Двојица истраживача са Универзитета Мериленд су 2024. године више пута упитала Apple-ов сервис за одређивање положаја преко Wi-Fi мреже, без икаквих посебних привилегија и без специјализоване опреме, и за годину дана реконструисала тачан положај више од две милијарде Wi-Fi приступних тачака у свету. Њихов рад Surveilling the Masses with Wi-Fi-Based Positioning Systems показује шта та мапа омогућава: праћење опреме која улази у Украјину и излази из ње, посматрање кретања становништва после пожара на Мауију, праћење појединца преко кућног рутера.
Ниједан од тих уређаја није имао укључен GPS. Положај је долазио одакле другде.
То је најраспрострањенија слепа мрља када је реч о приватности на мобилним уређајима: уверење да постоји прекидач за локацију и да, чим се искључи, телефон престаје да зна где се налази. То уверење је погрешно на седам различитих нивоа.
Локација није функција коју телефон укључује. То је својство онога што телефон јесте.
GPS, односно најмање проблематичан правац
Једини механизам који сви умеју да именују уједно је и онај који би требало најмање да вас брине.
GNSS, општи термин који обухвата амерички GPS, Галилео, ГЛОНАСС и Бејдоу, ради на принципу ослушкивања. Сателити непрекидно емитују сигнале са временским жигом, пријемник хвата неколико њих и из разлика у времену простирања израчунава свој положај. Уобичајена тачност на отвореном: три до пет метара, у граду често више десетина метара, јер фасаде рефлектују сигнале.
Пресудно је то што је овај прорачун пасиван. Телефон ништа не емитује ка сателитима и ниједан сателитски оператер не зна да постојите. Да је у игри само GNSS, било би довољно искључити GPS.
Постоји ипак једна нијанса. Да би убрзали прво одређивање положаја, телефони користе A-GPS: преузимају сателитске ефемериде са сервера, преко протокола SUPL . Да би добио праве податке, телефон том серверу шаље идентификатор мрежне ћелије на коју је прикачен. Чисти GNSS вас не одаје, али убрзивач који му је накалемљен – одаје.
Мобилна мрежа: оно што оператер зна по самој конструкцији
Да би вас позив уопште могао достићи, мрежа мора да зна у ком сте подручју. То није опција која се укључује, то је услов постојања услуге. Ваш телефон се непрекидно јавља најближој антени, а та регистрација оставља траг на страни оператера. Ниједна инсталирана апликација, ниједна додељена дозвола: довољна је активна SIM картица.
Тачност зависи од методе:
- Само идентификатор ћелије: од 200 метара у густом урбаном ткиву до преко 30 километара у сеоским подручјима, где једна антена покрива веома широк пречник.
- Обогаћени Cell ID, који додаје сектор антене (већина локација подељена је на три сектора од по 120 степени) и јачину сигнала: од 100 метара до неколико километара.
- Timing advance, који мери кашњење сигнала у оба смера између телефона и антене: реда 550 метара код GSM-а, око 78 метара код LTE-а.
- Мултилатерација преко три или више антена: 50 до 300 метара у урбаном LTE-у.
5G мења размеру из два кумулативна разлога. Прво густина: 5G ћелије покривају много краће пречнике, па је само прикачивање већ прецизна информација. Затим стандардизација: од верзије Release 16, 3GPP укључује изворне сигнале за позиционирање. Комерцијални циљеви су испод 3 метра у затвореном и испод 10 метара на отвореном за 80 % уређаја, а Release 18 за поједине индустријске примене силази до центиметра.
Инфраструктура која вас повезује тако постаје систем позиционирања квалитета упоредивог с GPS-ом, а да ви ништа нисте укључили. Ти подаци се чувају према националним правилима и доступни су властима по различитим поступцима. То је иста суштинска расправа као и она о надлежности која се примењује на хостоване податке : техничка и правна заштита се не поклапају.
Wi-Fi: мапа света сачињена од хардверских адреса
Свака Wi-Fi приступна тачка непрекидно емитује јединствени хардверски идентификатор, BSSID. Ти идентификатори су непроменљиви и географски стабилни: кућни рутер годинама остаје на истом месту.
Apple, Google и неколико специјализованих актера одржавају базе које сваки BSSID повезују с координатама, а гради их управо телефон њихових корисника, који шаљу списак видљивих тачака заједно с GNSS положајем. Затим се операција обрће: телефон који види четири познате тачке више не треба ниједан сателит. У густом урбаном ткиву тачност редовно достиже неколико десетина метара, а у затвореном простору силази и испод тога.
Два својства чине овај механизам тешким за неутралисање. Прво, телефон скенира и када Wi-Fi изгледа искључено: од Android-а 4.3 систем задржава повремено скенирање намењено побољшању локације, независно од прекидача на брзој табли. Тo понашање зависи од засебног подешавања, закопаног у услугама локације, које готово ниједан корисник никада није отворио.
Друго, база се може испитивати споља. То је управо рупа коју су искористили Рај и Левин: интерфејси за позиционирање враћају не само тражени положај већ и положаје суседних тачака, што омогућава да се мапа пожање а да се тим местима никада физички не приђе.
Bluetooth и BLE: локализовани туђим телефонима
Bluetooth Low Energy додаје слој близине, домета од неколико метара до неколико десетина метара, дакле знатно финије зрнастости од мобилне мреже. Постоје две упоредне употребе. Комерцијални бикони, постављени у продавницама, на аеродромима или у тржним центрима, емитују идентификатор који апликације на телефону препознају, чиме се открива испред које сте полице стали и колико дуго. И сарадничке мреже за проналажење, чији је узор Apple-ов Find My, који су од тада преузели Google и Samsung.
Тај други механизам преокреће прећутну претпоставку. Референтна анализа Who Can Find My Devices? , објављена у зборнику PETS 2021 од стране истраживача Техничког универзитета у Дармштату, реконструисала је Apple-ов протокол обрнутим инжењерингом. Уређај без везе емитује BLE сигнал, било који Apple уређај у близини га ухвати, дода му сопствени положај и шифрован га пошаље Apple-овим серверима, без знања и свог власника и власника уређаја који се проналази.
Последица је структурна: уређај без SIM картице, без Wi-Fi-ја, без икакве мрежне везе остаје проналазив, само ако у близини прође непознат човек с телефоном у џепу. Ваша изолованост више не зависи од ваших подешавања, већ од подешавања пролазника.
Инерцијални сензори: локализовање без дозволе за локацију
Телефон садржи акцелерометар, жироскоп, магнетометар и често барометар. Ти сензори спадају у категорију дозвола одвојену од локације: апликација може да их чита а да вас никада није питала где сте.
Истраживачи с Принстона су то показали помоћу PinMe . Њихова апликација полази од IP адресе и временске зоне ради грубог положаја, а затим чита сензоре: акцелерометар даје профил убрзавања и кочења, жироскоп след кривина, магнетометар правац кретања, барометар промене надморске висине. Неуронска мрежа препознаје начин превоза – пешке, аутомобилом, возом или авионом – а рута се потом поклапа с јавним картографским, висинским и метеоролошким подацима. Резултат: путања тачности упоредиве с GPS-ом, без дозволе за локацију. Метода има границе које аутори документују, јер отказује у пределима без путева и слаби на једноличним правоугаоним растерима, где многе руте дају исти потпис. Ипак остаје доказ да одбијена дозвола није затворена врата.
Барометар уз то доноси димензију с којом GNSS слабо излази на крај – вертикалу. Амерички захтеви за хитне позиве налажу тачност на нивоу спрата од плус-минус 3 метра за 80 % позива из затвореног простора. Знати на ком је спрату неко сасвим је друге природе од тога знати у ком је блоку зграда.
Тржиште података: најбаналнији правац
Претходни механизми описују како се положај израчунава. Остаје да се сазна куда он одлази, а управо се ту одиграва највећи део свакодневног ризика.
Хиљаде апликација уграђују рекламне SDK-ове, софтверске компоненте трећих страна које програмер додаје да би уновчио свој рад или измерио публику. Те компоненте наслеђују дозволе апликације-домаћина: временска прогноза која вам с правом треба локацију прослеђује је актерима чије име никада нисте прочитали. Ту су и токови рекламних аукција, где се ваш приближан положај при сваком приказу банера разашаље десетинама потенцијалних купаца, укључујући и оне који ништа не купују и само слушају.
Та сировина храни читаву индустрију. Electronic Frontier Foundation је документовала случај Fog Data Science , фирме која је тврдила да поседује милијарде тачака података о више од 250 милиона уређаја и продавала их америчким локалним полицијама. Брајан Кребс је описао Locate X , производ који омогућава да се на мапи повуче полигон и види историја уређаја који су у ту зону ушли и из ње изашли.
Овај правац не тражи никакав технички подвиг, само да неко пристане да плати. Цена је скромна.
IMSI хватачи: активно локализовање
Досад описани механизми користе нормалан рад система. Постоји и активно локализовање, које спроводи трећа страна умешана у мрежу.
IMSI хватач, или симулатор ћелије, јесте опрема која се представља као легитимна антена. Телефони у домету се на њу прикаче и тиме откривају свој претплатнички идентификатор и присуство у уском обручу.
5G је требало да затвори та врата тако што ће стални идентификатор у отвореном облику заменити шифрованим, SUCI. Затварање је делимично. Радови представљени под насловом 5G SUCI-catchers: still catching them all? документују нападе повезивања који омогућавају да се сесије поново корелирају упркос шифровању. Пре свега, заштита потпуно пада ако нападач присили уређај да се спусти на ранију генерацију, посебно на 2G, чија је аутентификација једносмерна. Телефон с 5G-ом остаје рањив на напад осмишљен за мрежу из деведесетих година, зато што и даље пристаје да сиђе на њу.
Противмере и њихова стварна делотворност
Свака од доле наведених мера нешто чини. Ниједна не чини све, а јаз између онога што чине и онога што им се приписује рађа лоше одлуке.
Режим рада у авиону
Режим рада у авиону прекида емитовање мобилног модема, Wi-Fi-ја и Bluetooth-а. То је стварно и то је најбољи резултат за тако мали труд.
Оно што не чини: не зауставља инерцијалне сензоре, не брише већ кеширане положаје који ће отићи при поновном повезивању, а на већини уређаја дозвољава да се Wi-Fi или Bluetooth поново укључе засебно, без изласка из њега. Најзад, то је софтверско стање, а не прекид напајања: његова поузданост зависи од целовитости система који га спроводи.
Потцењен детаљ: одјава с мреже и поновна пријава сами су по себи догађаји с временским жигом на страни оператера. Телефон који у 21 час нестане у једној ћелији а у 23 се појави у другој произвео је информацију, а не тишину.
Насумичност MAC адресе
Мобилни системи данас при скенирању емитују насумичне MAC адресе, како би спречили праћење с места на место. Намера је добра, резултат непотпун. Референтни радови, међу њима Why MAC Address Randomization is not Enough , показују да садржај оквира за откривање често довољан за поновно препознавање уређаја: број информационих елемената, њихове вредности и њихов редослед чине отисак. Ту су и секвенцијални бројеви, растући и стога уланчиви, и временски потпис својствен сваком моделу. Поједине студије извештавају о исправном праћењу половине уређаја током најмање двадесет минута.
Најзад, појмовно ограничење: насумичност се тиче само фазе откривања. Чим се повежете с мрежом, коришћена адреса је за ту мрежу стабилна, по самом дизајну, да би веза функционисала. Кафић у који свако јутро свраћате вас препознаје.
Стварно искључити скенирања
То је најисплативије и најзанемареније подешавање. На Android-у су претрага Wi-Fi-ја и претрага Bluetooth-а две одвојене опције, смештене у услугама локације, независне од прекидача на брзој табли. Док су оне активне, искључивање Wi-Fi-ја с табле није довољно: скенирање се наставља.
Њихово гашење уклања читав слој прикупљања, без другог трошка осим нешто спорије прве обраде положаја. За већину читалаца то је најбољи однос уложеног труда и добијеног резултата.
Дозволе апликација
Одузимање дозволе за локацију апликацијама којима она очигледно не треба и даље је корисно, а новији системи нуде три степена: једнократно одобрење, одобрење ограничено на активну употребу и приближну локацију, која преноси само подручје реда величине километра.
То, међутим, не штити ни од SDK-ова смештених у апликацији која има оправдан разлог да приступи вашој локацији, ни од инерцијалних сензора, ни од мрежних слојева, који не пролазе ни кроз какву дозволу.
Од чега VPN не штити
Тачка коју треба разјаснити, јер је супротно уверење веома распрострањено: VPN не скрива вашу локацију. Он скрива вашу јавну IP адресу, па изврће геолокацију по IP-у, која је ионако најгрубљи механизам на списку.
VPN не дира ни GNSS пријемник, ни Wi-Fi скенирање, ни Bluetooth, ни сензоре. Ништа не мења у ономе што зна ваш оператер, будући да шифровани тунел пролази кроз његове антене, а прикаченост на ћелију му остаје видљива. Не спречава ни апликацију с дозволом за локацију да унутар тунела пошаље тачне координате. VPN штити садржај и одредиште ваше комуникације на непоузданој мрежи, а то је већ много. Локација није у његовом делокругу.
Физичке границе
Фарадејева торбица ради у дословном смислу: блокира емитовање и пријем. Вађење батерије такође, тамо где је још могуће. Наменски уређај, или једноставно оставити телефон негде другде, остаје најотпорнија мера.
Ова решења деле ману у коју треба погледати право: производе аномалију. Телефон који сваког уторка увече ћути два сата нешто говори. Против противника који анализира обрасце уместо тренутних положаја, одсуство је податак.
Три противника, три стратегије
То је најважније разликовање у овом тексту и оно које се најређе чита.
Против оглашивача или трговца подацима борба се може добити. Дисциплина у дозволама, гашење скенирања, систем без власничких услуга локације, ресетовање рекламног идентификатора: све заједно веома снажно смањује прикупљену количину. Тај противник тражи јефтину количину, а не баш ваш случај.
Против вашег оператера ниједна конфигурација није довољна. Мобилна локација је услов услуге. Једине стварне променљиве су правне, дакле шта закон дозвољава да се чува и предаје, и материјалне: који уређај, која SIM картица, на чије име, укључен где.
Против циљаног државног противника резоновање се поново мења, јер он комбинује законити приступ подацима оператера, активно локализовање симулатором ћелије, захтеве упућене платформама и, по потреби, компромитовање самог уређаја. Софтверске противмере смањују површину, али реалан циљ није нестанак: реалан циљ је тачно знати шта остаје изложено.
Приступ ArpokratOS-а
ArpokratOS на овај пејзаж одговара избором који произлази из горњег разликовања: оно што треба неутралисати неутралише се на нивоу система, а не у менију.
Код GNSS-а хардверски управљачки програм је уклоњен. Уређај се понаша као да чип не постоји, и према апликацијама и према самом систему. Разлика у односу на прекидач у подешавањима није козметичка. Прекидач је политика: спроводи га слој који довољно привилегована компонента може заобићи, ажурирање поново укључити, а компромитован систем занемарити. Уклањање путање кода уклања питање, јер више нема шта да се укључи.
Bluetooth се по истој логици решава на нивоу Core-а. Bluetooth искључен у подешавањима на многим уређајима у пракси оставља софтверски стек живим, како би напајао услуге близине и сарадничке мреже за проналажење. Одсутан на нивоу система, он не може ни да разговара с продавничким биконом, ни да учествује у мрежи типа Find My, ни да послужи као површина напада без интеракције.
Треба јасно рећи шта то не чини. ArpokratOS не чини телефон неоткривљивим. Док је SIM картица активна, оператер зна ћелију на коју сте прикачени, и то не мења ниједан оперативни систем, чак ни уз сав саобраћај усмерен кроз Tor. Рутирање штити садржај и одредиште, а не радио-геометрију. Ко обећава невидљивост, продаје причу.
Оно што таква архитектура доноси скромније је: уклањање апликативног слоја и слоја близине, кроз које пролази огромна већина стварног прикупљања, и изричит модел претњи за оно што преостаје. То је исто резоновање примењено на избор система за рачунар, разрађено у нашем поређењу оперативних система : корисно питање није да ли неки алат штити, већ од чега штити и по коју цену.
Закључак
Овај текст не нуди метод да се нестане. Тај метод не постоји, а текстови који тврде супротно производе пре свега лажно поверење, опасније од одсуства заштите јер наводи на ризик.
Циљ је био да се бинарно питање – могу ли ме лоцирати или не – замени корисним питањем: ко, с којом тачношћу, по коју цену за њега, и да ли ми је то важно. Одговор се разликује за новинара који штити извор, за руководиоца на путу у осетљивој јурисдикцији, за адвоката чији састанци откривају стратегију и за приватно лице кога нервира што оглашивач познаје његове навике.
Пажњу уосталом не заслужује учинак сваког од ових механизама понаособ, већ то што се они преклапају. Положај с тачношћу од педесет метара није нарочито занимљив. Али положај с тачношћу од педесет метара, сваких четврт сата, две године заредом, исцртава станиште, радно место, вероисповест, здравствено стање, везу, извор информација. Податак о локацији јесте метаподатак који све остале чини читљивим, и управо зато толико вреди.
Извори
- Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
- Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
- Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
- Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
- Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
- 5G NR Positioning Enhancements in 3GPP Release-18
- Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
- Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
- Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense