Слежка on Arpokrat

SignalTrace: Европа экспортирует слежку, которую себе не позволяет

Tue, 01 Sep 2026 00:00:00 +0000

Серый седан проезжает под дорожной рамкой на скорости 110 км/ч. Камера на мачте считывает номер, проставляет метку времени, сохраняет его. Ничего нового: такие устройства существуют уже двадцать лет и установлены десятками тысяч как в Северной Америке, так и в Европе.

Но если эта рамка получила модуль, который итальянская группа Leonardo продаёт с июня 2026 года, она только что записала кое-что ещё. iPhone водителя. Беспроводные наушники пассажирки. Умные часы на приборной панели. Автомагнитолу. Подключённый брелок в бардачке. Датчики давления всех четырёх шин. Пропуск, оставшийся в пиджаке. И, если сзади спит собака, её идентификационный чип.

Десяток идентификаторов, номер, координата, время. Повторите это на каждой рамке сети, и вы уже следите не за машиной: вы следите за людьми и знаете, с кем они передвигаются.

Что устройство делает на самом деле

Продукт называется SignalTrace. Его продаёт Leonardo US Cyber and Security Solutions, и он дополняет линейку ELSAG, одну из самых распространённых линий автоматических считывателей номерных знаков на американском рынке. О его существовании 8 июня 2026 года сообщил Джозеф Кокс в 404 Media на основании продуктовой спецификации производителя.

Решающий момент умещается в одну фразу: речь не о новых камерах. SignalTrace представляет собой радиодатчик, добавляемый к уже установленным считывателям номеров. Мачта не меняется, место не меняется, силуэт оборудования у дороги не меняется. Меняется то, что это оборудование слушает.

Датчик записывает идентификаторы, передаваемые в открытом виде протоколами Bluetooth, Wi-Fi и RFID устройств, находящихся в автомобиле. Технический момент, который часто понимают неверно: ни одно устройство не взламывают и ни одну уязвимость не эксплуатируют. Устройство Bluetooth или Wi-Fi постоянно излучает кадры обнаружения, потому что эти протоколы так задуманы. Ваши наушники объявляют о своём присутствии, чтобы телефон их нашёл, а сам телефон опрашивает окружающий эфир в поисках знакомых сетей. Эти излучения публичны по построению, и их слышит любой приёмник в зоне действия.

Leonardo, кстати, уточняет, что система работает со считывателем номеров и без него, в том числе в помещении, и распознаёт автомобиль, номер которого закрыт или снят.

Вот настоящая политическая тема: дооснащение уже существующего оборудования. Установка новой сети камер запускает голосование, обсуждение, иногда судебный спор. Добавление электронной платы в уже согласованный корпус не запускает ничего. Возможность слежки меняет свою природу без публичной дискуссии, потому что материально ничего нового увидеть нельзя.

От автомобиля к человеку, и от человека к группе

Считыватель номеров отвечает на один вопрос: где был этот автомобиль. SignalTrace добавляет ещё два: кто в нём находился и с кем.

Leonardo этого не скрывает, это аргумент продажи. Система формирует то, что документация называет электронным отпечатком, набор идентификаторов, «часто излучаемых вместе». Пример производителя красноречив: во всём городе только один автомобиль соединит iPhone 13rev2, автомагнитолу Audi, наушники Bose, часы Garmin, поисковик ключей и номер ABC-1234.

Продукт не ограничивается слежением за автомобилями. Он автоматически создаёт граф связей между людьми, при том что никому не пришлось высказать ни малейшего подозрения.

Именно здесь происходит качественный скачок. Соотнося устройства, которые регулярно ездят вместе, система механически выстраивает социальный граф. Два телефона, встречающиеся каждое утро в одной машине, означают совместные поездки либо отношения, которые ни одна из сторон не желает делать публичными. Пятьдесят устройств, зафиксированных в одном месте в один час, означают собрание: демонстрация, богослужение, профсоюзное заседание или очередь перед клиникой.

Ни один из этих выводов не требует доступа к содержанию коммуникации. Он выводится из таблицы близости, по умолчанию, для всего передвигающегося населения, а не для назначенных целей. Это виновность по ассоциации, произведённая промышленно, до всякого расследования. Том Боуман, юрист Center for Democracy & Technology, суммирует проблему на страницах TechNewsWorld: то, что делает инструмент полезным для слежки за настоящим подозреваемым, делает его столь же способным следить за всеми остальными автомобилистами, ни один из которых не соглашался на регистрацию своих устройств.

Leonardo выдвигает два возражения: система не расшифровывает и не читает содержание коммуникаций и сама по себе не идентифицирует людей. Оба утверждения верны, и оба не по существу. Искомыми сведениями никогда не было содержание, они в метаданных о местоположении, более красноречивых, чем сообщение. Что до идентификации, сам производитель признаёт, что следователь может связать электронную подпись с номером, а затем через регистрационные базы выйти на владельца.

Американское право, написанное для другого

В Соединённых Штатах существуют законы штатов, регулирующие считыватели номеров, и некоторые из них требовательны к срокам хранения и целям доступа. Но все они писались вокруг одного точного предмета: изображения номерного знака. Ни один не предполагает считывания идентификаторов личных устройств тем же оборудованием.

Это расхождение создаёт не незаконность, а серую зону, более удобную для продавца. Полицейская служба может утверждать, не солгав, что её программа считывателей номеров разрешена и соответствует праву, при этом собирая отныне в том же режиме данные совершенно иной природы. У Leonardo к тому же есть федеральные контракты со Special Operations Command и General Services Administration, то есть закупочный путь, который в значительной мере обходит местные согласования.

Конституционная дискуссия только что сдвинулась, и здесь нужна точность, потому что состояние права изменилось этим летом. В январе 2026 года федеральный суд Виргинии постановил по делу Schmidt v. City of Norfolk, что городская сеть камер Flock не образует обыска в смысле четвёртой поправки, поскольку не покрывает всех перемещений жителей. Решение обжалуется в Четвёртом округе, куда вступила ACLU.

Затем, 29 июня 2026 года, Верховный суд вынес решение Chatrie v. United States. Пятью голосами против четырёх, пером судьи Кейган, он признал, что получение полицией данных о местоположении телефона образует обыск, поскольку человек сохраняет разумное ожидание приватности в отношении этих данных, даже когда ими владеет третье лицо и даже за короткий период. Решение продолжает Carpenter v. United States 2018 года и ослабляет доктрину третьего лица, как отметил CDT.

Точный охват Chatrie применительно к SignalTrace не разрешён, и утверждать обратное было бы неосторожно: решение касается данных, истребованных у Google, а не прямого считывания полицейским датчиком в публичном пространстве. Но оно закрепляет рассуждение, которое имеет значение, а именно: чувствительность данных о местоположении не зависит от того, кто ими владеет.

Европейский вопрос, который и есть настоящий вопрос

Вот где дело становится неудобным для Европы. Leonardo не американский поставщик, а итальянская группа, котирующаяся в Милане, чей первый акционер, итальянское министерство экономики и финансов, владеет примерно 30 % капитала и вправе назначать большинство совета директоров. Итальянское государство не является пассивным акционером этого продукта.

Сначала технический момент

В европейском праве идентификатор устройства является персональными данными. Это не доктринальное мнение, а устойчивая позиция надзорных органов. CNIL прямо трактует MAC-адрес именно так в своей доктрине о системах измерения посещаемости и допускает их сбор в публичном пространстве только при узких условиях: анонимизация за несколько минут с высоким уровнем коллизий между людьми либо надёжная псевдонимизация с последующим уничтожением в течение двадцати четырёх часов, иначе согласие становится обязательным. Та же доктрина уточняет, что предложение людям выключить Wi-Fi не является приемлемой формой возражения.

Суд Европейского союза 4 сентября 2025 года по делу ЕКЗД против ЕСР (C-413/23 P) уточнил, что персональный характер псевдонимизированных данных оценивается с учётом разумно доступных средств повторной идентификации. Здесь же владельцем является полицейский орган, располагающий регистрационными базами. Средства повторной идентификации не гипотетичны, они в соседнем кабинете.

Нюанс, который меняет всё

Было бы неверно написать, что SignalTrace «был бы незаконен в Европе», и читатель-юрист заметил бы это немедленно. Обработка, осуществляемая компетентным органом в целях предупреждения и расследования преступлений, не подпадает под GDPR. Она подпадает под директиву (ЕС) 2016/680, называемую Полицейской директивой, которую каждое государство-член имплементирует отдельно, во Франции разделом III закона о защите данных. CNIL напоминает, что этот режим автономен, со своими основаниями правомерности и своими правами.

Стало быть, правильный вопрос состоит не в отвлечённой законности, а в условиях. При этом режиме такое устройство предполагало бы прямое национальное правовое основание, определённые цели, доказанную необходимость, ограниченный срок хранения, оценку воздействия и независимый контроль. Во Франции считыватели номеров урегулированы именно так: статьи L233-1 и L233-1-1 кодекса внутренней безопасности устанавливают исчерпывающий перечень правонарушений, дающих право на их использование, а срок хранения остаётся одним из самых коротких в Союзе, пятнадцать дней по общему правилу, даже если сенатский законопроект стремится его удлинить.

Это принципиальное отличие от американской ситуации. В Соединённых Штатах закон регулирует предмет, номерной знак, и молчание об идентификаторах устройств означает разрешение. В Европе закон регулирует цели и категории данных, и это молчание означает скорее запрет, за отсутствием прямого правового основания. Пустота, отмеченная за океаном, здесь в такой же форме не существует. Не потому, что Европа добродетельнее: её юридическая техника обратна.

Чего тогда стоит защита

Остаётся вопрос, ради которого написана эта статья. Чего стоит европейская регуляторная защита, когда европейская компания, контролируемая государством-членом, продаёт за пределы Европы возможность, которую не могла бы развернуть у себя без нового закона?

Возражения заслуживают серьёзного отношения. Промышленник не отвечает за правовые рамки своего клиента: американские власти сами решают, что разрешают у себя. Продукт продаётся не диктатуре, а правовому государству с активным верховным судом, о чём только что напомнило Chatrie. И довод промышленного суверенитета законен: если европейские группы запретят себе эти рынки, их займут израильские, американские или китайские поставщики, и слежка не отступит ни на метр, а Европа при этом потеряет свою технологическую базу.

Эти доводы приемлемы. Они не отвечают на проблему.

Прежде всего потому, что Союз уже признал: экспорт средств слежки не является обычной торговлей. Регламент (ЕС) 2021/821 о товарах двойного назначения ввёл в статье 5 всеохватную оговорку в отношении средств киберслежки, поскольку законодатель признал, что законный в производстве инструмент может быть нелегитимным в месте назначения. Его предел поучителен: он срабатывает при риске внутренних репрессий или тяжких нарушений прав человека, то есть в категориях, придуманных для авторитарных режимов. Продажа американской муниципальной полиции в них не входит. Европейская сетка исследует нравственность клиента, но никогда не исследует природу продаваемой возможности.

Затем потому, что такой продукт не запас, который распродают, а возможность, которую поддерживают: она финансирует исследования, готовит инженеров, накапливает ноу-хау и создаёт установленную базу. В день, когда крупный теракт побудит государство-член потребовать эту возможность, дискуссия уже не будет о целесообразности её создания. Она будет существовать, будет европейской, будет зрелой, а её поставщик будет отчасти государственным. Довод «мы лишь следуем за рынком» становится тогда замкнутым кругом, поскольку внутренний рынок будет подготовлен экспортом.

Вот чего стоит регуляторная защита в этом сценарии: она защищает европейцев от применений, а не от существования средств. Она решает вопрос о том, кто вправе нажать кнопку, и оставляет промышленности строить его, продавать, улучшать, а потом ждать.

Что можно сделать, не рассказывая себе сказок

Первым упоминаемым ответом всегда является рандомизация MAC-адреса. Она заслуживает честного разбора, без рекламы и без принижения. Она реальна и она работает.

Android начиная с версии 10 и iOS начиная с версии 14 по умолчанию рандомизируют MAC-адрес, используемый в Wi-Fi, с отдельным адресом для каждой сети. В Bluetooth Low Energy современные устройства транслируют разрешимые частные адреса, которые периодически меняются и могут быть привязаны к настоящему устройству только собеседником, обладающим ключом разрешения.

Её пределы столь же реальны.

Сопряжение снова открывает дверь. Ключ разрешения передаётся при сопряжении. Устройство, уже сопряжённое или явно одобренное, вновь находит устойчивую личность за меняющимся адресом. Механизм для этого и задуман.
Многие предметы ничего не рандомизируют. Датчики давления в шинах, RFID-пропуска, идентификационные чипы животных, автомагнитолы и дешёвая периферия излучают постоянные идентификаторы. Спецификация Leonardo упоминает именно эти категории, и это не случайность.
Рандомизацию можно отключить. Её отключают сеть за сетью, и часто она отключена ради удобства, для MAC-фильтрации на домашнем маршрутизаторе или из-за корпоративной политики.
Группа переживает смену идентификаторов. Это наименее очевидный и самый важный момент. SignalTrace ищет не идентификатор, а набор устройств, путешествующих вместе. Если хотя бы один член группы излучает постоянный идентификатор, весь набор остаётся привязываемым, какой бы ни была дисциплина остальных.

Самая действенная мера остаётся самой скучной: не излучать. Это предполагает отключение Bluetooth и Wi-Fi на уровне системы, в настройках, а не из панели быстрого доступа. Различие не косметическое, мы подробно разобрали его в статье о постоянной геолокации телефона: в большинстве потребительских систем кнопка быстрой панели прерывает видимое сопряжение, но оставляет программный стек живым, и анализ близости продолжается. Та статья описывала сканирование Bluetooth как теоретический вектор. SignalTrace стал его коммерческим продуктом, каталогизированным и готовый к поставке.

Нужно оставаться честным в отношении результата: эти меры уменьшают поверхность уязвимости, но не устраняют её. Автомобиль остаётся номерным знаком, а номерной знак остаётся читаемым. Единственный способ ничего не излучать состоит в том, чтобы ничего не носить с собой, а это не публичная политика.

Что это говорит о наших проектных решениях

В Arpokrat именно это рассуждение привело нас к обработке Bluetooth на уровне Core системы ArpokratOS, а не на уровне настроек. Переключатель в интерфейсе задаёт лишь пользовательское предпочтение: обновление, системное приложение или служба геолокации могут его обойти или снова включить, а пользователь об этом не узнает. Отсутствующий стек снова включить нельзя.

Против считывания вроде SignalTrace это, разумеется, не делает устройство необнаружимым, и мы этого не утверждаем: телефон остаётся в мобильной сети, а прочие предметы в автомобиле излучают сами по себе. Гарантирует оно лишь то, что конкретный вектор излучения отсутствует по построению, а не отключён на доверии. Это тезис, который мы отстаивали по поводу 5G и ошибки цели в праве: правовая защита сосредоточена на доступе к данным, тогда как она должна касаться самого существования инфраструктуры, которая их производит. SignalTrace служит тому иллюстрацией, с той разницей, что эта инфраструктура строится в Европе.

Заключение

Самое примечательное в этом деле не техническая возможность, которую исследователи описывали годами. Это метод развёртывания.

Не будет новой сети камер, которую открывают, не будет муниципального решения, которое можно оспорить, не будет госзакупки, опознаваемой как смена природы. Будут модули, добавленные к существующим мачтам, по существующим контрактам, в уже разрешённых программах. В день, когда откроется публичная дискуссия, инфраструктура будет установлена, амортизирована и встроена в следственные процедуры. Дискуссия тогда пойдёт об условиях доступа к базе, которая существует, и никогда о целесообразности её создания.

Таков обычный порядок вещей в области слежки, и он не случаен. Остаётся узнать, считает ли Европа, что ей есть что сказать, когда её собственные промышленники, опираясь на её собственные государства, строят эту инфраструктуру для других. Европейское право тщательно выстроило ответ на вопрос о том, кто может просматривать эти данные у нас. Оно никогда не задавало вопрос о том, кто вправе построить машину.

5G, геолокация и ошибка прицела в праве

Tue, 18 Aug 2026 00:00:00 +0000

В 2011 году полиция Детройта запросила у мобильного оператора историю подключений телефона Тимоти Карпентера к базовым станциям. Она получила 12 898 точек местоположения за 127 дней, около сотни в сутки. Семь лет спустя Верховный суд Соединённых Штатов признал, что такой запрос представляет собой обыск и требует ордера.

Эти 12 898 точек приходили с антенн четвёртого поколения, каждая из которых покрывала радиус в несколько километров. Тот же запрос, направленный сегодня в городскую сеть 5G, вернул бы не сотню точек в сутки с погрешностью в несколько километров. Он вернул бы гораздо больший объём с погрешностью в несколько десятков метров.

Технология сменила масштаб. Юридическое рассуждение осталось на том же месте цепи.

Правовое благо, которое судьи признают по обе стороны Атлантики

Существует интерес, который признают почти все и который почти ни один акт не защищает действенно: право находиться где-то без того, чтобы этот факт фиксировался.

Европейская судебная практика установила это недвусмысленно. В деле Digital Rights Ireland (объединённые дела C-293/12 и C-594/12, 8 апреля 2014 года), а затем в деле Tele2 Sverige и Watson (объединённые дела C-203/15 и C-698/15, большая палата, 21 декабря 2016 года) Суд Европейского Союза постановил, что эти данные, взятые в совокупности, позволяют делать очень точные выводы о частной жизни лиц: привычки повседневной жизни, места пребывания, перемещения, осуществляемая деятельность и социальные связи.

Верховный суд Соединённых Штатов пришёл к близкому выводу в деле Carpenter v. United States, 585 U.S. 296 (2018). Он подчеркнул момент, который американская доктрина много комментировала: неотвратимый и автоматический характер этого сбора. Никто не соглашается быть подключённым к антенне: человек подключён потому, что у него есть включённый телефон.

Итак, правовое благо существует, и его признают два суда, которые в этой области имеют вес. Проблема в другом.

Что 5G изменило на самом деле

Распространённая путаница состоит в том, что местоположение рассматривают как данные, которые телефон передаёт, наравне с сообщением или фотографией. Это не так. Местоположение есть физическое следствие работы сети. Оператор знает, к какой антенне подключено устройство, потому что обязан это знать, чтобы маршрутизировать вызов. Не существует ключа, которым можно было бы зашифровать эту информацию, поскольку речь идёт не о содержании, а о свойстве самого соединения.

Именно это делает 5G значимым в правовой плоскости, а не в технической.

Прежние архитектуры опирались на широкие соты. Антенна 4G обычно обслуживает радиус в несколько километров, и позиция, выведенная из одного лишь подключения, измерялась сотнями метров в городе, иногда десятками километров в сельской местности. 5G опирается на массовое уплотнение: городские соты покрывают обычно несколько сотен метров, а инженерная литература оперирует плотностями порядка сорока-пятидесяти базовых станций на квадратный километр против четырёх-пяти во времена 3G.

Следствие механическое. Согласно белой книге Ericsson о позиционировании в 5G, инфраструктура, развёрнутая исключительно ради связи, достигает точности от двадцати до пятидесяти метров на улице и от одного до трёх метров в помещении, а при благоприятных городских условиях опускается ниже метра. Речь не о где-то включённой функции геолокации, а о том, что сеть знает по самому своему устройству, без единого установленного приложения и без единого выданного разрешения. Все эти механизмы, а также контрмеры, которые действительно работают, мы подробно разобрали в статье о постоянной геолокации телефона.

Таким образом, вторжение выросло на несколько порядков. Применимая правовая рамка остаётся той, что была задумана для 2G и 3G. Никакой нормативной адаптации эта смена масштаба не сопровождала.

Право защищает доступ, а не порождение

Европейское право тщательно регулирует, кто может получить доступ к данным о местоположении, на каких условиях и под каким контролем. Директива 2002/58/ЕС закрепляет принцип конфиденциальности коммуникаций, а Суд ЕС постановил в деле La Quadrature du Net (объединённые дела C-511/18, C-512/18 и C-520/18, большая палата, 6 октября 2020 года), что статья 15(1) этой директивы, толкуемая в свете статей 7, 8, 11 и 52(1) Хартии, не допускает всеобщего и недифференцированного хранения данных о трафике и местоположении в превентивных целях. Суд, однако, допустил очерченные отступления, когда государство-член сталкивается с серьёзной угрозой национальной безопасности, оказывающейся реальной и наличной или предсказуемой, при условии действенного контроля.

Это настоящие гарантии, и было бы нелепо их принижать. Но все они вступают в дело задним числом. Они предполагают, что данные существуют, что они хранятся, и лишь затем упорядочивают условия их использования.

Между тем если местоположение есть неизбежный побочный продукт работы сети, то уместной точкой вмешательства является не конфиденциальность. Это срок хранения.

Мгновенная позиция, необходимая для маршрутизации связи и стёртая сразу после, не является инструментом слежки. История позиций, хранимая месяцами, им является, какими бы гарантиями доступа она ни была окружена.

Различие между ними не юридическое, а архитектурное. И европейский календарь делает вопрос неотложным, а не теоретическим. Комиссия отозвала проект регламента ePrivacy в 2025 году из-за отсутствия согласия между созаконодателями. С тех пор она работает над отдельным инструментом о хранении данных для целей уголовного производства, объявленным на 2026 год и призванным гармонизировать национальные режимы, ставшие разнородными после отмены директивы 2006 года. Иначе говоря, текст, который на десятилетие определит режим метаданных о местоположении, пишется прямо сейчас, на основе рассуждения, задуманного во времена километровых сот.

Прецедент, который 5G создало само

Самое интересное в этом деле то, что верный ответ уже содержится в техническом стандарте, но применён к другому объекту.

Вплоть до 4G постоянный идентификатор абонента, IMSI, передавался открытым текстом по радиоинтерфейсу при подключении. Именно это сделало возможными IMSI-кэтчеры, те поддельные базовые станции, которые, согласно эталонному описанию Electronic Frontier Foundation, излучают мощнее легитимных антенн, чтобы притягивать терминалы и перехватывать их идентификатор.

Начиная с Release 15 спецификаций 3GPP, опубликованного в 2019 году, 5G даёт изящный ответ. Постоянный идентификатор, ныне называемый SUPI, может быть заменён на радиоинтерфейсе на SUCI, скрытый идентификатор, полученный шифрованием абонентской части средствами криптографии на эллиптических кривых с использованием открытого ключа домашнего оператора. Расшифровать его может только домашняя сеть, владеющая соответствующим закрытым ключом. Результат уникален при каждом вычислении, что препятствует корреляции между сессиями.

Принятая логика заслуживает быть подчёркнутой, потому что она ровно та, которой следовало бы руководствоваться законодателю: шифруют не позицию, что было бы технически невозможно, шифруют личность. Позиция, лишённая привязываемой личности, имеет весьма ограниченную ценность для индивидуализированной слежки.

Изъян: защита факультативна

Существует, однако, значительная оговорка, и это, на наш взгляд, самая конкретная точка вмешательства во всём деле.

Белая книга NIST CSWP 36A, опубликованная в марте 2026 года National Institute of Standards and Technology, говорит об этом без обиняков. Терминалы и сетевые функции, соответствующие Release 15 или более позднему, обязаны поддерживать SUCI, но его включение остаётся факультативным для оператора. Должны совпасть три условия: производитель оборудования должен его поддерживать, оператор должен включить его в своей сети, а SIM-карта должна нести элементы, необходимые для вычисления.

К этому добавляется конфигурационная ловушка. Стандарт предусматривает нулевую схему защиты, при которой формат SUCI формально применяется, но без действительного шифрования, так что идентификатор идёт открытым текстом. NIST пишет, что оператору необходимо настроить свою сеть с ненулевой схемой защиты, и напоминает, что доклад CSRIC, консультативного органа Federal Communications Commission, ещё в 2021 году рекомендовал оставить нулевую схему исключительно для экстренных вызовов с терминала, не известного сети.

Эту формулировку стоит оставить как есть. Лучшая доступная защита от отслеживания мобильных терминалов существует в техническом стандарте с 2019 года. Она держится на конфигурационном выборе, оставленном на усмотрение оператора. Американское федеральное агентство считает нужным опубликовать в 2026 году документ, напоминающий, что её следовало бы включить. И ни один европейский правовой инструмент её не предписывает.

Надо добавить, что SUCI не закрывает тему. Работы, представленные под названием 5G SUCI-catchers: still catching them all?, документируют атаки связывания, позволяющие вновь коррелировать сессии несмотря на шифрование, и защита падает полностью, если атакующий вынудит терминал перейти на предыдущее поколение. Правовая обязанность, стало быть, не решила бы всего. Она тем не менее устранила бы разрыв, у которого нет никакого защитимого оправдания: между тем, что позволяет стандарт, и тем, что делают коммерческие сети.

Три согласованных вмешательства

Если всерьёз принять мысль, что местоположение следует минимизировать на этапе проектирования, а не защищать задним числом, логически напрашиваются три меры.

Сделать обязательным действительное сокрытие идентификатора. Предписать включение SUCI и запретить нулевые схемы защиты в коммерческих сетях, кроме остаточного случая экстренных вызовов. Речь не о том, чтобы предписывать новую технологию или финансировать развёртывание, а о требовании включить функцию, стандартизованную семь лет назад и уже присутствующую в оборудовании.
Рассматривать хранение как исключение, а не как настройку по умолчанию. Позиция, необходимая для маршрутизации связи, должна стираться, как только эта функция выполнена. Формирование истории должно требовать особого обоснования. Это разница между сетью, которая знает, где вы находитесь, и сетью, которая помнит, где вы были.
Сделать владение ключом надлежащим критерием привязки. Размещение серверов в Союзе мало что значит, если ключи, делающие данные читаемыми, находятся в другом месте. Юридически значимым критерием должно быть действительное господство над средствами расшифрования, вопрос, который мы подробно рассмотрели в связи с конфликтом между Data Act и CLOUD Act.

Угол зрения, которого держится Arpokrat

Это рассуждение не свойственно одному лишь телекоммуникационному праву. Именно его мы применяем к собственным архитектурным решениям, и оно умещается в одну фразу: то, что не было произведено, не нуждается в защите.

Поэтому ArpokratOS удаляет GPS, Bluetooth и NFC на уровне ядра, а не отключает их в меню. Переключатель есть политика: его может обойти привилегированный компонент, снова включить обновление, проигнорировать скомпрометированная система. Удаление пути в коде снимает сам вопрос. Это перенос на масштаб устройства того же смещения, которого мы добиваемся на масштабе права: вмешиваться на этапе порождения, а не доступа.

Надо сразу сказать, чего это не делает. Ни одна операционная система не выводит терминал за пределы геометрии сети. Пока SIM-карта активна, оператор знает соту подключения, и полная маршрутизация трафика через Tor этого не меняет, поскольку она защищает содержание и назначение, а не радиоуровень. Именно поэтому тема является правовой. Существует категория рисков, которую не снижает никакая индивидуальная настройка и для которой единственной доступной переменной остаётся правило, применимое к оператору.

Та же забота управляет остальной нашей работой. Данные, которых не существует, нельзя ни истребовать, ни перепродать, ни выкрасть, ни расшифровать через десять лет машиной, которой сегодня ни у кого нет, вопрос, который мы разобрали под углом шифрования, собранного сейчас и взломанного позже.

Заключение

Публичная дискуссия о мобильной слежке сосредоточена почти исключительно на доступе: кто может просматривать данные, на каком основании, с каким разрешением. Эта дискуссия законна, и решения, вынесенные Судом ЕС с 2014 года, дали ощутимые результаты. Но она вступает в цепь слишком поздно.

Предшествующий и более определяющий вопрос состоит в том, должна ли история существовать вообще. База, созданная сегодня по законному основанию, остаётся доступной завтра для другого, и окружающие её гарантии зависят от последующих политических решений, которые в момент сбора никто не контролирует. Это ставка на устойчивость институтов, сделанная на срок, который никто не устанавливает.

5G многократно повысило разрешение этой информации без какой-либо нормативной адаптации. Одновременно оно показало, посредством механизма SUCI, что осуществимый путь состоит в отделении позиции от личности, а не в попытке зашифровать физическое свойство сети. Технический стандарт дал ответ за семь лет до того, как право задало вопрос.

Европейский текст о хранении данных пишется сейчас. Он будет касаться метаданных, а значит местоположения, а значит того, что 5G производит теперь с точностью, которой его составители не знали. Ограничится ли он упорядочением доступа к истории, принимаемой как данность, или же осмелится поставить под вопрос необходимость этой истории, вероятно, и есть важнейший вопрос приватности ближайших лет в Европе. И это вопрос, который технический сектор, на сей раз, уже решил в правильную сторону.

Источники

Суд Европейского Союза, Digital Rights Ireland, объединённые дела C-293/12 и C-594/12, 8 апреля 2014 года
Суд Европейского Союза, Tele2 Sverige и Watson, объединённые дела C-203/15 и C-698/15, большая палата, 21 декабря 2016 года
Суд Европейского Союза, La Quadrature du Net и другие, объединённые дела C-511/18, C-512/18 и C-520/18, большая палата, 6 октября 2020 года
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, март 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta и др., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Постоянная геолокация: как телефон следит за вами, даже когда вы уверены, что это отключили

Sun, 02 Aug 2026 00:00:00 +0000

В 2024 году двое исследователей из Мэрилендского университета многократно обращались к службе позиционирования Apple по Wi-Fi, без каких-либо особых привилегий и без специализированного оборудования, и за год восстановили точное положение более двух миллиардов точек доступа Wi-Fi по всему миру. Их работа Surveilling the Masses with Wi-Fi-Based Positioning Systems показывает, что позволяет такая карта: отслеживать технику, въезжающую в Украину и покидающую её, наблюдать за перемещением населения после пожаров на Мауи, находить конкретного человека через его домашний роутер.

Ни на одном из этих устройств GPS не был включён. Позиция приходила из другого источника.

Это самая распространённая слепая зона в вопросах мобильной приватности: убеждение, что существует переключатель геолокации и что, стоит его выключить, телефон перестаёт знать, где он находится. Это убеждение ложно на семи разных уровнях.

Геолокация не функция, которую телефон включает. Это свойство того, чем он является.

GPS, то есть наименее проблемный вектор

Единственный механизм, который может назвать каждый, оказывается и тем, который должен беспокоить вас меньше всего.

GNSS, обобщающий термин для американского GPS, Galileo, ГЛОНАСС и BeiDou, работает на прослушивание. Спутники непрерывно излучают сигналы с отметками времени, приёмник улавливает несколько из них и вычисляет своё положение по разнице времени распространения. Обычная точность на открытой местности: три-пять метров, в городе часто несколько десятков метров, поскольку фасады отражают сигналы.

Решающее обстоятельство в том, что этот расчёт пассивен. Телефон ничего не излучает в сторону спутников, ни один спутниковый оператор не знает о вашем существовании. Если бы в игре был только GNSS, выключения GPS было бы достаточно.

Однако есть нюанс. Чтобы ускорить первое определение координат, телефоны используют A-GPS: они загружают спутниковые эфемериды с сервера по протоколу SUPL. Чтобы получить нужные данные, телефон передаёт этому серверу идентификатор соты сети, к которой он подключён. Чистый GNSS вас не выдаёт, а вот привитый к нему ускоритель выдаёт.

Мобильная сеть: то, что оператор знает по построению

Чтобы звонок мог до вас дойти, сеть должна знать, в какой зоне вы находитесь. Это не включаемая опция, это условие существования услуги. Ваш телефон постоянно заявляет о себе ближайшей вышке, и эта регистрация оставляет след на стороне оператора. Никакого установленного приложения, никакого выданного разрешения: достаточно активной SIM-карты.

Точность зависит от метода:

Только идентификатор соты: от 200 метров в плотной городской застройке до более чем 30 километров в сельской местности, где одна вышка покрывает очень большой радиус.
Обогащённый Cell ID, добавляющий сектор антенны (большинство площадок разделено на три сектора по 120 градусов) и мощность сигнала: от 100 метров до нескольких километров.
Timing advance, измеряющий задержку прохождения сигнала туда и обратно между телефоном и вышкой: порядка 550 метров в GSM, около 78 метров в LTE.
Мультилатерация по трём и более вышкам: от 50 до 300 метров в городском LTE.

5G меняет масштаб по двум складывающимся причинам. Сначала плотность: соты 5G покрывают куда меньшие радиусы, так что само подключение уже является тонкой информацией. Затем стандартизация: начиная с Release 16, 3GPP включает собственные сигналы позиционирования. Коммерческие цели — менее 3 метров внутри помещений и менее 10 метров снаружи для 80 % устройств, а Release 18 для отдельных промышленных применений опускается до сантиметров.

Инфраструктура, которая вас соединяет, тем самым становится системой позиционирования качества, сопоставимого с GPS, без того чтобы вы что-либо включали. Эти данные хранятся по национальным правилам и доступны властям по различным процедурам. Это та же самая принципиальная дискуссия, что и в случае юрисдикции, применимой к размещённым данным: техническая защита и правовая защита не совпадают.

Wi-Fi: карта мира, составленная из аппаратных адресов

Каждая точка доступа Wi-Fi постоянно транслирует уникальный аппаратный идентификатор, BSSID. Эти идентификаторы неизменны и географически стабильны: домашний роутер годами стоит на одном месте.

Apple, Google и несколько специализированных игроков ведут базы, связывающие каждый BSSID с координатами. Их наполняют телефоны их же пользователей, которые отправляют список видимых точек вместе с позицией по GNSS. Затем операция обращается: телефон, видящий четыре известные точки, больше не нуждается ни в одном спутнике. В плотной городской застройке точность обычно достигает нескольких десятков метров, а в помещениях опускается ещё ниже.

Два свойства делают этот механизм трудным для нейтрализации. Во-первых, телефон сканирует даже тогда, когда Wi-Fi выглядит отключённым: начиная с Android 4.3 система сохраняет периодическое сканирование, предназначенное для уточнения геолокации, независимо от переключателя в быстрой панели. Это поведение зависит от отдельной настройки, спрятанной в службах геолокации, которую практически ни один пользователь никогда не открывал.

Во-вторых, базу можно опрашивать извне. Именно эту брешь использовали Рай и Левин: интерфейсы позиционирования возвращают не только запрошенную позицию, но и позиции соседних точек доступа, что позволяет собирать карту, ни разу физически не приблизившись к этим местам.

Bluetooth и BLE: вас находят телефоны других людей

Bluetooth Low Energy добавляет слой близости с дальностью от нескольких до нескольких десятков метров, то есть с куда более тонкой детализацией, чем мобильная сеть. Сосуществуют два применения. Коммерческие маячки, размещённые в магазинах, аэропортах или торговых центрах, излучают идентификатор, который распознают приложения в телефоне, и это показывает, перед какой полкой вы остановились и на сколько времени. И совместные сети геолокации, образцом которых служит Find My от Apple, с тех пор перенятый Google и Samsung.

Второй механизм переворачивает неявное допущение. Эталонный анализ Who Can Find My Devices?, опубликованный в материалах PETS 2021 исследователями Дармштадтского технического университета, восстановил протокол Apple обратной разработкой. Устройство без связи излучает сигнал BLE, любое устройство Apple поблизости его ловит, добавляет собственную позицию и передаёт её зашифрованной на серверы Apple, без ведома как своего владельца, так и владельца найденного устройства.

Следствие носит структурный характер: устройство без SIM-карты, без Wi-Fi, без какого-либо сетевого подключения остаётся находимым, лишь бы рядом прошёл незнакомец с телефоном в кармане. Ваша изоляция больше не зависит от ваших настроек, а от настроек прохожих.

Инерциальные датчики: определить местоположение без разрешения на геолокацию

В телефоне есть акселерометр, гироскоп, магнитометр и часто барометр. Эти датчики относятся к категории разрешений, отличной от геолокации: приложение может их читать, ни разу не спросив, где вы.

Исследователи из Принстона доказали это с помощью PinMe. Их приложение отталкивается от IP-адреса и часового пояса ради грубой позиции, а затем читает датчики: акселерометр даёт профиль разгона и торможения, гироскоп — последовательность поворотов, магнитометр — курс, барометр — изменения высоты. Нейросеть определяет способ передвижения — пешком, автомобилем, поездом или самолётом, — и маршрут накладывается на открытые картографические, высотные и метеорологические данные. Результат: траектория с точностью, сопоставимой с GPS, без разрешения на геолокацию. У метода есть границы, которые авторы документируют, поскольку он не работает в зонах без дорог и ухудшается на однородных квартальных планировках, где множество маршрутов даёт одну и ту же подпись. Он остаётся доказательством того, что отклонённое разрешение — не закрытая дверь.

Барометр к тому же даёт измерение, с которым GNSS справляется плохо, — вертикаль. Американские требования к экстренным вызовам предписывают точность до этажа плюс-минус 3 метра для 80 % вызовов из помещений. Знать, на каком этаже находится человек, — это иное знание, чем знать, в каком квартале он находится.

Рынок данных: самый банальный вектор

Предыдущие механизмы описывают, как вычисляется позиция. Остаётся узнать, куда она уходит, и именно там разыгрывается основная часть повседневного риска.

Тысячи приложений содержат рекламные SDK, программные блоки от третьих сторон, которые разработчик добавляет, чтобы монетизировать свою работу или измерить аудиторию. Эти блоки наследуют разрешения приложения-хозяина: приложение погоды, которому ваша позиция нужна вполне законно, передаёт её игрокам, чьих названий вы никогда не читали. К этому добавляются потоки рекламных аукционов, где ваша приблизительная позиция рассылается десяткам потенциальных покупателей при каждом показе баннера, включая тех, кто ничего не покупает и ограничивается прослушиванием.

Это сырьё питает целую индустрию. Electronic Frontier Foundation задокументировала случай Fog Data Science, заявлявшей о миллиардах точек данных по более чем 250 миллионам устройств, которые продавались местной полиции в США. Брайан Кребс описал Locate X, продукт, позволяющий очертить многоугольник на карте и просмотреть историю устройств, которые входили в эту зону и покидали её.

Этот вектор не требует никакого технического подвига, нужно лишь, чтобы кто-то согласился заплатить. Цена скромная.

IMSI-кетчеры: активное определение местоположения

Рассмотренные до сих пор механизмы эксплуатируют нормальную работу системы. Существует также активное определение местоположения, которое ведёт третья сторона, вмешивающаяся в сеть.

IMSI-кетчер, или симулятор базовой станции, — это оборудование, выдающее себя за легитимную вышку. Телефоны в зоне действия подключаются к нему, раскрывая свой идентификатор абонента и своё присутствие в узко очерченном периметре.

5G должен был закрыть эту дверь, заменив постоянный идентификатор в открытом виде на зашифрованный — SUCI. Закрытие оказалось частичным. Работы, представленные под названием 5G SUCI-catchers: still catching them all?, документируют атаки связывания, позволяющие заново коррелировать сессии несмотря на шифрование. Но главное: защита падает полностью, если атакующий вынуждает устройство откатиться на предыдущее поколение, в частности 2G, аутентификация которого односторонняя. Телефон с 5G остаётся уязвим к атаке, задуманной для сети 1990-х годов, потому что он до сих пор соглашается туда спуститься.

Контрмеры и их реальная эффективность

Каждая из приведённых ниже мер что-то даёт. Ни одна не даёт всего, и разрыв между тем, что они делают, и тем, что им приписывают, порождает неверные решения.

Режим полёта

Режим полёта отключает передачу сотового модема, Wi-Fi и Bluetooth. Это реальный эффект, и это лучший результат при столь малых усилиях.

Чего он не делает: не останавливает инерциальные датчики, не удаляет уже закэшированные позиции, которые уйдут при повторном подключении, и на большинстве устройств позволяет отдельно включить Wi-Fi или Bluetooth, не выходя из него. Наконец, это программное состояние, а не отключение питания: его надёжность зависит от целостности системы, которая его применяет.

Недооценённая деталь: отключение от сети и последующее возвращение сами по себе являются событиями с отметкой времени на стороне оператора. Телефон, исчезающий в 21 час в одной соте и появляющийся в 23 часа в другой, произвёл информацию, а не тишину.

Рандомизация MAC-адреса

Мобильные системы сегодня при сканировании излучают случайные MAC-адреса, чтобы помешать отслеживанию от места к месту. Намерение хорошее, результат неполный. Эталонные работы, среди них Why MAC Address Randomization is not Enough, показывают, что содержимого кадров обнаружения часто достаточно для повторной идентификации устройства: количество информационных элементов, их значения и порядок образуют отпечаток. К этому добавляются порядковые номера, инкрементные и потому пригодные для сцепления, и временная подпись, характерная для каждой модели. Некоторые исследования сообщают о корректном отслеживании половины устройств в течение не менее двадцати минут.

Наконец, концептуальная граница: рандомизация касается только фазы обнаружения. Как только вы подключаетесь к сети, используемый адрес для этой сети постоянен по замыслу, чтобы соединение работало. Кофейня, куда вы ходите каждое утро, вас узнаёт.

По-настоящему отключить сканирование

Это самая выгодная и самая игнорируемая настройка. В Android поиск Wi-Fi и поиск Bluetooth — две отдельные опции, расположенные в службах геолокации, независимые от переключателей быстрой панели. Пока они активны, выключить Wi-Fi из панели недостаточно: сканирование продолжается.

Их отключение убирает целый слой сбора данных, а единственной платой оказывается чуть более медленное первое определение позиции. Для большинства читателей это лучшее соотношение затраченных усилий и полученного результата.

Разрешения приложений

Отзывать разрешение на геолокацию у приложений, которым оно очевидно не нужно, остаётся полезным, и современные системы предлагают три градации: разовое разрешение, разрешение, ограниченное активным использованием, и приблизительное местоположение, передающее лишь зону порядка километра.

Это, однако, не защищает ни от SDK внутри приложения, имеющего законное основание обращаться к вашей позиции, ни от инерциальных датчиков, ни от сетевых уровней, которые не проходят ни через какое разрешение.

От чего VPN не защищает

Момент, который следует прояснить, поскольку противоположное убеждение весьма распространено: VPN не скрывает ваше местоположение. Он скрывает ваш публичный IP-адрес, а значит, искажает геолокацию по IP, которая в любом случае является самым грубым механизмом в списке.

VPN не затрагивает ни приёмник GNSS, ни сканирование Wi-Fi, ни Bluetooth, ни датчики. Он ничего не меняет в том, что знает ваш оператор, поскольку шифрованный туннель проходит через его вышки, а подключение к соте остаётся для него видимым. Он не мешает приложению с разрешением на геолокацию передать точные координаты внутри туннеля. VPN защищает содержание и назначение ваших коммуникаций в ненадёжной сети, и это уже немало. Геолокация в его периметр не входит.

Физические пределы

Чехол Фарадея работает буквально: он блокирует передачу и приём. Извлечение аккумулятора тоже, там где это ещё возможно. Отдельное устройство или просто оставленный в другом месте телефон остаётся самой надёжной мерой.

У этих решений общий изъян, которому надо посмотреть в лицо: они создают аномалию. Телефон, молчащий два часа каждый вторник вечером, о чём-то сообщает. Против противника, анализирующего закономерности, а не мгновенные позиции, отсутствие само является данными.

Три противника, три стратегии

Это самое важное различение этой статьи и одновременно то, которое читают реже всего.

Против рекламодателя или брокера данных битву можно выиграть. Дисциплина разрешений, отключение сканирований, система без проприетарных служб геолокации, сброс рекламного идентификатора: вместе это очень сильно сокращает собираемый объём. Этот противник ищет дешёвый объём, а не именно ваш случай.

Против вашего оператора никакая конфигурация не поможет. Сотовая геолокация — условие услуги. Единственные реальные переменные правовые, то есть что закон позволяет хранить и передавать, и материальные: какое устройство, какая SIM-карта, на чьё имя, включённая где.

Против целенаправленного государственного противника рассуждение меняется вновь, поскольку он сочетает законный доступ к данным оператора, активное определение местоположения симулятором базовой станции, запросы к платформам и, при необходимости, компрометацию самого устройства. Программные контрмеры уменьшают поверхность, но реалистичная цель не исчезновение: она в том, чтобы точно знать, что остаётся открытым.

Подход ArpokratOS

ArpokratOS отвечает на этот ландшафт выбором, вытекающим из приведённого различения: то, что должно быть нейтрализовано, нейтрализуется на уровне системы, а не в меню.

В отношении GNSS аппаратный драйвер удалён. Устройство ведёт себя так, как если бы чипа не существовало, — и для приложений, и для самой системы. Отличие от переключателя в настройках не косметическое. Переключатель — это политика: её применяет слой, который может обойти достаточно привилегированный компонент, вновь включить обновление или проигнорировать скомпрометированная система. Удаление пути кода снимает вопрос, поскольку включать уже нечего.

Bluetooth обрабатывается на уровне Core, по той же логике. Bluetooth, отключённый в настройках, на многих устройствах на практике оставляет программный стек живым, чтобы питать службы близости и совместные сети геолокации. Отсутствуя на уровне системы, он не может ни общаться с магазинным маячком, ни участвовать в сети типа Find My, ни служить поверхностью атаки без взаимодействия.

Надо ясно сказать, чего это не делает. ArpokratOS не делает телефон необнаружимым. Пока SIM-карта активна, оператор знает соту подключения, и никакая операционная система этого не изменит, даже если весь трафик идёт через Tor. Маршрутизация защищает содержание и назначение, а не радиогеометрию. Тот, кто обещает невидимость, продаёт сказку.

То, что даёт такая архитектура, скромнее: устранение прикладного слоя и слоя близости, через которые проходит подавляющее большинство реального сбора, и явная модель угроз для того, что остаётся. Это то же рассуждение, применённое к выбору настольной системы, изложенное в нашем сравнении операционных систем: полезный вопрос не в том, защищает ли инструмент, а в том, от чего он защищает и какой ценой.

Заключение

Эта статья не даёт метода исчезнуть. Такого метода не существует, а тексты, утверждающие обратное, порождают прежде всего ложную уверенность, более опасную, чем отсутствие защиты, потому что она толкает на риск.

Цель состояла в том, чтобы заменить бинарный вопрос «можно ли меня найти» вопросом полезным: кем, с какой точностью, какой ценой для них и волнует ли это меня. Ответ различается для журналиста, защищающего источник, для руководителя в поездке в чувствительной юрисдикции, для адвоката, чьи встречи выдают стратегию, и для частного лица, которому досадно, что рекламодатель знает его привычки.

Внимание, впрочем, должна привлекать не эффективность каждого из этих механизмов по отдельности, а то, что они накладываются друг на друга. Позиция с точностью до пятидесяти метров не слишком интересна. Позиция с точностью до пятидесяти метров, каждые четверть часа, в течение двух лет, вычерчивает жильё, место работы, вероисповедание, состояние здоровья, роман, источник информации. Данные о местоположении — те метаданные, которые делают читаемыми все остальные, и именно поэтому они дорого стоят.

Источники

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Филиппины запрещают Monero и Zcash на регулируемых платформах: сигнал глобальной тенденции

Wed, 17 Jun 2026 00:00:00 +0000

Центральный банк Филиппин нанёс серьёзный удар по криптовалютам с расширенной конфиденциальностью. Под предлогом соответствия международным стандартам борьбы с отмыванием денег это решение иллюстрирует регуляторную динамику, которая выходит далеко за пределы одной страны — и которая должна насторожить любого, кто владеет или использует такие активы, как Monero или Zcash.

Что говорит меморандум

Bangko Sentral ng Pilipinas (BSP), центральный банк страны, утвердила Меморандум M-2026-023, подписанный заместителем управляющего Лин Хавьер. Документ обязывает всех лицензированных поставщиков услуг в сфере виртуальных активов (VASP) прекратить листинг и поддержку «виртуальных активов с функцией анонимизации». Меморандум не называет конкретные токены, однако целевая категория однозначно охватывает Monero, Zcash и Dash — криптовалюты, разработанные для того, чтобы максимально затруднить или сделать невозможным отслеживание транзакций.

Меры вступили в силу немедленно, без переходного периода. Помимо простого удаления этих активов с платформ, VASP теперь обязаны оценивать каждый листинговый токен по шести критериям соответствия: благонадёжность эмитента, зрелость рынка, сценарии использования, прозрачность и безопасность, ликвидность и резервы, правовое соответствие. Они также должны установить внутренние пороговые значения, автоматически инициирующие делистинг актива, если он перестаёт соответствовать этим критериям.

Что это конкретно меняет

Меморандум не криминализирует частное владение Monero или Zcash, а также одноранговые переводы, осуществляемые вне регулируемых платформ. Исчезает институциональный доступ: регулируемые шлюзы входа и выхода (покупка, продажа, пополнение, вывод на лицензированной платформе) больше не смогут работать с этими активами.

На практике, если вы хранили privacy coins на филиппинской платформе, лицензированной BSP — в частности Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank или UnionBank — вам необходимо перевести их в личный кошелёк или конвертировать до того, как платформа будет вынуждена их удалить.

При более чем 16 миллионах пользователей криптовалют в стране это решение окажет значительное влияние на внутренний рынок, хотя его воздействие на мировой курс XMR или ZEC должно остаться ограниченным — Филиппины составляют лишь незначительную долю глобальной ликвидности этих активов.

Выравнивание с FATF как универсальное обоснование

BSP обосновывает своё решение явным соответствием стандартам ФАТФ (FATF) — международной организации, определяющей правила борьбы с отмыванием денег и финансированием терроризма. Поддерживать хорошие отношения с FATF — не опция для большинства центральных банков: низкий рейтинг может отрезать целую страну от международных финансовых систем.

Именно это же обоснование уже привело Европейский союз, Японию и Южную Корею к постепенному исключению privacy coins с их регулируемых платформ в последние годы. Решение Филиппин — не единичный случай: это подтверждение фактического стандарта, который становится всеобщим. Если юрисдикция хочет функционировать на международно признанном крипторынке, активам с расширенной конфиденциальностью в ней больше нет места.

Противоречие, которое никто по-настоящему не разрешает

Показательно, что даже сторонники этого решения признают законность тех целей, которые оно стремится ограничить. Руководитель криптонаправления GCash, одной из крупнейших финтех-компаний страны, прямо признал, что Monero и Zcash «существуют по законным причинам» и что конфиденциальность является «базовой ценностью криптовалют: способностью совершать транзакции без слежки». Тем не менее он поддержал эту меру, считая, что Филиппины — страна, в значительной мере зависящая от потоков денежных переводов — не могут позиционировать себя как надёжная финансовая инфраструктура, при этом допуская свободное обращение анонимизирующих активов.

Это противоречие не разрешено — оно просто разрешается в пользу регуляторной логики: объёмы денежных переводов и международная репутация всякий раз перевешивают аргумент в пользу законной конфиденциальности, когда встаёт вопрос о выборе.

Логическое следствие: переход к самостоятельному хранению

Схема, повторяющаяся от одной юрисдикции к другой, теперь поддаётся чёткому прочтению. Закономерность почти всегда одна и та же: финансовая конфиденциальность остаётся законной на индивидуальном уровне, но постепенно становится невозможной для реализации через институциональные каналы. Самостоятельное хранение (self-custody) пока не является мишенью — однако каждая новая юрисдикция, следующая этой модели, ещё немного сужает пространство, в котором эти активы могут обращаться без регуляторной блокировки.

Мы подробно рассмотрели техническое устройство этих блокчейнов и причины, по которым они стали приоритетной мишенью для регуляторов, в нашем полном руководстве по анонимным блокчейнам — кольцевые подписи, zk-SNARKs и реальные ограничения этих технологий.

Обмен за пределами закрывающихся каналов

По мере того как регулируемые платформы одна за другой уходят с рынка privacy coins, роль некастодиальных инфраструктур без сбора данных становится центральной для тех, кто хочет продолжать использовать эти активы, не завися от VASP, подчинённого юрисдикции, способной изменить политику в одночасье.

Arpokrat Swap позволяет обменивать Monero, Zcash и все криптовалюты с расширенной конфиденциальностью без регистрации, без сбора IP-логов и без файлов cookie — независимо от того, заходите ли вы на платформу через clearnet или через наш адрес .onion. Ни одна юрисдикция не может изъять то, что мы никогда не собираем.

Это филиппинское решение, вероятно, не последнее в своём роде в этом году. Вопрос больше не в том, последуют ли другие страны тем же путём — недавняя история подсказывает, что да — а в том, сколько времени остаётся до того, как институциональный доступ к privacy coins станет исключением, а не нормой.

Конец конфиденциальности? Бэкдоры, Online Safety Act и ответ суверенных экосистем

Wed, 10 Jun 2026 00:00:00 +0000

Лондон стал эпицентром глобальной битвы за будущее цифровой конфиденциальности. С принятием закона Online Safety Act 2023 (OSA) и недавними предложениями по пересмотру закона Investigatory Powers Act (IPA) — прозванного его критиками «Хартией шпионов» —, британское правительство присваивает себе право навязывать обязательства по слежке в самом сердце частных коммуникаций. Переломным моментом стала власть, предоставленная регулятору OFCOM, требовать от платформ внедрения «аккредитованной технологии» для обнаружения материалов, содержащих сексуальное насилие над детьми (CSEA), или терроризма, в том числе внутри коммуникаций со сквозным шифрованием.

Для крупных цифровых платформ послание Вестминстера недвусмысленно: либо они способствуют доступу государства к своим инфраструктурам, либо сталкиваются со штрафами в размере до 10% от их мирового дохода. Реакция последовала незамедлительно: такие сервисы, как Signal и WhatsApp, публично пригрозили уйти с британского рынка, отказавшись ставить под угрозу безопасность своих пользователей ради удовлетворения одной единственной юрисдикции. Технический аргумент трудно оспорить: не существует мастер-ключа, зарезервированного только для легитимных субъектов. Открытая дверь для правоохранительных органов по своей конструкции является открытой дверью для киберпреступников и иностранных спецслужб.

Бизнес-модель крупных платформ: структурное препятствие для Zero-Knowledge

Сопротивление крупных платформ внедрению шифрования типа Zero-Knowledge объясняется не технической неспособностью, а фундаментальной экономической несовместимостью. Компании вроде Alphabet и Meta опираются на модели монетизации, основанные на систематическом сборе поведенческих данных. Эта модель, кстати, неявно признается Законом о цифровых рынках (DMA) Европейского Союза, который классифицирует этих «привратников» (gatekeepers) как организации, чье доминирующее положение подпитывается именно накоплением данных в беспрецедентных масштабах. Для этих игроков внедрение архитектуры Zero-Knowledge означало бы лишение их рекламных систем непрерывной идентификации пользователей, которая является их топливом. Таким образом, это не технический выбор, а компромисс между конфиденциальностью пользователей и жизнеспособностью их бизнес-модели.

Стратегический риск: угроза «Harvest Now, Decrypt Later»

Помимо дебатов о конфиденциальности, ослабление шифрования поднимает вопрос национальной безопасности совершенно иного масштаба. Стратегия, известная как Harvest Now, Decrypt Later (HNDL), заключается в том, что государственные противники уже сегодня перехватывают и хранят огромные объемы зашифрованных сообщений в ожидании будущих возможностей квантовой расшифровки. Ослабляя текущие стандарты шифрования, британская законодательная база объективно способствует проведению операций такого типа против правительственных, дипломатических или промышленных коммуникаций.

Именно в этом контексте дефицита доверия экосистемы, подобные Arpokrat, приобретают эксплуатационную значимость. Работая в рамках Федерального закона Швейцарии о защите данных (FADP), с архитектурой, которая не собирает никаких гражданских идентификаторов, Arpokrat предлагает технический разрыв с инфраструктурами, подпадающими под британскую юрисдикцию — гарантируя, что система остается глухой к предписаниям, предусмотренным OSA.

Конфликт норм: OSA и IPA против европейского права

Юридический анализ новых прерогатив британского государства выявляет прямое столкновение с основами европейского права в отношении защиты данных и конфиденциальности связи.

OSA против запрета на всеобщую слежку

Статья 121 OSA вводит для OFCOM возможность издавать предписания, принуждающие платформы внедрять сканирование на стороне клиента (client-side scanning). Эта мера прямо противоречит принципу, вытекающему из европейского права и включенному в судебную практику Суда Европейского Союза (CJEU), который запрещает общие обязательства по слежке. Навязывая «уязвимость по дизайну» (vulnerability by design), это также ставит компании в ситуацию двойного принуждения: ослабляя свою безопасность для выполнения государственного мандата, они не выполняют свое обязательство по обеспечению уровня безопасности, соответствующего обработке, как это закреплено в статье 32 GDPR.

Директива ePrivacy и конфиденциальность коммуникаций

Сканирование личных сообщений прямо противоречит статье 5, абзац 1 Директивы 2002/58/EC (ePrivacy), которая обязывает государства-члены гарантировать конфиденциальность электронных коммуникаций и запрещает любые формы перехвата или слежки без явного согласия соответствующих пользователей.

Technical Capability Notices и блокировка обновлений безопасности

В рамках режима IPA 2016 британское правительство теперь намерено использовать уведомления о технических возможностях (Technical Capability Notices - TCN) для блокировки обновлений безопасности до их развертывания. Этот механизм создает неразрешимый конфликт с обязательством, установленным статьей 32 GDPR, по обеспечению непрерывной безопасности систем обработки — обязательством, которое требует именно способности применять исправления (patches) без промедления или внешнего вмешательства.

Риски комплаенса для компаний, работающих в Европе

Пересмотры IPA направлены на то, чтобы заставить компании уведомлять британское правительство о любых технических изменениях, влияющих на безопасность, до их внедрения, предоставляя ему таким образом право вето на разработку продуктов. Это вмешательство создает значительную правовую нестабильность для поставщиков, работающих на европейском рынке: соответствие Великобритании европейскому праву — и без того хрупкое — может быть поставлено под сомнение, если Великобритания больше не будет гарантировать защиту, по существу эквивалентную защите GDPR. Следовательно, передача данных в Великобританию в этих новых рамках, вероятно, подвергнет компании санкциям в соответствии с GDPR.

Защита через техническую невозможность: принцип Zero-Knowledge как правовой щит

Международная судебная практика, консолидированная решениями Schrems I и Schrems II Суда ЕС, установила определяющий принцип: единственной надежной защитой от непропорциональной слежки является техническая невозможность доступа к данным. Архитектуры Zero-Knowledge применяют этот принцип в трех уровнях защиты:

Отсутствие хранения: поскольку платформа не хранит ключи расшифровки, любое предписание сканировать сообщения технически невыполнимо;
Суверенитет операционной системы: контроль над ArpokratOS устраняет телеметрию, которая питает сбор разведданных на уровне устройства;
Швейцарская юрисдикционная привязка: размещая свою инфраструктуру в Швейцарии, Arpokrat работает в правовом режиме, требующем индивидуализированных и мотивированных запросов о взаимной правовой помощи, нейтрализуя автоматизированное выполнение массовых сканирований, предусмотренных OSA.

Заключение

Положения OSA и пересмотры IPA представляют собой угрозу не только для конфиденциальности частных лиц: они представляют собой нарушение правовой определенности для всех европейских данных, проходящих через инфраструктуры, подпадающие под британскую юрисдикцию. Узаконивая ослабление шифрования во имя общественной безопасности, Лондон парадоксальным образом подвергает своих союзников и торговых партнеров рискам промышленного и государственного шпионажа, которые архитектуры Zero-Knowledge как раз и призваны предотвращать.

Целостность профессиональных и институциональных коммуникаций теперь требует структурного ответа: перехода к децентрализованным экосистемам, гарантирующим цифровой суверенитет, от уровня кода до юрисдикционной привязки.

Utiq: новый «суперкуки» телекоммуникационных компаний, угрожающий вашей конфиденциальности

Mon, 01 Jun 2026 00:00:00 +0000

Запланированный отказ от сторонних куки (third-party cookies) в веб-браузерах спровоцировал настоящую гонку вооружений в индустрии таргетированной рекламы. Пока Google пытается навязать свои стандарты (такие как Privacy Sandbox), другой неожиданный игрок решил забрать свою долю пирога: ваш интернет-провайдер (ISP).

Так родился проект Utiq (ранее известный как проект TrustPid) — совместное предприятие, созданное европейскими телекоммуникационными гигантами. Продаваемый широкой публике как «прозрачное и этичное» решение, Utiq на самом деле представляет собой то, чего эксперты по кибербезопасности опасаются больше всего: «суперкуки», работающий на сетевом уровне.

Что такое Utiq и как это работает?

Традиционно отслеживание рекламы (куки) управляется вашим веб-браузером (Chrome, Firefox, Safari). Вы могли блокировать его с помощью расширений (таких как uBlock Origin) или браузера, ориентированного на конфиденциальность (такого как Brave).

Utiq переносит проблему на шаг назад: на уровень вашего сетевого подключения.

Вот как закрывается ловушка:

Перехват на уровне сети: Когда вы пользуетесь интернетом через мобильное соединение (4G/5G) или домашний роутер, Utiq использует ваш IP-адрес и данные вашей телекоммуникационной подписки для вашей идентификации.
Согласие (ложный выбор): При переходе на сайт-партнер всплывающее окно (popup) запрашивает у вас согласие на активацию Utiq. Из-за усталости от баннеров куки (Consent Fatigue) миллионы пользователей нажимают «Принять», не читая.
«Network Signal»: Как только согласие получено, Utiq напрямую связывается с вашим оператором связи. Последний генерирует уникальный псевдонимизированный идентификационный токен (сетевой сигнал), который затем передается рекламодателям.

Теперь вас можно отслеживать от сайта к сайту не по файлу, сохраненному на вашем компьютере, а через саму инфраструктуру, которая предоставляет вам доступ в интернет.

Почему Utiq — это кошмар для конфиденциальности (OPSEC)

Эта инициатива создает серьезные проблемы для цифрового суверенитета и конфиденциальности ваших данных:

Отслеживание у источника: В отличие от классических куки, вы не можете просто «очистить историю» или «удалить кэш», чтобы избавиться от Utiq. Идентификационный токен создается вашим провайдером.
Централизация профилей: Операторы связи уже знают ваше имя, физический адрес, банковские реквизиты и местоположение в режиме реального времени. Связывая с этими данными историю вашего посещения веб-страниц через Utiq, они создают поведенческий профиль пугающей точности.
Уязвимость псевдонимизации: Utiq защищается тем, что не передает ваше имя в открытом виде, заявляя об использовании «зашифрованных» токенов. Однако в мире кибербезопасности доказано, что псевдонимизация обратима. Сопоставление этих токенов с другими базами данных позволяет легко повторно идентифицировать человека.

Какие операторы используют Utiq?

Utiq был основан альянсом четырех крупнейших европейских операторов. Если вы являетесь клиентом одного из них, ваше соединение уже потенциально «совместимо» с этим отслеживанием.

Совет OPSEC: Хотя Utiq предлагает централизованный портал управления согласием (consenthub.utiq.com) для отзыва доступа, лучшая защита остается технологической.

Подход Zero-Trust для противодействия Utiq

Философия цифрового суверенитета, продвигаемая такими экосистемами, как Arpokrat, опирается на простой принцип: никогда не доверять сетевой инфраструктуре.

Чтобы технически нейтрализовать системы типа Utiq, необходимо скрыть свой трафик от собственного интернет-провайдера:

Использование суверенного VPN: Шифруя трафик сразу на выходе из вашего устройства, вы делаете так, что провайдер видит лишь нечитаемый поток данных, направленный к VPN-серверу. Он больше не может внедрять или считывать токены Utiq.
Сеть Tor (Orbot): Луковая маршрутизация предотвращает любую сквозную идентификацию.
Шифрование DNS (DoH/DoT): Не позволяет вашему оператору знать, какие сайты вы собираетесь посетить.

В заключение, Utiq — это доказательство того, что интернет-провайдеры больше не хотят оставаться просто «трубами»; они стремятся стать брокерами данных. Шифрование трафика больше не является вопросом выбора, это абсолютная необходимость для сохранения вашей цифровой приватности.

Кричащая тишина: что такое Warrant Canary и почему его исчезновение должно вас беспокоить?

Mon, 01 Jun 2026 00:00:00 +0000

Глубоко в угольных шахтах XIX века шахтеры брали с собой канареек в клетках. Эти маленькие птички, чрезвычайно чувствительные к токсичным газам, таким как угарный газ, погибали задолго до того, как шахтеры осознавали опасность. Таким образом, они служили безмолвной, но чрезвычайно эффективной системой раннего предупреждения.

В нашем современном цифровом мире эта птичка возродилась в виде « Warrant Canary » (Свидетельства канарейки).

Что такое Warrant Canary?

Это публичное заявление, регулярно публикуемое и обновляемое поставщиком услуг (мессенджером, VPN, хостингом), подтверждающее, что до этой точной даты он не получал никаких секретных юридических запросов, принуждающих его скомпрометировать данные своих пользователей — таких как американское National Security Letter (NSL) или ордер, выданный судом FISA.

Вся тонкость — и серьезность — канарейки заключается в том, что происходит, когда она исчезает.

Если сервис, который каждый месяц публиковал уведомление “Мы не получали никаких секретных ордеров”, внезапно перестает его обновлять, осведомленный пользователь делает очевидный вывод: канарейка мертва.

Компания стала объектом слежки, сопровождающейся постановлением о неразглашении (gag order), которое юридически запрещает ей раскрывать факт существования этого запроса. Не имея возможности сказать, что они скомпрометированы, они просто перестают говорить, что находятся в безопасности.

Эпоха невидимой слежки и обход молчания

В эпоху, когда экстерриториальные законы, такие как CLOUD Act и FISA (Закон о надзоре за иностранными разведками), позволяют правительству США получать доступ к данным, хранящимся в компаниях, без уведомления целей, Warrant Canary является одним из немногих механизмов обхода этого принудительного молчания.

С законом CLOUD Act географического барьера больше не существует: если данные находятся под “контролем” американской компании, правительство США заявляет о праве доступа к ним, даже если эти серверы физически расположены в Европе. Тогда канарейка становится последним предупреждающим сигналом перед тем, как цифровой суверенитет пользователя будет тихо принесен в жертву.

Именно поэтому ключевые игроки в сфере Privacy приняли этот инструмент в качестве стандарта прозрачности:

Proton: Швейцарский сервис электронной почты и сообщений публикует отчет о прозрачности, включающий строгий Warrant Canary.
Riseup: Коллектив безопасной связи для активистов поддерживает одну из самых известных и контролируемых канареек в сети.
Arpokrat: Наша собственная экосистема поддерживает публичный Warrant Canary, который криптографически обновляется, чтобы гарантировать абсолютную прозрачность для нашего сообщества.

Юридический анализ: Право не лгать

Само существование Warrant Canary опирается на один из самых захватывающих столпов конституционного права: доктрину compelled speech (принудительной речи) и её столкновение с судебной тайной.

Юридическая база опирается на простой принцип: если государство имеет право навязать вам молчание (через постановление о неразглашении), оно не имеет конституционного права заставлять вас лгать.

Согласно Первой поправке к Конституции США (и аналогичным принципам в Европе), правительство не может заставить компанию сделать фактически ложное заявление. Таким образом, когда компания удаляет свою канарейку, она не нарушает приказ о молчании — поскольку не объявляет открыто о получении ордера. Она просто реализует свое фундаментальное право перестать делать заявление, которое больше не является правдивым.

Конфликт с европейским правом

Актуальность канарейки сегодня усиливается статьей 32 Закона о данных (Регламент ЕС 2023/2854). Это положение обязывает провайдеров внедрять технические и юридические меры для предотвращения доступа к данным со стороны властей третьих стран, когда это противоречит европейскому праву. Смерть канарейки немедленно сигнализирует об этом конфликте законов: провайдера, вероятно, принуждают обойти европейские гарантии для удовлетворения иностранного ордера.

Подход Arpokrat: Суверенитет по дизайну (by design)

В экосистеме Arpokrat, действующей под юрисдикцией швейцарского закона о защите данных (FADP), канарейка приобретает еще более мощное измерение. Она является частью целостного подхода к цифровому суверенитету: Zero-Knowledge.

Архитектура спроектирована таким образом, что компания создает техническую и математическую невозможность выполнить приказ. Государство или спецслужба может выдать сколько угодно ордеров, ответ останется тем же: нет ни закрытых ключей, ни идентификаторов (Zero-ID), ни централизованных метаданных, которые можно было бы передать.

В этом контексте канарейка больше не является просто предупреждением о компрометации; это постоянное публичное доказательство того, что инфраструктура осталась технически неуязвимой и верной своим принципам.

Заключение

В конечном итоге, Warrant Canary — это элемент юридической гибкости, который дополняет криптографическую гибкость, необходимую для противостояния горизонту современных угроз (таких как постквантовые вычисления). В инфраструктуре, где данные суверенны по своей архитектуре, канарейка — это не просто птичка в шахте: это тихий страж вашей цифровой крепости.

Иллюзия суверенитета: дело Olvid и ловушка CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

Это объявление прозвучало как настоящий «крик о независимости» в коридорах Парижа: премьер-министр приказал правительству отказаться от WhatsApp и Signal в пользу Olvid, мессенджера, представленного как «отечественный». Цель была ясна: защитить государственные секреты от длинных рук иностранных спецслужб.

Однако вскоре обнаружилась горькая ирония: сердце Olvid — его серверная инфраструктура — бьется внутри Amazon Web Services (AWS), американского гиганта.

Широкой публике это кажется простой технической проблемой хостинга. Но для архитекторов суверенной кибербезопасности это политическая уязвимость первого порядка.

Экстерриториальность и конфликт суверенитетов

Опираясь на инфраструктуру Amazon, Olvid автоматически попадает в орбиту американского CLOUD Act.

Юридический анализ этого дела выявляет сценарий юрисдикционной незащищенности, который простое внедрение национального «приложения» совершенно не решает. Переломный момент кроется в концепции «контроль» против «локализации».

CLOUD Act радикально изменил правовую парадигму, постановив, что физическое расположение сервера не имеет значения. Обязанность поставщика услуг (здесь AWS) сотрудничать вытекает исключительно из его юрисдикционной связи с США.

Юридически это создает лобовой конфликт с GDPR. Суд ЕС уже установил, что законы США о слежке не обеспечивают уровень защиты, эквивалентный европейскому.

Цифровой суверенитет — это не атрибут программного обеспечения, а свойство целостности цепочки поставок данных.

Призрак FISA и ложное обещание шифрования

Хуже того, эта зависимость от американской инфраструктуры помещает данные в тень Foreign Intelligence Surveillance Act (FISA).

Столкнувшись с этими угрозами, Olvid утверждает, что сквозное шифрование является достаточным щитом. С точки зрения инженерии конфиденциальности эта защита опасно частична.

Даже если содержимое сообщения зашифровано, централизованная инфраструктура AWS раскрывает метаданные. Знание того, кто говорит с кем, когда, как часто и откуда, часто гораздо ценнее для иностранной разведки, чем само содержимое сообщения.

Шифрование защищает текст, но централизованный сервер выдает сеть контактов.

Настоящая опасность еще впереди

Пока европейская инфраструктура зависит от организаций, подчиняющихся экстерриториальным законам, правовая безопасность наших коммуникаций останется чисто временной и иллюзорной.

Национальная безопасность в XXI веке требует полной независимости инфраструктуры и оборудования. Стратегия «Собери сейчас, расшифруй позже» — самая разрушительная угроза следующего десятилетия.

Перехваченный сегодня государственный секрет — это не что иное, как математическая бомба замедленного действия.

(Читайте продолжение нашего анализа в Части 2: Бомба замедленного действия и императив Zero-Knowledge)