaat te bewaren en door te geven, en materieel: welk toestel, welke simkaart, op wiens naam, waar aangezet.

Tegen een gerichte statelijke tegenstander verandert de redenering opnieuw, want die combineert wettelijke toegang tot de providergegevens, actieve lokalisatie met een celsimulator, vorderingen bij de platformen en, in voorkomend geval, compromittering van het toestel zelf. Softwarematige tegenmaatregelen verkleinen het aanvalsoppervlak, maar het realistische doel is niet verdwijnen: het is precies weten wat blootgesteld blijft.

De aanpak van ArpokratOS

ArpokratOS beantwoordt dit landschap met een keuze die voortvloeit uit het bovenstaande onderscheid: wat geneutraliseerd moet worden, wordt dat op systeemniveau, niet in een menu.

Bij GNSS wordt het hardwarestuurprogramma verwijderd. Het toestel gedraagt zich alsof de chip niet bestaat, zowel voor applicaties als voor het systeem zelf. Het verschil met een schakelaar in de instellingen is niet cosmetisch. Een schakelaar is beleid: hij wordt afgedwongen door een laag die omzeild kan worden door een voldoende bevoorrechte component, opnieuw ingeschakeld door een update, of genegeerd door een gecompromitteerd systeem. Het codepad verwijderen laat de vraag vervallen, want er valt niets meer in te schakelen.

Bluetooth wordt op Core-niveau aangepakt, volgens dezelfde logica. Bluetooth dat in de instellingen is uitgezet, laat op veel toestellen de softwarestack in de praktijk in leven, om nabijheidsdiensten en collaboratieve locatienetwerken te voeden. Afwezig op systeemniveau kan het niet praten met een winkelbeacon, niet deelnemen aan een netwerk van het type Find My, en niet dienen als aanvalsoppervlak zonder interactie.

Er moet duidelijk gezegd worden wat dit niet doet. ArpokratOS maakt een telefoon niet ondetecteerbaar. Zolang een simkaart actief is, kent de provider de cel waarop u bent ingelogd, en geen enkel besturingssysteem verandert dat, zelfs niet met al het verkeer via Tor. Routering beschermt de inhoud en de bestemming, niet de radiogeometrie. Wie onzichtbaarheid belooft, verkoopt een verhaal.

Wat zo’n architectuur oplevert is bescheidener: het wegnemen van de applicatie- en nabijheidslagen, waarlangs verreweg het grootste deel van de werkelijke verzameling loopt, en een expliciet dreigingsmodel voor wat overblijft. Het is dezelfde redenering als bij de keuze van een desktopsysteem, uitgewerkt in onze vergelijking van besturingssystemen: de nuttige vraag is niet of een instrument beschermt, maar waartegen het beschermt en tegen welke prijs.

Conclusie

Dit artikel biedt geen methode om te verdwijnen. Die methode bestaat niet, en teksten die het tegendeel beweren, produceren vooral vals vertrouwen, dat gevaarlijker is dan geen bescherming omdat het mensen risico’s doet nemen.

Het doel was een binaire vraag, ben ik lokaliseerbaar of niet, te vervangen door een nuttige vraag: door wie, met welke nauwkeurigheid, tegen welke kosten voor hen, en kan het mij schelen. Het antwoord verschilt voor een journalist die een bron beschermt, een bestuurder op reis in een gevoelige jurisdictie, een advocaat wiens afspraken een strategie verraden, of een particulier die zich eraan ergert dat een adverteerder zijn gewoonten kent.

Wat de aandacht verdient, is trouwens niet de prestatie van elk van deze mechanismen afzonderlijk, maar het feit dat ze elkaar overlappen. Een positie met vijftig meter marge is niet erg interessant. Een positie met vijftig meter marge, elk kwartier, twee jaar lang, tekent een woonadres, een werkplek, een geloofsovertuiging, een gezondheidstoestand, een verhouding, een bron. Locatiegegevens zijn de metadata die alle andere leesbaar maken, en dat is de reden waarom ze veel waard zijn.

Bronnen

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: De nieuwe 'Super-Cookie' van telecomproviders die uw privacy bedreigt

Mon, 01 Jun 2026 00:00:00 +0000

Het geplande einde van cookies van derden in webbrowsers heeft een ware wapenwedloop in de gerichte advertentie-industrie veroorzaakt. Terwijl Google zijn eigen normen probeert op te leggen (zoals de Privacy Sandbox), heeft een andere onverwachte speler besloten een stuk van de taart te pakken: uw internetprovider (ISP).

Zo werd Utiq (voorheen bekend als project TrustPid) geboren, een joint venture opgericht door Europese telecommunicatiegiganten. Verkocht aan het grote publiek als een “transparante en respectvolle” oplossing, is Utiq eigenlijk wat cyberbeveiligingsexperts het meest vrezen: een “supercookie” die op netwerkniveau werkt.

Wat is Utiq en hoe werkt het?

Traditioneel wordt advertentietracking (cookies) beheerd door uw webbrowser (Chrome, Firefox, Safari). U kon het blokkeren met behulp van extensies (zoals uBlock Origin) of een privacygerichte browser (zoals Brave).

Utiq verschuift het probleem een stap terug: naar het niveau van uw netwerkverbinding.

Hier is hoe de val dichtklapt:

Netwerkonderschepping: Wanneer u op internet surft via uw mobiele verbinding (4G/5G) of uw glasvezelbox, gebruikt Utiq uw IP-adres en uw telecomabonnementsgegevens om u te identificeren.
De toestemming (de valse keuze): Bij aankomst op een partnersite vraagt een pop-upvenster u om Utiq te accepteren. Door de vermoeidheid in verband met cookiebanners (Consent Fatigue) klikken miljoenen gebruikers op “Accepteren” zonder te lezen.
Het “Network Signal”: Zodra toestemming is gegeven, neemt Utiq rechtstreeks contact op met uw telecomoperator. Laatstgenoemde genereert een uniek, gepseudonimiseerd identificatietoken (het netwerksignaal) dat het naar adverteerders verzendt.

U bent nu traceerbaar van site tot site, niet door een bestand dat op uw computer is opgeslagen, maar door de infrastructuur zelf die u van internet voorziet.

Waarom Utiq een nachtmerrie voor privacy is (OPSEC)

Het initiatief roept ernstige problemen op voor de digitale soevereiniteit en de vertrouwelijkheid van uw gegevens:

Tracking bij de bron: In tegenstelling tot klassieke cookies, kunt u niet zomaar “uw geschiedenis wissen” of “uw cache leegmaken” om van Utiq af te komen. Het identificatietoken wordt gegenereerd door uw ISP.
De centralisatie van profielen: Telecomoperatoren kennen uw naam, fysiek adres, bankgegevens en realtime locatie al. Door uw webgeschiedenis via Utiq hieraan te koppelen, creëren ze gedragsprofilering van een beangstigende precisie.
De fout van pseudonimisering: Utiq verdedigt zichzelf door uw naam niet in platte tekst te delen en beweert “gecodeerde” tokens te gebruiken. In de wereld van cyberbeveiliging is echter bewezen dat pseudonimisering omkeerbaar is. Door deze tokens te kruisen met andere databases, kunnen personen gemakkelijk opnieuw worden geïdentificeerd.

Welke operators gebruiken Utiq?

Utiq is opgericht door een alliantie van de vier grootste Europese operators. Als u klant bent bij een van hen (of een van hun low-cost dochterondernemingen), is uw verbinding mogelijk al “compatibel” met deze tracking.

De OPSEC-tip: Hoewel Utiq een gecentraliseerd portaal voor toestemmingsbeheer biedt (consenthub.utiq.com) om de toegang in te trekken, blijft de beste verdediging technologisch.

De Zero-Trust benadering om Utiq tegen te gaan

De filosofie van digitale soevereiniteit, aangedreven door ecosystemen zoals Arpokrat, berust op een eenvoudig principe: vertrouw de netwerkinfrastructuur nooit.

Om systemen als Utiq technisch te neutraliseren, is de oplossing om uw verkeer te verbergen voor uw eigen internetprovider:

Gebruik van een soevereine VPN: Door uw verkeer te coderen zodra het uw apparaat verlaat, ziet uw ISP alleen een onleesbare gegevensstroom gericht op een VPN-server. Het kan geen Utiq-tokens meer injecteren of lezen.
Het Tor-netwerk (Orbot): Onion-routing voorkomt elke end-to-end identificatie.
DNS-codering (DoH/DoT): Voorkomt dat uw operator weet welke websites u wilt bezoeken.

Kortom, Utiq is het bewijs dat internetproviders niet langer genoegen nemen met louter “pijpen”; ze willen data-makelaars worden. Meer dan ooit is het coderen van uw verkeer niet langer een beveiligingsoptie, maar een absolute noodzaak om uw digitale stilte te bewaren.