Мобільні мережі on Arpokrat

Двофакторна автентифікація через SMS уже нічого не захищає: що використовувати натомість

Tue, 08 Sep 2026 00:00:00 +0000

9 січня 2024 року офіційний акаунт у X Комісії з цінних паперів і бірж США (SEC), регулятора фінансових ринків, оголосив про схвалення біткоїн-ETF, рішення, на яке ринок чекав місяцями. За кілька хвилин біткоїн додав понад 1000 доларів на одиниці. Потім SEC спростувала: акаунт зламали. Курс упав більш ніж на 2000 доларів.

Повчальним у цій справі є не масштаб руху ринку, а буденність застосованого засобу. Згідно з повідомленням Міністерства юстиції США, 26-річний Ерік Каунсіл-молодший роздрукував підроблене посвідчення особи на портативному принтері карток, зайшов до салону AT&T і переконав працівника перенести прив’язаний до акаунта номер телефону на SIM-карту, яку контролював. Він отримав SMS-повідомленням коди скидання пароля і передав їх спільникам. 16 травня 2025 року його засудили до 14 місяців ув’язнення.

Потрібне одне уточнення, яке змінює прочитання справи, не послаблюючи її уроку. За офіційною заявою SEC, багатофакторну автентифікацію на цьому акаунті вимкнули в липні 2023 року на прохання самої команди. Отже, SMS на момент подій була не другим фактором, а каналом відновлення доступу. І саме це робить приклад корисним: другий фактор чи запасний вихід, номер телефону лишається тим місцем, де ланцюг рветься.

Що має гарантувати другий фактор

Принцип уміщується в одне речення. Сам лише пароль це щось, що ви знаєте; до нього додається щось, що ви маєте (телефон, фізичний ключ) або щось, чим ви є (відбиток пальця). Той, хто вкраде ваш пароль із витоку даних, не отримує через це вашого фізичного предмета.

Міркування спирається на рідко проговорювану гіпотезу: що другий фактор справді пов’язаний із предметом у вашому володінні і що його пред’явлення щось доводить про те, де саме ви входите. SMS не витримує обох умов.

SMS не є фактором володіння

Отримання коду в SMS не доводить, що ви володієте пристроєм, а лише що номер телефону, виданий оператором і змінюваний тим самим оператором, вказує на певний апарат. Це не одне й те саме. Цей розрив використовують три вектори, і виправляються вони по-різному.

Підміна SIM-карти

Це атака зі справи SEC, і вона не спирається на жодну технічну вразливість. Зловмисник збирає персональні дані про ціль, часто вже доступні з публічних витоків, а тоді звертається до оператора, видаючи себе за цю людину: телефон загублено, прошу перенести номер на нову SIM-карту. Якщо він переконливий або якщо працівник у змові, номер змінює власника і всі SMS надходять йому. Річний звіт IC3 за 2024 рік, центру скарг ФБР, фіксує лише за цей рік 982 повідомлення про підміну SIM-карти та близько 26 мільйонів доларів заявлених збитків, ураховуючи тільки тих потерпілих, які подали заяву. Жодне оновлення програмного забезпечення цей вектор не закриває: він націлений не на програму, а на людський бізнес-процес.

Перехоплення через SS7

Signaling System 7 це протокол, завдяки якому телефонні мережі всього світу спілкуються між собою: маршрутизують дзвінок, обслуговують роумінг, доставляють SMS від одного оператора до іншого. Його розробили 1975 року, коли клуб операторів був закритим, нечисленним, і кожен вважав інших гідними довіри за самою конструкцією. Тому він не містить жодної вбудованої автентифікації між мережами: запит, що виглядає легітимним, обробляється як легітимний.

Це не теоретична слабкість. У грудні 2014 року німецькі дослідники Тобіас Енґель і Карстен Нол публічно продемонстрували її на Chaos Communication Congress: визначення місцеперебування абонента та перехоплення його SMS лише за номером телефону. У 2017 році підтвердилося реальне використання: німецький оператор O2-Telefónica визнав, що в кількох клієнтів спорожнили банківські рахунки після того, як зловмисники отримали доступ до мережі закордонного оператора і налаштували переадресацію SMS, щоб перехоплювати банківські коди підтвердження.

Фішинг у реальному часі

Третій вектор найважливіший, бо не залежить від жодної телекомунікаційної вразливості й переживає все, що можна було б виправити у двох попередніх.

Фальшивий сайт бездоганно копіює сторінку входу сервісу. Ви вводите там логін і пароль, які фальшивий сайт негайно передає справжньому, а той надсилає SMS на ваш телефон. SMS справді доходить до вас, і вона автентична. Ви вводите код на фальшивому сайті, який своєю чергою передає його за кілька секунд. Сесія відкривається, і тримає її зловмисник.

Це називається атакою adversary-in-the-middle. Вона поставлена на потік: інструменти на кшталт Evilginx, зворотного проксі, що з’явився у 2017 році, або набори, які продають за місячною підпискою, роблять її доступною без жодних особливих навичок. До того ж крадуть не лише код, а cookie сесії, який далі дозволяє лишатися в системі, не проходячи більше жодної автентифікації.

Питання архітектурне. Код, надісланий у SMS, не містить жодної інформації про сайт, який його запросив. Тому він не здатен відрізнити справжній від підробленого: він дійсний скрізь, де його введуть.

Це вже не думка, це офіційна позиція

Найвагоміший аргумент проти SMS надходить не від постачальників рішень, а від установ, які пишуть стандарти.

У липні 2025 року американський NIST опублікував остаточну версію SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. Текст створює окрему категорію обмежених автентифікаторів, призначену для механізмів, здатність яких чинити опір погіршилася з розвитком загроз. Розділ 3.1.3.3 відносить туди використання комутованої телефонної мережі, тобто коди, надіслані в SMS або голосовим дзвінком: «Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.» На практиці сервіс, який досі це застосовує, має запропонувати необмежену альтернативу, поінформувати користувачів про ризик і мати план міграції.

У грудні 2024 року CISA, американське агентство кібербезпеки, опублікувало свій документ Mobile Communications Best Practice Guidance після шпигунської кампанії Salt Typhoon, у ході якої пов’язані з китайською державою актори проникли до кількох американських телеком-операторів. Формулювання не лишає простору для тлумачень: «Do not use SMS as a second factor for authentication. SMS messages are not encrypted», а далі, без обиняків: «Only FIDO authentication is phishing-resistant.» Документ прямо рекомендує апаратні ключі FIDO, називаючи Yubico та Google Titan, і зазначає, що після ввімкнення FIDO SMS треба вимкнути, інакше вона лишається придатним для експлуатації запасним механізмом.

Застосунки-автентифікатори: справжній поступ, часткове рішення

Застосунки типу TOTP, від Time-based One-Time Password, генерують шестизначний код, що змінюється кожні тридцять секунд і обчислюється локально на основі спільного секрету з моменту активації та поточного часу. Телефонною мережею не проходить нічого.

Виграш негайний: підміна SIM-карти втрачає сенс, бо номер більше не задіяний, перехоплення через SS7 теж, бо жодне повідомлення не передається. Перехід на застосунок-автентифікатор варто зробити на будь-якому акаунті, який не може піти далі.

Але третій вектор лишається цілим. Код TOTP, введений на фальшивому сайті, передається справжньому точнісінько так само, як код із SMS. Застосунок не знає, де ви входите: він показує число, і це число дійсне для будь-кого, хто пред’явить його у своєму тридцятисекундному вікні. CISA каже те саме: коди з автентифікатора кращі за SMS, але лишаються вразливими до фішингу.

TOTP це чесний проміжний етап, а не кінцева точка.

Чому ключ FIDO2 змінює саму природу проблеми

Апаратний ключ FIDO2/WebAuthn не просто ускладнює атаку, він відбирає в неї механічну можливість.

Під час реєстрації в сервісі ключ генерує криптографічну пару, призначену саме цьому сервісу. Публічна частина йде до сервісу, приватна ніколи не залишає чип і не піддається ні експорту, ні зчитуванню. Жодного спільного секрету, який можна було б скопіювати, жодного шестизначного коду для перехоплення.

Далі настає вирішальний механізм, прив’язка до origin. Під час входу браузер передає ключу справжнє доменне ім’я показаної сторінки. Ця інформація входить до підписуваних даних, і браузер її нав’язує: JavaScript сторінки не може ні змінити її, ні підробити.

Ключ FIDO2 не робить фішинг складнішим для успіху. Він робить результат фішингу непридатним.

Повернімося до атаки adversary-in-the-middle, цього разу з ключем. Фальшивий сайт бездоганний, жертва нічого не помічає й торкається ключа. Браузер передає справжній домен сторінки, тобто шахрайський. Ключ виявляє, що для цього домену пари не існує, або підписує для нього, створюючи підпис, який справжній сервіс відхилить. В обох випадках зловмисник не отримує нічого придатного.

Ось у чому різниця за природою. З SMS чи TOTP безпека зрештою спирається на пильність користувача, на його здатність помітити підроблений домен в адресному рядку в мить, коли він поспішає, а сторінка виглядає звично. З FIDO2 цю перевірку виконує машина, щоразу, не залежачи від чиєїсь уваги. Саме це перенесення відповідальності важить більше, ніж криптографічна стійкість.

Ефект вимірюється. Google зробив ключі обов’язковими для співробітників на початку 2017 року і заявив у 2018-му, що не зафіксував жодної компрометації акаунта серед понад 85 000 людей.

Справжні обмеження апаратних ключів

Видавати їх за досконалі було б нечесно й марно для підготовки справжніх рішень.

Вартість існує. Рахуйте від 25 до 60 євро залежно від моделі, більше за біометричні версії, і помножте на два.

Втрата ключа це справжній ризик. Один-єдиний ключ на критичному акаунті це помилка конструкції. На кожному важливому акаунті потрібні два зареєстровані, один із них зберігається в іншому місці, у близької людини або в сейфі. Другий не є зручністю, він є тим, що дозволяє користуватися першим без остраху.

Покриття неповне. Багато сервісів, зокрема банківські в Європі, ще не підтримують FIDO2, звідси наведена нижче черговість.

Ключ можуть украсти. Звідси потреба встановити PIN-код на ключі або обрати модель зі сканером відбитка: без цього самого предмета досить тому, хто його підбере.

Запасний шлях лишається найслабшою ланкою. Увімкнути FIDO2, не вимкнувши SMS, не захищає ні від чого: зловмисник просто піде дорогою, що лишилася відкритою. Міграція завершена лише тоді, коли старий механізм вилучено з акаунта, включно з опціями відновлення.

Щодо обладнання: лінійка YubiKey охоплює найширший спектр протоколів, ключі Google Titan дешевші й обмежуються FIDO, Nitrokey і SoloKeys пропонують альтернативи з відкритою та перевірюваною прошивкою, а Token2 випускає моделі з вбудованою клавіатурою, де PIN вводиться на самому ключі, а не на клавіатурі комп’ютера. Серед сертифікованих за FIDO2 ключів поганого вибору немає: протокол той самий, різняться лише додаткові застосування.

З чого почати, коли не можна змінити все

Порядок міграції не є справою вподобань, він випливає із залежностей між вашими акаунтами.

Спершу основна поштова скринька. Вона отримує посилання для скидання майже всього іншого. Зловмисник, який її контролює, забирає решту акаунтів один за одним, не атакуючи жодного напряму. Ніщо не заслуговує бути захищеним раніше за неї.
Менеджер паролів. Він зосереджує перший фактор усіх ваших доступів, тож його захист має дорівнювати захисту найкраще захищеного акаунта, який він містить. Це слушний момент перевірити якість головного пароля, тему докладно розібрано в нашій статті про ентропію та науку, що стоїть за вашою безпекою.
Фінансові акаунти та криптоплатформи. Цілі з негайною вартістю, де компрометація за кілька хвилин перетворюється на незворотну втрату.
Соцмережі з аудиторією. Справа SEC показує, чого варте слово акаунта, за яким стежать, і шкода не завжди падає на його власника.
Решта може почекати, із застосунком TOTP замість SMS. Форум чи стримінговий сервіс не виправдовують таких самих зусиль.

Для акаунтів, які ще не підтримують FIDO2: переходити на TOTP скрізь, де це можливо, і попросити оператора заблокувати перенесення вашого номера, у більшості це безкоштовна опція.

Що це говорить про підхід Arpokrat

Цей матеріал описує проблему, яка існує лише тому, що в центр системи поставили ідентифікатор. Номер телефону ніколи не задумувався як доказ особи: він став хребтом онлайн-автентифікації за звичкою, і всі три описані вище атаки використовують саме це відхилення від призначення.

Саме таке міркування лягло в основу протоколу Arpokrat Messenger: ні номера телефону, ні адреси електронної пошти, ні акаунта. Користувач існує як набір криптографічних ключів, що зберігаються на його власному пристрої, а знайомство відбувається через одноразові посилання-запрошення. Логіка та сама, що у FIDO2, лише щаблем вище: те, чим не володіє третя сторона, у неї не можна виманити ані соціальною інженерією проти оператора, ані вимогою органів. Цю узгодженість з архітектурою Zero-Knowledge ми розгортаємо у статті про збирати зараз, розшифрувати згодом.

Апаратний ключ, який підписує, ніколи не розкриваючи свого секрету, це, до речі, також принцип роботи офлайнового криптогаманця, описаний у нашому повному посібнику з cold wallet: тримати таємну частину у відведеному для неї предметі й випускати назовні тільки підпис.

Висновок

Двофакторна автентифікація через SMS не була погано задумана. Коли вона поширилася на початку 2010-х, це був істотний поступ порівняно з самим лише паролем, і вона мала на своєму боці єдину властивість, що важить у масштабі: телефон уже був у всіх.

Проблема не у винаході, а у виживанні. Демонстрації SS7 датовані 2014 роком, реальне банківське використання 2017-м, індустріалізація фішингу в реальному часі кінцем того ж десятиліття. CISA написала не використовувати її у 2024 році, NIST формалізував обмеження у 2025-му. Близько десяти років відділяють момент, коли вразливості стали придатними до масової експлуатації, від моменту, коли установи виклали це на папері. А SMS лишається другим фактором за замовчуванням у більшості сервісів для широкого загалу.

Саме цей розрив і є справжньою інформацією цього матеріалу. Механізми безпеки зникають не тоді, коли перестають працювати, а тоді, коли їх приходить замінити щось так само просте, і це триває значно довше. Отже, питання не в тому, чи варто вам відмовитися від SMS, це вирішено вже роками. Питання в тому, які інші засоби захисту, що ви вважаєте самозрозумілими, уже перебувають, хоч ніхто цього ще не написав, у такому самому становищі.

Джерела

Міністерство юстиції США, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 травня 2025
Securities and Exchange Commission, SECGov X Account, офіційна заява від 22 січня 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, остаточна версія, липень 2025
CISA, Mobile Communications Best Practice Guidance, 18 грудня 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, демонстрація Тобіаса Енґеля та Карстена Нола, грудень 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, травень 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, липень 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, специфікація WebAuthn

5G, дані про місцеперебування і хибна ціль права

Tue, 18 Aug 2026 00:00:00 +0000

У 2011 році поліція Детройта запитала в мобільного оператора історію під’єднання телефона Тімоті Карпентера до базових станцій. Вона отримала 12 898 точок місцеперебування за 127 днів, приблизно сотню на добу. Через сім років Верховний суд Сполучених Штатів визнав, що такий запит становить обшук і потребує ордера.

Ці 12 898 точок надходили від антен четвертого покоління, кожна з яких покривала радіус кількох кілометрів. Той самий запит, надісланий сьогодні до міської мережі 5G, повернув би не сотню точок на добу з похибкою в кілька кілометрів. Він повернув би значно більший обсяг із похибкою в кілька десятків метрів.

Технологія змінила масштаб. Юридичне міркування лишилося на тому самому місці ланцюга.

Правове благо, яке визнають судді по обидва боки Атлантики

Існує інтерес, який визнають майже всі й який майже жоден акт не захищає дієво: право перебувати десь без того, щоб цей факт фіксували.

Європейська судова практика встановила це недвозначно. У справі Digital Rights Ireland (об’єднані справи C-293/12 і C-594/12, 8 квітня 2014 року), а потім у справі Tele2 Sverige і Watson (об’єднані справи C-203/15 і C-698/15, велика палата, 21 грудня 2016 року) Суд Європейського Союзу постановив, що ці дані, взяті в сукупності, дозволяють робити дуже точні висновки про приватне життя осіб: звички повсякденного життя, місця перебування, пересування, здійснювані види діяльності та соціальні зв’язки.

Верховний суд Сполучених Штатів дійшов близького висновку у справі Carpenter v. United States, 585 U.S. 296 (2018). Він наголосив на моменті, який американська доктрина багато коментувала: невідворотний і автоматичний характер цього збирання. Ніхто не погоджується бути під’єднаним до антени: людина під’єднана тому, що має увімкнений телефон.

Отже, правове благо існує, і його визнають два суди, які в цій сфері мають вагу. Проблема в іншому.

Що насправді змінило 5G

Поширена плутанина полягає в тому, що місцеперебування трактують як дані, які телефон передає, так само як повідомлення чи світлину. Це не так. Місцеперебування є фізичним наслідком роботи мережі. Оператор знає, до якої антени під’єднано пристрій, бо мусить це знати, аби маршрутизувати виклик. Не існує жодного ключа, яким можна було б зашифрувати цю інформацію, адже це не зміст, а властивість самого з’єднання.

Саме це робить 5G значущим у правовій, а не в технічній площині.

Попередні архітектури спиралися на широкі стільники. Антена 4G зазвичай обслуговує радіус у кілька кілометрів, і позиція, виведена лише з факту під’єднання, вимірювалася сотнями метрів у місті, а іноді десятками кілометрів у сільській місцевості. 5G спирається на масове ущільнення: міські стільники покривають зазвичай кількасот метрів, а інженерна література оперує щільностями порядку сорока-п’ятдесяти базових станцій на квадратний кілометр проти чотирьох-п’яти за часів 3G.

Наслідок механічний. Згідно з білою книгою Ericsson про позиціювання в 5G, інфраструктура, розгорнута лише заради зв’язку, досягає точності від двадцяти до п’ятдесяти метрів надворі та від одного до трьох метрів у приміщенні, а за сприятливих міських умов опускається нижче метра. Ідеться не про десь увімкнену функцію геолокації, а про те, що мережа знає за самою своєю будовою, без жодного встановленого застосунку й без жодного наданого дозволу. Усі ці механізми, а також контрзаходи, які справді працюють, ми детально розібрали у статті про постійну геолокацію телефона.

Отже, втручання зросло на кілька порядків. Застосовна правова рамка лишається тією, що була задумана для 2G і 3G. Жодне нормативне пристосування цієї зміни масштабу не супроводжувало.

Право захищає доступ, а не породження

Європейське право ретельно регулює, хто може отримати доступ до даних про місцеперебування, за яких умов і під яким контролем. Директива 2002/58/ЄС закріплює принцип конфіденційності комунікацій, а Суд ЄС постановив у справі La Quadrature du Net (об’єднані справи C-511/18, C-512/18 і C-520/18, велика палата, 6 жовтня 2020 року), що стаття 15(1) цієї директиви, тлумачена у світлі статей 7, 8, 11 і 52(1) Хартії, не допускає загального і невибіркового зберігання даних про трафік і місцеперебування з превентивною метою. Суд, утім, припустив окреслені відступи, коли держава-член стикається із серйозною загрозою національній безпеці, що виявляється реальною і наявною або передбачуваною, за умови дієвого контролю.

Це справжні гарантії, і применшувати їх було б безглуздо. Але всі вони втручаються постфактум. Вони припускають, що дані існують, що вони зберігаються, і лише потім упорядковують умови їх використання.

Проте якщо місцеперебування є неминучим побічним продуктом роботи мережі, доречною точкою втручання є не конфіденційність. Це тривалість зберігання.

Миттєва позиція, потрібна для маршрутизації комунікації і стерта одразу після цього, не є інструментом стеження. Історія позицій, що зберігається місяцями, ним є, хай які гарантії доступу її оточують.

Різниця між ними не юридична, а архітектурна. І європейський календар робить питання нагальним, а не теоретичним. Комісія відкликала проєкт регламенту ePrivacy у 2025 році через відсутність згоди між співзаконодавцями. Відтоді вона працює над окремим інструментом щодо зберігання даних для цілей кримінального провадження, анонсованим на 2026 рік, який має узгодити національні режими, що стали різнорідними після скасування директиви 2006 року. Інакше кажучи, текст, який на десятиліття визначить режим метаданих про місцеперебування, пишеться просто зараз, на основі міркування, задуманого за часів кілометрових стільників.

Прецедент, який 5G створило саме

Найцікавіше в цій справі те, що правильна відповідь уже міститься в технічному стандарті, але застосована до іншого об’єкта.

Аж до 4G постійний ідентифікатор абонента, IMSI, передавався у відкритому вигляді радіоінтерфейсом під час під’єднання. Саме це уможливило IMSI catcher’и, ті фальшиві базові станції, які, за еталонним описом Electronic Frontier Foundation, випромінюють потужніше за легітимні антени, щоб приваблювати термінали й перехоплювати їхній ідентифікатор.

Починаючи з Release 15 специфікацій 3GPP, опублікованого у 2019 році, 5G дає елегантну відповідь. Постійний ідентифікатор, тепер званий SUPI, може бути замінений на радіоінтерфейсі на SUCI, прихований ідентифікатор, отриманий шифруванням абонентської частини за допомогою криптографії на еліптичних кривих відкритим ключем домашнього оператора. Розшифрувати його може лише домашня мережа, яка володіє відповідним приватним ключем. Результат унікальний за кожного обчислення, що унеможливлює кореляцію між сесіями.

Обрана логіка варта підкреслення, бо вона саме та, якою мав би керуватися законодавець: шифрують не позицію, що було б технічно неможливо, шифрують ідентичність. Позиція без прив’язної ідентичності має вельми обмежену цінність для індивідуалізованого стеження.

Вада: захист є факультативним

Проте існує суттєве застереження, і це, на нашу думку, найконкретніша точка втручання в усій справі.

Біла книга NIST CSWP 36A, опублікована в березні 2026 року National Institute of Standards and Technology, каже це без манівців. Термінали й мережеві функції, що відповідають Release 15 або пізнішому, зобов’язані підтримувати SUCI, але його увімкнення лишається факультативним для оператора. Мають збігтися три умови: виробник обладнання має його підтримувати, оператор має увімкнути його у своїй мережі, а SIM-картка має містити елементи, потрібні для обчислення.

До цього додається конфігураційна пастка. Стандарт передбачає нульову схему захисту, за якої формат SUCI формально застосовується, але без дійсного шифрування, тож ідентифікатор іде у відкритому вигляді. NIST пише, що оператор має налаштувати свою мережу з ненульовою схемою захисту, і нагадує, що звіт CSRIC, дорадчого органу Federal Communications Commission, ще у 2021 році радив залишити нульову схему винятково для екстрених викликів із термінала, невідомого мережі.

Це формулювання варто лишити як є. Найкращий доступний захист від стеження за мобільними терміналами існує в технічному стандарті з 2019 року. Він тримається на конфігураційному виборі, залишеному на розсуд оператора. Американське федеральне агентство вважає за потрібне опублікувати у 2026 році документ, аби нагадати, що його слід було б увімкнути. І жоден європейський правовий інструмент цього не вимагає.

Треба додати, що SUCI не закриває тему. Праці, представлені під назвою 5G SUCI-catchers: still catching them all?, документують атаки зв’язування, що дозволяють повторно корелювати сесії попри шифрування, а захист падає цілком, якщо нападник змусить термінал перейти на попереднє покоління. Отже, правовий обов’язок не розв’язав би всього. Проте він усунув би розрив, який не має жодного захисного виправдання: між тим, що дозволяє стандарт, і тим, що роблять комерційні мережі.

Три послідовні втручання

Якщо серйозно поставитися до думки, що місцеперебування слід мінімізувати на етапі проєктування, а не захищати постфактум, логічно напрошуються три заходи.

Зробити обов’язковим дієве приховування ідентифікатора. Приписати увімкнення SUCI і заборонити нульові схеми захисту в комерційних мережах, окрім залишкового випадку екстрених викликів. Ідеться не про припис нової технології й не про фінансування розгортання, а про вимогу увімкнути функцію, стандартизовану сім років тому і вже наявну в обладнанні.
Розглядати зберігання як виняток, а не як усталене за замовчуванням. Позиція, потрібна для маршрутизації комунікації, має стиратися, щойно цю функцію виконано. Формування історії має вимагати окремого обґрунтування. Це різниця між мережею, яка знає, де ви є, і мережею, яка пам’ятає, де ви були.
Зробити володіння ключем належним колізійним прив’язуванням. Розташування серверів у Союзі мало що означає, якщо ключі, які роблять дані зрозумілими, перебувають деінде. Юридично значущим критерієм мало б бути дійсне панування над засобами розшифрування, питання, яке ми детально розглянули у зв’язку з конфліктом між Data Act і CLOUD Act.

Кут зору, якого дотримується Arpokrat

Це міркування не властиве лише телекомунікаційному праву. Саме його ми застосовуємо до власних архітектурних рішень, і воно вміщається в одне речення: те, що не було вироблене, не потребує захисту.

Тому ArpokratOS вилучає GPS, Bluetooth і NFC на рівні ядра, а не вимикає їх у меню. Перемикач є політикою: його може обійти привілейований компонент, знову увімкнути оновлення, зігнорувати скомпрометована система. Вилучення шляху в коді знімає саме питання. Це перенесення на масштаб пристрою того самого зміщення, якого ми прагнемо на масштабі права: втручатися на етапі породження, а не доступу.

Слід одразу сказати, чого це не робить. Жодна операційна система не виводить термінал за межі геометрії мережі. Доки SIM-картка активна, оператор знає стільник під’єднання, і повне маршрутизування трафіку через Tor цього не змінює, бо воно захищає зміст і призначення, а не радіорівень. Саме тому тема є правовою. Існує категорія ризиків, яких не зменшує жодне індивідуальне налаштування і для яких єдиною доступною змінною є правило, застосовне до оператора.

Та сама турбота керує рештою нашої роботи. Дані, яких не існує, неможливо ні витребувати, ні перепродати, ні викрасти, ні розшифрувати за десять років машиною, якої сьогодні ні в кого немає, питання, яке ми розглянули під кутом шифрування, зібраного зараз і зламаного згодом.

Висновок

Публічна дискусія про мобільне стеження зосереджена майже винятково на доступі: хто може переглядати дані, на якій підставі, з яким дозволом. Ця дискусія законна, і рішення, ухвалені Судом ЄС від 2014 року, дали відчутні наслідки. Але вона втручається в ланцюг надто пізно.

Питання, що передує їй і є визначальнішим, полягає в тому, чи має історія існувати взагалі. База, створена сьогодні з законної підстави, лишається доступною завтра для іншої, а гарантії довкола неї залежать від пізніших політичних рішень, які в момент збирання ніхто не контролює. Це ставка на стабільність інституцій, зроблена на строк, якого ніхто не встановлює.

5G примножило роздільність цієї інформації без жодного нормативного пристосування. Водночас воно показало, через механізм SUCI, що придатний шлях полягає у відокремленні позиції від ідентичності, а не в спробі зашифрувати фізичну властивість мережі. Технічний стандарт дав відповідь за сім років до того, як право поставило запитання.

Європейський текст про зберігання даних пишеться зараз. Він стосуватиметься метаданих, отже місцеперебування, отже того, що 5G нині виробляє з точністю, якої його автори не знали. Чи обмежиться він упорядкуванням доступу до історії, узятої як даність, чи наважиться запитати про необхідність цієї історії, є, ймовірно, найважливішим питанням приватності найближчих років у Європі. І це питання, яке технічний сектор, цього разу, вже вирішив у правильний бік.

Джерела

Суд Європейського Союзу, Digital Rights Ireland, об’єднані справи C-293/12 і C-594/12, 8 квітня 2014 року
Суд Європейського Союзу, Tele2 Sverige і Watson, об’єднані справи C-203/15 і C-698/15, велика палата, 21 грудня 2016 року
Суд Європейського Союзу, La Quadrature du Net та інші, об’єднані справи C-511/18, C-512/18 і C-520/18, велика палата, 6 жовтня 2020 року
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, березень 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta та ін., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Постійна геолокація: як телефон стежить за вами навіть тоді, коли ви впевнені, що це заблокували

Sun, 02 Aug 2026 00:00:00 +0000

У 2024 році двоє дослідників з Мерілендського університету багаторазово зверталися до сервісу позиціонування Apple за Wi-Fi, без жодних особливих привілеїв і без спеціалізованого обладнання, і за рік відтворили точне розташування понад двох мільярдів точок доступу Wi-Fi у світі. Їхня стаття Surveilling the Masses with Wi-Fi-Based Positioning Systems показує, що дозволяє така мапа: відстежувати техніку, яка в’їжджає в Україну і виїжджає з неї, спостерігати за переміщенням населення після пожеж на Мауї, стежити за конкретною людиною через її домашній роутер.

У жодному з цих пристроїв GPS не був увімкнений. Позиція надходила звідкись інде.

Це найпоширеніша сліпа зона у питаннях мобільної приватності: переконання, що існує перемикач геолокації і що, вимкнувши його, телефон перестає знати, де він. Це переконання хибне на семи різних рівнях.

Геолокація не є функцією, яку телефон вмикає. Це властивість того, чим він є.

GPS, тобто найменш проблемний вектор

Єдиний механізм, який усі можуть назвати, є водночас тим, що має турбувати вас найменше.

GNSS, узагальнений термін, що охоплює американський GPS, Galileo, ГЛОНАСС і BeiDou, працює через прослуховування. Супутники безперервно випромінюють сигнали з часовими мітками, приймач вловлює кілька з них і обчислює своє положення за різницею часу поширення. Звичайна точність на відкритій місцевості: три-п’ять метрів, у місті часто кілька десятків метрів, бо фасади відбивають сигнали.

Вирішальним є те, що це обчислення пасивне. Телефон нічого не випромінює в бік супутників, жоден супутниковий оператор не знає, що ви існуєте. Якби в грі був лише GNSS, вимкнення GPS було б достатньо.

Проте є нюанс. Щоб пришвидшити перше обчислення, телефони використовують A-GPS: вони завантажують супутникові ефемериди з сервера через протокол SUPL. Аби отримати правильні дані, телефон передає цьому серверу ідентифікатор комірки мережі, до якої він під’єднаний. Чистий GNSS вас не видає, а от прищеплений до нього прискорювач видає.

Мобільна мережа: те, що оператор знає за побудовою

Щоб дзвінок міг до вас дійти, мережа має знати, в якій зоні ви перебуваєте. Це не опція, яку вмикають, це умова існування послуги. Ваш телефон постійно повідомляє про себе найближчій вежі, і ця реєстрація лишає слід на боці оператора. Жодного встановленого застосунку, жодного наданого дозволу: достатньо активної SIM-картки.

Точність залежить від методу:

Лише ідентифікатор комірки: від 200 метрів у щільній міській забудові до понад 30 кілометрів у сільській місцевості, де одна вежа покриває дуже великий радіус.
Збагачений Cell ID, що додає сектор антени (більшість майданчиків поділені на три сектори по 120 градусів) і потужність сигналу: від 100 метрів до кількох кілометрів.
Timing advance, що вимірює затримку сигналу туди й назад між телефоном і вежею: близько 550 метрів у GSM, приблизно 78 метрів у LTE.
Мультилатерація за трьома чи більше вежами: від 50 до 300 метрів у міському LTE.

5G змінює масштаб з двох сукупних причин. Спершу щільність: комірки 5G покривають значно менші радіуси, тож саме лише під’єднання вже є точною інформацією. Далі стандартизація: починаючи з Release 16, 3GPP містить власні сигнали позиціонування. Комерційні цілі — менш ніж 3 метри в приміщенні і менш ніж 10 метрів надворі для 80 % пристроїв, а Release 18 для деяких промислових застосувань опускається до сантиметрів.

Отже, інфраструктура, яка вас з’єднує, стає системою позиціонування, зіставною за якістю з GPS, без жодної дії з вашого боку. Ці дані зберігаються за національними правилами і доступні органам влади за різними процедурами. Це та сама принципова дискусія, що й у випадку юрисдикції, застосовної до розміщених даних: технічний захист і правовий захист не збігаються.

Wi-Fi: мапа світу, складена з апаратних адрес

Кожна точка доступу Wi-Fi постійно транслює унікальний апаратний ідентифікатор, BSSID. Ці ідентифікатори незмінні й географічно стабільні: домашній роутер роками стоїть на одному місці.

Apple, Google і кілька спеціалізованих гравців ведуть бази, що пов’язують кожен BSSID із координатами. Їх наповнюють телефони їхніх власних користувачів, які надсилають перелік видимих точок разом із позицією за GNSS. Далі операція обертається: телефон, що бачить чотири відомі точки, більше не потребує жодного супутника. У щільній міській забудові точність зазвичай сягає кількох десятків метрів, а в приміщеннях опускається ще нижче.

Дві властивості роблять цей механізм важким для нейтралізації. По-перше, телефон сканує навіть тоді, коли Wi-Fi виглядає вимкненим: починаючи з Android 4.3, система підтримує періодичне сканування, покликане покращити геолокацію, незалежно від перемикача у швидкій панелі. Ця поведінка залежить від окремого налаштування, схованого в службах геолокації, яке практично жоден користувач ніколи не відкривав.

По-друге, базу можна опитувати ззовні. Саме цю прогалину використали Рай і Левін: інтерфейси позиціонування повертають не лише запитану позицію, а й позиції сусідніх точок доступу, що дає змогу збирати мапу, жодного разу фізично не наближаючись до цих місць.

Bluetooth і BLE: вас знаходять телефони інших людей

Bluetooth Low Energy додає шар близькості з дальністю від кількох до кількох десятків метрів, тобто з набагато тоншою деталізацією, ніж мобільна мережа. Співіснують два застосування. Комерційні маячки, розміщені в магазинах, аеропортах чи торгових центрах, випромінюють ідентифікатор, який розпізнають застосунки в телефоні, і це показує, перед якою полицею ви зупинилися і на скільки часу. І спільні мережі геолокації, взірцем яких є Find My від Apple, згодом перейнятий Google і Samsung.

Другий механізм перевертає неявне припущення. Еталонний аналіз Who Can Find My Devices?, опублікований у матеріалах PETS 2021 дослідниками Дармштадтського технічного університету, відтворив протокол Apple зворотною розробкою. Пристрій без з’єднання випромінює сигнал BLE, будь-який пристрій Apple поблизу його вловлює, додає власну позицію і передає її зашифрованою на сервери Apple, без відома як свого власника, так і власника знайденого пристрою.

Наслідок структурний: пристрій без SIM-картки, без Wi-Fi, без жодного мережевого з’єднання лишається таким, що його можна знайти, аби лише поруч пройшов незнайомець із телефоном у кишені. Ваша ізоляція більше не залежить від ваших налаштувань, а від налаштувань перехожих.

Інерційні датчики: локалізація без дозволу на геолокацію

Телефон містить акселерометр, гіроскоп, магнітометр і часто барометр. Ці датчики належать до категорії дозволів, відмінної від геолокації: застосунок може їх читати, жодного разу не спитавши, де ви.

Дослідники з Прінстона довели це за допомогою PinMe. Їхній застосунок відштовхується від IP-адреси і часового поясу задля грубої позиції, а потім читає датчики: акселерометр дає профіль прискорення і гальмування, гіроскоп — послідовність поворотів, магнітометр — курс, барометр — зміни висоти. Нейронна мережа визначає спосіб пересування — пішки, автомобілем, потягом чи літаком, — і маршрут накладається на відкриті картографічні, висотні та метеорологічні дані. Результат: траєкторія з точністю, зіставною з GPS, без дозволу на геолокацію. Метод має межі, які автори документують, адже він не працює в зонах без доріг і погіршується на однорідних прямокутних планах, де багато маршрутів дають однаковий підпис. Він лишається доказом того, що відхилений дозвіл — це не зачинені двері.

Барометр до того ж дає вимір, з яким GNSS дає раду погано, — вертикаль. Американські вимоги до екстрених викликів встановлюють точність до поверху плюс-мінус 3 метри для 80 % викликів із приміщень. Знати, на якому поверсі хтось перебуває, — це зовсім інше, ніж знати, у якому кварталі.

Ринок даних: найбанальніший вектор

Попередні механізми описують, як обчислюється позиція. Лишається дізнатися, куди вона йде, і саме тут розігрується основна частина щоденного ризику.

Тисячі застосунків містять рекламні SDK, програмні блоки від третіх сторін, які розробник додає, щоб монетизувати свою працю або виміряти аудиторію. Ці блоки успадковують дозволи застосунку-господаря: застосунок погоди, якому ваша позиція потрібна цілком законно, передає її гравцям, чиїх назв ви ніколи не читали. До цього додаються потоки рекламних аукціонів, де ваша приблизна позиція розсилається десяткам потенційних покупців при кожному показі банера, зокрема й тим, хто нічого не купує і задовольняється прослуховуванням.

Ця сировина живить цілу індустрію. Electronic Frontier Foundation задокументувала випадок Fog Data Science, яка заявляла про мільярди точок даних щодо понад 250 мільйонів пристроїв, проданих місцевій поліції у США. Браян Кребс описав Locate X, продукт, що дозволяє окреслити багатокутник на мапі й переглянути історію пристроїв, які входили в цю зону та виходили з неї.

Цей вектор не потребує жодного технічного подвигу, лише щоб хтось погодився заплатити. Ціна помірна.

IMSI-кетчери: активна локалізація

Розглянуті досі механізми використовують нормальну роботу системи. Існує також активна локалізація, яку веде третя сторона, що втручається в мережу.

IMSI-кетчер, або симулятор базової станції, — це обладнання, яке видає себе за легітимну вежу. Телефони в зоні дії під’єднуються до нього, розкриваючи свій ідентифікатор абонента і свою присутність у вузько окресленому периметрі.

5G мав зачинити ці двері, замінивши постійний ідентифікатор у відкритому вигляді на зашифрований — SUCI. Зачинення часткове. Роботи, представлені під назвою 5G SUCI-catchers: still catching them all?, документують атаки зв’язування, що дозволяють повторно корелювати сесії попри шифрування. Але головне: захист падає повністю, якщо зловмисник змушує пристрій перейти на попереднє покоління, зокрема 2G, автентифікація якого одностороння. Телефон із 5G лишається вразливим до атаки, задуманої для мережі 1990-х років, бо він досі погоджується туди спуститися.

Контрзаходи та їхня реальна дієвість

Кожен із наведених нижче заходів щось дає. Жоден не дає всього, і розрив між тим, що вони роблять, і тим, що їм приписують, породжує хибні рішення.

Режим польоту

Режим польоту вимикає передавання стільникового модема, Wi-Fi і Bluetooth. Це справжній ефект, і це найкращий результат за таких малих зусиль.

Чого він не робить: не зупиняє інерційні датчики, не видаляє вже закешовані позиції, які підуть при повторному з’єднанні, і на більшості пристроїв дозволяє окремо ввімкнути Wi-Fi або Bluetooth, не виходячи з нього. Він, зрештою, є програмним станом, а не відключенням живлення: його надійність залежить від цілісності системи, яка його застосовує.

Недооцінена деталь: від’єднання від мережі та подальше повернення самі по собі є подіями з часовою міткою на боці оператора. Телефон, що зникає о 21-й в одній комірці й з’являється о 23-й в іншій, породив інформацію, а не тишу.

Рандомізація MAC-адреси

Мобільні системи сьогодні під час сканування випромінюють випадкові MAC-адреси, щоб унеможливити відстеження з місця на місце. Намір добрий, результат неповний. Еталонні роботи, серед них Why MAC Address Randomization is not Enough, показують, що вмісту кадрів виявлення часто достатньо для повторної ідентифікації пристрою: кількість інформаційних елементів, їхні значення та порядок утворюють відбиток. До цього додаються послідовні номери, інкрементні й тому придатні для зчеплення, та часовий підпис, властивий кожній моделі. Деякі дослідження повідомляють про коректне відстеження половини пристроїв упродовж щонайменше двадцяти хвилин.

Нарешті, концептуальна межа: рандомізація стосується лише фази виявлення. Щойно ви під’єднуєтеся до мережі, використовувана адреса для цієї мережі стала за задумом, аби з’єднання працювало. Кав’ярня, куди ви ходите щоранку, вас упізнає.

Справді вимкнути сканування

Це найвигідніше і водночас найбільш ігнороване налаштування. В Android пошук Wi-Fi і пошук Bluetooth — це дві окремі опції, розташовані у службах геолокації, незалежні від перемикачів швидкої панелі. Доки вони активні, вимкнути Wi-Fi із панелі недостатньо: сканування триває.

Їх вимкнення прибирає цілий шар збирання даних, а єдиною платою є трохи повільніше перше визначення позиції. Для більшості читачів це найкраще співвідношення докладених зусиль і здобутого результату.

Дозволи застосунків

Відкликати дозвіл на геолокацію в застосунків, яким він вочевидь не потрібен, лишається корисним, а сучасні системи пропонують три градації: разовий дозвіл, дозвіл, обмежений активним використанням, і приблизне місцеперебування, що передає лише зону порядку кілометра.

Проте це не захищає ні від SDK всередині застосунку, що має законну підставу для доступу до вашої позиції, ні від інерційних датчиків, ні від мережевих рівнів, які не проходять через жоден дозвіл.

Від чого VPN не захищає

Момент, який слід прояснити, бо протилежне переконання дуже поширене: VPN не приховує вашого місцеперебування. Він приховує вашу публічну IP-адресу, тож спотворює геолокацію за IP, яка в будь-якому разі є найгрубішим механізмом у переліку.

VPN не торкається ні приймача GNSS, ні сканування Wi-Fi, ні Bluetooth, ні датчиків. Він нічого не змінює в тому, що знає ваш оператор, оскільки шифрований тунель проходить через його вежі, а під’єднання до комірки лишається йому видимим. Він не заважає застосунку з дозволом на геолокацію передати точні координати всередині тунелю. VPN захищає зміст і призначення ваших комунікацій у ненадійній мережі, і це вже чимало. Геолокація не входить до його периметра.

Фізичні межі

Чохол Фарадея працює буквально: він блокує передавання і приймання. Виймання акумулятора теж, там де це ще можливо. Окремий пристрій або просто залишений деінде телефон лишається найнадійнішим заходом.

Ці рішення мають спільну ваду, якій треба подивитися в очі: вони створюють аномалію. Телефон, що мовчить дві години щовівторка ввечері, щось повідомляє. Проти супротивника, який аналізує шаблони, а не миттєві позиції, відсутність сама є даними.

Три супротивники, три стратегії

Це найважливіше розрізнення цієї статті і водночас те, яке читають найрідше.

Проти рекламодавця чи брокера даних битву можна виграти. Дисципліна дозволів, вимкнення сканувань, система без пропрієтарних служб геолокації, скидання рекламного ідентифікатора: разом це дуже сильно скорочує зібраний обсяг. Цей супротивник шукає дешевий обсяг, а не саме ваш випадок.

Проти вашого оператора жодна конфігурація не допоможе. Стільникова геолокація є умовою послуги. Єдині справжні змінні — правові, тобто те, що закон дозволяє зберігати і передавати, і матеріальні: який пристрій, яка SIM-картка, на чиє ім’я, увімкнена де.

Проти цілеспрямованого державного супротивника міркування знову змінюється, адже він поєднує законний доступ до даних оператора, активну локалізацію симулятором базової станції, вимоги до платформ і, за потреби, компрометацію самого пристрою. Програмні контрзаходи зменшують поверхню, але реалістичною метою є не зникнення: нею є точне знання того, що лишається відкритим.

Підхід ArpokratOS

ArpokratOS відповідає на цей ландшафт вибором, що випливає з наведеного розрізнення: те, що має бути нейтралізоване, нейтралізують на рівні системи, а не в меню.

Щодо GNSS апаратний драйвер видалено. Пристрій поводиться так, ніби чипа не існує, — і для застосунків, і для самої системи. Відмінність від перемикача в налаштуваннях не косметична. Перемикач — це політика: її застосовує шар, який може обійти достатньо привілейований компонент, знову ввімкнути оновлення чи проігнорувати скомпрометована система. Видалення шляху коду знімає питання, бо вмикати вже нічого.

Bluetooth опрацьовано на рівні Core, за тією самою логікою. Bluetooth, вимкнений у налаштуваннях, на багатьох пристроях насправді лишає програмний стек живим, щоб живити служби близькості та спільні мережі геолокації. Відсутній на рівні системи, він не може ні спілкуватися з магазинним маячком, ні брати участь у мережі типу Find My, ні бути поверхнею атаки без взаємодії.

Треба чітко сказати, чого це не робить. ArpokratOS не робить телефон невиявним. Доки SIM-картка активна, оператор знає комірку під’єднання, і жодна операційна система цього не змінить, навіть якщо весь трафік іде через Tor. Маршрутизація захищає зміст і призначення, а не радіогеометрію. Той, хто обіцяє невидимість, продає казку.

Те, що дає така архітектура, скромніше: усунення прикладного шару та шару близькості, через які проходить переважна більшість реального збирання, і явна модель загроз для того, що лишається. Це те саме міркування, застосоване до вибору настільної системи, докладно викладене в нашому порівнянні операційних систем: корисне питання не в тому, чи інструмент захищає, а в тому, від чого він захищає і якою ціною.

Висновок

Ця стаття не дає методу зникнути. Такого методу не існує, а тексти, що стверджують протилежне, породжують передусім хибну впевненість, небезпечнішу за відсутність захисту, бо вона штовхає на ризик.

Мета полягала в тому, щоб замінити бінарне питання «чи можна мене знайти» на питання корисне: ким, з якою точністю, якою ціною для них і чи мене це обходить. Відповідь різна для журналіста, що захищає джерело, для керівника у відрядженні в чутливій юрисдикції, для адвоката, чиї зустрічі видають стратегію, і для приватної особи, якій прикро, що рекламодавець знає її звички.

Утім, увагу має привертати не ефективність кожного з цих механізмів окремо, а те, що вони накладаються один на одний. Позиція з точністю до п’ятдесяти метрів не надто цікава. Позиція з точністю до п’ятдесяти метрів, щочверть години, протягом двох років, окреслює житло, місце роботи, віросповідання, стан здоров’я, роман, джерело інформації. Дані про місцеперебування — це ті метадані, які роблять читабельними всі інші, і саме тому вони дорого коштують.

Джерела

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: новий «суперкукі» телекомунікаційних компаній, що загрожує вашій конфіденційності

Mon, 01 Jun 2026 00:00:00 +0000

Заплановане припинення підтримки сторонніх кукі (third-party cookies) у веббраузерах спровокувало справжню гонку озброєнь в індустрії таргетованої реклами. Поки Google намагається нав’язати власні стандарти (такі як Privacy Sandbox), інший несподіваний гравець вирішив забрати свою частку пирога: ваш інтернет-провайдер (ISP).

Так народився проєкт Utiq (раніше відомий як проєкт TrustPid) — спільне підприємство, створене європейськими телекомунікаційними гігантами. Продаваний широкому загалу як «прозоре та етичне» рішення, Utiq насправді є тим, чого експерти з кібербезпеки побоюються найбільше: «суперкукі», який працює на мережевому рівні.

Що такое Utiq і як це працює?

Традиційно відстеження реклами (кукі) керується вашим веббраузером (Chrome, Firefox, Safari). Ви могли блокувати його за допомогою розширень (таких як uBlock Origin) або браузера, орієнтованого на конфіденційність (такого як Brave).

Utiq переносить проблему на крок назад: на рівень вашого мережевого підключення.

Ось як зачиняється пастка:

Перехоплення в мережі: Коли ви користуєтеся інтернетом через мобільне з’єднання (4G/5G) або домашній роутер, Utiq використовує вашу IP-адресу та дані вашої телекомунікаційної підписки для вашої ідентифікації.
Згода (хибний вибір): При переході на сайт-партнер спливаюче вікно (popup) запитує у вас згоду на активацію Utiq. Через утому від баннерів кукі (Consent Fatigue) мільйони користувачів натискають «Прийняти», не читаючи.
«Network Signal»: Щойно згоду отримано, Utiq безпосередньо зв’язується з вашим оператором зв’язку. Останній генерує унікальний псевдонімізований ідентифікаційний токен (мережевий сигнал), який потім передається рекламодавцям.

Тепер вас можна відстежувати від сайту до сайту не за файлом, збереженим на вашому комп’ютері, а через саму інфраструктуру, яка надає вам доступ до інтернету.

Чому Utiq — це кошмар для конфіденційності (OPSEC)

Ця ініціатива створює серйозні проблеми для цифрового суверенітету та конфіденційності ваших даних:

Відстеження у джерела: На відміну від класичних куки, ви не можете просто «очистити історію» або «видалити кеш», щоб позбутися Utiq. Ідентифікаційний токен створюється вашим провайдером.
Централізація профілів: Оператори зв’язку вже знають ваше ім’я, фізичну адресу, банківські реквізити та місцезнаходження в режимі реального часу. Пов’язуючи з цими даними історію вашого відвідування вебсторінок через Utiq, вони створюють поведінковий профіль лякаючої точності.
Вразливість псевдонімізації: Utiq захищається тим, що не передає ваше ім’я у відкритому вигляді, заявляючи про використання «зашифрованих» токенів. Однак у світі кібербезпеки доведено, що псевдонімізація є оборотною. Зіставлення цих токенів з іншими базами даних дозволяє легко повторно ідентифікувати людину.

Які оператори використовують Utiq?

Utiq був заснований альянсом чотирьох найбільших європейських операторів. Якщо ви є клієнтом одного з них, ваше з’єднання вже потенційно «сумісне» з цим відстеженням.

Порада OPSEC: Хоча Utiq пропонує централізований портал керування згодою (consenthub.utiq.com) для відкликання доступу, найкращий захист залишається технологічним.

Підхід Zero-Trust для протидії Utiq

Філософія цифрового суверенітету, що просувається такими екосистемами, как Arpokrat, спирається на простий принцип: ніколи не довіряти мережевій інфраструктурі.

Щоб технічно нейтралізувати системи типу Utiq, необхідно приховати свій трафік від власного інтернет-провайдера:

Використання суверенного VPN: Шифруючи трафік одразу на виході з вашого пристрою, ви робите так, що провайдер бачить лише нечитабельний потік даних, спрямований до VPN-сервера. Він більше не може впроваджувати або зчитувати токени Utiq.
Мережа Tor (Orbot): Цибулева маршрутизація запобігає будь-якій наскрізній ідентифікації.
Шифрування DNS (DoH/DoT): Не дозволяє вашому оператору знати, які сайти ви збираєтеся відвідати.

На закінчення, Utiq — це доказ того, що інтернет-провайдери більше не хочуть залишатися просто «трубами»; вони прагнуть стати брокерами даних. Шифрування трафіку більше не є питанням вибору, це абсолютна необхідність для збереження вашої цифрової приватності.