Selfoonnetwerke on Arpokrat

SMS-tweefaktorverifikasie beskerm niks meer nie: wat om eerder te gebruik

Tue, 08 Sep 2026 00:00:00 +0000

Op 9 Januarie 2024 het die amptelike X-rekening van die Securities and Exchange Commission, die Amerikaanse reguleerder van finansiële markte, die goedkeuring van Bitcoin-ETF’s aangekondig, ’n besluit waarop die mark maande lank gewag het. Binne minute het Bitcoin met meer as 1 000 dollar per eenheid gestyg. Toe ontken die SEC dit: die rekening is gekaap. Die prys het met meer as 2 000 dollar teruggeval.

Wat hierdie saak leersaam maak, is nie die omvang van die markbeweging nie, maar hoe alledaags die middel was. Volgens die persverklaring van die Amerikaanse Departement van Justisie het die 26-jarige Eric Council Jr. ’n vals identiteitsdokument met ’n draagbare kaartdrukker gedruk, by ’n AT&T-winkel ingestap en ’n werknemer oorreed om die telefoonnommer wat aan die rekening gekoppel is, na ’n SIM-kaart onder sy beheer oor te dra. Hy het toe die wagwoordherstelkodes per SMS ontvang en dit aan sy medepligtiges gegee. Op 16 Mei 2025 is hy tot 14 maande gevangenisstraf gevonnis.

Een verduideliking is nodig, wat die lees van die saak verander sonder om die les daarvan te verswak. Volgens die amptelike verklaring van die SEC is die multifaktorverifikasie op daardie rekening in Julie 2023 afgeskakel, op versoek van die span self. SMS was dus ten tyde van die voorval nie die tweede faktor nie, maar die herstelkanaal. En juis dít maak die voorbeeld nuttig: of dit nou tweede faktor of agterdeur is, die telefoonnommer bly die punt waar die ketting breek.

Wat ’n tweede faktor veronderstel is om te waarborg

Die beginsel pas in een sin. ’n Wagwoord alleen is iets wat jy weet; daarby kom iets wat jy het (’n foon, ’n fisiese sleutel) of iets wat jy is (’n vingerafdruk). Iemand wat jou wagwoord uit ’n datalek steel, beskik daardeur nie ook oor jou fisiese voorwerp nie.

Dié redenasie rus op ’n aanname wat selde uitgespel word: dat die tweede faktor werklik aan ’n voorwerp in jou besit gekoppel is, en dat die aanbieding daarvan iets bewys oor die plek waar jy aanmeld. SMS misluk op albei punte.

SMS is nie ’n besitsfaktor nie

Om ’n kode per SMS te ontvang, bewys nie dat jy ’n toestel besit nie, maar dat ’n telefoonnommer, toegeken deur ’n netwerkoperateur en deur dieselfde operateur verander kan word, na ’n toestel wys. Dis nie dieselfde ding nie. Drie roetes benut hierdie gaping, en hulle word nie op dieselfde manier toegemaak nie.

SIM-omruiling

Dit is die aanval uit die SEC-saak, en dit steun op geen tegniese gebrek nie. Die aanvaller versamel persoonlike inligting oor die teiken, dikwels reeds beskikbaar uit openbare lekke, en kontak dan die operateur terwyl hy hom as daardie persoon voordoen: foon verloor, skuif asseblief die nommer na ’n nuwe SIM. As hy oortuigend is, of as ’n werknemer saamspeel, verwissel die nommer van hand en al die SMS’e beland by hom. Die IC3-jaarverslag van 2024, die klagtesentrum van die FBI, teken vir daardie jaar alleen 982 klagtes van SIM-omruiling en byna 26 miljoen dollar aangemelde verliese aan, en tel net slagoffers wat ’n klag ingedien het. Geen sagtewareopdatering maak hierdie roete toe nie: dit mik nie op sagteware nie, maar op ’n besigheidsproses wat deur mense bedryf word.

Onderskepping via SS7

Signaling System 7 is die protokol wat telefoonnetwerke wêreldwyd in staat stel om met mekaar te praat: ’n oproep te roeteer, swerwing te hanteer, ’n SMS van een operateur na ’n ander af te lewer. Dit is in 1975 ontwerp, toe die klub van operateurs geslote en klein was en elkeen die ander van nature as betroubaar beskou het. Daarom bevat dit geen ingeboude verifikasie tussen netwerke nie: ’n versoek wat wettig lyk, word as wettig hanteer.

Dit is nie ’n teoretiese swakheid nie. In Desember 2014 het die Duitse navorsers Tobias Engel en Karsten Nohl dit in die openbaar by die Chaos Communication Congress gedemonstreer: die opspoor van ’n intekenaar en die onderskepping van sy SMS’e met net die telefoonnommer as vertrekpunt. In 2017 is werklike uitbuiting bevestig: die Duitse operateur O2-Telefónica het erken dat kliënte se bankrekeninge leeggemaak is nadat die aanvallers toegang tot die netwerk van ’n buitelandse operateur verkry en SMS-aanstuur opgestel het om die bank se bevestigingskodes te vang.

Kitsuitvissing

Die derde roete is die belangrikste, want dit hang van geen telekommunikasiegebrek af nie en oorleef alles wat in die vorige twee reggemaak sou word.

’n Vals werf boots die aanmeldbladsy van ’n diens volmaak na. Jy voer jou gebruikersnaam en wagwoord daar in, wat die vals werf onmiddellik na die egte een aanstuur, en dié stuur ’n SMS na jou foon. Die SMS bereik jou werklik, en dit is eg. Jy tik die kode op die vals werf in, wat dit op sy beurt binne sekondes aanstuur. Die sessie gaan oop, en dis die aanvaller wat dit vashou.

Dit word ’n adversary-in-the-middle-aanval genoem. Dit is geïndustrialiseer: gereedskap soos Evilginx, ’n omgekeerde instaanbediener wat in 2017 verskyn het, of stelle wat teen ’n maandelikse intekening verkoop word, maak dit sonder enige besondere vaardigheid toeganklik. Wat trouens gesteel word, is nie net die kode nie, maar die sessiekoekie, wat daarna toelaat om aangemeld te bly sonder om weer deur enige verifikasie te gaan.

Die punt is argitektonies. Die kode wat per SMS gestuur word, dra geen inligting oor die werf wat dit aangevra het nie. Dit kan dus nie eg van vals onderskei nie: dit is geldig oral waar dit ingetik word.

Dit is nie meer ’n mening nie, dit is ’n amptelike standpunt

Die sterkste argument teen SMS kom nie van verskaffers van oplossings nie, maar van die instellings wat die standaarde skryf.

In Julie 2025 het die Amerikaanse NIST die finale weergawe van SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management gepubliseer. Die teks skep ’n uitdruklike kategorie beperkte verifikasiemiddels, voorbehou vir meganismes waarvan die weerstandsvermoë saam met die ontwikkeling van bedreigings verswak het. Afdeling 3.1.3.3 plaas die gebruik van die openbare geskakelde telefoonnetwerk daar, dit wil sê kodes wat per SMS of stemoproep gestuur word: “Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.” Konkreet moet ’n diens wat dit steeds gebruik ’n onbeperkte alternatief bied, sy gebruikers oor die risiko inlig en ’n migrasieplan hê.

In Desember 2024 het CISA, die Amerikaanse kubersekuriteitsagentskap, sy Mobile Communications Best Practice Guidance gepubliseer, ná die Salt Typhoon-spioenasieveldtog waarin akteurs met bande aan die Chinese staat by verskeie Amerikaanse telekommunikasie-operateurs ingedring het. Die bewoording laat geen ruimte vir uitleg nie: “Do not use SMS as a second factor for authentication. SMS messages are not encrypted”, en verder aan, sonder omhaal: “Only FIDO authentication is phishing-resistant.” Die dokument beveel uitdruklik FIDO-hardewaresleutels aan, met Yubico en Google Titan by die naam, en stel dit duidelik dat SMS afgeskakel moet word sodra FIDO geaktiveer is, anders bly dit as ’n uitbuitbare terugvalroete bestaan.

Verifikasieprogramme: werklike vooruitgang, ’n gedeeltelike oplossing

TOTP-programme, van Time-based One-Time Password, genereer ’n sescyferkode wat elke dertig sekondes verander en plaaslik bereken word uit ’n geheim wat by aktivering gedeel is en uit die huidige tyd. Niks beweeg oor die telefoonnetwerk nie.

Die wins is onmiddellik: SIM-omruiling word doelloos omdat die nommer nie meer betrokke is nie, en SS7-onderskepping ook, omdat geen boodskap vervoer word nie. Om na ’n verifikasieprogram oor te skakel, is die moeite werd by elke rekening wat nie verder kan gaan nie.

Maar die derde roete bly heeltemal ongeskonde. ’n TOTP-kode wat op ’n vals werf ingetik word, word presies soos ’n SMS-kode na die egte werf aangestuur. Die program weet nie waar jy aanmeld nie: dit wys ’n getal, en daardie getal is geldig by enigeen wat dit binne sy dertigsekondevenster aanbied. CISA stel dit in dieselfde woorde: verifikasiekodes is beter as SMS, maar bly kwesbaar vir uitvissing.

TOTP is ’n eerlike tussenstap, nie ’n bestemming nie.

Waarom ’n FIDO2-sleutel die aard van die probleem verander

’n FIDO2/WebAuthn-hardewaresleutel maak die aanval nie net moeiliker nie, dit ontneem dit die meganiese moontlikheid.

By registrasie op ’n diens genereer die sleutel ’n kriptografiese sleutelpaar wat aan daardie diens toegewy is. Die openbare deel gaan na die diens, die private deel verlaat nooit die skyfie nie en is nóg uitvoerbaar nóg leesbaar. Geen gedeelde geheim wat gekopieer kan word nie, geen sescyferkode om te onderskep nie.

Dan kom die beslissende meganisme, die binding aan die oorsprong. By aanmelding gee die blaaier die werklike domeinnaam van die vertoonde bladsy aan die sleutel deur. Daardie inligting word by die data ingesluit wat onderteken word, en die blaaier dwing dit af: die bladsy se JavaScript kan dit nóg verander nóg vervals.

’n FIDO2-sleutel maak uitvissing nie moeiliker om te laat slaag nie. Dit maak die uitkoms van uitvissing onbruikbaar.

Kom ons neem die adversary-in-the-middle-aanval weer, hierdie keer met ’n sleutel. Die vals werf is volmaak, die slagoffer merk niks op nie en raak sy sleutel aan. Die blaaier gee die werklike domein van die bladsy deur, dié van die bedrieglike werf. Die sleutel stel vas dat daar geen paar vir daardie domein bestaan nie, of onderteken daarvoor en lewer ’n handtekening wat die egte diens sal verwerp. In albei gevalle kry die aanvaller niks bruikbaars nie.

Daar lê die verskil in aard. Met SMS of TOTP rus die sekuriteit uiteindelik op die waaksaamheid van die gebruiker, op sy vermoë om ’n vervalste domein in ’n adresbalk raak te sien, op ’n oomblik wanneer hy haastig is en die bladsy normaal lyk. Met FIDO2 word daardie kontrole deur ’n masjien gedoen, elke keer, sonder om van iemand se aandag af te hang. Dit is hierdie oordrag van verantwoordelikheid wat tel, meer as die kriptografiese sterkte.

Die uitwerking is meetbaar. Google het die sleutels aan die begin van 2017 vir sy werknemers verpligtend gemaak en in 2018 verklaar dat geen enkele rekeningkompromittering aangeteken is nie onder meer as 85 000 mense.

Die werklike grense van hardewaresleutels

Om hulle as volmaak voor te hou, sou oneerlik wees, en nutteloos om die werklike besluite voor te berei.

Die koste bestaan. Reken op 25 tot 60 euro na gelang van die model, meer vir biometriese weergawes, en vermenigvuldig dit met twee.

Om ’n sleutel te verloor, is die werklike risiko. ’n Enkele sleutel op ’n kritieke rekening is ’n ontwerpfout. Daar moet twee op elke belangrike rekening geregistreer wees, waarvan een elders bewaar word, by ’n na familielid of in ’n kluis. Die tweede is nie gerief nie, dit is wat die eerste sonder vrees bruikbaar maak.

Die dekking is onvolledig. Baie dienste, veral bankdienste in Europa, ondersteun FIDO2 nog nie, vandaar die prioriteitsvolgorde hieronder.

’n Sleutel kan gesteel word. Daarom is dit nodig om ’n PIN op die sleutel te aktiveer, of ’n model met ’n vingerafdruk te kies: daarsonder is die voorwerp alleen genoeg vir wie dit optel.

Die terugvalroete bly die swakste skakel. Om FIDO2 te aktiveer sonder om SMS af te skakel, beskerm teen niks nie: ’n aanvaller neem eenvoudig die pad wat oop gebly het. Die migrasie is eers klaar wanneer die ou meganisme van die rekening verwyder is, herstelopsies ingesluit.

Wat die hardeware betref, dek die YubiKey-reeks die breedste spektrum protokolle, die Google Titan-sleutels is goedkoper en bly tot FIDO beperk, Nitrokey en SoloKeys bied alternatiewe met oop en ouditeerbare fermware, en Token2 maak modelle met ’n ingeboude syferbord waar die PIN op die sleutel self ingetik word eerder as op die sleutelbord. Daar is geen slegte keuse onder die FIDO2-gesertifiseerde sleutels nie: die protokol is dieselfde en net die newegebruike verskil.

Waar om te begin wanneer jy nie alles kan verander nie

Die volgorde van migrasie is nie ’n kwessie van voorkeur nie, dit vloei uit die afhanklikhede tussen jou rekeninge.

Eers die hoofposbus. Dit ontvang die herstelskakels van byna alles anders. ’n Aanvaller wat dit beheer, neem die ander rekeninge een vir een oor, sonder om enige van hulle direk aan te val. Niks verdien dit om voor haar beveilig te word nie.
Die wagwoordbestuurder. Dit bundel die eerste faktor van al jou toegange, dus moet die beskerming daarvan opweeg teen dié van die bes beskermde rekening wat dit bevat. Dit is die oomblik om die gehalte van die hoofwagwoord na te gaan, ’n onderwerp wat ons in ons artikel oor entropie en die wetenskap agter jou sekuriteit uitvoerig behandel.
Finansiële rekeninge en kriptoplatforms. Teikens met onmiddellike waarde, waar ’n kompromittering binne minute ’n onomkeerbare verlies word.
Sosiale rekeninge met ’n gehoor. Die SEC-saak wys wat die woord van ’n gevolgde rekening werd is, en die skade tref nie altyd die eienaar daarvan nie.
Die res kan wag, met ’n TOTP-program in die plek van SMS. ’n Forum of ’n stroomdiens regverdig nie dieselfde moeite nie.

Vir rekeninge wat FIDO2 nog nie ondersteun nie: skakel oor na TOTP waar dit ook al moontlik is, en vra jou operateur om ’n slot op die oordraagbaarheid van jou nommer, by die meeste ’n gratis opsie.

Wat dit oor Arpokrat se benadering sê

Hierdie artikel beskryf ’n probleem wat net bestaan omdat ’n identifiseerder in die middel van die stelsel geplaas is. Die telefoonnommer is nooit as bewys van identiteit ontwerp nie: dit het uit gewoonte die ruggraat van aanlyn verifikasie geword, en al drie die aanvalle hierbo beskryf, buit juis hierdie verdraaiing van gebruik uit.

Dit is die redenasie agter die ontwerp van die Arpokrat Messenger-protokol: geen telefoonnommer, geen e-posadres, geen rekening nie. Die gebruiker bestaan as ’n stel kriptografiese sleutels wat op sy eie toestel bewaar word, en kontak kom deur eenmalige uitnodigingsskakels tot stand. Die logika is dié van FIDO2, ’n trap hoër: wat ’n derde party nie het nie, kan nie van hom afgeneem word nie, nie deur sosiale ingenieurswese teen ’n operateur nie en nie deur ’n regsbevel nie. Hierdie samehang met die Zero-Knowledge-argitektuur werk ons uit in ons artikel oor versamel nou, ontsyfer later.

’n Hardewaresleutel wat onderteken sonder om ooit sy geheim prys te gee, is trouens ook hoe ’n vanlyn kriptobeursie werk, soos uiteengesit in ons volledige gids tot die cold wallet: hou die geheime deel in ’n toegewyde voorwerp, en laat niks anders as ’n handtekening daaruit kom nie.

Slot

SMS-tweefaktorverifikasie is nie sleg ontwerp nie. Toe dit in die vroeë 2010’s algemeen geword het, was dit ’n aansienlike vooruitgang op die wagwoord alleen, en dit het die enigste eienskap gehad wat op groot skaal saak maak: almal het reeds ’n foon gehad.

Die probleem is nie die uitvinding daarvan nie, maar die voortbestaan daarvan. Die SS7-demonstrasies dateer uit 2014, die werklike bankuitbuiting uit 2017, die industrialisering van kitsuitvissing uit die einde van daardie dekade. CISA het in 2024 geskryf dat dit nie meer gebruik moet word nie, NIST het die beperking in 2025 geformaliseer. Sowat tien jaar skei die oomblik waarop die gebreke op groot skaal uitbuitbaar geword het van die oomblik waarop instellings dit swart op wit neergeskryf het. En SMS bly by die meeste dienste vir die algemene publiek die verstek tweede faktor.

Daardie gaping is die werklike inligting van hierdie artikel. Sekuriteitsmeganismes verdwyn nie wanneer hulle ophou werk nie, maar wanneer iets net so eenvoudig hulle plek kom inneem, en dít duur veel langer. Die vraag is dus nie of jy SMS moet laat vaar nie, dit is jare gelede reeds beslis. Die vraag is watter ander beskermings wat jy as vanselfsprekend aanvaar, reeds, sonder dat iemand dit nog neergeskryf het, in dieselfde situasie verkeer.

Bronne

Amerikaanse Departement van Justisie, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 Mei 2025
Securities and Exchange Commission, SECGov X Account, amptelike verklaring van 22 Januarie 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, finale weergawe, Julie 2025
CISA, Mobile Communications Best Practice Guidance, 18 Desember 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, demonstrasie van Tobias Engel en Karsten Nohl, Desember 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, Mei 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, Julie 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, WebAuthn-spesifikasie

5G, liggingsdata en die reg se verkeerde teiken

Tue, 18 Aug 2026 00:00:00 +0000

In 2011 het die Detroit-polisie by ’n selfoonoperateur die geskiedenis opgevra van hoe Timothy Carpenter se foon aan torings gekoppel het. Hulle het 12 898 liggingspunte oor 127 dae ontvang, ongeveer honderd per dag. Sewe jaar later het die Hooggeregshof van die Verenigde State beslis dat hierdie versoek ’n deursoeking was en ’n lasbrief vereis het.

Daardie 12 898 punte het van vierdegenerasie-torings gekom, wat elk ’n radius van etlike kilometers gedek het. Dieselfde versoek, vandag aan ’n stedelike 5G-netwerk gerig, sou nie honderd punte per dag met ’n paar kilometer se akkuraatheid teruggee nie. Dit sou ’n veel groter volume teruggee, met ’n paar dosyn meter se akkuraatheid.

Die tegnologie het van skaal verander. Die regsredenasie het op dieselfde plek in die ketting bly staan.

’n Regsbelang wat regters aan albei kante van die Atlantiese Oseaan erken

Daar bestaan ’n belang wat byna almal erken en wat byna geen wetsteks doeltreffend beskerm nie: die reg om êrens te wees sonder dat daardie feit aangeteken word.

Die Europese regspraak het dit ondubbelsinnig vasgestel. In Digital Rights Ireland (gevoegde sake C-293/12 en C-594/12, 8 April 2014), en daarna in Tele2 Sverige en Watson (gevoegde sake C-203/15 en C-698/15, Groot Kamer, 21 Desember 2016), het die Hof van Justisie van die Europese Unie beslis dat hierdie data, in hul geheel geneem, dit moontlik maak om baie presiese afleidings oor mense se privaat lewe te maak: gewoontes van die daaglikse lewe, verblyfplekke, bewegings, aktiwiteite wat beoefen word, en sosiale verhoudings.

Die Hooggeregshof van die Verenigde State het ’n verwante gevolgtrekking bereik in Carpenter v. United States, 585 U.S. 296 (2018). Dit het klem gelê op ’n punt wat die Amerikaanse regsleer breedvoerig bespreek het: die onontkombare en outomatiese aard van hierdie insameling. Niemand stem in om aan ’n toring gekoppel te word nie; jy is gekoppel omdat jy ’n foon het wat aan is.

Die regsbelang bestaan dus, en dit word erken deur die twee howe wat op hierdie gebied gewig dra. Die probleem lê elders.

Wat 5G werklik verander het

’n Algemene verwarring is om ligging te behandel as data wat die foon uitstuur, net soos ’n boodskap of ’n foto. Dit is nie so nie. Ligging is ’n fisiese gevolg van hoe die netwerk werk. Die operateur weet aan watter toring die toestel gekoppel is omdat hy dit moet weet om ’n oproep deur te stuur. Daar bestaan geen sleutel om hierdie inligting te enkripteer nie, want dit is nie inhoud nie maar ’n eienskap van die verbinding self.

Juis dit maak 5G betekenisvol op regsvlak, en nie op tegniese vlak nie.

Vroeëre argitekture het op wye selle berus. ’n 4G-toring bedien gewoonlik ’n radius van etlike kilometers, en die posisie wat bloot uit die koppeling afgelei is, is in stede in honderde meter gemeet, op die platteland soms in tiene kilometers. 5G berus op massiewe verdigting: stedelike selle dek tipies ’n paar honderd meter, en die ingenieursliteratuur reken met digthede in die orde van veertig tot vyftig basisstasies per vierkante kilometer, teenoor vier of vyf in die 3G-era.

Die gevolg is meganies. Volgens Ericsson se witskrif oor 5G-posisiebepaling bereik die infrastruktuur wat slegs vir konnektiwiteit ontplooi is ’n akkuraatheid van twintig tot vyftig meter buite en van een tot drie meter binne, en sak dit onder een meter in gunstige stedelike toestande. Dit gaan nie oor ’n liggingsfunksie wat êrens aangeskakel is nie, maar oor wat die netwerk uit sy aard weet, sonder dat ’n enkele toepassing geïnstalleer of ’n enkele toestemming verleen is. Ons het al hierdie meganismes, sowel as die teenmaatreëls wat werklik werk, uiteengesit in ons artikel oor die foon se voortdurende geoligging.

Die indringing het dus met etlike ordes van grootte toegeneem. Die toepaslike regsraamwerk bly dié wat vir 2G en 3G bedink is. Geen normatiewe aanpassing het hierdie skaalverandering vergesel nie.

Die reg beskerm toegang, nie ontstaan nie

Die Europese reg reël sorgvuldig wie toegang tot liggingsdata mag hê, onder watter voorwaardes en onder watter toesig. Riglyn 2002/58/EG stel die beginsel van vertroulikheid van kommunikasie, en die Hof van Justisie het in La Quadrature du Net (gevoegde sake C-511/18, C-512/18 en C-520/18, Groot Kamer, 6 Oktober 2020) beslis dat artikel 15(1) van daardie riglyn, gelees in die lig van artikels 7, 8, 11 en 52(1) van die Handves, ’n algemene en onderskeidlose bewaring van verkeers- en liggingsdata by wyse van voorkoming uitsluit. Die Hof het nietemin afgebakende afwykings toegelaat wanneer ’n lidstaat ’n ernstige bedreiging vir die nasionale veiligheid in die gesig staar wat werklik en huidig of voorsienbaar blyk te wees, onderworpe aan doeltreffende toesig.

Dit is werklike beskermings, en dit sou onsinnig wees om hulle af te maak. Maar hulle tree almal ná die tyd in werking. Hulle veronderstel dat die data bestaan, dat dit bewaar word, en reël dan die voorwaardes vir die gebruik daarvan.

As ligging egter ’n onvermydelike neweproduk van die netwerk se werking is, is die tersaaklike punt van ingryping nie vertroulikheid nie. Dit is volharding.

’n Oombliklike posisie, nodig om ’n kommunikasie deur te stuur en onmiddellik daarna uitgewis, is nie ’n instrument van toesig nie. ’n Geskiedenis van posisies wat maande lank bewaar word, is dit wel, ongeag watter toegangswaarborge dit omring.

Die verskil tussen die twee is nie regs van aard nie, maar argitektonies. En die Europese tydskedule maak die vraag dringend eerder as teoreties. Die Kommissie het die voorgestelde ePrivacy-verordening in 2025 teruggetrek, weens ’n gebrek aan ooreenkoms tussen die medewetgewers. Sedertdien werk sy aan ’n afsonderlike instrument oor databewaring vir strafregtelike doeleindes, aangekondig vir 2026, wat nasionale stelsels moet harmoniseer wat uiteengeloop het sedert die riglyn van 2006 nietig verklaar is. Met ander woorde, die teks wat vir ’n dekade die regime van liggingsmetadata sal bepaal, word op hierdie oomblik geskryf, op grond van ’n redenasie wat in die era van kilometergroot selle bedink is.

Die presedent wat 5G self geskep het

Die interessantste aspek van die saak is dat die regte antwoord reeds in die tegniese standaard staan, maar op ’n ander voorwerp toegepas is.

Tot en met 4G het die intekenaar se permanente identifiseerder, die IMSI, ongeënkripteer oor die radiokoppelvlak beweeg tydens die aanhegting. Dit is wat IMSI-vangers moontlik gemaak het, daardie vals basisstasies wat, volgens die verwysingsbeskrywing van die Electronic Frontier Foundation, sterker uitsaai as die wettige torings om toestelle te lok en hul identifiseerder te vang.

Sedert Release 15 van die 3GPP-spesifikasies, in 2019 gepubliseer, bring 5G ’n elegante antwoord. Die permanente identifiseerder, nou die SUPI genoem, kan op die radiokoppelvlak vervang word deur die SUCI, ’n verskuilde identifiseerder wat verkry word deur die intekenaarspesifieke deel te enkripteer met elliptiese-kromme-kriptografie, met die tuisoperateur se publieke sleutel. Slegs die tuisnetwerk, wat die ooreenstemmende private sleutel hou, kan dit ontsyfer. Die resultaat is uniek by elke berekening, wat korrelasie van die een sessie na die ander verhoed.

Die logika wat gevolg is, verdien beklemtoning, want dit is presies die logika wat die wetgewer behoort te lei: mens enkripteer nie die posisie nie, wat tegnies onmoontlik sou wees, mens enkripteer die identiteit. ’n Posisie sonder ’n toekenbare identiteit het baie beperkte waarde vir geïndividualiseerde toesig.

Die leemte: ’n opsionele beskerming

Daar is egter ’n aansienlike voorbehoud, en dit is na ons mening die mees konkrete punt van ingryping in die hele saak.

Die witskrif NIST CSWP 36A, in Maart 2026 deur die National Institute of Standards and Technology gepubliseer, stel dit sonder omhaal. Toestelle en netwerkfunksies wat aan Release 15 of later voldoen, moet die SUCI ondersteun, maar die aktivering daarvan bly opsioneel vir die operateur. Drie voorwaardes moet saamval: die toerustingvervaardiger moet dit ondersteun, die operateur moet dit op sy netwerk aanskakel, en die SIM-kaart moet die elemente dra wat vir die berekening nodig is.

Daarby kom ’n konfigurasieslagyster. Die standaard voorsien ’n nul-beskermingskema, waarin die SUCI-formaat formeel gebruik word maar sonder werklike enkripsie, sodat die identifiseerder oop beweeg. NIST skryf dat dit nodig is dat die operateur sy netwerk met ’n nie-nul beskermingskema konfigureer, en herinner daaraan dat ’n verslag van CSRIC, die adviesliggaam van die Federal Communications Commission, reeds in 2021 aanbeveel het dat die nulskema slegs vir noodoproepe van ’n toestel wat die netwerk nie ken nie, voorbehou word.

Die stelling verdien dit om net so te bly staan. Die beste beskikbare beskerming teen die volg van mobiele toestelle bestaan sedert 2019 in die tegniese standaard. Dit berus op ’n konfigurasiekeuse wat aan die operateur se diskresie oorgelaat word. ’n Amerikaanse federale agentskap ag dit nuttig om in 2026 ’n dokument te publiseer om te herinner dat dit aangeskakel behoort te word. En geen Europese regsinstrument skryf dit voor nie.

Daar moet bygevoeg word dat die SUCI nie die onderwerp afsluit nie. Die werk wat onder die titel 5G SUCI-catchers: still catching them all? aangebied is, dokumenteer koppelbaarheidsaanvalle wat dit moontlik maak om sessies ondanks die enkripsie weer te korreleer, en die beskerming val heeltemal weg indien die aanvaller die toestel dwing om na ’n vroeëre generasie terug te val. ’n Regsplig sou dus nie alles oplos nie. Dit sou nietemin ’n gaping verwyder waarvoor geen verdedigbare regverdiging bestaan nie: dié tussen wat die standaard toelaat en wat kommersiële netwerke doen.

Drie samehangende ingrepe

As mens die gedagte ernstig opneem dat ligging deur ontwerp geminimaliseer moet word eerder as om ná die tyd beskerm te word, volg drie maatreëls logies.

Maak die doeltreffende verskuiling van die identifiseerder verpligtend. Verplig die aktivering van die SUCI en verbied nul-beskermingskemas op kommersiële netwerke, behalwe in die oorblywende geval van noodoproepe. Dit gaan nie oor die voorskryf van ’n nuwe tegnologie of die finansiering van ’n ontplooiing nie, maar oor die eis dat ’n funksie aangeskakel word wat sewe jaar gelede gestandaardiseer is en reeds in die toerusting teenwoordig is.
Behandel bewaring as die uitsondering, nie as die verstek nie. Die posisie wat nodig is om ’n kommunikasie deur te stuur, behoort uitgewis te word sodra daardie funksie vervul is. Die opbou van ’n geskiedenis behoort ’n spesifieke regverdiging te vereis. Dit is die verskil tussen ’n netwerk wat weet waar jy is en ’n netwerk wat onthou waar jy was.
Maak die bewaring van die sleutel die tersaaklike aanknopingspunt. Die ligging van bedieners in die Unie beteken nie veel as die sleutels wat die data leesbaar maak elders is nie. Die regtens beslissende maatstaf behoort werklike beheer oor die ontsyferingsmiddele te wees, ’n vraag wat ons in besonderhede ondersoek het rondom die konflik tussen die Data Act en die CLOUD Act.

Die hoek wat Arpokrat volg

Hierdie redenasie is nie eie aan die telekommunikasiereg nie. Dit is dié wat ons op ons eie argitektuurkeuses toepas, en dit pas in een sin: wat nie voortgebring is nie, hoef nie beskerm te word nie.

Daarom verwyder ArpokratOS GPS, Bluetooth en NFC op kernvlak eerder as om hulle in ’n kieslys af te skakel. ’n Skakelaar is ’n beleid: dit kan omseil word deur ’n bevoorregte komponent, weer aangeskakel word deur ’n bywerking, geïgnoreer word deur ’n gekompromitteerde stelsel. Om die kodepad te verwyder, laat die vraag verval. Dit is die oorplasing, op die skaal van ’n toestel, van dieselfde verskuiwing wat ons op die skaal van die reg bepleit: ingryp by die ontstaan eerder as by die toegang.

Daar moet dadelik gesê word wat dit nie doen nie. Geen bedryfstelsel onttrek ’n toestel aan die geometrie van die netwerk nie. Solank ’n SIM-kaart aktief is, ken die operateur die sel waaraan dit gekoppel is, en om alle verkeer deur Tor te stuur verander niks daaraan nie, want dit beskerm inhoud en bestemming, nie die radiolaag nie. Juis daarom is die onderwerp ’n regsonderwerp. Daar bestaan ’n kategorie risiko’s wat geen individuele konfigurasie verklein nie, en waarvoor die enigste beskikbare veranderlike die reël is wat op die operateur van toepassing is.

Dieselfde besorgdheid rig die res van ons werk. Data wat nie bestaan nie kan nie opgeëis, herverkoop, uitgevoer of oor tien jaar ontsyfer word deur ’n masjien wat niemand vandag het nie, ’n vraag wat ons behandel het vanuit die hoek van enkripsie wat nou geoes en later gebreek word.

Slot

Die openbare debat oor mobiele toesig fokus byna uitsluitlik op toegang: wie die data mag raadpleeg, op watter grondslag, met watter magtiging. Daardie debat is geldig, en die uitsprake wat die Hof van Justisie sedert 2014 gelewer het, het tasbare gevolge gehad. Maar dit tree te laat in die ketting in.

Die voorafgaande en meer beslissende vraag is of die geskiedenis hoegenaamd behoort te bestaan. ’n Databasis wat vandag om ’n geldige rede opgebou word, bly môre beskikbaar vir ’n ander, en die waarborge daaromheen hang af van latere politieke besluite wat niemand op die oomblik van insameling beheer nie. Dit is ’n weddenskap op die stabiliteit van instellings, aangegaan vir ’n tydperk wat niemand bepaal nie.

5G het die resolusie van hierdie inligting vermenigvuldig sonder dat enige normatiewe aanpassing plaasgevind het. Terselfdertyd het dit, deur die SUCI-meganisme, getoon dat die begaanbare weg daarin lê om posisie van identiteit te skei eerder as om te probeer om ’n fisiese eienskap van die netwerk te enkripteer. Die tegniese standaard het die antwoord sewe jaar verskaf voordat die reg die vraag gestel het.

Die Europese teks oor databewaring word nou geskryf. Dit sal oor metadata gaan, dus oor ligging, dus oor wat 5G voortaan voortbring met ’n fynheid wat sy opstellers nie geken het nie. Of dit tevrede sal wees om toegang tot ’n geskiedenis wat as vanselfsprekend aanvaar word te reël, en of dit die moed sal hê om die noodsaak van daardie geskiedenis te bevraagteken, is waarskynlik die belangrikste privaatheidsvraag van die komende jare in Europa. En dit is ’n vraag wat die tegniese sektor, vir een keer, reeds in die regte rigting besleg het.

Bronne

Hof van Justisie van die Europese Unie, Digital Rights Ireland, gevoegde sake C-293/12 en C-594/12, 8 April 2014
Hof van Justisie van die Europese Unie, Tele2 Sverige en Watson, gevoegde sake C-203/15 en C-698/15, Groot Kamer, 21 Desember 2016
Hof van Justisie van die Europese Unie, La Quadrature du Net e.a., gevoegde sake C-511/18, C-512/18 en C-520/18, Groot Kamer, 6 Oktober 2020
Hooggeregshof van die Verenigde State, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, Maart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta e.a., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Permanente ligginguitspeuring: hoe jou foon jou volg selfs wanneer jy glo jy het dit verhoed

Sun, 02 Aug 2026 00:00:00 +0000

In 2024 het twee navorsers van die Universiteit van Maryland Apple se Wi-Fi-posisioneringsdiens herhaaldelik bevraag, sonder enige besondere voorreg en sonder gespesialiseerde toerusting, en binne een jaar die presiese ligging van meer as twee miljard Wi-Fi-toegangspunte wêreldwyd herbou. Hulle artikel, Surveilling the Masses with Wi-Fi-Based Positioning Systems, wys wat daardie kaart moontlik maak: om toerusting te volg wat Oekraïne binnegaan en verlaat, om die verskuiwing van bevolkings ná die Maui-brande waar te neem, om iemand deur sy huis se internetroeteerder op te spoor.

Nie een van daardie toestelle het GPS aangehad nie. Die ligging het van elders gekom.

Dit is die mees algemene blinde kol wanneer dit by privaatheid op selfone kom: die oortuiging dat daar ’n liggingskakelaar bestaan, en dat die foon, sodra dit afgeskakel is, ophou weet waar hy is. Daardie oortuiging is op sewe verskillende vlakke verkeerd.

Ligging is nie ’n funksie wat jou foon aanskakel nie. Dit is ’n eienskap van wat die foon is.

GPS, oftewel die minste problematiese roete

Die enigste meganisme wat almal kan noem, is terselfdertyd dié een wat jou die minste behoort te bekommer.

GNSS, die versamelnaam wat die Amerikaanse GPS, Galileo, GLONASS en BeiDou insluit, werk deur te luister. Satelliete straal deurlopend tydgemerkte seine uit, die ontvanger vang verskeie daarvan op en bereken sy posisie uit die verskille in voortplantingstyd. Gebruiklike akkuraatheid in die oop veld: drie tot vyf meter, en dikwels etlike tientalle meter in die stad, waar geboue se fasades die seine weerkaats.

Die deurslaggewende punt is dat hierdie berekening passief is. Die foon straal niks na die satelliete uit nie, en geen satellietoperateur weet dat jy bestaan nie. As GNSS al was wat ter sprake is, sou dit genoeg gewees het om GPS af te skakel.

Daar is egter ’n nuanse. Om die eerste posisiebepaling te versnel, gebruik fone A-GPS: hulle laai die satelliete se baandata van ’n bediener af, via die SUPL-protokol. Om die regte data te kry, stuur die foon aan daardie bediener die identifiseerder van die netwerksel waaraan dit gekoppel is. Suiwer GNSS verraai jou nie, maar die versneller wat daarop geënt is, doen wel.

Die selnetwerk: wat die operateur uit die aard van die saak weet

Sodat ’n oproep jou kan bereik, moet die netwerk weet in watter gebied jy is. Dit is nie ’n opsie wat aangeskakel kan word nie, dit is die bestaansvoorwaarde van die diens. Jou foon meld homself voortdurend by die naaste toring aan, en daardie registrasie laat ’n spoor by die operateur. Geen geïnstalleerde toepassing nie, geen toestemming wat verleen is nie: ’n aktiewe SIM-kaart is genoeg.

Die akkuraatheid hang van die metode af:

Selidentifiseerder alleen: van 200 meter in ’n digbeboude stadsgebied tot meer as 30 kilometer op die platteland, waar een toring ’n baie groot radius dek.
Verrykte Cell ID, wat die antennasektor byvoeg (die meeste terreine is in drie sektore van 120 grade verdeel) en die seinsterkte: van 100 meter tot ’n paar kilometer.
Timing advance, wat die heen-en-weer-vertraging tussen foon en toring meet: in die orde van 550 meter op GSM, sowat 78 meter op LTE.
Multilaterasie oor drie of meer torings: 50 tot 300 meter op stedelike LTE.

5G verander die skaal om twee redes wat bymekaar tel. Eerstens digtheid: 5G-selle dek veel korter radiusse, sodat blote koppeling reeds fyn inligting is. Tweedens standaardisering: sedert Release 16 sluit 3GPP eie posisioneringseine in. Die kommersiële mikpunte is minder as 3 meter binnenshuis en minder as 10 meter buite vir 80 % van toestelle, en Release 18 daal tot op sentimetervlak vir sekere industriële toepassings.

Die infrastruktuur wat jou verbind, word dus ’n posisioneringstelsel van ’n gehalte vergelykbaar met GPS, sonder dat jy enigiets aangeskakel het. Hierdie data word volgens nasionale reëls bewaar en is deur uiteenlopende prosedures vir owerhede toeganklik. Dit is dieselfde grondliggende debat as dié oor die jurisdiksie wat op gehuisveste data van toepassing is: tegniese beskerming en regsbeskerming val nie saam nie.

Wi-Fi: ’n wêreldkaart gemaak van hardewareadresse

Elke Wi-Fi-toegangspunt saai deurlopend ’n unieke hardeware-identifiseerder uit, die BSSID. Hierdie identifiseerders is vas en geografies stabiel: ’n huisroeteerder bly jare lank op dieselfde plek.

Apple, Google en ’n paar gespesialiseerde spelers onderhou databasisse wat elke BSSID aan koördinate koppel, en dit word gebou deur die fone van hulle eie gebruikers, wat die lys van sigbare toegangspunte saam met ’n GNSS-posisie deurgee. Daarna word die bewerking omgekeer: ’n foon wat vier bekende toegangspunte sien, het nie meer ’n enkele satelliet nodig nie. In ’n digbeboude stadsgebied haal die akkuraatheid gewoonlik ’n paar tientalle meter, en binnenshuis daal dit nog laer.

Twee eienskappe maak hierdie meganisme moeilik om te neutraliseer. Eerstens skandeer die foon selfs wanneer Wi-Fi afgeskakel lyk: sedert Android 4.3 behou die stelsel ’n periodieke skandering wat die ligging moet verbeter, onafhanklik van die skakelaar op die kitspaneel. Hierdie gedrag hang af van ’n afsonderlike instelling, diep in die liggingsdienste begrawe, wat feitlik geen gebruiker nog ooit oopgemaak het nie.

Tweedens kan die databasis van buite bevraag word. Dit is presies die gaping wat Rye en Levin benut het: die posisioneringskoppelvlakke gee nie net die gevraagde posisie terug nie, maar ook dié van naburige toegangspunte, wat dit moontlik maak om die kaart te oes sonder om ooit fisiek naby daardie plekke te kom.

Bluetooth en BLE: opgespoor deur ander mense se fone

Bluetooth Low Energy voeg ’n nabyheidslaag by, met ’n reikafstand van ’n paar meter tot ’n paar tientalle meter, dus met ’n veel fyner korrel as die selnetwerk. Twee gebruike bestaan langs mekaar. Kommersiële bakens, wat in winkels, lughawens of inkopiesentrums geplaas word, straal ’n identifiseerder uit wat toepassings op die foon herken, wat verklap voor watter rak jy stilgestaan het en vir hoe lank. En samewerkende opsporingsnetwerke, waarvan Apple se Find My die model is, sedertdien deur Google en Samsung oorgeneem.

Hierdie tweede meganisme keer ’n onuitgesproke aanname om. Die toonaangewende ontleding Who Can Find My Devices?, gepubliseer in die verrigtinge van PETS 2021 deur navorsers van die Tegniese Universiteit van Darmstadt, het Apple se protokol met omgekeerde ingenieurswese herbou. ’n Vanlyn toestel straal ’n BLE-sein uit, enige Apple-toestel naby vang dit op, voeg sy eie posisie by en stuur dit versleuteld na Apple se bedieners, sonder die medewete van sy eie eienaar of dié van die toestel wat opgespoor word.

Die gevolg is struktureel: ’n toestel sonder SIM-kaart, sonder Wi-Fi, sonder enige netwerkverbinding bly opspoorbaar, mits ’n vreemdeling met ’n foon in die sak verbyloop. Jou afsondering hang nie meer van jou instellings af nie, maar van dié van verbygangers.

Traagheidsensors: opspoor sonder liggingstoestemming

’n Foon bevat ’n versnellingsmeter, ’n giroskoop, ’n magnetometer en dikwels ’n barometer. Hierdie sensors val onder ’n toestemmingskategorie wat van ligging geskei is: ’n toepassing kan hulle lees sonder dat dit ooit gevra het waar jy is.

Navorsers van Princeton het dit met PinMe bewys. Hulle toepassing begin by die IP-adres en die tydsone vir ’n growwe posisie, en lees dan die sensors: die versnellingsmeter gee die versnellings- en remprofiel, die giroskoop die volgorde van draaie, die magnetometer die rigting, die barometer die hoogteveranderings. ’n Neurale netwerk bepaal die vervoerwyse, te voet, met die motor, per trein of per vliegtuig, en die roete word teen openbare kaart-, hoogte- en weerdata gepas. Die resultaat: ’n roete met ’n akkuraatheid vergelykbaar met GPS, sonder liggingstoestemming. Die metode het grense, wat die outeurs dokumenteer, want dit misluk in gebiede sonder paaie en verswak op eenvormige roosterplanne, waar baie roetes dieselfde handtekening lewer. Dit bly nietemin die bewys dat ’n geweierde toestemming nie ’n toe deur is nie.

Die barometer lewer boonop die dimensie wat GNSS swak hanteer, naamlik die vertikale. Die Amerikaanse vereistes vir noodoproepe skryf ’n vloervlak-akkuraatheid van plus of minus 3 meter voor vir 80 % van oproepe wat binnenshuis gemaak word. Om te weet op watter verdieping iemand is, is van ’n ander aard as om te weet in watter blok hy is.

Die datamark: die alledaagste roete

Die voorafgaande meganismes beskryf hoe ’n posisie bereken word. Wat oorbly, is waarheen dit gaan, en juis daar word die grootste deel van die daaglikse risiko beslis.

Duisende toepassings sluit advertensie-SDK’s in, sagtewarekomponente van derde partye wat ’n ontwikkelaar byvoeg om sy werk te verdien of sy gehoor te meet. Hierdie komponente erf die toestemmings van die gasheertoepassing: ’n weertoepassing wat jou posisie regmatig nodig het, gee dit deur aan spelers wie se name jy nog nooit gelees het nie. Daarby kom die advertensie-veilingstrome, waar jou benaderde posisie by elke banieradvertensie aan tientalle voornemende kopers uitgestuur word, ook aan dié wat niks koop nie en hulle by luister bepaal.

Hierdie grondstof voed ’n hele bedryf. Die Electronic Frontier Foundation het die geval van Fog Data Science gedokumenteer, wat aanspraak gemaak het op miljarde datapunte oor meer as 250 miljoen toestelle, wat aan plaaslike Amerikaanse polisie verkoop is. Brian Krebs het Locate X beskryf, ’n produk waarmee jy ’n veelhoek op ’n kaart kan trek en die geskiedenis kan sien van die toestelle wat daardie gebied binnegekom en verlaat het.

Hierdie roete verg geen tegniese kragtoer nie, net iemand wat bereid is om te betaal. Die prys is beskeie.

IMSI-vangers: aktiewe opsporing

Die meganismes wat tot dusver bespreek is, buit ’n normale werking uit. Daar bestaan ook aktiewe opsporing, uitgevoer deur ’n derde party wat op die netwerk ingryp.

’n IMSI-vanger, of seltoringsimulator, is toerusting wat hom as ’n wettige toring voordoen. Fone binne trefafstand koppel daaraan en verklap sodoende hulle intekenaaridentifiseerder en hulle teenwoordigheid binne ’n eng omtrek.

5G moes daardie deur toemaak deur die permanente identifiseerder wat in die oop gestuur word, met ’n versleutelde een, die SUCI, te vervang. Die sluiting is gedeeltelik. Die werk wat onder die titel 5G SUCI-catchers: still catching them all? aangebied is, dokumenteer koppelaanvalle wat dit moontlik maak om sessies weer te korreleer ondanks die versleuteling. Bowenal val die beskerming heeltemal weg as die aanvaller die toestel dwing om na ’n vroeër geslag terug te val, veral 2G, waarvan die verifikasie eensydig is. ’n 5G-foon bly kwesbaar vir ’n aanval wat vir ’n netwerk uit die 1990’s ontwerp is, omdat dit steeds bereid is om daarheen af te sak.

Die teenmaatreëls en hulle werklike doeltreffendheid

Elke maatreël hieronder doen iets. Nie een doen alles nie, en die gaping tussen wat hulle doen en wat aan hulle toegeskryf word, lewer die verkeerde besluite op.

Vliegtuigmodus

Vliegtuigmodus sny die uitstraling van die selmodem, van Wi-Fi en van Bluetooth af. Dit is werklik, en dit is die beste resultaat vir so ’n geringe moeite.

Wat dit nie doen nie: dit stop nie die traagheidsensors nie, dit vee nie die posisies uit wat reeds gekas is nie, wat by herverbinding sal vertrek, en op die meeste toestelle laat dit toe dat Wi-Fi of Bluetooth afsonderlik weer aangeskakel word sonder om dit te verlaat. Uiteindelik is dit ’n sagtewaretoestand, nie ’n kragonderbreking nie: die betroubaarheid daarvan hang af van die integriteit van die stelsel wat dit afdwing.

’n Onderskatte besonderheid: die ontkoppeling van die netwerk en die herkoppeling daaraan is self gebeurtenisse met ’n tydstempel by die operateur. ’n Foon wat om 21:00 in een sel verdwyn en om 23:00 in ’n ander weer opduik, het inligting voortgebring, nie stilte nie.

Die verewekansiging van die MAC-adres

Selfoonstelsels straal vandag ewekansige MAC-adresse uit tydens skanderings, om opsporing van plek tot plek te verhoed. Die bedoeling is goed, die resultaat onvolledig. Die toonaangewende werk, waaronder Why MAC Address Randomization is not Enough, wys dat die inhoud van die ontdekkingsrame dikwels genoeg is om die toestel weer te identifiseer: die aantal inligtingselemente, hulle waardes en hulle volgorde vorm ’n vingerafdruk. Daarby kom die volgordenommers, wat oplopend en dus aaneenskakelbaar is, en die tydhandtekening eie aan elke model. Sommige studies rapporteer dat die helfte van die toestelle vir minstens twintig minute korrek gevolg kon word.

Laastens ’n begripsgrens: die verewekansiging raak net die ontdekkingsfase. Sodra jy aan ’n netwerk koppel, is die adres wat gebruik word vir daardie netwerk stabiel, uit die aard van die ontwerp, sodat die verbinding kan werk. Die koffiewinkel waarheen jy elke oggend gaan, herken jou.

Om die skanderings werklik af te skakel

Dit is die lonendste en die mees geïgnoreerde instelling. Op Android is Wi-Fi-soektogte en Bluetooth-soektogte twee afsonderlike opsies, geleë in die liggingsdienste, onafhanklik van die skakelaars op die kitspaneel. Solank hulle aktief is, is dit nie genoeg om Wi-Fi van die paneel af te skakel nie: die skandering gaan voort.

Om hulle te deaktiveer verwyder ’n hele versamelingslaag, sonder ander koste as ’n eerste posisiebepaling wat effens stadiger is. Vir die meeste lesers is dit die beste verhouding tussen die moeite wat gedoen word en die resultaat wat verkry word.

Toepassingstoestemmings

Om die liggingstoestemming te herroep by toepassings wat dit klaarblyklik nie nodig het nie, bly nuttig, en onlangse stelsels bied drie gradasies: eenmalige toestemming, toestemming beperk tot aktiewe gebruik, en benaderde ligging, wat slegs ’n gebied in die orde van ’n kilometer deurgee.

Dit beskerm egter nie teen SDK’s wat binne ’n toepassing huisves wat ’n regmatige rede het om jou posisie te gebruik nie, ook nie teen die traagheidsensors nie, en ook nie teen die netwerklae wat deur geen toestemming loop nie.

Waarteen ’n VPN nie beskerm nie

’n Punt wat opgeklaar moet word, want die teenoorgestelde oortuiging is baie wydverspreid: ’n VPN verberg nie jou ligging nie. Dit verberg jou openbare IP-adres, en versteur dus die liggingbepaling volgens IP, wat in elk geval die growwerigste meganisme op die lys is.

’n VPN raak nie die GNSS-ontvanger nie, ook nie die Wi-Fi-skandering nie, nie Bluetooth nie en nie die sensors nie. Dit verander niks aan wat jou operateur weet nie, aangesien die versleutelde tonnel deur sy torings loop en die selkoppeling vir hom sigbaar bly. Dit keer ook nie ’n toepassing met liggingstoestemming om presiese koördinate binne die tonnel te stuur nie. Die VPN beskerm die inhoud en die bestemming van jou kommunikasie op ’n onbetroubare netwerk, en dit is reeds baie. Ligging val nie binne sy omvang nie.

Die fisiese grense

’n Faraday-sakkie werk in die letterlike sin: dit blokkeer uitstraling sowel as ontvangs. Om die battery te verwyder ook, waar dit nog moontlik is. ’n Toegewyde toestel, of eenvoudig om jou foon elders te los, bly die stewigste maatreël.

Hierdie oplossings deel ’n gebrek waarna ’n mens reguit moet kyk: hulle skep ’n afwyking. ’n Foon wat elke Dinsdagaand twee uur lank stilbly, sê iets. Teen ’n teenstander wat patrone ontleed eerder as oomblikposisies, is afwesigheid self data.

Drie teenstanders, drie strategieë

Dit is die belangrikste onderskeid van hierdie artikel, en dié een wat ’n mens die minste lees.

Teen ’n adverteerder of ’n datamakelaar kan die stryd gewen word. Dissipline met toestemmings, die afskakeling van skanderings, ’n stelsel sonder eiendomsmatige liggingsdienste, die terugstelling van die advertensie-identifiseerder: saam verminder dit die versamelde volume baie sterk. Hierdie teenstander soek goedkoop volume, nie jou spesifieke geval nie.

Teen jou operateur is geen konfigurasie genoeg nie. Selopsporing is die voorwaarde van die diens. Die enigste werklike veranderlikes is regsveranderlikes, naamlik wat die wet toelaat om te bewaar en oor te dra, en materiële veranderlikes: watter toestel, watter SIM-kaart, op wie se naam, en waar aangeskakel.

Teen ’n geteikende staatsteenstander verander die redenasie weer, want hy kombineer regmatige toegang tot die operateur se data, aktiewe opsporing met ’n seltoringsimulator, opdragte aan die platforms en, waar nodig, die kompromittering van die toestel self. Sagtewareteenmaatreëls verklein die oppervlak, maar die realistiese doel is nie om te verdwyn nie: dit is om presies te weet wat blootgestel bly.

Die benadering van ArpokratOS

ArpokratOS antwoord op hierdie landskap met ’n keuse wat uit die bogenoemde onderskeid voortvloei: wat geneutraliseer moet word, word op stelselvlak geneutraliseer, nie in ’n kieslys nie.

Wat GNSS betref, is die hardewaredrywer verwyder. Die toestel tree op asof die skyfie nie bestaan nie, sowel vir toepassings as vir die stelsel self. Die verskil met ’n skakelaar in die instellings is nie kosmeties nie. ’n Skakelaar is ’n beleid: dit word afgedwing deur ’n laag wat omseil kan word deur ’n komponent met genoeg voorregte, weer aangeskakel kan word deur ’n opdatering, of geïgnoreer kan word deur ’n gekompromitteerde stelsel. Om die kodepad te verwyder, laat die vraag verval, want daar is niks meer om aan te skakel nie.

Bluetooth word op Core-vlak hanteer, met dieselfde logika. Bluetooth wat in die instellings afgeskakel is, laat in die praktyk op baie toestelle die sagtewarestapel lewend, om die nabyheidsdienste en die samewerkende opsporingsnetwerke te voed. Wanneer dit op stelselvlak afwesig is, kan dit nie met ’n winkelbaken praat nie, nie aan ’n netwerk van die Find My-tipe deelneem nie, en ook nie as ’n aanvalsoppervlak sonder interaksie dien nie.

’n Mens moet duidelik sê wat dit nie doen nie. ArpokratOS maak ’n foon nie onopspoorbaar nie. Solank ’n SIM-kaart aktief is, weet die operateur aan watter sel jy gekoppel is, en geen bedryfstelsel verander dit nie, selfs nie met al die verkeer wat deur Tor gestuur word nie. Roetering beskerm die inhoud en die bestemming, nie die radiogeometrie nie. Wie onsigbaarheid belowe, verkoop ’n storie.

Wat so ’n argitektuur bied, is beskeier: die verwydering van die toepassings- en nabyheidslae, waardeur die oorgrote meerderheid van die werklike versameling loop, en ’n uitdruklike bedreigingsmodel vir wat oorbly. Dit is dieselfde redenasie wat op die keuse van ’n rekenaarstelsel toegepas word, uiteengesit in ons vergelyking van bedryfstelsels: die nuttige vraag is nie of ’n hulpmiddel beskerm nie, maar waarteen dit beskerm en teen watter prys.

Slot

Hierdie artikel bied nie ’n metode om te verdwyn nie. Daardie metode bestaan nie, en tekste wat die teendeel voorgee, lewer veral valse vertroue op, wat gevaarliker is as die afwesigheid van beskerming omdat dit mense laat risiko’s neem.

Die doel was om ’n binêre vraag, naamlik of ek opspoorbaar is of nie, met ’n nuttige vraag te vervang: deur wie, met watter akkuraatheid, teen watter koste vir hulle, en of dit vir my saak maak. Die antwoord verskil vir ’n joernalis wat ’n bron beskerm, vir ’n bestuurder wat in ’n sensitiewe jurisdiksie reis, vir ’n prokureur wie se afsprake ’n strategie verklap, of vir ’n gewone mens wat bloot geïrriteerd is dat ’n adverteerder sy gewoontes ken.

Wat trouens die aandag behoort te trek, is nie die prestasie van elkeen van hierdie meganismes afsonderlik nie, maar die feit dat hulle mekaar oorvleuel. ’n Posisie tot op vyftig meter akkuraat is nie baie interessant nie. ’n Posisie tot op vyftig meter akkuraat, elke kwartier, twee jaar lank, teken ’n woning, ’n werkplek, ’n geloofsoortuiging, ’n gesondheidstoestand, ’n verhouding, ’n bron. Liggingdata is die metadata wat al die ander leesbaar maak, en juis daarom is dit soveel werd.

Bronne

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: Die nuwe 'Super-Cookie' van telekommunikasiemaatskappye wat jou privaatheid bedreig

Mon, 01 Jun 2026 00:00:00 +0000

Die beplande einde van derdeparty-koekies op webblaaiers het ’n ware wapenwedloop in die geteikende advertensiebedryf veroorsaak. Terwyl Google sy eie standaarde probeer afdwing (soos die Privacy Sandbox), het nog ’n onverwagte rolspeler besluit om ’n stuk van die koek te gryp: jou Internetdiensverskaffer (IDV).

So is Utiq (voorheen bekend as die TrustPid-projek) gebore, ’n gesamentlike onderneming wat deur Europese telekommunikasiereuse gestig is. Alhoewel dit aan die algemene publiek verkoop word as ’n “deursigtige en respekvolle” oplossing, is Utiq eintlik wat kubersekuriteitskundiges die meeste vrees: ’n “superkoekie” wat op netwerkvlak funksioneer.

Wat is Utiq en hoe werk dit?

Tradisioneel word advertensie-opsporing (koekies) deur jou webblaaier (Chrome, Firefox, Safari) bestuur. Jy kon dit blokkeer deur uitbreidings (soos uBlock Origin) of ’n privaatheidsgerigte webblaaier (soos Brave) te gebruik.

Utiq verskuif die probleem een stap terug: na die vlak van jou netwerkverbinding.

Hier is hoe die lokval toeklap:

Netwerkonderskepping: Wanneer jy via jou mobiele verbinding (4G/5G) of jou veselboks op die internet blaai, gebruik Utiq jou IP-adres en jou telekommunikasie-intekeningdata om jou te identifiseer.
Die toestemming (die vals keuse): Wanneer jy op ’n vennootwebwerf aankom, vra ’n opspringvenster (popup) jou om Utiq te aanvaar. Met die moegheid wat met koekiebaniere gepaardgaan (Consent Fatigue), klik miljoene gebruikers op “Aanvaar” sonder om te lees.
Die “Network Signal”: Sodra toestemming gegee is, kontak Utiq jou telekommunikasie-operateur direk. Laasgenoemde genereer ’n unieke, gepseudonimiseerde identifikasieteken (die netwerksinjaal) wat dit aan adverteerders oordra.

Jy is nou opspoorbaar van webwerf tot webwerf, nie deur ’n lêer wat op jou rekenaar gestoor is nie, maar deur die einste infrastruktuur wat jou van internet voorsien.

Hoekom Utiq ’n nagmerrie vir privaatheid is (OPSEC)

Die inisiatief opper ernstige probleme vir digitale soewereiniteit en die vertroulikheid van jou data:

Opsporing by die bron: Anders as met gewone koekies, kan jy nie net “jou geskiedenis uitvee” of “jou kas skoonmaak” om van Utiq ontslae te raak nie. Die identifikasieteken word deur jou IDV gegenereer.
Die sentralisering van profiele: Telekommunikasie-operateurs ken reeds jou naam, jou fisiese adres, jou bankbesonderhede en jou ligging in reële tyd. Deur jou webblaaigeskiedenis via Utiq daaraan te koppel, skep hulle gedragsprofilering van ongekende akkuraatheid.
Die fout in pseudonimisering: Utiq verdedig homself deur te beweer dat hulle nie jou naam in duidelike teks deel nie, en sê hulle gebruik “geïnkripteerde” tekens. In die kubersekuriteitswêreld is dit egter bewys dat pseudonimisering omkeerbaar is. Deur hierdie tekens met ander databasisse te kruis, kan individue maklik heridentifiseer word.

Watter operateurs gebruik Utiq?

Utiq is gestig deur ’n alliansie van die vier grootste Europese operateurs. As jy ’n kliënt by een van hulle (of een van hul laekostefiliale) is, is jou verbinding potensieel reeds “versoenbaar” met hierdie opsporing.

Hier is die stigters en skakels na hul onderskeidelike privaatheidsbeleide:

Orange (Frankryk, Spanje, Pole, ens.)
Vodafone (Duitsland, Spanje, Verenigde Koninkryk, ens.)
Telefónica / O2 / Movistar (Spanje, Duitsland, ens.)
Deutsche Telekom (Duitsland, Sentraal-Europa)

Die OPSEC-wenk: Alhoewel Utiq ’n gesentraliseerde portaal bied (consenthub.utiq.com) om toegang te herroep, bly die beste verdediging tegnologies.

Die Zero-Trust benadering om Utiq teë te werk

Die filosofie van digitale soewereiniteit, gedryf deur ekosisteme soos Arpokrat, berus op ’n eenvoudige beginsel: moet nooit die netwerkinfrastruktuur vertrou nie.

Om stelsels soos Utiq tegnies te neutraliseer, is die oplossing om jou verkeer vir jou eie internetdiensverskaffer te verberg:

Die gebruik van ’n soewereine VPN: Deur jou verkeer te enkripteer sodra dit jou toestel verlaat, sien jou IDV slegs ’n onleesbare stroom data wat na ’n VPN-bediener gerig is. Hy kan nie meer die Utiq-tekens injekteer of lees nie.
Die Tor-netwerk (Orbot): Uie-roetering voorkom enige end-tot-end identifikasie.
DNS-enkripsie (DoH/DoT): Verhoed jou operateur om te weet watter webwerwe jy versoek om te besoek.

Kortliks, Utiq is die bewys dat internetdiensverskaffers nie meer tevrede is daarmee om net “pype” te wees nie; hulle wil datamakelaars word. Meer as ooit is die enkripsie van jou verkeer nie meer ’n sekuriteitsopsie nie, maar ’n absolute noodsaaklikheid om jou digitale stilte te bewaar.