Метадані on Arpokrat

Постійна геолокація: як телефон стежить за вами навіть тоді, коли ви впевнені, що це заблокували

Sun, 02 Aug 2026 00:00:00 +0000

У 2024 році двоє дослідників з Мерілендського університету багаторазово зверталися до сервісу позиціонування Apple за Wi-Fi, без жодних особливих привілеїв і без спеціалізованого обладнання, і за рік відтворили точне розташування понад двох мільярдів точок доступу Wi-Fi у світі. Їхня стаття Surveilling the Masses with Wi-Fi-Based Positioning Systems показує, що дозволяє така мапа: відстежувати техніку, яка в’їжджає в Україну і виїжджає з неї, спостерігати за переміщенням населення після пожеж на Мауї, стежити за конкретною людиною через її домашній роутер.

У жодному з цих пристроїв GPS не був увімкнений. Позиція надходила звідкись інде.

Це найпоширеніша сліпа зона у питаннях мобільної приватності: переконання, що існує перемикач геолокації і що, вимкнувши його, телефон перестає знати, де він. Це переконання хибне на семи різних рівнях.

Геолокація не є функцією, яку телефон вмикає. Це властивість того, чим він є.

GPS, тобто найменш проблемний вектор

Єдиний механізм, який усі можуть назвати, є водночас тим, що має турбувати вас найменше.

GNSS, узагальнений термін, що охоплює американський GPS, Galileo, ГЛОНАСС і BeiDou, працює через прослуховування. Супутники безперервно випромінюють сигнали з часовими мітками, приймач вловлює кілька з них і обчислює своє положення за різницею часу поширення. Звичайна точність на відкритій місцевості: три-п’ять метрів, у місті часто кілька десятків метрів, бо фасади відбивають сигнали.

Вирішальним є те, що це обчислення пасивне. Телефон нічого не випромінює в бік супутників, жоден супутниковий оператор не знає, що ви існуєте. Якби в грі був лише GNSS, вимкнення GPS було б достатньо.

Проте є нюанс. Щоб пришвидшити перше обчислення, телефони використовують A-GPS: вони завантажують супутникові ефемериди з сервера через протокол SUPL . Аби отримати правильні дані, телефон передає цьому серверу ідентифікатор комірки мережі, до якої він під’єднаний. Чистий GNSS вас не видає, а от прищеплений до нього прискорювач видає.

Мобільна мережа: те, що оператор знає за побудовою

Щоб дзвінок міг до вас дійти, мережа має знати, в якій зоні ви перебуваєте. Це не опція, яку вмикають, це умова існування послуги. Ваш телефон постійно повідомляє про себе найближчій вежі, і ця реєстрація лишає слід на боці оператора. Жодного встановленого застосунку, жодного наданого дозволу: достатньо активної SIM-картки.

Точність залежить від методу:

Лише ідентифікатор комірки: від 200 метрів у щільній міській забудові до понад 30 кілометрів у сільській місцевості, де одна вежа покриває дуже великий радіус.
Збагачений Cell ID, що додає сектор антени (більшість майданчиків поділені на три сектори по 120 градусів) і потужність сигналу: від 100 метрів до кількох кілометрів.
Timing advance, що вимірює затримку сигналу туди й назад між телефоном і вежею: близько 550 метрів у GSM, приблизно 78 метрів у LTE.
Мультилатерація за трьома чи більше вежами: від 50 до 300 метрів у міському LTE.

5G змінює масштаб з двох сукупних причин. Спершу щільність: комірки 5G покривають значно менші радіуси, тож саме лише під’єднання вже є точною інформацією. Далі стандартизація: починаючи з Release 16, 3GPP містить власні сигнали позиціонування. Комерційні цілі — менш ніж 3 метри в приміщенні і менш ніж 10 метрів надворі для 80 % пристроїв, а Release 18 для деяких промислових застосувань опускається до сантиметрів.

Отже, інфраструктура, яка вас з’єднує, стає системою позиціонування, зіставною за якістю з GPS, без жодної дії з вашого боку. Ці дані зберігаються за національними правилами і доступні органам влади за різними процедурами. Це та сама принципова дискусія, що й у випадку юрисдикції, застосовної до розміщених даних : технічний захист і правовий захист не збігаються.

Wi-Fi: мапа світу, складена з апаратних адрес

Кожна точка доступу Wi-Fi постійно транслює унікальний апаратний ідентифікатор, BSSID. Ці ідентифікатори незмінні й географічно стабільні: домашній роутер роками стоїть на одному місці.

Apple, Google і кілька спеціалізованих гравців ведуть бази, що пов’язують кожен BSSID із координатами. Їх наповнюють телефони їхніх власних користувачів, які надсилають перелік видимих точок разом із позицією за GNSS. Далі операція обертається: телефон, що бачить чотири відомі точки, більше не потребує жодного супутника. У щільній міській забудові точність зазвичай сягає кількох десятків метрів, а в приміщеннях опускається ще нижче.

Дві властивості роблять цей механізм важким для нейтралізації. По-перше, телефон сканує навіть тоді, коли Wi-Fi виглядає вимкненим: починаючи з Android 4.3, система підтримує періодичне сканування, покликане покращити геолокацію, незалежно від перемикача у швидкій панелі. Ця поведінка залежить від окремого налаштування, схованого в службах геолокації, яке практично жоден користувач ніколи не відкривав.

По-друге, базу можна опитувати ззовні. Саме цю прогалину використали Рай і Левін: інтерфейси позиціонування повертають не лише запитану позицію, а й позиції сусідніх точок доступу, що дає змогу збирати мапу, жодного разу фізично не наближаючись до цих місць.

Bluetooth і BLE: вас знаходять телефони інших людей

Bluetooth Low Energy додає шар близькості з дальністю від кількох до кількох десятків метрів, тобто з набагато тоншою деталізацією, ніж мобільна мережа. Співіснують два застосування. Комерційні маячки, розміщені в магазинах, аеропортах чи торгових центрах, випромінюють ідентифікатор, який розпізнають застосунки в телефоні, і це показує, перед якою полицею ви зупинилися і на скільки часу. І спільні мережі геолокації, взірцем яких є Find My від Apple, згодом перейнятий Google і Samsung.

Другий механізм перевертає неявне припущення. Еталонний аналіз Who Can Find My Devices? , опублікований у матеріалах PETS 2021 дослідниками Дармштадтського технічного університету, відтворив протокол Apple зворотною розробкою. Пристрій без з’єднання випромінює сигнал BLE, будь-який пристрій Apple поблизу його вловлює, додає власну позицію і передає її зашифрованою на сервери Apple, без відома як свого власника, так і власника знайденого пристрою.

Наслідок структурний: пристрій без SIM-картки, без Wi-Fi, без жодного мережевого з’єднання лишається таким, що його можна знайти, аби лише поруч пройшов незнайомець із телефоном у кишені. Ваша ізоляція більше не залежить від ваших налаштувань, а від налаштувань перехожих.

Інерційні датчики: локалізація без дозволу на геолокацію

Телефон містить акселерометр, гіроскоп, магнітометр і часто барометр. Ці датчики належать до категорії дозволів, відмінної від геолокації: застосунок може їх читати, жодного разу не спитавши, де ви.

Дослідники з Прінстона довели це за допомогою PinMe . Їхній застосунок відштовхується від IP-адреси і часового поясу задля грубої позиції, а потім читає датчики: акселерометр дає профіль прискорення і гальмування, гіроскоп — послідовність поворотів, магнітометр — курс, барометр — зміни висоти. Нейронна мережа визначає спосіб пересування — пішки, автомобілем, потягом чи літаком, — і маршрут накладається на відкриті картографічні, висотні та метеорологічні дані. Результат: траєкторія з точністю, зіставною з GPS, без дозволу на геолокацію. Метод має межі, які автори документують, адже він не працює в зонах без доріг і погіршується на однорідних прямокутних планах, де багато маршрутів дають однаковий підпис. Він лишається доказом того, що відхилений дозвіл — це не зачинені двері.

Барометр до того ж дає вимір, з яким GNSS дає раду погано, — вертикаль. Американські вимоги до екстрених викликів встановлюють точність до поверху плюс-мінус 3 метри для 80 % викликів із приміщень. Знати, на якому поверсі хтось перебуває, — це зовсім інше, ніж знати, у якому кварталі.

Ринок даних: найбанальніший вектор

Попередні механізми описують, як обчислюється позиція. Лишається дізнатися, куди вона йде, і саме тут розігрується основна частина щоденного ризику.

Тисячі застосунків містять рекламні SDK, програмні блоки від третіх сторін, які розробник додає, щоб монетизувати свою працю або виміряти аудиторію. Ці блоки успадковують дозволи застосунку-господаря: застосунок погоди, якому ваша позиція потрібна цілком законно, передає її гравцям, чиїх назв ви ніколи не читали. До цього додаються потоки рекламних аукціонів, де ваша приблизна позиція розсилається десяткам потенційних покупців при кожному показі банера, зокрема й тим, хто нічого не купує і задовольняється прослуховуванням.

Ця сировина живить цілу індустрію. Electronic Frontier Foundation задокументувала випадок Fog Data Science , яка заявляла про мільярди точок даних щодо понад 250 мільйонів пристроїв, проданих місцевій поліції у США. Браян Кребс описав Locate X , продукт, що дозволяє окреслити багатокутник на мапі й переглянути історію пристроїв, які входили в цю зону та виходили з неї.

Цей вектор не потребує жодного технічного подвигу, лише щоб хтось погодився заплатити. Ціна помірна.

IMSI-кетчери: активна локалізація

Розглянуті досі механізми використовують нормальну роботу системи. Існує також активна локалізація, яку веде третя сторона, що втручається в мережу.

IMSI-кетчер, або симулятор базової станції, — це обладнання, яке видає себе за легітимну вежу. Телефони в зоні дії під’єднуються до нього, розкриваючи свій ідентифікатор абонента і свою присутність у вузько окресленому периметрі.

5G мав зачинити ці двері, замінивши постійний ідентифікатор у відкритому вигляді на зашифрований — SUCI. Зачинення часткове. Роботи, представлені під назвою 5G SUCI-catchers: still catching them all? , документують атаки зв’язування, що дозволяють повторно корелювати сесії попри шифрування. Але головне: захист падає повністю, якщо зловмисник змушує пристрій перейти на попереднє покоління, зокрема 2G, автентифікація якого одностороння. Телефон із 5G лишається вразливим до атаки, задуманої для мережі 1990-х років, бо він досі погоджується туди спуститися.

Контрзаходи та їхня реальна дієвість

Кожен із наведених нижче заходів щось дає. Жоден не дає всього, і розрив між тим, що вони роблять, і тим, що їм приписують, породжує хибні рішення.

Режим польоту

Режим польоту вимикає передавання стільникового модема, Wi-Fi і Bluetooth. Це справжній ефект, і це найкращий результат за таких малих зусиль.

Чого він не робить: не зупиняє інерційні датчики, не видаляє вже закешовані позиції, які підуть при повторному з’єднанні, і на більшості пристроїв дозволяє окремо ввімкнути Wi-Fi або Bluetooth, не виходячи з нього. Він, зрештою, є програмним станом, а не відключенням живлення: його надійність залежить від цілісності системи, яка його застосовує.

Недооцінена деталь: від’єднання від мережі та подальше повернення самі по собі є подіями з часовою міткою на боці оператора. Телефон, що зникає о 21-й в одній комірці й з’являється о 23-й в іншій, породив інформацію, а не тишу.

Рандомізація MAC-адреси

Мобільні системи сьогодні під час сканування випромінюють випадкові MAC-адреси, щоб унеможливити відстеження з місця на місце. Намір добрий, результат неповний. Еталонні роботи, серед них Why MAC Address Randomization is not Enough , показують, що вмісту кадрів виявлення часто достатньо для повторної ідентифікації пристрою: кількість інформаційних елементів, їхні значення та порядок утворюють відбиток. До цього додаються послідовні номери, інкрементні й тому придатні для зчеплення, та часовий підпис, властивий кожній моделі. Деякі дослідження повідомляють про коректне відстеження половини пристроїв упродовж щонайменше двадцяти хвилин.

Нарешті, концептуальна межа: рандомізація стосується лише фази виявлення. Щойно ви під’єднуєтеся до мережі, використовувана адреса для цієї мережі стала за задумом, аби з’єднання працювало. Кав’ярня, куди ви ходите щоранку, вас упізнає.

Справді вимкнути сканування

Це найвигідніше і водночас найбільш ігнороване налаштування. В Android пошук Wi-Fi і пошук Bluetooth — це дві окремі опції, розташовані у службах геолокації, незалежні від перемикачів швидкої панелі. Доки вони активні, вимкнути Wi-Fi із панелі недостатньо: сканування триває.

Їх вимкнення прибирає цілий шар збирання даних, а єдиною платою є трохи повільніше перше визначення позиції. Для більшості читачів це найкраще співвідношення докладених зусиль і здобутого результату.

Дозволи застосунків

Відкликати дозвіл на геолокацію в застосунків, яким він вочевидь не потрібен, лишається корисним, а сучасні системи пропонують три градації: разовий дозвіл, дозвіл, обмежений активним використанням, і приблизне місцеперебування, що передає лише зону порядку кілометра.

Проте це не захищає ні від SDK всередині застосунку, що має законну підставу для доступу до вашої позиції, ні від інерційних датчиків, ні від мережевих рівнів, які не проходять через жоден дозвіл.

Від чого VPN не захищає

Момент, який слід прояснити, бо протилежне переконання дуже поширене: VPN не приховує вашого місцеперебування. Він приховує вашу публічну IP-адресу, тож спотворює геолокацію за IP, яка в будь-якому разі є найгрубішим механізмом у переліку.

VPN не торкається ні приймача GNSS, ні сканування Wi-Fi, ні Bluetooth, ні датчиків. Він нічого не змінює в тому, що знає ваш оператор, оскільки шифрований тунель проходить через його вежі, а під’єднання до комірки лишається йому видимим. Він не заважає застосунку з дозволом на геолокацію передати точні координати всередині тунелю. VPN захищає зміст і призначення ваших комунікацій у ненадійній мережі, і це вже чимало. Геолокація не входить до його периметра.

Фізичні межі

Чохол Фарадея працює буквально: він блокує передавання і приймання. Виймання акумулятора теж, там де це ще можливо. Окремий пристрій або просто залишений деінде телефон лишається найнадійнішим заходом.

Ці рішення мають спільну ваду, якій треба подивитися в очі: вони створюють аномалію. Телефон, що мовчить дві години щовівторка ввечері, щось повідомляє. Проти супротивника, який аналізує шаблони, а не миттєві позиції, відсутність сама є даними.

Три супротивники, три стратегії

Це найважливіше розрізнення цієї статті і водночас те, яке читають найрідше.

Проти рекламодавця чи брокера даних битву можна виграти. Дисципліна дозволів, вимкнення сканувань, система без пропрієтарних служб геолокації, скидання рекламного ідентифікатора: разом це дуже сильно скорочує зібраний обсяг. Цей супротивник шукає дешевий обсяг, а не саме ваш випадок.

Проти вашого оператора жодна конфігурація не допоможе. Стільникова геолокація є умовою послуги. Єдині справжні змінні — правові, тобто те, що закон дозволяє зберігати і передавати, і матеріальні: який пристрій, яка SIM-картка, на чиє ім’я, увімкнена де.

Проти цілеспрямованого державного супротивника міркування знову змінюється, адже він поєднує законний доступ до даних оператора, активну локалізацію симулятором базової станції, вимоги до платформ і, за потреби, компрометацію самого пристрою. Програмні контрзаходи зменшують поверхню, але реалістичною метою є не зникнення: нею є точне знання того, що лишається відкритим.

Підхід ArpokratOS

ArpokratOS відповідає на цей ландшафт вибором, що випливає з наведеного розрізнення: те, що має бути нейтралізоване, нейтралізують на рівні системи, а не в меню.

Щодо GNSS апаратний драйвер видалено. Пристрій поводиться так, ніби чипа не існує, — і для застосунків, і для самої системи. Відмінність від перемикача в налаштуваннях не косметична. Перемикач — це політика: її застосовує шар, який може обійти достатньо привілейований компонент, знову ввімкнути оновлення чи проігнорувати скомпрометована система. Видалення шляху коду знімає питання, бо вмикати вже нічого.

Bluetooth опрацьовано на рівні Core, за тією самою логікою. Bluetooth, вимкнений у налаштуваннях, на багатьох пристроях насправді лишає програмний стек живим, щоб живити служби близькості та спільні мережі геолокації. Відсутній на рівні системи, він не може ні спілкуватися з магазинним маячком, ні брати участь у мережі типу Find My, ні бути поверхнею атаки без взаємодії.

Треба чітко сказати, чого це не робить. ArpokratOS не робить телефон невиявним. Доки SIM-картка активна, оператор знає комірку під’єднання, і жодна операційна система цього не змінить, навіть якщо весь трафік іде через Tor. Маршрутизація захищає зміст і призначення, а не радіогеометрію. Той, хто обіцяє невидимість, продає казку.

Те, що дає така архітектура, скромніше: усунення прикладного шару та шару близькості, через які проходить переважна більшість реального збирання, і явна модель загроз для того, що лишається. Це те саме міркування, застосоване до вибору настільної системи, докладно викладене в нашому порівнянні операційних систем : корисне питання не в тому, чи інструмент захищає, а в тому, від чого він захищає і якою ціною.

Висновок

Ця стаття не дає методу зникнути. Такого методу не існує, а тексти, що стверджують протилежне, породжують передусім хибну впевненість, небезпечнішу за відсутність захисту, бо вона штовхає на ризик.

Мета полягала в тому, щоб замінити бінарне питання «чи можна мене знайти» на питання корисне: ким, з якою точністю, якою ціною для них і чи мене це обходить. Відповідь різна для журналіста, що захищає джерело, для керівника у відрядженні в чутливій юрисдикції, для адвоката, чиї зустрічі видають стратегію, і для приватної особи, якій прикро, що рекламодавець знає її звички.

Утім, увагу має привертати не ефективність кожного з цих механізмів окремо, а те, що вони накладаються один на одний. Позиція з точністю до п’ятдесяти метрів не надто цікава. Позиція з точністю до п’ятдесяти метрів, щочверть години, протягом двох років, окреслює житло, місце роботи, віросповідання, стан здоров’я, роман, джерело інформації. Дані про місцеперебування — це ті метадані, які роблять читабельними всі інші, і саме тому вони дорого коштують.

Джерела

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

Ілюзія суверенітету: справа Olvid та пастка CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

Це оголошення пролунало як справжній «крик незалежності» в коридорах Парижа: прем’єр-міністр наказав уряду відмовитися від WhatsApp та Signal на користь Olvid, месенджера, представленого як «вітчизняний». Мета була зрозумілою: захистити державні таємниці від іноземних спецслужб.

Проте швидко виявилася гірка іронія: серце Olvid — його серверна інфраструктура — б’ється всередині Amazon Web Services (AWS), американського гіганта.

Для широкого загалу це здається простою технічною проблемою хостингу. Але для архітекторів суверенної кібербезпеки це політична вразливість першого порядку.

Екстериторіальність і конфлікт суверенітетів

Покладаючись на інфраструктуру Amazon, Olvid автоматично потрапляє на орбіту американського закону CLOUD Act .

Юридичний аналіз цієї справи виявляє сценарій юрисдикційної незахищеності, який просте впровадження національного «додатку» не вирішує. Переломний момент криється в концепції «контролю» проти «локалізації».

CLOUD Act кардинально змінив правову парадигму, постановивши, що фізичне розташування сервера не має значення. Обов’язок постачальника послуг (тут AWS) співпрацювати випливає виключно з його юрисдикційного зв’язку зі США.

Юридично це створює прямий конфлікт з GDPR. Суд ЄС вже встановив, що закони США про стеження не забезпечують рівень захисту, еквівалентний європейському.

Цифровий суверенітет — це не атрибут програмного забезпечення, а властивість цілісності ланцюга зберігання даних.

Привид FISA та хибна обіцянка шифрування

Гірше того, ця залежність від американської інфраструктури поміщає ці дані в тінь закону Foreign Intelligence Surveillance Act (FISA) .

Зіткнувшись з цими загрозами, Olvid стверджує, що наскрізне шифрування є достатнім щитом. З точки зору інженерії конфіденційності, цей захист є небезпечно неповним.

Навіть якщо вміст повідомлення зашифрований, централізована інфраструктура AWS розкриває метадані. Знати, хто розмовляє з ким, коли, як часто та звідки, часто набагато цінніше для розвідки, ніж сам вміст.

Шифрування захищає текст, але централізований сервер видає мережу контактів.

Справжня небезпека ще попереду

Доки європейська інфраструктура залежатиме від організацій, що підпорядковуються екстериторіальним законам, правова безпека наших комунікацій залишатиметься ілюзорною.

Національна безпека у 21 столітті вимагає повної незалежності інфраструктури та обладнання . Стратегія «Збери зараз, розшифруй потім» — найбільш руйнівна загроза наступного десятиліття.

Перехоплена сьогодні державна таємниця — це не що інше, як математична бомба сповільненої дії.

(Читайте решту нашого аналізу в Частині 2: Бомба сповільненої дії та імператив Zero-Knowledge )