Геолокация on Arpokrat

SignalTrace: Европа экспортирует слежку, которую себе не позволяет

Tue, 01 Sep 2026 00:00:00 +0000

Серый седан проезжает под дорожной рамкой на скорости 110 км/ч. Камера на мачте считывает номер, проставляет метку времени, сохраняет его. Ничего нового: такие устройства существуют уже двадцать лет и установлены десятками тысяч как в Северной Америке, так и в Европе.

Но если эта рамка получила модуль, который итальянская группа Leonardo продаёт с июня 2026 года, она только что записала кое-что ещё. iPhone водителя. Беспроводные наушники пассажирки. Умные часы на приборной панели. Автомагнитолу. Подключённый брелок в бардачке. Датчики давления всех четырёх шин. Пропуск, оставшийся в пиджаке. И, если сзади спит собака, её идентификационный чип.

Десяток идентификаторов, номер, координата, время. Повторите это на каждой рамке сети, и вы уже следите не за машиной: вы следите за людьми и знаете, с кем они передвигаются.

Что устройство делает на самом деле

Продукт называется SignalTrace. Его продаёт Leonardo US Cyber and Security Solutions, и он дополняет линейку ELSAG, одну из самых распространённых линий автоматических считывателей номерных знаков на американском рынке. О его существовании 8 июня 2026 года сообщил Джозеф Кокс в 404 Media на основании продуктовой спецификации производителя.

Решающий момент умещается в одну фразу: речь не о новых камерах. SignalTrace представляет собой радиодатчик, добавляемый к уже установленным считывателям номеров. Мачта не меняется, место не меняется, силуэт оборудования у дороги не меняется. Меняется то, что это оборудование слушает.

Датчик записывает идентификаторы, передаваемые в открытом виде протоколами Bluetooth, Wi-Fi и RFID устройств, находящихся в автомобиле. Технический момент, который часто понимают неверно: ни одно устройство не взламывают и ни одну уязвимость не эксплуатируют. Устройство Bluetooth или Wi-Fi постоянно излучает кадры обнаружения, потому что эти протоколы так задуманы. Ваши наушники объявляют о своём присутствии, чтобы телефон их нашёл, а сам телефон опрашивает окружающий эфир в поисках знакомых сетей. Эти излучения публичны по построению, и их слышит любой приёмник в зоне действия.

Leonardo, кстати, уточняет, что система работает со считывателем номеров и без него, в том числе в помещении, и распознаёт автомобиль, номер которого закрыт или снят.

Вот настоящая политическая тема: дооснащение уже существующего оборудования. Установка новой сети камер запускает голосование, обсуждение, иногда судебный спор. Добавление электронной платы в уже согласованный корпус не запускает ничего. Возможность слежки меняет свою природу без публичной дискуссии, потому что материально ничего нового увидеть нельзя.

От автомобиля к человеку, и от человека к группе

Считыватель номеров отвечает на один вопрос: где был этот автомобиль. SignalTrace добавляет ещё два: кто в нём находился и с кем.

Leonardo этого не скрывает, это аргумент продажи. Система формирует то, что документация называет электронным отпечатком, набор идентификаторов, «часто излучаемых вместе». Пример производителя красноречив: во всём городе только один автомобиль соединит iPhone 13rev2, автомагнитолу Audi, наушники Bose, часы Garmin, поисковик ключей и номер ABC-1234.

Продукт не ограничивается слежением за автомобилями. Он автоматически создаёт граф связей между людьми, при том что никому не пришлось высказать ни малейшего подозрения.

Именно здесь происходит качественный скачок. Соотнося устройства, которые регулярно ездят вместе, система механически выстраивает социальный граф. Два телефона, встречающиеся каждое утро в одной машине, означают совместные поездки либо отношения, которые ни одна из сторон не желает делать публичными. Пятьдесят устройств, зафиксированных в одном месте в один час, означают собрание: демонстрация, богослужение, профсоюзное заседание или очередь перед клиникой.

Ни один из этих выводов не требует доступа к содержанию коммуникации. Он выводится из таблицы близости, по умолчанию, для всего передвигающегося населения, а не для назначенных целей. Это виновность по ассоциации, произведённая промышленно, до всякого расследования. Том Боуман, юрист Center for Democracy & Technology, суммирует проблему на страницах TechNewsWorld: то, что делает инструмент полезным для слежки за настоящим подозреваемым, делает его столь же способным следить за всеми остальными автомобилистами, ни один из которых не соглашался на регистрацию своих устройств.

Leonardo выдвигает два возражения: система не расшифровывает и не читает содержание коммуникаций и сама по себе не идентифицирует людей. Оба утверждения верны, и оба не по существу. Искомыми сведениями никогда не было содержание, они в метаданных о местоположении, более красноречивых, чем сообщение. Что до идентификации, сам производитель признаёт, что следователь может связать электронную подпись с номером, а затем через регистрационные базы выйти на владельца.

Американское право, написанное для другого

В Соединённых Штатах существуют законы штатов, регулирующие считыватели номеров, и некоторые из них требовательны к срокам хранения и целям доступа. Но все они писались вокруг одного точного предмета: изображения номерного знака. Ни один не предполагает считывания идентификаторов личных устройств тем же оборудованием.

Это расхождение создаёт не незаконность, а серую зону, более удобную для продавца. Полицейская служба может утверждать, не солгав, что её программа считывателей номеров разрешена и соответствует праву, при этом собирая отныне в том же режиме данные совершенно иной природы. У Leonardo к тому же есть федеральные контракты со Special Operations Command и General Services Administration, то есть закупочный путь, который в значительной мере обходит местные согласования.

Конституционная дискуссия только что сдвинулась, и здесь нужна точность, потому что состояние права изменилось этим летом. В январе 2026 года федеральный суд Виргинии постановил по делу Schmidt v. City of Norfolk, что городская сеть камер Flock не образует обыска в смысле четвёртой поправки, поскольку не покрывает всех перемещений жителей. Решение обжалуется в Четвёртом округе, куда вступила ACLU.

Затем, 29 июня 2026 года, Верховный суд вынес решение Chatrie v. United States. Пятью голосами против четырёх, пером судьи Кейган, он признал, что получение полицией данных о местоположении телефона образует обыск, поскольку человек сохраняет разумное ожидание приватности в отношении этих данных, даже когда ими владеет третье лицо и даже за короткий период. Решение продолжает Carpenter v. United States 2018 года и ослабляет доктрину третьего лица, как отметил CDT.

Точный охват Chatrie применительно к SignalTrace не разрешён, и утверждать обратное было бы неосторожно: решение касается данных, истребованных у Google, а не прямого считывания полицейским датчиком в публичном пространстве. Но оно закрепляет рассуждение, которое имеет значение, а именно: чувствительность данных о местоположении не зависит от того, кто ими владеет.

Европейский вопрос, который и есть настоящий вопрос

Вот где дело становится неудобным для Европы. Leonardo не американский поставщик, а итальянская группа, котирующаяся в Милане, чей первый акционер, итальянское министерство экономики и финансов, владеет примерно 30 % капитала и вправе назначать большинство совета директоров. Итальянское государство не является пассивным акционером этого продукта.

Сначала технический момент

В европейском праве идентификатор устройства является персональными данными. Это не доктринальное мнение, а устойчивая позиция надзорных органов. CNIL прямо трактует MAC-адрес именно так в своей доктрине о системах измерения посещаемости и допускает их сбор в публичном пространстве только при узких условиях: анонимизация за несколько минут с высоким уровнем коллизий между людьми либо надёжная псевдонимизация с последующим уничтожением в течение двадцати четырёх часов, иначе согласие становится обязательным. Та же доктрина уточняет, что предложение людям выключить Wi-Fi не является приемлемой формой возражения.

Суд Европейского союза 4 сентября 2025 года по делу ЕКЗД против ЕСР (C-413/23 P) уточнил, что персональный характер псевдонимизированных данных оценивается с учётом разумно доступных средств повторной идентификации. Здесь же владельцем является полицейский орган, располагающий регистрационными базами. Средства повторной идентификации не гипотетичны, они в соседнем кабинете.

Нюанс, который меняет всё

Было бы неверно написать, что SignalTrace «был бы незаконен в Европе», и читатель-юрист заметил бы это немедленно. Обработка, осуществляемая компетентным органом в целях предупреждения и расследования преступлений, не подпадает под GDPR. Она подпадает под директиву (ЕС) 2016/680, называемую Полицейской директивой, которую каждое государство-член имплементирует отдельно, во Франции разделом III закона о защите данных. CNIL напоминает, что этот режим автономен, со своими основаниями правомерности и своими правами.

Стало быть, правильный вопрос состоит не в отвлечённой законности, а в условиях. При этом режиме такое устройство предполагало бы прямое национальное правовое основание, определённые цели, доказанную необходимость, ограниченный срок хранения, оценку воздействия и независимый контроль. Во Франции считыватели номеров урегулированы именно так: статьи L233-1 и L233-1-1 кодекса внутренней безопасности устанавливают исчерпывающий перечень правонарушений, дающих право на их использование, а срок хранения остаётся одним из самых коротких в Союзе, пятнадцать дней по общему правилу, даже если сенатский законопроект стремится его удлинить.

Это принципиальное отличие от американской ситуации. В Соединённых Штатах закон регулирует предмет, номерной знак, и молчание об идентификаторах устройств означает разрешение. В Европе закон регулирует цели и категории данных, и это молчание означает скорее запрет, за отсутствием прямого правового основания. Пустота, отмеченная за океаном, здесь в такой же форме не существует. Не потому, что Европа добродетельнее: её юридическая техника обратна.

Чего тогда стоит защита

Остаётся вопрос, ради которого написана эта статья. Чего стоит европейская регуляторная защита, когда европейская компания, контролируемая государством-членом, продаёт за пределы Европы возможность, которую не могла бы развернуть у себя без нового закона?

Возражения заслуживают серьёзного отношения. Промышленник не отвечает за правовые рамки своего клиента: американские власти сами решают, что разрешают у себя. Продукт продаётся не диктатуре, а правовому государству с активным верховным судом, о чём только что напомнило Chatrie. И довод промышленного суверенитета законен: если европейские группы запретят себе эти рынки, их займут израильские, американские или китайские поставщики, и слежка не отступит ни на метр, а Европа при этом потеряет свою технологическую базу.

Эти доводы приемлемы. Они не отвечают на проблему.

Прежде всего потому, что Союз уже признал: экспорт средств слежки не является обычной торговлей. Регламент (ЕС) 2021/821 о товарах двойного назначения ввёл в статье 5 всеохватную оговорку в отношении средств киберслежки, поскольку законодатель признал, что законный в производстве инструмент может быть нелегитимным в месте назначения. Его предел поучителен: он срабатывает при риске внутренних репрессий или тяжких нарушений прав человека, то есть в категориях, придуманных для авторитарных режимов. Продажа американской муниципальной полиции в них не входит. Европейская сетка исследует нравственность клиента, но никогда не исследует природу продаваемой возможности.

Затем потому, что такой продукт не запас, который распродают, а возможность, которую поддерживают: она финансирует исследования, готовит инженеров, накапливает ноу-хау и создаёт установленную базу. В день, когда крупный теракт побудит государство-член потребовать эту возможность, дискуссия уже не будет о целесообразности её создания. Она будет существовать, будет европейской, будет зрелой, а её поставщик будет отчасти государственным. Довод «мы лишь следуем за рынком» становится тогда замкнутым кругом, поскольку внутренний рынок будет подготовлен экспортом.

Вот чего стоит регуляторная защита в этом сценарии: она защищает европейцев от применений, а не от существования средств. Она решает вопрос о том, кто вправе нажать кнопку, и оставляет промышленности строить его, продавать, улучшать, а потом ждать.

Что можно сделать, не рассказывая себе сказок

Первым упоминаемым ответом всегда является рандомизация MAC-адреса. Она заслуживает честного разбора, без рекламы и без принижения. Она реальна и она работает.

Android начиная с версии 10 и iOS начиная с версии 14 по умолчанию рандомизируют MAC-адрес, используемый в Wi-Fi, с отдельным адресом для каждой сети. В Bluetooth Low Energy современные устройства транслируют разрешимые частные адреса, которые периодически меняются и могут быть привязаны к настоящему устройству только собеседником, обладающим ключом разрешения.

Её пределы столь же реальны.

Сопряжение снова открывает дверь. Ключ разрешения передаётся при сопряжении. Устройство, уже сопряжённое или явно одобренное, вновь находит устойчивую личность за меняющимся адресом. Механизм для этого и задуман.
Многие предметы ничего не рандомизируют. Датчики давления в шинах, RFID-пропуска, идентификационные чипы животных, автомагнитолы и дешёвая периферия излучают постоянные идентификаторы. Спецификация Leonardo упоминает именно эти категории, и это не случайность.
Рандомизацию можно отключить. Её отключают сеть за сетью, и часто она отключена ради удобства, для MAC-фильтрации на домашнем маршрутизаторе или из-за корпоративной политики.
Группа переживает смену идентификаторов. Это наименее очевидный и самый важный момент. SignalTrace ищет не идентификатор, а набор устройств, путешествующих вместе. Если хотя бы один член группы излучает постоянный идентификатор, весь набор остаётся привязываемым, какой бы ни была дисциплина остальных.

Самая действенная мера остаётся самой скучной: не излучать. Это предполагает отключение Bluetooth и Wi-Fi на уровне системы, в настройках, а не из панели быстрого доступа. Различие не косметическое, мы подробно разобрали его в статье о постоянной геолокации телефона: в большинстве потребительских систем кнопка быстрой панели прерывает видимое сопряжение, но оставляет программный стек живым, и анализ близости продолжается. Та статья описывала сканирование Bluetooth как теоретический вектор. SignalTrace стал его коммерческим продуктом, каталогизированным и готовый к поставке.

Нужно оставаться честным в отношении результата: эти меры уменьшают поверхность уязвимости, но не устраняют её. Автомобиль остаётся номерным знаком, а номерной знак остаётся читаемым. Единственный способ ничего не излучать состоит в том, чтобы ничего не носить с собой, а это не публичная политика.

Что это говорит о наших проектных решениях

В Arpokrat именно это рассуждение привело нас к обработке Bluetooth на уровне Core системы ArpokratOS, а не на уровне настроек. Переключатель в интерфейсе задаёт лишь пользовательское предпочтение: обновление, системное приложение или служба геолокации могут его обойти или снова включить, а пользователь об этом не узнает. Отсутствующий стек снова включить нельзя.

Против считывания вроде SignalTrace это, разумеется, не делает устройство необнаружимым, и мы этого не утверждаем: телефон остаётся в мобильной сети, а прочие предметы в автомобиле излучают сами по себе. Гарантирует оно лишь то, что конкретный вектор излучения отсутствует по построению, а не отключён на доверии. Это тезис, который мы отстаивали по поводу 5G и ошибки цели в праве: правовая защита сосредоточена на доступе к данным, тогда как она должна касаться самого существования инфраструктуры, которая их производит. SignalTrace служит тому иллюстрацией, с той разницей, что эта инфраструктура строится в Европе.

Заключение

Самое примечательное в этом деле не техническая возможность, которую исследователи описывали годами. Это метод развёртывания.

Не будет новой сети камер, которую открывают, не будет муниципального решения, которое можно оспорить, не будет госзакупки, опознаваемой как смена природы. Будут модули, добавленные к существующим мачтам, по существующим контрактам, в уже разрешённых программах. В день, когда откроется публичная дискуссия, инфраструктура будет установлена, амортизирована и встроена в следственные процедуры. Дискуссия тогда пойдёт об условиях доступа к базе, которая существует, и никогда о целесообразности её создания.

Таков обычный порядок вещей в области слежки, и он не случаен. Остаётся узнать, считает ли Европа, что ей есть что сказать, когда её собственные промышленники, опираясь на её собственные государства, строят эту инфраструктуру для других. Европейское право тщательно выстроило ответ на вопрос о том, кто может просматривать эти данные у нас. Оно никогда не задавало вопрос о том, кто вправе построить машину.

5G, геолокация и ошибка прицела в праве

Tue, 18 Aug 2026 00:00:00 +0000

В 2011 году полиция Детройта запросила у мобильного оператора историю подключений телефона Тимоти Карпентера к базовым станциям. Она получила 12 898 точек местоположения за 127 дней, около сотни в сутки. Семь лет спустя Верховный суд Соединённых Штатов признал, что такой запрос представляет собой обыск и требует ордера.

Эти 12 898 точек приходили с антенн четвёртого поколения, каждая из которых покрывала радиус в несколько километров. Тот же запрос, направленный сегодня в городскую сеть 5G, вернул бы не сотню точек в сутки с погрешностью в несколько километров. Он вернул бы гораздо больший объём с погрешностью в несколько десятков метров.

Технология сменила масштаб. Юридическое рассуждение осталось на том же месте цепи.

Правовое благо, которое судьи признают по обе стороны Атлантики

Существует интерес, который признают почти все и который почти ни один акт не защищает действенно: право находиться где-то без того, чтобы этот факт фиксировался.

Европейская судебная практика установила это недвусмысленно. В деле Digital Rights Ireland (объединённые дела C-293/12 и C-594/12, 8 апреля 2014 года), а затем в деле Tele2 Sverige и Watson (объединённые дела C-203/15 и C-698/15, большая палата, 21 декабря 2016 года) Суд Европейского Союза постановил, что эти данные, взятые в совокупности, позволяют делать очень точные выводы о частной жизни лиц: привычки повседневной жизни, места пребывания, перемещения, осуществляемая деятельность и социальные связи.

Верховный суд Соединённых Штатов пришёл к близкому выводу в деле Carpenter v. United States, 585 U.S. 296 (2018). Он подчеркнул момент, который американская доктрина много комментировала: неотвратимый и автоматический характер этого сбора. Никто не соглашается быть подключённым к антенне: человек подключён потому, что у него есть включённый телефон.

Итак, правовое благо существует, и его признают два суда, которые в этой области имеют вес. Проблема в другом.

Что 5G изменило на самом деле

Распространённая путаница состоит в том, что местоположение рассматривают как данные, которые телефон передаёт, наравне с сообщением или фотографией. Это не так. Местоположение есть физическое следствие работы сети. Оператор знает, к какой антенне подключено устройство, потому что обязан это знать, чтобы маршрутизировать вызов. Не существует ключа, которым можно было бы зашифровать эту информацию, поскольку речь идёт не о содержании, а о свойстве самого соединения.

Именно это делает 5G значимым в правовой плоскости, а не в технической.

Прежние архитектуры опирались на широкие соты. Антенна 4G обычно обслуживает радиус в несколько километров, и позиция, выведенная из одного лишь подключения, измерялась сотнями метров в городе, иногда десятками километров в сельской местности. 5G опирается на массовое уплотнение: городские соты покрывают обычно несколько сотен метров, а инженерная литература оперирует плотностями порядка сорока-пятидесяти базовых станций на квадратный километр против четырёх-пяти во времена 3G.

Следствие механическое. Согласно белой книге Ericsson о позиционировании в 5G, инфраструктура, развёрнутая исключительно ради связи, достигает точности от двадцати до пятидесяти метров на улице и от одного до трёх метров в помещении, а при благоприятных городских условиях опускается ниже метра. Речь не о где-то включённой функции геолокации, а о том, что сеть знает по самому своему устройству, без единого установленного приложения и без единого выданного разрешения. Все эти механизмы, а также контрмеры, которые действительно работают, мы подробно разобрали в статье о постоянной геолокации телефона.

Таким образом, вторжение выросло на несколько порядков. Применимая правовая рамка остаётся той, что была задумана для 2G и 3G. Никакой нормативной адаптации эта смена масштаба не сопровождала.

Право защищает доступ, а не порождение

Европейское право тщательно регулирует, кто может получить доступ к данным о местоположении, на каких условиях и под каким контролем. Директива 2002/58/ЕС закрепляет принцип конфиденциальности коммуникаций, а Суд ЕС постановил в деле La Quadrature du Net (объединённые дела C-511/18, C-512/18 и C-520/18, большая палата, 6 октября 2020 года), что статья 15(1) этой директивы, толкуемая в свете статей 7, 8, 11 и 52(1) Хартии, не допускает всеобщего и недифференцированного хранения данных о трафике и местоположении в превентивных целях. Суд, однако, допустил очерченные отступления, когда государство-член сталкивается с серьёзной угрозой национальной безопасности, оказывающейся реальной и наличной или предсказуемой, при условии действенного контроля.

Это настоящие гарантии, и было бы нелепо их принижать. Но все они вступают в дело задним числом. Они предполагают, что данные существуют, что они хранятся, и лишь затем упорядочивают условия их использования.

Между тем если местоположение есть неизбежный побочный продукт работы сети, то уместной точкой вмешательства является не конфиденциальность. Это срок хранения.

Мгновенная позиция, необходимая для маршрутизации связи и стёртая сразу после, не является инструментом слежки. История позиций, хранимая месяцами, им является, какими бы гарантиями доступа она ни была окружена.

Различие между ними не юридическое, а архитектурное. И европейский календарь делает вопрос неотложным, а не теоретическим. Комиссия отозвала проект регламента ePrivacy в 2025 году из-за отсутствия согласия между созаконодателями. С тех пор она работает над отдельным инструментом о хранении данных для целей уголовного производства, объявленным на 2026 год и призванным гармонизировать национальные режимы, ставшие разнородными после отмены директивы 2006 года. Иначе говоря, текст, который на десятилетие определит режим метаданных о местоположении, пишется прямо сейчас, на основе рассуждения, задуманного во времена километровых сот.

Прецедент, который 5G создало само

Самое интересное в этом деле то, что верный ответ уже содержится в техническом стандарте, но применён к другому объекту.

Вплоть до 4G постоянный идентификатор абонента, IMSI, передавался открытым текстом по радиоинтерфейсу при подключении. Именно это сделало возможными IMSI-кэтчеры, те поддельные базовые станции, которые, согласно эталонному описанию Electronic Frontier Foundation, излучают мощнее легитимных антенн, чтобы притягивать терминалы и перехватывать их идентификатор.

Начиная с Release 15 спецификаций 3GPP, опубликованного в 2019 году, 5G даёт изящный ответ. Постоянный идентификатор, ныне называемый SUPI, может быть заменён на радиоинтерфейсе на SUCI, скрытый идентификатор, полученный шифрованием абонентской части средствами криптографии на эллиптических кривых с использованием открытого ключа домашнего оператора. Расшифровать его может только домашняя сеть, владеющая соответствующим закрытым ключом. Результат уникален при каждом вычислении, что препятствует корреляции между сессиями.

Принятая логика заслуживает быть подчёркнутой, потому что она ровно та, которой следовало бы руководствоваться законодателю: шифруют не позицию, что было бы технически невозможно, шифруют личность. Позиция, лишённая привязываемой личности, имеет весьма ограниченную ценность для индивидуализированной слежки.

Изъян: защита факультативна

Существует, однако, значительная оговорка, и это, на наш взгляд, самая конкретная точка вмешательства во всём деле.

Белая книга NIST CSWP 36A, опубликованная в марте 2026 года National Institute of Standards and Technology, говорит об этом без обиняков. Терминалы и сетевые функции, соответствующие Release 15 или более позднему, обязаны поддерживать SUCI, но его включение остаётся факультативным для оператора. Должны совпасть три условия: производитель оборудования должен его поддерживать, оператор должен включить его в своей сети, а SIM-карта должна нести элементы, необходимые для вычисления.

К этому добавляется конфигурационная ловушка. Стандарт предусматривает нулевую схему защиты, при которой формат SUCI формально применяется, но без действительного шифрования, так что идентификатор идёт открытым текстом. NIST пишет, что оператору необходимо настроить свою сеть с ненулевой схемой защиты, и напоминает, что доклад CSRIC, консультативного органа Federal Communications Commission, ещё в 2021 году рекомендовал оставить нулевую схему исключительно для экстренных вызовов с терминала, не известного сети.

Эту формулировку стоит оставить как есть. Лучшая доступная защита от отслеживания мобильных терминалов существует в техническом стандарте с 2019 года. Она держится на конфигурационном выборе, оставленном на усмотрение оператора. Американское федеральное агентство считает нужным опубликовать в 2026 году документ, напоминающий, что её следовало бы включить. И ни один европейский правовой инструмент её не предписывает.

Надо добавить, что SUCI не закрывает тему. Работы, представленные под названием 5G SUCI-catchers: still catching them all?, документируют атаки связывания, позволяющие вновь коррелировать сессии несмотря на шифрование, и защита падает полностью, если атакующий вынудит терминал перейти на предыдущее поколение. Правовая обязанность, стало быть, не решила бы всего. Она тем не менее устранила бы разрыв, у которого нет никакого защитимого оправдания: между тем, что позволяет стандарт, и тем, что делают коммерческие сети.

Три согласованных вмешательства

Если всерьёз принять мысль, что местоположение следует минимизировать на этапе проектирования, а не защищать задним числом, логически напрашиваются три меры.

Сделать обязательным действительное сокрытие идентификатора. Предписать включение SUCI и запретить нулевые схемы защиты в коммерческих сетях, кроме остаточного случая экстренных вызовов. Речь не о том, чтобы предписывать новую технологию или финансировать развёртывание, а о требовании включить функцию, стандартизованную семь лет назад и уже присутствующую в оборудовании.
Рассматривать хранение как исключение, а не как настройку по умолчанию. Позиция, необходимая для маршрутизации связи, должна стираться, как только эта функция выполнена. Формирование истории должно требовать особого обоснования. Это разница между сетью, которая знает, где вы находитесь, и сетью, которая помнит, где вы были.
Сделать владение ключом надлежащим критерием привязки. Размещение серверов в Союзе мало что значит, если ключи, делающие данные читаемыми, находятся в другом месте. Юридически значимым критерием должно быть действительное господство над средствами расшифрования, вопрос, который мы подробно рассмотрели в связи с конфликтом между Data Act и CLOUD Act.

Угол зрения, которого держится Arpokrat

Это рассуждение не свойственно одному лишь телекоммуникационному праву. Именно его мы применяем к собственным архитектурным решениям, и оно умещается в одну фразу: то, что не было произведено, не нуждается в защите.

Поэтому ArpokratOS удаляет GPS, Bluetooth и NFC на уровне ядра, а не отключает их в меню. Переключатель есть политика: его может обойти привилегированный компонент, снова включить обновление, проигнорировать скомпрометированная система. Удаление пути в коде снимает сам вопрос. Это перенос на масштаб устройства того же смещения, которого мы добиваемся на масштабе права: вмешиваться на этапе порождения, а не доступа.

Надо сразу сказать, чего это не делает. Ни одна операционная система не выводит терминал за пределы геометрии сети. Пока SIM-карта активна, оператор знает соту подключения, и полная маршрутизация трафика через Tor этого не меняет, поскольку она защищает содержание и назначение, а не радиоуровень. Именно поэтому тема является правовой. Существует категория рисков, которую не снижает никакая индивидуальная настройка и для которой единственной доступной переменной остаётся правило, применимое к оператору.

Та же забота управляет остальной нашей работой. Данные, которых не существует, нельзя ни истребовать, ни перепродать, ни выкрасть, ни расшифровать через десять лет машиной, которой сегодня ни у кого нет, вопрос, который мы разобрали под углом шифрования, собранного сейчас и взломанного позже.

Заключение

Публичная дискуссия о мобильной слежке сосредоточена почти исключительно на доступе: кто может просматривать данные, на каком основании, с каким разрешением. Эта дискуссия законна, и решения, вынесенные Судом ЕС с 2014 года, дали ощутимые результаты. Но она вступает в цепь слишком поздно.

Предшествующий и более определяющий вопрос состоит в том, должна ли история существовать вообще. База, созданная сегодня по законному основанию, остаётся доступной завтра для другого, и окружающие её гарантии зависят от последующих политических решений, которые в момент сбора никто не контролирует. Это ставка на устойчивость институтов, сделанная на срок, который никто не устанавливает.

5G многократно повысило разрешение этой информации без какой-либо нормативной адаптации. Одновременно оно показало, посредством механизма SUCI, что осуществимый путь состоит в отделении позиции от личности, а не в попытке зашифровать физическое свойство сети. Технический стандарт дал ответ за семь лет до того, как право задало вопрос.

Европейский текст о хранении данных пишется сейчас. Он будет касаться метаданных, а значит местоположения, а значит того, что 5G производит теперь с точностью, которой его составители не знали. Ограничится ли он упорядочением доступа к истории, принимаемой как данность, или же осмелится поставить под вопрос необходимость этой истории, вероятно, и есть важнейший вопрос приватности ближайших лет в Европе. И это вопрос, который технический сектор, на сей раз, уже решил в правильную сторону.

Источники

Суд Европейского Союза, Digital Rights Ireland, объединённые дела C-293/12 и C-594/12, 8 апреля 2014 года
Суд Европейского Союза, Tele2 Sverige и Watson, объединённые дела C-203/15 и C-698/15, большая палата, 21 декабря 2016 года
Суд Европейского Союза, La Quadrature du Net и другие, объединённые дела C-511/18, C-512/18 и C-520/18, большая палата, 6 октября 2020 года
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, март 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta и др., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Постоянная геолокация: как телефон следит за вами, даже когда вы уверены, что это отключили

Sun, 02 Aug 2026 00:00:00 +0000

В 2024 году двое исследователей из Мэрилендского университета многократно обращались к службе позиционирования Apple по Wi-Fi, без каких-либо особых привилегий и без специализированного оборудования, и за год восстановили точное положение более двух миллиардов точек доступа Wi-Fi по всему миру. Их работа Surveilling the Masses with Wi-Fi-Based Positioning Systems показывает, что позволяет такая карта: отслеживать технику, въезжающую в Украину и покидающую её, наблюдать за перемещением населения после пожаров на Мауи, находить конкретного человека через его домашний роутер.

Ни на одном из этих устройств GPS не был включён. Позиция приходила из другого источника.

Это самая распространённая слепая зона в вопросах мобильной приватности: убеждение, что существует переключатель геолокации и что, стоит его выключить, телефон перестаёт знать, где он находится. Это убеждение ложно на семи разных уровнях.

Геолокация не функция, которую телефон включает. Это свойство того, чем он является.

GPS, то есть наименее проблемный вектор

Единственный механизм, который может назвать каждый, оказывается и тем, который должен беспокоить вас меньше всего.

GNSS, обобщающий термин для американского GPS, Galileo, ГЛОНАСС и BeiDou, работает на прослушивание. Спутники непрерывно излучают сигналы с отметками времени, приёмник улавливает несколько из них и вычисляет своё положение по разнице времени распространения. Обычная точность на открытой местности: три-пять метров, в городе часто несколько десятков метров, поскольку фасады отражают сигналы.

Решающее обстоятельство в том, что этот расчёт пассивен. Телефон ничего не излучает в сторону спутников, ни один спутниковый оператор не знает о вашем существовании. Если бы в игре был только GNSS, выключения GPS было бы достаточно.

Однако есть нюанс. Чтобы ускорить первое определение координат, телефоны используют A-GPS: они загружают спутниковые эфемериды с сервера по протоколу SUPL. Чтобы получить нужные данные, телефон передаёт этому серверу идентификатор соты сети, к которой он подключён. Чистый GNSS вас не выдаёт, а вот привитый к нему ускоритель выдаёт.

Мобильная сеть: то, что оператор знает по построению

Чтобы звонок мог до вас дойти, сеть должна знать, в какой зоне вы находитесь. Это не включаемая опция, это условие существования услуги. Ваш телефон постоянно заявляет о себе ближайшей вышке, и эта регистрация оставляет след на стороне оператора. Никакого установленного приложения, никакого выданного разрешения: достаточно активной SIM-карты.

Точность зависит от метода:

Только идентификатор соты: от 200 метров в плотной городской застройке до более чем 30 километров в сельской местности, где одна вышка покрывает очень большой радиус.
Обогащённый Cell ID, добавляющий сектор антенны (большинство площадок разделено на три сектора по 120 градусов) и мощность сигнала: от 100 метров до нескольких километров.
Timing advance, измеряющий задержку прохождения сигнала туда и обратно между телефоном и вышкой: порядка 550 метров в GSM, около 78 метров в LTE.
Мультилатерация по трём и более вышкам: от 50 до 300 метров в городском LTE.

5G меняет масштаб по двум складывающимся причинам. Сначала плотность: соты 5G покрывают куда меньшие радиусы, так что само подключение уже является тонкой информацией. Затем стандартизация: начиная с Release 16, 3GPP включает собственные сигналы позиционирования. Коммерческие цели — менее 3 метров внутри помещений и менее 10 метров снаружи для 80 % устройств, а Release 18 для отдельных промышленных применений опускается до сантиметров.

Инфраструктура, которая вас соединяет, тем самым становится системой позиционирования качества, сопоставимого с GPS, без того чтобы вы что-либо включали. Эти данные хранятся по национальным правилам и доступны властям по различным процедурам. Это та же самая принципиальная дискуссия, что и в случае юрисдикции, применимой к размещённым данным: техническая защита и правовая защита не совпадают.

Wi-Fi: карта мира, составленная из аппаратных адресов

Каждая точка доступа Wi-Fi постоянно транслирует уникальный аппаратный идентификатор, BSSID. Эти идентификаторы неизменны и географически стабильны: домашний роутер годами стоит на одном месте.

Apple, Google и несколько специализированных игроков ведут базы, связывающие каждый BSSID с координатами. Их наполняют телефоны их же пользователей, которые отправляют список видимых точек вместе с позицией по GNSS. Затем операция обращается: телефон, видящий четыре известные точки, больше не нуждается ни в одном спутнике. В плотной городской застройке точность обычно достигает нескольких десятков метров, а в помещениях опускается ещё ниже.

Два свойства делают этот механизм трудным для нейтрализации. Во-первых, телефон сканирует даже тогда, когда Wi-Fi выглядит отключённым: начиная с Android 4.3 система сохраняет периодическое сканирование, предназначенное для уточнения геолокации, независимо от переключателя в быстрой панели. Это поведение зависит от отдельной настройки, спрятанной в службах геолокации, которую практически ни один пользователь никогда не открывал.

Во-вторых, базу можно опрашивать извне. Именно эту брешь использовали Рай и Левин: интерфейсы позиционирования возвращают не только запрошенную позицию, но и позиции соседних точек доступа, что позволяет собирать карту, ни разу физически не приблизившись к этим местам.

Bluetooth и BLE: вас находят телефоны других людей

Bluetooth Low Energy добавляет слой близости с дальностью от нескольких до нескольких десятков метров, то есть с куда более тонкой детализацией, чем мобильная сеть. Сосуществуют два применения. Коммерческие маячки, размещённые в магазинах, аэропортах или торговых центрах, излучают идентификатор, который распознают приложения в телефоне, и это показывает, перед какой полкой вы остановились и на сколько времени. И совместные сети геолокации, образцом которых служит Find My от Apple, с тех пор перенятый Google и Samsung.

Второй механизм переворачивает неявное допущение. Эталонный анализ Who Can Find My Devices?, опубликованный в материалах PETS 2021 исследователями Дармштадтского технического университета, восстановил протокол Apple обратной разработкой. Устройство без связи излучает сигнал BLE, любое устройство Apple поблизости его ловит, добавляет собственную позицию и передаёт её зашифрованной на серверы Apple, без ведома как своего владельца, так и владельца найденного устройства.

Следствие носит структурный характер: устройство без SIM-карты, без Wi-Fi, без какого-либо сетевого подключения остаётся находимым, лишь бы рядом прошёл незнакомец с телефоном в кармане. Ваша изоляция больше не зависит от ваших настроек, а от настроек прохожих.

Инерциальные датчики: определить местоположение без разрешения на геолокацию

В телефоне есть акселерометр, гироскоп, магнитометр и часто барометр. Эти датчики относятся к категории разрешений, отличной от геолокации: приложение может их читать, ни разу не спросив, где вы.

Исследователи из Принстона доказали это с помощью PinMe. Их приложение отталкивается от IP-адреса и часового пояса ради грубой позиции, а затем читает датчики: акселерометр даёт профиль разгона и торможения, гироскоп — последовательность поворотов, магнитометр — курс, барометр — изменения высоты. Нейросеть определяет способ передвижения — пешком, автомобилем, поездом или самолётом, — и маршрут накладывается на открытые картографические, высотные и метеорологические данные. Результат: траектория с точностью, сопоставимой с GPS, без разрешения на геолокацию. У метода есть границы, которые авторы документируют, поскольку он не работает в зонах без дорог и ухудшается на однородных квартальных планировках, где множество маршрутов даёт одну и ту же подпись. Он остаётся доказательством того, что отклонённое разрешение — не закрытая дверь.

Барометр к тому же даёт измерение, с которым GNSS справляется плохо, — вертикаль. Американские требования к экстренным вызовам предписывают точность до этажа плюс-минус 3 метра для 80 % вызовов из помещений. Знать, на каком этаже находится человек, — это иное знание, чем знать, в каком квартале он находится.

Рынок данных: самый банальный вектор

Предыдущие механизмы описывают, как вычисляется позиция. Остаётся узнать, куда она уходит, и именно там разыгрывается основная часть повседневного риска.

Тысячи приложений содержат рекламные SDK, программные блоки от третьих сторон, которые разработчик добавляет, чтобы монетизировать свою работу или измерить аудиторию. Эти блоки наследуют разрешения приложения-хозяина: приложение погоды, которому ваша позиция нужна вполне законно, передаёт её игрокам, чьих названий вы никогда не читали. К этому добавляются потоки рекламных аукционов, где ваша приблизительная позиция рассылается десяткам потенциальных покупателей при каждом показе баннера, включая тех, кто ничего не покупает и ограничивается прослушиванием.

Это сырьё питает целую индустрию. Electronic Frontier Foundation задокументировала случай Fog Data Science, заявлявшей о миллиардах точек данных по более чем 250 миллионам устройств, которые продавались местной полиции в США. Брайан Кребс описал Locate X, продукт, позволяющий очертить многоугольник на карте и просмотреть историю устройств, которые входили в эту зону и покидали её.

Этот вектор не требует никакого технического подвига, нужно лишь, чтобы кто-то согласился заплатить. Цена скромная.

IMSI-кетчеры: активное определение местоположения

Рассмотренные до сих пор механизмы эксплуатируют нормальную работу системы. Существует также активное определение местоположения, которое ведёт третья сторона, вмешивающаяся в сеть.

IMSI-кетчер, или симулятор базовой станции, — это оборудование, выдающее себя за легитимную вышку. Телефоны в зоне действия подключаются к нему, раскрывая свой идентификатор абонента и своё присутствие в узко очерченном периметре.

5G должен был закрыть эту дверь, заменив постоянный идентификатор в открытом виде на зашифрованный — SUCI. Закрытие оказалось частичным. Работы, представленные под названием 5G SUCI-catchers: still catching them all?, документируют атаки связывания, позволяющие заново коррелировать сессии несмотря на шифрование. Но главное: защита падает полностью, если атакующий вынуждает устройство откатиться на предыдущее поколение, в частности 2G, аутентификация которого односторонняя. Телефон с 5G остаётся уязвим к атаке, задуманной для сети 1990-х годов, потому что он до сих пор соглашается туда спуститься.

Контрмеры и их реальная эффективность

Каждая из приведённых ниже мер что-то даёт. Ни одна не даёт всего, и разрыв между тем, что они делают, и тем, что им приписывают, порождает неверные решения.

Режим полёта

Режим полёта отключает передачу сотового модема, Wi-Fi и Bluetooth. Это реальный эффект, и это лучший результат при столь малых усилиях.

Чего он не делает: не останавливает инерциальные датчики, не удаляет уже закэшированные позиции, которые уйдут при повторном подключении, и на большинстве устройств позволяет отдельно включить Wi-Fi или Bluetooth, не выходя из него. Наконец, это программное состояние, а не отключение питания: его надёжность зависит от целостности системы, которая его применяет.

Недооценённая деталь: отключение от сети и последующее возвращение сами по себе являются событиями с отметкой времени на стороне оператора. Телефон, исчезающий в 21 час в одной соте и появляющийся в 23 часа в другой, произвёл информацию, а не тишину.

Рандомизация MAC-адреса

Мобильные системы сегодня при сканировании излучают случайные MAC-адреса, чтобы помешать отслеживанию от места к месту. Намерение хорошее, результат неполный. Эталонные работы, среди них Why MAC Address Randomization is not Enough, показывают, что содержимого кадров обнаружения часто достаточно для повторной идентификации устройства: количество информационных элементов, их значения и порядок образуют отпечаток. К этому добавляются порядковые номера, инкрементные и потому пригодные для сцепления, и временная подпись, характерная для каждой модели. Некоторые исследования сообщают о корректном отслеживании половины устройств в течение не менее двадцати минут.

Наконец, концептуальная граница: рандомизация касается только фазы обнаружения. Как только вы подключаетесь к сети, используемый адрес для этой сети постоянен по замыслу, чтобы соединение работало. Кофейня, куда вы ходите каждое утро, вас узнаёт.

По-настоящему отключить сканирование

Это самая выгодная и самая игнорируемая настройка. В Android поиск Wi-Fi и поиск Bluetooth — две отдельные опции, расположенные в службах геолокации, независимые от переключателей быстрой панели. Пока они активны, выключить Wi-Fi из панели недостаточно: сканирование продолжается.

Их отключение убирает целый слой сбора данных, а единственной платой оказывается чуть более медленное первое определение позиции. Для большинства читателей это лучшее соотношение затраченных усилий и полученного результата.

Разрешения приложений

Отзывать разрешение на геолокацию у приложений, которым оно очевидно не нужно, остаётся полезным, и современные системы предлагают три градации: разовое разрешение, разрешение, ограниченное активным использованием, и приблизительное местоположение, передающее лишь зону порядка километра.

Это, однако, не защищает ни от SDK внутри приложения, имеющего законное основание обращаться к вашей позиции, ни от инерциальных датчиков, ни от сетевых уровней, которые не проходят ни через какое разрешение.

От чего VPN не защищает

Момент, который следует прояснить, поскольку противоположное убеждение весьма распространено: VPN не скрывает ваше местоположение. Он скрывает ваш публичный IP-адрес, а значит, искажает геолокацию по IP, которая в любом случае является самым грубым механизмом в списке.

VPN не затрагивает ни приёмник GNSS, ни сканирование Wi-Fi, ни Bluetooth, ни датчики. Он ничего не меняет в том, что знает ваш оператор, поскольку шифрованный туннель проходит через его вышки, а подключение к соте остаётся для него видимым. Он не мешает приложению с разрешением на геолокацию передать точные координаты внутри туннеля. VPN защищает содержание и назначение ваших коммуникаций в ненадёжной сети, и это уже немало. Геолокация в его периметр не входит.

Физические пределы

Чехол Фарадея работает буквально: он блокирует передачу и приём. Извлечение аккумулятора тоже, там где это ещё возможно. Отдельное устройство или просто оставленный в другом месте телефон остаётся самой надёжной мерой.

У этих решений общий изъян, которому надо посмотреть в лицо: они создают аномалию. Телефон, молчащий два часа каждый вторник вечером, о чём-то сообщает. Против противника, анализирующего закономерности, а не мгновенные позиции, отсутствие само является данными.

Три противника, три стратегии

Это самое важное различение этой статьи и одновременно то, которое читают реже всего.

Против рекламодателя или брокера данных битву можно выиграть. Дисциплина разрешений, отключение сканирований, система без проприетарных служб геолокации, сброс рекламного идентификатора: вместе это очень сильно сокращает собираемый объём. Этот противник ищет дешёвый объём, а не именно ваш случай.

Против вашего оператора никакая конфигурация не поможет. Сотовая геолокация — условие услуги. Единственные реальные переменные правовые, то есть что закон позволяет хранить и передавать, и материальные: какое устройство, какая SIM-карта, на чьё имя, включённая где.

Против целенаправленного государственного противника рассуждение меняется вновь, поскольку он сочетает законный доступ к данным оператора, активное определение местоположения симулятором базовой станции, запросы к платформам и, при необходимости, компрометацию самого устройства. Программные контрмеры уменьшают поверхность, но реалистичная цель не исчезновение: она в том, чтобы точно знать, что остаётся открытым.

Подход ArpokratOS

ArpokratOS отвечает на этот ландшафт выбором, вытекающим из приведённого различения: то, что должно быть нейтрализовано, нейтрализуется на уровне системы, а не в меню.

В отношении GNSS аппаратный драйвер удалён. Устройство ведёт себя так, как если бы чипа не существовало, — и для приложений, и для самой системы. Отличие от переключателя в настройках не косметическое. Переключатель — это политика: её применяет слой, который может обойти достаточно привилегированный компонент, вновь включить обновление или проигнорировать скомпрометированная система. Удаление пути кода снимает вопрос, поскольку включать уже нечего.

Bluetooth обрабатывается на уровне Core, по той же логике. Bluetooth, отключённый в настройках, на многих устройствах на практике оставляет программный стек живым, чтобы питать службы близости и совместные сети геолокации. Отсутствуя на уровне системы, он не может ни общаться с магазинным маячком, ни участвовать в сети типа Find My, ни служить поверхностью атаки без взаимодействия.

Надо ясно сказать, чего это не делает. ArpokratOS не делает телефон необнаружимым. Пока SIM-карта активна, оператор знает соту подключения, и никакая операционная система этого не изменит, даже если весь трафик идёт через Tor. Маршрутизация защищает содержание и назначение, а не радиогеометрию. Тот, кто обещает невидимость, продаёт сказку.

То, что даёт такая архитектура, скромнее: устранение прикладного слоя и слоя близости, через которые проходит подавляющее большинство реального сбора, и явная модель угроз для того, что остаётся. Это то же рассуждение, применённое к выбору настольной системы, изложенное в нашем сравнении операционных систем: полезный вопрос не в том, защищает ли инструмент, а в том, от чего он защищает и какой ценой.

Заключение

Эта статья не даёт метода исчезнуть. Такого метода не существует, а тексты, утверждающие обратное, порождают прежде всего ложную уверенность, более опасную, чем отсутствие защиты, потому что она толкает на риск.

Цель состояла в том, чтобы заменить бинарный вопрос «можно ли меня найти» вопросом полезным: кем, с какой точностью, какой ценой для них и волнует ли это меня. Ответ различается для журналиста, защищающего источник, для руководителя в поездке в чувствительной юрисдикции, для адвоката, чьи встречи выдают стратегию, и для частного лица, которому досадно, что рекламодатель знает его привычки.

Внимание, впрочем, должна привлекать не эффективность каждого из этих механизмов по отдельности, а то, что они накладываются друг на друга. Позиция с точностью до пятидесяти метров не слишком интересна. Позиция с точностью до пятидесяти метров, каждые четверть часа, в течение двух лет, вычерчивает жильё, место работы, вероисповедание, состояние здоровья, роман, источник информации. Данные о местоположении — те метаданные, которые делают читаемыми все остальные, и именно поэтому они дорого стоят.

Источники

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense