Gjurmimi i vendndodhjes on Arpokrat

SignalTrace: Evropa eksporton mbikëqyrjen që nuk ia lejon vetes

Tue, 01 Sep 2026 00:00:00 +0000

Një makinë gri kalon nën një portal autostrade me 110 km/h. Kamera e fiksuar në shtyllë lexon targën, i vë vulën kohore, e regjistron. Asgjë e re: kjo pajisje ekziston prej njëzet vjetësh, e vendosur në dhjetëra mijëra kopje si në Amerikën e Veriut ashtu edhe në Evropë.

Por nëse ai portal ka marrë modulin që grupi italian Leonardo e tregton që nga qershori 2026, ai sapo ka regjistruar edhe diçka tjetër. iPhone-in e drejtuesit. Kufjet pa tel të pasagjeres. Orën inteligjente mbi panelin e bordit. Radion e makinës. Mbajtësen e lidhur të çelësave në kutinë e dorezave. Sensorët e presionit të katër gomave. Kartën e hyrjes të mbetur në një xhaketë. Dhe, nëse një qen fle pas, edhe çipin e tij të identifikimit.

Rreth dhjetë identifikues, një targë, një pozicion, një orë. Përsëriteni në çdo portal të rrjetit dhe nuk ndiqni më një makinë: ndiqni njerëz, dhe dini me kë lëvizin.

Çfarë bën në të vërtetë pajisja

Produkti quhet SignalTrace. Shitet nga Leonardo US Cyber and Security Solutions dhe plotëson gamën ELSAG, një nga linjat më të përhapura të lexuesve automatikë të targave në tregun amerikan. Ekzistenca e tij u zbulua më 8 qershor 2026 nga Joseph Cox në 404 Media, duke u nisur nga një fletë produkti e prodhuesit.

Pika vendimtare hyn në një fjali: nuk bëhet fjalë për kamera të reja. SignalTrace është një sensor radio që i shtohet lexuesve të targave tashmë të instaluar. Shtylla nuk ndryshon, vendndodhja nuk ndryshon, silueta e pajisjes buzë rrugës nuk ndryshon. Ajo që ndryshon është se çfarë dëgjon pajisja.

Sensori regjistron identifikuesit e transmetuar hapur nga protokollet Bluetooth, Wi-Fi dhe RFID të pajisjeve që ndodhen në automjet. Një pikë teknike shpesh e keqkuptuar: asnjë pajisje nuk hakerohet dhe asnjë cenueshmëri nuk shfrytëzohet. Një pajisje Bluetooth ose Wi-Fi transmeton vazhdimisht korniza zbulimi, sepse këto protokolle janë konceptuar kështu. Kufjet tuaja njoftojnë praninë e tyre që t’i gjejë telefoni, dhe vetë telefoni pyet ajrin përreth për rrjetet që njeh. Këto transmetime janë publike nga ndërtimi, dhe çdo marrës brenda rrezes i dëgjon.

Leonardo saktëson gjithashtu se sistemi funksionon me ose pa lexues targash, përfshirë në ambiente të mbyllura, dhe njeh një automjet të cilit i është mbuluar ose hequr targa.

Rikonfigurimi i pajisjeve ekzistuese është çështja e vërtetë politike. Instalimi i një rrjeti të ri kamerash nxit një votim, një diskutim, ndonjëherë një konflikt gjyqësor. Shtimi i një pllake elektronike brenda një kutie tashmë të miratuar nuk nxit asgjë. Aftësia mbikëqyrëse ndryshon natyrë pa debat publik, sepse materialisht nuk ka asgjë të re për t’u parë.

Nga automjeti te personi, dhe nga personi te grupi

Një lexues targash i përgjigjet një pyetjeje: ku ka qenë ky automjet. SignalTrace shton dy të tjera: kush ndodhej brenda, dhe me kë.

Leonardo nuk e fsheh, është argumenti i shitjes. Sistemi krijon atë që dokumentacioni e quan gjurmë elektronike, një grup identifikuesish që «transmetohen shpesh bashkë». Shembulli i prodhuesit është i qartë: në një qytet të tërë, vetëm një automjet do të bashkojë një iPhone 13rev2, një radio Audi, kufje Bose, një orë Garmin, një gjurmues çelësash dhe targën ABC-1234.

Produkti nuk mjaftohet me ndjekjen e automjeteve. Ai prodhon automatikisht një graf marrëdhëniesh mes personave, pa qenë nevoja që dikush të formulojë as dyshimin më të vogël.

Këtu ndodh kërcimi cilësor. Duke ndërlidhur pajisjet që udhëtojnë rregullisht bashkë, sistemi ndërton mekanikisht një graf shoqëror. Dy telefona që çdo mëngjes gjenden në të njëjtën makinë janë një udhëtim i përbashkët, ose një lidhje që asnjëri nuk dëshiron ta bëjë publike. Pesëdhjetë pajisje të kapura në të njëjtin vend në të njëjtën orë janë një tubim: një protestë, një shërbesë fetare, një mbledhje sindikate ose një radhë para një klinike.

Asnjë prej këtyre përfundimeve nuk kërkon qasje në përmbajtjen e një komunikimi. Nxirret nga një tabelë afërsie, si parazgjedhje, mbi tërë popullsinë në lëvizje dhe jo mbi objektiva të caktuar. Është fajësi për shkak shoqërimi, e prodhuar në shkallë industriale, para çdo hetimi. Tom Bowman, jurist në Center for Democracy & Technology, e përmbledh problemin në faqet e TechNewsWorld: ajo që e bën mjetin të dobishëm për të ndjekur një të dyshuar të vërtetë e bën po aq të aftë të ndjekë të gjithë drejtuesit e tjerë, asnjëri prej të cilëve nuk ka pranuar që pajisjet e tij të regjistrohen.

Leonardo kundërshton me dy argumente: sistemi as nuk deshifron as nuk lexon përmbajtjen e komunikimeve, dhe nuk identifikon personat në vetvete. Të dyja pohimet janë të sakta, dhe të dyja janë jashtë teme. Informacioni i kërkuar nuk ka qenë kurrë përmbajtja, ai qëndron te metatë dhëna e pozicionit, më zbuluese se një mesazh. Sa i përket identifikimit, vetë prodhuesi pranon se një hetues mund ta lidhë një nënshkrim elektronik me një targë e pastaj të ngjitet te zotëruesi përmes regjistrave të targave.

Një e drejtë amerikane e shkruar për diçka tjetër

Në Shtetet e Bashkuara ekzistojnë ligje shtetërore që rregullojnë lexuesit e targave, dhe disa janë kërkuese për afatet e ruajtjes dhe qëllimet e qasjes. Por të gjitha janë hartuar rreth një objekti të saktë: imazhit të një targe. Asnjë nuk parashikon kapjen e identifikuesve të pajisjeve personale nga e njëjta pajisje.

Ky mospërputhje nuk krijon paligjshmëri, por një zonë gri, më të përshtatshme për shitësin. Një shërbim policor mund të pohojë, pa gënjyer, se programi i tij i lexuesve të targave është i autorizuar dhe në përputhje, ndërkohë që tashmë mbledh nën të njëjtin regjim të dhëna të një natyre krejtësisht të ndryshme. Leonardo ka gjithashtu kontrata federale, me Special Operations Command dhe General Services Administration, pra një rrugë blerjeje që i anashkalon gjerësisht miratimet vendore.

Debati kushtetues sapo ka lëvizur, dhe këtu duhet saktësi sepse gjendja e së drejtës ndryshoi këtë verë. Në janar 2026, një gjykatë federale e Virxhinias vendosi, në çështjen Schmidt v. City of Norfolk, se rrjeti i kamerave Flock i qytetit nuk përbënte kontroll në kuptimin e amendamentit të katërt, pasi nuk mbulonte tërësinë e lëvizjeve të banorëve. Vendimi është në apel para Qarkut të Katërt, ku ka ndërhyrë ACLU.

Pastaj, më 29 qershor 2026, Gjykata Supreme dha vendimin Chatrie v. United States. Me pesë vota kundër katër, nën penën e gjyqtares Kagan, ajo vendosi se marrja nga policia e të dhënave të vendndodhjes së një telefoni përbënte kontroll, pasi individi ruan një pritshmëri të arsyeshme privatësie mbi këto të dhëna edhe kur mbahen nga një palë e tretë dhe për një kohë të shkurtër. Vendimi zgjeron Carpenter v. United States të vitit 2018 dhe dobëson doktrinën e palës së tretë, siç vuri në dukje CDT.

Shtrirja e saktë e Chatrie mbi SignalTrace nuk është zgjidhur, dhe do të ishte e pakujdesshme të pohohej e kundërta: vendimi ka të bëjë me të dhëna të kërkuara nga Google, jo me një kapje të drejtpërdrejtë nga një sensor policor në hapësirën publike. Por ai vendos arsyetimin që ka rëndësi, domethënë se ndjeshmëria e një të dhëne vendndodhjeje nuk varet nga kush e mban atë.

Pyetja evropiane, që është pyetja e vërtetë

Këtu dosja bëhet e sikletshme për Evropën. Leonardo nuk është furnizues amerikan, por një grup italian i listuar në Milano, aksionari i parë i të cilit është Ministria italiane e Ekonomisë dhe Financave, me rreth 30 % të kapitalit, me kompetencën për të emëruar shumicën e bordit drejtues. Shteti italian nuk është aksionar pasiv i këtij produkti.

Së pari pika teknike

Në të drejtën evropiane, identifikuesi i një pajisjeje është e dhënë personale. Nuk është mendim doktrinar por qëndrim i vazhdueshëm i autoriteteve. CNIL e trajton shprehimisht adresën MAC si të tillë në doktrinën e saj për pajisjet e matjes së frekuentimit, dhe e pranon mbledhjen e tyre në hapësirën publike vetëm në kushte të ngushta: anonimizim brenda pak minutash me shkallë të lartë përplasjeje mes individëve, ose pseudonimizim i besueshëm i ndjekur nga shkatërrimi brenda njëzet e katër orëve, përndryshe pëlqimi bëhet i detyrueshëm. E njëjta doktrinë saktëson se ftesa drejtuar njerëzve për të fikur Wi-Fi-n nuk është mënyrë e pranueshme kundërshtimi.

Gjykata e Drejtësisë e Bashkimit Evropian saktësoi më 4 shtator 2025, në çështjen EDPS kundër SRB (C-413/23 P), se karakteri personal i një të dhëne të pseudonimizuar vlerësohet në dritën e mjeteve të riidentifikimit që mund të përdoren në mënyrë të arsyeshme. Ndërkaq këtu mbajtësi është një autoritet policor, që disponon regjistrat e targave. Mjetet e riidentifikimit nuk janë hipotetike, janë në zyrën ngjitur.

Nuanca që ndryshon gjithçka

Do të ishte gabim të shkruhej se SignalTrace «do të ishte i paligjshëm në Evropë», dhe një lexues jurist do ta vinte re menjëherë. Një përpunim i kryer nga një autoritet kompetent për qëllime parandalimi dhe ndjekjeje penale nuk bie nën GDPR. Bie nën direktivën (BE) 2016/680, e quajtur direktiva Polici-Drejtësi, e transpozuar veçmas nga çdo shtet anëtar, në Francë në titullin III të ligjit për informatikën dhe liritë. CNIL kujton se ky regjim është autonom, me bazat e veta të ligjshmërisë dhe të drejtat e veta.

Pyetja e duhur nuk është pra ajo e ligjshmërisë abstrakte, por ajo e kushteve. Nën këtë regjim, një pajisje e tillë do të kërkonte një bazë ligjore kombëtare të shprehur, qëllime të përcaktuara, një domosdoshmëri të provuar, një afat ruajtjeje të kufizuar, një vlerësim ndikimi dhe një kontroll të pavarur. Në Francë lexuesit e targave rregullohen kështu: nenet L233-1 dhe L233-1-1 të kodit të sigurisë së brendshme përcaktojnë një listë kufizuese veprash penale që hapin të drejtën e përdorimit të tyre, dhe ruajtja mbetet ndër më të shkurtrat e Bashkimit, pesëmbëdhjetë ditë në parim, edhe pse një propozim ligji i Senatit kërkon ta zgjatë.

Kjo është ndryshimi thelbësor me situatën amerikane. Në Shtetet e Bashkuara ligji rregullon një objekt, targën, dhe heshtja mbi identifikuesit e pajisjeve vlen si leje. Në Evropë ligji rregullon qëllime dhe kategori të dhënash, dhe kjo heshtje vlen më shumë si ndalim, në mungesë të një baze ligjore të shprehur. Boshllëku i vërejtur përtej Atlantikut nuk ekziston këtu në të njëjtën formë. Jo se Evropa është më e virtytshme: teknika e saj juridike është e kundërt.

Sa vlen atëherë mbrojtja

Mbetet pyetja për të cilën është shkruar ky artikull. Sa vlen një mbrojtje rregullatore evropiane kur një ndërmarrje evropiane, e kontrolluar nga një shtet anëtar, shet jashtë Evropës një aftësi që nuk do të mund ta vendoste në shtëpi pa një ligj të ri?

Kundërshtimet meritojnë të merren seriozisht. Një industrialist nuk është përgjegjës për kuadrin ligjor të klientit të tij: u takon autoriteteve amerikane të vendosin çfarë lejojnë tek vetja. Produkti nuk i shitet një diktature por një shteti të së drejtës me një gjykatë supreme aktive, siç sapo e kujtoi Chatrie. Dhe argumenti i sovranitetit industrial është legjitim: nëse grupet evropiane ia ndalojnë vetes këto tregje, do t’i marrin furnizues izraelitë, amerikanë ose kinezë, pa u tërhequr mbikëqyrja as një metër, dhe Evropa do të humbë bazën e saj teknologjike.

Këto argumente janë të pranueshme. Por nuk i përgjigjen problemit.

Së pari sepse Bashkimi ka pranuar tashmë se eksporti i mjeteve të mbikëqyrjes nuk është tregti si të tjerat. Rregullorja (BE) 2021/821 për mallrat me përdorim të dyfishtë futi në nenin 5 një klauzolë përfshirëse që synon mallrat e kibermbikëqyrjes, sepse ligjvënësi pranoi se një mjet i ligjshëm për t’u prodhuar mund të jetë i palegjitimuar në destinacion. Kufiri i saj është udhëzues: aktivizohet përballë rrezikut të represionit të brendshëm ose shkeljeve të rënda të të drejtave të njeriut, kategori të menduara për regjime autoritare. Një shitje ndaj një policie bashkiake amerikane nuk hyn aty. Rrjeta evropiane shqyrton moralin e klientit, kurrë natyrën e aftësisë që shitet.

Së dyti sepse një produkt i tillë nuk është një stok për t’u shitur, por një aftësi që mirëmbahet: financon kërkimin, formon inxhinierë, grumbullon njohuri dhe krijon një bazë të instaluar. Ditën kur një atentat i rëndë do të shtyjë një shtet anëtar të kërkojë këtë aftësi, debati nuk do të jetë më për përshtatshmërinë e ndërtimit të saj. Ajo do të ekzistojë, do të jetë evropiane, do të jetë e pjekur, dhe furnizuesi i saj do të jetë pjesërisht publik. Argumenti «ne vetëm ndjekim tregun» bëhet atëherë rrethor, pasi tregu i brendshëm do të jetë përgatitur nga eksporti.

Ja sa vlen një mbrojtje rregullatore në këtë skenar: mbron evropianët nga përdorimet, jo nga ekzistenca e mjeteve. Zgjidh çështjen se kush ka të drejtë të shtypë butonin, dhe i lë industrisë ta ndërtojë, ta shesë, ta përmirësojë, e pastaj të presë.

Çfarë mund të bëhet, pa i treguar përralla vetes

Përgjigjja e parë që përmendet është gjithmonë rastësimi i adresës MAC. Meriton një shqyrtim të ndershëm, as promovim as përbuzje. Është real dhe funksionon.

Android që nga versioni 10 dhe iOS që nga versioni 14 rastësojnë si parazgjedhje adresën MAC të përdorur në Wi-Fi, me një adresë të veçantë për çdo rrjet. Në Bluetooth Low Energy, pajisjet moderne transmetojnë adresa private të zgjidhshme, që ndryshojnë periodikisht dhe mund të lidhen me pajisjen reale vetëm nga një bashkëbisedues që zotëron çelësin e zgjidhjes.

Kufijtë e tij janë po aq realë.

Çiftimi e rihap derën. Çelësi i zgjidhjes transmetohet gjatë çiftimit. Një pajisje tashmë e çiftuar, ose e miratuar shprehimisht, e rigjen identitetin e qëndrueshëm pas adresës rrotulluese. Mekanizmi është konceptuar pikërisht për këtë.
Shumë objekte nuk rastësojnë asgjë. Sensorët e presionit të gomave, kartat RFID, çipat e identifikimit të kafshëve, radiot e makinave dhe pajisjet periferike të lira transmetojnë identifikues fiksë. Fleta e produktit e Leonardo-s përmend pikërisht këto kategori, çka nuk është rastësi.
Rastësimi mund të çaktivizohet. Ndërpritet rrjet për rrjet, dhe shpesh është i çaktivizuar për lehtësi, për një filtrim MAC në një ruter shtëpiak ose me politikë ndërmarrjeje.
Grupi i mbijeton rotacionit të identifikuesve. Kjo është pika më pak intuitive dhe më e rëndësishme. SignalTrace nuk kërkon një identifikues, kërkon një grup pajisjesh që udhëtojnë bashkë. Nëse vetëm një anëtar i grupit transmeton një identifikues të qëndrueshëm, i tërë grupi mbetet i lidhshëm, sido që të jetë disiplina e të tjerëve.

Masa më efikase mbetet më e mërzitshmja: të mos transmetosh. Kjo nënkupton çaktivizimin e Bluetooth-it dhe Wi-Fi-t në nivel sistemi, në cilësimet, dhe jo nga paneli i shkurtoreve. Dallimi nuk është kozmetik, e kemi shtjelluar në artikullin tonë për gjeolokalizimin e përhershëm të telefonit: në shumicën e sistemeve konsumatore, butoni i panelit të shpejtë ndërpret çiftimin e dukshëm por e lë të gjallë grumbullin softuerik, dhe analizat e afërsisë vazhdojnë. Ai artikull e përshkruante skanimin Bluetooth si vektor teorik. SignalTrace është produkti i tij tregtar, i katalogizuar dhe i dorëzueshëm.

Duhet të mbetemi të ndershëm për rezultatin: këto masa e zvogëlojnë sipërfaqen e ekspozimit, nuk e asgjësojnë. Një automjet mbetet një targë, dhe një targë mbetet e lexueshme. E vetmja mënyrë për të mos transmetuar asgjë është të mos mbash asgjë, e cila nuk është politikë publike.

Çfarë thotë kjo për zgjedhjet tona të projektimit

Në Arpokrat, është pikërisht ky arsyetim që na çoi ta trajtojmë Bluetooth-in në nivelin e Core-it të ArpokratOS dhe jo në nivelin e cilësimeve. Një çelës në një ndërfaqe është preferencë përdoruesi: një përditësim, një aplikacion sistemi ose një shërbim vendndodhjeje mund ta anashkalojë ose ta riaktivizojë, pa e ditur përdoruesi. Një grumbull që mungon nuk riaktivizohet.

Përballë një kapjeje si ajo e SignalTrace, kjo natyrisht nuk e bën një pajisje të pazbulueshme, dhe ne nuk e pretendojmë: një telefon mbetet në një rrjet celular, dhe objektet e tjera të një automjeti transmetojnë për llogari të vet. Ajo që garanton është se një vektor i caktuar transmetimi mungon nga ndërtimi në vend që të jetë i çaktivizuar me besim. Kjo është teza që mbronim lidhur me 5G-në dhe gabimin e objektivit të së drejtës: mbrojtja juridike përqendrohet te qasja në të dhëna, ndërkohë që duhej të kishte të bënte me vetë ekzistencën e infrastrukturës që i prodhon. SignalTrace është ilustrimi i saj, me ndryshimin se kjo infrastrukturë ndërtohet në Evropë.

Përfundim

Më e habitshmja në këtë dosje nuk është aftësia teknike, që studiuesit e përshkruanin prej vitesh. Është metoda e vendosjes.

Nuk do të ketë asnjë rrjet të ri kamerash për t’u inauguruar, asnjë vendim bashkiak për t’u kundërshtuar, asnjë prokurim publik të identifikueshëm si ndryshim natyre. Do të ketë module të shtuara në shtylla ekzistuese, nën kontrata ekzistuese, brenda programeve tashmë të autorizuara. Ditën kur të hapet debati publik, infrastruktura do të jetë e instaluar, e amortizuar dhe e integruar në procedurat hetimore. Debati do të kthehet atëherë te kushtet e qasjes në një bazë që ekziston, kurrë te përshtatshmëria e krijimit të saj.

Ky është rendi i zakonshëm i gjërave në fushën e mbikëqyrjes, dhe nuk është i rastësishëm. Mbetet të dihet nëse Evropa mendon se ka diçka për të thënë kur industrialistët e saj, të mbështetur nga shtetet e saj, e ndërtojnë këtë infrastrukturë për të tjerët. E drejta evropiane e ka organizuar me kujdes përgjigjen ndaj pyetjes se kush mund t’i konsultojë këto të dhëna tek ne. Nuk e ka shtruar kurrë atë se kush ka të drejtë ta prodhojë makinën.

5G, të dhënat e vendndodhjes dhe objektivi i gabuar i së drejtës

Tue, 18 Aug 2026 00:00:00 +0000

Në vitin 2011 policia e Detroitit i kërkoi një operatori celular historikun e lidhjes së telefonit të Timothy Carpenter me antenat. Mori 12 898 pika vendndodhjeje të shpërndara në 127 ditë, rreth njëqind në ditë. Shtatë vjet më vonë, Gjykata e Lartë e Shteteve të Bashkuara vendosi se ajo kërkesë përbënte kontroll dhe kërkonte urdhër gjyqësor.

Ato 12 898 pika vinin nga antena të brezit të katërt, secila prej të cilave mbulonte një rreze prej disa kilometrash. E njëjta kërkesë, drejtuar sot një rrjeti 5G urban, nuk do të kthente njëqind pika në ditë me një saktësi prej disa kilometrash. Do të kthente një vëllim shumë më të madh, me një saktësi prej disa dhjetëra metrash.

Teknologjia ndryshoi shkallë. Arsyetimi juridik mbeti në të njëjtin vend të zinxhirit.

Një e mirë juridike që gjyqtarët e njohin në të dyja brigjet e Atlantikut

Ekziston një interes që e pranon pothuajse gjithkush dhe që pothuajse asnjë tekst nuk e mbron në mënyrë efektive: e drejta për të qenë diku pa u regjistruar ky fakt.

Jurisprudenca evropiane e ka vendosur këtë pa mëdyshje. Në Digital Rights Ireland (çështjet e bashkuara C-293/12 dhe C-594/12, 8 prill 2014) dhe më pas në Tele2 Sverige dhe Watson (çështjet e bashkuara C-203/15 dhe C-698/15, Dhoma e Madhe, 21 dhjetor 2016), Gjykata e Drejtësisë e Bashkimit Evropian vendosi se këto të dhëna, marrë në tërësi, lejojnë nxjerrjen e përfundimeve shumë të sakta për jetën private të personave: zakonet e jetës së përditshme, vendet e qëndrimit, lëvizjet, veprimtaritë e ushtruara dhe marrëdhëniet shoqërore.

Gjykata e Lartë e Shteteve të Bashkuara arriti në një përfundim të përafërt në Carpenter v. United States, 585 U.S. 296 (2018). Ajo theksoi një pikë që doktrina amerikane e ka komentuar gjerësisht: karakterin të pashmangshëm dhe automatik të kësaj mbledhjeje. Askush nuk jep pëlqim të lidhet me një antenë; është i lidhur sepse ka një telefon të ndezur.

E mira juridike pra ekziston dhe njihet nga dy gjykatat që kanë peshë në këtë fushë. Problemi është diku tjetër.

Çfarë ndryshoi vërtet 5G

Një ngatërrim i zakonshëm është ta trajtosh vendndodhjen si një të dhënë që telefoni e dërgon, njësoj si një mesazh apo një fotografi. Nuk është kështu. Vendndodhja është një pasojë fizike e funksionimit të rrjetit. Operatori e di me cilën antenë është lidhur pajisja sepse duhet ta dijë për të drejtuar një thirrje. Nuk ekziston asnjë çelës që ta enkriptojë këtë informacion, pasi nuk bëhet fjalë për përmbajtje por për një veti të vetë lidhjes.

Pikërisht kjo e bën 5G-në domethënëse në rrafshin juridik dhe jo në atë teknik.

Arkitekturat e mëparshme mbështeteshin në qeliza të gjera. Një antenë 4G zakonisht mbulon një rreze prej disa kilometrash, dhe pozicioni i nxjerrë vetëm nga lidhja matej në qindra metra në qytet, ndonjëherë në dhjetëra kilometra në zonat rurale. 5G mbështetet në një dendësim masiv: qelizat urbane mbulojnë zakonisht disa qindra metra, dhe literatura inxhinierike llogarit dendësi të rendit dyzet deri pesëdhjetë stacione bazë për kilometër katror, kundrejt katër ose pesë në kohën e 3G.

Pasoja është mekanike. Sipas dokumentit teknik të Ericsson-it për pozicionimin në 5G, infrastruktura e ngritur vetëm për lidhshmëri arrin një saktësi prej njëzet deri pesëdhjetë metrash jashtë dhe një deri tre metra brenda, dhe zbret nën një metër në kushte urbane të favorshme. Nuk bëhet fjalë për një funksion vendndodhjeje të aktivizuar diku, por për atë që rrjeti e di nga vetë ndërtimi i tij, pa u instaluar asnjë aplikacion dhe pa u dhënë asnjë leje. I kemi shtjelluar të gjitha këto mekanizma, si dhe kundërmasat që funksionojnë vërtet, në artikullin tonë për gjeolokalizimin e përhershëm të telefonit.

Ndërhyrja pra është rritur me disa shkallë madhësie. Korniza juridike e zbatueshme mbetet ajo e menduar për 2G dhe 3G. Asnjë përshtatje normative nuk e ka shoqëruar këtë ndryshim shkalle.

E drejta mbron aksesin, jo krijimin

E drejta evropiane rregullon me kujdes se kush mund të ketë akses në të dhënat e vendndodhjes, në ç’kushte dhe nën ç’kontroll. Direktiva 2002/58/KE vendos parimin e konfidencialitetit të komunikimeve, dhe Gjykata e Drejtësisë vendosi, në La Quadrature du Net (çështjet e bashkuara C-511/18, C-512/18 dhe C-520/18, Dhoma e Madhe, 6 tetor 2020), se neni 15(1) i kësaj direktive, lexuar në dritën e neneve 7, 8, 11 dhe 52(1) të Kartës, përjashton një ruajtje të përgjithshme dhe të padiferencuar të të dhënave të trafikut dhe të vendndodhjes për qëllime parandaluese. Gjykata pranoi megjithatë përjashtime të kornizuara kur një shtet anëtar përballet me një kërcënim të rëndë për sigurinë kombëtare që rezulton i vërtetë dhe aktual ose i parashikueshëm, me kusht një kontroll efektiv.

Këto janë mbrojtje reale dhe do të ishte absurde t’i nënvlerësoje. Por të gjitha ndërhyjnë pasi ka ndodhur gjithçka. Ato presupozojnë se e dhëna ekziston, se ruhet, dhe pastaj rregullojnë kushtet e shfrytëzimit të saj.

Por nëse vendndodhja është një nënprodukt i pashmangshëm i funksionimit të rrjetit, pika e duhur e ndërhyrjes nuk është konfidencialiteti. Është qëndrueshmëria në kohë.

Një pozicion i çastit, i nevojshëm për të drejtuar një komunikim dhe i fshirë menjëherë pas tij, nuk është mjet mbikëqyrjeje. Një historik pozicionesh i ruajtur me muaj është, cilatdo qofshin garancitë e aksesit që e rrethojnë.

Dallimi mes të dyjave nuk është juridik, është arkitekturor. Dhe kalendari evropian e bën pyetjen urgjente e jo teorike. Komisioni e tërhoqi propozimin për Rregulloren ePrivacy në vitin 2025, për mungesë marrëveshjeje mes bashkëligjvënësve. Që atëherë punon për një instrument të veçantë mbi ruajtjen e të dhënave për qëllime penale, i njoftuar për vitin 2026, i destinuar të harmonizojë regjime kombëtare që janë shpërndarë që nga anulimi i direktivës së vitit 2006. Me fjalë të tjera, teksti që do të përcaktojë për një dekadë regjimin e metadatave të vendndodhjes po shkruhet pikërisht tani, mbi bazën e një arsyetimi të konceptuar në kohën e qelizave kilometrike.

Precedenti që 5G e krijoi vetë

Aspekti më interesant i çështjes është se përgjigjja e duhur figuron tashmë në standardin teknik, por e zbatuar në një objekt tjetër.

Deri te 4G, identifikuesi i përhershëm i abonentit, IMSI, qarkullonte i pafshehur në ndërfaqen radio gjatë lidhjes. Kjo bëri të mundur kapësit e IMSI, ato stacione bazë të rreme që, sipas përshkrimit referues të Electronic Frontier Foundation, transmetojnë më fuqishëm se antenat legjitime për të tërhequr pajisjet dhe për t’u kapur identifikuesin.

Që nga Release 15 i specifikimeve 3GPP, botuar në vitin 2019, 5G sjell një përgjigje elegante. Identifikuesi i përhershëm, i quajtur tani SUPI, mund të zëvendësohet në ndërfaqen radio me SUCI, një identifikues i fshehur i përftuar duke enkriptuar pjesën e veçantë të abonentit me kriptografi të kurbave eliptike, me çelësin publik të operatorit të origjinës. Vetëm rrjeti i origjinës, që zotëron çelësin privat përkatës, mund ta deshifrojë. Rezultati është unik në çdo llogaritje, çka pengon korrelacionin nga një sesion në tjetrin.

Logjika e zgjedhur meriton të nënvizohet, sepse është pikërisht ajo që duhet ta udhëheqë ligjvënësin: nuk enkriptohet pozicioni, gjë që do të ishte teknikisht e pamundur, enkriptohet identiteti. Një pozicion pa identitet të atribuueshëm ka vlerë shumë të kufizuar për qëllime mbikëqyrjeje të individualizuar.

E çara: një mbrojtje fakultative

Ekziston megjithatë një rezervë e konsiderueshme dhe, sipas nesh, është pika më konkrete e ndërhyrjes në gjithë çështjen.

Dokumenti teknik NIST CSWP 36A, botuar në mars 2026 nga National Institute of Standards and Technology, e shpreh pa dredha. Pajisjet dhe funksionet e rrjetit në përputhje me Release 15 ose më vonë janë të detyruara ta mbështesin SUCI, por aktivizimi i tij mbetet fakultativ për operatorin. Duhen plotësuar tri kushte: prodhuesi i pajisjes duhet ta mbështesë, operatori duhet ta aktivizojë në rrjetin e vet dhe karta SIM duhet të mbajë elementet e nevojshme për llogaritjen.

Këtu shtohet edhe një kurth konfigurimi. Standardi parashikon një skemë mbrojtjeje zero, në të cilën formati SUCI përdoret formalisht por pa enkriptim të vërtetë, aq sa identifikuesi qarkullon i pafshehur. NIST shkruan se është e nevojshme që operatori ta konfigurojë rrjetin e vet me një skemë mbrojtjeje jozero, dhe kujton se një raport i CSRIC, organit këshillimor të Federal Communications Commission, rekomandonte që në vitin 2021 që skema zero t’u rezervohej vetëm thirrjeve të urgjencës të kryera nga një pajisje e panjohur për rrjetin.

Formulimi meriton të lihet ashtu siç është. Mbrojtja më e mirë e disponueshme kundër ndjekjes së pajisjeve celulare ekziston në standardin teknik që nga viti 2019. Ajo varet nga një zgjedhje konfigurimi e lënë në diskrecionin e operatorit. Një agjenci federale amerikane e sheh të dobishme të botojë një dokument në vitin 2026 për të kujtuar se duhet aktivizuar. Dhe asnjë instrument juridik evropian nuk e imponon.

Duhet shtuar se SUCI nuk e mbyll temën. Punimet e paraqitura me titullin 5G SUCI-catchers: still catching them all? dokumentojnë sulme lidhshmërie që lejojnë rikorrelacionin e sesioneve pavarësisht enkriptimit, dhe mbrojtja bie krejtësisht nëse sulmuesi e detyron pajisjen të kalojë në një brez të mëparshëm. Një detyrim juridik pra nuk do t’i zgjidhte të gjitha. Do të hiqte megjithatë një hendek që nuk ka asnjë justifikim të mbrojtshëm: atë mes asaj që lejon standardi dhe asaj që bëjnë rrjetet komerciale.

Tri ndërhyrje koherente

Nëse merret seriozisht ideja se vendndodhja duhet minimizuar që në projektim e jo mbrojtur më pas, tri masa imponohen logjikisht.

Ta bëjmë të detyrueshme fshehjen efektive të identifikuesit. Të imponohet aktivizimi i SUCI dhe të ndalohen skemat e mbrojtjes zero në rrjetet komerciale, përveç rastit të mbetur të thirrjeve të urgjencës. Nuk bëhet fjalë as për të përshkruar një teknologji të re, as për të financuar një shtrirje, por për të kërkuar aktivizimin e një funksioni të standardizuar prej shtatë vjetësh dhe tashmë të pranishëm në pajisje.
Ta trajtojmë ruajtjen si përjashtim, jo si gjendje të parazgjedhur. Pozicioni i nevojshëm për të drejtuar një komunikim duhet fshirë sapo ky funksion të jetë përmbushur. Krijimi i një historiku duhet të kërkojë një justifikim specifik. Ky është dallimi mes një rrjeti që di ku jeni dhe një rrjeti që kujton ku keni qenë.
Ta bëjmë ruajtjen e çelësit faktorin lidhës të duhur. Vendndodhja e serverëve brenda Bashkimit nuk do të thotë shumë nëse çelësat që i bëjnë të dhënat të lexueshme gjenden diku tjetër. Kriteri me rëndësi juridike duhet të jetë kontrolli efektiv mbi mjetet e deshifrimit, çështje që e kemi shqyrtuar hollësisht lidhur me konfliktin mes Data Act dhe CLOUD Act.

Këndvështrimi që ndjek Arpokrat

Ky arsyetim nuk i përket vetëm së drejtës së telekomunikacioneve. Është ai që zbatojmë në zgjedhjet tona të arkitekturës dhe përmblidhet në një fjali: ajo që nuk është prodhuar nuk ka nevojë të mbrohet.

Prandaj ArpokratOS e heq GPS-in, Bluetooth-in dhe NFC-në në nivelin e bërthamës në vend që t’i çaktivizojë në një meny. Një çelës është një politikë: mund të anashkalohet nga një komponent i privilegjuar, të rindizet nga një përditësim, të shpërfillet nga një sistem i komprometuar. Heqja e shtegut të kodit e zhduk vetë pyetjen. Kjo është transpozimi, në shkallën e një pajisjeje, i të njëjtit zhvendosje që kërkojmë në shkallën e së drejtës: të ndërhysh te krijimi e jo te aksesi.

Duhet thënë menjëherë se çfarë nuk bën kjo. Asnjë sistem operativ nuk e nxjerr një pajisje nga gjeometria e rrjetit. Për sa kohë një kartë SIM është aktive, operatori e di qelizën e lidhjes, dhe kalimi i gjithë trafikut përmes Tor nuk ndryshon asgjë, pasi ai mbron përmbajtjen dhe destinacionin, jo shtresën radio. Pikërisht për këtë arsye tema është juridike. Ekziston një kategori rreziqesh që asnjë konfigurim individual nuk i zvogëlon dhe për të cilat e vetmja ndryshore e disponueshme është rregulli i zbatueshëm ndaj operatorit.

I njëjti shqetësim qeveris pjesën tjetër të punës sonë. Një e dhënë që nuk ekziston nuk mund as të sekuestrohet, as të rishitet, as të nxirret jashtë, as të deshifrohet pas dhjetë vjetësh nga një makinë që sot nuk e ka askush, çështje që e kemi trajtuar nga këndi i enkriptimit të korrur tani dhe të thyer më vonë.

Përfundim

Debati publik për mbikëqyrjen celulare përqendrohet pothuajse tërësisht te aksesi: kush mund t’i shohë të dhënat, mbi ç’bazë, me ç’autorizim. Ky debat është legjitim dhe vendimet e dhëna që nga viti 2014 nga Gjykata e Drejtësisë kanë pasur efekte të prekshme. Por ai ndërhyn shumë vonë në zinxhir.

Pyetja paraprake, dhe më përcaktuese, është nëse historiku duhet të ekzistojë fare. Një bazë e krijuar sot për një arsye legjitime mbetet nesër e disponueshme për një tjetër, dhe garancitë që e rrethojnë varen nga vendime politike të mëvonshme që askush nuk i kontrollon në çastin e mbledhjes. Është një bast mbi qëndrueshmërinë e institucioneve, i vënë për një kohëzgjatje që askush nuk e cakton.

5G e shumëfishoi rezolucionin e këtij informacioni pa ndodhur asnjë përshtatje normative. Njëkohësisht ka treguar, përmes mekanizmit të SUCI, se rruga e zbatueshme është shkëputja e pozicionit nga identiteti e jo përpjekja për të enkriptuar një veti fizike të rrjetit. Standardi teknik e dha përgjigjen shtatë vjet përpara se e drejta të ngrinte pyetjen.

Teksti evropian për ruajtjen e të dhënave po shkruhet tani. Do të prekë metadatat, pra vendndodhjen, pra atë që 5G prodhon tanimë me një hollësi që hartuesit e tij nuk e njohën. Nëse do të mjaftohet me rregullimin e aksesit në një historik të marrë si i mirëqenë, apo do të guxojë të vërë në pyetje domosdoshmërinë e këtij historiku, është ndoshta pyetja më e rëndësishme e privatësisë për vitet e ardhshme në Evropë. Dhe është një pyetje që sektori teknik, për një herë, e ka zgjidhur tashmë në drejtimin e duhur.

Burimet

Gjykata e Drejtësisë e Bashkimit Evropian, Digital Rights Ireland, çështjet e bashkuara C-293/12 dhe C-594/12, 8 prill 2014
Gjykata e Drejtësisë e Bashkimit Evropian, Tele2 Sverige dhe Watson, çështjet e bashkuara C-203/15 dhe C-698/15, Dhoma e Madhe, 21 dhjetor 2016
Gjykata e Drejtësisë e Bashkimit Evropian, La Quadrature du Net etj., çështjet e bashkuara C-511/18, C-512/18 dhe C-520/18, Dhoma e Madhe, 6 tetor 2020
Gjykata e Lartë e Shteteve të Bashkuara, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, mars 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta etj., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Gjeolokalizimi i përhershëm: si të ndjek telefoni edhe kur beson se ia ke ndaluar

Sun, 02 Aug 2026 00:00:00 +0000

Në vitin 2024, dy studiues të Universitetit të Merilendit e pyetën vazhdimisht shërbimin e pozicionimit me Wi-Fi të Apple-it, pa asnjë privilegj të veçantë dhe pa pajisje të specializuara, dhe brenda një viti rindërtuan pozicionin e saktë të më shumë se dy miliardë pikave të aksesit Wi-Fi në botë. Punimi i tyre, Surveilling the Masses with Wi-Fi-Based Positioning Systems, tregon çfarë mundëson kjo hartë: ndjekjen e pajisjeve që hyjnë dhe dalin nga Ukraina, vëzhgimin e zhvendosjes së popullsisë pas zjarreve të Mauit, gjurmimin e një individi përmes ruterit të internetit në shtëpinë e tij.

Asnjë prej këtyre pajisjeve nuk e kishte GPS-in të ndezur. Pozicioni vinte nga diku tjetër.

Ky është pikë e verbër më e përhapur në çështjen e privatësisë në celular: bindja se ekziston një çelës i vendndodhjes dhe se, sapo ta fikësh, telefoni pushon së ditur ku ndodhet. Kjo bindje është e gabuar në shtatë nivele të ndryshme.

Vendndodhja nuk është një veçori që telefoni yt e ndez. Është një veti e vetë asaj që telefoni është.

GPS-i, ose vektori më pak shqetësues

I vetmi mekanizëm që të gjithë dinë ta emërtojnë është njëkohësisht ai që duhet të të shqetësojë më pak.

GNSS, termi i përgjithshëm që përfshin GPS-in amerikan, Galileon, GLONASS-in dhe BeiDou-në, funksionon duke dëgjuar. Satelitët transmetojnë vazhdimisht sinjale me vulë kohore, marrësi kap disa prej tyre dhe e llogarit pozicionin e vet nga ndryshimet e kohës së përhapjes. Saktësia e zakonshme në terren të hapur: tre deri në pesë metra, shpesh disa dhjetëra metra në qytet, ku fasadat i pasqyrojnë sinjalet.

Pika vendimtare është se ky llogaritje është pasive. Telefoni nuk transmeton asgjë drejt satelitëve dhe asnjë operator satelitor nuk e di se ti ekziston. Po të ishte në lojë vetëm GNSS-i, fikja e GPS-it do të mjaftonte.

Ka megjithatë një nuancë. Për ta shpejtuar llogaritjen e parë, telefonat përdorin A-GPS: shkarkojnë nga një server efemeridat satelitore, përmes protokollit SUPL. Për të marrë të dhënat e duhura, telefoni i dërgon atij serveri identifikuesin e qelizës së rrjetit ku është i lidhur. GNSS-i i pastër nuk të tradhton, por përshpejtuesi që i është mbivendosur, po.

Rrjeti celular: çfarë di operatori nga vetë ndërtimi

Që një telefonatë të mund të të mbërrijë, rrjeti duhet të dijë në cilën zonë ndodhesh. Kjo nuk është një mundësi që aktivizohet, është kushti i ekzistencës së shërbimit. Telefoni yt i njoftohet vazhdimisht antenës më të afërt dhe ky regjistrim lë gjurmë te operatori. Asnjë aplikacion i instaluar, asnjë leje e dhënë: mjafton një kartë SIM aktive.

Saktësia varet nga metoda:

Vetëm identifikuesi i qelizës: nga 200 metra në zonë urbane të dendur deri në më shumë se 30 kilometra në zonë rurale, ku një antenë mbulon një rreze shumë të gjerë.
Cell ID i pasuruar, që shton sektorin e antenës (shumica e vendndodhjeve ndahen në tre sektorë prej 120 gradësh) dhe fuqinë e sinjalit: nga 100 metra deri në disa kilometra.
Timing advance, që mat vonesën vajtje-ardhje midis telefonit dhe antenës: rreth 550 metra në GSM, afërsisht 78 metra në LTE.
Multilaterimi mbi tre ose më shumë antena: 50 deri në 300 metra në LTE urban.

5G e ndryshon shkallën për dy arsye që mblidhen. Së pari dendësia: qelizat 5G mbulojnë rreze shumë më të shkurtra, prandaj vetëm fakti i lidhjes është tashmë një informacion i hollësishëm. Pastaj standardizimi: që nga Release 16, 3GPP përfshin sinjale pozicionimi të vetat. Objektivat tregtarë synojnë nën 3 metra brenda ndërtesave dhe nën 10 metra jashtë për 80 % të pajisjeve, ndërsa Release 18 zbret deri në centimetër për disa përdorime industriale.

Kështu infrastruktura që të lidh kthehet në një sistem pozicionimi me cilësi të krahasueshme me GPS-in, pa aktivizuar ti asgjë. Këto të dhëna ruhen sipas rregullave kombëtare dhe u vihen në dispozicion autoriteteve me procedura të ndryshme. Është i njëjti debat themelor si ai për juridiksionin e zbatueshëm mbi të dhënat e strehuara: mbrojtja teknike dhe mbrojtja juridike nuk mbivendosen.

Wi-Fi: një hartë e botës prej adresash harduerike

Çdo pikë aksesi Wi-Fi transmeton vazhdimisht një identifikues harduerik unik, BSSID-in. Këta identifikues janë fiksë dhe gjeografikisht të qëndrueshëm: një ruter shtëpiak rri vite me radhë në të njëjtin vend.

Apple, Google dhe disa aktorë të specializuar mbajnë baza që lidhin çdo BSSID me koordinata, të ndërtuara nga vetë telefonat e përdoruesve të tyre, të cilët dërgojnë listën e pikave të dukshme bashkë me një pozicion GNSS. Pastaj veprimi përmbyset: një telefon që sheh katër pika të njohura nuk ka më nevojë as për një satelit të vetëm. Në zonë urbane të dendur saktësia arrin rëndom disa dhjetëra metra dhe brenda ndërtesave zbret edhe më poshtë.

Dy veti e bëjnë të vështirë neutralizimin e këtij mekanizmi. Së pari, telefoni skanon edhe kur Wi-Fi duket i fikur: që nga Android 4.3, sistemi ruan një skanim periodik të destinuar për të përmirësuar vendndodhjen, pavarësisht nga çelësi i panelit të shpejtë. Kjo sjellje varet nga një cilësim i veçantë, i varrosur në shërbimet e vendndodhjes, që pothuajse asnjë përdorues nuk e ka hapur ndonjëherë.

Së dyti, baza mund të pyetet nga jashtë. Kjo është e çara që shfrytëzuan Rye dhe Levin: ndërfaqet e pozicionimit kthejnë jo vetëm pozicionin e kërkuar, por edhe atë të pikave fqinje, çka lejon korrjen e hartës pa iu afruar kurrë fizikisht atyre vendeve.

Bluetooth dhe BLE: i lokalizuar nga telefonat e të tjerëve

Bluetooth Low Energy shton një shtresë afërsie, me rreze nga disa metra deri në disa dhjetëra metra, pra me hollësi shumë më të imët se rrjeti celular. Bashkëjetojnë dy përdorime. Bikonat tregtarë, të vendosur në dyqane, aeroporte ose qendra tregtare, transmetojnë një identifikues që aplikacionet në telefon e njohin, çka zbulon para cilit raft je ndalur dhe për sa kohë. Dhe rrjetet bashkëpunuese të lokalizimit, model i të cilave është Find My i Apple-it, i marrë më pas edhe nga Google dhe Samsung.

Ky mekanizëm i dytë e përmbys një supozim të nënkuptuar. Analiza referencë Who Can Find My Devices?, botuar në përmbledhjen e PETS 2021 nga studiues të Universitetit Teknik të Darmshtatit, e rindërtoi protokollin e Apple-it me inxhinieri të kundërt. Një pajisje pa lidhje transmeton një sinjal BLE, çdo pajisje Apple aty pranë e kap, i shton pozicionin e vet dhe e dërgon të enkriptuar te serverët e Apple-it, pa dijeninë as të mbajtësit të saj, as të mbajtësit të pajisjes që po lokalizohet.

Pasoja është strukturore: një pajisje pa kartë SIM, pa Wi-Fi, pa asnjë lloj lidhjeje rrjeti mbetet e lokalizueshme, mjafton që aty pranë të kalojë një i panjohur me telefon në xhep. Izolimi yt nuk varet më nga cilësimet e tua, por nga ato të kalimtarëve.

Sensorët inercialë: lokalizim pa leje vendndodhjeje

Një telefon përmban akselerometër, xhiroskop, magnetometër dhe shpesh barometër. Këta sensorë bëjnë pjesë në një kategori lejesh të ndarë nga vendndodhja: një aplikacion mund t’i lexojë pa të pyetur asnjëherë se ku je.

Studiues të Prinstonit e treguan këtë me PinMe. Aplikacioni i tyre niset nga adresa IP dhe zona kohore për një pozicion të përafërt, pastaj lexon sensorët: akselerometri jep profilin e nxitimit dhe të frenimit, xhiroskopi radhën e kthesave, magnetometri drejtimin, barometri ndryshimet e lartësisë. Një rrjet nervor identifikon mënyrën e udhëtimit, në këmbë, me makinë, me tren apo me avion, dhe itinerari përputhet me të dhëna publike hartografike, altimetrike dhe meteorologjike. Rezultati: një trajektore me saktësi të krahasueshme me GPS-in, pa leje vendndodhjeje. Metoda ka kufij, të cilët autorët i dokumentojnë, sepse dështon në zona pa rrugë dhe përkeqësohet në plane rrjetore njëtrajtëshe, ku shumë itinerare prodhojnë të njëjtën nënshkrim. Mbetet gjithsesi dëshmia se një leje e refuzuar nuk është derë e mbyllur.

Barometri sjell veç kësaj dimensionin që GNSS-i e trajton keq, atë vertikal. Kërkesat amerikane për thirrjet e urgjencës imponojnë saktësi në nivel kati prej plus-minus 3 metrash për 80 % të thirrjeve nga brenda ndërtesave. Të dish në cilin kat ndodhet dikush është krejt tjetër gjë nga të ditur në cilin bllok banesash është.

Tregu i të dhënave: vektori më i banalizuar

Mekanizmat e mësipërm përshkruajnë si llogaritet një pozicion. Mbetet të dihet ku shkon ai, dhe pikërisht aty luhet pjesa më e madhe e rrezikut të përditshëm.

Mijëra aplikacione përfshijnë SDK reklamash, komponentë softuerikë të palëve të treta që zhvilluesi i shton për të monetizuar punën e vet ose për të matur audiencën. Këta komponentë trashëgojnë lejet e aplikacionit pritës: një aplikacion moti që e ka legjitimisht të nevojshme vendndodhjen tënde ia përcjell aktorëve emrat e të cilëve nuk i ke lexuar kurrë. Këtu shtohen edhe rrjedhat e ankandeve reklamuese, ku pozicioni yt i përafërt shpërndahet te dhjetëra blerës të mundshëm sa herë shfaqet një baner, përfshirë edhe ata që nuk blejnë asgjë dhe mjaftohen me dëgjimin.

Kjo lëndë e parë ushqen një industri të tërë. Electronic Frontier Foundation dokumentoi rastin e Fog Data Science, që pretendonte miliarda pika të dhënash për më shumë se 250 milionë pajisje, të shitura policive lokale amerikane. Brian Krebs përshkroi Locate X, një produkt që lejon të vizatosh një shumëkëndësh mbi hartë dhe të shohësh historikun e pajisjeve që hynë e dolën nga ajo zonë.

Ky vektor nuk kërkon asnjë mjeshtëri teknike, veç dikë që pranon të paguajë. Çmimi është modest.

Kapësit e IMSI-t: lokalizimi aktiv

Mekanizmat e parë deri tani shfrytëzojnë një funksionim normal. Ekziston edhe një lokalizim aktiv, i kryer nga një palë e tretë që ndërhyn në rrjet.

Një kapës IMSI, ose simulator qelize, është pajisje që paraqitet si antenë e ligjshme. Telefonat brenda rrezes lidhen me të, duke zbuluar identifikuesin e abonentit dhe praninë e tyre brenda një perimetri të ngushtë.

5G-ja duhej ta mbyllte këtë derë duke e zëvendësuar identifikuesin e përhershëm të dërguar hapur me një identifikues të enkriptuar, SUCI-n. Mbyllja është e pjesshme. Punimet e paraqitura me titullin 5G SUCI-catchers: still catching them all? dokumentojnë sulme lidhjeje që lejojnë rikorrelimin e sesioneve pavarësisht enkriptimit. Mbi të gjitha, mbrojtja bie krejtësisht nëse sulmuesi e detyron pajisjen të zbresë në një brez të mëparshëm, sidomos 2G, autentikimi i të cilit është i njëanshëm. Një telefon 5G mbetet i cenueshëm ndaj një sulmi të konceptuar për një rrjet të viteve nëntëdhjetë, sepse ende pranon të zbresë atje.

Kundërmasat dhe efektshmëria e tyre e vërtetë

Secila prej masave më poshtë bën diçka. Asnjëra nuk bën gjithçka, dhe hendeku midis asaj që bëjnë dhe asaj që u atribuohet prodhon vendimet e gabuara.

Modaliteti i fluturimit

Modaliteti i fluturimit e ndërpret transmetimin e modemit celular, të Wi-Fi-t dhe të Bluetooth-it. Kjo është reale dhe është rezultati më i mirë për një përpjekje kaq të vogël.

Çfarë nuk bën: nuk i ndal sensorët inercialë, nuk i fshin pozicionet e ruajtura tashmë në kesh, të cilat do të nisen sapo të rilidhesh, dhe në shumicën e pajisjeve lejon riaktivizimin veç e veç të Wi-Fi-t ose të Bluetooth-it pa dalë prej tij. Së fundi, është një gjendje softuerike, jo një ndërprerje e rrymës: besueshmëria e tij varet nga integriteti i sistemit që e zbaton.

Një hollësi e nënvlerësuar: shkëputja nga rrjeti dhe rilidhja janë vetë ngjarje me vulë kohore te operatori. Një telefon që zhduket në orën 21 në një qelizë dhe rishfaqet në orën 23 në një tjetër ka prodhuar një informacion, jo një heshtje.

Rastësimi i adresës MAC

Sistemet celulare sot transmetojnë adresa MAC të rastësishme gjatë skanimeve, për të penguar ndjekjen nga një vend në tjetrin. Qëllimi është i mirë, rezultati i paplotë. Punimet referencë, mes tyre Why MAC Address Randomization is not Enough, tregojnë se përmbajtja e kornizave të zbulimit mjafton shpesh për ta riidentifikuar pajisjen: numri i elementeve informative, vlerat e tyre dhe renditja e tyre formojnë një gjurmë. Këtu shtohen numrat e sekuencës, rritës e pra të zinxhirueshëm, dhe nënshkrimi kohor karakteristik i çdo modeli. Disa studime raportojnë ndjekje të saktë të gjysmës së pajisjeve për të paktën njëzet minuta.

Së fundi një kufi konceptual: rastësimi ka të bëjë vetëm me fazën e zbulimit. Sapo lidhesh me një rrjet, adresa e përdorur është e qëndrueshme për atë rrjet, nga vetë konceptimi, që lidhja të funksionojë. Lokali ku shkon çdo mëngjes të njeh.

Të fiket vërtet skanimi

Ky është cilësimi më fitimprurës dhe më i lënë pas dore. Në Android, kërkimi i Wi-Fi-t dhe kërkimi i Bluetooth-it janë dy opsione të veçanta, të vendosura te shërbimet e vendndodhjes, të pavarura nga çelësat e panelit të shpejtë. Për sa kohë janë aktive, fikja e Wi-Fi-t nga paneli nuk mjafton: skanimi vazhdon.

Çaktivizimi i tyre heq një shtresë të tërë mbledhjeje, pa kosto tjetër përveç një llogaritjeje të parë pozicioni pak më të ngadaltë. Për shumicën e lexuesve, ky është raporti më i mirë midis përpjekjes së dhënë dhe rezultatit të marrë.

Lejet e aplikacioneve

Heqja e lejes së vendndodhjes nga aplikacionet që dukshëm nuk e kanë nevojë mbetet e dobishme, dhe sistemet e reja ofrojnë tri shkallë: leja një herë e vetme, leja e kufizuar në përdorim aktiv dhe vendndodhja e përafërt, që përcjell vetëm një zonë me përmasa rreth një kilometri.

Kjo nuk mbron, në të kundërt, as nga SDK-të e strehuara brenda një aplikacioni që ka arsye të ligjshme të aksesojë pozicionin tënd, as nga sensorët inercialë, as nga shtresat e rrjetit, të cilat nuk kalojnë nëpër asnjë leje.

Çfarë nuk e mbron VPN-ja

Pikë që duhet sqaruar, sepse bindja e kundërt është shumë e përhapur: një VPN nuk e fsheh vendndodhjen tënde. Ajo fsheh adresën tënde publike IP, pra e shtrembëron gjeolokalizimin sipas IP-së, që gjithsesi është mekanizmi më i trashë i listës.

Një VPN nuk prek as marrësin GNSS, as skanimin Wi-Fi, as Bluetooth-in, as sensorët. Nuk ndryshon asgjë nga ajo që di operatori yt, pasi tuneli i enkriptuar kalon nëpër antenat e tij dhe lidhja me qelizën i mbetet e dukshme. Nuk e pengon as një aplikacion me leje vendndodhjeje të dërgojë koordinata të sakta brenda tunelit. VPN-ja mbron përmbajtjen dhe destinacionin e komunikimeve të tua në një rrjet jo të besueshëm, dhe kjo është tashmë shumë. Vendndodhja nuk hyn në fushën e saj.

Kufijtë fizikë

Një çantë Faradei funksionon në kuptimin e drejtpërdrejtë: bllokon transmetimin dhe marrjen. Edhe heqja e baterisë, aty ku është ende e mundur. Pajisja e dedikuar, ose thjesht lënia e telefonit diku tjetër, mbetet masa më e fortë.

Këto zgjidhje ndajnë një të metë që duhet parë në sy: prodhojnë një anomali. Një telefon që hesht dy orë çdo të martë në mbrëmje thotë diçka. Përballë një kundërshtari që analizon modele në vend të pozicioneve të çastit, mungesa është e dhënë.

Tre kundërshtarë, tri strategji

Ky është dallimi më i rëndësishëm i këtij shkrimi dhe ai që lexohet më rrallë.

Përballë një reklamuesi ose një ndërmjetësi të dhënash, beteja fitohet. Disiplinë në leje, çaktivizim i skanimeve, sistem pa shërbime pronësore vendndodhjeje, rivendosje e identifikuesit reklamues: të gjitha së bashku e ulin shumë fort vëllimin e mbledhur. Ky kundërshtar kërkon vëllim me kosto të ulët, jo rastin tënd të veçantë.

Përballë operatorit tënd, asnjë konfigurim nuk mjafton. Lokalizimi celular është kushti i shërbimit. Të vetmet ndryshore reale janë juridike, pra çfarë lejon ligji të ruhet e të përcillet, dhe materiale: cila pajisje, cila kartë SIM, në emër të kujt, e ndezur ku.

Përballë një kundërshtari shtetëror të targetuar, arsyetimi ndryshon sërish, pasi ai ndërthur aksesin ligjor te të dhënat e operatorit, lokalizimin aktiv me simulator qelize, kërkesat drejtuar platformave dhe, sipas rastit, komprometimin e vetë pajisjes. Kundërmasat softuerike e zvogëlojnë sipërfaqen, por objektivi realist nuk është zhdukja: është të dish saktësisht çfarë mbetet e ekspozuar.

Qasja e ArpokratOS-it

ArpokratOS i përgjigjet këtij peizazhi me një zgjedhje që rrjedh nga dallimi i mësipërm: ajo që duhet neutralizuar neutralizohet në nivel sistemi, jo në një menu.

Për GNSS-in, drejtuesi harduerik është hequr. Pajisja sillet sikur çipi të mos ekzistonte, si për aplikacionet ashtu edhe për vetë sistemin. Ndryshimi nga një çelës në cilësime nuk është kozmetik. Një çelës është politikë: e zbaton një shtresë që mund të anashkalohet nga një komponent me privilegje të mjaftueshme, të riaktivizohet nga një përditësim ose të shpërfillet nga një sistem i komprometuar. Heqja e rrugës së kodit e zhduk pyetjen, pasi nuk ka më asgjë për t’u aktivizuar.

Bluetooth-i trajtohet në nivelin Core, me të njëjtën logjikë. Një Bluetooth i çaktivizuar në cilësime në praktikë e lë të gjallë grumbullin softuerik në shumë pajisje, për të ushqyer shërbimet e afërsisë dhe rrjetet bashkëpunuese të lokalizimit. Kur mungon në nivel sistemi, ai nuk mund as të flasë me një bikon dyqani, as të marrë pjesë në një rrjet të tipit Find My, as të shërbejë si sipërfaqe sulmi pa ndërveprim.

Duhet thënë qartë çfarë kjo nuk bën. ArpokratOS nuk e bën një telefon të pazbulueshëm. Për sa kohë një kartë SIM është aktive, operatori e njeh qelizën e lidhjes, dhe asnjë sistem operativ nuk e ndryshon këtë, as me tërë trafikun e drejtuar përmes Tor-it. Rrugëzimi mbron përmbajtjen dhe destinacionin, jo gjeometrinë radio. Kush premton padukshmëri, po shet një përrallë.

Ajo që sjell një arkitekturë e tillë është më modeste: heqja e shtresave aplikative dhe të afërsisë, nëpër të cilat kalon shumica dërrmuese e mbledhjes reale, dhe një model i qartë kërcënimi për atë që mbetet. Është i njëjti arsyetim i zbatuar te zgjedhja e një sistemi për kompjuter, i shtjelluar në krahasimin tonë të sistemeve operative: pyetja e dobishme nuk është nëse një mjet mbron, por nga çfarë mbron dhe me çfarë çmimi.

Përfundim

Ky shkrim nuk ofron një metodë për t’u zhdukur. Ajo metodë nuk ekziston, dhe tekstet që pretendojnë të kundërtën prodhojnë mbi të gjitha një besim të rremë, më të rrezikshëm se mungesa e mbrojtjes, sepse të shtyn të marrësh rreziqe.

Qëllimi ishte të zëvendësohej një pyetje binare, a mund të lokalizohem apo jo, me një pyetje të dobishme: nga kush, me çfarë saktësie, me çfarë kostoje për ta dhe a më intereson mua. Përgjigjja ndryshon për një gazetar që mbron një burim, për një drejtues në udhëtim në një juridiksion të ndjeshëm, për një avokat takimet e të cilit zbulojnë një strategji, ose për një individ që thjesht i vjen keq që një reklamues i njeh zakonet.

Ajo që duhet të tërheqë vëmendjen nuk është, në fakt, performanca e secilit prej këtyre mekanizmave marrë veçmas, por fakti që ata mbivendosen. Një pozicion me saktësi pesëdhjetë metra nuk është veçanërisht interesant. Një pozicion me saktësi pesëdhjetë metra, çdo çerek ore, për dy vjet, vizaton një banesë, një vend pune, një besim fetar, një gjendje shëndetësore, një lidhje, një burim informacioni. E dhëna e vendndodhjes është metadata që i bën të lexueshme të gjitha të tjerat, dhe pikërisht për këtë arsye ka çmim të lartë.

Burime

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense