نظارت on Arpokrat

سیگنال‌تریس: اروپا نظارتی را صادر می‌کند که به خود اجازه‌اش را نمی‌دهد

Tue, 01 Sep 2026 00:00:00 +0000

یک سدان خاکستری با سرعت ۱۱۰ کیلومتر بر ساعت از زیر دروازهٔ بزرگراه می‌گذرد. دوربین نصب‌شده بر تیرک پلاک را می‌خواند، زمان را ثبت می‌کند، و آن را ذخیره می‌کند. چیز تازه‌ای در کار نیست: این تجهیزات بیست سال است وجود دارند و ده‌ها هزار نمونه از آن‌ها هم در آمریکای شمالی و هم در اروپا نصب شده است.

اما اگر آن دروازه ماژولی را دریافت کرده باشد که گروه ایتالیایی لئوناردو از ژوئن ۲۰۲۶ به بازار عرضه می‌کند، همین حالا چیز دیگری هم ثبت کرده است. آیفون راننده. هدفون بی‌سیم سرنشین. ساعت هوشمند روی داشبورد. رادیوپخش خودرو. جاکلیدی متصل داخل داشبورد. حسگرهای فشار هر چهار لاستیک. کارت ورودی که در جیب کت جا مانده است. و اگر سگی عقب خوابیده باشد، تراشهٔ شناسایی‌اش را هم.

ده‌ودوازده شناسه، یک پلاک، یک موقعیت، یک ساعت. این را در هر دروازهٔ شبکه تکرار کنید و دیگر یک خودرو را دنبال نمی‌کنید: آدم‌ها را دنبال می‌کنید و می‌دانید با چه کسی جابه‌جا می‌شوند.

این دستگاه واقعاً چه می‌کند

نام محصول SignalTrace است. Leonardo US Cyber and Security Solutions آن را می‌فروشد و مکمل خانوادهٔ ELSAG است، یکی از پرکاربردترین خطوط پلاک‌خوان خودکار در بازار آمریکا. وجود آن را در ۸ ژوئن ۲۰۲۶ جوزف کاکس در 404 Media بر پایهٔ برگهٔ محصول سازنده افشا کرد.

نکتهٔ تعیین‌کننده در یک جمله جا می‌شود: بحث بر سر دوربین‌های تازه نیست. SignalTrace حسگری رادیویی است که به پلاک‌خوان‌های ازپیش‌نصب‌شده افزوده می‌شود. تیرک تغییر نمی‌کند، محل تغییر نمی‌کند، ظاهر تجهیزات کنار جاده تغییر نمی‌کند. آنچه تغییر می‌کند این است که این تجهیزات به چه چیزی گوش می‌دهند.

حسگر شناسه‌هایی را ثبت می‌کند که پروتکل‌های بلوتوث، وای‌فای و RFID دستگاه‌های داخل خودرو به‌صورت آشکار پخش می‌کنند. نکتهٔ فنی‌ای که اغلب بد فهمیده می‌شود: هیچ دستگاهی هک نمی‌شود و از هیچ آسیب‌پذیری‌ای سوءاستفاده نمی‌شود. دستگاه بلوتوثی یا وای‌فای پیوسته قاب‌های کشف می‌فرستد، چون این پروتکل‌ها همین‌گونه طراحی شده‌اند. هدفون شما حضورش را اعلام می‌کند تا تلفن پیدایش کند، و خود تلفن هم فضای پیرامون را برای یافتن شبکه‌هایی که می‌شناسد می‌کاود. این ارسال‌ها بنا بر ساختار عمومی‌اند و هر گیرنده‌ای در برد آن‌ها را می‌شنود.

لئوناردو خود نیز تصریح می‌کند که این سامانه با پلاک‌خوان یا بدون آن کار می‌کند، از جمله در فضای بسته، و خودرویی را که پلاکش پوشانده یا برداشته شده نیز بازمی‌شناسد.

مسئلهٔ سیاسی واقعی همین ارتقای تجهیزات موجود است. نصب یک شبکهٔ دوربین تازه رأی‌گیری، شور و گاه دعوای حقوقی به دنبال دارد. افزودن یک برد الکترونیکی درون جعبه‌ای که پیش‌تر تأیید شده هیچ چیز به دنبال ندارد. توان نظارت بدون بحث عمومی ماهیت خود را عوض می‌کند، چون از نظر مادی چیز تازه‌ای برای دیدن نیست.

از خودرو به شخص، و از شخص به گروه

پلاک‌خوان به یک پرسش پاسخ می‌دهد: این خودرو کجا بوده است. SignalTrace دو پرسش دیگر می‌افزاید: چه کسی درون آن بوده، و با چه کسی.

لئوناردو این را پنهان نمی‌کند، همین استدلال فروش است. سامانه چیزی می‌سازد که مستندات آن را اثر انگشت الکترونیکی می‌نامد، مجموعه‌ای از شناسه‌ها که «غالباً با هم فرستاده می‌شوند». مثال سازنده صریح است: در یک شهر کامل، تنها یک خودرو آیفون 13rev2، رادیوپخش آئودی، هدست بوز، ساعت گارمین، ردیاب کلید و پلاک ABC-1234 را کنار هم خواهد داشت.

این محصول تنها خودروها را دنبال نمی‌کند. به‌طور خودکار گرافی از روابط میان اشخاص تولید می‌کند، بی‌آنکه کسی ناچار باشد کوچک‌ترین ظنی را صورت‌بندی کند.

جهش کیفی همین‌جا رخ می‌دهد. سامانه با هم‌بسته‌کردن دستگاه‌هایی که مرتب با هم سفر می‌کنند، به‌طور مکانیکی گرافی اجتماعی می‌سازد. دو تلفن که هر صبح در یک خودرو کنار هم می‌آیند یا هم‌سفری‌اند یا رابطه‌ای که هیچ‌کدام نمی‌خواهند علنی شود. پنجاه دستگاه که در یک مکان و یک ساعت ثبت می‌شوند یعنی یک گردهمایی: یک تظاهرات، یک مراسم دینی، یک نشست صنفی یا صفی جلوی یک درمانگاه.

هیچ‌یک از این نتیجه‌گیری‌ها نیازمند دسترسی به محتوای یک ارتباط نیست. از جدولی از مجاورت استنتاج می‌شود، به‌طور پیش‌فرض، دربارهٔ کل جمعیت در حال تردد و نه دربارهٔ اهدافی مشخص. این مجرمیت به سبب معاشرت است، تولیدشده در مقیاس صنعتی، پیش از هر تحقیقی. تام باومن، حقوق‌دان Center for Democracy & Technology، مسئله را در TechNewsWorld چنین خلاصه می‌کند: آنچه این ابزار را برای تعقیب یک مظنون واقعی سودمند می‌کند، آن را به همان اندازه توانا می‌سازد که همهٔ رانندگان دیگر را نیز دنبال کند، رانندگانی که هیچ‌یک به ثبت دستگاه‌هایشان رضایت نداده‌اند.

لئوناردو دو استدلال در برابر می‌گذارد: سامانه محتوای ارتباطات را نه رمزگشایی می‌کند و نه می‌خواند، و به خودی خود هویت اشخاص را تعیین نمی‌کند. هر دو گزاره درست‌اند و هر دو بی‌ربط. اطلاعاتی که جست‌وجو می‌شود هرگز محتوا نبوده است، در فرادادهٔ موقعیت نهفته است که از یک پیام گویاتر است. دربارهٔ شناسایی هم، خود سازنده می‌پذیرد که بازپرس می‌تواند یک امضای الکترونیکی را به یک پلاک پیوند بزند و سپس از راه سوابق شماره‌گذاری به مالک برسد.

حقوقی آمریکایی که برای چیز دیگری نوشته شده

در ایالات متحده قوانین ایالتی ناظر بر پلاک‌خوان‌ها وجود دارد و برخی دربارهٔ مدت نگهداری و اهداف دسترسی سخت‌گیرند. اما همه پیرامون یک موضوع دقیق نوشته شده‌اند: تصویر یک پلاک خودرو. هیچ‌یک ثبت شناسه‌های دستگاه‌های شخصی توسط همان تجهیزات را پیش‌بینی نمی‌کند.

این ناهم‌خوانی نه بی‌قانونی، که منطقه‌ای خاکستری می‌سازد که برای فروشنده راحت‌تر است. یک ادارهٔ پلیس می‌تواند بی‌آنکه دروغ بگوید بگوید برنامهٔ پلاک‌خوانش مجاز و منطبق است، در حالی که از این پس زیر همان رژیم داده‌هایی با ماهیتی کاملاً متفاوت گرد می‌آورد. لئوناردو افزون بر این قراردادهای فدرال دارد، با Special Operations Command و General Services Administration، یعنی مسیر خریدی که تأییدهای محلی را تا حد زیادی دور می‌زند.

بحث قانون اساسی هم تازه تکان خورده است، و اینجا باید دقیق بود چون وضع حقوقی این تابستان تغییر کرد. در ژانویهٔ ۲۰۲۶ دادگاهی فدرال در ویرجینیا در پروندهٔ Schmidt v. City of Norfolk رأی داد که شبکهٔ دوربین Flock شهر تفتیش محسوب نمی‌شود به معنای متمم چهارم، چون همهٔ جابه‌جایی‌های ساکنان را پوشش نمی‌دهد. این رأی در مرحلهٔ تجدیدنظر در حوزهٔ چهارم است، جایی که ACLU وارد شده است.

سپس در ۲۹ ژوئن ۲۰۲۶ دیوان عالی رأی Chatrie v. United States را صادر کرد. با پنج رأی در برابر چهار، به قلم قاضی کیگن، مقرر داشت که تحصیل داده‌های موقعیت یک تلفن توسط پلیس تفتیش است، زیرا فرد انتظار معقول حریم خصوصی نسبت به این داده‌ها را حفظ می‌کند، حتی وقتی نزد شخص ثالث باشد و حتی برای مدتی کوتاه. این رأی Carpenter v. United States سال ۲۰۱۸ را امتداد می‌دهد و دکترین شخص ثالث را تضعیف می‌کند، چنان‌که CDT یادآور شده است.

دامنهٔ دقیق Chatrie دربارهٔ SignalTrace روشن نیست و ادعای خلاف آن بی‌احتیاطی است: رأی ناظر بر داده‌هایی است که از گوگل خواسته شده، نه بر ثبت مستقیم توسط حسگر پلیس در فضای عمومی. اما استدلالی را مستقر می‌کند که اهمیت دارد، یعنی اینکه حساسیت یک دادهٔ موقعیت به این بستگی ندارد که چه کسی آن را در اختیار دارد.

پرسش اروپایی، که پرسش اصلی است

اینجاست که پرونده برای اروپا آزاردهنده می‌شود. لئوناردو تأمین‌کننده‌ای آمریکایی نیست، بلکه گروهی ایتالیایی است پذیرفته‌شده در بورس میلان که سهام‌دار نخست آن وزارت اقتصاد و دارایی ایتالیا با حدود ۳۰ ٪ سرمایه است و اختیار تعیین اکثریت هیئت‌مدیره را دارد. دولت ایتالیا در این محصول سهام‌داری منفعل نیست.

نخست نکتهٔ فنی

در حقوق اروپا، شناسهٔ یک دستگاه دادهٔ شخصی است. این نظری دکترینی نیست بلکه موضع پایدار مقامات است. CNIL نشانی MAC را در دکترین خود دربارهٔ سامانه‌های سنجش تردد صراحتاً چنین تلقی می‌کند و گردآوری آن در فضای عمومی را تنها با شرایطی تنگ می‌پذیرد: ناشناس‌سازی در چند دقیقه با نرخ برخورد بالا میان افراد، یا نام‌مستعارسازی مطمئن و سپس نابودسازی ظرف بیست‌وچهار ساعت، وگرنه رضایت الزامی می‌شود. همان دکترین تصریح می‌کند که دعوت مردم به خاموش‌کردن وای‌فای شیوهٔ قابل قبولی برای اعتراض نیست.

دیوان دادگستری اتحادیهٔ اروپا در ۴ سپتامبر ۲۰۲۵ در پروندهٔ EDPS علیه SRB (C-413/23 P) روشن کرد که شخصی‌بودن یک دادهٔ نام‌مستعارشده در پرتو ابزارهای بازشناسایی‌ای سنجیده می‌شود که به‌طور معقول قابل به‌کارگیری‌اند. حال آنکه اینجا دارنده یک مقام پلیسی است که سوابق شماره‌گذاری را در اختیار دارد. ابزارهای بازشناسایی فرضی نیستند، در اتاق بغلی‌اند.

ظرافتی که همه چیز را عوض می‌کند

نوشتن اینکه SignalTrace «در اروپا غیرقانونی خواهد بود» نادرست است و خوانندهٔ حقوق‌دان بی‌درنگ متوجه می‌شود. پردازشی که یک مقام صالح برای اهداف پیشگیری و تعقیب کیفری انجام می‌دهد مشمول GDPR نیست. مشمول دستورالعمل (اتحادیهٔ اروپا) ۲۰۱۶/۶۸۰ است، موسوم به دستورالعمل پلیس و دادگستری، که هر کشور عضو جداگانه آن را به حقوق داخلی خود منتقل می‌کند، در فرانسه در باب سوم قانون اطلاعات و آزادی‌ها. CNIL یادآور می‌شود که این رژیم مستقل است، با مبانی مشروعیت و حقوق ویژهٔ خود.

پرسش درست بنابراین پرسش مشروعیت انتزاعی نیست، بلکه پرسش شرایط است. زیر این رژیم، چنین سامانه‌ای مستلزم مبنای قانونی ملی صریح، اهداف معین، ضرورت اثبات‌شده، مدت نگهداری محدود، ارزیابی اثر و نظارت مستقل است. در فرانسه پلاک‌خوان‌ها همین‌گونه تنظیم شده‌اند: مواد L233-1 و L233-1-1 قانون امنیت داخلی فهرستی حصری از جرایمی را تعیین می‌کنند که کاربرد آن‌ها را مجاز می‌سازد، و مدت نگهداری همچنان از کوتاه‌ترین‌ها در اتحادیه است، اصولاً پانزده روز، هرچند طرحی در مجلس سنا در پی افزایش آن است.

این تفاوت بنیادی با وضعیت آمریکاست. در ایالات متحده قانون یک موضوع را تنظیم می‌کند، پلاک را، و سکوت دربارهٔ شناسه‌های دستگاه‌ها در حکم اجازه است. در اروپا قانون اهداف و دسته‌های داده را تنظیم می‌کند و این سکوت، در نبود مبنای قانونی صریح، بیشتر در حکم ممنوعیت است. خلائی که آن سوی اقیانوس دیده می‌شود اینجا به همان شکل وجود ندارد. نه از آن رو که اروپا فضیلت‌مندتر است: فن حقوقی‌اش وارونه است.

پس این حمایت چه ارزشی دارد

پرسشی می‌ماند که این نوشته برای آن است. حمایت مقرراتی اروپایی چه ارزشی دارد وقتی یک شرکت اروپایی، تحت کنترل یک کشور عضو، بیرون از اروپا توانی را می‌فروشد که در خانهٔ خود بدون قانونی تازه نمی‌تواند مستقر کند؟

ایرادها شایستهٔ توجه جدی‌اند. یک صنعتگر مسئول چارچوب قانونی مشتری‌اش نیست: تصمیم دربارهٔ آنچه در خاک خود مجاز می‌دانند با مقامات آمریکایی است. محصول به یک دیکتاتوری فروخته نمی‌شود بلکه به یک دولت حقوقی با دیوان عالی فعال، چنان‌که Chatrie همین حالا یادآوری کرد. و استدلال حاکمیت صنعتی مشروع است: اگر گروه‌های اروپایی این بازارها را بر خود ببندند، تأمین‌کنندگان اسرائیلی، آمریکایی یا چینی آن‌ها را می‌گیرند، بی‌آنکه نظارت یک متر عقب بنشیند، و اروپا پایگاه فناورانه‌اش را از دست می‌دهد.

این استدلال‌ها پذیرفتنی‌اند. اما به مسئله پاسخ نمی‌دهند.

نخست از آن رو که اتحادیه پیشاپیش پذیرفته است که صدور ابزارهای نظارت تجارتی مانند دیگر تجارت‌ها نیست. مقررات (اتحادیهٔ اروپا) ۲۰۲۱/۸۲۱ دربارهٔ کالاهای دومنظوره در مادهٔ ۵ خود بندی فراگیر ناظر بر کالاهای نظارت سایبری وارد کرد، چون قانون‌گذار پذیرفت ابزاری که ساختش قانونی است ممکن است در مقصد نامشروع باشد. حد آن آموزنده است: با خطر سرکوب داخلی یا نقض‌های شدید حقوق بشر فعال می‌شود، یعنی دسته‌هایی که برای رژیم‌های اقتدارگرا اندیشیده شده‌اند. فروش به یک پلیس شهرداری آمریکایی در آن نمی‌گنجد. شبکهٔ سنجش اروپایی اخلاق مشتری را می‌سنجد، هرگز ماهیت توانی را که فروخته می‌شود.

دوم از آن رو که چنین محصولی انبار کالایی نیست که تخلیه شود، بلکه توانی است که نگه‌داری می‌شود: پژوهش را تأمین مالی می‌کند، مهندس تربیت می‌کند، دانش فنی می‌انبارد و پایگاهی نصب‌شده پدید می‌آورد. روزی که حمله‌ای بزرگ کشوری عضو را به مطالبهٔ این توان وادارد، بحث دیگر بر سر شایستگی ساختن آن نخواهد بود. وجود خواهد داشت، اروپایی خواهد بود، پخته خواهد بود، و تأمین‌کننده‌اش تا حدی دولتی. آنگاه استدلال «ما فقط از بازار پیروی می‌کنیم» دوری می‌شود، چون بازار داخلی را همان صادرات آماده کرده است.

ارزش یک حمایت مقرراتی در این سناریو همین است: اروپایی‌ها را در برابر کاربردها حفظ می‌کند، نه در برابر وجود ابزارها. این پرسش را حل می‌کند که چه کسی حق فشردن دکمه را دارد و ساختن، فروختن، بهبوددادن و سپس انتظارکشیدن را به صنعت وامی‌گذارد.

چه می‌توان کرد، بی‌آنکه خود را فریب دهیم

نخستین پاسخی که همیشه مطرح می‌شود تصادفی‌سازی نشانی MAC است. سزاوار بررسی صادقانه است، نه تبلیغ و نه تحقیر. واقعی است و کار می‌کند.

اندروید از نسخهٔ ۱۰ و iOS از نسخهٔ ۱۴ به‌طور پیش‌فرض نشانی MAC به‌کاررفته در وای‌فای را تصادفی می‌کنند، با نشانی متفاوت برای هر شبکه. در بلوتوث کم‌مصرف، دستگاه‌های امروزی نشانی‌های خصوصی قابل‌تحلیل پخش می‌کنند که به‌طور دوره‌ای عوض می‌شوند و تنها طرفی که کلید تحلیل را دارد می‌تواند آن‌ها را به دستگاه واقعی نسبت دهد.

محدودیت‌هایش به همان اندازه واقعی‌اند.

جفت‌شدن دوباره در را باز می‌کند. کلید تحلیل هنگام جفت‌شدن منتقل می‌شود. دستگاهی که پیش‌تر جفت شده یا صریحاً تأیید شده، هویت پایدار پشت نشانی چرخان را بازمی‌یابد. سازوکار برای همین ساخته شده است.
بسیاری از اشیا هیچ چیز را تصادفی نمی‌کنند. حسگرهای فشار لاستیک، کارت‌های RFID، تراشه‌های شناسایی حیوان، رادیوپخش خودرو و لوازم جانبی ارزان شناسه‌های ثابت می‌فرستند. برگهٔ محصول لئوناردو دقیقاً همین دسته‌ها را نام می‌برد و این تصادفی نیست.
تصادفی‌سازی را می‌توان خاموش کرد. شبکه‌به‌شبکه غیرفعال می‌شود و اغلب برای راحتی خاموش است، برای فیلتر MAC روی روتر خانگی یا به حکم سیاست سازمانی.
گروه از چرخش شناسه‌ها جان به در می‌برد. این کم‌شهودی‌ترین و مهم‌ترین نکته است. SignalTrace دنبال یک شناسه نیست، دنبال مجموعه‌ای از دستگاه‌هاست که با هم سفر می‌کنند. اگر تنها یک عضو گروه شناسه‌ای ثابت بفرستد، کل مجموعه قابل انتساب می‌ماند، هر اندازه هم بقیه منضبط باشند.

مؤثرترین تدبیر همچنان کسل‌کننده‌ترین است: نفرستادن. این یعنی خاموش‌کردن بلوتوث و وای‌فای در سطح سیستم، در تنظیمات، نه از پنل میان‌بر. این تمایز آرایشی نیست، آن را در نوشته‌مان دربارهٔ ردیابی دائمی موقعیت تلفن به تفصیل آورده بودیم: در بیشتر سیستم‌های مصرفی، دکمهٔ پنل سریع جفت‌شدن آشکار را قطع می‌کند اما پشتهٔ نرم‌افزاری را زنده می‌گذارد و تحلیل‌های مجاورت ادامه می‌یابد. آن نوشته پویش بلوتوث را برداری نظری توصیف می‌کرد. SignalTrace محصول تجاری آن است، فهرست‌شده و قابل تحویل.

باید دربارهٔ نتیجه صادق ماند: این تدبیرها سطح مواجهه را کم می‌کنند، از میان نمی‌برند. خودرو همچنان یک پلاک است و پلاک همچنان خواندنی. تنها راه هیچ نفرستادن، هیچ همراه نداشتن است، و این سیاست عمومی نیست.

این دربارهٔ انتخاب‌های طراحی ما چه می‌گوید

در آرپوکرات، همین استدلال ما را به آنجا رساند که بلوتوث را در سطح Core در ArpokratOS مدیریت کنیم نه در سطح تنظیمات. یک کلید در رابط کاربری ترجیح کاربر است: یک به‌روزرسانی، یک برنامهٔ سیستمی یا یک سرویس موقعیت‌یابی می‌تواند آن را دور بزند یا دوباره فعال کند، بی‌آنکه کاربر بداند. پشته‌ای که وجود ندارد دوباره فعال نمی‌شود.

در برابر ثبتی مانند SignalTrace، این بدیهی است که دستگاه را غیرقابل‌کشف نمی‌کند و ما هم چنین ادعایی نداریم: تلفن روی شبکهٔ همراه می‌ماند و دیگر اشیای خودرو به حساب خود می‌فرستند. آنچه تضمین می‌کند این است که یک بردار ارسال مشخص بنا بر ساخت غایب است نه اینکه بر پایهٔ اعتماد خاموش شده باشد. این همان نظریه‌ای است که دربارهٔ ۵G و خطای هدف‌گیری حقوق از آن دفاع می‌کردیم: حمایت حقوقی بر دسترسی به داده‌ها متمرکز است حال آنکه باید بر خودِ وجود زیرساختی باشد که آن‌ها را تولید می‌کند. SignalTrace نمونهٔ آن است، با این تفاوت که این زیرساخت در اروپا ساخته می‌شود.

نتیجه‌گیری

چشمگیرترین چیز در این پرونده توان فنی نیست، که پژوهشگران سال‌هاست وصفش می‌کنند. شیوهٔ استقرار است.

هیچ شبکهٔ دوربین تازه‌ای برای افتتاح نخواهد بود، هیچ مصوبهٔ شهرداری برای اعتراض، هیچ مناقصهٔ عمومی که بتوان آن را تغییری ماهوی شناخت. ماژول‌هایی خواهند بود که به تیرک‌های موجود افزوده می‌شوند، ذیل قراردادهای موجود، در برنامه‌هایی که پیش‌تر مجاز شده‌اند. روزی که بحث عمومی آغاز شود، زیرساخت نصب‌شده، مستهلک‌شده و در رویه‌های تحقیق ادغام‌شده خواهد بود. بحث آنگاه بر سر شرایط دسترسی به پایگاهی خواهد بود که وجود دارد، هرگز بر سر شایستگی تشکیل آن.

این ترتیب معمول امور در حوزهٔ نظارت است و تصادفی نیست. می‌ماند اینکه بدانیم آیا اروپا برای خود حرفی می‌بیند وقتی صنعتگران خودش، با تکیه بر دولت‌های خودش، این زیرساخت را برای دیگران می‌سازند. حقوق اروپا پاسخ به این پرسش را که چه کسی می‌تواند نزد ما این داده‌ها را ببیند با دقت سامان داده است. اما هرگز این پرسش را طرح نکرده که چه کسی حق ساختن ماشین را دارد.

نسل پنجم، داده‌های مکانی و خطای هدف‌گیری حقوق

Tue, 18 Aug 2026 00:00:00 +0000

در سال ۲۰۱۱ پلیس دیترویت از یک اپراتور تلفن همراه سابقه‌ی اتصال گوشی تیموتی کارپنتر به دکل‌ها را خواست. ۱۲٬۸۹۸ نقطه‌ی مکانی پراکنده در ۱۲۷ روز به دستش رسید، یعنی حدود صد نقطه در روز. هفت سال بعد، دیوان عالی ایالات متحده رأی داد که چنین درخواستی تفتیش به شمار می‌آید و نیازمند حکم قضایی است.

آن ۱۲٬۸۹۸ نقطه از دکل‌های نسل چهارم می‌آمد که هر یک شعاعی چند کیلومتری را پوشش می‌داد. همان درخواست اگر امروز به یک شبکه‌ی نسل پنجم شهری فرستاده شود، صد نقطه در روز با دقت چند کیلومتر برنمی‌گرداند. حجمی بسیار بیشتر برمی‌گرداند، با دقت چند ده متر.

مقیاس فناوری عوض شد. استدلال حقوقی اما در همان نقطه‌ی زنجیره ماند.

منفعتی حقوقی که قضات دو سوی اقیانوس اطلس آن را می‌شناسند

منفعتی هست که تقریباً همه به آن اذعان دارند و تقریباً هیچ متنی به‌طور مؤثر از آن حمایت نمی‌کند: حق بودن در جایی بدون آنکه این واقعیت ثبت شود.

رویه‌ی قضایی اروپا این را بی‌ابهام تثبیت کرده است. در پرونده‌ی Digital Rights Ireland (پرونده‌های پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴) و سپس در Tele2 Sverige و Watson (پرونده‌های پیوسته C-203/15 و C-698/15، شعبه‌ی بزرگ، ۲۱ دسامبر ۲۰۱۶)، دیوان دادگستری اتحادیه‌ی اروپا رأی داد که این داده‌ها در مجموع خود امکان می‌دهند نتیجه‌گیری‌های بسیار دقیقی درباره‌ی زندگی خصوصی اشخاص انجام شود: عادت‌های زندگی روزمره، محل‌های اقامت، جابه‌جایی‌ها، فعالیت‌های انجام‌شده و روابط اجتماعی.

دیوان عالی ایالات متحده در Carpenter v. United States، 585 U.S. 296 (2018) به نتیجه‌ای نزدیک رسید. بر نکته‌ای تأکید کرد که حقوق‌دانان آمریکایی بسیار درباره‌اش نوشته‌اند: ماهیت گریزناپذیر و خودکار این گردآوری. کسی به اتصال به یک دکل رضایت نمی‌دهد؛ متصل است چون گوشی روشنی در اختیار دارد.

پس منفعت حقوقی وجود دارد و دو دادگاهی که در این حوزه وزن دارند آن را به رسمیت می‌شناسند. مشکل جای دیگری است.

آنچه نسل پنجم واقعاً تغییر داد

خلط رایج آن است که مکان را داده‌ای بدانیم که گوشی ارسال می‌کند، درست مانند یک پیام یا یک عکس. چنین نیست. مکان نتیجه‌ی فیزیکی کارکرد شبکه است. اپراتور می‌داند دستگاه به کدام دکل متصل است چون برای مسیریابی یک تماس ناگزیر باید بداند. هیچ کلیدی برای رمزگذاری این اطلاعات وجود ندارد، چون محتوا نیست بلکه ویژگی خودِ اتصال است.

دقیقاً همین است که نسل پنجم را در سطح حقوقی، و نه فنی، معنادار می‌کند.

معماری‌های پیشین بر سلول‌های پهن استوار بودند. یک دکل نسل چهارم معمولاً شعاعی چند کیلومتری را سرویس می‌دهد و موقعیتی که تنها از اتصال استنتاج می‌شد در شهر به صدها متر و در روستا گاه به ده‌ها کیلومتر می‌رسید. نسل پنجم بر تراکم گسترده استوار است: سلول‌های شهری معمولاً چند صد متر را پوشش می‌دهند و ادبیات مهندسی چگالی‌هایی در حدود چهل تا پنجاه ایستگاه پایه در هر کیلومتر مربع را در نظر می‌گیرد، در برابر چهار یا پنج در دوره‌ی نسل سوم.

پیامد، مکانیکی است. بنا بر سند سفید اریکسون درباره‌ی مکان‌یابی در نسل پنجم، زیرساختی که تنها برای اتصال‌پذیری مستقر شده به دقت بیست تا پنجاه متر در فضای باز و یک تا سه متر در فضای بسته می‌رسد و در شرایط مساعد شهری به زیر یک متر می‌رود. سخن از یک قابلیت مکان‌یابی که جایی روشن شده باشد نیست، بلکه از چیزی است که شبکه بنا بر ساختارش می‌داند، بدون نصب هیچ برنامه‌ای و بدون اعطای هیچ مجوزی. همه‌ی این سازوکارها و نیز اقدام‌های متقابلی که واقعاً کار می‌کنند را در نوشته‌مان درباره‌ی مکان‌یابی دائمی گوشی به تفصیل آورده‌ایم.

بنابراین میزان تعرض چند مرتبه‌ی بزرگی افزایش یافته است. چارچوب حقوقی قابل اعمال همان است که برای نسل دوم و سوم اندیشیده شده بود. هیچ تطبیق هنجاری‌ای همراه این تغییر مقیاس نبوده است.

حقوق از دسترسی حمایت می‌کند، نه از تولید

حقوق اروپا با دقت تعیین می‌کند چه کسی، تحت چه شرایطی و زیر چه نظارتی می‌تواند به داده‌های مکانی دسترسی داشته باشد. دستورالعمل 2002/58/EC اصل محرمانگی ارتباطات را می‌نهد و دیوان دادگستری در پرونده‌ی La Quadrature du Net (پرونده‌های پیوسته C-511/18، C-512/18 و C-520/18، شعبه‌ی بزرگ، ۶ اکتبر ۲۰۲۰) رأی داد که ماده‌ی ۱۵(۱) این دستورالعمل، در پرتو مواد ۷، ۸، ۱۱ و ۵۲(۱) منشور، مانع نگهداری عام و بدون تفکیک داده‌های ترافیک و مکان به‌صورت پیشگیرانه است. با این حال دیوان استثناهایی چارچوب‌دار را پذیرفت، آنجا که یک کشور عضو با تهدیدی جدی علیه امنیت ملی روبه‌روست که واقعی و کنونی یا قابل پیش‌بینی باشد، مشروط به نظارت مؤثر.

اینها حمایت‌هایی واقعی‌اند و کم‌شمردن‌شان بیهوده است. اما همگی پس از وقوع وارد می‌شوند. فرض می‌گیرند داده وجود دارد و نگهداری می‌شود، و آنگاه شرایط بهره‌برداری از آن را سامان می‌دهند.

اما اگر مکان محصول جانبی گریزناپذیر کارکرد شبکه باشد، نقطه‌ی مداخله‌ی درست محرمانگی نیست. ماندگاری است.

موقعیتی لحظه‌ای که برای مسیریابی یک ارتباط لازم است و بی‌درنگ پس از آن پاک می‌شود، ابزار نظارت نیست. تاریخچه‌ای از موقعیت‌ها که ماه‌ها نگهداری شود، هست، هر تضمین دسترسی‌ای هم که پیرامونش باشد.

تفاوت این دو حقوقی نیست، معماری است. و تقویم اروپایی این پرسش را به‌جای نظری، فوری می‌کند. کمیسیون در ۲۰۲۵ پیشنهاد مقررات ePrivacy را پس گرفت، به دلیل نبود توافق میان قانون‌گذاران مشترک. از آن پس روی سندی جداگانه درباره‌ی نگهداری داده برای مقاصد کیفری کار می‌کند که برای ۲۰۲۶ اعلام شده و قرار است نظام‌های ملی را که از زمان ابطال دستورالعمل ۲۰۰۶ پراکنده شده‌اند هماهنگ کند. به بیان دیگر، متنی که برای یک دهه نظام فراداده‌های مکانی را تعیین خواهد کرد هم‌اکنون نوشته می‌شود، بر پایه‌ی استدلالی که در دوران سلول‌های کیلومتری شکل گرفته بود.

سابقه‌ای که خود نسل پنجم ساخت

جالب‌ترین وجه ماجرا این است که پاسخ درست پیشاپیش در استاندارد فنی آمده است، اما بر موضوعی دیگر اعمال شده.

تا نسل چهارم، شناسه‌ی دائمی مشترک، یعنی IMSI، هنگام اتصال به‌صورت آشکار روی رابط رادیویی منتقل می‌شد. همین بود که گیرنده‌های IMSI را ممکن کرد؛ همان ایستگاه‌های پایه‌ی جعلی که بنا بر توصیف مرجع بنیاد مرزهای الکترونیک قوی‌تر از دکل‌های مشروع می‌تابند تا دستگاه‌ها را جذب کنند و شناسه‌شان را بگیرند.

از Release 15 مشخصات 3GPP، منتشرشده در ۲۰۱۹، نسل پنجم پاسخی ظریف آورده است. شناسه‌ی دائمی که اکنون SUPI نامیده می‌شود می‌تواند روی رابط رادیویی با SUCI جایگزین شود؛ شناسه‌ای پنهان‌شده که از رمزگذاری بخش مخصوص مشترک با رمزنگاری خم بیضوی و با کلید عمومی اپراتور خانگی به دست می‌آید. تنها شبکه‌ی خانگی که کلید خصوصی متناظر را دارد می‌تواند آن را بگشاید. نتیجه در هر محاسبه یکتاست و همین همبسته‌سازی نشست‌ها را ناممکن می‌کند.

منطق برگزیده شایسته‌ی تأکید است، زیرا دقیقاً همان منطقی است که باید راهنمای قانون‌گذار باشد: موقعیت را رمز نمی‌کنند، که از نظر فنی ناممکن است، هویت را رمز می‌کنند. موقعیتی که هویت قابل انتسابی نداشته باشد، برای نظارت فردی ارزش بسیار محدودی دارد.

رخنه: حمایتی اختیاری

با این همه تحفظی بزرگ در کار است و به نظر ما ملموس‌ترین نقطه‌ی مداخله در سراسر این پرونده همین است.

سند سفید NIST CSWP 36A، منتشرشده در مارس ۲۰۲۶ از سوی مؤسسه‌ی ملی استانداردها و فناوری، آن را بی‌پرده بیان می‌کند. دستگاه‌ها و کارکردهای شبکه‌ی منطبق با Release 15 یا پس از آن موظف‌اند از SUCI پشتیبانی کنند، اما فعال‌سازی‌اش اختیاری برای اپراتور می‌ماند. سه شرط باید گرد هم آیند: سازنده‌ی تجهیزات باید پشتیبانی کند، اپراتور باید آن را روی شبکه‌اش فعال کند و سیم‌کارت باید عناصر لازم برای محاسبه را داشته باشد.

به این یک دام پیکربندی هم افزوده می‌شود. استاندارد طرح حفاظتی صفر را پیش‌بینی کرده است که در آن قالب SUCI به‌صورت صوری به کار می‌رود اما بدون رمزگذاری واقعی، چنان‌که شناسه آشکار منتقل می‌شود. NIST می‌نویسد که لازم است اپراتور شبکه‌اش را با طرح حفاظتی غیرصفر پیکربندی کند و یادآور می‌شود که گزارشی از CSRIC، نهاد مشورتی کمیسیون ارتباطات فدرال، همان ۲۰۲۱ توصیه کرده بود طرح صفر تنها به تماس‌های اضطراری از دستگاهی که برای شبکه ناشناخته است محدود شود.

این عبارت را باید همان‌گونه که هست نگه داشت. بهترین حمایت موجود در برابر ردیابی دستگاه‌های همراه از ۲۰۱۹ در استاندارد فنی وجود دارد. بر انتخابی پیکربندی استوار است که به صلاحدید اپراتور واگذار شده. یک نهاد فدرال آمریکایی مفید می‌داند در ۲۰۲۶ سندی منتشر کند تا یادآوری کند باید آن را روشن کرد. و هیچ سند حقوقی اروپایی آن را الزامی نمی‌کند.

باید افزود که SUCI پرونده را نمی‌بندد. کارهایی که با عنوان 5G SUCI-catchers: still catching them all? ارائه شده‌اند حمله‌های پیوندپذیری را مستند می‌کنند که با وجود رمزگذاری امکان همبسته‌سازی دوباره‌ی نشست‌ها را می‌دهند، و اگر مهاجم دستگاه را وادار به بازگشت به نسلی پیشین کند حفاظت به‌کلی فرو می‌ریزد. پس یک الزام حقوقی همه‌چیز را حل نمی‌کند. با این حال شکافی را از میان برمی‌دارد که هیچ توجیه دفاع‌پذیری ندارد: شکاف میان آنچه استاندارد اجازه می‌دهد و آنچه شبکه‌های تجاری انجام می‌دهند.

سه مداخله‌ی هم‌ساز

اگر این اندیشه را جدی بگیریم که مکان باید از مرحله‌ی طراحی کمینه شود نه آنکه پس از تولید حمایت شود، سه اقدام به‌طور منطقی خود را تحمیل می‌کنند.

الزامی‌کردن پنهان‌سازی مؤثر شناسه. الزام به فعال‌سازی SUCI و ممنوعیت طرح‌های حفاظتی صفر در شبکه‌های تجاری، جز در مورد باقی‌مانده‌ی تماس‌های اضطراری. سخن از تجویز فناوری‌ای نو یا تأمین مالی یک استقرار نیست، بلکه از الزام به فعال‌کردن قابلیتی است که هفت سال است استاندارد شده و از پیش در تجهیزات وجود دارد.
نگهداری را استثنا بدانیم، نه پیش‌فرض. موقعیتی که برای مسیریابی یک ارتباط لازم است باید به‌محض انجام این کارکرد پاک شود. تشکیل یک تاریخچه باید توجیهی ویژه بطلبد. تفاوت میان شبکه‌ای که می‌داند کجا هستید و شبکه‌ای که به یاد دارد کجا بوده‌اید همین است.
نگهداری کلید را عامل ارتباط مربوط قرار دهیم. استقرار سرورها در اتحادیه چندان معنایی ندارد اگر کلیدهایی که داده‌ها را خوانا می‌کنند جای دیگری باشند. معیار دارای اهمیت حقوقی باید تسلط مؤثر بر ابزارهای رمزگشایی باشد؛ پرسشی که آن را در بحث تعارض میان Data Act و CLOUD Act به تفصیل بررسی کرده‌ایم.

زاویه‌ای که Arpokrat دنبال می‌کند

این استدلال ویژه‌ی حقوق ارتباطات نیست. همان است که بر انتخاب‌های معماری خودمان اعمال می‌کنیم و در یک جمله می‌گنجد: آنچه تولید نشده، نیازی به حفاظت ندارد.

به همین سبب ArpokratOS به‌جای خاموش‌کردن GPS و بلوتوث و NFC در یک منو، آنها را در سطح هسته حذف می‌کند. یک کلید، یک سیاست است: مؤلفه‌ای دارای امتیاز می‌تواند دورش بزند، یک به‌روزرسانی می‌تواند دوباره روشنش کند، سامانه‌ای که به خطر افتاده می‌تواند نادیده‌اش بگیرد. حذف مسیر کد، خودِ پرسش را از میان برمی‌دارد. این در مقیاس یک دستگاه، همان جابه‌جایی‌ای است که در مقیاس حقوق خواستارش هستیم: مداخله در تولید، نه در دسترسی.

بی‌درنگ باید گفت این کار چه نمی‌کند. هیچ سیستم‌عاملی دستگاه را از هندسه‌ی شبکه بیرون نمی‌برد. تا وقتی سیم‌کارتی فعال باشد، اپراتور سلول اتصال را می‌داند و عبور دادن تمام ترافیک از Tor چیزی را عوض نمی‌کند، چون Tor از محتوا و مقصد حفاظت می‌کند نه از لایه‌ی رادیویی. دقیقاً به همین دلیل موضوع حقوقی است. دسته‌ای از خطرها هست که هیچ پیکربندی فردی آنها را کم نمی‌کند و تنها متغیر در دسترس برایشان قاعده‌ی حاکم بر اپراتور است.

همین دغدغه بر باقی کار ما نیز حاکم است. داده‌ای که وجود ندارد نه می‌توان ضبطش کرد، نه فروختش، نه بیرونش کشید، و نه ده سال بعد با ماشینی که امروز کسی در اختیار ندارد رمزگشایی‌اش کرد؛ پرسشی که آن را از زاویه‌ی رمزنگاری امروز برداشت‌شده و بعداً شکسته بررسی کرده‌ایم.

نتیجه

بحث عمومی درباره‌ی نظارت بر تلفن همراه تقریباً به‌طور کامل بر دسترسی متمرکز است: چه کسی می‌تواند داده‌ها را ببیند، بر چه مبنایی، با چه مجوزی. این بحث مشروع است و آرای دیوان دادگستری از ۲۰۱۴ به این‌سو آثار ملموسی داشته‌اند. اما در زنجیره خیلی دیر وارد می‌شود.

پرسش مقدم‌تر و تعیین‌کننده‌تر این است که آیا اصلاً باید تاریخچه‌ای وجود داشته باشد. پایگاهی که امروز به دلیلی مشروع ساخته می‌شود فردا برای دلیلی دیگر در دسترس می‌ماند، و تضمین‌های پیرامون آن به تصمیم‌های سیاسی بعدی وابسته‌اند که در لحظه‌ی گردآوری هیچ‌کس مهارشان نمی‌کند. این شرط‌بندی بر ثبات نهادهاست، برای مدتی که هیچ‌کس تعیینش نمی‌کند.

نسل پنجم تفکیک‌پذیری این اطلاعات را چند برابر کرد بی‌آنکه هیچ تطبیق هنجاری‌ای رخ دهد. هم‌زمان با سازوکار SUCI نشان داد که راه عملی، جداکردن موقعیت از هویت است نه تلاش برای رمزگذاری یک ویژگی فیزیکی شبکه. استاندارد فنی پاسخ را هفت سال پیش از آنکه حقوق پرسش را طرح کند فراهم کرده بود.

متن اروپایی درباره‌ی نگهداری داده هم‌اکنون نوشته می‌شود. به فراداده‌ها مربوط خواهد بود، یعنی به مکان، یعنی به آنچه نسل پنجم اکنون با دقتی تولید می‌کند که نویسندگانش آن را نمی‌شناختند. اینکه آیا به سامان‌دادن دسترسی به تاریخچه‌ای که مفروض گرفته شده بسنده می‌کند یا جسارت پرسیدن از ضرورت آن تاریخچه را دارد، احتمالاً مهم‌ترین پرسش حریم خصوصی سال‌های آینده در اروپاست. و پرسشی است که بخش فنی، برای یک بار هم که شده، پیشاپیش در جهت درست به آن پاسخ داده است.

منابع

دیوان دادگستری اتحادیه‌ی اروپا، Digital Rights Ireland، پرونده‌های پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴
دیوان دادگستری اتحادیه‌ی اروپا، Tele2 Sverige و Watson، پرونده‌های پیوسته C-203/15 و C-698/15، شعبه‌ی بزرگ، ۲۱ دسامبر ۲۰۱۶
دیوان دادگستری اتحادیه‌ی اروپا، La Quadrature du Net و دیگران، پرونده‌های پیوسته C-511/18، C-512/18 و C-520/18، شعبه‌ی بزرگ، ۶ اکتبر ۲۰۲۰
دیوان عالی ایالات متحده، Carpenter v. United States، 585 U.S. 296، ۲۰۱۸
مؤسسه‌ی ملی استانداردها و فناوری، Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI)، NIST CSWP 36A، مارس ۲۰۲۶
اریکسون، 5G positioning: Locating devices anywhere
Merlin Chlosta و دیگران، 5G SUCI-catchers: still catching them all?، ACM WiSec، ۲۰۲۱
بنیاد مرزهای الکترونیک، Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights، The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online، Data Retention: Commission to present proposal by mid-2026

موقعیت‌یابی دائمی: چگونه گوشی شما را دنبال می‌کند، حتی وقتی گمان می‌کنید جلویش را گرفته‌اید

Sun, 02 Aug 2026 00:00:00 +0000

در سال ۲۰۲۴، دو پژوهشگر دانشگاه مریلند بارها و بارها از سرویس موقعیت‌یابی وای‌فای اپل پرس‌وجو کردند، بدون هیچ دسترسی ویژه و بدون سخت‌افزار تخصصی، و در یک سال موقعیت دقیق بیش از دو میلیارد نقطه دسترسی وای‌فای در سراسر جهان را بازسازی کردند. مقاله آنان، Surveilling the Masses with Wi-Fi-Based Positioning Systems، نشان می‌دهد این نقشه چه چیزی را ممکن می‌کند: ردیابی تجهیزاتی که وارد اوکراین می‌شوند و از آن خارج می‌شوند، مشاهده جابه‌جایی جمعیت پس از آتش‌سوزی‌های مائویی، و تعقیب یک فرد از طریق مودم اینترنت خانه‌اش.

هیچ‌کدام از این دستگاه‌ها GPS را فعال نکرده بودند. موقعیت از جای دیگری می‌آمد.

این رایج‌ترین نقطه کور در زمینه حریم خصوصی موبایل است: این باور که کلیدی برای موقعیت‌یابی وجود دارد و همین که خاموشش کنی، گوشی دیگر نمی‌داند کجاست. این باور در هفت سطح متفاوت نادرست است.

موقعیت‌یابی قابلیتی نیست که گوشی شما آن را روشن کند. خاصیتی است از آنچه گوشی هست.

GPS، یا کم‌دردسرترین مسیر

تنها سازوکاری که همه نامش را می‌دانند، همان است که باید کمتر از همه نگرانتان کند.

GNSS، اصطلاح کلی که GPS آمریکایی، گالیله، گلوناس و بیدو را در بر می‌گیرد، با شنیدن کار می‌کند. ماهواره‌ها پیوسته سیگنال‌هایی با مهر زمانی می‌فرستند، گیرنده چند تای آن‌ها را می‌گیرد و از اختلاف زمان انتشار، موقعیت خود را حساب می‌کند. دقت معمول در فضای باز: سه تا پنج متر، و در شهر اغلب چند ده متر، چون نمای ساختمان‌ها سیگنال‌ها را بازتاب می‌دهد.

نکته تعیین‌کننده این است که این محاسبه منفعل است. گوشی چیزی به‌سوی ماهواره‌ها نمی‌فرستد و هیچ اپراتور ماهواره‌ای نمی‌داند شما وجود دارید. اگر تنها GNSS در میان بود، خاموش‌کردن GPS کفایت می‌کرد.

با این حال یک نکته باریک هست. برای شتاب‌بخشیدن به نخستین محاسبه، گوشی‌ها از A-GPS استفاده می‌کنند: داده‌های مداری ماهواره‌ها را از یک سرور و از طریق پروتکل SUPL دانلود می‌کنند. برای دریافت داده درست، گوشی شناسه سلولی شبکه‌ای را که به آن متصل است به همان سرور می‌فرستد. GNSS خالص شما را لو نمی‌دهد، اما شتاب‌دهنده‌ای که به آن پیوند زده‌اند، می‌دهد.

شبکه همراه: آنچه اپراتور بنا بر ساختار می‌داند

برای اینکه تماسی به شما برسد، شبکه باید بداند در کدام محدوده هستید. این گزینه‌ای برای فعال‌کردن نیست، بلکه شرط وجود خود سرویس است. گوشی شما پیوسته خود را به نزدیک‌ترین دکل معرفی می‌کند و این ثبت، نزد اپراتور ردی به‌جا می‌گذارد. هیچ برنامه‌ای نصب نشده، هیچ دسترسی‌ای داده نشده: یک سیم‌کارت فعال کافی است.

دقت به روش بستگی دارد:

تنها شناسه سلول: از ۲۰۰ متر در بافت شهری متراکم تا بیش از ۳۰ کیلومتر در مناطق روستایی، جایی که یک دکل شعاع بسیار وسیعی را پوشش می‌دهد.
Cell ID غنی‌شده، که بخش آنتن (بیشتر سایت‌ها به سه بخش ۱۲۰ درجه تقسیم شده‌اند) و قدرت سیگنال را می‌افزاید: از ۱۰۰ متر تا چند کیلومتر.
Timing advance، که تأخیر رفت و برگشت میان گوشی و دکل را اندازه می‌گیرد: حدود ۵۵۰ متر در GSM و نزدیک ۷۸ متر در LTE.
چندفاصله‌سنجی بر پایه سه دکل یا بیشتر: ۵۰ تا ۳۰۰ متر در LTE شهری.

۵G به دو دلیل انباشتی، مقیاس را دگرگون می‌کند. نخست تراکم: سلول‌های ۵G شعاع‌های بسیار کوتاه‌تری را پوشش می‌دهند، پس صرفِ اتصال هم خودش اطلاعاتی دقیق است. سپس استانداردسازی: از نسخه Release 16 به بعد، 3GPP سیگنال‌های موقعیت‌یابی بومی را در خود دارد. هدف‌های تجاری کمتر از ۳ متر در فضای بسته و کمتر از ۱۰ متر در فضای باز برای ۸۰ ٪ دستگاه‌هاست، و Release 18 برای برخی کاربردهای صنعتی تا سطح سانتی‌متر پایین می‌آید.

پس زیرساختی که شما را متصل می‌کند، خودش به سامانه‌ای موقعیت‌یاب با کیفیتی همسنگ GPS بدل می‌شود، بی‌آنکه شما چیزی را فعال کرده باشید. این داده بر پایه قواعد ملی نگهداری می‌شود و با رویه‌های گوناگون در دسترس مقامات قرار می‌گیرد. این همان بحث بنیادینی است که درباره صلاحیت قضایی حاکم بر داده‌های میزبانی‌شده مطرح کردیم: حفاظت فنی و حفاظت حقوقی بر هم منطبق نیستند.

وای‌فای: نقشه‌ای از جهان، ساخته‌شده از نشانی‌های سخت‌افزاری

هر نقطه دسترسی وای‌فای پیوسته یک شناسه سخت‌افزاری یکتا، یعنی BSSID، پخش می‌کند. این شناسه‌ها ثابت‌اند و از نظر جغرافیایی پایدار: مودم خانگی سال‌ها در همان نقطه می‌ماند.

اپل، گوگل و چند بازیگر تخصصی، پایگاه‌هایی نگه می‌دارند که هر BSSID را به مختصاتی پیوند می‌زند؛ این پایگاه‌ها را گوشی کاربران خودشان می‌سازند، گوشی‌هایی که فهرست نقاط دیده‌شده را همراه با یک موقعیت GNSS گزارش می‌کنند. سپس عملیات وارونه می‌شود: گوشی‌ای که چهار نقطه شناخته‌شده را می‌بیند، دیگر به هیچ ماهواره‌ای نیاز ندارد. در بافت شهری متراکم، دقت معمولاً به چند ده متر می‌رسد و در فضای بسته از آن هم پایین‌تر می‌آید.

دو ویژگی، خنثی‌کردن این سازوکار را دشوار می‌کند. نخست اینکه گوشی حتی وقتی وای‌فای خاموش به‌نظر می‌رسد هم پویش می‌کند: از اندروید ۴.۳ به بعد، سیستم یک پویش دوره‌ای را برای بهبود موقعیت‌یابی نگه می‌دارد، مستقل از کلید موجود در پنل سریع. این رفتار به تنظیمی جداگانه وابسته است که در دل سرویس‌های موقعیت‌یابی دفن شده و تقریباً هیچ کاربری هرگز آن را باز نکرده است.

دوم اینکه می‌توان از بیرون از این پایگاه پرس‌وجو کرد. همین رخنه‌ای است که رای و لوین از آن بهره بردند: رابط‌های موقعیت‌یابی نه‌تنها موقعیت درخواستی، بلکه موقعیت نقاط همسایه را نیز برمی‌گردانند، و همین امکان می‌دهد نقشه را درو کنی بی‌آنکه هرگز از نظر فیزیکی به آن مکان‌ها نزدیک شوی.

بلوتوث و BLE: موقعیت‌یابی به‌دست گوشی دیگران

بلوتوث کم‌مصرف (BLE) لایه‌ای از مجاورت می‌افزاید، با بردی از چند متر تا چند ده متر، یعنی با دانه‌بندی بسیار ریزتر از شبکه همراه. دو کاربرد در کنار هم وجود دارند. بیکن‌های تجاری، که در فروشگاه‌ها، فرودگاه‌ها یا مراکز خرید نصب می‌شوند، شناسه‌ای می‌فرستند که برنامه‌های روی گوشی آن را می‌شناسند و بدین‌سان آشکار می‌شود جلوی کدام قفسه و چه مدت ایستاده‌اید. و دیگری شبکه‌های موقعیت‌یابی مشارکتی، که Find My اپل الگوی آن‌هاست و از آن پس گوگل و سامسونگ نیز آن را برگرفته‌اند.

این سازوکار دوم، فرضی ناگفته را وارونه می‌کند. تحلیل مرجع Who Can Find My Devices?، که پژوهشگران دانشگاه فنی دارمشتات در مجموعه‌مقالات PETS 2021 منتشر کردند، پروتکل اپل را با مهندسی معکوس بازسازی کرد. دستگاهی که آفلاین است سیگنالی BLE می‌فرستد، هر دستگاه اپلی در آن حوالی آن را می‌گیرد، موقعیت خود را به آن می‌افزاید و رمزگذاری‌شده به سرورهای اپل می‌فرستد، بی‌آنکه نه دارنده‌اش خبردار شود و نه دارنده دستگاهی که موقعیتش پیدا شده است.

پیامد، ساختاری است: دستگاهی بدون سیم‌کارت، بدون وای‌فای و بدون هیچ‌گونه اتصال شبکه، همچنان قابل ردیابی می‌ماند، به شرط آنکه ناشناسی با گوشی در جیب از کنارش بگذرد. انزوای شما دیگر به تنظیمات شما بستگی ندارد، بلکه به تنظیمات رهگذران وابسته است.

حسگرهای اینرسی: موقعیت‌یابی بدون مجوز موقعیت

گوشی شتاب‌سنج، ژیروسکوپ، مغناطیس‌سنج و اغلب فشارسنج دارد. این حسگرها در دسته‌ای از مجوزها جای می‌گیرند که از موقعیت جداست: یک برنامه می‌تواند آن‌ها را بخواند بی‌آنکه هرگز پرسیده باشد کجایید.

پژوهشگران پرینستون این را با PinMe نشان دادند. برنامه آن‌ها برای یک موقعیت خام از نشانی IP و منطقه زمانی آغاز می‌کند و سپس حسگرها را می‌خواند: شتاب‌سنج الگوی شتاب‌گیری و ترمز را می‌دهد، ژیروسکوپ ترتیب پیچ‌ها را، مغناطیس‌سنج جهت حرکت را و فشارسنج تغییرات ارتفاع را. یک شبکه عصبی شیوه جابه‌جایی را تشخیص می‌دهد، پیاده، خودرو، قطار یا هواپیما، و مسیر روی داده‌های عمومی نقشه، ارتفاع و هواشناسی منطبق می‌شود. نتیجه: مسیری با دقتی همسنگ GPS، بدون مجوز موقعیت. این روش محدودیت‌هایی دارد که نویسندگان ثبتشان کرده‌اند، چون در مناطق بدون جاده ناکام می‌ماند و در بافت‌های شطرنجی یکنواخت افت می‌کند، جایی که مسیرهای بسیاری امضای یکسانی می‌سازند. اما همچنان اثباتی است بر اینکه مجوز ردشده، درِ بسته نیست.

فشارسنج افزون بر این، بُعدی را فراهم می‌کند که GNSS در آن ضعیف است، یعنی بُعد عمودی. الزامات آمریکا برای تماس‌های اضطراری، دقت در حد طبقه با خطای مثبت و منفی ۳ متر را برای ۸۰ ٪ تماس‌های داخل ساختمان مقرر می‌کند. دانستن اینکه کسی در کدام طبقه است، از جنس دیگری است تا دانستن اینکه در کدام بلوک ساختمانی است.

بازار داده: پیش‌پاافتاده‌ترین مسیر

سازوکارهای پیشین توضیح می‌دهند موقعیت چگونه محاسبه می‌شود. می‌ماند اینکه به کجا می‌رود، و بخش عمده خطر روزمره درست همان‌جا رقم می‌خورد.

هزاران برنامه SDK‌های تبلیغاتی را در خود جای می‌دهند، یعنی قطعه‌های نرم‌افزاری از شرکت‌های ثالث که توسعه‌دهنده برای کسب درآمد از کارش یا سنجش مخاطبش به برنامه می‌افزاید. این قطعه‌ها مجوزهای برنامه میزبان را به ارث می‌برند: برنامه هواشناسی‌ای که به‌حق به موقعیت شما نیاز دارد، آن را به بازیگرانی می‌سپارد که هرگز نامشان را نخوانده‌اید. به این باید جریان‌های مزایده تبلیغاتی را افزود، جایی که با هر بار نمایش یک بنر، موقعیت تقریبی شما میان ده‌ها خریدار بالقوه پخش می‌شود، از جمله آنان که چیزی نمی‌خرند و تنها گوش می‌سپارند.

این ماده خام، صنعتی را تغذیه می‌کند. بنیاد مرزهای الکترونیک پرونده Fog Data Science را مستند کرد؛ شرکتی که مدعی میلیاردها نقطه‌داده درباره بیش از ۲۵۰ میلیون دستگاه بود و آن‌ها را به پلیس‌های محلی آمریکا می‌فروخت. برایان کربس Locate X را توصیف کرد، محصولی که اجازه می‌دهد روی نقشه چندضلعی‌ای بکشی و تاریخچه دستگاه‌هایی را ببینی که وارد آن محدوده شده و از آن خارج شده‌اند.

این مسیر به هیچ هنرنمایی فنی نیاز ندارد، تنها کافی است کسی حاضر به پرداخت باشد. بها هم اندک است.

دستگاه‌های شکار IMSI: موقعیت‌یابی فعال

سازوکارهایی که تا اینجا دیدیم از کارکرد عادی بهره می‌برند. موقعیت‌یابی فعالی هم هست که شخص ثالثی با مداخله در شبکه انجامش می‌دهد.

دستگاه شکار IMSI، یا شبیه‌ساز سلول، تجهیزاتی است که خود را به‌جای یک دکل قانونی جا می‌زند. گوشی‌های درون برد به آن متصل می‌شوند و بدین‌سان شناسه مشترک خود و حضورشان در محدوده‌ای تنگ را آشکار می‌کنند.

قرار بود ۵G با جایگزین‌کردن شناسه دائمی آشکار با شناسه‌ای رمزگذاری‌شده به نام SUCI این در را ببندد. این بستن ناقص است. پژوهش‌های ارائه‌شده با عنوان 5G SUCI-catchers: still catching them all? حمله‌های پیونددهی را مستند می‌کنند که با وجود رمزگذاری، امکان همبسته‌کردن دوباره نشست‌ها را می‌دهند. مهم‌تر آنکه اگر مهاجم دستگاه را وادار کند به نسلی پیشین، به‌ویژه ۲G که احراز هویتش یک‌طرفه است، سقوط کند، حفاظت به‌کلی فرو می‌ریزد. گوشی ۵G همچنان در برابر حمله‌ای که برای شبکه دهه ۱۹۹۰ طراحی شده آسیب‌پذیر می‌ماند، چون هنوز می‌پذیرد به آنجا فرود بیاید.

اقدام‌های متقابل و کارآمدی واقعی‌شان

هر یک از اقدام‌های زیر کاری انجام می‌دهد. هیچ‌کدام همه‌کار را نمی‌کند، و شکاف میان آنچه انجام می‌دهند و آنچه به آن‌ها نسبت داده می‌شود، تصمیم‌های نادرست را می‌سازد.

حالت پرواز

حالت پرواز ارسال مودم همراه، وای‌فای و بلوتوث را قطع می‌کند. این اثری واقعی است و بهترین نتیجه در برابر چنین تلاش ناچیزی.

آنچه انجام نمی‌دهد: حسگرهای اینرسی را متوقف نمی‌کند، موقعیت‌های ذخیره‌شده در حافظه نهان را پاک نمی‌کند، که با اتصال دوباره ارسال خواهند شد، و در بیشتر دستگاه‌ها اجازه می‌دهد وای‌فای یا بلوتوث را جداگانه دوباره روشن کنید بی‌آنکه از آن خارج شوید. سرانجام اینکه این یک وضعیت نرم‌افزاری است، نه قطع برق: اتکاپذیری‌اش به سلامت سیستمی بستگی دارد که آن را اعمال می‌کند.

جزئیاتی که دست‌کم گرفته می‌شود: جداشدن از شبکه و اتصال دوباره به آن، خودشان رویدادهایی با مهر زمانی نزد اپراتورند. گوشی‌ای که ساعت ۲۱ در یک سلول ناپدید می‌شود و ساعت ۲۳ در سلولی دیگر پدیدار، اطلاعات تولید کرده است، نه سکوت.

تصادفی‌سازی نشانی MAC

سامانه‌های همراه امروز هنگام پویش نشانی‌های MAC تصادفی می‌فرستند تا ردیابی از مکانی به مکان دیگر ناممکن شود. نیت خوب است و نتیجه ناقص. پژوهش‌های مرجع، از جمله Why MAC Address Randomization is not Enough، نشان می‌دهند محتوای فریم‌های کشف اغلب برای بازشناسی دستگاه کافی است: شمار عناصر اطلاعاتی، مقادیرشان و ترتیبشان یک اثر انگشت می‌سازد. به این باید شماره‌های ترتیبی را افزود که افزایشی و از این‌رو زنجیره‌پذیرند، و امضای زمانی ویژه هر مدل. برخی مطالعات از ردیابی درست نیمی از دستگاه‌ها دست‌کم به مدت بیست دقیقه خبر می‌دهند.

سرانجام یک محدودیت مفهومی: تصادفی‌سازی تنها به مرحله کشف مربوط است. همین که به شبکه‌ای وصل شوید، نشانی به‌کاررفته برای آن شبکه ثابت است، بنا بر طراحی، تا اتصال کار کند. کافه‌ای که هر روز صبح به آن می‌روید شما را می‌شناسد.

واقعاً خاموش‌کردن پویش‌ها

این پرصرفه‌ترین و نادیده‌گرفته‌شده‌ترین تنظیم است. در اندروید، جست‌وجوی وای‌فای و جست‌وجوی بلوتوث دو گزینه مجزا هستند، در دل سرویس‌های موقعیت‌یابی، و مستقل از کلیدهای پنل سریع. تا وقتی این‌ها فعال‌اند، خاموش‌کردن وای‌فای از پنل کافی نیست: پویش ادامه دارد.

غیرفعال‌کردنشان یک لایه کامل از جمع‌آوری را برمی‌دارد، بی‌هیچ هزینه‌ای جز اینکه نخستین محاسبه موقعیت اندکی کندتر می‌شود. برای بیشتر خوانندگان، این بهترین نسبت میان تلاش صرف‌شده و نتیجه به‌دست‌آمده است.

مجوزهای برنامه‌ها

پس‌گرفتن مجوز موقعیت از برنامه‌هایی که آشکارا به آن نیاز ندارند همچنان سودمند است، و سامانه‌های تازه سه درجه ارائه می‌کنند: اجازه یک‌بار مصرف، اجازه محدود به هنگام استفاده فعال، و موقعیت تقریبی که تنها محدوده‌ای در حدود یک کیلومتر را می‌فرستد.

در مقابل، این کار نه در برابر SDKهایی که درون برنامه‌ای با دلیل موجه برای دسترسی به موقعیت شما جا خوش کرده‌اند محافظت می‌کند، نه در برابر حسگرهای اینرسی، و نه در برابر لایه‌های شبکه که اصلاً از هیچ مجوزی نمی‌گذرند.

آنچه VPN از آن محافظت نمی‌کند

نکته‌ای که باید روشن شود، چون باور وارونه‌اش بسیار رایج است: VPN موقعیت شما را پنهان نمی‌کند. نشانی IP عمومی شما را پنهان می‌کند، پس موقعیت‌یابی بر پایه IP را مختل می‌کند، که به‌هرحال خام‌ترین سازوکار این فهرست است.

VPN نه به گیرنده GNSS دست می‌زند، نه به پویش وای‌فای، نه به بلوتوث و نه به حسگرها. چیزی از آنچه اپراتور شما می‌داند تغییر نمی‌دهد، چون تونل رمزگذاری‌شده از دکل‌های همو می‌گذرد و اتصال به سلول برایش دیدنی می‌ماند. جلوی برنامه‌ای را هم که مجوز موقعیت دارد نمی‌گیرد تا مختصات دقیق را درون تونل بفرستد. VPN محتوا و مقصد ارتباطات شما را روی شبکه‌ای نامطمئن حفظ می‌کند، و همین خود بسیار است. موقعیت در قلمرو آن نیست.

مرزهای فیزیکی

کیف فارادی به معنای واقعی کلمه کار می‌کند: ارسال و دریافت را سد می‌کند. برداشتن باتری هم، جایی که هنوز شدنی است. دستگاه اختصاصی، یا اینکه گوشی را جای دیگری بگذارید، همچنان استوارترین اقدام است.

این راه‌حل‌ها عیبی مشترک دارند که باید در چشمش نگاه کرد: ناهنجاری می‌سازند. گوشی‌ای که هر سه‌شنبه‌شب دو ساعت خاموشی می‌گیرد، چیزی می‌گوید. در برابر حریفی که به‌جای موقعیت‌های لحظه‌ای الگوها را تحلیل می‌کند، خودِ غیبت یک داده است.

سه حریف، سه راهبرد

این مهم‌ترین تمایز این نوشته است، و همان که کمتر از همه خوانده می‌شود.

در برابر یک آگهی‌دهنده یا دلال داده، این نبرد بردنی است. انضباط در مجوزها، خاموش‌کردن پویش‌ها، سیستمی بدون سرویس‌های موقعیت‌یابی انحصاری، بازنشانی شناسه تبلیغاتی: مجموع این‌ها حجم گردآوری‌شده را به‌شدت پایین می‌آورد. این حریف در پی حجم ارزان است، نه پرونده خاص شما.

در برابر اپراتورتان، هیچ پیکربندی‌ای بسنده نیست. موقعیت‌یابی سلولی شرط خود سرویس است. تنها متغیرهای واقعی حقوقی‌اند، یعنی آنچه قانون اجازه نگهداری و تحویلش را می‌دهد، و مادی: کدام دستگاه، کدام سیم‌کارت، به نام چه کسی، روشن در کجا.

در برابر حریف دولتیِ هدفمند، استدلال باز هم تغییر می‌کند، چون او دسترسی قانونی به داده‌های اپراتور، موقعیت‌یابی فعال با شبیه‌ساز سلول، درخواست از پلتفرم‌ها و در صورت لزوم نفوذ به خود دستگاه را با هم ترکیب می‌کند. اقدام‌های متقابل نرم‌افزاری سطح حمله را کوچک می‌کنند، اما هدف واقع‌بینانه ناپدیدشدن نیست: دانستن دقیق این است که چه چیزی همچنان در معرض می‌ماند.

رویکرد ArpokratOS

ArpokratOS به این چشم‌انداز با انتخابی پاسخ می‌دهد که از همان تمایز بالا برمی‌آید: آنچه باید خنثی شود، در سطح سیستم خنثی می‌شود، نه در یک منو.

درباره GNSS، درایور سخت‌افزار برداشته شده است. دستگاه چنان رفتار می‌کند که گویی آن تراشه اصلاً وجود ندارد، هم برای برنامه‌ها و هم برای خود سیستم. تفاوت با یک کلید در تنظیمات ظاهری نیست. کلید یک سیاست است: لایه‌ای آن را اعمال می‌کند که مؤلفه‌ای با دسترسی کافی می‌تواند دورش بزند، به‌روزرسانی می‌تواند دوباره فعالش کند، و سیستمی آلوده می‌تواند نادیده‌اش بگیرد. برداشتن مسیر کد، خودِ پرسش را حذف می‌کند، چون دیگر چیزی برای فعال‌کردن نمانده است.

بلوتوث با همین منطق در سطح Core مدیریت می‌شود. بلوتوثی که در تنظیمات خاموش شده، در عمل روی بسیاری از دستگاه‌ها پشته نرم‌افزاری را زنده نگه می‌دارد تا سرویس‌های مجاورت و شبکه‌های موقعیت‌یابی مشارکتی را تغذیه کند. وقتی در سطح سیستم غایب باشد، نه می‌تواند با بیکن فروشگاه گفت‌وگو کند، نه در شبکه‌ای از نوع Find My شرکت کند و نه سطح حمله‌ای بدون تعامل باشد.

باید روشن گفت این کار چه چیزی را انجام نمی‌دهد. ArpokratOS گوشی را غیرقابل‌شناسایی نمی‌کند. تا وقتی سیم‌کارتی فعال باشد، اپراتور سلول اتصال را می‌داند و هیچ سیستم‌عاملی این را تغییر نمی‌دهد، حتی با هدایت تمام ترافیک از راه Tor. مسیریابی از محتوا و مقصد محافظت می‌کند، نه از هندسه رادیویی. هرکس نامرئی‌شدن را وعده دهد، افسانه می‌فروشد.

آنچه چنین معماری‌ای به ارمغان می‌آورد فروتنانه‌تر است: حذف لایه‌های برنامه‌ای و مجاورتی، که بخش عمده گردآوری واقعی از آن‌ها می‌گذرد، و مدل تهدیدی صریح درباره آنچه باقی می‌ماند. همان استدلالی که در انتخاب یک سیستم رومیزی به کار بستیم و در مقایسه سیستم‌عامل‌ها شرح دادیم: پرسش سودمند این نیست که آیا ابزاری محافظت می‌کند، بلکه این است که از چه چیزی و به چه بهایی محافظت می‌کند.

نتیجه‌گیری

این نوشته روشی برای ناپدیدشدن ارائه نمی‌دهد. چنین روشی وجود ندارد، و متن‌هایی که خلافش را ادعا می‌کنند بیش از هر چیز اعتماد کاذب می‌سازند، که خطرناک‌تر از نبودِ حفاظت است، چون آدم را به خطرکردن وامی‌دارد.

هدف این بود که پرسشی دوگانه، یعنی «آیا مرا می‌توان یافت یا نه»، جای خود را به پرسشی سودمند بدهد: به‌دست چه کسی، با چه دقتی، به چه هزینه‌ای برای او، و آیا این برای من مهم است. پاسخ برای روزنامه‌نگاری که از یک منبع محافظت می‌کند، مدیری که در حوزه قضایی حساسی سفر می‌کند، وکیلی که قرارهایش راهبردی را لو می‌دهد، و فردی که تنها از دانستن عادت‌هایش به‌دست یک آگهی‌دهنده آزرده است، متفاوت است.

آنچه در واقع باید توجه را جلب کند، کارآمدی هریک از این سازوکارها به‌تنهایی نیست، بلکه این است که با هم هم‌پوشانی دارند. موقعیتی با خطای پنجاه متر چندان جالب نیست. اما موقعیتی با خطای پنجاه متر، هر ربع ساعت، به مدت دو سال، خانه‌ای را ترسیم می‌کند، محل کاری، یک باور دینی، یک وضعیت سلامت، یک رابطه، یک منبع خبری. داده موقعیت همان فراداده‌ای است که همه فراداده‌های دیگر را خواندنی می‌کند، و درست به همین دلیل گران است.

منابع

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

فیلیپین مونرو و زی‌کش را در صرافی‌های تحت نظارت ممنوع کرد: نشانه‌ای از یک روند جهانی

Wed, 17 Jun 2026 00:00:00 +0000

بانک مرکزی فیلیپین ضربه‌ای سنگین به ارزهای دیجیتال با حریم خصوصی تقویت‌شده وارد کرده است. این تصمیم که زیر پوشش رعایت استانداردهای بین‌المللی مبارزه با پول‌شویی اتخاذ شده، نشان‌دهنده یک پویایی نظارتی است که بسیار فراتر از این کشور می‌رود — و باید هر کسی را که دارایی‌هایی مانند مونرو یا زی‌کش در اختیار دارد یا از آن‌ها استفاده می‌کند، هوشیار کند.

بخشنامه چه می‌گوید

بانگکو سنترال نگ پیلیپیناس (BSP)، بانک مرکزی این کشور، بخشنامه M-2026-023 را که توسط معاون فرماندار لین خاویر امضا شده، تصویب کرده است. این متن به تمام ارائه‌دهندگان خدمات دارایی مجازی (VASP) دارای مجوز دستور می‌دهد که فهرست‌کردن و پشتیبانی از «دارایی‌های مجازی با ماهیت ناشناس‌ساز» را متوقف کنند. بخشنامه هیچ توکنی را به‌صراحت نام نمی‌برد، اما دسته‌بندی مورد نظر به‌روشنی مونرو، زی‌کش و دش را پوشش می‌دهد — ارزهای دیجیتالی که برای دشوار یا غیرممکن کردن ردیابی تراکنش‌ها طراحی شده‌اند.

این اقدام فوری به اجرا درآمده و هیچ دوره انتقالی پیش‌بینی نشده است. فراتر از حذف ساده این دارایی‌ها از پلتفرم‌ها، VASPها اکنون باید هر توکن فهرست‌شده را بر اساس شش محور انطباق ارزیابی کنند: اعتبار ناشر، بلوغ بازار، موارد استفاده، شفافیت و امنیت، نقدینگی و ذخایر، و انطباق قانونی. همچنین باید آستانه‌های داخلی تعریف کنند که به‌طور خودکار توقف معامله یک دارایی را در صورت عدم برآورده شدن این معیارها فعال کنند.

آنچه عملاً تغییر می‌کند

این بخشنامه نگه‌داشتن خصوصی مونرو یا زی‌کش، یا انتقال‌های همتا-به-همتا که خارج از پلتفرم‌های دارای مجوز انجام می‌شوند، را جرم‌انگاری نمی‌کند. آنچه از بین می‌رود، دسترسی نهادی است: درگاه‌های ورودی و خروجی دارای مجوز (خرید، فروش، واریز، برداشت از یک پلتفرم دارای مجوز) دیگر نمی‌توانند این دارایی‌ها را پردازش کنند.

به‌طور عملی، اگر privacy coins خود را در یک پلتفرم فیلیپینی تحت مجوز BSP نگه می‌داشتید — از جمله Coins.ph/Betur، Maya Philippines، PDAX، GoTyme Bank یا UnionBank — باید آن‌ها را به کیف پول شخصی انتقال دهید یا پیش از آنکه پلتفرم مجبور به حذف آن‌ها شود، تبدیل کنید.

با بیش از ۱۶ میلیون کاربر ارزهای دیجیتال در این کشور، تأثیر این تصمیم در مقیاس بزرگی بر بازار داخلی محسوس خواهد بود، هرچند اثر آن بر قیمت جهانی XMR یا ZEC باید محدود بماند — چرا که فیلیپین تنها بخش اندکی از نقدینگی جهانی این دارایی‌ها را تشکیل می‌دهد.

همسویی با FATF، توجیه جهان‌شمول

BSP تصمیم خود را با همسویی صریح با استانداردهای FATF (گروه ویژه اقدام مالی)، نهاد بین‌المللی تعیین‌کننده قوانین مبارزه با پول‌شویی و تأمین مالی تروریسم، توجیه می‌کند. حفظ رابطه خوب با FATF برای اکثر بانک‌های مرکزی اختیاری نیست — رتبه‌بندی نامناسب می‌تواند دسترسی یک کشور به مدارهای مالی بین‌المللی را تحت تأثیر قرار دهد.

این دقیقاً همان توجیهی است که در سال‌های اخیر اتحادیه اروپا، ژاپن و کره جنوبی را نیز به حذف تدریجی privacy coins از پلتفرم‌های دارای مجوز خود سوق داده است. بنابراین تصمیم فیلیپین یک مورد منفرد نیست: این تأییدی است بر یک استاندارد واقعی که در حال همه‌گیر شدن است — اگر یک حوزه قضایی بخواهد یک بازار رمزارز به‌رسمیت شناخته‌شده در سطح بین‌المللی اداره کند، دارایی‌های با حریم خصوصی تقویت‌شده دیگر جایگاهی در آن نخواهند داشت.

تنشی که کسی واقعاً حل نمی‌کند

این نکته قابل تأمل است که حتی بازیگرانی که از این تصمیم حمایت می‌کنند، مشروعیت کاربردی را که این تصمیم در پی محدود کردن آن است، به رسمیت می‌شناسند. مسئول رمزارز GCash، یکی از بزرگ‌ترین فین‌تک‌های کشور، صراحتاً اذعان کرد که مونرو و زی‌کش «به دلایل مشروع وجود دارند» و حریم خصوصی «یک ارزش بنیادین رمزارز است: توانایی انجام تراکنش بدون نظارت». با این حال او از این اقدام حمایت کرد و معتقد بود که فیلیپین — کشوری با وابستگی شدید به جریان‌های حواله — نمی‌تواند به‌عنوان یک زیرساخت مالی مورد اعتماد جایگاه‌سازی کند و در همان حال اجازه گردش آزادانه دارایی‌های ناشناس‌ساز را بدهد.

این تنش حل نشده، بلکه صرفاً به نفع منطق نظارتی تصمیم گرفته شده است: حجم حواله‌ها و اعتبار بین‌المللی هر بار که این موازنه مطرح می‌شود، سنگین‌تر از استدلال حریم خصوصی مشروع هستند.

گام منطقی بعدی: مهاجرت به خودنگهداری

الگویی که از یک حوزه قضایی به دیگری تکرار می‌شود، اکنون قابل خواندن است. این الگو تقریباً همیشه یکسان است: حریم خصوصی مالی در سطح فردی قانونی می‌ماند، اما به‌تدریج اعمال آن از طریق مدارهای نهادی غیرممکن می‌شود. خودنگهداری (self-custody) هنوز هدف قرار نگرفته — اما هر حوزه قضایی جدیدی که این مدل را دنبال می‌کند، فضایی را که این دارایی‌ها می‌توانند بدون قفل نظارتی در آن گردش کنند، کمی بیشتر کاهش می‌دهد.

ما در راهنمای جامع بلاکچین‌های ناشناس عملکرد فنی این بلاکچین‌ها و دلایلی که آن‌ها را به هدف محبوب تنظیم‌گران تبدیل کرده به‌تفصیل شرح داده‌ایم — ring signatures، zk-SNARKs و محدودیت‌های واقعی این فناوری‌ها.

تبادل خارج از مدارهایی که در حال بسته شدن هستند

با خروج یکی پس از دیگری از صرافی‌های دارای مجوز از بازار privacy coins، نقش زیرساخت‌های غیرامانی و بدون جمع‌آوری داده برای هر کسی که می‌خواهد از این دارایی‌ها بدون وابستگی به یک VASP تحت حوزه قضایی که ممکن است یک‌شبه سیاستش را تغییر دهد استفاده کند، محوری می‌شود.

Arpokrat Swap امکان تبادل مونرو، زی‌کش و تمام ارزهای دیجیتال با حریم خصوصی تقویت‌شده را بدون ثبت‌نام، بدون جمع‌آوری لاگ‌های IP و بدون کوکی فراهم می‌کند — چه از طریق clearnet به پلتفرم دسترسی داشته باشید چه از طریق آدرس .onion ما. هیچ حوزه قضایی نمی‌تواند آنچه را که هرگز جمع‌آوری نمی‌کنیم، حذف کند.

این تصمیم فیلیپین احتمالاً آخرین مورد از این نوع در سال جاری نخواهد بود. دیگر این سؤال مطرح نیست که آیا کشورهای دیگری همین مسیر را دنبال خواهند کرد — سابقه اخیر نشان می‌دهد که پاسخ مثبت است — بلکه این سؤال مطرح است که چقدر زمان باقی مانده تا دسترسی نهادی به privacy coins استثنا باشد نه قاعده.

پایان حریم خصوصی؟ درهای پشتی (Backdoors)، قانون ایمنی آنلاین و واکنش اکوسیستم‌های مستقل

Wed, 10 Jun 2026 00:00:00 +0000

لندن به کانون نبردی جهانی برای آینده حریم خصوصی دیجیتال تبدیل شده است. با تصویب قانون ایمنی آنلاین ۲۰۲۳ (OSA) و پیشنهادهای اخیر برای بازنگری در قانون اختیارات تحقیقاتی (IPA) — که توسط منتقدانش «منشور جاسوسان» نامیده می‌شود —، دولت بریتانیا حق تحمیل تعهدات نظارتی را در قلب ارتباطات خصوصی برای خود قائل است. نقطه شکست، قدرتی است که به نهاد نظارتی OFCOM داده شده است تا از پلتفرم‌ها بخواهد «فناوری معتبر» را برای شناسایی محتوای سوءاستفاده جنسی از کودکان (CSEA) یا تروریسم، از جمله در ارتباطات رمزگذاری شده سرتاسر (End-to-End)، مستقر کنند.

برای پلتفرم‌های دیجیتال بزرگ، پیام وست مینستر واضح است: یا دسترسی دولت به زیرساخت‌های خود را تسهیل می‌کنند، یا با جریمه‌هایی تا سقف ۱۰ درصد از درآمد جهانی خود مواجه می‌شوند. واکنش فوری بود: خدماتی مانند سیگنال (Signal) و واتس‌اپ (WhatsApp) علناً تهدید کردند که از بازار بریتانیا خارج خواهند شد و از به خطر انداختن امنیت کاربران خود برای جلب رضایت یک حوزه قضایی واحد امتناع ورزیدند. بحث فنی به سختی قابل انکار است: هیچ شاه‌کلیدی وجود ندارد که منحصراً برای بازیگران قانونی محفوظ باشد. در باز برای مجریان قانون، بنا به طراحی، یک در باز برای مجرمان سایبری و سرویس‌های اطلاعاتی خارجی است.

مدل کسب‌وکار پلتفرم‌های بزرگ: یک مانع ساختاری برای دانش صفر (Zero-Knowledge)

مقاومت پلتفرم‌های بزرگ در برابر اتخاذ رمزنگاری نوع دانش صفر با ناتوانی فنی توضیح داده نمی‌شود، بلکه با یک ناسازگاری اساسی اقتصادی توضیح داده می‌شود. شرکت‌هایی مانند آلفابت (Alphabet) و متا (Meta) بر مدل‌های درآمدزایی مبتنی بر جمع‌آوری سیستماتیک داده‌های رفتاری تکیه دارند. این مدل اتفاقاً به طور ضمنی توسط قانون بازارهای دیجیتال (DMA) اتحادیه اروپا به رسمیت شناخته شده است، که این «دروازه‌بانان» (gatekeepers) را به عنوان نهادهایی طبقه‌بندی می‌کند که موقعیت مسلط آنها دقیقاً از طریق انباشت داده‌ها در مقیاسی بی‌نظیر تغذیه می‌شود. برای این بازیگران، اتخاذ یک معماری دانش صفر به معنای محروم کردن سیستم‌های تبلیغاتی آنها از شناسایی مداوم کاربرانی است که سوخت آن را تشکیل می‌دهد. بنابراین این یک انتخاب فنی نیست، بلکه یک مبادله بین حریم خصوصی کاربران و دوام مدل کسب‌وکار آنها است.

خطر استراتژیک: تهدید «اکنون برداشت کن، بعداً رمزگشایی کن» (Harvest Now, Decrypt Later)

فراتر از بحث در مورد حریم خصوصی، تضعیف رمزنگاری مسئله‌ای در حوزه امنیت ملی با دامنه‌ای کاملاً متفاوت را مطرح می‌کند. استراتژی معروف به Harvest Now, Decrypt Later (HNDL) شامل این است که دشمنان دولتی امروز حجم عظیمی از ارتباطات رمزگذاری شده را در انتظار قابلیت‌های رمزگشایی کوانتومی آینده، رهگیری و ذخیره کنند. با تضعیف استانداردهای رمزنگاری فعلی، چارچوب قانونی بریتانیا از نظر عینی این نوع عملیات را علیه ارتباطات دولتی، دیپلماتیک یا صنعتی تسهیل می‌کند.

دقیقاً در همین زمینهِ کمبود اعتماد است که اکوسیستم‌هایی مانند آرپوکرات (Arpokrat) اهمیت عملیاتی پیدا می‌کنند. با فعالیت تحت رژیم قانون فدرال حفاظت از داده‌های سوئیس (FADP)، با معماری که هیچ شناسه مدنی را جمع‌آوری نمی‌کند، آرپوکرات یک گسست فنی از زیرساخت‌های مشمول حوزه قضایی بریتانیا ارائه می‌دهد — و تضمین می‌کند که سیستم در برابر احکام پیش‌بینی شده توسط قانون OSA ناشنوا باقی می‌ماند.

تضاد هنجارها: OSA و IPA در برابر حقوق اروپا

تحلیل حقوقی امتیازات جدید دولتی بریتانیا، برخورد مستقیمی را با مبانی حقوق اروپا در مورد حفاظت از داده‌ها و محرمانگی ارتباطات آشکار می‌کند.

قانون OSA در برابر ممنوعیت نظارت تعمیم یافته

ماده ۱۲۱ قانون OSA این امکان را برای OFCOM معرفی می‌کند که احکامی صادر کند که پلتفرم‌ها را مجبور به اجرای اسکن سمت کاربر (client-side scanning) می‌کند. این اقدام مستقیماً با اصلی که از حقوق اروپا نشأت گرفته و در رویه قضایی دیوان دادگستری اتحادیه اروپا (CJEU) گنجانده شده است و تعهدات نظارت عمومی را ممنوع می‌کند، در تضاد است. با تحمیل یک «آسیب‌پذیری از طریق طراحی» (vulnerability by design)، این امر شرکت‌ها را در یک وضعیت بن‌بست مضاعف نیز قرار می‌دهد: با تضعیف امنیت خود برای تبعیت از یک دستور دولتی، آنها در تعهد خود برای تضمین سطح امنیتی متناسب با پردازش، همانطور که در ماده ۳۲ قانون GDPR تصریح شده است، کوتاهی می‌کنند.

دستورالعمل حریم خصوصی الکترونیک (ePrivacy) و محرمانگی ارتباطات

اسکن پیام‌های خصوصی در تضاد مستقیم با ماده ۵، بند ۱ از دستورالعمل 2002/58/EC (ePrivacy) است، که کشورهای عضو را موظف می‌کند محرمانگی ارتباطات الکترونیکی را تضمین کنند و هرگونه شکل رهگیری یا نظارت را بدون رضایت صریح کاربرانِ ذی‌نفع ممنوع می‌کند.

اطلاعیه‌های قابلیت فنی (Technical Capability Notices) و مسدود کردن به‌روزرسانی‌های امنیتی

تحت رژیم IPA ۲۰۱۶، دولت بریتانیا اکنون در نظر دارد از اطلاعیه‌های قابلیت فنی (TCN) برای مخالفت با به‌روزرسانی‌های امنیتی قبل از استقرار آنها استفاده کند. این مکانیسم تضادی لاینحل با تعهدی ایجاد می‌کند که توسط ماده ۳۲ قانون GDPR تعیین شده است تا از امنیت مداوم سیستم‌های پردازش اطمینان حاصل شود — تعهدی که دقیقاً نیازمند توانایی اعمال اصلاحیه‌ها (patches) بدون تأخیر یا مداخله خارجی است.

خطرات انطباق (Compliance) برای شرکت‌های فعال در اروپا

بازنگری‌های قانون IPA با هدف مجبور کردن شرکت‌ها به اطلاع‌رسانی به دولت بریتانیا در مورد هرگونه تغییر فنی مؤثر بر امنیت، قبل از اجرای آن است، و در نتیجه حق وتو در مورد توسعه محصول را به آن اعطا می‌کند. این مداخله ناامنی حقوقی قابل توجهی را برای تأمین‌کنندگان فعال در بازار اروپا ایجاد می‌کند: کفایت بریتانیا نسبت به حقوق اروپا — که از قبل شکننده بود — می‌تواند مورد تردید قرار گیرد اگر بریتانیا دیگر حفاظتی اساساً معادل با حفاظت GDPR را تضمین نکند. بنابراین، انتقال داده‌ها به بریتانیا تحت این چارچوب جدید احتمالاً شرکت‌ها را در معرض مجازات‌های تحت GDPR قرار می‌دهد.

دفاع از طریق عدم امکان فنی: اصل دانش صفر به عنوان یک سپر حقوقی

رویه قضایی بین‌المللی، که با احکام Schrems I و Schrems II از دیوان دادگستری اتحادیه اروپا (CJEU) تثبیت شده است، یک اصل تعیین‌کننده را پایه‌گذاری کرده است: تنها پادمان قوی در برابر نظارت نامتناسب، عدم امکان فنی دسترسی به آن است. معماری‌های دانش صفر (Zero-Knowledge) این اصل را در سه لایه محافظتی اعمال می‌کنند:

فقدان حضانت: از آنجا که پلتفرم کلیدهای رمزگشایی را در اختیار ندارد، هرگونه حکم برای اسکن پیام‌ها از نظر فنی غیرقابل اجرا است؛
حاکمیت سیستم عامل: کنترل ArpokratOS تله‌متری که جمع‌آوری اطلاعات در سطح دستگاه را تغذیه می‌کند، از بین می‌برد؛
لنگرگاه قضایی سوئیس: آرپوکرات با میزبانی زیرساخت‌های خود در سوئیس، تحت یک رژیم قانونی عمل می‌کند که نیازمند درخواست‌های معاضدت قضایی متقابلِ فردی و مستدل است، و اجرای خودکار اسکن‌های انبوه پیش‌بینی شده توسط OSA را خنثی می‌کند.

نتیجه‌گیری

مفاد قانون OSA و بازنگری‌های قانون IPA تنها تهدیدی برای حریم خصوصی افراد نیستند: آنها نشان‌دهنده نقض قطعیت حقوقی برای تمام داده‌های اروپایی هستند که از طریق زیرساخت‌های مشمول حوزه قضایی بریتانیا عبور می‌کنند. با مشروعیت بخشیدن به تضعیف رمزنگاری به نام امنیت عمومی، لندن به طور متناقضی متحدان و شرکای تجاری خود را در معرض خطرات جاسوسی صنعتی و دولتی قرار می‌دهد که معماری‌های دانش صفر دقیقاً برای جلوگیری از آنها طراحی شده‌اند.

یکپارچگی ارتباطات حرفه‌ای و نهادی اکنون نیازمند یک پاسخ ساختاری است: مهاجرت به سمت اکوسیستم‌های غیرمتمرکز که حاکمیت دیجیتال را از سطح کد تا لنگرگاه قضایی تضمین می‌کنند.

سکوت فریادزن: Warrant Canary چیست و چرا ناپدید شدن آن باید شما را نگران کند؟

Mon, 01 Jun 2026 00:00:00 +0000

در اعماق معادن زغال سنگ قرن نوزدهم، معدنچیان قناری‌های در قفس را با خود می‌بردند. این پرندگان کوچک، که به شدت به گازهای سمی مانند مونوکسید کربن حساس بودند، مدت‌ها قبل از اینکه معدنچیان متوجه خطر شوند می‌مردند. آنها به این ترتیب به عنوان یک سیستم هشدار اولیه خاموش، اما بسیار موثر عمل می‌کردند.

در دنیای دیجیتال مدرن ما، این پرنده در قالب « Warrant Canary » دوباره زنده شده است.

Warrant Canary چیست؟

این یک بیانیه عمومی است که به طور منظم توسط یک ارائه‌دهنده خدمات (پیام‌رسان، VPN، هاستینگ) منتشر و به‌روز می‌شود و تایید می‌کند که تا آن تاریخ دقیق، هیچ درخواست حقوقی مخفیانه‌ای دریافت نکرده است که آنها را مجبور به افشای داده‌های کاربران کند — مانند National Security Letter (NSL) آمریکا یا دستوری صادر شده توسط دادگاه FISA.

ظرافت — و اهمیت — قناری در اتفاقی است که هنگام ناپدید شدن آن رخ می‌دهد.

اگر سرویسی که هر ماه اعلام می‌کرد “ما هیچ دستور مخفیانه‌ای دریافت نکرده‌ایم” ناگهان به‌روزرسانی آن را متوقف کند، کاربر آگاه متوجه حقیقت آشکار می‌شود: قناری مرده است.

این شرکت مورد هدف یک اقدام نظارتی همراه با حکم عدم افشا (gag order) قرار گرفته است که از نظر قانونی آن را از افشای وجود این درخواست منع می‌کند. از آنجا که نمی‌توانند بگویند که اطلاعات به خطر افتاده است، به سادگی از گفتن اینکه در امان هستند دست می‌کشند.

دوران نظارت نامرئی و دور زدن سکوت

در زمانی که قوانین فراسرزمینی مانند CLOUD Act و FISA به دولت ایالات متحده اجازه می‌دهند بدون اطلاع دادن به اهداف، به داده‌های میزبانی شده توسط شرکت‌ها دسترسی پیدا کنند، Warrant Canary یکی از معدود مکانیسم‌هایی است که این سکوت اجباری را دور می‌زند.

با قانون CLOUD Act، مانع جغرافیایی دیگر وجود ندارد: اگر داده‌ها تحت “کنترل” یک شرکت آمریکایی باشد، دولت ایالات متحده حق دسترسی به آن را ادعا می‌کند، حتی اگر این سرورها از نظر فیزیکی در اروپا واقع شده باشند. سپس قناری به آخرین سیگنال هشدار قبل از قربانی شدن خاموش حاکمیت دیجیتال کاربر تبدیل می‌شود.

به همین دلیل است که بازیگران اصلی در حوزه Privacy این ابزار را به عنوان یک استاندارد شفافیت پذیرفته‌اند:

Proton: سرویس پیام‌رسان و ایمیل سوئیسی یک گزارش شفافیت شامل یک قناری سخت‌گیرانه منتشر می‌کند.
Riseup: مجموعه ارتباطات امن برای فعالان، یکی از معروف‌ترین قناری‌ها را در وب حفظ می‌کند.
Arpokrat: اکوسیستم خود ما یک Warrant Canary عمومی و به‌روز شده با رمزنگاری را برای تضمین شفافیت مطلق برای جامعه خود حفظ می‌کند.

تحلیل حقوقی: حق دروغ نگفتن

وجود قناری به خودی خود بر یکی از جذاب‌ترین ارکان حقوق اساسی استوار است: دکترین compelled speech (سخن اجباری) و تضاد آن با پنهان‌کاری قضایی.

مبنای قانونی بر یک اصل ساده استوار است: اگر دولت قدرت اعمال سکوت بر شما را دارد (از طریق حکم عدم افشا)، قدرت قانون اساسی برای مجبور کردن شما به دروغ گفتن را ندارد.

بر اساس اصلاحیه اول قانون اساسی ایالات متحده (و اصول مشابه در اروپا)، دولت نمی‌تواند شرکتی را مجبور به ارائه یک بیانیه نادرست کند. بنابراین، هنگامی که یک شرکت قناری خود را حذف می‌کند، دستور سکوت را نقض نمی‌کند — زیرا به صراحت اعلام نمی‌کند که حکمی دریافت کرده است. بلکه صرفاً از حق اساسی خود برای توقف ارائه بیانیه‌ای که دیگر صحت ندارد استفاده می‌کند.

درگیری با قوانین اروپا

ارتباط قناری امروزه با ماده 32 قانون داده (مقررات اتحادیه اروپا 2023/2854) تقویت شده است. این ماده ارائه‌دهندگان را ملزم می‌کند تا اقدامات فنی و قانونی را برای جلوگیری از دسترسی مقامات کشورهای ثالث به داده‌ها، در صورت مغایرت با قوانین اروپا، اجرا کنند. مرگ قناری فوراً نشان‌دهنده این تضاد قوانین است: ارائه‌دهنده احتمالاً مجبور به دور زدن تضمین‌های اروپایی برای برآورده کردن یک دستور خارجی است.

رویکرد Arpokrat: حاکمیت از طریق طراحی

در اکوسیستم Arpokrat، که تحت صلاحیت قانون حفاظت از داده‌های سوئیس (FADP) عمل می‌کند، قناری بعد قدرتمندتری به خود می‌گیرد. این بخشی از یک رویکرد جامع به حاکمیت دیجیتال است: Zero-Knowledge (دانش صفر).

معماری به گونه‌ای طراحی شده است که شرکت اطاعت از یک دستور را از نظر فنی و ریاضی غیرممکن می‌سازد. دولت یا آژانس اطلاعاتی می‌تواند هر دستوری که می‌خواهد صادر کند، پاسخ یکسان باقی خواهد ماند: هیچ کلید خصوصی، هیچ هویتی (Zero-ID) و هیچ فراداده متمرکزی برای تحویل دادن وجود ندارد.

در این زمینه، قناری دیگر فقط یک هشدار در مورد سازش نیست. این اثبات عمومی مداوم است که زیرساخت از نظر فنی غیرقابل نفوذ و به اصول خود وفادار مانده است.

نتیجه‌گیری

در نهایت، Warrant Canary قطعه‌ای از چابکی حقوقی است که چابکی رمزنگاری لازم برای رویارویی با افق تهدیدات مدرن (مانند محاسبات پسا کوانتومی) را تکمیل می‌کند. در زیرساختی که داده‌ها ذاتاً حاکم هستند، قناری فقط یک پرنده ساده در معدن نیست: بلکه نگهبان خاموش قلعه دیجیتال شماست.

یوتیک (Utiq): 'سوپر کوکی' جدید شرکت‌های مخابراتی که حریم خصوصی شما را تهدید می‌کند

Mon, 01 Jun 2026 00:00:00 +0000

پایان برنامه‌ریزی شده کوکی‌های شخص ثالث در مرورگرهای وب، یک مسابقه تسلیحاتی واقعی را در صنعت تبلیغات هدفمند به راه انداخته است. در حالی که گوگل در تلاش است استانداردهای خود را (مانند Privacy Sandbox) تحمیل کند، یک بازیگر غیرمنتظره دیگر تصمیم گرفته است تا تکه‌ای از این کیک را به دست آورد: ارائه‌دهنده خدمات اینترنت (ISP) شما.

اینگونه بود که Utiq (که قبلاً با نام پروژه TrustPid شناخته می‌شد) متولد شد، یک سرمایه‌گذاری مشترک که توسط غول‌های مخابراتی اروپا تأسیس شد. یوتیک که به عنوان یک راه‌حل “شفاف و محترمانه” به عموم فروخته می‌شود، در واقع همان چیزی است که کارشناسان امنیت سایبری بیشتر از آن می‌ترسند: یک “سوپر کوکی” که در سطح شبکه عمل می‌کند.

یوتیک چیست و چگونه کار می‌کند؟

به طور سنتی، ردیابی تبلیغات (کوکی‌ها) توسط مرورگر وب شما (Chrome، Firefox، Safari) مدیریت می‌شود. شما می‌توانستید آن را با استفاده از افزونه‌ها (مانند uBlock Origin) یا یک مرورگر متمرکز بر حریم خصوصی (مانند Brave) مسدود کنید.

یوتیک مشکل را یک قدم به عقب می‌برد: به سطح اتصال شبکه شما.

در اینجا نحوه بسته شدن تله آمده است:

رهگیری شبکه: هنگامی که از طریق اتصال تلفن همراه خود (4G/5G) یا جعبه فیبر خود در اینترنت مرور می‌کنید، یوتیک از آدرس IP و داده‌های اشتراک مخابراتی شما برای شناسایی شما استفاده می‌کند.
رضایت (انتخاب نادرست): با ورود به یک سایت شریک، یک پنجره پاپ‌آپ از شما می‌خواهد که یوتیک را بپذیرید. با خستگی ناشی از بنرهای کوکی (Consent Fatigue)، میلیون‌ها کاربر بدون خواندن روی “پذیرش” کلیک می‌کنند.
“Network Signal” (سیگنال شبکه): پس از رضایت، یوتیک مستقیماً با اپراتور مخابراتی شما تماس می‌گیرد. این اپراتور یک توکن شناسایی منحصر به فرد و نام مستعار (سیگنال شبکه) تولید می‌کند که آن را به تبلیغ‌کنندگان منتقل می‌کند.

شما اکنون از سایتی به سایت دیگر قابل ردیابی هستید، نه با فایلی که در رایانه شما ذخیره شده است، بلکه توسط همان زیرساختی که اینترنت را در اختیار شما قرار می‌دهد.

چرا یوتیک یک کابوس برای حریم خصوصی است (OPSEC)

این ابتکار مشکلات جدی برای حاکمیت دیجیتال و محرمانه بودن داده‌های شما ایجاد می‌کند:

ردیابی در منبع: برخلاف کوکی‌های کلاسیک، نمی‌توانید برای خلاص شدن از شر یوتیک، به سادگی “تاریخچه خود را پاک کنید” یا “حافظه پنهان خود را خالی کنید”. توکن شناسایی توسط ISP شما تولید می‌شود.
تمرکز پروفایل‌ها: اپراتورهای مخابراتی از قبل نام، آدرس فیزیکی، جزئیات بانکی و موقعیت مکانی شما را در زمان واقعی می‌دانند. با پیوند دادن تاریخچه مرور وب شما از طریق یوتیک به این اطلاعات، آنها یک پروفایل رفتاری با دقت دلهره‌آور ایجاد می‌کنند.
نقص نام مستعار: یوتیک با به اشتراک نگذاشتن نام شما در متن ساده از خود دفاع می‌کند و ادعا می‌کند که از توکن‌های “رمزنگاری شده” استفاده می‌کند. با این حال، در دنیای امنیت سایبری، ثابت شده است که نام مستعار برگشت‌پذیر است. تقاطع این توکن‌ها با پایگاه‌های داده دیگر، امکان شناسایی مجدد افراد را به راحتی فراهم می‌کند.

کدام اپراتورها از یوتیک استفاده می‌کنند؟

یوتیک توسط اتحادی از چهار اپراتور بزرگ اروپایی تأسیس شد. اگر مشتری یکی از آنها (یا یکی از شرکت‌های تابعه ارزان قیمت آنها) هستید، اتصال شما احتمالاً از قبل با این ردیابی “سازگار” است.

در اینجا بنیانگذاران و پیوندهایی به سیاست‌های حفظ حریم خصوصی مربوطه آنها آمده است:

Orange (فرانسه، اسپانیا، لهستان، و غیره)
Vodafone (آلمان، اسپانیا، بریتانیا، و غیره)
Telefónica / O2 / Movistar (اسپانیا، آلمان، و غیره)
Deutsche Telekom (آلمان، اروپای مرکزی)

نکته OPSEC: اگرچه یوتیک یک پورتال مدیریت رضایت متمرکز (consenthub.utiq.com) را برای لغو دسترسی ارائه می‌دهد، اما بهترین دفاع همچنان فناوری است.

رویکرد Zero-Trust برای مقابله با یوتیک

فلسفه حاکمیت دیجیتال که توسط اکوسیستم‌هایی مانند Arpokrat هدایت می‌شود، بر یک اصل ساده استوار است: هرگز به زیرساخت شبکه اعتماد نکنید.

برای خنثی کردن فنی سیستم‌هایی مانند یوتیک، راه‌حل این است که ترافیک خود را از ارائه‌دهنده اینترنت خود پنهان کنید:

استفاده از یک VPN حاکم: با رمزگذاری ترافیک خود به محض خروج از دستگاه، ISP شما فقط یک جریان غیرقابل خواندن از داده‌های هدایت شده به سمت سرور VPN را می‌بیند. دیگر نمی‌تواند توکن‌های یوتیک را تزریق یا بخواند.
شبکه Tor (Orbot): مسیریابی پیازی از هرگونه شناسایی انتها به انتها جلوگیری می‌کند.
رمزگذاری DNS (DoH/DoT): از اینکه اپراتور شما بداند چه وب‌سایت‌هایی را برای بازدید درخواست می‌کنید، جلوگیری می‌کند.

به طور خلاصه، یوتیک اثبات این است که ارائه‌دهندگان خدمات اینترنت دیگر به بودن “لوله” راضی نیستند. آنها می‌خواهند به دلالان داده تبدیل شوند. بیش از هر زمان دیگری، رمزگذاری ترافیک شما دیگر یک گزینه امنیتی نیست، بلکه یک ضرورت مطلق برای حفظ سکوت دیجیتال شماست.

توهم حاکمیت: پرونده Olvid و تله CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

این اعلامیه مانند یک «فریاد استقلال» واقعی در راهروهای پاریس طنین‌انداز شد: نخست‌وزیر دستور داد دولت استفاده از WhatsApp و Signal را کنار بگذارد و به Olvid، یک برنامه پیام‌رسان که به عنوان «بومی» معرفی شده، روی بیاورد. هدف اعلام شده روشن بود: محافظت از اسرار دولتی در برابر دسترسی آژانس‌های اطلاعاتی خارجی.

با این حال، یک طنز تلخ به سرعت آشکار شد: قلب Olvid — یعنی زیرساخت سرورهای آن — در درون خدمات وب آمازون (AWS)، یک غول آمریکایی، می‌تپد.

برای عموم مردم، این ممکن است تنها یک مسئله فنی ساده میزبانی به نظر برسد. اما برای معماران امنیت سایبری حاکمیتی و کسانی که ژئوپلیتیک داده‌ها را دنبال می‌کنند، این یک آسیب‌پذیری سیاسی درجه اول است.

فراقلمرویی و تضاد حاکمیت‌ها

با تکیه بر زیرساخت آمازون، Olvid به طور خودکار وارد مدار قانون CLOUD ایالات متحده می‌شود.

تحلیل حقوقی این پرونده، سناریویی از ناامنی قضایی را آشکار می‌کند که پذیرش صرف یک «برنامه» ملی به هیچ وجه آن را حل نمی‌کند. نقطه عطف در مفهوم «کنترل» در برابر «بومی‌سازی» نهفته است.

قانون CLOUD با تصریح این که مکان فیزیکی سرور اهمیتی ندارد، پارادایم قانونی را اساساً تغییر داد. تعهد ارائه‌دهنده خدمات (در اینجا AWS) به همکاری، تنها ناشی از پیوند قضایی آن با ایالات متحده است. بنابراین، واشنگتن می‌تواند از شرکت‌های تحت صلاحیت خود داده‌ها را مطالبه کند، حتی زمانی که آن داده‌ها از نظر فیزیکی در خاک اروپا ذخیره شده باشند.

از نظر قانونی، این یک تضاد مستقیم با مقررات عمومی حفاظت از داده‌ها (GDPR) ایجاد می‌کند. دیوان دادگستری اتحادیه اروپا (از طریق احکام معروف Schrems I و II) پیش از این ثابت کرده است که قوانین نظارتی آمریکا سطح حمایتی معادل اروپا را ارائه نمی‌دهند.

حاکمیت دیجیتال ویژگی نرم‌افزار نیست، بلکه ویژگی یکپارچگی زنجیره نگهداری است.

سایه FISA و وعده دروغین رمزگذاری

بدتر از آن، این وابستگی به زیرساخت‌های آمریکایی، این داده‌ها را زیر سایه قانون نظارت بر اطلاعات خارجی (FISA) قرار می‌دهد که نظارت الکترونیکی را برای مقاصد «اطلاعات خارجی» با هدف قرار دادن اهداف خارج از ایالات متحده مجاز می‌داند.

در مواجهه با این تهدیدها، Olvid ادعا می‌کند که رمزگذاری سرتاسری آن یک سپر کافی است. از دیدگاه مهندسی حریم خصوصی، این دفاع به طور خطرناکی ناقص است.

رد اخیر درهای پشتی توسط مجلس ملی فرانسه نشان‌دهنده مقاومت قانون‌گذاری در برابر آسیب‌پذیری در طراحی است. با این حال، حتی اگر محتوای یک پیام رمزگذاری شده باشد، زیرساخت متمرکز AWS فراداده‌ها (Metadata) را در معرض دید قرار می‌دهد. دانستن اینکه چه کسی با چه کسی، چه زمانی، چند وقت یکبار و از کجا صحبت می‌کند، اغلب برای اطلاعات خارجی بسیار ارزشمندتر از محتوای خود پیام است.

رمزگذاری از متن محافظت می‌کند، اما سرور متمرکز شبکه مخاطبین را فاش می‌کند.

خطر واقعی هنوز در راه است

تا زمانی که زیرساخت‌های اروپایی به نهادهای مشمول قوانین فراقلمرویی وابسته باشند، امنیت حقوقی ارتباطات ما کاملاً موقتی و توهم‌آمیز باقی خواهد ماند.

امنیت ملی در قرن بیست و یکم به چیزی بسیار بیشتر از نیت‌های خوب قانون‌گذاری یا سپرهای نرم‌افزاری سطحی نیاز دارد: این نیازمند استقلال کامل زیرساخت و سخت‌افزار است. زیرا در حالی که رهگیری این فراداده‌ها و بسته‌های رمزگذاری شده امروز بی‌ضرر به نظر می‌رسد، در واقع مخرب‌ترین تهدید دهه آینده را تغذیه می‌کند: استراتژی «اکنون جمع‌آوری کن، بعداً رمزگشایی کن».

یک راز دولتی که امروز رهگیری شود، چیزی جز یک بمب ساعتی ریاضی نیست.

(بقیه تحلیل ما را در قسمت 2 بخوانید: بمب ساعتی و ضرورت دانش صفر)