Rrjetet celulare on Arpokrat

Verifikimi dyfaktorësh me SMS nuk mbron më asgjë: çfarë të përdorni në vend të tij

Tue, 08 Sep 2026 00:00:00 +0000

Më 9 janar 2024, llogaria zyrtare në X e Komisionit të Letrave me Vlerë dhe Bursave (SEC), rregullatorit të tregjeve financiare amerikane, njoftoi miratimin e fondeve ETF për bitcoin, një vendim që tregu e priste prej muajsh. Brenda pak minutash bitcoin-i u ngrit me mbi 1.000 dollarë për njësi. Pastaj SEC e mohoi: llogaria ishte hakuar. Çmimi ra me mbi 2.000 dollarë.

Ajo që e bën këtë rast mësimdhënës nuk është përmasa e lëvizjes së tregut, por banaliteti i mjetit të përdorur. Sipas njoftimit të Departamentit të Drejtësisë amerikan, Eric Council Jr., 26 vjeç, printoi një dokument identiteti të falsifikuar me një printer portativ kartash, hyri në një dyqan të AT&T dhe bindi një punonjës që numrin e telefonit të lidhur me llogarinë ta kalonte në një kartë SIM që e kontrollonte ai. Më pas mori me SMS kodet e rivendosjes së fjalëkalimit dhe ua përcolli bashkëpunëtorëve. Më 16 maj 2025 u dënua me 14 muaj burg.

Nevojitet një saktësim, që e ndryshon leximin e rastit pa e dobësuar mësimin e tij. Sipas deklaratës zyrtare të SEC-it, autentikimi shumëfaktorësh në atë llogari ishte çaktivizuar në korrik 2023, me kërkesë të vetë ekipit. Pra, në kohën e ngjarjes SMS-ja nuk shërbente si faktor i dytë, por si kanal rikuperimi. Dhe pikërisht kjo e bën shembullin të dobishëm: qoftë faktor i dytë, qoftë derë e pasme, numri i telefonit mbetet pika ku zinxhiri këput.

Çfarë duhet të garantojë faktori i dytë

Parimi hyn në një fjali. Vetëm fjalëkalimi është diçka që ju e dini; atij i shtohet diçka që ju e keni (një telefon, një çelës fizik) ose diçka që ju jeni (një gjurmë gishti). Kush ju vjedh fjalëkalimin nga një rrjedhje të dhënash, nuk zotëron me kaq edhe sendin tuaj fizik.

Ky arsyetim mbështetet mbi një hipotezë që rrallë shqiptohet: që faktori i dytë të jetë vërtet i lidhur me një send në zotërimin tuaj dhe që paraqitja e tij të provojë diçka për vendin ku po hyni. SMS-ja dështon në të dyja pikat.

SMS-ja nuk është faktor zotërimi

Marrja e një kodi me SMS nuk provon se ju zotëroni një pajisje, por se një numër telefoni, i caktuar nga një operator dhe i ndryshueshëm nga i njëjti operator, tregon drejt një aparati. Nuk është e njëjta gjë. Tri rrugë e shfrytëzojnë këtë hendek dhe nuk mbyllen në të njëjtën mënyrë.

Ndërrimi i SIM-it

Është sulmi i rastit SEC dhe nuk mbështetet në asnjë të metë teknike. Sulmuesi mbledh të dhëna personale për objektivin, shpesh tashmë të disponueshme nga rrjedhje publike, e më pas kontakton operatorin duke u paraqitur si ai person: telefoni humbi, ju lutem kaloni numrin në një SIM të re. Nëse është bindës, ose nëse një punonjës është në dijeni, numri ndërron duar dhe të gjitha SMS-të i mbërrijnë atij. Raporti vjetor 2024 i IC3, qendra e ankesave e FBI-t, regjistron vetëm për atë vit 982 raportime për ndërrim SIM-i dhe rreth 26 milionë dollarë humbje të deklaruara, duke numëruar vetëm viktimat që bënë kallëzim. Asnjë përditësim softueri nuk e mbyll këtë rrugë: nuk sulmon një program, sulmon një proces tregtar që e drejtojnë njerëz.

Përgjimi përmes SS7

Signaling System 7 është protokolli që u mundëson rrjeteve telefonike të gjithë botës të flasin me njëri-tjetrin: të drejtojnë një thirrje, të menaxhojnë roaming-un, të dorëzojnë një SMS nga një operator te tjetri. U projektua në vitin 1975, kur klubi i operatorëve ishte i mbyllur, i paktë në numër, dhe secili i mbante të tjerët të denjë për besim që nga vetë ndërtimi. Prandaj nuk përmban asnjë autentikim të natyrshëm midis rrjeteve: një kërkesë që duket e ligjshme trajtohet si e ligjshme.

Kjo nuk është dobësi teorike. Në dhjetor 2014 studiuesit gjermanë Tobias Engel dhe Karsten Nohl e demonstruan publikisht në Chaos Communication Congress: lokalizimin e një abonenti dhe përgjimin e SMS-ve të tij vetëm duke nisur nga numri i telefonit. Në vitin 2017 u konfirmua shfrytëzimi real: operatori gjerman O2-Telefónica pranoi se disa klientëve u ishin zbrazur llogaritë bankare, pasi sulmuesit kishin siguruar akses në rrjetin e një operatori të huaj dhe kishin vendosur një ridrejtim SMS-sh për të kapur kodet bankare të konfirmimit.

Phishing-u në kohë reale

Rruga e tretë është më e rëndësishmja, sepse nuk varet nga asnjë e metë telekomunikacioni dhe u mbijeton të gjitha atyre që do të ndreqeshin te dy të parat.

Një sajt i rremë e imiton në përsosmëri faqen e hyrjes së një shërbimi. Aty shkruani përdoruesin dhe fjalëkalimin, të cilat sajti i rremë ia përcjell menjëherë atij të vërtetit, që nga ana e vet dërgon një SMS në telefonin tuaj. SMS-ja ju mbërrin vërtet dhe është autentike. Kodin e shkruani te sajti i rremë, i cili me radhë e përcjell brenda pak sekondash. Sesioni hapet dhe ai që e mban është sulmuesi.

Kjo quhet sulm adversary-in-the-middle. Është industrializuar: mjete si Evilginx, një proxy i kundërt që u shfaq në vitin 2017, ose paketa që shiten me abonim mujor, e bëjnë të arritshëm pa asnjë aftësi të veçantë. Për më tepër, nuk vidhet vetëm kodi, por cookie-ja e sesionit, e cila pastaj lejon të qëndrohet i futur pa kaluar më nëpër asnjë autentikim.

Çështja është arkitekturore. Kodi i dërguar me SMS nuk mbart asnjë informacion për sajtin që e kërkoi. Prandaj nuk mund ta dallojë të vërtetin nga i rremi: është i vlefshëm kudo që shkruhet.

Ky nuk është më mendim, është qëndrim zyrtar

Argumenti më i fortë kundër SMS-së nuk vjen nga shitësit e zgjidhjeve, por nga institucionet që shkruajnë standardet.

Në korrik 2025 NIST-i amerikan botoi versionin përfundimtar të SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. Teksti krijon një kategori të shprehur autentikuesish të kufizuar, të rezervuar për mekanizmat, aftësia rezistuese e të cilëve është dobësuar me evoluimin e kërcënimeve. Seksioni 3.1.3.3 e rendit aty përdorimin e rrjetit telefonik publik, pra kodet e dërguara me SMS ose me thirrje zanore: «Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.» Konkretisht, një shërbim që ende i drejtohet duhet të ofrojë një alternativë të pakufizuar, të njoftojë përdoruesit për rrezikun dhe të ketë një plan migrimi.

Në dhjetor 2024 CISA, agjencia amerikane e sigurisë kibernetike, kishte botuar dokumentin e vet Mobile Communications Best Practice Guidance, pas fushatës së spiunazhit Salt Typhoon, në të cilën aktorë të lidhur me shtetin kinez depërtuan në disa operatorë telekomunikacioni amerikanë. Formulimi nuk lë hapësirë interpretimi: «Do not use SMS as a second factor for authentication. SMS messages are not encrypted», dhe më tej, pa dredha: «Only FIDO authentication is phishing-resistant.» Dokumenti rekomandon shprehimisht çelësat fizikë FIDO, duke përmendur Yubico dhe Google Titan, dhe saktëson se pasi aktivizohet FIDO duhet çaktivizuar SMS-ja, përndryshe ajo mbetet si rrugë alternative e shfrytëzueshme.

Aplikacionet e autentikimit: përparim i vërtetë, zgjidhje e pjesshme

Aplikacionet TOTP, nga Time-based One-Time Password, gjenerojnë një kod me gjashtë shifra që ndryshon çdo tridhjetë sekonda, i llogaritur lokalisht nga një sekret i ndarë gjatë aktivizimit dhe nga ora e çastit. Nëpër rrjetin telefonik nuk kalon asgjë.

Fitimi është i menjëhershëm: ndërrimi i SIM-it mbetet pa efekt, meqë numri nuk hyn më në lojë, po ashtu edhe përgjimi përmes SS7, meqë asnjë mesazh nuk transportohet. Kalimi në një aplikacion autentikimi ia vlen të bëhet në çdo llogari që nuk mund të shkojë më tej.

Por rruga e tretë mbetet e paprekur. Një kod TOTP i shkruar në një sajt të rremë përcillet te sajti i vërtetë saktësisht si një kod SMS. Aplikacioni nuk e di se ku po hyni: shfaq një numër dhe ai numër është i vlefshëm te kushdo që e paraqet brenda dritares së tij tridhjetësekondëshe. CISA e thotë me të njëjtat fjalë: kodet e autentikimit janë më të mira se SMS-ja, por mbeten të cenueshme ndaj phishing-ut.

TOTP-ja është një etapë e ndërmjetme e ndershme, jo një destinacion.

Pse një çelës FIDO2 e ndryshon vetë natyrën e problemit

Një çelës fizik FIDO2/WebAuthn nuk mjaftohet me ta bërë sulmin më të vështirë, ia heq mundësinë mekanike.

Gjatë regjistrimit në një shërbim, çelësi gjeneron një çift çelësash kriptografikë të dedikuar për atë shërbim. Pjesa publike shkon te shërbimi, pjesa private nuk e braktis kurrë çipin dhe nuk është as e eksportueshme, as e lexueshme. Asnjë sekret i përbashkët që të mund të kopjohet, asnjë kod gjashtëshifror që të mund të përgjohet.

Vjen më pas mekanizmi vendimtar, lidhja me origjinën. Në çastin e hyrjes, shfletuesi i përcjell çelësit emrin e vërtetë të domenit të faqes së shfaqur. Ky informacion përfshihet në të dhënat që nënshkruhen dhe shfletuesi e imponon: JavaScript-i i faqes nuk mund as ta ndryshojë, as ta falsifikojë.

Një çelës FIDO2 nuk e bën phishing-un më të vështirë për t’ia dalë. E bën rezultatin e phishing-ut të papërdorshëm.

Le ta rimarrim sulmin adversary-in-the-middle, kësaj radhe me një çelës. Sajti i rremë është i përsosur, viktima nuk vëren asgjë dhe prek çelësin e vet. Shfletuesi përcjell domenin e vërtetë të faqes, atë të sajtit mashtrues. Çelësi konstaton se për këtë domen nuk ekziston asnjë çift, ose nënshkruan për të, duke prodhuar një nënshkrim që shërbimi i vërtetë do ta refuzojë. Në të dyja rastet sulmuesi nuk merr asgjë të shfrytëzueshme.

Ja ku qëndron ndryshimi në natyrë. Me SMS ose TOTP siguria mbështetet në fund të fundit te vigjilenca e përdoruesit, te aftësia e tij për të dalluar një domen të falsifikuar në shiritin e adresës, në një çast kur është me nxitim dhe faqja duket normale. Me FIDO2 këtë verifikim e kryen një makinë, çdo herë, pa u varur nga vëmendja e askujt. Është ky transferim përgjegjësie që ka rëndësi, më shumë se qëndrueshmëria kriptografike.

Efekti matet. Google i bëri çelësat të detyrueshëm për punonjësit e vet në fillim të vitit 2017 dhe deklaroi në 2018 se nuk kishte regjistruar asnjë llogari të komprometuar mes më shumë se 85.000 vetash.

Kufijtë realë të çelësave fizikë

T’i paraqitje si të përsosur do të ishte e pandershme dhe e padobishme për të përgatitur vendimet e vërteta.

Kostoja ekziston. Llogaritni nga 25 deri në 60 euro sipas modelit, më shumë për versionet biometrike, dhe shumëzoni me dy.

Humbja e një çelësi është rreziku i vërtetë. Një çelës i vetëm në një llogari kritike është gabim konceptimi. Duhen dy të regjistruar në çdo llogari të rëndësishme, njëri prej të cilëve ruhet diku tjetër, te një i afërm ose në një kasafortë. I dyti nuk është rehati, është ajo që e bën të parin të përdorshëm pa frikë.

Mbulimi është i paplotë. Shumë shërbime, sidomos ato bankare në Evropë, nuk e mbështetin ende FIDO2, prandaj edhe renditja e prioriteteve që vijon.

Një çelës mund të vidhet. Prej këtej nevoja për të aktivizuar një kod PIN në çelës, ose për të zgjedhur një model me gjurmë gishti: pa këtë, vetëm sendi mjafton për atë që e gjen.

Rruga alternative mbetet hallka më e dobët. Të aktivizosh FIDO2 pa çaktivizuar SMS-në nuk të mbron nga asgjë: sulmuesi thjesht merr rrugën që mbeti e hapur. Migrimi përfundon vetëm kur mekanizmi i vjetër hiqet nga llogaria, përfshirë opsionet e rikuperimit.

Sa i takon pajisjes, gama YubiKey mbulon spektrin më të gjerë të protokolleve, çelësat Google Titan janë më të lirë dhe kufizohen te FIDO, Nitrokey dhe SoloKeys ofrojnë alternativa me firmware të hapur dhe të auditueshëm, ndërsa Token2 prodhon modele me tastierë numerike të integruar, ku PIN-i shkruhet mbi vetë çelësin e jo mbi tastierë. Nuk ka zgjedhje të gabuar mes çelësave të certifikuar FIDO2: protokolli është i njëjti dhe ndryshojnë vetëm përdorimet anësore.

Nga t’ia nisim kur nuk mund të ndryshohet gjithçka

Rendi i migrimit nuk është çështje preference, buron nga varësitë midis llogarive tuaja.

Së pari posta kryesore. Ajo merr lidhjet e rivendosjes për gati gjithçka tjetër. Një sulmues që e kontrollon i merr llogaritë e tjera një nga një, pa sulmuar drejtpërdrejt asnjërën. Asgjë nuk meriton të sigurohet para saj.
Menaxheri i fjalëkalimeve. Ai përqendron faktorin e parë të të gjitha aksesëve tuaja, prandaj mbrojtja e tij duhet të barazohet me atë të llogarisë më të mbrojtur që përmban. Është momenti për të verifikuar cilësinë e fjalëkalimit kryesor, temë që e kemi trajtuar hollësisht në artikullin mbi entropinë dhe shkencën pas sigurisë suaj.
Llogaritë financiare dhe platformat kripto. Objektiva me vlerë të menjëhershme, ku një komprometim kthehet në humbje të pakthyeshme brenda pak minutash.
Llogaritë sociale me publik. Rasti SEC tregon sa vlen fjala e një llogarie të ndjekur, dhe dëmi nuk bie gjithnjë mbi pronarin e saj.
Pjesa tjetër mund të presë, me një aplikacion TOTP në vend të SMS-së. Një forum apo një shërbim transmetimi nuk e justifikon të njëjtin mund.

Për llogaritë që ende nuk e mbështetin FIDO2: kaloni në TOTP kudo që është e mundur dhe kërkojini operatorit tuaj bllokimin e portimit të numrit, një opsion falas te shumica.

Çfarë thotë kjo për qasjen e Arpokrat

Ky shkrim përshkruan një problem që ekziston vetëm sepse një identifikues u vendos në qendër të sistemit. Numri i telefonit nuk u konceptua kurrë si provë identiteti: u bë shtylla kurrizore e autentikimit në internet nga zakoni, dhe të tria sulmet e përshkruara më sipër e shfrytëzojnë pikërisht këtë shmangie përdorimi.

Ky është arsyetimi që udhëhoqi konceptimin e protokollit të Arpokrat Messenger: as numër telefoni, as adresë e-maili, as llogari. Përdoruesi ekziston si një grup çelësash kriptografikë të ruajtur në pajisjen e vet, ndërsa lidhja bëhet përmes linqeve ftesë për një përdorim të vetëm. Logjika është ajo e FIDO2, një shkallë më lart: ajo që nuk mbahet nga një palë e tretë nuk mund t’i merret asaj, as me inxhinieri sociale kundër një operatori, as me urdhër. Këtë përputhshmëri me arkitekturën Zero-Knowledge e zhvillojmë në artikullin mbi mblidh tani, deshifro më vonë.

Një çelës fizik që nënshkruan pa e ekspozuar kurrë sekretin e vet është, për më tepër, edhe mënyra si funksionon një portofol kripto jashtë linje, e trajtuar në udhëzuesin tonë të plotë për cold wallet: ta mbash pjesën sekrete në një send të dedikuar dhe të lësh të dalë vetëm një nënshkrim.

Përfundim

Verifikimi dyfaktorësh me SMS nuk u konceptua keq. Kur u përhap, në fillim të viteve 2010, përfaqësonte një përparim të konsiderueshëm ndaj fjalëkalimit të vetëm dhe kishte për vete cilësinë e vetme që numëron në shkallë të gjerë: telefonin e kishte tashmë gjithkush.

Problemi nuk është shpikja e tij, por mbijetesa. Demonstrimet e SS7 datojnë nga 2014, shfrytëzimi real bankar nga 2017, industrializimi i phishing-ut në kohë reale nga fundi i asaj dekade. CISA shkroi që të mos përdorej më në 2024, NIST-i e formalizoi kufizimin në 2025. Rreth dhjetë vjet ndajnë çastin kur të metat u bënë të shfrytëzueshme në shkallë të gjerë nga çasti kur institucionet e vunë në letër. Dhe SMS-ja mbetet faktori i dytë i parazgjedhur në shumicën e shërbimeve për publikun e gjerë.

Ky hendek është informacioni i vërtetë i këtij shkrimi. Mekanizmat e sigurisë nuk zhduken kur pushojnë së funksionuari, por kur diçka po aq e thjeshtë vjen t’i zëvendësojë, dhe kjo zgjat shumë më tepër. Pyetja, pra, nuk është nëse duhet ta braktisni SMS-në, kjo është zgjidhur prej vitesh. Pyetja është se cilat mbrojtje të tjera, që i merrni si të mirëqena, ndodhen tashmë, pa e shkruar ende askush, në të njëjtën gjendje.

Burimet

Departamenti i Drejtësisë i Shteteve të Bashkuara, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 maj 2025
Komisioni i Letrave me Vlerë dhe Bursave, SECGov X Account, deklaratë zyrtare e 22 janarit 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, versioni përfundimtar, korrik 2025
CISA, Mobile Communications Best Practice Guidance, 18 dhjetor 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, demonstrim i Tobias Engel dhe Karsten Nohl, dhjetor 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, maj 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, korrik 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, specifikimi WebAuthn

5G, të dhënat e vendndodhjes dhe objektivi i gabuar i së drejtës

Tue, 18 Aug 2026 00:00:00 +0000

Në vitin 2011 policia e Detroitit i kërkoi një operatori celular historikun e lidhjes së telefonit të Timothy Carpenter me antenat. Mori 12 898 pika vendndodhjeje të shpërndara në 127 ditë, rreth njëqind në ditë. Shtatë vjet më vonë, Gjykata e Lartë e Shteteve të Bashkuara vendosi se ajo kërkesë përbënte kontroll dhe kërkonte urdhër gjyqësor.

Ato 12 898 pika vinin nga antena të brezit të katërt, secila prej të cilave mbulonte një rreze prej disa kilometrash. E njëjta kërkesë, drejtuar sot një rrjeti 5G urban, nuk do të kthente njëqind pika në ditë me një saktësi prej disa kilometrash. Do të kthente një vëllim shumë më të madh, me një saktësi prej disa dhjetëra metrash.

Teknologjia ndryshoi shkallë. Arsyetimi juridik mbeti në të njëjtin vend të zinxhirit.

Një e mirë juridike që gjyqtarët e njohin në të dyja brigjet e Atlantikut

Ekziston një interes që e pranon pothuajse gjithkush dhe që pothuajse asnjë tekst nuk e mbron në mënyrë efektive: e drejta për të qenë diku pa u regjistruar ky fakt.

Jurisprudenca evropiane e ka vendosur këtë pa mëdyshje. Në Digital Rights Ireland (çështjet e bashkuara C-293/12 dhe C-594/12, 8 prill 2014) dhe më pas në Tele2 Sverige dhe Watson (çështjet e bashkuara C-203/15 dhe C-698/15, Dhoma e Madhe, 21 dhjetor 2016), Gjykata e Drejtësisë e Bashkimit Evropian vendosi se këto të dhëna, marrë në tërësi, lejojnë nxjerrjen e përfundimeve shumë të sakta për jetën private të personave: zakonet e jetës së përditshme, vendet e qëndrimit, lëvizjet, veprimtaritë e ushtruara dhe marrëdhëniet shoqërore.

Gjykata e Lartë e Shteteve të Bashkuara arriti në një përfundim të përafërt në Carpenter v. United States, 585 U.S. 296 (2018). Ajo theksoi një pikë që doktrina amerikane e ka komentuar gjerësisht: karakterin të pashmangshëm dhe automatik të kësaj mbledhjeje. Askush nuk jep pëlqim të lidhet me një antenë; është i lidhur sepse ka një telefon të ndezur.

E mira juridike pra ekziston dhe njihet nga dy gjykatat që kanë peshë në këtë fushë. Problemi është diku tjetër.

Çfarë ndryshoi vërtet 5G

Një ngatërrim i zakonshëm është ta trajtosh vendndodhjen si një të dhënë që telefoni e dërgon, njësoj si një mesazh apo një fotografi. Nuk është kështu. Vendndodhja është një pasojë fizike e funksionimit të rrjetit. Operatori e di me cilën antenë është lidhur pajisja sepse duhet ta dijë për të drejtuar një thirrje. Nuk ekziston asnjë çelës që ta enkriptojë këtë informacion, pasi nuk bëhet fjalë për përmbajtje por për një veti të vetë lidhjes.

Pikërisht kjo e bën 5G-në domethënëse në rrafshin juridik dhe jo në atë teknik.

Arkitekturat e mëparshme mbështeteshin në qeliza të gjera. Një antenë 4G zakonisht mbulon një rreze prej disa kilometrash, dhe pozicioni i nxjerrë vetëm nga lidhja matej në qindra metra në qytet, ndonjëherë në dhjetëra kilometra në zonat rurale. 5G mbështetet në një dendësim masiv: qelizat urbane mbulojnë zakonisht disa qindra metra, dhe literatura inxhinierike llogarit dendësi të rendit dyzet deri pesëdhjetë stacione bazë për kilometër katror, kundrejt katër ose pesë në kohën e 3G.

Pasoja është mekanike. Sipas dokumentit teknik të Ericsson-it për pozicionimin në 5G, infrastruktura e ngritur vetëm për lidhshmëri arrin një saktësi prej njëzet deri pesëdhjetë metrash jashtë dhe një deri tre metra brenda, dhe zbret nën një metër në kushte urbane të favorshme. Nuk bëhet fjalë për një funksion vendndodhjeje të aktivizuar diku, por për atë që rrjeti e di nga vetë ndërtimi i tij, pa u instaluar asnjë aplikacion dhe pa u dhënë asnjë leje. I kemi shtjelluar të gjitha këto mekanizma, si dhe kundërmasat që funksionojnë vërtet, në artikullin tonë për gjeolokalizimin e përhershëm të telefonit.

Ndërhyrja pra është rritur me disa shkallë madhësie. Korniza juridike e zbatueshme mbetet ajo e menduar për 2G dhe 3G. Asnjë përshtatje normative nuk e ka shoqëruar këtë ndryshim shkalle.

E drejta mbron aksesin, jo krijimin

E drejta evropiane rregullon me kujdes se kush mund të ketë akses në të dhënat e vendndodhjes, në ç’kushte dhe nën ç’kontroll. Direktiva 2002/58/KE vendos parimin e konfidencialitetit të komunikimeve, dhe Gjykata e Drejtësisë vendosi, në La Quadrature du Net (çështjet e bashkuara C-511/18, C-512/18 dhe C-520/18, Dhoma e Madhe, 6 tetor 2020), se neni 15(1) i kësaj direktive, lexuar në dritën e neneve 7, 8, 11 dhe 52(1) të Kartës, përjashton një ruajtje të përgjithshme dhe të padiferencuar të të dhënave të trafikut dhe të vendndodhjes për qëllime parandaluese. Gjykata pranoi megjithatë përjashtime të kornizuara kur një shtet anëtar përballet me një kërcënim të rëndë për sigurinë kombëtare që rezulton i vërtetë dhe aktual ose i parashikueshëm, me kusht një kontroll efektiv.

Këto janë mbrojtje reale dhe do të ishte absurde t’i nënvlerësoje. Por të gjitha ndërhyjnë pasi ka ndodhur gjithçka. Ato presupozojnë se e dhëna ekziston, se ruhet, dhe pastaj rregullojnë kushtet e shfrytëzimit të saj.

Por nëse vendndodhja është një nënprodukt i pashmangshëm i funksionimit të rrjetit, pika e duhur e ndërhyrjes nuk është konfidencialiteti. Është qëndrueshmëria në kohë.

Një pozicion i çastit, i nevojshëm për të drejtuar një komunikim dhe i fshirë menjëherë pas tij, nuk është mjet mbikëqyrjeje. Një historik pozicionesh i ruajtur me muaj është, cilatdo qofshin garancitë e aksesit që e rrethojnë.

Dallimi mes të dyjave nuk është juridik, është arkitekturor. Dhe kalendari evropian e bën pyetjen urgjente e jo teorike. Komisioni e tërhoqi propozimin për Rregulloren ePrivacy në vitin 2025, për mungesë marrëveshjeje mes bashkëligjvënësve. Që atëherë punon për një instrument të veçantë mbi ruajtjen e të dhënave për qëllime penale, i njoftuar për vitin 2026, i destinuar të harmonizojë regjime kombëtare që janë shpërndarë që nga anulimi i direktivës së vitit 2006. Me fjalë të tjera, teksti që do të përcaktojë për një dekadë regjimin e metadatave të vendndodhjes po shkruhet pikërisht tani, mbi bazën e një arsyetimi të konceptuar në kohën e qelizave kilometrike.

Precedenti që 5G e krijoi vetë

Aspekti më interesant i çështjes është se përgjigjja e duhur figuron tashmë në standardin teknik, por e zbatuar në një objekt tjetër.

Deri te 4G, identifikuesi i përhershëm i abonentit, IMSI, qarkullonte i pafshehur në ndërfaqen radio gjatë lidhjes. Kjo bëri të mundur kapësit e IMSI, ato stacione bazë të rreme që, sipas përshkrimit referues të Electronic Frontier Foundation, transmetojnë më fuqishëm se antenat legjitime për të tërhequr pajisjet dhe për t’u kapur identifikuesin.

Që nga Release 15 i specifikimeve 3GPP, botuar në vitin 2019, 5G sjell një përgjigje elegante. Identifikuesi i përhershëm, i quajtur tani SUPI, mund të zëvendësohet në ndërfaqen radio me SUCI, një identifikues i fshehur i përftuar duke enkriptuar pjesën e veçantë të abonentit me kriptografi të kurbave eliptike, me çelësin publik të operatorit të origjinës. Vetëm rrjeti i origjinës, që zotëron çelësin privat përkatës, mund ta deshifrojë. Rezultati është unik në çdo llogaritje, çka pengon korrelacionin nga një sesion në tjetrin.

Logjika e zgjedhur meriton të nënvizohet, sepse është pikërisht ajo që duhet ta udhëheqë ligjvënësin: nuk enkriptohet pozicioni, gjë që do të ishte teknikisht e pamundur, enkriptohet identiteti. Një pozicion pa identitet të atribuueshëm ka vlerë shumë të kufizuar për qëllime mbikëqyrjeje të individualizuar.

E çara: një mbrojtje fakultative

Ekziston megjithatë një rezervë e konsiderueshme dhe, sipas nesh, është pika më konkrete e ndërhyrjes në gjithë çështjen.

Dokumenti teknik NIST CSWP 36A, botuar në mars 2026 nga National Institute of Standards and Technology, e shpreh pa dredha. Pajisjet dhe funksionet e rrjetit në përputhje me Release 15 ose më vonë janë të detyruara ta mbështesin SUCI, por aktivizimi i tij mbetet fakultativ për operatorin. Duhen plotësuar tri kushte: prodhuesi i pajisjes duhet ta mbështesë, operatori duhet ta aktivizojë në rrjetin e vet dhe karta SIM duhet të mbajë elementet e nevojshme për llogaritjen.

Këtu shtohet edhe një kurth konfigurimi. Standardi parashikon një skemë mbrojtjeje zero, në të cilën formati SUCI përdoret formalisht por pa enkriptim të vërtetë, aq sa identifikuesi qarkullon i pafshehur. NIST shkruan se është e nevojshme që operatori ta konfigurojë rrjetin e vet me një skemë mbrojtjeje jozero, dhe kujton se një raport i CSRIC, organit këshillimor të Federal Communications Commission, rekomandonte që në vitin 2021 që skema zero t’u rezervohej vetëm thirrjeve të urgjencës të kryera nga një pajisje e panjohur për rrjetin.

Formulimi meriton të lihet ashtu siç është. Mbrojtja më e mirë e disponueshme kundër ndjekjes së pajisjeve celulare ekziston në standardin teknik që nga viti 2019. Ajo varet nga një zgjedhje konfigurimi e lënë në diskrecionin e operatorit. Një agjenci federale amerikane e sheh të dobishme të botojë një dokument në vitin 2026 për të kujtuar se duhet aktivizuar. Dhe asnjë instrument juridik evropian nuk e imponon.

Duhet shtuar se SUCI nuk e mbyll temën. Punimet e paraqitura me titullin 5G SUCI-catchers: still catching them all? dokumentojnë sulme lidhshmërie që lejojnë rikorrelacionin e sesioneve pavarësisht enkriptimit, dhe mbrojtja bie krejtësisht nëse sulmuesi e detyron pajisjen të kalojë në një brez të mëparshëm. Një detyrim juridik pra nuk do t’i zgjidhte të gjitha. Do të hiqte megjithatë një hendek që nuk ka asnjë justifikim të mbrojtshëm: atë mes asaj që lejon standardi dhe asaj që bëjnë rrjetet komerciale.

Tri ndërhyrje koherente

Nëse merret seriozisht ideja se vendndodhja duhet minimizuar që në projektim e jo mbrojtur më pas, tri masa imponohen logjikisht.

Ta bëjmë të detyrueshme fshehjen efektive të identifikuesit. Të imponohet aktivizimi i SUCI dhe të ndalohen skemat e mbrojtjes zero në rrjetet komerciale, përveç rastit të mbetur të thirrjeve të urgjencës. Nuk bëhet fjalë as për të përshkruar një teknologji të re, as për të financuar një shtrirje, por për të kërkuar aktivizimin e një funksioni të standardizuar prej shtatë vjetësh dhe tashmë të pranishëm në pajisje.
Ta trajtojmë ruajtjen si përjashtim, jo si gjendje të parazgjedhur. Pozicioni i nevojshëm për të drejtuar një komunikim duhet fshirë sapo ky funksion të jetë përmbushur. Krijimi i një historiku duhet të kërkojë një justifikim specifik. Ky është dallimi mes një rrjeti që di ku jeni dhe një rrjeti që kujton ku keni qenë.
Ta bëjmë ruajtjen e çelësit faktorin lidhës të duhur. Vendndodhja e serverëve brenda Bashkimit nuk do të thotë shumë nëse çelësat që i bëjnë të dhënat të lexueshme gjenden diku tjetër. Kriteri me rëndësi juridike duhet të jetë kontrolli efektiv mbi mjetet e deshifrimit, çështje që e kemi shqyrtuar hollësisht lidhur me konfliktin mes Data Act dhe CLOUD Act.

Këndvështrimi që ndjek Arpokrat

Ky arsyetim nuk i përket vetëm së drejtës së telekomunikacioneve. Është ai që zbatojmë në zgjedhjet tona të arkitekturës dhe përmblidhet në një fjali: ajo që nuk është prodhuar nuk ka nevojë të mbrohet.

Prandaj ArpokratOS e heq GPS-in, Bluetooth-in dhe NFC-në në nivelin e bërthamës në vend që t’i çaktivizojë në një meny. Një çelës është një politikë: mund të anashkalohet nga një komponent i privilegjuar, të rindizet nga një përditësim, të shpërfillet nga një sistem i komprometuar. Heqja e shtegut të kodit e zhduk vetë pyetjen. Kjo është transpozimi, në shkallën e një pajisjeje, i të njëjtit zhvendosje që kërkojmë në shkallën e së drejtës: të ndërhysh te krijimi e jo te aksesi.

Duhet thënë menjëherë se çfarë nuk bën kjo. Asnjë sistem operativ nuk e nxjerr një pajisje nga gjeometria e rrjetit. Për sa kohë një kartë SIM është aktive, operatori e di qelizën e lidhjes, dhe kalimi i gjithë trafikut përmes Tor nuk ndryshon asgjë, pasi ai mbron përmbajtjen dhe destinacionin, jo shtresën radio. Pikërisht për këtë arsye tema është juridike. Ekziston një kategori rreziqesh që asnjë konfigurim individual nuk i zvogëlon dhe për të cilat e vetmja ndryshore e disponueshme është rregulli i zbatueshëm ndaj operatorit.

I njëjti shqetësim qeveris pjesën tjetër të punës sonë. Një e dhënë që nuk ekziston nuk mund as të sekuestrohet, as të rishitet, as të nxirret jashtë, as të deshifrohet pas dhjetë vjetësh nga një makinë që sot nuk e ka askush, çështje që e kemi trajtuar nga këndi i enkriptimit të korrur tani dhe të thyer më vonë.

Përfundim

Debati publik për mbikëqyrjen celulare përqendrohet pothuajse tërësisht te aksesi: kush mund t’i shohë të dhënat, mbi ç’bazë, me ç’autorizim. Ky debat është legjitim dhe vendimet e dhëna që nga viti 2014 nga Gjykata e Drejtësisë kanë pasur efekte të prekshme. Por ai ndërhyn shumë vonë në zinxhir.

Pyetja paraprake, dhe më përcaktuese, është nëse historiku duhet të ekzistojë fare. Një bazë e krijuar sot për një arsye legjitime mbetet nesër e disponueshme për një tjetër, dhe garancitë që e rrethojnë varen nga vendime politike të mëvonshme që askush nuk i kontrollon në çastin e mbledhjes. Është një bast mbi qëndrueshmërinë e institucioneve, i vënë për një kohëzgjatje që askush nuk e cakton.

5G e shumëfishoi rezolucionin e këtij informacioni pa ndodhur asnjë përshtatje normative. Njëkohësisht ka treguar, përmes mekanizmit të SUCI, se rruga e zbatueshme është shkëputja e pozicionit nga identiteti e jo përpjekja për të enkriptuar një veti fizike të rrjetit. Standardi teknik e dha përgjigjen shtatë vjet përpara se e drejta të ngrinte pyetjen.

Teksti evropian për ruajtjen e të dhënave po shkruhet tani. Do të prekë metadatat, pra vendndodhjen, pra atë që 5G prodhon tanimë me një hollësi që hartuesit e tij nuk e njohën. Nëse do të mjaftohet me rregullimin e aksesit në një historik të marrë si i mirëqenë, apo do të guxojë të vërë në pyetje domosdoshmërinë e këtij historiku, është ndoshta pyetja më e rëndësishme e privatësisë për vitet e ardhshme në Evropë. Dhe është një pyetje që sektori teknik, për një herë, e ka zgjidhur tashmë në drejtimin e duhur.

Burimet

Gjykata e Drejtësisë e Bashkimit Evropian, Digital Rights Ireland, çështjet e bashkuara C-293/12 dhe C-594/12, 8 prill 2014
Gjykata e Drejtësisë e Bashkimit Evropian, Tele2 Sverige dhe Watson, çështjet e bashkuara C-203/15 dhe C-698/15, Dhoma e Madhe, 21 dhjetor 2016
Gjykata e Drejtësisë e Bashkimit Evropian, La Quadrature du Net etj., çështjet e bashkuara C-511/18, C-512/18 dhe C-520/18, Dhoma e Madhe, 6 tetor 2020
Gjykata e Lartë e Shteteve të Bashkuara, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, mars 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta etj., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Gjeolokalizimi i përhershëm: si të ndjek telefoni edhe kur beson se ia ke ndaluar

Sun, 02 Aug 2026 00:00:00 +0000

Në vitin 2024, dy studiues të Universitetit të Merilendit e pyetën vazhdimisht shërbimin e pozicionimit me Wi-Fi të Apple-it, pa asnjë privilegj të veçantë dhe pa pajisje të specializuara, dhe brenda një viti rindërtuan pozicionin e saktë të më shumë se dy miliardë pikave të aksesit Wi-Fi në botë. Punimi i tyre, Surveilling the Masses with Wi-Fi-Based Positioning Systems, tregon çfarë mundëson kjo hartë: ndjekjen e pajisjeve që hyjnë dhe dalin nga Ukraina, vëzhgimin e zhvendosjes së popullsisë pas zjarreve të Mauit, gjurmimin e një individi përmes ruterit të internetit në shtëpinë e tij.

Asnjë prej këtyre pajisjeve nuk e kishte GPS-in të ndezur. Pozicioni vinte nga diku tjetër.

Ky është pikë e verbër më e përhapur në çështjen e privatësisë në celular: bindja se ekziston një çelës i vendndodhjes dhe se, sapo ta fikësh, telefoni pushon së ditur ku ndodhet. Kjo bindje është e gabuar në shtatë nivele të ndryshme.

Vendndodhja nuk është një veçori që telefoni yt e ndez. Është një veti e vetë asaj që telefoni është.

GPS-i, ose vektori më pak shqetësues

I vetmi mekanizëm që të gjithë dinë ta emërtojnë është njëkohësisht ai që duhet të të shqetësojë më pak.

GNSS, termi i përgjithshëm që përfshin GPS-in amerikan, Galileon, GLONASS-in dhe BeiDou-në, funksionon duke dëgjuar. Satelitët transmetojnë vazhdimisht sinjale me vulë kohore, marrësi kap disa prej tyre dhe e llogarit pozicionin e vet nga ndryshimet e kohës së përhapjes. Saktësia e zakonshme në terren të hapur: tre deri në pesë metra, shpesh disa dhjetëra metra në qytet, ku fasadat i pasqyrojnë sinjalet.

Pika vendimtare është se ky llogaritje është pasive. Telefoni nuk transmeton asgjë drejt satelitëve dhe asnjë operator satelitor nuk e di se ti ekziston. Po të ishte në lojë vetëm GNSS-i, fikja e GPS-it do të mjaftonte.

Ka megjithatë një nuancë. Për ta shpejtuar llogaritjen e parë, telefonat përdorin A-GPS: shkarkojnë nga një server efemeridat satelitore, përmes protokollit SUPL. Për të marrë të dhënat e duhura, telefoni i dërgon atij serveri identifikuesin e qelizës së rrjetit ku është i lidhur. GNSS-i i pastër nuk të tradhton, por përshpejtuesi që i është mbivendosur, po.

Rrjeti celular: çfarë di operatori nga vetë ndërtimi

Që një telefonatë të mund të të mbërrijë, rrjeti duhet të dijë në cilën zonë ndodhesh. Kjo nuk është një mundësi që aktivizohet, është kushti i ekzistencës së shërbimit. Telefoni yt i njoftohet vazhdimisht antenës më të afërt dhe ky regjistrim lë gjurmë te operatori. Asnjë aplikacion i instaluar, asnjë leje e dhënë: mjafton një kartë SIM aktive.

Saktësia varet nga metoda:

Vetëm identifikuesi i qelizës: nga 200 metra në zonë urbane të dendur deri në më shumë se 30 kilometra në zonë rurale, ku një antenë mbulon një rreze shumë të gjerë.
Cell ID i pasuruar, që shton sektorin e antenës (shumica e vendndodhjeve ndahen në tre sektorë prej 120 gradësh) dhe fuqinë e sinjalit: nga 100 metra deri në disa kilometra.
Timing advance, që mat vonesën vajtje-ardhje midis telefonit dhe antenës: rreth 550 metra në GSM, afërsisht 78 metra në LTE.
Multilaterimi mbi tre ose më shumë antena: 50 deri në 300 metra në LTE urban.

5G e ndryshon shkallën për dy arsye që mblidhen. Së pari dendësia: qelizat 5G mbulojnë rreze shumë më të shkurtra, prandaj vetëm fakti i lidhjes është tashmë një informacion i hollësishëm. Pastaj standardizimi: që nga Release 16, 3GPP përfshin sinjale pozicionimi të vetat. Objektivat tregtarë synojnë nën 3 metra brenda ndërtesave dhe nën 10 metra jashtë për 80 % të pajisjeve, ndërsa Release 18 zbret deri në centimetër për disa përdorime industriale.

Kështu infrastruktura që të lidh kthehet në një sistem pozicionimi me cilësi të krahasueshme me GPS-in, pa aktivizuar ti asgjë. Këto të dhëna ruhen sipas rregullave kombëtare dhe u vihen në dispozicion autoriteteve me procedura të ndryshme. Është i njëjti debat themelor si ai për juridiksionin e zbatueshëm mbi të dhënat e strehuara: mbrojtja teknike dhe mbrojtja juridike nuk mbivendosen.

Wi-Fi: një hartë e botës prej adresash harduerike

Çdo pikë aksesi Wi-Fi transmeton vazhdimisht një identifikues harduerik unik, BSSID-in. Këta identifikues janë fiksë dhe gjeografikisht të qëndrueshëm: një ruter shtëpiak rri vite me radhë në të njëjtin vend.

Apple, Google dhe disa aktorë të specializuar mbajnë baza që lidhin çdo BSSID me koordinata, të ndërtuara nga vetë telefonat e përdoruesve të tyre, të cilët dërgojnë listën e pikave të dukshme bashkë me një pozicion GNSS. Pastaj veprimi përmbyset: një telefon që sheh katër pika të njohura nuk ka më nevojë as për një satelit të vetëm. Në zonë urbane të dendur saktësia arrin rëndom disa dhjetëra metra dhe brenda ndërtesave zbret edhe më poshtë.

Dy veti e bëjnë të vështirë neutralizimin e këtij mekanizmi. Së pari, telefoni skanon edhe kur Wi-Fi duket i fikur: që nga Android 4.3, sistemi ruan një skanim periodik të destinuar për të përmirësuar vendndodhjen, pavarësisht nga çelësi i panelit të shpejtë. Kjo sjellje varet nga një cilësim i veçantë, i varrosur në shërbimet e vendndodhjes, që pothuajse asnjë përdorues nuk e ka hapur ndonjëherë.

Së dyti, baza mund të pyetet nga jashtë. Kjo është e çara që shfrytëzuan Rye dhe Levin: ndërfaqet e pozicionimit kthejnë jo vetëm pozicionin e kërkuar, por edhe atë të pikave fqinje, çka lejon korrjen e hartës pa iu afruar kurrë fizikisht atyre vendeve.

Bluetooth dhe BLE: i lokalizuar nga telefonat e të tjerëve

Bluetooth Low Energy shton një shtresë afërsie, me rreze nga disa metra deri në disa dhjetëra metra, pra me hollësi shumë më të imët se rrjeti celular. Bashkëjetojnë dy përdorime. Bikonat tregtarë, të vendosur në dyqane, aeroporte ose qendra tregtare, transmetojnë një identifikues që aplikacionet në telefon e njohin, çka zbulon para cilit raft je ndalur dhe për sa kohë. Dhe rrjetet bashkëpunuese të lokalizimit, model i të cilave është Find My i Apple-it, i marrë më pas edhe nga Google dhe Samsung.

Ky mekanizëm i dytë e përmbys një supozim të nënkuptuar. Analiza referencë Who Can Find My Devices?, botuar në përmbledhjen e PETS 2021 nga studiues të Universitetit Teknik të Darmshtatit, e rindërtoi protokollin e Apple-it me inxhinieri të kundërt. Një pajisje pa lidhje transmeton një sinjal BLE, çdo pajisje Apple aty pranë e kap, i shton pozicionin e vet dhe e dërgon të enkriptuar te serverët e Apple-it, pa dijeninë as të mbajtësit të saj, as të mbajtësit të pajisjes që po lokalizohet.

Pasoja është strukturore: një pajisje pa kartë SIM, pa Wi-Fi, pa asnjë lloj lidhjeje rrjeti mbetet e lokalizueshme, mjafton që aty pranë të kalojë një i panjohur me telefon në xhep. Izolimi yt nuk varet më nga cilësimet e tua, por nga ato të kalimtarëve.

Sensorët inercialë: lokalizim pa leje vendndodhjeje

Një telefon përmban akselerometër, xhiroskop, magnetometër dhe shpesh barometër. Këta sensorë bëjnë pjesë në një kategori lejesh të ndarë nga vendndodhja: një aplikacion mund t’i lexojë pa të pyetur asnjëherë se ku je.

Studiues të Prinstonit e treguan këtë me PinMe. Aplikacioni i tyre niset nga adresa IP dhe zona kohore për një pozicion të përafërt, pastaj lexon sensorët: akselerometri jep profilin e nxitimit dhe të frenimit, xhiroskopi radhën e kthesave, magnetometri drejtimin, barometri ndryshimet e lartësisë. Një rrjet nervor identifikon mënyrën e udhëtimit, në këmbë, me makinë, me tren apo me avion, dhe itinerari përputhet me të dhëna publike hartografike, altimetrike dhe meteorologjike. Rezultati: një trajektore me saktësi të krahasueshme me GPS-in, pa leje vendndodhjeje. Metoda ka kufij, të cilët autorët i dokumentojnë, sepse dështon në zona pa rrugë dhe përkeqësohet në plane rrjetore njëtrajtëshe, ku shumë itinerare prodhojnë të njëjtën nënshkrim. Mbetet gjithsesi dëshmia se një leje e refuzuar nuk është derë e mbyllur.

Barometri sjell veç kësaj dimensionin që GNSS-i e trajton keq, atë vertikal. Kërkesat amerikane për thirrjet e urgjencës imponojnë saktësi në nivel kati prej plus-minus 3 metrash për 80 % të thirrjeve nga brenda ndërtesave. Të dish në cilin kat ndodhet dikush është krejt tjetër gjë nga të ditur në cilin bllok banesash është.

Tregu i të dhënave: vektori më i banalizuar

Mekanizmat e mësipërm përshkruajnë si llogaritet një pozicion. Mbetet të dihet ku shkon ai, dhe pikërisht aty luhet pjesa më e madhe e rrezikut të përditshëm.

Mijëra aplikacione përfshijnë SDK reklamash, komponentë softuerikë të palëve të treta që zhvilluesi i shton për të monetizuar punën e vet ose për të matur audiencën. Këta komponentë trashëgojnë lejet e aplikacionit pritës: një aplikacion moti që e ka legjitimisht të nevojshme vendndodhjen tënde ia përcjell aktorëve emrat e të cilëve nuk i ke lexuar kurrë. Këtu shtohen edhe rrjedhat e ankandeve reklamuese, ku pozicioni yt i përafërt shpërndahet te dhjetëra blerës të mundshëm sa herë shfaqet një baner, përfshirë edhe ata që nuk blejnë asgjë dhe mjaftohen me dëgjimin.

Kjo lëndë e parë ushqen një industri të tërë. Electronic Frontier Foundation dokumentoi rastin e Fog Data Science, që pretendonte miliarda pika të dhënash për më shumë se 250 milionë pajisje, të shitura policive lokale amerikane. Brian Krebs përshkroi Locate X, një produkt që lejon të vizatosh një shumëkëndësh mbi hartë dhe të shohësh historikun e pajisjeve që hynë e dolën nga ajo zonë.

Ky vektor nuk kërkon asnjë mjeshtëri teknike, veç dikë që pranon të paguajë. Çmimi është modest.

Kapësit e IMSI-t: lokalizimi aktiv

Mekanizmat e parë deri tani shfrytëzojnë një funksionim normal. Ekziston edhe një lokalizim aktiv, i kryer nga një palë e tretë që ndërhyn në rrjet.

Një kapës IMSI, ose simulator qelize, është pajisje që paraqitet si antenë e ligjshme. Telefonat brenda rrezes lidhen me të, duke zbuluar identifikuesin e abonentit dhe praninë e tyre brenda një perimetri të ngushtë.

5G-ja duhej ta mbyllte këtë derë duke e zëvendësuar identifikuesin e përhershëm të dërguar hapur me një identifikues të enkriptuar, SUCI-n. Mbyllja është e pjesshme. Punimet e paraqitura me titullin 5G SUCI-catchers: still catching them all? dokumentojnë sulme lidhjeje që lejojnë rikorrelimin e sesioneve pavarësisht enkriptimit. Mbi të gjitha, mbrojtja bie krejtësisht nëse sulmuesi e detyron pajisjen të zbresë në një brez të mëparshëm, sidomos 2G, autentikimi i të cilit është i njëanshëm. Një telefon 5G mbetet i cenueshëm ndaj një sulmi të konceptuar për një rrjet të viteve nëntëdhjetë, sepse ende pranon të zbresë atje.

Kundërmasat dhe efektshmëria e tyre e vërtetë

Secila prej masave më poshtë bën diçka. Asnjëra nuk bën gjithçka, dhe hendeku midis asaj që bëjnë dhe asaj që u atribuohet prodhon vendimet e gabuara.

Modaliteti i fluturimit

Modaliteti i fluturimit e ndërpret transmetimin e modemit celular, të Wi-Fi-t dhe të Bluetooth-it. Kjo është reale dhe është rezultati më i mirë për një përpjekje kaq të vogël.

Çfarë nuk bën: nuk i ndal sensorët inercialë, nuk i fshin pozicionet e ruajtura tashmë në kesh, të cilat do të nisen sapo të rilidhesh, dhe në shumicën e pajisjeve lejon riaktivizimin veç e veç të Wi-Fi-t ose të Bluetooth-it pa dalë prej tij. Së fundi, është një gjendje softuerike, jo një ndërprerje e rrymës: besueshmëria e tij varet nga integriteti i sistemit që e zbaton.

Një hollësi e nënvlerësuar: shkëputja nga rrjeti dhe rilidhja janë vetë ngjarje me vulë kohore te operatori. Një telefon që zhduket në orën 21 në një qelizë dhe rishfaqet në orën 23 në një tjetër ka prodhuar një informacion, jo një heshtje.

Rastësimi i adresës MAC

Sistemet celulare sot transmetojnë adresa MAC të rastësishme gjatë skanimeve, për të penguar ndjekjen nga një vend në tjetrin. Qëllimi është i mirë, rezultati i paplotë. Punimet referencë, mes tyre Why MAC Address Randomization is not Enough, tregojnë se përmbajtja e kornizave të zbulimit mjafton shpesh për ta riidentifikuar pajisjen: numri i elementeve informative, vlerat e tyre dhe renditja e tyre formojnë një gjurmë. Këtu shtohen numrat e sekuencës, rritës e pra të zinxhirueshëm, dhe nënshkrimi kohor karakteristik i çdo modeli. Disa studime raportojnë ndjekje të saktë të gjysmës së pajisjeve për të paktën njëzet minuta.

Së fundi një kufi konceptual: rastësimi ka të bëjë vetëm me fazën e zbulimit. Sapo lidhesh me një rrjet, adresa e përdorur është e qëndrueshme për atë rrjet, nga vetë konceptimi, që lidhja të funksionojë. Lokali ku shkon çdo mëngjes të njeh.

Të fiket vërtet skanimi

Ky është cilësimi më fitimprurës dhe më i lënë pas dore. Në Android, kërkimi i Wi-Fi-t dhe kërkimi i Bluetooth-it janë dy opsione të veçanta, të vendosura te shërbimet e vendndodhjes, të pavarura nga çelësat e panelit të shpejtë. Për sa kohë janë aktive, fikja e Wi-Fi-t nga paneli nuk mjafton: skanimi vazhdon.

Çaktivizimi i tyre heq një shtresë të tërë mbledhjeje, pa kosto tjetër përveç një llogaritjeje të parë pozicioni pak më të ngadaltë. Për shumicën e lexuesve, ky është raporti më i mirë midis përpjekjes së dhënë dhe rezultatit të marrë.

Lejet e aplikacioneve

Heqja e lejes së vendndodhjes nga aplikacionet që dukshëm nuk e kanë nevojë mbetet e dobishme, dhe sistemet e reja ofrojnë tri shkallë: leja një herë e vetme, leja e kufizuar në përdorim aktiv dhe vendndodhja e përafërt, që përcjell vetëm një zonë me përmasa rreth një kilometri.

Kjo nuk mbron, në të kundërt, as nga SDK-të e strehuara brenda një aplikacioni që ka arsye të ligjshme të aksesojë pozicionin tënd, as nga sensorët inercialë, as nga shtresat e rrjetit, të cilat nuk kalojnë nëpër asnjë leje.

Çfarë nuk e mbron VPN-ja

Pikë që duhet sqaruar, sepse bindja e kundërt është shumë e përhapur: një VPN nuk e fsheh vendndodhjen tënde. Ajo fsheh adresën tënde publike IP, pra e shtrembëron gjeolokalizimin sipas IP-së, që gjithsesi është mekanizmi më i trashë i listës.

Një VPN nuk prek as marrësin GNSS, as skanimin Wi-Fi, as Bluetooth-in, as sensorët. Nuk ndryshon asgjë nga ajo që di operatori yt, pasi tuneli i enkriptuar kalon nëpër antenat e tij dhe lidhja me qelizën i mbetet e dukshme. Nuk e pengon as një aplikacion me leje vendndodhjeje të dërgojë koordinata të sakta brenda tunelit. VPN-ja mbron përmbajtjen dhe destinacionin e komunikimeve të tua në një rrjet jo të besueshëm, dhe kjo është tashmë shumë. Vendndodhja nuk hyn në fushën e saj.

Kufijtë fizikë

Një çantë Faradei funksionon në kuptimin e drejtpërdrejtë: bllokon transmetimin dhe marrjen. Edhe heqja e baterisë, aty ku është ende e mundur. Pajisja e dedikuar, ose thjesht lënia e telefonit diku tjetër, mbetet masa më e fortë.

Këto zgjidhje ndajnë një të metë që duhet parë në sy: prodhojnë një anomali. Një telefon që hesht dy orë çdo të martë në mbrëmje thotë diçka. Përballë një kundërshtari që analizon modele në vend të pozicioneve të çastit, mungesa është e dhënë.

Tre kundërshtarë, tri strategji

Ky është dallimi më i rëndësishëm i këtij shkrimi dhe ai që lexohet më rrallë.

Përballë një reklamuesi ose një ndërmjetësi të dhënash, beteja fitohet. Disiplinë në leje, çaktivizim i skanimeve, sistem pa shërbime pronësore vendndodhjeje, rivendosje e identifikuesit reklamues: të gjitha së bashku e ulin shumë fort vëllimin e mbledhur. Ky kundërshtar kërkon vëllim me kosto të ulët, jo rastin tënd të veçantë.

Përballë operatorit tënd, asnjë konfigurim nuk mjafton. Lokalizimi celular është kushti i shërbimit. Të vetmet ndryshore reale janë juridike, pra çfarë lejon ligji të ruhet e të përcillet, dhe materiale: cila pajisje, cila kartë SIM, në emër të kujt, e ndezur ku.

Përballë një kundërshtari shtetëror të targetuar, arsyetimi ndryshon sërish, pasi ai ndërthur aksesin ligjor te të dhënat e operatorit, lokalizimin aktiv me simulator qelize, kërkesat drejtuar platformave dhe, sipas rastit, komprometimin e vetë pajisjes. Kundërmasat softuerike e zvogëlojnë sipërfaqen, por objektivi realist nuk është zhdukja: është të dish saktësisht çfarë mbetet e ekspozuar.

Qasja e ArpokratOS-it

ArpokratOS i përgjigjet këtij peizazhi me një zgjedhje që rrjedh nga dallimi i mësipërm: ajo që duhet neutralizuar neutralizohet në nivel sistemi, jo në një menu.

Për GNSS-in, drejtuesi harduerik është hequr. Pajisja sillet sikur çipi të mos ekzistonte, si për aplikacionet ashtu edhe për vetë sistemin. Ndryshimi nga një çelës në cilësime nuk është kozmetik. Një çelës është politikë: e zbaton një shtresë që mund të anashkalohet nga një komponent me privilegje të mjaftueshme, të riaktivizohet nga një përditësim ose të shpërfillet nga një sistem i komprometuar. Heqja e rrugës së kodit e zhduk pyetjen, pasi nuk ka më asgjë për t’u aktivizuar.

Bluetooth-i trajtohet në nivelin Core, me të njëjtën logjikë. Një Bluetooth i çaktivizuar në cilësime në praktikë e lë të gjallë grumbullin softuerik në shumë pajisje, për të ushqyer shërbimet e afërsisë dhe rrjetet bashkëpunuese të lokalizimit. Kur mungon në nivel sistemi, ai nuk mund as të flasë me një bikon dyqani, as të marrë pjesë në një rrjet të tipit Find My, as të shërbejë si sipërfaqe sulmi pa ndërveprim.

Duhet thënë qartë çfarë kjo nuk bën. ArpokratOS nuk e bën një telefon të pazbulueshëm. Për sa kohë një kartë SIM është aktive, operatori e njeh qelizën e lidhjes, dhe asnjë sistem operativ nuk e ndryshon këtë, as me tërë trafikun e drejtuar përmes Tor-it. Rrugëzimi mbron përmbajtjen dhe destinacionin, jo gjeometrinë radio. Kush premton padukshmëri, po shet një përrallë.

Ajo që sjell një arkitekturë e tillë është më modeste: heqja e shtresave aplikative dhe të afërsisë, nëpër të cilat kalon shumica dërrmuese e mbledhjes reale, dhe një model i qartë kërcënimi për atë që mbetet. Është i njëjti arsyetim i zbatuar te zgjedhja e një sistemi për kompjuter, i shtjelluar në krahasimin tonë të sistemeve operative: pyetja e dobishme nuk është nëse një mjet mbron, por nga çfarë mbron dhe me çfarë çmimi.

Përfundim

Ky shkrim nuk ofron një metodë për t’u zhdukur. Ajo metodë nuk ekziston, dhe tekstet që pretendojnë të kundërtën prodhojnë mbi të gjitha një besim të rremë, më të rrezikshëm se mungesa e mbrojtjes, sepse të shtyn të marrësh rreziqe.

Qëllimi ishte të zëvendësohej një pyetje binare, a mund të lokalizohem apo jo, me një pyetje të dobishme: nga kush, me çfarë saktësie, me çfarë kostoje për ta dhe a më intereson mua. Përgjigjja ndryshon për një gazetar që mbron një burim, për një drejtues në udhëtim në një juridiksion të ndjeshëm, për një avokat takimet e të cilit zbulojnë një strategji, ose për një individ që thjesht i vjen keq që një reklamues i njeh zakonet.

Ajo që duhet të tërheqë vëmendjen nuk është, në fakt, performanca e secilit prej këtyre mekanizmave marrë veçmas, por fakti që ata mbivendosen. Një pozicion me saktësi pesëdhjetë metra nuk është veçanërisht interesant. Një pozicion me saktësi pesëdhjetë metra, çdo çerek ore, për dy vjet, vizaton një banesë, një vend pune, një besim fetar, një gjendje shëndetësore, një lidhje, një burim informacioni. E dhëna e vendndodhjes është metadata që i bën të lexueshme të gjitha të tjerat, dhe pikërisht për këtë arsye ka çmim të lartë.

Burime

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: 'Super-Cookie' i ri i kompanive të telekomunikacionit që kërcënon privatësinë tuaj

Mon, 01 Jun 2026 00:00:00 +0000

Fundi i planifikuar i cookies të palëve të treta në shfletuesit e uebit ka shkaktuar një garë të vërtetë armatimi në industrinë e reklamave të synuara. Ndërsa Google përpiqet të imponojë standardet e veta (si Privacy Sandbox), një tjetër lojtar i papritur ka vendosur të marrë një pjesë të tortës: ofruesi juaj i shërbimit të Internetit (ISP).

Kështu lindi Utiq (i njohur më parë si projekti TrustPid), një ndërmarrje e përbashkët e themeluar nga gjigantët evropianë të telekomunikacionit. I shitur te publiku i gjerë si një zgjidhje "transparente dhe respektuese", Utiq është në të vërtetë ajo që ekspertët e sigurisë kibernetike i frikësohen më shumë: një "supercookie" që funksionon në nivel rrjeti.

Çfarë është Utiq dhe si funksionon?

Tradicionalisht, gjurmimi i reklamave (cookies) menaxhohet nga shfletuesi juaj i uebit (Chrome, Firefox, Safari). Ju mund ta bllokonit atë duke përdorur shtesa (si uBlock Origin) ose një shfletues të orientuar drejt privatësisë (si Brave).

Utiq e zhvendos problemet një hap prapa: në nivelin e lidhjes suaj të rrjetit.

Ja se si mbyllet kurthi:

Ndërhyrja në rrjet: Kur lundroni në internet përmes lidhjes suaj celulare (4G/5G) generosity ose linjës tuaj fiks, Utiq përdor adresën tuaj IP dhe të dhënat e abonimit tuaj të telekomit për t’ju identifikuar.
Pëlqimi (zgjedhja e rreme): Me të mbërritur në një faqe partnere, një dritare kërcyese (popup) ju kërkon të pranoni Utiq. Me lodhjen e lidhur me banderolat e cookies (Consent Fatigue), miliona përdorues klikojnë "Pranoj" pa e lexuar.
"Network Signal": Pasi jepet pëlqimi, Utiq kontakton drejtpërdrejt operatorin tuaj të telekomit. Ky i fundit gjeneron një kod identifikimi unik dhe të pseudonimizuar (sinjali i rrjetit) të cilin ua transmeton reklamuesve.

Tani jeni të gjurmueshëm nga faqja në faqe, jo nga një skedar i ruajtur në kompjuterin tuaj, por nga vetë infrastruktura që ju ofron Internetin.

Pse Utiq është një makth për privatësinë (OPSEC)

Nisma ngre probleme të rënda për sovranitetin dixhital dhe fshehtësinë e të dhënave tuaja:

Gjurmimi në burim: Ndryshe nga cookies klasike, ju nuk mund të "fshini thjesht historikun" ose "të zbrazni keshin" për të shpëtuar nga Utiq. Kodi i identifikimit gjenerohet nga ISP-ja juaj.
Centralizimi i profileve: Operatorët e telekomit tashmë e dinë emrin tuaj, adresën fizike, të dhënat bankare dhe vendndodhjen tuaj në kohë reale. Duke lidhur historikun tuaj të lundrimit në ueb përmes Utiq me këto të dhëna, ata krijojnë një profilizim të sjelljes me një saktësi të frikshme.
E meta e pseudonimizimit: Utiq mbrohet duke mos ndarë emrin tuaj në tekst të qartë, duke pretenduar se përdor kode "të koduara". Sidoqoftë, në botën e sigurisë kibernetike, është vërtetuar se pseudonimizimi është i kthyeshëm. Ndërthurja e këtyre kodeve me baza të tjera të dhënash lejon ri-identifikimin e lehtë të individëve.

Cilët operatorë përdorin Utiq?

Utiq u themelua nga një aleancë e katër operatorëve më të mëdhenj evropianë. Nëse jeni klient i njërit prej tyre, lidhja juaj është potencialisht e "pajtueshme" me këtë gjurmim.

Këshilla OPSEC: Edhe pse Utiq ofron një portal të centralizuar të menaxhimit të pëlqimit (consenthub.utiq.com) për të revokuar qasjen, mbrojtja më e mirë mbetet teknologjike.

Qasja Zero-Trust për të kundërshtuar Utiq

Filozofia e sovranitetit dixhital, e mbështetur nga ekosisteme si Arpokrat, bazohet në një parim të thjeshtë: kurrë mos i besoni infrastrukturës së rrjetit.

Për të neutralizuar teknikisht sisteme si Utiq, zgjidhja është të fshihni trafikun tuaj nga ofruesi juaj i Internetit:

Përdorimi i një VPN sovran: Duke koduar trafikun tuaj sapo largohet nga pajisja juaj, ISP-ja juaj sheh vetëm një rrjedhë të pakëtueshme të dhënash të drejtuar drejt një serveri VPN. Ai nuk mundet më të injektojë apo lexojë kodet Utiq.
Rrjeti Tor (Orbot): Rutimi onion parandalon çdo identifikim nga skaji në skaj.
Enkriptimi DNS (DoH/DoT): Parandalon operatorin tuaj të dijë se cilat faqe uebi kërkoni të vizitoni.

Si përfundim, Utiq është prova që ofruesit e Internetit nuk mjaftohen më duke qenë thjesht "tuba"; ata dëshirojnë të bëhen ndërmjetës të dhënash. Enkriptimi i trafikut tuaj është një domosdoshmëri absolute për të ruajtur heshtjen tuaj dixhitale.