Stała geolokalizacja: jak telefon śledzi cię nawet wtedy, gdy myślisz, że mu to uniemożliwiłeś

Sun, 02 Aug 2026 00:00:00 +0000

W 2024 roku dwaj badacze z Uniwersytetu Maryland wielokrotnie odpytywali usługę pozycjonowania Wi-Fi firmy Apple, bez żadnych szczególnych uprawnień ani specjalistycznego sprzętu, i w ciągu roku odtworzyli dokładne położenie ponad dwóch miliardów punktów dostępowych Wi-Fi na świecie. Ich praca Surveilling the Masses with Wi-Fi-Based Positioning Systems pokazuje, co taka mapa umożliwia: śledzenie sprzętu wjeżdżającego na Ukrainę i z niej wyjeżdżającego, obserwowanie przemieszczeń ludności po pożarach na Maui, namierzenie konkretnej osoby przez jej domowy router.

W żadnym z tych urządzeń nie był włączony GPS. Pozycja pochodziła skądinąd.

To najczęstszy martwy punkt w kwestii prywatności mobilnej: przekonanie, że istnieje przełącznik lokalizacji i że po jego wyłączeniu telefon przestaje wiedzieć, gdzie się znajduje. To przekonanie jest fałszywe na siedmiu różnych poziomach.

Lokalizacja nie jest funkcją, którą telefon włącza. Jest właściwością tego, czym telefon jest.

GPS, czyli najmniej problematyczny wektor

Jedyny mechanizm, który wszyscy potrafią nazwać, jest zarazem tym, który powinien niepokoić najmniej.

GNSS, termin zbiorczy obejmujący amerykański GPS, Galileo, GLONASS i BeiDou, działa przez nasłuch. Satelity nadają w sposób ciągły sygnały ze znacznikiem czasu, odbiornik odbiera kilka z nich i wylicza swoją pozycję na podstawie różnic czasu propagacji. Typowa dokładność w otwartym terenie: od trzech do pięciu metrów, w mieście często kilkadziesiąt metrów, bo elewacje odbijają sygnały.

Rozstrzygające jest to, że obliczenie ma charakter pasywny. Telefon nie nadaje niczego w stronę satelitów, żaden operator satelitarny nie wie, że istniejesz. Gdyby w grze był wyłącznie GNSS, wyłączenie GPS by wystarczyło.

Jest tu jednak pewien niuans. Aby przyspieszyć pierwsze wyznaczenie pozycji, telefony korzystają z A-GPS: pobierają efemerydy satelitarne z serwera, poprzez protokół SUPL . Żeby otrzymać właściwe dane, telefon przekazuje temu serwerowi identyfikator komórki sieci, do której jest przyłączony. Czysty GNSS cię nie zdradza, ale doczepiony do niego akcelerator już tak.

Sieć komórkowa: to, co operator wie z definicji

Żeby połączenie mogło do ciebie dotrzeć, sieć musi wiedzieć, w jakim obszarze się znajdujesz. To nie jest opcja do włączenia, to warunek istnienia usługi. Telefon nieustannie zgłasza się do najbliższej stacji bazowej, a ta rejestracja zostawia ślad po stronie operatora. Żadnej zainstalowanej aplikacji, żadnego przyznanego uprawnienia: wystarczy aktywna karta SIM.

Dokładność zależy od metody:

Sam identyfikator komórki: od 200 metrów w gęstej zabudowie miejskiej do ponad 30 kilometrów na wsi, gdzie jedna stacja obsługuje bardzo duży promień.
Wzbogacony Cell ID, który dodaje sektor anteny (większość stacji jest podzielona na trzy sektory po 120 stopni) oraz siłę sygnału: od 100 metrów do kilku kilometrów.
Timing advance, mierzący opóźnienie w obie strony między telefonem a stacją: rzędu 550 metrów w GSM, około 78 metrów w LTE.
Multilateracja na trzech lub więcej stacjach: od 50 do 300 metrów w miejskim LTE.

5G zmienia skalę z dwóch nakładających się powodów. Po pierwsze gęstość: komórki 5G pokrywają znacznie mniejsze promienie, więc już samo przyłączenie jest informacją precyzyjną. Po drugie normalizacja: od wydania Release 16 3GPP uwzględnia natywne sygnały pozycjonujące. Cele komercyjne to poniżej 3 metrów w pomieszczeniach i poniżej 10 metrów na zewnątrz dla 80 % terminali, a Release 18 schodzi do centymetrów w niektórych zastosowaniach przemysłowych.

Infrastruktura, która cię łączy, staje się więc systemem pozycjonowania o jakości porównywalnej z GPS, bez włączania czegokolwiek z twojej strony. Dane te są przechowywane zgodnie z przepisami krajowymi i udostępniane organom w różnych trybach. To ten sam spór, co przy jurysdykcji właściwej dla danych hostowanych : ochrona techniczna i ochrona prawna nie pokrywają się.

Wi-Fi: mapa świata zbudowana z adresów sprzętowych

Każdy punkt dostępowy Wi-Fi rozgłasza nieprzerwanie unikalny identyfikator sprzętowy, BSSID. Identyfikatory te są stałe i geograficznie niezmienne: domowy router stoi latami w tym samym miejscu.

Apple, Google i kilku wyspecjalizowanych graczy utrzymują bazy wiążące każdy BSSID ze współrzędnymi, budowane przez telefony ich własnych użytkowników, które przesyłają listę widocznych punktów wraz z pozycją GNSS. Następnie operacja zostaje odwrócona: telefon widzący cztery znane punkty nie potrzebuje już ani jednego satelity. W gęstej zabudowie miejskiej dokładność sięga zwykle kilkudziesięciu metrów, a wewnątrz budynków schodzi jeszcze niżej.

Dwie cechy sprawiają, że ten mechanizm trudno zneutralizować. Po pierwsze telefon skanuje nawet wtedy, gdy Wi-Fi wydaje się wyłączone: od Androida 4.3 system utrzymuje okresowe skanowanie służące poprawie lokalizacji, niezależnie od przełącznika w panelu szybkich ustawień. To zachowanie zależy od odrębnej opcji, ukrytej w usługach lokalizacji, której praktycznie żaden użytkownik nigdy nie otworzył.

Po drugie bazę można odpytywać z zewnątrz. To właśnie luka wykorzystana przez Rye’a i Levina: interfejsy pozycjonowania zwracają nie tylko żądaną pozycję, ale również pozycje sąsiednich punktów, co pozwala zbierać mapę bez zbliżania się fizycznie do tych miejsc.

Bluetooth i BLE: zlokalizowany przez telefony innych ludzi

Bluetooth Low Energy dokłada warstwę bliskości, o zasięgu od kilku do kilkudziesięciu metrów, a więc o ziarnistości znacznie drobniejszej niż sieć komórkowa. Współistnieją dwa zastosowania. Beacony komercyjne, rozmieszczone w sklepach, na lotniskach czy w centrach handlowych, nadają identyfikator rozpoznawany przez aplikacje obecne w telefonie, co ujawnia, przed którą półką się zatrzymałeś i na jak długo. Oraz sieci lokalizacji współdzielonej, których wzorcem jest Find My firmy Apple, przejęty od tego czasu przez Google i Samsunga.

Ten drugi mechanizm odwraca milczące założenie. Referencyjna analiza Who Can Find My Devices? , opublikowana w materiałach PETS 2021 przez badaczy z Politechniki w Darmstadt, odtworzyła protokół Apple metodą inżynierii wstecznej. Urządzenie bez połączenia nadaje sygnał BLE, dowolne urządzenie Apple w pobliżu go odbiera, dołącza własną pozycję i przesyła ją zaszyfrowaną na serwery Apple, bez wiedzy zarówno swojego właściciela, jak i właściciela urządzenia lokalizowanego.

Konsekwencja ma charakter strukturalny: urządzenie bez karty SIM, bez Wi-Fi, bez jakiegokolwiek połączenia sieciowego pozostaje możliwe do zlokalizowania, o ile obok przejdzie nieznajomy z telefonem w kieszeni. Twoja izolacja nie zależy już od twoich ustawień, lecz od ustawień przechodniów.

Czujniki inercyjne: lokalizacja bez uprawnienia do lokalizacji

Telefon zawiera akcelerometr, żyroskop, magnetometr i często barometr. Czujniki te należą do kategorii uprawnień odrębnej od lokalizacji: aplikacja może je odczytywać, nigdy nie pytając, gdzie jesteś.

Badacze z Princeton wykazali to przy pomocy PinMe . Ich aplikacja wychodzi od adresu IP i strefy czasowej, by uzyskać zgrubną pozycję, a następnie odczytuje czujniki: akcelerometr daje profil przyspieszania i hamowania, żyroskop sekwencję zakrętów, magnetometr kurs, barometr zmiany wysokości. Sieć neuronowa rozpoznaje środek transportu, pieszo, samochód, pociąg czy samolot, a trasa jest dopasowywana do publicznych danych kartograficznych, wysokościowych i pogodowych. Wynik: trajektoria o dokładności porównywalnej z GPS, bez uprawnienia do lokalizacji. Metoda ma ograniczenia, które autorzy dokumentują, ponieważ zawodzi na obszarach bez dróg i pogarsza się przy jednolitych układach szachownicowych, gdzie wiele tras daje tę samą sygnaturę. Pozostaje jednak dowodem, że odmówione uprawnienie nie jest zamkniętymi drzwiami.

Barometr dostarcza ponadto wymiaru, z którym GNSS radzi sobie źle, czyli pionowego. Amerykańskie wymogi dotyczące połączeń alarmowych narzucają dokładność na poziomie kondygnacji plus minus 3 metry dla 80 % połączeń wykonywanych w budynkach. Wiedzieć, na którym piętrze ktoś się znajduje, to zupełnie inna wiedza niż wiedzieć, w którym kwartale ulic.

Rynek danych: wektor najbardziej banalny

Powyższe mechanizmy opisują, w jaki sposób pozycja jest wyliczana. Pozostaje pytanie, dokąd ona trafia, i tam właśnie rozgrywa się większość codziennego ryzyka.

Tysiące aplikacji zawierają reklamowe SDK, komponenty programowe dostarczane przez podmioty trzecie, które deweloper dodaje, by zmonetyzować swoją pracę lub mierzyć zasięg. Komponenty te dziedziczą uprawnienia aplikacji goszczącej: aplikacja pogodowa, która zasadnie potrzebuje twojej pozycji, przekazuje ją podmiotom, których nazw nigdy nie czytałeś. Do tego dochodzą strumienie aukcji reklamowych, w których twoja przybliżona pozycja jest rozsyłana do dziesiątek potencjalnych kupujących przy każdym wyświetleniu banera, w tym do tych, którzy niczego nie kupują i poprzestają na nasłuchiwaniu.

Ten surowiec zasila cały przemysł. Electronic Frontier Foundation udokumentowała przypadek Fog Data Science , firmy deklarującej miliardy punktów danych o ponad 250 milionach urządzeń, sprzedawanych lokalnym policjom w Stanach Zjednoczonych. Brian Krebs opisał Locate X , produkt pozwalający obrysować wielokąt na mapie i zobaczyć historię urządzeń, które wjechały do tego obszaru i go opuściły.

Ten wektor nie wymaga żadnego wyczynu technicznego, wystarczy, że ktoś zgodzi się zapłacić. Cena jest niewielka.

IMSI catchery: lokalizacja aktywna

Opisane dotąd mechanizmy wykorzystują normalne działanie systemu. Istnieje również lokalizacja aktywna, prowadzona przez podmiot ingerujący w sieć.

IMSI catcher, czyli symulator stacji bazowej, to urządzenie podszywające się pod legalną stację. Telefony w zasięgu przyłączają się do niego, ujawniając identyfikator abonenta i swoją obecność w ściśle ograniczonym obszarze.

5G miało zamknąć te drzwi, zastępując stały identyfikator przesyłany jawnie identyfikatorem zaszyfrowanym, SUCI. Zamknięcie jest częściowe. Prace przedstawione pod tytułem 5G SUCI-catchers: still catching them all? dokumentują ataki wiążące, pozwalające ponownie skorelować sesje mimo szyfrowania. Przede wszystkim jednak ochrona upada całkowicie, jeśli atakujący zmusi terminal do zejścia na wcześniejszą generację, zwłaszcza 2G, którego uwierzytelnianie jest jednostronne. Telefon 5G pozostaje podatny na atak zaprojektowany dla sieci z lat dziewięćdziesiątych, ponieważ nadal godzi się na takie zejście.

Środki zaradcze i ich rzeczywista skuteczność

Każdy z poniższych środków coś daje. Żaden nie daje wszystkiego, a rozziew między tym, co robią, a tym, co się im przypisuje, prowadzi do złych decyzji.

Tryb samolotowy

Tryb samolotowy odcina nadawanie modemu komórkowego, Wi-Fi i Bluetootha. To działa naprawdę i jest to najlepszy rezultat przy tak niewielkim wysiłku.

Czego nie robi: nie zatrzymuje czujników inercyjnych, nie usuwa pozycji już zapisanych w pamięci podręcznej, które wyjdą przy ponownym połączeniu, a na większości urządzeń pozwala włączyć z powrotem Wi-Fi lub Bluetooth osobno, bez wychodzenia z niego. Jest wreszcie stanem programowym, a nie odcięciem zasilania: jego wiarygodność zależy od integralności systemu, który go egzekwuje.

Niedoceniany szczegół: odłączenie od sieci i ponowne przyłączenie same w sobie są zdarzeniami ze znacznikiem czasu po stronie operatora. Telefon, który znika o 21 w jednej komórce i pojawia się o 23 w innej, wytworzył informację, a nie ciszę.

Losowanie adresu MAC

Systemy mobilne emitują dziś przy skanowaniu losowe adresy MAC, aby uniemożliwić śledzenie z miejsca na miejsce. Intencja jest dobra, rezultat niepełny. Prace referencyjne, w tym Why MAC Address Randomization is not Enough , pokazują, że sama zawartość ramek rozpoznawczych często wystarcza do ponownego zidentyfikowania urządzenia: liczba elementów informacyjnych, ich wartości i kolejność tworzą odcisk. Dochodzą do tego numery sekwencyjne, przyrostowe, a więc dające się połączyć w łańcuch, oraz sygnatura czasowa właściwa każdemu modelowi. Niektóre badania donoszą o poprawnym śledzeniu połowy urządzeń przez co najmniej dwadzieścia minut.

Wreszcie ograniczenie pojęciowe: losowanie dotyczy wyłącznie fazy wykrywania. Gdy tylko połączysz się z siecią, używany adres jest dla tej sieci stały, z założenia, żeby połączenie działało. Kawiarnia, do której chodzisz co rano, rozpoznaje cię.

Naprawdę wyłączyć skanowanie

To ustawienie najbardziej opłacalne i najczęściej pomijane. W Androidzie wyszukiwanie Wi-Fi i wyszukiwanie Bluetooth to dwie odrębne opcje, umieszczone w usługach lokalizacji, niezależne od przełączników w panelu szybkich ustawień. Dopóki są aktywne, wyłączenie Wi-Fi z panelu nie wystarcza: skanowanie trwa dalej.

Ich wyłączenie usuwa całą warstwę zbierania danych, a jedynym kosztem jest nieco wolniejsze pierwsze wyznaczenie pozycji. Dla większości czytelników to najlepszy stosunek włożonego wysiłku do uzyskanego efektu.

Uprawnienia aplikacji

Odbieranie uprawnienia do lokalizacji aplikacjom, które ewidentnie go nie potrzebują, pozostaje przydatne, a nowsze systemy oferują trzy stopnie: zgodę jednorazową, zgodę ograniczoną do aktywnego użycia oraz lokalizację przybliżoną, przekazującą jedynie obszar rzędu kilometra.

Nie chroni to natomiast ani przed SDK osadzonymi w aplikacji mającej uzasadniony powód dostępu do twojej pozycji, ani przed czujnikami inercyjnymi, ani przed warstwami sieciowymi, które nie przechodzą przez żadne uprawnienie.

Przed czym VPN nie chroni

Punkt wymagający wyjaśnienia, bo przekonanie odwrotne jest bardzo rozpowszechnione: VPN nie ukrywa twojej lokalizacji. Ukrywa twój publiczny adres IP, więc zafałszowuje geolokalizację po IP, która i tak jest najbardziej zgrubnym mechanizmem z całej listy.

VPN nie dotyka ani odbiornika GNSS, ani skanowania Wi-Fi, ani Bluetootha, ani czujników. Nie zmienia niczego w tym, co wie twój operator, ponieważ zaszyfrowany tunel przechodzi przez jego stacje, a przyłączenie do komórki pozostaje dla niego widoczne. Nie powstrzymuje aplikacji dysponującej uprawnieniem do lokalizacji przed przesłaniem dokładnych współrzędnych wewnątrz tunelu. VPN chroni treść i cel twojej komunikacji w niezaufanej sieci, a to już dużo. Lokalizacja nie mieści się w jego zakresie.

Granice fizyczne

Etui Faradaya działa w sensie dosłownym: blokuje nadawanie i odbiór. Wyjęcie baterii również, tam gdzie jest to jeszcze możliwe. Osobne urządzenie albo po prostu zostawienie telefonu gdzie indziej pozostaje środkiem najbardziej odpornym.

Rozwiązania te mają wspólną wadę, której trzeba spojrzeć w oczy: wytwarzają anomalię. Telefon, który milknie na dwie godziny w każdy wtorkowy wieczór, coś mówi. Wobec przeciwnika analizującego wzorce, a nie chwilowe pozycje, nieobecność jest daną.

Trzej przeciwnicy, trzy strategie

To najważniejsze rozróżnienie w tym artykule i zarazem to, które czyta się najrzadziej.

Przeciwko reklamodawcy lub brokerowi danych walka jest do wygrania. Dyscyplina uprawnień, wyłączenie skanowania, system bez zamkniętych usług lokalizacji, resetowanie identyfikatora reklamowego: razem bardzo silnie redukują zbierany wolumen. Ten przeciwnik szuka taniej masy, a nie twojego konkretnego przypadku.

Przeciwko twojemu operatorowi żadna konfiguracja nie wystarczy. Lokalizacja komórkowa jest warunkiem usługi. Jedyne realne zmienne są prawne, czyli to, co ustawa pozwala przechowywać i przekazywać, oraz materialne: jakie urządzenie, jaka karta SIM, na czyje nazwisko, włączona gdzie.

Przeciwko ukierunkowanemu przeciwnikowi państwowemu rozumowanie zmienia się jeszcze raz, ponieważ łączy on legalny dostęp do danych operatora, aktywną lokalizację symulatorem stacji, żądania wobec platform i, w razie potrzeby, kompromitację samego terminala. Programowe środki zaradcze zmniejszają powierzchnię, ale realistycznym celem nie jest zniknięcie: jest nim dokładna wiedza o tym, co pozostaje odsłonięte.

Podejście ArpokratOS

ArpokratOS odpowiada na ten krajobraz wyborem wynikającym z powyższego rozróżnienia: to, co ma zostać zneutralizowane, neutralizuje się na poziomie systemu, a nie w menu.

W przypadku GNSS sterownik sprzętowy zostaje usunięty. Urządzenie zachowuje się tak, jakby układ nie istniał, zarówno wobec aplikacji, jak i wobec samego systemu. Różnica względem przełącznika w ustawieniach nie jest kosmetyczna. Przełącznik to polityka: egzekwuje ją warstwa, którą wystarczająco uprzywilejowany komponent może obejść, aktualizacja ponownie włączyć, a skompromitowany system zignorować. Usunięcie ścieżki kodu likwiduje pytanie, bo nie ma już czego włączać.

Bluetooth jest traktowany na poziomie Core, według tej samej logiki. Bluetooth wyłączony w ustawieniach w praktyce pozostawia na wielu urządzeniach żywy stos programowy, obsługujący usługi bliskości i sieci lokalizacji współdzielonej. Nieobecny na poziomie systemu nie może ani rozmawiać z beaconem sklepowym, ani uczestniczyć w sieci typu Find My, ani służyć jako powierzchnia ataku bez interakcji.

Trzeba jasno powiedzieć, czego to nie daje. ArpokratOS nie czyni telefonu niewykrywalnym. Dopóki aktywna jest karta SIM, operator zna komórkę przyłączenia i żaden system operacyjny tego nie zmieni, nawet przy całym ruchu kierowanym przez Tor. Trasowanie chroni treść i cel, a nie geometrię radiową. Kto obiecuje niewidzialność, sprzedaje bajkę.

To, co taka architektura wnosi, jest skromniejsze: usunięcie warstw aplikacyjnej i bliskościowej, przez które przechodzi zdecydowana większość realnego zbierania danych, oraz jawny model zagrożeń dla tego, co pozostaje. To rozumowanie zastosowane do wyboru systemu na komputer, opisane w naszym porównaniu systemów operacyjnych : użyteczne pytanie nie brzmi, czy narzędzie chroni, lecz przed czym chroni i jakim kosztem.

Podsumowanie

Ten artykuł nie dostarcza metody na zniknięcie. Taka metoda nie istnieje, a teksty twierdzące inaczej wytwarzają przede wszystkim fałszywą pewność, groźniejszą niż brak ochrony, bo skłaniającą do podejmowania ryzyka.

Celem było zastąpienie pytania zerojedynkowego, czy jestem lokalizowalny czy nie, pytaniem użytecznym: przez kogo, z jaką dokładnością, jakim kosztem dla nich i czy mnie to obchodzi. Odpowiedź jest inna dla dziennikarza chroniącego źródło, dla menedżera podróżującego po wrażliwej jurysdykcji, dla adwokata, którego spotkania zdradzają strategię, i dla osoby prywatnej zirytowanej tym, że reklamodawca zna jej przyzwyczajenia.

Uwagę powinna zresztą przyciągać nie skuteczność każdego z tych mechanizmów z osobna, lecz to, że one się nakładają. Pozycja z dokładnością do pięćdziesięciu metrów nie jest szczególnie ciekawa. Pozycja z dokładnością do pięćdziesięciu metrów, co kwadrans, przez dwa lata, rysuje miejsce zamieszkania, miejsce pracy, wyznanie, stan zdrowia, romans, źródło informacji. Dana lokalizacyjna to metadana, która czyni wszystkie pozostałe czytelnymi, i właśnie dlatego jest tyle warta.

Źródła

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

Geolokalizacja on Arpokrat