2024 年，馬里蘭大學的兩位研究者在沒有任何特殊權限、也沒有專用硬體的情況下，反覆查詢蘋果的 Wi-Fi 定位服務，並在一年之內重建了全球二十多億個 Wi-Fi 存取點的精確位置。他們的論文 Surveilling the Masses with Wi-Fi-Based Positioning Systems 呈現了這張地圖能做到什麼：追蹤進出烏克蘭的裝備、觀察茂宜島大火之後的人口流動、透過某人家中的數據機盯住這個人。
這些裝置沒有一台開著 GPS。位置是從別的地方來的。
這是行動隱私領域最普遍的盲點：以為存在一個定位開關，只要關掉，手機就不再知道自己身在何處。這個信念在七個不同層面上都站不住腳。
定位不是手機開啟的一項功能，而是手機這個東西本身的性質。
GPS，反而是最不必擔心的一條路徑
唯一一個人人都說得出名字的機制，恰好也是最不該讓你憂心的那一個。
GNSS 是涵蓋美國 GPS、伽利略、GLONASS 與北斗的統稱，運作方式是接收。衛星持續發出帶有時間戳記的訊號，接收器收到其中數道，再依傳播時間差算出自身位置。空曠戶外的常見精度是三到五公尺，在城市裡往往是數十公尺，因為建築外牆會反射訊號。
關鍵在於這個計算是被動的。手機不會向衛星發出任何東西，沒有任何衛星業者知道你的存在。若場上只有 GNSS，關掉 GPS 就足夠了。
不過仍有一層細節。為了加快首次定位，手機會使用 A-GPS：透過 SUPL 協定從伺服器下載衛星星曆。為了取得正確的資料，手機會把自己所連接的網路細胞識別碼傳給那台伺服器。純粹的 GNSS 不會出賣你，但嫁接在它身上的加速機制會。
行動網路：電信業者在架構上必然知道的事
為了讓來電找得到你，網路必須知道你在哪個區域。這不是一個可以開啟的選項，而是這項服務得以存在的前提。你的手機持續向最近的基地台報到，而這筆登錄會在電信業者端留下紀錄。不需要安裝任何應用程式，不需要授予任何權限：一張啟用中的 SIM 卡就夠了。
精度取決於方法：
- 僅細胞識別碼：密集市區約 200 公尺，鄉村地區可達 30 公里以上，因為那裡一座基地台涵蓋極大的半徑。
- 強化型 Cell ID，再加上天線扇區（多數站台分為三個 120 度扇區）與訊號強度：從 100 公尺到數公里。
- 時序提前量（Timing advance），測量手機與基地台之間訊號往返的延遲：GSM 約 550 公尺等級，LTE 約 78 公尺。
- 以三座以上基地台進行的多點定位：市區 LTE 下為 50 至 300 公尺。
5G 因為兩個相互疊加的理由改變了量級。首先是密度：5G 細胞涵蓋的半徑短得多，因此單是接上去本身就已是精細的資訊。其次是標準化：自 Release 16 起，3GPP 納入了原生的定位訊號。商用目標是在 80 % 的終端上達到室內優於 3 公尺、室外優於 10 公尺，而 Release 18 在部分工業用途上已降到公分等級。
於是，把你接上網路的這套基礎設施本身就成了品質可與 GPS 相比的定位系統，而你什麼都沒有開啟。這些資料依各國規則保存，並依寬嚴不一的程序開放給主管機關。這與我們談託管資料適用何種司法管轄 時的根本爭議完全相同：技術上的保護與法律上的保護並不重疊。
Wi-Fi：一張由硬體位址組成的世界地圖
每個 Wi-Fi 存取點都持續廣播一組唯一的硬體識別碼，也就是 BSSID。這些識別碼固定不變，而且在地理上穩定：一台家用數據機會在同一個位置擺上好幾年。
蘋果、Google 與少數專門業者維護著把每個 BSSID 對應到座標的資料庫，而這些資料庫是由它們自家使用者的手機建立起來的，那些手機會在回報 GNSS 位置的同時，一併回報可見存取點的清單。接著操作被反轉：一台手機只要看到四個已知的存取點，就再也不需要任何衛星。在密集市區，精度通常可達數十公尺，在室內還會更低。
有兩項特性讓這套機制難以中和。第一，即使 Wi-Fi 看起來已經關閉，手機仍在掃描：自 Android 4.3 起，系統保留了一項用來改善定位的週期性掃描，與快速面板上的開關無關。這個行為取決於另一個獨立設定，深埋在定位服務之中，幾乎沒有使用者打開過。
第二，這個資料庫可以從外部查詢。這正是 Rye 與 Levin 所利用的破口：定位介面回傳的不只是所請求的位置，還包含鄰近存取點的位置，因此可以在從未實際靠近那些地點的情況下，把整張地圖收割下來。
藍牙與 BLE：被別人的手機定位
低功耗藍牙（BLE） 增加了一層鄰近資訊，作用範圍從數公尺到數十公尺，顆粒度因此比行動網路細緻得多。兩種用途並存。商業信標部署在商店、機場或購物中心，發出一組識別碼，由手機上的應用程式辨識，從而暴露你在哪個貨架前停留、停了多久。另一種則是協作式定位網路，蘋果的 Find My 是其範本，之後被 Google 與三星沿用。
第二種機制翻轉了一個隱含的假設。達姆城工業大學研究者發表於 PETS 2021 論文集的權威分析 Who Can Find My Devices? ，以逆向工程還原了蘋果的協定。一台離線裝置發出 BLE 訊號，附近任何一台蘋果裝置都會收到，附上自己的位置，加密後傳到蘋果的伺服器，而這既不為它的持有者所知，也不為被定位裝置的持有者所知。
後果是結構性的：一台沒有 SIM 卡、沒有 Wi-Fi、沒有任何網路連線的裝置依然可以被定位，只要有個陌生人口袋裡揣著手機從旁邊經過。你的隔絕不再取決於你的設定，而取決於路人的設定。
慣性感測器：不需要定位權限的定位
手機內含加速度計、陀螺儀、磁力計，通常還有氣壓計。這些感測器屬於與定位分開的權限類別：一個應用程式可以讀取它們，卻從未問過你身在何處。
普林斯頓的研究者以 PinMe 證明了這一點。他們的應用程式先從 IP 位址與時區取得一個粗略位置，接著讀取感測器：加速度計給出加速與煞車的曲線，陀螺儀給出轉彎的順序，磁力計給出行進方位，氣壓計給出高度變化。一個類神經網路判定移動方式，步行、汽車、火車或飛機，接著把路線與公開的地圖、高程與氣象資料相互比對。結果是：在沒有定位權限的情況下，得到一條精度可與 GPS 相比的軌跡。作者也記錄了這個方法的限制，它在沒有道路的區域會失效，在均勻的棋盤式街廓上會退化，因為大量路線會產生相同的特徵。但它仍然證明了：一個被拒絕的權限並不是一扇關上的門。
氣壓計另外補上了 GNSS 處理得不好的那個維度，也就是垂直方向。美國對緊急通話的要求是，80 % 的室內通話須達到正負 3 公尺的樓層精度。知道一個人在幾樓，和知道他在哪個街廓，是性質截然不同的兩件事。
資料市場：最平庸的一條路徑
前面的機制說明位置是怎麼被算出來的。剩下的問題是它去了哪裡，而日常風險的絕大部分正是在這裡發生。
數以千計的應用程式整合了廣告 SDK，也就是第三方提供的軟體模組，開發者加入它們，以便讓自己的作品變現或衡量觸及人數。這些模組會繼承宿主應用程式的權限：一個確實需要你位置的天氣應用程式，會把它交給一些你從未讀過名字的業者。除此之外還有廣告競價流，每顯示一次橫幅廣告，你的大致位置就被派送給數十家潛在買方，包括那些什麼都不買、只是在旁聆聽的。
這種原料養活了一整個產業。電子前哨基金會記錄了 Fog Data Science 的案例，該公司宣稱掌握超過 2.5 億台裝置的數十億個資料點，並賣給美國地方警察機關。Brian Krebs 則描述過 Locate X ，這項產品讓人可以在地圖上畫一個多邊形，然後檢視進出該區域的裝置歷史紀錄。
這條路徑不需要任何技術上的壯舉，只需要有人願意付錢。價格也不高。
IMSI 捕捉器：主動定位
到目前為止談到的機制，利用的都是系統的正常運作。此外還存在主動定位，由介入網路的第三方所執行。
IMSI 捕捉器，又稱偽基地台，是一種偽裝成合法基地台的設備。範圍內的手機會連上它，因而洩漏自己的用戶識別碼以及自己位於一個相當小的範圍之內。
5G 原本應該以加密識別碼 SUCI 取代明文傳送的永久識別碼，藉此關上這扇門。但門只關上了一半。以 5G SUCI-catchers: still catching them all? 為題發表的研究，記錄了多種關聯攻擊，即使有加密仍能把工作階段重新對應起來。更重要的是，如果攻擊者迫使終端退回到更早的世代，特別是認證為單向的 2G，保護就會完全失效。一台 5G 手機仍然可能敗給一種為 1990 年代網路設計的攻擊，因為它至今仍願意降到那裡。
各種對策，以及它們真正的效果
以下每一項措施都有作用。沒有任何一項能包辦全部，而它們的實際作用與外界所賦予的期待之間的落差，正是錯誤決策的來源。
飛航模式
飛航模式會切斷行動數據機、Wi-Fi 與藍牙的發射。這是實實在在的效果，也是以如此低的代價所能換得的最佳結果。
它做不到的是：它不會停下慣性感測器，不會刪除已快取的位置，那些位置會在重新連線時送出去；而且在多數裝置上，你可以不離開飛航模式就單獨把 Wi-Fi 或藍牙重新打開。最後，它是一個軟體狀態，而不是斷電：它的可靠性取決於執行它的那套系統是否完好。
一個被低估的細節：脫離網路與重新登錄本身，就是電信業者端帶有時間戳記的事件。一支手機在 21 點於某個細胞消失、23 點在另一個細胞重新出現，它所產生的是資訊，而不是沉默。
MAC 位址隨機化
如今的行動系統在掃描時會發出隨機的 MAC 位址，以阻止從一個地方到另一個地方的追蹤。用意良善，結果並不完整。包括 Why MAC Address Randomization is not Enough 在內的權威研究指出，探測訊框的內容往往就足以重新辨識裝置：資訊元素的數量、數值與排列順序共同構成一枚指紋。再加上序號是遞增的、因而可以串接起來，以及每個機型特有的時序特徵。有些研究回報，能對半數裝置做到至少二十分鐘的正確追蹤。
最後還有一個概念上的界線：隨機化只涉及探索階段。一旦你連上某個網路，所使用的位址對這個網路而言就是固定的，這是設計使然，否則連線無法運作。你每天早上都去的那家咖啡館認得你。
真正把掃描關掉
這是效益最高、也最常被忽略的設定。在 Android 上，Wi-Fi 搜尋與藍牙搜尋是兩個獨立的選項，位在定位服務之中，與快速面板上的開關無關。只要它們還開著，從面板關掉 Wi-Fi 並不夠：掃描仍在持續。
把它們停用，等於移除一整層蒐集，代價僅僅是首次定位稍慢一些。對多數讀者而言，這是所付出的努力與所得結果之間最划算的比例。
應用程式權限
對那些顯然不需要定位的應用程式收回定位權限依然有用，而較新的系統提供了三種等級：單次授權、僅在使用期間授權，以及概略位置，後者只傳送一個公里等級的區域。
但這既擋不住寄生在某個確有正當理由存取你位置的應用程式中的 SDK，也擋不住慣性感測器，更擋不住根本不經過任何權限的網路層。
VPN 保護不了的東西
有一點需要澄清，因為相反的看法非常普遍：VPN 不會隱藏你的位置。它隱藏的是你的公開 IP 位址，因此會擾亂以 IP 為基礎的定位，而那本來就是這份清單裡最粗糙的機制。
VPN 既不觸及 GNSS 接收器，也不觸及 Wi-Fi 掃描、藍牙或感測器。它完全改變不了電信業者所知道的事，因為加密隧道正是經由它的基地台傳輸，細胞連線對它始終可見。它也阻止不了一個握有定位權限的應用程式在隧道內部送出精確座標。VPN 保護的是你在不可信網路上通訊的內容與目的地，這已經很有價值。定位不在它的職責範圍內。
物理上的界線
法拉第袋是字面意義上的有效：它阻斷發射與接收。在還能拆卸電池的裝置上，拆掉電池同樣有效。使用專用裝置，或者乾脆把手機留在別處，仍然是最穩固的做法。
這些方案有一個必須正視的共同缺陷：它們製造出異常。一支手機每週二晚上沉默兩小時，本身就在說話。面對一個分析行為模式而非瞬時位置的對手，缺席就是資料。
三種對手，三種策略
這是本文最重要的區分，也是最少被人寫到的區分。
面對廣告主或資料仲介，這場仗打得贏。嚴格管理權限、關閉掃描、使用不含專有定位服務的系統、重設廣告識別碼：這些加總起來能大幅壓低被蒐集的量。這類對手要的是便宜的量，而不是你這個具體的人。
面對你的電信業者，任何設定都不夠。行動網路定位是這項服務的前提。唯一真實的變數是法律面的，也就是法律允許保存與提供什麼，以及物質面的：用哪台裝置、哪張 SIM 卡、登記在誰名下、在哪裡開機。
面對有針對性的國家級對手，推理又要再改變，因為它會結合對電信業者資料的合法調取、以偽基地台進行的主動定位、向平台發出的調取要求，以及必要時對終端本身的入侵。軟體層面的對策能縮小暴露面，但務實的目標並不是消失：而是清楚知道還有什麼暴露在外。
ArpokratOS 的做法
ArpokratOS 對這個局面的回應，源自上述的區分：需要被中和的東西，在系統層級被中和，而不是放進某個選單裡。
在 GNSS 方面，硬體驅動程式被移除。裝置的表現就像那顆晶片不存在一樣，對應用程式如此，對系統本身亦然。這與設定裡的一個開關之間的差別並非表面功夫。開關是一種政策：它由某一層來執行，而這一層可能被權限足夠高的元件繞過、被一次更新重新啟用，或被一個已遭入侵的系統忽略。移除程式碼路徑則讓這個問題不復存在，因為已經沒有東西可以啟用。
藍牙在 Core 層級以同樣的邏輯處理。在許多裝置上，設定裡關掉的藍牙實際上仍讓軟體堆疊保持活著，以支撐鄰近服務與協作式定位網路。而在系統層級缺席之後，它既無法與商店信標對話，也無法參與 Find My 之類的網路，更無法成為無需互動的攻擊面。
必須明確說出它做不到什麼。**ArpokratOS 不會讓手機變得無法被偵測。**只要 SIM 卡是啟用的，電信業者就知道你連上的是哪個細胞，沒有任何作業系統能改變這一點，即使把全部流量都走 Tor 也一樣。路由保護的是內容與目的地，不是無線電幾何關係。任何承諾隱形的人，都是在賣故事。
這樣一套架構所帶來的東西謙遜得多：移除應用層與鄰近層，實際蒐集的絕大部分正是經由它們發生，同時對剩下的部分給出明確的威脅模型。這與選擇桌面系統時的推理是同一套，我們在作業系統比較 中已詳細說明：有用的問題不是一個工具是否能保護你，而是它保護你不受什麼侵害，以及代價為何。
結語
本文不提供消失的方法。這種方法並不存在，而宣稱相反的文字，主要製造的是虛假的安全感，那比毫無保護更危險，因為它會讓人去冒險。
目的是把一個二元問題，也就是我是否會被定位，換成一個有用的問題：被誰定位、精度如何、對方要付出多少代價，以及我是否在意。對於保護消息來源的記者、前往敏感司法管轄區出差的高階主管、行程本身就會洩漏策略的律師，以及只是不滿廣告主掌握自己習慣的一般人，答案各不相同。
真正值得注意的，其實不是這些機制單獨拿出來的效能，而是它們彼此重疊。五十公尺精度的一個位置並不怎麼有意思。但五十公尺精度的位置，每十五分鐘一次，持續兩年，就描繪出一處住所、一個工作地點、一種信仰、一種健康狀況、一段私情、一個消息來源。位置資料正是那種讓其他所有資料變得可讀的中繼資料，它之所以昂貴，原因就在這裡。
參考資料
- Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
- Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
- Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
- Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
- Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
- 5G NR Positioning Enhancements in 3GPP Release-18
- Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
- Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
- Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense