شبکه‌های تلفن همراه on Arpokrat

احراز هویت دومرحله‌ای با پیامک دیگر از چیزی محافظت نمی‌کند: جایگزین چیست

Tue, 08 Sep 2026 00:00:00 +0000

در ۹ ژانویهٔ ۲۰۲۴، حساب رسمی X کمیسیون بورس و اوراق بهادار آمریکا (SEC)، نهاد ناظر بازارهای مالی، تأیید صندوق‌های قابل معاملهٔ بیت‌کوین را اعلام کرد؛ تصمیمی که بازار ماه‌ها منتظرش بود. در عرض چند دقیقه بیت‌کوین بیش از ۱۰۰۰ دلار در هر واحد بالا رفت. سپس کمیسیون تکذیب کرد: حساب هک شده بود. قیمت بیش از ۲۰۰۰ دلار پایین آمد.

آنچه این ماجرا را آموزنده می‌کند بزرگی حرکت بازار نیست، بلکه پیش‌پاافتادگی ابزار به‌کاررفته است. بنا بر اطلاعیهٔ وزارت دادگستری آمریکا، اریک کانسل جونیور، ۲۶ ساله، با یک چاپگر کارت قابل حمل یک کارت شناسایی جعلی چاپ کرد، به یکی از فروشگاه‌های AT&T رفت و کارمندی را متقاعد کرد شمارهٔ تلفن متصل به آن حساب را روی سیم‌کارتی که خودش در اختیار داشت منتقل کند. سپس کدهای بازنشانی گذرواژه را با پیامک دریافت کرد و به همدستانش رساند. در ۱۶ مهٔ ۲۰۲۵ به ۱۴ ماه حبس محکوم شد.

یک توضیح لازم است که خوانش پرونده را تغییر می‌دهد بی‌آنکه از درس آن بکاهد. طبق بیانیهٔ رسمی کمیسیون، احراز هویت چندعاملی روی این حساب در ژوئیهٔ ۲۰۲۳ و به درخواست خود تیم غیرفعال شده بود. یعنی در زمان وقوع، پیامک عامل دوم نبود، مجرای بازیابی حساب بود. و دقیقاً همین است که این نمونه را مفید می‌کند: عامل دوم باشد یا در پشتی، نقطه‌ای که زنجیره در آن می‌گسلد همچنان شمارهٔ تلفن است.

عامل دوم قرار است چه چیزی را تضمین کند

اصل ماجرا در یک جمله جا می‌شود. گذرواژه به‌تنهایی چیزی است که می‌دانید؛ به آن چیزی که دارید (یک تلفن، یک کلید فیزیکی) یا چیزی که هستید (یک اثر انگشت) افزوده می‌شود. کسی که گذرواژهٔ شما را از یک نشت داده می‌دزدد، به همین دلیل شیء فیزیکی شما را در اختیار ندارد.

این استدلال بر فرضی تکیه دارد که به‌ندرت بیان می‌شود: اینکه عامل دوم واقعاً به شیئی در تملک شما گره خورده باشد، و اینکه ارائهٔ آن چیزی دربارهٔ جایی که در آن وارد می‌شوید ثابت کند. پیامک در هر دو نقطه ناکام می‌ماند.

پیامک عامل تملک نیست

دریافت کد با پیامک ثابت نمی‌کند که دستگاهی در اختیار دارید، بلکه ثابت می‌کند شماره‌ای که اپراتور تخصیص داده و همان اپراتور می‌تواند تغییرش دهد، به دستگاهی اشاره می‌کند. این دو یکی نیستند. سه مسیر از این شکاف بهره می‌برند و به یک شیوه هم بسته نمی‌شوند.

جابه‌جایی سیم‌کارت

همان حملهٔ پروندهٔ کمیسیون است و بر هیچ ضعف فنی تکیه ندارد. مهاجم اطلاعات شخصی هدف را جمع می‌کند، که اغلب از پیش در نشت‌های عمومی در دسترس است، و بعد در نقش همان فرد با اپراتور تماس می‌گیرد: تلفن گم شده، لطفاً شماره را روی سیم‌کارت جدید منتقل کنید. اگر متقاعدکننده باشد، یا کارمندی همدست باشد، شماره دست به دست می‌شود و همهٔ پیامک‌ها به او می‌رسد. گزارش سالانهٔ ۲۰۲۴ مرکز شکایات اف‌بی‌آی (IC3) تنها در همان سال ۹۸۲ گزارش جابه‌جایی سیم‌کارت و نزدیک به ۲۶ میلیون دلار زیان اعلام‌شده را ثبت کرده است، و تنها قربانیانی را می‌شمارد که شکایت کرده‌اند. هیچ به‌روزرسانی نرم‌افزاری این مسیر را نمی‌بندد: هدفش نرم‌افزار نیست، یک فرایند تجاری است که آدم‌ها اجرا می‌کنند.

شنود از راه SS7

Signaling System 7 پروتکلی است که به شبکه‌های تلفن سراسر جهان امکان گفت‌وگو با یکدیگر می‌دهد: مسیریابی تماس، مدیریت رومینگ، تحویل پیامک از یک اپراتور به اپراتور دیگر. در سال ۱۹۷۵ طراحی شد، زمانی که باشگاه اپراتورها بسته و کم‌شمار بود و هر یک دیگری را بنا بر ساختار قابل اعتماد می‌دانست. به همین دلیل هیچ احراز هویت ذاتی میان شبکه‌ها ندارد: درخواستی که مشروع به نظر برسد مشروع تلقی می‌شود.

این ضعفی نظری نیست. در دسامبر ۲۰۱۴ پژوهشگران آلمانی توبیاس انگل و کارستن نول آن را در کنگرهٔ Chaos Communication به‌طور عمومی نشان دادند: یافتن موقعیت یک مشترک و شنود پیامک‌هایش تنها با داشتن شمارهٔ تلفن. در ۲۰۱۷ بهره‌برداری واقعی تأیید شد: اپراتور آلمانی O2-Telefónica پذیرفت که حساب‌های بانکی شماری از مشتریان خالی شده است، پس از آنکه مهاجمان به شبکهٔ یک اپراتور خارجی دسترسی یافتند و بازارسال پیامک را تنظیم کردند تا کدهای تأیید بانکی را بربایند.

فیشینگ بی‌درنگ

مسیر سوم از همه مهم‌تر است، چون به هیچ ضعفی در مخابرات وابسته نیست و از هر چه در دو مسیر پیشین اصلاح شود جان سالم به در می‌برد.

سایتی جعلی صفحهٔ ورود یک سرویس را بی‌نقص تقلید می‌کند. نام کاربری و گذرواژه را در آن وارد می‌کنید، سایت جعلی بی‌درنگ آن‌ها را به سایت واقعی می‌رساند و سایت واقعی پیامکی به تلفن شما می‌فرستد. پیامک واقعاً به شما می‌رسد و اصیل است. کد را در سایت جعلی وارد می‌کنید و آن هم ظرف چند ثانیه بازارسالش می‌کند. نشست باز می‌شود و کسی که آن را در دست دارد مهاجم است.

به این حمله adversary-in-the-middle می‌گویند. صنعتی شده است: ابزارهایی مانند Evilginx، یک پروکسی معکوس که در ۲۰۱۷ پیدا شد، یا بسته‌هایی که با اشتراک ماهانه فروخته می‌شوند، آن را بدون هیچ مهارت ویژه‌ای در دسترس می‌گذارند. ضمناً آنچه دزدیده می‌شود تنها کد نیست، کوکی نشست است که پس از آن اجازه می‌دهد بدون گذر از هیچ احراز هویتی وارد بمانند.

مسئله معماری است. کدی که با پیامک فرستاده می‌شود هیچ اطلاعاتی دربارهٔ سایتی که آن را خواسته حمل نمی‌کند. بنابراین نمی‌تواند واقعی را از جعلی تشخیص دهد: هر جا تایپ شود، همان جا معتبر است.

این دیگر یک نظر نیست، یک موضع رسمی است

قوی‌ترین استدلال علیه پیامک از فروشندگان راهکار نمی‌آید، از نهادهایی می‌آید که استانداردها را می‌نویسند.

در ژوئیهٔ ۲۰۲۵، NIST آمریکا نسخهٔ نهایی SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management را منتشر کرد. این متن ردهٔ صریحی از احرازکننده‌های محدود پدید می‌آورد، ویژهٔ سازوکارهایی که توان مقاومتشان با تحول تهدیدها افت کرده است. بخش ۳.۱.۳.۳ استفاده از شبکهٔ تلفن سوئیچی عمومی، یعنی کدهای ارسالی با پیامک یا تماس صوتی، را در همین رده می‌گذارد: «Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.» به‌طور مشخص، سرویسی که هنوز به آن متوسل می‌شود باید جایگزینی نامحدود عرضه کند، کاربرانش را از خطر آگاه سازد و برنامهٔ گذار داشته باشد.

در دسامبر ۲۰۲۴، CISA، آژانس امنیت سایبری آمریکا، سند Mobile Communications Best Practice Guidance را منتشر کرده بود، در پی عملیات جاسوسی Salt Typhoon که در آن بازیگران وابسته به دولت چین به چند اپراتور مخابراتی آمریکایی نفوذ کردند. عبارت‌بندی جایی برای تفسیر نمی‌گذارد: «Do not use SMS as a second factor for authentication. SMS messages are not encrypted»، و پس از آن، بی‌پرده: «Only FIDO authentication is phishing-resistant.» سند صراحتاً کلیدهای سخت‌افزاری FIDO را توصیه می‌کند و از Yubico و Google Titan نام می‌برد، و تصریح می‌کند که پس از فعال‌سازی FIDO باید پیامک را غیرفعال کرد، وگرنه به‌عنوان مسیر جایگزین قابل بهره‌برداری باقی می‌ماند.

اپلیکیشن‌های احراز هویت: پیشرفتی واقعی، راه‌حلی ناتمام

اپلیکیشن‌های TOTP، کوتاه‌شدهٔ Time-based One-Time Password، کدی شش‌رقمی می‌سازند که هر سی ثانیه عوض می‌شود و به‌صورت محلی از رازی که هنگام فعال‌سازی به اشتراک گذاشته شده و از ساعت کنونی محاسبه می‌شود. هیچ چیزی از شبکهٔ تلفن نمی‌گذرد.

سود آن فوری است: جابه‌جایی سیم‌کارت بی‌اثر می‌شود چون دیگر پای شماره در میان نیست، و شنود SS7 هم چون هیچ پیامی جابه‌جا نمی‌شود. کوچ به یک اپلیکیشن احراز هویت برای هر حسابی که نمی‌تواند فراتر برود ارزش انجام دادن دارد.

اما مسیر سوم دست‌نخورده می‌ماند. کد TOTP که در سایت جعلی وارد شود، درست مانند کد پیامکی به سایت واقعی بازارسال می‌شود. اپلیکیشن نمی‌داند شما کجا وارد می‌شوید: عددی نشان می‌دهد و آن عدد نزد هر کسی که در پنجرهٔ سی‌ثانیه‌ای ارائه‌اش کند معتبر است. CISA همین را با همین واژه‌ها می‌گوید: کدهای احراز هویت از پیامک بهترند اما در برابر فیشینگ آسیب‌پذیر می‌مانند.

TOTP یک مرحلهٔ میانی صادقانه است، نه مقصد.

چرا کلید FIDO2 ماهیت مسئله را عوض می‌کند

کلید سخت‌افزاری FIDO2/WebAuthn تنها حمله را دشوارتر نمی‌کند، امکان مکانیکی‌اش را از میان می‌برد.

هنگام ثبت‌نام در یک سرویس، کلید یک جفت کلید رمزنگاری ویژهٔ همان سرویس می‌سازد. بخش عمومی نزد سرویس می‌رود، بخش خصوصی هرگز از تراشه بیرون نمی‌آید و نه قابل استخراج است نه قابل خواندن. نه رازی مشترک که بتوان رونویسی‌اش کرد، نه کد شش‌رقمی که بتوان شنودش کرد.

سپس سازوکار تعیین‌کننده می‌آید، پیوند با مبدأ. هنگام ورود، مرورگر نام دامنهٔ واقعی صفحهٔ نمایش‌داده‌شده را به کلید می‌دهد. این اطلاعات در دادهٔ امضاشونده گنجانده می‌شود و مرورگر آن را تحمیل می‌کند: جاوااسکریپت صفحه نه می‌تواند تغییرش دهد نه جعلش کند.

کلید FIDO2 موفقیت فیشینگ را دشوارتر نمی‌کند. نتیجهٔ فیشینگ را بی‌مصرف می‌کند.

حملهٔ adversary-in-the-middle را دوباره در نظر بگیریم، این بار با یک کلید. سایت جعلی بی‌نقص است، قربانی چیزی نمی‌فهمد و کلیدش را لمس می‌کند. مرورگر دامنهٔ واقعی صفحه، یعنی دامنهٔ سایت کلاهبردار، را می‌فرستد. کلید می‌بیند برای این دامنه هیچ جفتی وجود ندارد، یا برای آن امضا می‌کند و امضایی می‌سازد که سرویس واقعی ردش خواهد کرد. در هر دو حالت مهاجم چیز به‌دردبخوری به دست نمی‌آورد.

تفاوت ماهوی همین‌جاست. با پیامک یا TOTP، امنیت در نهایت بر هوشیاری کاربر تکیه دارد، بر توانایی او در تشخیص دامنهٔ جعلی در نوار نشانی، در لحظه‌ای که عجله دارد و صفحه عادی به نظر می‌رسد. با FIDO2، این بررسی را ماشین انجام می‌دهد، هر بار، بی‌آنکه به توجه کسی وابسته باشد. همین انتقال مسئولیت است که اهمیت دارد، بیش از استحکام رمزنگاری.

اثرش سنجیدنی است. گوگل در آغاز ۲۰۱۷ استفاده از کلید را برای کارکنانش الزامی کرد و در میان بیش از ۸۵ هزار نفر در ۲۰۱۸ اعلام کرد هیچ مورد نفوذ به حساب ثبت نشده است.

محدودیت‌های واقعی کلیدهای سخت‌افزاری

بی‌نقص نشان دادنشان ناصادقانه است، و برای آماده شدن به تصمیم‌های واقعی هم بی‌فایده.

هزینه هست. بسته به مدل ۲۵ تا ۶۰ یورو در نظر بگیرید، در نسخه‌های زیست‌سنجی بیشتر، و آن را در دو ضرب کنید.

خطر واقعی گم شدن کلید است. یک کلید تنها روی یک حساب حساس، خطای طراحی است. روی هر حساب مهم باید دو کلید ثبت شود که یکی جای دیگری نگهداری شود، نزد فردی نزدیک یا در گاوصندوق. دومی امکان رفاهی نیست، همان چیزی است که استفاده از اولی را بی‌دلهره می‌کند.

پوشش ناقص است. بسیاری از سرویس‌ها، به‌ویژه بانک‌ها در اروپا، هنوز از FIDO2 پشتیبانی نمی‌کنند و اولویت‌بندی زیر از همین‌جا می‌آید.

کلید ممکن است دزدیده شود. از این رو باید روی کلید یک کد PIN فعال کرد، یا مدلی با اثر انگشت برگزید: بی آن، همان شیء به‌تنهایی برای کسی که برش دارد کافی است.

مسیر جایگزین همچنان ضعیف‌ترین حلقه است. فعال کردن FIDO2 بدون غیرفعال کردن پیامک از هیچ چیز محافظت نمی‌کند: مهاجم صرفاً از راهی می‌رود که باز مانده است. کوچ تنها زمانی تمام می‌شود که سازوکار قدیمی از حساب حذف شود، از جمله گزینه‌های بازیابی.

در زمینهٔ سخت‌افزار، خانوادهٔ YubiKey گسترده‌ترین دامنهٔ پروتکل‌ها را پوشش می‌دهد، کلیدهای Google Titan ارزان‌ترند و به FIDO محدودند، Nitrokey و SoloKeys جایگزین‌هایی با میان‌افزار باز و قابل بازرسی عرضه می‌کنند، و Token2 مدل‌هایی با صفحه‌کلید عددی داخلی می‌سازد که PIN روی خود کلید وارد می‌شود نه روی صفحه‌کلید رایانه. میان کلیدهای دارای گواهی FIDO2 انتخاب بدی وجود ندارد: پروتکل یکی است و تنها کاربردهای جانبی فرق می‌کند.

وقتی نمی‌شود همه‌چیز را عوض کرد، از کجا شروع کنیم

ترتیب کوچ مسئلهٔ سلیقه نیست، از وابستگی‌های میان حساب‌های شما بیرون می‌آید.

۱. نخست صندوق ایمیل اصلی. پیوندهای بازنشانی تقریباً همهٔ چیزهای دیگر به همین‌جا می‌آید. مهاجمی که آن را در اختیار بگیرد سایر حساب‌ها را یکی‌یکی پس می‌گیرد، بی‌آنکه به هیچ‌کدام مستقیم حمله کند. هیچ چیز سزاوار نیست پیش از آن ایمن شود. ۲. مدیر گذرواژه. عامل نخست همهٔ دسترسی‌های شما را یکجا دارد، پس حفاظتش باید هم‌تراز محفوظ‌ترین حسابی باشد که در خود جای داده است. همین لحظه فرصت بررسی کیفیت گذرواژهٔ اصلی است، موضوعی که در مقالهٔ آنتروپی و علمی که پشت امنیت شماست به تفصیل آورده‌ایم. ۳. حساب‌های مالی و پلتفرم‌های رمزارز. هدف‌هایی با ارزش آنی، که در آن‌ها یک نفوذ ظرف چند دقیقه به زیانی بازگشت‌ناپذیر بدل می‌شود. ۴. حساب‌های اجتماعی با مخاطب. پروندهٔ کمیسیون نشان می‌دهد حرف یک حساب دنبال‌شده چه وزنی دارد، و آسیب همیشه به صاحبش نمی‌رسد. ۵. بقیه می‌تواند صبر کند، با یک اپلیکیشن TOTP به‌جای پیامک. یک انجمن یا یک سرویس پخش، همان اندازه زحمت را توجیه نمی‌کند.

برای حساب‌هایی که هنوز از FIDO2 پشتیبانی نمی‌کنند: هر جا ممکن است به TOTP بروید، و از اپراتورتان قفل انتقال شماره را بخواهید، که نزد بیشترشان گزینه‌ای رایگان است.

این چه چیزی دربارهٔ رویکرد Arpokrat می‌گوید

این نوشته مسئله‌ای را شرح می‌دهد که تنها از آن رو وجود دارد که یک شناسه در مرکز سامانه نشانده شده است. شمارهٔ تلفن هرگز به‌عنوان اثبات هویت طراحی نشده بود: از سر عادت به ستون فقرات احراز هویت برخط بدل شد، و هر سه حملهٔ بالا همین انحراف کاربرد را هدف می‌گیرند.

همین استدلال بر طراحی پروتکل Arpokrat Messenger حاکم بود: نه شمارهٔ تلفن، نه نشانی ایمیل، نه حساب کاربری. کاربر در قالب مجموعه‌ای از کلیدهای رمزنگاری که روی دستگاه خودش نگهداری می‌شود وجود دارد، و ارتباط از راه پیوندهای دعوت یک‌بارمصرف برقرار می‌شود. منطق همان منطق FIDO2 است، یک پله بالاتر: آنچه در اختیار شخص ثالث نیست، نه با مهندسی اجتماعی علیه یک اپراتور از او بیرون کشیده می‌شود و نه با دستور قضایی. این هم‌خوانی با معماری Zero-Knowledge را در مقالهٔ اکنون جمع کن، بعداً رمزگشایی کن بسط داده‌ایم.

کلید سخت‌افزاری که امضا می‌کند بی‌آنکه هرگز رازش را آشکار کند، در واقع شیوهٔ کار یک کیف‌پول رمزارز آفلاین هم هست، که در راهنمای کامل کیف‌پول سرد شرحش داده‌ایم: بخش سری را در شیئی اختصاصی نگه داشتن و بیرون گذاشتن چیزی جز یک امضا.

جمع‌بندی

احراز هویت دومرحله‌ای با پیامک بد طراحی نشده بود. وقتی در اوایل دههٔ ۲۰۱۰ فراگیر شد، نسبت به گذرواژهٔ تنها پیشرفتی چشمگیر بود و تنها ویژگی‌ای را داشت که در مقیاس بزرگ اهمیت دارد: همه از پیش تلفن داشتند.

مشکل اختراعش نیست، ماندگاری‌اش است. نمایش‌های SS7 به ۲۰۱۴ برمی‌گردد، بهره‌برداری واقعی بانکی به ۲۰۱۷، صنعتی شدن فیشینگ بی‌درنگ به پایان همان دهه. CISA در ۲۰۲۴ نوشت دیگر از آن استفاده نشود، NIST در ۲۰۲۵ محدودیت را رسمی کرد. حدود ده سال میان لحظه‌ای که این ضعف‌ها در مقیاس بزرگ قابل بهره‌برداری شدند و لحظه‌ای که نهادها آن را روی کاغذ آوردند فاصله است. و پیامک همچنان در بیشتر سرویس‌های عمومی عامل دوم پیش‌فرض است.

همین فاصله اطلاعات واقعی این نوشته است. سازوکارهای امنیتی وقتی از کار می‌افتند ناپدید نمی‌شوند، وقتی ناپدید می‌شوند که چیزی به همان سادگی جایشان را بگیرد، و آن بسیار بیشتر طول می‌کشد. پس پرسش این نیست که آیا باید پیامک را کنار بگذارید، این سال‌هاست تعیین تکلیف شده. پرسش این است که کدام حفاظ‌های دیگری که بدیهی می‌پندارید، بی‌آنکه هنوز کسی نوشته باشد، همین حالا در همین وضع‌اند.

منابع

وزارت دادگستری ایالات متحده، Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices، ۱۶ مهٔ ۲۰۲۵
کمیسیون بورس و اوراق بهادار، SECGov X Account، بیانیهٔ رسمی ۲۲ ژانویهٔ ۲۰۲۴
NIST، SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management، نسخهٔ نهایی ژوئیهٔ ۲۰۲۵
CISA، Mobile Communications Best Practice Guidance، ۱۸ دسامبر ۲۰۲۴
FBI Internet Crime Complaint Center، 2024 Internet Crime Report
Threatpost، Cellular Privacy, SS7 Security Shattered at 31C3، نمایش توبیاس انگل و کارستن نول، دسامبر ۲۰۱۴
Help Net Security، Attackers exploited SS7 flaws to empty Germans’ bank accounts، مهٔ ۲۰۱۷
Krebs on Security، Google: Security Keys Neutralized Employee Phishing، ژوئیهٔ ۲۰۱۸
W3C، Web Authentication: An API for accessing Public Key Credentials، مشخصات WebAuthn

نسل پنجم، داده‌های مکانی و خطای هدف‌گیری حقوق

Tue, 18 Aug 2026 00:00:00 +0000

در سال ۲۰۱۱ پلیس دیترویت از یک اپراتور تلفن همراه سابقه‌ی اتصال گوشی تیموتی کارپنتر به دکل‌ها را خواست. ۱۲٬۸۹۸ نقطه‌ی مکانی پراکنده در ۱۲۷ روز به دستش رسید، یعنی حدود صد نقطه در روز. هفت سال بعد، دیوان عالی ایالات متحده رأی داد که چنین درخواستی تفتیش به شمار می‌آید و نیازمند حکم قضایی است.

آن ۱۲٬۸۹۸ نقطه از دکل‌های نسل چهارم می‌آمد که هر یک شعاعی چند کیلومتری را پوشش می‌داد. همان درخواست اگر امروز به یک شبکه‌ی نسل پنجم شهری فرستاده شود، صد نقطه در روز با دقت چند کیلومتر برنمی‌گرداند. حجمی بسیار بیشتر برمی‌گرداند، با دقت چند ده متر.

مقیاس فناوری عوض شد. استدلال حقوقی اما در همان نقطه‌ی زنجیره ماند.

منفعتی حقوقی که قضات دو سوی اقیانوس اطلس آن را می‌شناسند

منفعتی هست که تقریباً همه به آن اذعان دارند و تقریباً هیچ متنی به‌طور مؤثر از آن حمایت نمی‌کند: حق بودن در جایی بدون آنکه این واقعیت ثبت شود.

رویه‌ی قضایی اروپا این را بی‌ابهام تثبیت کرده است. در پرونده‌ی Digital Rights Ireland (پرونده‌های پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴) و سپس در Tele2 Sverige و Watson (پرونده‌های پیوسته C-203/15 و C-698/15، شعبه‌ی بزرگ، ۲۱ دسامبر ۲۰۱۶)، دیوان دادگستری اتحادیه‌ی اروپا رأی داد که این داده‌ها در مجموع خود امکان می‌دهند نتیجه‌گیری‌های بسیار دقیقی درباره‌ی زندگی خصوصی اشخاص انجام شود: عادت‌های زندگی روزمره، محل‌های اقامت، جابه‌جایی‌ها، فعالیت‌های انجام‌شده و روابط اجتماعی.

دیوان عالی ایالات متحده در Carpenter v. United States، 585 U.S. 296 (2018) به نتیجه‌ای نزدیک رسید. بر نکته‌ای تأکید کرد که حقوق‌دانان آمریکایی بسیار درباره‌اش نوشته‌اند: ماهیت گریزناپذیر و خودکار این گردآوری. کسی به اتصال به یک دکل رضایت نمی‌دهد؛ متصل است چون گوشی روشنی در اختیار دارد.

پس منفعت حقوقی وجود دارد و دو دادگاهی که در این حوزه وزن دارند آن را به رسمیت می‌شناسند. مشکل جای دیگری است.

آنچه نسل پنجم واقعاً تغییر داد

خلط رایج آن است که مکان را داده‌ای بدانیم که گوشی ارسال می‌کند، درست مانند یک پیام یا یک عکس. چنین نیست. مکان نتیجه‌ی فیزیکی کارکرد شبکه است. اپراتور می‌داند دستگاه به کدام دکل متصل است چون برای مسیریابی یک تماس ناگزیر باید بداند. هیچ کلیدی برای رمزگذاری این اطلاعات وجود ندارد، چون محتوا نیست بلکه ویژگی خودِ اتصال است.

دقیقاً همین است که نسل پنجم را در سطح حقوقی، و نه فنی، معنادار می‌کند.

معماری‌های پیشین بر سلول‌های پهن استوار بودند. یک دکل نسل چهارم معمولاً شعاعی چند کیلومتری را سرویس می‌دهد و موقعیتی که تنها از اتصال استنتاج می‌شد در شهر به صدها متر و در روستا گاه به ده‌ها کیلومتر می‌رسید. نسل پنجم بر تراکم گسترده استوار است: سلول‌های شهری معمولاً چند صد متر را پوشش می‌دهند و ادبیات مهندسی چگالی‌هایی در حدود چهل تا پنجاه ایستگاه پایه در هر کیلومتر مربع را در نظر می‌گیرد، در برابر چهار یا پنج در دوره‌ی نسل سوم.

پیامد، مکانیکی است. بنا بر سند سفید اریکسون درباره‌ی مکان‌یابی در نسل پنجم، زیرساختی که تنها برای اتصال‌پذیری مستقر شده به دقت بیست تا پنجاه متر در فضای باز و یک تا سه متر در فضای بسته می‌رسد و در شرایط مساعد شهری به زیر یک متر می‌رود. سخن از یک قابلیت مکان‌یابی که جایی روشن شده باشد نیست، بلکه از چیزی است که شبکه بنا بر ساختارش می‌داند، بدون نصب هیچ برنامه‌ای و بدون اعطای هیچ مجوزی. همه‌ی این سازوکارها و نیز اقدام‌های متقابلی که واقعاً کار می‌کنند را در نوشته‌مان درباره‌ی مکان‌یابی دائمی گوشی به تفصیل آورده‌ایم.

بنابراین میزان تعرض چند مرتبه‌ی بزرگی افزایش یافته است. چارچوب حقوقی قابل اعمال همان است که برای نسل دوم و سوم اندیشیده شده بود. هیچ تطبیق هنجاری‌ای همراه این تغییر مقیاس نبوده است.

حقوق از دسترسی حمایت می‌کند، نه از تولید

حقوق اروپا با دقت تعیین می‌کند چه کسی، تحت چه شرایطی و زیر چه نظارتی می‌تواند به داده‌های مکانی دسترسی داشته باشد. دستورالعمل 2002/58/EC اصل محرمانگی ارتباطات را می‌نهد و دیوان دادگستری در پرونده‌ی La Quadrature du Net (پرونده‌های پیوسته C-511/18، C-512/18 و C-520/18، شعبه‌ی بزرگ، ۶ اکتبر ۲۰۲۰) رأی داد که ماده‌ی ۱۵(۱) این دستورالعمل، در پرتو مواد ۷، ۸، ۱۱ و ۵۲(۱) منشور، مانع نگهداری عام و بدون تفکیک داده‌های ترافیک و مکان به‌صورت پیشگیرانه است. با این حال دیوان استثناهایی چارچوب‌دار را پذیرفت، آنجا که یک کشور عضو با تهدیدی جدی علیه امنیت ملی روبه‌روست که واقعی و کنونی یا قابل پیش‌بینی باشد، مشروط به نظارت مؤثر.

اینها حمایت‌هایی واقعی‌اند و کم‌شمردن‌شان بیهوده است. اما همگی پس از وقوع وارد می‌شوند. فرض می‌گیرند داده وجود دارد و نگهداری می‌شود، و آنگاه شرایط بهره‌برداری از آن را سامان می‌دهند.

اما اگر مکان محصول جانبی گریزناپذیر کارکرد شبکه باشد، نقطه‌ی مداخله‌ی درست محرمانگی نیست. ماندگاری است.

موقعیتی لحظه‌ای که برای مسیریابی یک ارتباط لازم است و بی‌درنگ پس از آن پاک می‌شود، ابزار نظارت نیست. تاریخچه‌ای از موقعیت‌ها که ماه‌ها نگهداری شود، هست، هر تضمین دسترسی‌ای هم که پیرامونش باشد.

تفاوت این دو حقوقی نیست، معماری است. و تقویم اروپایی این پرسش را به‌جای نظری، فوری می‌کند. کمیسیون در ۲۰۲۵ پیشنهاد مقررات ePrivacy را پس گرفت، به دلیل نبود توافق میان قانون‌گذاران مشترک. از آن پس روی سندی جداگانه درباره‌ی نگهداری داده برای مقاصد کیفری کار می‌کند که برای ۲۰۲۶ اعلام شده و قرار است نظام‌های ملی را که از زمان ابطال دستورالعمل ۲۰۰۶ پراکنده شده‌اند هماهنگ کند. به بیان دیگر، متنی که برای یک دهه نظام فراداده‌های مکانی را تعیین خواهد کرد هم‌اکنون نوشته می‌شود، بر پایه‌ی استدلالی که در دوران سلول‌های کیلومتری شکل گرفته بود.

سابقه‌ای که خود نسل پنجم ساخت

جالب‌ترین وجه ماجرا این است که پاسخ درست پیشاپیش در استاندارد فنی آمده است، اما بر موضوعی دیگر اعمال شده.

تا نسل چهارم، شناسه‌ی دائمی مشترک، یعنی IMSI، هنگام اتصال به‌صورت آشکار روی رابط رادیویی منتقل می‌شد. همین بود که گیرنده‌های IMSI را ممکن کرد؛ همان ایستگاه‌های پایه‌ی جعلی که بنا بر توصیف مرجع بنیاد مرزهای الکترونیک قوی‌تر از دکل‌های مشروع می‌تابند تا دستگاه‌ها را جذب کنند و شناسه‌شان را بگیرند.

از Release 15 مشخصات 3GPP، منتشرشده در ۲۰۱۹، نسل پنجم پاسخی ظریف آورده است. شناسه‌ی دائمی که اکنون SUPI نامیده می‌شود می‌تواند روی رابط رادیویی با SUCI جایگزین شود؛ شناسه‌ای پنهان‌شده که از رمزگذاری بخش مخصوص مشترک با رمزنگاری خم بیضوی و با کلید عمومی اپراتور خانگی به دست می‌آید. تنها شبکه‌ی خانگی که کلید خصوصی متناظر را دارد می‌تواند آن را بگشاید. نتیجه در هر محاسبه یکتاست و همین همبسته‌سازی نشست‌ها را ناممکن می‌کند.

منطق برگزیده شایسته‌ی تأکید است، زیرا دقیقاً همان منطقی است که باید راهنمای قانون‌گذار باشد: موقعیت را رمز نمی‌کنند، که از نظر فنی ناممکن است، هویت را رمز می‌کنند. موقعیتی که هویت قابل انتسابی نداشته باشد، برای نظارت فردی ارزش بسیار محدودی دارد.

رخنه: حمایتی اختیاری

با این همه تحفظی بزرگ در کار است و به نظر ما ملموس‌ترین نقطه‌ی مداخله در سراسر این پرونده همین است.

سند سفید NIST CSWP 36A، منتشرشده در مارس ۲۰۲۶ از سوی مؤسسه‌ی ملی استانداردها و فناوری، آن را بی‌پرده بیان می‌کند. دستگاه‌ها و کارکردهای شبکه‌ی منطبق با Release 15 یا پس از آن موظف‌اند از SUCI پشتیبانی کنند، اما فعال‌سازی‌اش اختیاری برای اپراتور می‌ماند. سه شرط باید گرد هم آیند: سازنده‌ی تجهیزات باید پشتیبانی کند، اپراتور باید آن را روی شبکه‌اش فعال کند و سیم‌کارت باید عناصر لازم برای محاسبه را داشته باشد.

به این یک دام پیکربندی هم افزوده می‌شود. استاندارد طرح حفاظتی صفر را پیش‌بینی کرده است که در آن قالب SUCI به‌صورت صوری به کار می‌رود اما بدون رمزگذاری واقعی، چنان‌که شناسه آشکار منتقل می‌شود. NIST می‌نویسد که لازم است اپراتور شبکه‌اش را با طرح حفاظتی غیرصفر پیکربندی کند و یادآور می‌شود که گزارشی از CSRIC، نهاد مشورتی کمیسیون ارتباطات فدرال، همان ۲۰۲۱ توصیه کرده بود طرح صفر تنها به تماس‌های اضطراری از دستگاهی که برای شبکه ناشناخته است محدود شود.

این عبارت را باید همان‌گونه که هست نگه داشت. بهترین حمایت موجود در برابر ردیابی دستگاه‌های همراه از ۲۰۱۹ در استاندارد فنی وجود دارد. بر انتخابی پیکربندی استوار است که به صلاحدید اپراتور واگذار شده. یک نهاد فدرال آمریکایی مفید می‌داند در ۲۰۲۶ سندی منتشر کند تا یادآوری کند باید آن را روشن کرد. و هیچ سند حقوقی اروپایی آن را الزامی نمی‌کند.

باید افزود که SUCI پرونده را نمی‌بندد. کارهایی که با عنوان 5G SUCI-catchers: still catching them all? ارائه شده‌اند حمله‌های پیوندپذیری را مستند می‌کنند که با وجود رمزگذاری امکان همبسته‌سازی دوباره‌ی نشست‌ها را می‌دهند، و اگر مهاجم دستگاه را وادار به بازگشت به نسلی پیشین کند حفاظت به‌کلی فرو می‌ریزد. پس یک الزام حقوقی همه‌چیز را حل نمی‌کند. با این حال شکافی را از میان برمی‌دارد که هیچ توجیه دفاع‌پذیری ندارد: شکاف میان آنچه استاندارد اجازه می‌دهد و آنچه شبکه‌های تجاری انجام می‌دهند.

سه مداخله‌ی هم‌ساز

اگر این اندیشه را جدی بگیریم که مکان باید از مرحله‌ی طراحی کمینه شود نه آنکه پس از تولید حمایت شود، سه اقدام به‌طور منطقی خود را تحمیل می‌کنند.

الزامی‌کردن پنهان‌سازی مؤثر شناسه. الزام به فعال‌سازی SUCI و ممنوعیت طرح‌های حفاظتی صفر در شبکه‌های تجاری، جز در مورد باقی‌مانده‌ی تماس‌های اضطراری. سخن از تجویز فناوری‌ای نو یا تأمین مالی یک استقرار نیست، بلکه از الزام به فعال‌کردن قابلیتی است که هفت سال است استاندارد شده و از پیش در تجهیزات وجود دارد.
نگهداری را استثنا بدانیم، نه پیش‌فرض. موقعیتی که برای مسیریابی یک ارتباط لازم است باید به‌محض انجام این کارکرد پاک شود. تشکیل یک تاریخچه باید توجیهی ویژه بطلبد. تفاوت میان شبکه‌ای که می‌داند کجا هستید و شبکه‌ای که به یاد دارد کجا بوده‌اید همین است.
نگهداری کلید را عامل ارتباط مربوط قرار دهیم. استقرار سرورها در اتحادیه چندان معنایی ندارد اگر کلیدهایی که داده‌ها را خوانا می‌کنند جای دیگری باشند. معیار دارای اهمیت حقوقی باید تسلط مؤثر بر ابزارهای رمزگشایی باشد؛ پرسشی که آن را در بحث تعارض میان Data Act و CLOUD Act به تفصیل بررسی کرده‌ایم.

زاویه‌ای که Arpokrat دنبال می‌کند

این استدلال ویژه‌ی حقوق ارتباطات نیست. همان است که بر انتخاب‌های معماری خودمان اعمال می‌کنیم و در یک جمله می‌گنجد: آنچه تولید نشده، نیازی به حفاظت ندارد.

به همین سبب ArpokratOS به‌جای خاموش‌کردن GPS و بلوتوث و NFC در یک منو، آنها را در سطح هسته حذف می‌کند. یک کلید، یک سیاست است: مؤلفه‌ای دارای امتیاز می‌تواند دورش بزند، یک به‌روزرسانی می‌تواند دوباره روشنش کند، سامانه‌ای که به خطر افتاده می‌تواند نادیده‌اش بگیرد. حذف مسیر کد، خودِ پرسش را از میان برمی‌دارد. این در مقیاس یک دستگاه، همان جابه‌جایی‌ای است که در مقیاس حقوق خواستارش هستیم: مداخله در تولید، نه در دسترسی.

بی‌درنگ باید گفت این کار چه نمی‌کند. هیچ سیستم‌عاملی دستگاه را از هندسه‌ی شبکه بیرون نمی‌برد. تا وقتی سیم‌کارتی فعال باشد، اپراتور سلول اتصال را می‌داند و عبور دادن تمام ترافیک از Tor چیزی را عوض نمی‌کند، چون Tor از محتوا و مقصد حفاظت می‌کند نه از لایه‌ی رادیویی. دقیقاً به همین دلیل موضوع حقوقی است. دسته‌ای از خطرها هست که هیچ پیکربندی فردی آنها را کم نمی‌کند و تنها متغیر در دسترس برایشان قاعده‌ی حاکم بر اپراتور است.

همین دغدغه بر باقی کار ما نیز حاکم است. داده‌ای که وجود ندارد نه می‌توان ضبطش کرد، نه فروختش، نه بیرونش کشید، و نه ده سال بعد با ماشینی که امروز کسی در اختیار ندارد رمزگشایی‌اش کرد؛ پرسشی که آن را از زاویه‌ی رمزنگاری امروز برداشت‌شده و بعداً شکسته بررسی کرده‌ایم.

نتیجه

بحث عمومی درباره‌ی نظارت بر تلفن همراه تقریباً به‌طور کامل بر دسترسی متمرکز است: چه کسی می‌تواند داده‌ها را ببیند، بر چه مبنایی، با چه مجوزی. این بحث مشروع است و آرای دیوان دادگستری از ۲۰۱۴ به این‌سو آثار ملموسی داشته‌اند. اما در زنجیره خیلی دیر وارد می‌شود.

پرسش مقدم‌تر و تعیین‌کننده‌تر این است که آیا اصلاً باید تاریخچه‌ای وجود داشته باشد. پایگاهی که امروز به دلیلی مشروع ساخته می‌شود فردا برای دلیلی دیگر در دسترس می‌ماند، و تضمین‌های پیرامون آن به تصمیم‌های سیاسی بعدی وابسته‌اند که در لحظه‌ی گردآوری هیچ‌کس مهارشان نمی‌کند. این شرط‌بندی بر ثبات نهادهاست، برای مدتی که هیچ‌کس تعیینش نمی‌کند.

نسل پنجم تفکیک‌پذیری این اطلاعات را چند برابر کرد بی‌آنکه هیچ تطبیق هنجاری‌ای رخ دهد. هم‌زمان با سازوکار SUCI نشان داد که راه عملی، جداکردن موقعیت از هویت است نه تلاش برای رمزگذاری یک ویژگی فیزیکی شبکه. استاندارد فنی پاسخ را هفت سال پیش از آنکه حقوق پرسش را طرح کند فراهم کرده بود.

متن اروپایی درباره‌ی نگهداری داده هم‌اکنون نوشته می‌شود. به فراداده‌ها مربوط خواهد بود، یعنی به مکان، یعنی به آنچه نسل پنجم اکنون با دقتی تولید می‌کند که نویسندگانش آن را نمی‌شناختند. اینکه آیا به سامان‌دادن دسترسی به تاریخچه‌ای که مفروض گرفته شده بسنده می‌کند یا جسارت پرسیدن از ضرورت آن تاریخچه را دارد، احتمالاً مهم‌ترین پرسش حریم خصوصی سال‌های آینده در اروپاست. و پرسشی است که بخش فنی، برای یک بار هم که شده، پیشاپیش در جهت درست به آن پاسخ داده است.

منابع

دیوان دادگستری اتحادیه‌ی اروپا، Digital Rights Ireland، پرونده‌های پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴
دیوان دادگستری اتحادیه‌ی اروپا، Tele2 Sverige و Watson، پرونده‌های پیوسته C-203/15 و C-698/15، شعبه‌ی بزرگ، ۲۱ دسامبر ۲۰۱۶
دیوان دادگستری اتحادیه‌ی اروپا، La Quadrature du Net و دیگران، پرونده‌های پیوسته C-511/18، C-512/18 و C-520/18، شعبه‌ی بزرگ، ۶ اکتبر ۲۰۲۰
دیوان عالی ایالات متحده، Carpenter v. United States، 585 U.S. 296، ۲۰۱۸
مؤسسه‌ی ملی استانداردها و فناوری، Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI)، NIST CSWP 36A، مارس ۲۰۲۶
اریکسون، 5G positioning: Locating devices anywhere
Merlin Chlosta و دیگران، 5G SUCI-catchers: still catching them all?، ACM WiSec، ۲۰۲۱
بنیاد مرزهای الکترونیک، Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights، The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online، Data Retention: Commission to present proposal by mid-2026

موقعیت‌یابی دائمی: چگونه گوشی شما را دنبال می‌کند، حتی وقتی گمان می‌کنید جلویش را گرفته‌اید

Sun, 02 Aug 2026 00:00:00 +0000

در سال ۲۰۲۴، دو پژوهشگر دانشگاه مریلند بارها و بارها از سرویس موقعیت‌یابی وای‌فای اپل پرس‌وجو کردند، بدون هیچ دسترسی ویژه و بدون سخت‌افزار تخصصی، و در یک سال موقعیت دقیق بیش از دو میلیارد نقطه دسترسی وای‌فای در سراسر جهان را بازسازی کردند. مقاله آنان، Surveilling the Masses with Wi-Fi-Based Positioning Systems، نشان می‌دهد این نقشه چه چیزی را ممکن می‌کند: ردیابی تجهیزاتی که وارد اوکراین می‌شوند و از آن خارج می‌شوند، مشاهده جابه‌جایی جمعیت پس از آتش‌سوزی‌های مائویی، و تعقیب یک فرد از طریق مودم اینترنت خانه‌اش.

هیچ‌کدام از این دستگاه‌ها GPS را فعال نکرده بودند. موقعیت از جای دیگری می‌آمد.

این رایج‌ترین نقطه کور در زمینه حریم خصوصی موبایل است: این باور که کلیدی برای موقعیت‌یابی وجود دارد و همین که خاموشش کنی، گوشی دیگر نمی‌داند کجاست. این باور در هفت سطح متفاوت نادرست است.

موقعیت‌یابی قابلیتی نیست که گوشی شما آن را روشن کند. خاصیتی است از آنچه گوشی هست.

GPS، یا کم‌دردسرترین مسیر

تنها سازوکاری که همه نامش را می‌دانند، همان است که باید کمتر از همه نگرانتان کند.

GNSS، اصطلاح کلی که GPS آمریکایی، گالیله، گلوناس و بیدو را در بر می‌گیرد، با شنیدن کار می‌کند. ماهواره‌ها پیوسته سیگنال‌هایی با مهر زمانی می‌فرستند، گیرنده چند تای آن‌ها را می‌گیرد و از اختلاف زمان انتشار، موقعیت خود را حساب می‌کند. دقت معمول در فضای باز: سه تا پنج متر، و در شهر اغلب چند ده متر، چون نمای ساختمان‌ها سیگنال‌ها را بازتاب می‌دهد.

نکته تعیین‌کننده این است که این محاسبه منفعل است. گوشی چیزی به‌سوی ماهواره‌ها نمی‌فرستد و هیچ اپراتور ماهواره‌ای نمی‌داند شما وجود دارید. اگر تنها GNSS در میان بود، خاموش‌کردن GPS کفایت می‌کرد.

با این حال یک نکته باریک هست. برای شتاب‌بخشیدن به نخستین محاسبه، گوشی‌ها از A-GPS استفاده می‌کنند: داده‌های مداری ماهواره‌ها را از یک سرور و از طریق پروتکل SUPL دانلود می‌کنند. برای دریافت داده درست، گوشی شناسه سلولی شبکه‌ای را که به آن متصل است به همان سرور می‌فرستد. GNSS خالص شما را لو نمی‌دهد، اما شتاب‌دهنده‌ای که به آن پیوند زده‌اند، می‌دهد.

شبکه همراه: آنچه اپراتور بنا بر ساختار می‌داند

برای اینکه تماسی به شما برسد، شبکه باید بداند در کدام محدوده هستید. این گزینه‌ای برای فعال‌کردن نیست، بلکه شرط وجود خود سرویس است. گوشی شما پیوسته خود را به نزدیک‌ترین دکل معرفی می‌کند و این ثبت، نزد اپراتور ردی به‌جا می‌گذارد. هیچ برنامه‌ای نصب نشده، هیچ دسترسی‌ای داده نشده: یک سیم‌کارت فعال کافی است.

دقت به روش بستگی دارد:

تنها شناسه سلول: از ۲۰۰ متر در بافت شهری متراکم تا بیش از ۳۰ کیلومتر در مناطق روستایی، جایی که یک دکل شعاع بسیار وسیعی را پوشش می‌دهد.
Cell ID غنی‌شده، که بخش آنتن (بیشتر سایت‌ها به سه بخش ۱۲۰ درجه تقسیم شده‌اند) و قدرت سیگنال را می‌افزاید: از ۱۰۰ متر تا چند کیلومتر.
Timing advance، که تأخیر رفت و برگشت میان گوشی و دکل را اندازه می‌گیرد: حدود ۵۵۰ متر در GSM و نزدیک ۷۸ متر در LTE.
چندفاصله‌سنجی بر پایه سه دکل یا بیشتر: ۵۰ تا ۳۰۰ متر در LTE شهری.

۵G به دو دلیل انباشتی، مقیاس را دگرگون می‌کند. نخست تراکم: سلول‌های ۵G شعاع‌های بسیار کوتاه‌تری را پوشش می‌دهند، پس صرفِ اتصال هم خودش اطلاعاتی دقیق است. سپس استانداردسازی: از نسخه Release 16 به بعد، 3GPP سیگنال‌های موقعیت‌یابی بومی را در خود دارد. هدف‌های تجاری کمتر از ۳ متر در فضای بسته و کمتر از ۱۰ متر در فضای باز برای ۸۰ ٪ دستگاه‌هاست، و Release 18 برای برخی کاربردهای صنعتی تا سطح سانتی‌متر پایین می‌آید.

پس زیرساختی که شما را متصل می‌کند، خودش به سامانه‌ای موقعیت‌یاب با کیفیتی همسنگ GPS بدل می‌شود، بی‌آنکه شما چیزی را فعال کرده باشید. این داده بر پایه قواعد ملی نگهداری می‌شود و با رویه‌های گوناگون در دسترس مقامات قرار می‌گیرد. این همان بحث بنیادینی است که درباره صلاحیت قضایی حاکم بر داده‌های میزبانی‌شده مطرح کردیم: حفاظت فنی و حفاظت حقوقی بر هم منطبق نیستند.

وای‌فای: نقشه‌ای از جهان، ساخته‌شده از نشانی‌های سخت‌افزاری

هر نقطه دسترسی وای‌فای پیوسته یک شناسه سخت‌افزاری یکتا، یعنی BSSID، پخش می‌کند. این شناسه‌ها ثابت‌اند و از نظر جغرافیایی پایدار: مودم خانگی سال‌ها در همان نقطه می‌ماند.

اپل، گوگل و چند بازیگر تخصصی، پایگاه‌هایی نگه می‌دارند که هر BSSID را به مختصاتی پیوند می‌زند؛ این پایگاه‌ها را گوشی کاربران خودشان می‌سازند، گوشی‌هایی که فهرست نقاط دیده‌شده را همراه با یک موقعیت GNSS گزارش می‌کنند. سپس عملیات وارونه می‌شود: گوشی‌ای که چهار نقطه شناخته‌شده را می‌بیند، دیگر به هیچ ماهواره‌ای نیاز ندارد. در بافت شهری متراکم، دقت معمولاً به چند ده متر می‌رسد و در فضای بسته از آن هم پایین‌تر می‌آید.

دو ویژگی، خنثی‌کردن این سازوکار را دشوار می‌کند. نخست اینکه گوشی حتی وقتی وای‌فای خاموش به‌نظر می‌رسد هم پویش می‌کند: از اندروید ۴.۳ به بعد، سیستم یک پویش دوره‌ای را برای بهبود موقعیت‌یابی نگه می‌دارد، مستقل از کلید موجود در پنل سریع. این رفتار به تنظیمی جداگانه وابسته است که در دل سرویس‌های موقعیت‌یابی دفن شده و تقریباً هیچ کاربری هرگز آن را باز نکرده است.

دوم اینکه می‌توان از بیرون از این پایگاه پرس‌وجو کرد. همین رخنه‌ای است که رای و لوین از آن بهره بردند: رابط‌های موقعیت‌یابی نه‌تنها موقعیت درخواستی، بلکه موقعیت نقاط همسایه را نیز برمی‌گردانند، و همین امکان می‌دهد نقشه را درو کنی بی‌آنکه هرگز از نظر فیزیکی به آن مکان‌ها نزدیک شوی.

بلوتوث و BLE: موقعیت‌یابی به‌دست گوشی دیگران

بلوتوث کم‌مصرف (BLE) لایه‌ای از مجاورت می‌افزاید، با بردی از چند متر تا چند ده متر، یعنی با دانه‌بندی بسیار ریزتر از شبکه همراه. دو کاربرد در کنار هم وجود دارند. بیکن‌های تجاری، که در فروشگاه‌ها، فرودگاه‌ها یا مراکز خرید نصب می‌شوند، شناسه‌ای می‌فرستند که برنامه‌های روی گوشی آن را می‌شناسند و بدین‌سان آشکار می‌شود جلوی کدام قفسه و چه مدت ایستاده‌اید. و دیگری شبکه‌های موقعیت‌یابی مشارکتی، که Find My اپل الگوی آن‌هاست و از آن پس گوگل و سامسونگ نیز آن را برگرفته‌اند.

این سازوکار دوم، فرضی ناگفته را وارونه می‌کند. تحلیل مرجع Who Can Find My Devices?، که پژوهشگران دانشگاه فنی دارمشتات در مجموعه‌مقالات PETS 2021 منتشر کردند، پروتکل اپل را با مهندسی معکوس بازسازی کرد. دستگاهی که آفلاین است سیگنالی BLE می‌فرستد، هر دستگاه اپلی در آن حوالی آن را می‌گیرد، موقعیت خود را به آن می‌افزاید و رمزگذاری‌شده به سرورهای اپل می‌فرستد، بی‌آنکه نه دارنده‌اش خبردار شود و نه دارنده دستگاهی که موقعیتش پیدا شده است.

پیامد، ساختاری است: دستگاهی بدون سیم‌کارت، بدون وای‌فای و بدون هیچ‌گونه اتصال شبکه، همچنان قابل ردیابی می‌ماند، به شرط آنکه ناشناسی با گوشی در جیب از کنارش بگذرد. انزوای شما دیگر به تنظیمات شما بستگی ندارد، بلکه به تنظیمات رهگذران وابسته است.

حسگرهای اینرسی: موقعیت‌یابی بدون مجوز موقعیت

گوشی شتاب‌سنج، ژیروسکوپ، مغناطیس‌سنج و اغلب فشارسنج دارد. این حسگرها در دسته‌ای از مجوزها جای می‌گیرند که از موقعیت جداست: یک برنامه می‌تواند آن‌ها را بخواند بی‌آنکه هرگز پرسیده باشد کجایید.

پژوهشگران پرینستون این را با PinMe نشان دادند. برنامه آن‌ها برای یک موقعیت خام از نشانی IP و منطقه زمانی آغاز می‌کند و سپس حسگرها را می‌خواند: شتاب‌سنج الگوی شتاب‌گیری و ترمز را می‌دهد، ژیروسکوپ ترتیب پیچ‌ها را، مغناطیس‌سنج جهت حرکت را و فشارسنج تغییرات ارتفاع را. یک شبکه عصبی شیوه جابه‌جایی را تشخیص می‌دهد، پیاده، خودرو، قطار یا هواپیما، و مسیر روی داده‌های عمومی نقشه، ارتفاع و هواشناسی منطبق می‌شود. نتیجه: مسیری با دقتی همسنگ GPS، بدون مجوز موقعیت. این روش محدودیت‌هایی دارد که نویسندگان ثبتشان کرده‌اند، چون در مناطق بدون جاده ناکام می‌ماند و در بافت‌های شطرنجی یکنواخت افت می‌کند، جایی که مسیرهای بسیاری امضای یکسانی می‌سازند. اما همچنان اثباتی است بر اینکه مجوز ردشده، درِ بسته نیست.

فشارسنج افزون بر این، بُعدی را فراهم می‌کند که GNSS در آن ضعیف است، یعنی بُعد عمودی. الزامات آمریکا برای تماس‌های اضطراری، دقت در حد طبقه با خطای مثبت و منفی ۳ متر را برای ۸۰ ٪ تماس‌های داخل ساختمان مقرر می‌کند. دانستن اینکه کسی در کدام طبقه است، از جنس دیگری است تا دانستن اینکه در کدام بلوک ساختمانی است.

بازار داده: پیش‌پاافتاده‌ترین مسیر

سازوکارهای پیشین توضیح می‌دهند موقعیت چگونه محاسبه می‌شود. می‌ماند اینکه به کجا می‌رود، و بخش عمده خطر روزمره درست همان‌جا رقم می‌خورد.

هزاران برنامه SDK‌های تبلیغاتی را در خود جای می‌دهند، یعنی قطعه‌های نرم‌افزاری از شرکت‌های ثالث که توسعه‌دهنده برای کسب درآمد از کارش یا سنجش مخاطبش به برنامه می‌افزاید. این قطعه‌ها مجوزهای برنامه میزبان را به ارث می‌برند: برنامه هواشناسی‌ای که به‌حق به موقعیت شما نیاز دارد، آن را به بازیگرانی می‌سپارد که هرگز نامشان را نخوانده‌اید. به این باید جریان‌های مزایده تبلیغاتی را افزود، جایی که با هر بار نمایش یک بنر، موقعیت تقریبی شما میان ده‌ها خریدار بالقوه پخش می‌شود، از جمله آنان که چیزی نمی‌خرند و تنها گوش می‌سپارند.

این ماده خام، صنعتی را تغذیه می‌کند. بنیاد مرزهای الکترونیک پرونده Fog Data Science را مستند کرد؛ شرکتی که مدعی میلیاردها نقطه‌داده درباره بیش از ۲۵۰ میلیون دستگاه بود و آن‌ها را به پلیس‌های محلی آمریکا می‌فروخت. برایان کربس Locate X را توصیف کرد، محصولی که اجازه می‌دهد روی نقشه چندضلعی‌ای بکشی و تاریخچه دستگاه‌هایی را ببینی که وارد آن محدوده شده و از آن خارج شده‌اند.

این مسیر به هیچ هنرنمایی فنی نیاز ندارد، تنها کافی است کسی حاضر به پرداخت باشد. بها هم اندک است.

دستگاه‌های شکار IMSI: موقعیت‌یابی فعال

سازوکارهایی که تا اینجا دیدیم از کارکرد عادی بهره می‌برند. موقعیت‌یابی فعالی هم هست که شخص ثالثی با مداخله در شبکه انجامش می‌دهد.

دستگاه شکار IMSI، یا شبیه‌ساز سلول، تجهیزاتی است که خود را به‌جای یک دکل قانونی جا می‌زند. گوشی‌های درون برد به آن متصل می‌شوند و بدین‌سان شناسه مشترک خود و حضورشان در محدوده‌ای تنگ را آشکار می‌کنند.

قرار بود ۵G با جایگزین‌کردن شناسه دائمی آشکار با شناسه‌ای رمزگذاری‌شده به نام SUCI این در را ببندد. این بستن ناقص است. پژوهش‌های ارائه‌شده با عنوان 5G SUCI-catchers: still catching them all? حمله‌های پیونددهی را مستند می‌کنند که با وجود رمزگذاری، امکان همبسته‌کردن دوباره نشست‌ها را می‌دهند. مهم‌تر آنکه اگر مهاجم دستگاه را وادار کند به نسلی پیشین، به‌ویژه ۲G که احراز هویتش یک‌طرفه است، سقوط کند، حفاظت به‌کلی فرو می‌ریزد. گوشی ۵G همچنان در برابر حمله‌ای که برای شبکه دهه ۱۹۹۰ طراحی شده آسیب‌پذیر می‌ماند، چون هنوز می‌پذیرد به آنجا فرود بیاید.

اقدام‌های متقابل و کارآمدی واقعی‌شان

هر یک از اقدام‌های زیر کاری انجام می‌دهد. هیچ‌کدام همه‌کار را نمی‌کند، و شکاف میان آنچه انجام می‌دهند و آنچه به آن‌ها نسبت داده می‌شود، تصمیم‌های نادرست را می‌سازد.

حالت پرواز

حالت پرواز ارسال مودم همراه، وای‌فای و بلوتوث را قطع می‌کند. این اثری واقعی است و بهترین نتیجه در برابر چنین تلاش ناچیزی.

آنچه انجام نمی‌دهد: حسگرهای اینرسی را متوقف نمی‌کند، موقعیت‌های ذخیره‌شده در حافظه نهان را پاک نمی‌کند، که با اتصال دوباره ارسال خواهند شد، و در بیشتر دستگاه‌ها اجازه می‌دهد وای‌فای یا بلوتوث را جداگانه دوباره روشن کنید بی‌آنکه از آن خارج شوید. سرانجام اینکه این یک وضعیت نرم‌افزاری است، نه قطع برق: اتکاپذیری‌اش به سلامت سیستمی بستگی دارد که آن را اعمال می‌کند.

جزئیاتی که دست‌کم گرفته می‌شود: جداشدن از شبکه و اتصال دوباره به آن، خودشان رویدادهایی با مهر زمانی نزد اپراتورند. گوشی‌ای که ساعت ۲۱ در یک سلول ناپدید می‌شود و ساعت ۲۳ در سلولی دیگر پدیدار، اطلاعات تولید کرده است، نه سکوت.

تصادفی‌سازی نشانی MAC

سامانه‌های همراه امروز هنگام پویش نشانی‌های MAC تصادفی می‌فرستند تا ردیابی از مکانی به مکان دیگر ناممکن شود. نیت خوب است و نتیجه ناقص. پژوهش‌های مرجع، از جمله Why MAC Address Randomization is not Enough، نشان می‌دهند محتوای فریم‌های کشف اغلب برای بازشناسی دستگاه کافی است: شمار عناصر اطلاعاتی، مقادیرشان و ترتیبشان یک اثر انگشت می‌سازد. به این باید شماره‌های ترتیبی را افزود که افزایشی و از این‌رو زنجیره‌پذیرند، و امضای زمانی ویژه هر مدل. برخی مطالعات از ردیابی درست نیمی از دستگاه‌ها دست‌کم به مدت بیست دقیقه خبر می‌دهند.

سرانجام یک محدودیت مفهومی: تصادفی‌سازی تنها به مرحله کشف مربوط است. همین که به شبکه‌ای وصل شوید، نشانی به‌کاررفته برای آن شبکه ثابت است، بنا بر طراحی، تا اتصال کار کند. کافه‌ای که هر روز صبح به آن می‌روید شما را می‌شناسد.

واقعاً خاموش‌کردن پویش‌ها

این پرصرفه‌ترین و نادیده‌گرفته‌شده‌ترین تنظیم است. در اندروید، جست‌وجوی وای‌فای و جست‌وجوی بلوتوث دو گزینه مجزا هستند، در دل سرویس‌های موقعیت‌یابی، و مستقل از کلیدهای پنل سریع. تا وقتی این‌ها فعال‌اند، خاموش‌کردن وای‌فای از پنل کافی نیست: پویش ادامه دارد.

غیرفعال‌کردنشان یک لایه کامل از جمع‌آوری را برمی‌دارد، بی‌هیچ هزینه‌ای جز اینکه نخستین محاسبه موقعیت اندکی کندتر می‌شود. برای بیشتر خوانندگان، این بهترین نسبت میان تلاش صرف‌شده و نتیجه به‌دست‌آمده است.

مجوزهای برنامه‌ها

پس‌گرفتن مجوز موقعیت از برنامه‌هایی که آشکارا به آن نیاز ندارند همچنان سودمند است، و سامانه‌های تازه سه درجه ارائه می‌کنند: اجازه یک‌بار مصرف، اجازه محدود به هنگام استفاده فعال، و موقعیت تقریبی که تنها محدوده‌ای در حدود یک کیلومتر را می‌فرستد.

در مقابل، این کار نه در برابر SDKهایی که درون برنامه‌ای با دلیل موجه برای دسترسی به موقعیت شما جا خوش کرده‌اند محافظت می‌کند، نه در برابر حسگرهای اینرسی، و نه در برابر لایه‌های شبکه که اصلاً از هیچ مجوزی نمی‌گذرند.

آنچه VPN از آن محافظت نمی‌کند

نکته‌ای که باید روشن شود، چون باور وارونه‌اش بسیار رایج است: VPN موقعیت شما را پنهان نمی‌کند. نشانی IP عمومی شما را پنهان می‌کند، پس موقعیت‌یابی بر پایه IP را مختل می‌کند، که به‌هرحال خام‌ترین سازوکار این فهرست است.

VPN نه به گیرنده GNSS دست می‌زند، نه به پویش وای‌فای، نه به بلوتوث و نه به حسگرها. چیزی از آنچه اپراتور شما می‌داند تغییر نمی‌دهد، چون تونل رمزگذاری‌شده از دکل‌های همو می‌گذرد و اتصال به سلول برایش دیدنی می‌ماند. جلوی برنامه‌ای را هم که مجوز موقعیت دارد نمی‌گیرد تا مختصات دقیق را درون تونل بفرستد. VPN محتوا و مقصد ارتباطات شما را روی شبکه‌ای نامطمئن حفظ می‌کند، و همین خود بسیار است. موقعیت در قلمرو آن نیست.

مرزهای فیزیکی

کیف فارادی به معنای واقعی کلمه کار می‌کند: ارسال و دریافت را سد می‌کند. برداشتن باتری هم، جایی که هنوز شدنی است. دستگاه اختصاصی، یا اینکه گوشی را جای دیگری بگذارید، همچنان استوارترین اقدام است.

این راه‌حل‌ها عیبی مشترک دارند که باید در چشمش نگاه کرد: ناهنجاری می‌سازند. گوشی‌ای که هر سه‌شنبه‌شب دو ساعت خاموشی می‌گیرد، چیزی می‌گوید. در برابر حریفی که به‌جای موقعیت‌های لحظه‌ای الگوها را تحلیل می‌کند، خودِ غیبت یک داده است.

سه حریف، سه راهبرد

این مهم‌ترین تمایز این نوشته است، و همان که کمتر از همه خوانده می‌شود.

در برابر یک آگهی‌دهنده یا دلال داده، این نبرد بردنی است. انضباط در مجوزها، خاموش‌کردن پویش‌ها، سیستمی بدون سرویس‌های موقعیت‌یابی انحصاری، بازنشانی شناسه تبلیغاتی: مجموع این‌ها حجم گردآوری‌شده را به‌شدت پایین می‌آورد. این حریف در پی حجم ارزان است، نه پرونده خاص شما.

در برابر اپراتورتان، هیچ پیکربندی‌ای بسنده نیست. موقعیت‌یابی سلولی شرط خود سرویس است. تنها متغیرهای واقعی حقوقی‌اند، یعنی آنچه قانون اجازه نگهداری و تحویلش را می‌دهد، و مادی: کدام دستگاه، کدام سیم‌کارت، به نام چه کسی، روشن در کجا.

در برابر حریف دولتیِ هدفمند، استدلال باز هم تغییر می‌کند، چون او دسترسی قانونی به داده‌های اپراتور، موقعیت‌یابی فعال با شبیه‌ساز سلول، درخواست از پلتفرم‌ها و در صورت لزوم نفوذ به خود دستگاه را با هم ترکیب می‌کند. اقدام‌های متقابل نرم‌افزاری سطح حمله را کوچک می‌کنند، اما هدف واقع‌بینانه ناپدیدشدن نیست: دانستن دقیق این است که چه چیزی همچنان در معرض می‌ماند.

رویکرد ArpokratOS

ArpokratOS به این چشم‌انداز با انتخابی پاسخ می‌دهد که از همان تمایز بالا برمی‌آید: آنچه باید خنثی شود، در سطح سیستم خنثی می‌شود، نه در یک منو.

درباره GNSS، درایور سخت‌افزار برداشته شده است. دستگاه چنان رفتار می‌کند که گویی آن تراشه اصلاً وجود ندارد، هم برای برنامه‌ها و هم برای خود سیستم. تفاوت با یک کلید در تنظیمات ظاهری نیست. کلید یک سیاست است: لایه‌ای آن را اعمال می‌کند که مؤلفه‌ای با دسترسی کافی می‌تواند دورش بزند، به‌روزرسانی می‌تواند دوباره فعالش کند، و سیستمی آلوده می‌تواند نادیده‌اش بگیرد. برداشتن مسیر کد، خودِ پرسش را حذف می‌کند، چون دیگر چیزی برای فعال‌کردن نمانده است.

بلوتوث با همین منطق در سطح Core مدیریت می‌شود. بلوتوثی که در تنظیمات خاموش شده، در عمل روی بسیاری از دستگاه‌ها پشته نرم‌افزاری را زنده نگه می‌دارد تا سرویس‌های مجاورت و شبکه‌های موقعیت‌یابی مشارکتی را تغذیه کند. وقتی در سطح سیستم غایب باشد، نه می‌تواند با بیکن فروشگاه گفت‌وگو کند، نه در شبکه‌ای از نوع Find My شرکت کند و نه سطح حمله‌ای بدون تعامل باشد.

باید روشن گفت این کار چه چیزی را انجام نمی‌دهد. ArpokratOS گوشی را غیرقابل‌شناسایی نمی‌کند. تا وقتی سیم‌کارتی فعال باشد، اپراتور سلول اتصال را می‌داند و هیچ سیستم‌عاملی این را تغییر نمی‌دهد، حتی با هدایت تمام ترافیک از راه Tor. مسیریابی از محتوا و مقصد محافظت می‌کند، نه از هندسه رادیویی. هرکس نامرئی‌شدن را وعده دهد، افسانه می‌فروشد.

آنچه چنین معماری‌ای به ارمغان می‌آورد فروتنانه‌تر است: حذف لایه‌های برنامه‌ای و مجاورتی، که بخش عمده گردآوری واقعی از آن‌ها می‌گذرد، و مدل تهدیدی صریح درباره آنچه باقی می‌ماند. همان استدلالی که در انتخاب یک سیستم رومیزی به کار بستیم و در مقایسه سیستم‌عامل‌ها شرح دادیم: پرسش سودمند این نیست که آیا ابزاری محافظت می‌کند، بلکه این است که از چه چیزی و به چه بهایی محافظت می‌کند.

نتیجه‌گیری

این نوشته روشی برای ناپدیدشدن ارائه نمی‌دهد. چنین روشی وجود ندارد، و متن‌هایی که خلافش را ادعا می‌کنند بیش از هر چیز اعتماد کاذب می‌سازند، که خطرناک‌تر از نبودِ حفاظت است، چون آدم را به خطرکردن وامی‌دارد.

هدف این بود که پرسشی دوگانه، یعنی «آیا مرا می‌توان یافت یا نه»، جای خود را به پرسشی سودمند بدهد: به‌دست چه کسی، با چه دقتی، به چه هزینه‌ای برای او، و آیا این برای من مهم است. پاسخ برای روزنامه‌نگاری که از یک منبع محافظت می‌کند، مدیری که در حوزه قضایی حساسی سفر می‌کند، وکیلی که قرارهایش راهبردی را لو می‌دهد، و فردی که تنها از دانستن عادت‌هایش به‌دست یک آگهی‌دهنده آزرده است، متفاوت است.

آنچه در واقع باید توجه را جلب کند، کارآمدی هریک از این سازوکارها به‌تنهایی نیست، بلکه این است که با هم هم‌پوشانی دارند. موقعیتی با خطای پنجاه متر چندان جالب نیست. اما موقعیتی با خطای پنجاه متر، هر ربع ساعت، به مدت دو سال، خانه‌ای را ترسیم می‌کند، محل کاری، یک باور دینی، یک وضعیت سلامت، یک رابطه، یک منبع خبری. داده موقعیت همان فراداده‌ای است که همه فراداده‌های دیگر را خواندنی می‌کند، و درست به همین دلیل گران است.

منابع

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

یوتیک (Utiq): 'سوپر کوکی' جدید شرکت‌های مخابراتی که حریم خصوصی شما را تهدید می‌کند

Mon, 01 Jun 2026 00:00:00 +0000

پایان برنامه‌ریزی شده کوکی‌های شخص ثالث در مرورگرهای وب، یک مسابقه تسلیحاتی واقعی را در صنعت تبلیغات هدفمند به راه انداخته است. در حالی که گوگل در تلاش است استانداردهای خود را (مانند Privacy Sandbox) تحمیل کند، یک بازیگر غیرمنتظره دیگر تصمیم گرفته است تا تکه‌ای از این کیک را به دست آورد: ارائه‌دهنده خدمات اینترنت (ISP) شما.

اینگونه بود که Utiq (که قبلاً با نام پروژه TrustPid شناخته می‌شد) متولد شد، یک سرمایه‌گذاری مشترک که توسط غول‌های مخابراتی اروپا تأسیس شد. یوتیک که به عنوان یک راه‌حل “شفاف و محترمانه” به عموم فروخته می‌شود، در واقع همان چیزی است که کارشناسان امنیت سایبری بیشتر از آن می‌ترسند: یک “سوپر کوکی” که در سطح شبکه عمل می‌کند.

یوتیک چیست و چگونه کار می‌کند؟

به طور سنتی، ردیابی تبلیغات (کوکی‌ها) توسط مرورگر وب شما (Chrome، Firefox، Safari) مدیریت می‌شود. شما می‌توانستید آن را با استفاده از افزونه‌ها (مانند uBlock Origin) یا یک مرورگر متمرکز بر حریم خصوصی (مانند Brave) مسدود کنید.

یوتیک مشکل را یک قدم به عقب می‌برد: به سطح اتصال شبکه شما.

در اینجا نحوه بسته شدن تله آمده است:

رهگیری شبکه: هنگامی که از طریق اتصال تلفن همراه خود (4G/5G) یا جعبه فیبر خود در اینترنت مرور می‌کنید، یوتیک از آدرس IP و داده‌های اشتراک مخابراتی شما برای شناسایی شما استفاده می‌کند.
رضایت (انتخاب نادرست): با ورود به یک سایت شریک، یک پنجره پاپ‌آپ از شما می‌خواهد که یوتیک را بپذیرید. با خستگی ناشی از بنرهای کوکی (Consent Fatigue)، میلیون‌ها کاربر بدون خواندن روی “پذیرش” کلیک می‌کنند.
“Network Signal” (سیگنال شبکه): پس از رضایت، یوتیک مستقیماً با اپراتور مخابراتی شما تماس می‌گیرد. این اپراتور یک توکن شناسایی منحصر به فرد و نام مستعار (سیگنال شبکه) تولید می‌کند که آن را به تبلیغ‌کنندگان منتقل می‌کند.

شما اکنون از سایتی به سایت دیگر قابل ردیابی هستید، نه با فایلی که در رایانه شما ذخیره شده است، بلکه توسط همان زیرساختی که اینترنت را در اختیار شما قرار می‌دهد.

چرا یوتیک یک کابوس برای حریم خصوصی است (OPSEC)

این ابتکار مشکلات جدی برای حاکمیت دیجیتال و محرمانه بودن داده‌های شما ایجاد می‌کند:

ردیابی در منبع: برخلاف کوکی‌های کلاسیک، نمی‌توانید برای خلاص شدن از شر یوتیک، به سادگی “تاریخچه خود را پاک کنید” یا “حافظه پنهان خود را خالی کنید”. توکن شناسایی توسط ISP شما تولید می‌شود.
تمرکز پروفایل‌ها: اپراتورهای مخابراتی از قبل نام، آدرس فیزیکی، جزئیات بانکی و موقعیت مکانی شما را در زمان واقعی می‌دانند. با پیوند دادن تاریخچه مرور وب شما از طریق یوتیک به این اطلاعات، آنها یک پروفایل رفتاری با دقت دلهره‌آور ایجاد می‌کنند.
نقص نام مستعار: یوتیک با به اشتراک نگذاشتن نام شما در متن ساده از خود دفاع می‌کند و ادعا می‌کند که از توکن‌های “رمزنگاری شده” استفاده می‌کند. با این حال، در دنیای امنیت سایبری، ثابت شده است که نام مستعار برگشت‌پذیر است. تقاطع این توکن‌ها با پایگاه‌های داده دیگر، امکان شناسایی مجدد افراد را به راحتی فراهم می‌کند.

کدام اپراتورها از یوتیک استفاده می‌کنند؟

یوتیک توسط اتحادی از چهار اپراتور بزرگ اروپایی تأسیس شد. اگر مشتری یکی از آنها (یا یکی از شرکت‌های تابعه ارزان قیمت آنها) هستید، اتصال شما احتمالاً از قبل با این ردیابی “سازگار” است.

در اینجا بنیانگذاران و پیوندهایی به سیاست‌های حفظ حریم خصوصی مربوطه آنها آمده است:

Orange (فرانسه، اسپانیا، لهستان، و غیره)
Vodafone (آلمان، اسپانیا، بریتانیا، و غیره)
Telefónica / O2 / Movistar (اسپانیا، آلمان، و غیره)
Deutsche Telekom (آلمان، اروپای مرکزی)

نکته OPSEC: اگرچه یوتیک یک پورتال مدیریت رضایت متمرکز (consenthub.utiq.com) را برای لغو دسترسی ارائه می‌دهد، اما بهترین دفاع همچنان فناوری است.

رویکرد Zero-Trust برای مقابله با یوتیک

فلسفه حاکمیت دیجیتال که توسط اکوسیستم‌هایی مانند Arpokrat هدایت می‌شود، بر یک اصل ساده استوار است: هرگز به زیرساخت شبکه اعتماد نکنید.

برای خنثی کردن فنی سیستم‌هایی مانند یوتیک، راه‌حل این است که ترافیک خود را از ارائه‌دهنده اینترنت خود پنهان کنید:

استفاده از یک VPN حاکم: با رمزگذاری ترافیک خود به محض خروج از دستگاه، ISP شما فقط یک جریان غیرقابل خواندن از داده‌های هدایت شده به سمت سرور VPN را می‌بیند. دیگر نمی‌تواند توکن‌های یوتیک را تزریق یا بخواند.
شبکه Tor (Orbot): مسیریابی پیازی از هرگونه شناسایی انتها به انتها جلوگیری می‌کند.
رمزگذاری DNS (DoH/DoT): از اینکه اپراتور شما بداند چه وب‌سایت‌هایی را برای بازدید درخواست می‌کنید، جلوگیری می‌کند.

به طور خلاصه، یوتیک اثبات این است که ارائه‌دهندگان خدمات اینترنت دیگر به بودن “لوله” راضی نیستند. آنها می‌خواهند به دلالان داده تبدیل شوند. بیش از هر زمان دیگری، رمزگذاری ترافیک شما دیگر یک گزینه امنیتی نیست، بلکه یک ضرورت مطلق برای حفظ سکوت دیجیتال شماست.