Géolocalisation on Arpokrat

SignalTrace : l'Europe exporte la surveillance qu'elle ne s'autorise pas

Tue, 01 Sep 2026 00:00:00 +0000

Une berline grise passe sous un portique d’autoroute à 110 km/h. La caméra fixée au mât lit la plaque, l’horodate, l’enregistre. Rien de nouveau : ce dispositif existe depuis vingt ans, déployé par dizaines de milliers d’exemplaires en Amérique du Nord comme en Europe.

Mais si ce portique a reçu le boîtier que le groupe italien Leonardo commercialise depuis juin 2026, il vient d’enregistrer autre chose. L’iPhone du conducteur. Les écouteurs sans fil de la passagère. La montre connectée sur le tableau de bord. L’autoradio. Le porte-clés connecté dans la boîte à gants. Les capteurs de pression des quatre pneus. Le badge d’accès resté dans une veste. Et, si un chien dort à l’arrière, sa puce d’identification.

Une dizaine d’identifiants, une plaque, une position, une heure. Répétez à chaque portique du réseau et vous ne suivez plus une voiture : vous suivez des personnes, et vous savez avec qui elles se déplacent.

Ce que fait réellement le dispositif

Le produit s’appelle SignalTrace. Vendu par Leonardo US Cyber and Security Solutions, il complète la gamme ELSAG, une des lignes de lecteurs automatisés de plaques les plus répandues sur le marché américain. Son existence a été révélée le 8 juin 2026 par Joseph Cox dans 404 Media, à partir d’une fiche produit du constructeur.

Le point décisif tient en une phrase : il ne s’agit pas de nouvelles caméras. SignalTrace est un capteur radio ajouté aux lecteurs de plaques déjà installés. Le mât ne change pas, l’emplacement ne change pas, la silhouette du matériel au bord de la route ne change pas. Ce qui change, c’est ce que l’équipement écoute.

Le capteur enregistre les identifiants diffusés en clair par les protocoles Bluetooth, Wi-Fi et RFID des appareils présents dans le véhicule. Point technique souvent mal compris : aucun appareil n’est piraté et aucune faille n’est exploitée. Un appareil Bluetooth ou Wi-Fi émet en permanence des trames de découverte, parce que ces protocoles ont été conçus ainsi. Vos écouteurs annoncent leur présence pour être retrouvés par votre téléphone, qui interroge lui-même l’air ambiant pour retrouver les réseaux qu’il connaît. Ces émissions sont publiques par construction, et n’importe quel récepteur à portée les entend.

Leonardo précise d’ailleurs que le système fonctionne avec ou sans lecteur de plaques, y compris en intérieur, et reconnaît un véhicule dont la plaque est maquillée ou retirée.

Le rétrofit est le vrai sujet politique. Installer un nouveau réseau de caméras déclenche un vote, une délibération, parfois un contentieux. Ajouter une carte électronique dans un boîtier déjà validé ne déclenche rien. La capacité de surveillance change de nature sans débat public, parce qu’il n’y a matériellement rien de nouveau à voir.

Du véhicule à la personne, et de la personne au groupe

Un lecteur de plaques répond à une question : où était ce véhicule. SignalTrace en ajoute deux : qui s’y trouvait, et avec qui.

Leonardo ne s’en cache pas, c’est l’argument de vente. Le système constitue ce que la documentation appelle une empreinte électronique, un ensemble d’identifiants « fréquemment émis ensemble ». L’exemple du constructeur est explicite : dans une ville entière, un seul véhicule associera un iPhone 13rev2, un autoradio Audi, un casque Bose, une montre Garmin, un traqueur de clés et la plaque ABC-1234.

Le produit ne se contente pas de suivre des véhicules. Il produit automatiquement un graphe de relations entre personnes, sans que quiconque ait eu à formuler le moindre soupçon.

C’est là que se joue le saut qualitatif. En corrélant les appareils qui voyagent régulièrement ensemble, le système construit mécaniquement un graphe social. Deux téléphones qui se retrouvent chaque matin dans la même voiture sont un covoiturage, ou une relation qu’aucun des deux ne souhaite rendre publique. Cinquante appareils captés au même endroit à la même heure sont un rassemblement : une manifestation, un office religieux, une réunion syndicale ou une file d’attente devant une clinique.

Aucune de ces conclusions ne demande d’accéder au contenu d’une communication. Elle se déduit d’une table de proximité, par défaut, sur toute la population circulante et non sur des cibles désignées. C’est de la culpabilité par association, produite industriellement, en amont de toute enquête. Tom Bowman, juriste au Center for Democracy & Technology, résume le problème dans les colonnes de TechNewsWorld : ce qui rend l’outil utile pour suivre un vrai suspect le rend tout aussi capable de suivre tous les autres automobilistes, dont aucun n’a consenti à ce que ses appareils soient enregistrés.

Leonardo oppose deux arguments : le système ne déchiffre ni ne lit le contenu des communications, et il n’identifie pas les personnes par lui-même. Les deux affirmations sont exactes, et les deux sont hors sujet. Le renseignement recherché n’a jamais été le contenu, il est dans la métadonnée de position, plus révélatrice qu’un message. Quant à l’identification, le constructeur reconnaît lui-même qu’un enquêteur peut relier une signature électronique à une plaque, puis remonter au titulaire par les fichiers d’immatriculation.

Un droit américain écrit pour autre chose

Aux États-Unis, les lois d’État encadrant les lecteurs de plaques existent, et certaines sont exigeantes sur les durées de conservation et les finalités d’accès. Mais toutes ont été rédigées autour d’un objet précis : l’image d’une plaque d’immatriculation. Aucune n’anticipe la captation d’identifiants d’appareils personnels par le même équipement.

Ce décalage ne crée pas une illégalité mais une zone grise, plus commode pour le vendeur. Un service de police peut soutenir, sans mentir, que son programme de lecteurs de plaques est autorisé et conforme, tout en collectant désormais sous le même régime des données d’une nature entièrement différente. Leonardo dispose en outre de contrats fédéraux, auprès du Special Operations Command et de la General Services Administration, soit une voie d’achat qui contourne largement les validations locales.

Le débat constitutionnel, lui, vient de bouger, et il faut être précis car l’état du droit a changé cet été. En janvier 2026, un tribunal fédéral de Virginie a jugé, dans l’affaire Schmidt v. City of Norfolk, que le réseau de caméras Flock de la ville ne constituait pas une fouille au sens du quatrième amendement, faute de couvrir l’intégralité des déplacements des habitants. La décision est en appel devant le quatrième circuit, où l’ACLU est intervenue.

Puis, le 29 juin 2026, la Cour suprême a rendu Chatrie v. United States. Par cinq voix contre quatre, sous la plume de la juge Kagan, elle a jugé que l’obtention par la police des données de localisation d’un téléphone constituait une fouille, un individu conservant une attente raisonnable de vie privée sur ces données même détenues par un tiers et sur une durée courte. L’arrêt prolonge Carpenter v. United States de 2018 et affaiblit la doctrine du tiers détenteur, comme l’a relevé le CDT.

La portée exacte de Chatrie sur SignalTrace n’est pas tranchée, et il serait imprudent d’affirmer le contraire : l’arrêt porte sur des données réclamées à Google, pas sur une captation directe par un capteur policier dans l’espace public. Mais il installe le raisonnement qui compte, à savoir que la sensibilité d’une donnée de localisation ne dépend pas de qui la détient.

La question européenne, qui est la vraie question

Voilà où le dossier devient inconfortable pour l’Europe. Leonardo n’est pas un fournisseur américain, mais un groupe italien coté à Milan dont le premier actionnaire est le ministère italien de l’Économie et des Finances, à hauteur d’environ 30 % du capital, avec le pouvoir de désigner la majorité du conseil d’administration. L’État italien n’est pas un actionnaire passif de ce produit.

Le point technique, d’abord

En droit européen, un identifiant d’appareil est une donnée à caractère personnel. Ce n’est pas une opinion doctrinale mais la position constante des autorités. La CNIL traite explicitement l’adresse MAC comme telle dans sa doctrine sur les dispositifs de mesure de fréquentation, et n’admet leur collecte dans l’espace public que sous conditions étroites : anonymisation en quelques minutes avec un taux de collision élevé entre individus, ou pseudonymisation fiable suivie d’une destruction sous vingt-quatre heures, faute de quoi le consentement devient obligatoire. La même doctrine précise qu’inviter les gens à couper leur Wi-Fi n’est pas une modalité d’opposition acceptable.

La Cour de justice de l’Union européenne a précisé le 4 septembre 2025, dans l’affaire CEPD contre CRU (C-413/23 P), que le caractère personnel d’une donnée pseudonymisée s’apprécie au regard des moyens de réidentification raisonnablement mobilisables. Or ici le détenteur est une autorité de police, qui dispose des fichiers d’immatriculation. Les moyens de réidentification ne sont pas hypothétiques, ils sont dans le bureau d’à côté.

La nuance qui change tout

Il serait faux d’écrire que SignalTrace « serait illégal en Europe », et un lecteur juriste le relèverait immédiatement. Un traitement mis en œuvre par une autorité compétente à des fins de prévention et de répression pénale ne relève pas du RGPD. Il relève de la directive (UE) 2016/680, dite directive Police-Justice, transposée séparément par chaque État membre, en France au titre III de la loi Informatique et Libertés. La CNIL rappelle que ce régime est autonome, avec ses propres bases de licéité et ses propres droits.

La bonne question n’est donc pas celle de la légalité abstraite, mais celle des conditions. Sous ce régime, un tel dispositif supposerait une base légale nationale expresse, des finalités déterminées, une nécessité démontrée, une durée de conservation bornée, une analyse d’impact et un contrôle indépendant. En France, les lecteurs de plaques sont encadrés ainsi : les articles L233-1 et L233-1-1 du code de la sécurité intérieure fixent une liste limitative d’infractions ouvrant droit à leur usage, et la conservation reste parmi les plus courtes de l’Union, quinze jours en principe, même si une proposition de loi sénatoriale cherche à l’allonger.

C’est la différence de fond avec la situation américaine. Aux États-Unis, la loi encadre un objet, la plaque, et le silence sur les identifiants d’appareils vaut permission. En Europe, la loi encadre des finalités et des catégories de données, et ce silence vaut plutôt interdiction, faute de base légale expresse. Le vide constaté outre-Atlantique n’existe pas ici sous la même forme. Non que l’Europe soit plus vertueuse : sa technique juridique est inverse.

Ce que vaut alors la protection

Reste la question qui fait cet article. Que vaut une protection réglementaire européenne quand une entreprise européenne, contrôlée par un État membre, vend hors d’Europe une capacité qu’elle ne pourrait pas déployer chez elle sans une loi nouvelle ?

Les objections méritent d’être prises au sérieux. Un industriel n’est pas responsable du cadre légal de son client : c’est aux autorités américaines de décider ce qu’elles autorisent chez elles. Le produit n’est pas vendu à une dictature mais à un État de droit doté d’une cour suprême active, comme Chatrie vient de le rappeler. Et l’argument de souveraineté industrielle est légitime : si les groupes européens s’interdisent ces marchés, ils seront pris par des fournisseurs israéliens, américains ou chinois, sans que la surveillance recule d’un mètre, et l’Europe y perdra sa base technologique.

Ces arguments sont recevables. Ils ne répondent pas au problème.

D’abord parce que l’Union a déjà reconnu que l’exportation de moyens de surveillance n’était pas un commerce comme un autre. Le règlement (UE) 2021/821 sur les biens à double usage a introduit à son article 5 une clause attrape-tout visant les biens de cybersurveillance, parce que le législateur a admis qu’un outil légal à fabriquer peut être illégitime à destination. Sa limite est instructive : il se déclenche sur un risque de répression interne ou de violations graves des droits humains, catégories pensées pour des régimes autoritaires. Une vente à une police municipale américaine n’y entre pas. La grille européenne examine la moralité du client, jamais la nature de la capacité vendue.

Ensuite parce qu’un tel produit n’est pas un stock qu’on écoule, mais une capacité qui s’entretient : elle finance de la recherche, forme des ingénieurs, accumule du savoir-faire et crée une base installée. Le jour où un attentat majeur poussera un État membre à réclamer cette capacité, le débat ne portera plus sur l’opportunité de la construire. Elle existera, elle sera européenne, elle sera mature, et son fournisseur sera partiellement public. L’argument du « nous ne faisons que suivre le marché » devient alors circulaire, puisque le marché domestique aura été préparé par l’exportation.

Voilà ce que vaut une protection réglementaire dans ce scénario : elle protège les Européens contre les usages, pas contre l’existence des moyens. Elle règle la question de savoir qui a le droit d’appuyer sur le bouton, et laisse l’industrie le construire, le vendre, l’améliorer, puis attendre.

Ce que l’on peut faire, sans se raconter d’histoires

La première réponse évoquée est toujours la randomisation d’adresse MAC. Elle mérite un examen honnête, ni promotion ni dénigrement. Elle est réelle et elle fonctionne.

Android depuis la version 10 et iOS depuis la version 14 randomisent par défaut l’adresse MAC utilisée en Wi-Fi, avec une adresse distincte par réseau. En Bluetooth Low Energy, les appareils modernes diffusent des adresses privées résolvables, qui changent périodiquement et ne peuvent être rattachées à l’appareil réel que par un correspondant détenant la clé de résolution.

Ses limites sont tout aussi réelles.

L’appairage rouvre la porte. La clé de résolution est transmise lors de l’appairage. Un appareil déjà appairé, ou explicitement approuvé, retrouve l’identité stable derrière l’adresse tournante. Le mécanisme est conçu pour cela.
Beaucoup d’objets ne randomisent rien. Capteurs de pression des pneus, badges RFID, puces d’identification animale, autoradios et périphériques bon marché émettent des identifiants fixes. La fiche produit de Leonardo mentionne exactement ces catégories, ce qui n’est pas un hasard.
La randomisation se désactive. Elle se coupe réseau par réseau, et l’est souvent par commodité, pour du filtrage MAC sur un routeur domestique ou par politique d’entreprise.
Le groupe survit à la rotation des identifiants. C’est le point le moins intuitif et le plus important. SignalTrace ne cherche pas un identifiant, il cherche un ensemble d’appareils voyageant ensemble. Si un seul membre du groupe émet un identifiant stable, l’ensemble reste rattachable, quelle que soit la discipline des autres.

La mesure la plus efficace reste la plus ennuyeuse : ne pas émettre. Cela suppose de désactiver Bluetooth et Wi-Fi au niveau du système, dans les réglages, et non depuis le panneau de raccourcis. La distinction n’est pas cosmétique, nous l’avions détaillée dans notre article sur la géolocalisation permanente du téléphone : sur la plupart des systèmes grand public, le bouton du panneau rapide coupe l’appairage visible mais laisse la pile logicielle vivante, et les analyses de proximité continuent. Cet article décrivait le balayage Bluetooth comme un vecteur théorique. SignalTrace en est le produit commercial, catalogué et livrable.

Il faut rester honnête sur le résultat : ces mesures réduisent la surface d’exposition, elles ne l’annulent pas. Un véhicule reste une plaque, et une plaque reste lisible. Le seul moyen de ne rien émettre est de ne rien porter, ce qui n’est pas une politique publique.

Ce que cela dit de nos choix de conception

Chez Arpokrat, c’est ce raisonnement qui nous a conduits à traiter le Bluetooth au niveau du Core d’ArpokratOS plutôt qu’au niveau des réglages. Un interrupteur dans une interface est une préférence utilisateur : une mise à jour, une application système ou un service de localisation peuvent la contourner ou la réactiver, sans que l’utilisateur le sache. Une pile absente ne se réactive pas.

Face à une captation comme celle de SignalTrace, cela ne rend évidemment pas un appareil indétectable, et nous ne le prétendons pas : un téléphone reste sur un réseau mobile, et les autres objets d’un véhicule émettent pour leur propre compte. Ce que cela garantit, c’est qu’un vecteur d’émission précis est absent par construction plutôt que désactivé par confiance. C’est la thèse que nous défendions à propos de la 5G et de l’erreur de cible du droit : la protection juridique se concentre sur l’accès aux données alors qu’elle devrait porter sur l’existence même de l’infrastructure qui les produit. SignalTrace en est l’illustration, à ceci près que cette infrastructure est construite en Europe.

Conclusion

Le plus frappant dans ce dossier n’est pas la capacité technique, que des chercheurs décrivaient depuis des années. C’est la méthode de déploiement.

Il n’y aura pas de nouveau réseau de caméras à inaugurer, pas de délibération municipale à contester, pas de marché public identifiable comme un changement de nature. Il y aura des boîtiers ajoutés à des mâts existants, sous des contrats existants, dans des programmes déjà autorisés. Le jour où le débat public s’ouvrira, l’infrastructure sera installée, amortie et intégrée aux procédures d’enquête. Le débat portera alors sur les conditions d’accès à une base qui existe, jamais sur l’opportunité de l’avoir constituée.

C’est l’ordre habituel des choses en matière de surveillance, et il n’est pas accidentel. Reste à savoir si l’Europe estime avoir quelque chose à dire lorsque ses propres industriels, adossés à ses propres États, construisent cette infrastructure pour d’autres. Le droit européen a soigneusement organisé la réponse à la question de savoir qui peut consulter ces données chez nous. Il n’a jamais posé celle de savoir qui a le droit de fabriquer la machine.

La 5G, la localisation et l'erreur de cible du droit

Tue, 18 Aug 2026 00:00:00 +0000

En 2011, la police de Detroit a demandé à un opérateur mobile l’historique de rattachement du téléphone de Timothy Carpenter. Elle a obtenu 12 898 points de localisation étalés sur 127 jours, environ cent par jour. Sept ans plus tard, la Cour suprême des États-Unis a jugé que cette demande constituait une perquisition et exigeait un mandat.

Ces 12 898 points provenaient d’antennes de quatrième génération, dont chacune couvrait un rayon de plusieurs kilomètres. La même requête, adressée aujourd’hui à un réseau 5G urbain, ne renverrait pas cent points par jour à quelques kilomètres près. Elle renverrait un volume bien supérieur, à quelques dizaines de mètres près.

La technologie a changé d’échelle. Le raisonnement juridique, lui, est resté au même endroit de la chaîne.

Un bien juridique que les juges reconnaissent des deux côtés de l’Atlantique

Il existe un intérêt que presque tout le monde admet et que presque aucun texte ne protège efficacement : le droit de se trouver quelque part sans que ce fait soit enregistré.

La jurisprudence européenne l’a établi sans ambiguïté. Dans Digital Rights Ireland (affaires jointes C-293/12 et C-594/12, 8 avril 2014), puis dans Tele2 Sverige et Watson (affaires jointes C-203/15 et C-698/15, grande chambre, 21 décembre 2016), la Cour de justice de l’Union européenne a jugé que ces données, prises dans leur ensemble, permettent de tirer des conclusions très précises concernant la vie privée des personnes : habitudes de la vie quotidienne, lieux de séjour, déplacements, activités exercées et relations sociales.

La Cour suprême des États-Unis est parvenue à une conclusion voisine dans Carpenter v. United States, 585 U.S. 296 (2018). Elle a insisté sur un point que la doctrine américaine a beaucoup commenté : le caractère inéluctable et automatique de cette collecte. On ne consent pas à être rattaché à une antenne, on l’est parce qu’on possède un téléphone allumé.

Le bien juridique existe donc, et il est reconnu par les deux juridictions qui comptent en la matière. Le problème est ailleurs.

Ce que la 5G a réellement changé

Une confusion courante consiste à traiter la localisation comme une donnée que le téléphone transmet, au même titre qu’un message ou une photo. Ce n’est pas le cas. La localisation est une conséquence physique du fonctionnement du réseau. L’opérateur sait à quelle antenne l’appareil est rattaché parce qu’il doit le savoir pour acheminer un appel. Il n’existe aucune clé permettant de chiffrer cette information, puisqu’il ne s’agit pas d’un contenu mais d’une propriété de la connexion elle-même.

C’est précisément ce qui rend la 5G significative sur le plan juridique, et non sur le plan technique.

Les architectures antérieures reposaient sur des cellules larges. Une antenne 4G dessert couramment un rayon de plusieurs kilomètres, et la position déduite du seul rattachement se comptait en centaines de mètres en ville, parfois en dizaines de kilomètres en zone rurale. La 5G repose sur une densification massive : les cellules urbaines couvrent typiquement quelques centaines de mètres, et la littérature d’ingénierie table sur des densités de l’ordre de quarante à cinquante stations de base au kilomètre carré, contre quatre ou cinq à l’époque de la 3G.

La conséquence est mécanique. Selon le livre blanc d’Ericsson sur le positionnement 5G, l’infrastructure déployée pour la seule connectivité atteint une précision de vingt à cinquante mètres en extérieur et de un à trois mètres en intérieur, et descend sous le mètre en conditions urbaines favorables. Il ne s’agit pas d’une fonction de localisation activée quelque part, mais de ce que le réseau sait par construction, sans qu’aucune application soit installée ni aucune permission accordée. Nous avons détaillé l’ensemble de ces mécanismes, ainsi que les contre-mesures qui fonctionnent réellement, dans notre article sur la géolocalisation permanente du téléphone.

L’intrusion a donc augmenté de plusieurs ordres de grandeur. Le cadre juridique applicable, lui, reste celui pensé pour la 2G et la 3G. Aucune adaptation normative n’a accompagné ce changement d’échelle.

Le droit protège l’accès, pas la génération

Le droit européen encadre soigneusement qui peut accéder aux données de localisation, à quelles conditions et sous quel contrôle. La directive 2002/58/CE pose le principe de confidentialité des communications, et la Cour de justice a jugé, dans La Quadrature du Net (affaires jointes C-511/18, C-512/18 et C-520/18, grande chambre, 6 octobre 2020), que l’article 15, paragraphe 1, de cette directive, lu à la lumière des articles 7, 8, 11 et 52, paragraphe 1, de la Charte, s’oppose à une conservation généralisée et indifférenciée des données de trafic et de localisation à titre préventif. La Cour a toutefois admis des dérogations encadrées lorsqu’un État membre fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, sous réserve d’un contrôle effectif.

Ce sont des protections réelles, et il serait absurde de les minorer. Mais elles interviennent toutes après coup. Elles présupposent que la donnée existe, qu’elle est conservée, et organisent ensuite les conditions de son exploitation.

Or si la localisation est un sous-produit inévitable du fonctionnement du réseau, le point d’intervention pertinent n’est pas la confidentialité. C’est la persistance.

Une position instantanée, nécessaire à l’acheminement d’une communication et effacée aussitôt après, n’est pas un instrument de surveillance. Un historique de positions conservé pendant des mois en est un, quelles que soient les garanties d’accès qui l’entourent.

La différence entre les deux n’est pas juridique, elle est architecturale. Et le calendrier européen rend la question urgente plutôt que théorique. La Commission a retiré la proposition de règlement ePrivacy en 2025, faute d’accord entre colégislateurs. Elle travaille depuis à un instrument distinct sur la conservation des données à des fins pénales, annoncé pour 2026 et destiné à harmoniser des régimes nationaux devenus disparates depuis l’annulation de la directive de 2006. Autrement dit, le texte qui fixera pour une décennie le régime des métadonnées de localisation s’écrit en ce moment, sur la base d’un raisonnement conçu à l’époque des cellules kilométriques.

Le précédent que la 5G a créé elle-même

L’aspect le plus intéressant du dossier est que la bonne réponse figure déjà dans la norme technique, mais appliquée à un autre objet.

Jusqu’à la 4G, l’identifiant permanent de l’abonné, l’IMSI, circulait en clair sur l’interface radio lors de l’attachement. C’est ce qui a rendu possibles les IMSI catchers, ces fausses stations de base qui, selon la description de référence de l’Electronic Frontier Foundation, émettent plus fort que les antennes légitimes pour attirer les terminaux et capter leur identifiant.

Depuis la Release 15 des spécifications 3GPP, publiée en 2019, la 5G apporte une réponse élégante. L’identifiant permanent, désormais appelé SUPI, peut être remplacé sur l’interface radio par le SUCI, un identifiant dissimulé obtenu en chiffrant la partie propre à l’abonné au moyen de la cryptographie sur courbes elliptiques, avec la clé publique de l’opérateur d’origine. Seul le réseau d’origine, qui détient la clé privée correspondante, peut le déchiffrer. Le résultat est unique à chaque calcul, ce qui empêche la corrélation d’une session à l’autre.

La logique retenue mérite d’être soulignée, parce qu’elle est exactement celle qui devrait guider le législateur : on ne chiffre pas la position, ce qui serait techniquement impossible, on chiffre l’identité. Une position dépourvue d’identité rattachable a une valeur très limitée à des fins de surveillance individualisée.

La faille : une protection facultative

Il existe cependant une réserve considérable, et c’est à notre sens le point d’intervention le plus concret de tout le dossier.

Le livre blanc NIST CSWP 36A, publié en mars 2026 par le National Institute of Standards and Technology, l’énonce sans détour. Les terminaux et les fonctions réseau conformes à la Release 15 ou postérieure sont tenus de prendre en charge le SUCI, mais son activation reste facultative pour l’opérateur. Trois conditions doivent être réunies : l’équipementier doit le supporter, l’opérateur doit l’activer sur son réseau, et la carte SIM doit porter les éléments nécessaires au calcul.

S’y ajoute un piège de configuration. La norme prévoit un schéma de protection nul, dans lequel le format SUCI est formellement employé mais sans chiffrement effectif, si bien que l’identifiant circule en clair. Le NIST écrit qu’il est nécessaire que l’opérateur configure son réseau avec un schéma de protection non nul, et rappelle qu’un rapport du CSRIC, l’organe consultatif de la Federal Communications Commission, recommandait dès 2021 de réserver le schéma nul aux seuls appels d’urgence émis par un terminal inconnu du réseau.

La formulation vaut d’être posée telle quelle. La meilleure protection disponible contre le suivi des terminaux mobiles existe dans la norme technique depuis 2019. Elle repose sur un choix de configuration laissé à la discrétion de l’opérateur. Une agence fédérale américaine juge utile de publier un document en 2026 pour rappeler qu’il faudrait l’activer. Et aucun instrument juridique européen ne l’impose.

Il faut ajouter que le SUCI ne clôt pas le sujet. Les travaux présentés sous le titre 5G SUCI-catchers: still catching them all? documentent des attaques de liaison permettant de recorréler des sessions malgré le chiffrement, et la protection tombe entièrement si l’attaquant force le terminal à basculer vers une génération antérieure. Une obligation juridique ne réglerait donc pas tout. Elle supprimerait néanmoins un écart qui n’a aucune justification défendable : celui entre ce que la norme permet et ce que les réseaux commerciaux font.

Trois interventions cohérentes

Si l’on prend au sérieux l’idée que la localisation doit être minimisée par conception plutôt que protégée après coup, trois mesures s’imposent logiquement.

Rendre obligatoire la dissimulation effective de l’identifiant. Imposer l’activation du SUCI et interdire les schémas de protection nuls sur les réseaux commerciaux, hors le cas résiduel des appels d’urgence. Il ne s’agit pas de prescrire une technologie nouvelle, ni de financer un déploiement, mais d’exiger l’activation d’une fonction normalisée depuis sept ans et déjà présente dans les équipements.
Traiter la conservation comme l’exception, non comme le défaut. La position nécessaire à l’acheminement d’une communication devrait être effacée dès cette fonction accomplie. La constitution d’un historique devrait appeler une justification spécifique. C’est la différence entre un réseau qui sait où vous êtes et un réseau qui se souvient où vous avez été.
Faire de la garde de la clé le facteur de rattachement pertinent. La localisation des serveurs dans l’Union ne signifie pas grand-chose si les clés permettant de rendre les données intelligibles se trouvent ailleurs. Le critère juridiquement significatif devrait être la maîtrise effective des moyens de déchiffrement, question que nous avons examinée en détail à propos du conflit entre Data Act et CLOUD Act.

L’angle que suit Arpokrat

Ce raisonnement n’est pas propre au droit des télécommunications. C’est celui que nous appliquons à nos propres choix d’architecture, et il tient en une phrase : ce qui n’a pas été produit n’a pas besoin d’être protégé.

C’est la raison pour laquelle ArpokratOS retire le GPS, le Bluetooth et le NFC au niveau du noyau plutôt que de les désactiver dans un menu. Un interrupteur est une politique : il peut être contourné par un composant privilégié, réactivé par une mise à jour, ignoré par un système compromis. Retirer le chemin de code supprime la question. C’est la transposition, à l’échelle d’un appareil, du même déplacement que nous appelons de nos vœux à l’échelle du droit : intervenir sur la génération plutôt que sur l’accès.

Il faut dire aussitôt ce que cela ne fait pas. Aucun système d’exploitation ne soustrait un terminal à la géométrie du réseau. Tant qu’une carte SIM est active, l’opérateur connaît la cellule de rattachement, et le routage intégral du trafic par Tor n’y change rien, puisqu’il protège le contenu et la destination, pas la couche radio. C’est justement pour cette raison que le sujet est juridique. Il existe une catégorie de risques qu’aucune configuration individuelle ne réduit, et pour laquelle la seule variable disponible est la règle applicable à l’opérateur.

Le même souci gouverne le reste de notre travail. Une donnée qui n’existe pas ne peut être ni réquisitionnée, ni revendue, ni exfiltrée, ni déchiffrée dans dix ans par une machine dont personne ne dispose aujourd’hui, question que nous avons traitée sous l’angle du chiffrement récolté maintenant et cassé plus tard.

Conclusion

Le débat public sur la surveillance mobile se concentre presque exclusivement sur l’accès : qui peut consulter les données, sur quel fondement, avec quelle autorisation. Ce débat est légitime, et les décisions rendues depuis 2014 par la Cour de justice ont produit des effets tangibles. Mais il intervient trop tard dans la chaîne.

La question antérieure, et plus déterminante, est de savoir si l’historique doit exister. Une base constituée aujourd’hui pour un motif légitime reste disponible demain pour un autre, et les garanties qui l’entourent dépendent de décisions politiques ultérieures que personne ne maîtrise au moment de la collecte. C’est un pari sur la stabilité des institutions, formulé pour une durée que nul ne fixe.

La 5G a multiplié la résolution de cette information sans qu’aucune adaptation normative n’intervienne. Elle a simultanément démontré, par le mécanisme du SUCI, que la voie praticable consiste à dissocier la position de l’identité plutôt qu’à tenter de chiffrer une propriété physique du réseau. La norme technique a fourni la réponse sept ans avant que le droit ne pose la question.

Le texte européen sur la conservation des données s’écrit maintenant. Il portera sur les métadonnées, donc sur la localisation, donc sur ce que la 5G produit désormais avec une finesse que ses rédacteurs n’ont pas connue. Savoir s’il se contentera d’organiser l’accès à un historique tenu pour acquis, ou s’il ose interroger la nécessité de cet historique, est probablement la question de vie privée la plus importante des prochaines années en Europe. Et c’est une question que le secteur technique, pour une fois, a déjà tranchée dans le bon sens.

Sources

Cour de justice de l’Union européenne, Digital Rights Ireland, affaires jointes C-293/12 et C-594/12, 8 avril 2014
Cour de justice de l’Union européenne, Tele2 Sverige et Watson, affaires jointes C-203/15 et C-698/15, grande chambre, 21 décembre 2016
Cour de justice de l’Union européenne, La Quadrature du Net e.a., affaires jointes C-511/18, C-512/18 et C-520/18, grande chambre, 6 octobre 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, mars 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

La géolocalisation permanente : comment votre téléphone vous suit même quand vous croyez l'avoir empêché

Sun, 02 Aug 2026 00:00:00 +0000

En 2024, deux chercheurs de l’université du Maryland ont interrogé de façon répétée le service de positionnement Wi-Fi d’Apple, sans privilège particulier ni matériel spécialisé, et reconstitué en un an la position précise de plus de deux milliards de points d’accès Wi-Fi dans le monde. Leur article, Surveilling the Masses with Wi-Fi-Based Positioning Systems, montre ce que cette carte permet : suivre du matériel entrant et sortant d’Ukraine, observer le déplacement des populations après les incendies de Maui, pister un individu par l’intermédiaire de sa box internet.

Aucun de ces appareils n’avait activé le GPS. La position venait d’ailleurs.

C’est le point aveugle le plus répandu en matière de vie privée mobile : la conviction qu’il existe un interrupteur de localisation, et qu’une fois coupé, le téléphone cesse de savoir où il est. Cette conviction est fausse à sept niveaux différents.

La localisation n’est pas une fonctionnalité que votre téléphone active. C’est une propriété de ce qu’il est.

Le GPS, ou le vecteur le moins problématique

Le seul mécanisme que tout le monde identifie est aussi celui qui devrait vous inquiéter le moins.

Le GNSS, terme générique qui regroupe le GPS américain, Galileo, GLONASS et BeiDou, fonctionne par écoute. Les satellites émettent en continu des signaux horodatés, le récepteur en capte plusieurs et calcule sa position à partir des différences de temps de propagation. Précision courante en extérieur dégagé : trois à cinq mètres, souvent plusieurs dizaines de mètres en ville, où les façades réfléchissent les signaux.

Le point décisif est que ce calcul est passif. Le téléphone n’émet rien vers les satellites, aucun opérateur satellitaire ne sait que vous existez. Si le GNSS était seul en jeu, couper le GPS suffirait.

Une nuance existe cependant. Pour accélérer le premier calcul, les téléphones utilisent l’A-GPS : ils téléchargent les éphémérides satellitaires depuis un serveur, via le protocole SUPL. Pour obtenir les bonnes données, le téléphone transmet à ce serveur l’identifiant de la cellule réseau à laquelle il est rattaché. Le GNSS pur ne vous trahit pas, mais l’accélérateur qu’on lui a greffé, si.

Le réseau mobile : ce que l’opérateur sait par construction

Pour qu’un appel puisse vous parvenir, le réseau doit savoir dans quelle zone vous êtes. Ce n’est pas une option activable, c’est la condition d’existence du service. Votre téléphone se signale en permanence à l’antenne la plus proche, et cet enregistrement laisse une trace côté opérateur. Aucune application installée, aucune permission accordée : une carte SIM active suffit.

La précision dépend de la méthode :

Identifiant de cellule seul : de 200 mètres en urbain dense à plus de 30 kilomètres en zone rurale, où une antenne couvre un très large rayon.
Cell ID enrichi, qui ajoute le secteur d’antenne (la plupart des sites sont divisés en trois secteurs de 120 degrés) et la puissance du signal : de 100 mètres à quelques kilomètres.
Timing advance, qui mesure le délai aller-retour entre le téléphone et l’antenne : de l’ordre de 550 mètres en GSM, autour de 78 mètres en LTE.
Multilatération sur trois antennes ou plus : 50 à 300 mètres en LTE urbain.

La 5G change l’échelle pour deux raisons cumulatives. La densité d’abord : les cellules 5G couvrent des rayons beaucoup plus courts, donc le simple rattachement est déjà une information fine. La normalisation ensuite : depuis la Release 16, le 3GPP intègre des signaux de positionnement natifs. Les objectifs commerciaux visent moins de 3 mètres en intérieur et moins de 10 mètres en extérieur pour 80 % des terminaux, et la Release 18 descend au centimètre pour certains usages industriels.

L’infrastructure qui vous connecte devient donc un système de positionnement de qualité comparable au GPS, sans que vous ayez rien activé. Cette donnée est conservée selon des règles nationales et accessible aux autorités selon des procédures variables. C’est le même débat de fond que celui traité à propos de la juridiction applicable aux données hébergées : protection technique et protection juridique ne se recouvrent pas.

Le Wi-Fi : une carte du monde faite d’adresses matérielles

Chaque point d’accès Wi-Fi diffuse en permanence un identifiant matériel unique, le BSSID. Ces identifiants sont fixes et géographiquement stables : une box internet reste des années au même endroit.

Apple, Google et quelques acteurs spécialisés maintiennent des bases associant chaque BSSID à des coordonnées, constituées par les téléphones de leurs utilisateurs, qui remontent la liste des bornes visibles en même temps qu’une position GNSS. L’opération s’inverse ensuite : un téléphone qui voit quatre bornes connues n’a plus besoin du moindre satellite. En zone urbaine dense, la précision atteint couramment quelques dizaines de mètres, et descend en dessous en intérieur.

Deux propriétés rendent ce mécanisme difficile à neutraliser. D’abord, le téléphone scanne même lorsque le Wi-Fi paraît désactivé : depuis Android 4.3, le système conserve un balayage périodique destiné à améliorer la localisation, indépendamment de l’interrupteur du panneau rapide. Ce comportement dépend d’un réglage distinct, enfoui dans les services de localisation, que la quasi-totalité des utilisateurs n’a jamais ouvert.

Ensuite, la base est interrogeable de l’extérieur. C’est la faille exploitée par Rye et Levin : les interfaces de positionnement renvoient non seulement la position demandée mais aussi celle de bornes voisines, ce qui permet de moissonner la carte sans jamais s’approcher physiquement des lieux.

Bluetooth et BLE : localisé par les téléphones des autres

Le Bluetooth Low Energy ajoute une couche de proximité, d’une portée de quelques mètres à quelques dizaines de mètres, donc d’une granularité bien plus fine que le réseau mobile. Deux usages coexistent. Les balises commerciales, déployées en magasin, en aéroport ou en centre commercial, émettent un identifiant que les applications présentes sur le téléphone reconnaissent, ce qui révèle devant quel rayon vous vous êtes arrêté et combien de temps. Et les réseaux de localisation collaboratifs, dont Find My d’Apple est le modèle, repris depuis par Google et Samsung.

Ce second mécanisme inverse une hypothèse implicite. L’analyse de référence, Who Can Find My Devices?, publiée dans les actes de PETS 2021 par des chercheurs de l’université technique de Darmstadt, a reconstitué le protocole d’Apple par rétro-ingénierie. Un appareil hors ligne émet un signal BLE, n’importe quel appareil Apple à proximité le capte, y adjoint sa propre position et la transmet chiffrée aux serveurs d’Apple, à l’insu de son porteur comme du porteur de l’appareil localisé.

La conséquence est structurelle : un appareil sans carte SIM, sans Wi-Fi, sans connexion réseau d’aucune sorte reste localisable, pourvu qu’un inconnu passe à proximité avec un téléphone dans la poche. Votre isolement ne dépend plus de vos réglages, mais de ceux des passants.

Les capteurs inertiels : localiser sans permission de localisation

Un téléphone contient un accéléromètre, un gyroscope, un magnétomètre et souvent un baromètre. Ces capteurs relèvent d’une catégorie de permissions distincte de la localisation : une application peut les lire sans avoir jamais demandé où vous êtes.

Des chercheurs de Princeton l’ont démontré avec PinMe. Leur application part de l’adresse IP et du fuseau horaire pour une position grossière, puis lit les capteurs : l’accéléromètre donne le profil d’accélération et de freinage, le gyroscope la séquence des virages, le magnétomètre le cap, le baromètre les variations d’altitude. Un réseau de neurones identifie le mode de transport, marche, voiture, train ou avion, et le trajet est recalé sur des données publiques de cartographie, d’altimétrie et de météo. Résultat : une trajectoire d’une précision comparable au GPS, sans permission de localisation. La méthode a ses limites, que les auteurs documentent, puisqu’elle échoue dans les zones sans routes et se dégrade sur les plans quadrillés uniformes, où de nombreux trajets produisent la même signature. Elle reste la démonstration qu’une permission refusée n’est pas une porte fermée.

Le baromètre apporte en outre la dimension que le GNSS traite mal, la verticale. Les exigences américaines pour les appels d’urgence imposent une précision d’étage à plus ou moins 3 mètres pour 80 % des appels en intérieur. Savoir à quel étage se trouve quelqu’un est d’une autre nature que savoir dans quel pâté de maisons il est.

Le marché de la donnée : le vecteur le plus banal

Les mécanismes précédents décrivent comment une position est calculée. Reste à savoir où elle part, et c’est là que se joue l’essentiel du risque quotidien.

Des milliers d’applications intègrent des SDK publicitaires, briques logicielles fournies par des tiers qu’un développeur ajoute pour monétiser son travail ou mesurer son audience. Ces briques héritent des permissions de l’application hôte : une application météo qui a légitimement besoin de votre position la transmet à des acteurs dont vous n’avez jamais lu le nom. S’y ajoutent les flux d’enchères publicitaires, où votre position approximative est diffusée à des dizaines d’acheteurs potentiels à chaque affichage de bannière, y compris à ceux qui n’achètent rien et se contentent d’écouter.

Cette matière alimente une industrie. L’Electronic Frontier Foundation a documenté le cas de Fog Data Science, qui revendiquait des milliards de points de données sur plus de 250 millions d’appareils, vendus à des polices locales américaines. Brian Krebs a décrit Locate X, un produit permettant de tracer un polygone sur une carte et de visualiser l’historique des appareils entrés et sortis de cette zone.

Ce vecteur n’exige aucune prouesse technique, seulement que quelqu’un accepte de payer. Le prix est modeste.

Les IMSI catchers : la localisation active

Les mécanismes vus jusqu’ici exploitent un fonctionnement normal. Il existe aussi une localisation active, menée par un tiers qui intervient sur le réseau.

Un IMSI catcher, ou simulateur de cellule, est un équipement qui se fait passer pour une antenne légitime. Les téléphones à portée s’y rattachent, révélant leur identifiant d’abonné et leur présence dans un périmètre restreint.

La 5G était censée fermer cette porte en remplaçant l’identifiant permanent en clair par un identifiant chiffré, le SUCI. La fermeture est partielle. Les travaux présentés sous le titre 5G SUCI-catchers: still catching them all? documentent des attaques de liaison permettant de recorréler des sessions malgré le chiffrement. Surtout, la protection tombe entièrement si l’attaquant force le terminal à basculer vers une génération antérieure, le 2G en particulier, dont l’authentification est unilatérale. Un téléphone 5G reste vulnérable à une attaque conçue pour un réseau des années 1990, parce qu’il accepte encore d’y descendre.

Les contre-mesures, et leur efficacité réelle

Chaque mesure ci-dessous fait quelque chose. Aucune ne fait tout, et l’écart entre ce qu’elles font et ce qu’on leur prête produit les mauvaises décisions.

Le mode avion

Le mode avion coupe l’émission du modem cellulaire, du Wi-Fi et du Bluetooth. C’est réel, et c’est le meilleur résultat pour un effort aussi faible.

Ce qu’il ne fait pas : il n’arrête pas les capteurs inertiels, ne supprime pas les positions déjà mises en cache, qui partiront à la reconnexion, et permet sur la plupart des appareils de réactiver le Wi-Fi ou le Bluetooth séparément sans le quitter. C’est enfin un état logiciel, pas une coupure d’alimentation : sa fiabilité dépend de l’intégrité du système qui l’applique.

Un détail sous-estimé : le détachement puis le rattachement au réseau sont eux-mêmes des événements horodatés côté opérateur. Un téléphone qui disparaît à 21 h dans une cellule et réapparaît à 23 h dans une autre a produit une information, pas un silence.

La randomisation d’adresse MAC

Les systèmes mobiles émettent aujourd’hui des adresses MAC aléatoires lors des balayages, pour empêcher le suivi d’un lieu à l’autre. L’intention est bonne, le résultat incomplet. Les travaux de référence, dont Why MAC Address Randomization is not Enough, montrent que le contenu des trames de découverte suffit souvent à réidentifier l’appareil : le nombre d’éléments d’information, leurs valeurs et leur ordre forment une empreinte. S’y ajoutent les numéros de séquence, incrémentaux et donc chaînables, et la signature temporelle propre à chaque modèle. Certaines études rapportent un suivi correct de la moitié des appareils sur au moins vingt minutes.

Limite conceptuelle enfin : la randomisation ne concerne que la phase de découverte. Dès que vous vous connectez à un réseau, l’adresse utilisée est stable pour ce réseau, par conception, afin que la connexion fonctionne. Le café où vous allez chaque matin vous reconnaît.

Couper vraiment les scans

C’est le réglage le plus rentable et le plus ignoré. Sur Android, la recherche Wi-Fi et la recherche Bluetooth sont deux options distinctes, situées dans les services de localisation, indépendantes des interrupteurs du panneau rapide. Tant qu’elles sont actives, éteindre le Wi-Fi depuis le panneau ne suffit pas : le balayage continue.

Les désactiver supprime une couche entière de collecte, sans autre coût qu’un premier calcul de position un peu plus lent. Pour la plupart des lecteurs, c’est le meilleur rapport entre l’effort consenti et le résultat obtenu.

Les permissions applicatives

Révoquer la permission de localisation aux applications qui n’en ont manifestement pas besoin reste utile, et les systèmes récents offrent trois graduations : l’autorisation ponctuelle, l’autorisation limitée à l’usage actif, et la localisation approximative, qui ne transmet qu’une zone de l’ordre du kilomètre.

Cela ne protège en revanche ni des SDK hébergés par une application ayant une raison légitime d’accéder à votre position, ni des capteurs inertiels, ni des couches réseau, qui ne passent par aucune permission.

Ce que le VPN ne protège pas

Point à clarifier, parce que la croyance inverse est très répandue : un VPN ne masque pas votre position. Il masque votre adresse IP publique, donc il fausse la géolocalisation par IP, qui est de toute façon le mécanisme le plus grossier de la liste.

Un VPN ne touche ni au récepteur GNSS, ni au balayage Wi-Fi, ni au Bluetooth, ni aux capteurs. Il ne change rien à ce que sait votre opérateur, puisque le tunnel chiffré transite par ses antennes et que le rattachement cellulaire lui reste visible. Il n’empêche pas une application disposant de la permission de localisation de transmettre des coordonnées exactes à l’intérieur du tunnel. Le VPN protège le contenu et la destination de vos communications sur un réseau non fiable, et c’est déjà beaucoup. La localisation n’est pas dans son périmètre.

Les limites physiques

Une pochette de Faraday fonctionne au sens propre : elle bloque émissions et réceptions. Le retrait de la batterie aussi, quand il est encore possible. L’appareil dédié, ou le fait de laisser son téléphone ailleurs, reste la mesure la plus robuste.

Ces solutions partagent un défaut qu’il faut regarder en face : elles produisent une anomalie. Un téléphone qui se tait deux heures chaque mardi soir dit quelque chose. Contre un adversaire qui analyse des schémas plutôt que des positions instantanées, l’absence est une donnée.

Trois adversaires, trois stratégies

C’est la distinction la plus importante de cet article, et celle qu’on lit le moins souvent.

Contre un annonceur ou un courtier en données, le combat est gagnable. Discipline de permissions, désactivation des balayages, système sans services de localisation propriétaires, réinitialisation de l’identifiant publicitaire : l’ensemble réduit très fortement le volume collecté. Cet adversaire cherche du volume à bas coût, pas votre cas particulier.

Contre votre opérateur, aucune configuration ne suffit. La localisation cellulaire est la condition du service. Les seules variables réelles sont juridiques, ce que la loi autorise à conserver et à transmettre, et matérielles : quel appareil, quelle carte SIM, à quel nom, allumé où.

Contre un adversaire étatique ciblé, le raisonnement change encore, puisqu’il combine l’accès légal aux données de l’opérateur, la localisation active par simulateur de cellule, la réquisition auprès des plateformes et, le cas échéant, la compromission du terminal. Les contre-mesures logicielles réduisent la surface, mais l’objectif réaliste n’est pas la disparition : c’est de savoir précisément ce qui reste exposé.

L’approche d’ArpokratOS

ArpokratOS répond à ce paysage par un choix qui découle de la distinction ci-dessus : ce qui doit être neutralisé l’est au niveau du système, pas dans un menu.

Sur le GNSS, le pilote matériel est retiré. L’appareil se comporte comme si la puce n’existait pas, pour les applications comme pour le système lui-même. La différence avec un interrupteur de réglages n’est pas cosmétique. Un interrupteur est une politique : il est appliqué par une couche qui peut être contournée par un composant suffisamment privilégié, réactivée par une mise à jour, ou ignorée par un système compromis. Retirer le chemin de code supprime la question, puisqu’il n’y a plus rien à activer.

Le Bluetooth est traité au niveau Core, avec la même logique. Un Bluetooth désactivé dans les réglages laisse en pratique la pile logicielle vivante sur beaucoup d’appareils, pour alimenter les services de proximité et les réseaux de localisation collaboratifs. Absent au niveau système, il ne peut ni dialoguer avec une balise de magasin, ni participer à un réseau de type Find My, ni servir de surface d’attaque sans interaction.

Il faut dire clairement ce que cela ne fait pas. ArpokratOS ne rend pas un téléphone indétectable. Tant qu’une carte SIM est active, l’opérateur connaît la cellule de rattachement, et aucun système d’exploitation ne change cela, pas même avec l’intégralité du trafic acheminée par Tor. Le routage protège le contenu et la destination, pas la géométrie radio. Quiconque promet l’invisibilité vend une histoire.

Ce qu’une telle architecture apporte est plus modeste : la suppression des couches applicatives et de proximité, par lesquelles passe la très grande majorité de la collecte réelle, et un modèle de menace explicite sur ce qui subsiste. C’est le raisonnement appliqué au choix d’un système de bureau, détaillé dans notre comparatif des systèmes d’exploitation : la question utile n’est pas de savoir si un outil protège, mais de quoi il protège et à quel prix.

Conclusion

Cet article ne fournit pas de méthode pour disparaître. Cette méthode n’existe pas, et les textes qui prétendent le contraire produisent surtout de la fausse confiance, plus dangereuse que l’absence de protection parce qu’elle fait prendre des risques.

L’objectif était de remplacer une question binaire, suis-je localisable ou non, par une question utile : par qui, avec quelle précision, à quel coût pour eux, et est-ce que cela m’importe. La réponse diffère pour un journaliste protégeant une source, un dirigeant en déplacement dans une juridiction sensible, un avocat dont les rendez-vous révèlent une stratégie, ou un particulier agacé qu’un annonceur connaisse ses habitudes.

Ce qui devrait retenir l’attention n’est d’ailleurs pas la performance de chacun de ces mécanismes pris isolément, mais le fait qu’ils se recoupent. Une position à cinquante mètres près n’est pas très intéressante. Une position à cinquante mètres près, tous les quarts d’heure, pendant deux ans, dessine un domicile, un lieu de travail, une confession, un état de santé, une liaison, une source. La donnée de localisation est la métadonnée qui rend toutes les autres lisibles, et c’est pour cette raison qu’elle vaut cher.

Sources

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense