בשנת 2024 שני חוקרים מאוניברסיטת מרילנד תשאלו שוב ושוב את שירות מיקום ה-Wi-Fi של אפל, בלי שום הרשאה מיוחדת ובלי חומרה ייעודית, ובתוך שנה שחזרו את המיקום המדויק של יותר משני מיליארד נקודות גישה אלחוטיות ברחבי העולם. המאמר שלהם, Surveilling the Masses with Wi-Fi-Based Positioning Systems , מראה מה המפה הזו מאפשרת: לעקוב אחר ציוד שנכנס לאוקראינה ויוצא ממנה, לצפות בתנועת האוכלוסייה לאחר השרפות במאווי, לאתר אדם דרך הנתב הביתי שלו.
באף אחד מהמכשירים האלה לא הופעל GPS. המיקום הגיע ממקום אחר.
זהו הנקודה העיוורת הנפוצה ביותר בכל הנוגע לפרטיות בנייד: האמונה שקיים מתג מיקום, ושברגע שהוא כבוי הטלפון מפסיק לדעת היכן הוא נמצא. האמונה הזו שגויה בשבעה מישורים שונים.
מיקום אינו תכונה שהטלפון שלכם מפעיל. הוא תכונה של עצם היותו טלפון.
ה-GPS, או הערוץ הפחות בעייתי
המנגנון היחיד שכולם יודעים לנקוב בשמו הוא גם זה שאמור להדאיג אתכם הכי מעט.
GNSS, המונח הכולל שמאגד את ה-GPS האמריקאי, גלילאו, גלונאס ובאידו, פועל בהאזנה. הלוויינים משדרים ברציפות אותות עם חותמת זמן, המקלט קולט כמה מהם ומחשב את מיקומו מהפרשי זמני ההגעה. דיוק מקובל בשטח פתוח: שלושה עד חמישה מטרים, ולעיתים קרובות עשרות מטרים בעיר, שם החזיתות מחזירות את האותות.
הנקודה המכרעת היא שהחישוב הזה סביל. הטלפון אינו משדר דבר לעבר הלוויינים, ואף מפעיל לווייני אינו יודע על קיומכם. אילו היה מדובר ב-GNSS בלבד, כיבוי ה-GPS היה מספיק.
ובכל זאת יש ניואנס. כדי לזרז את החישוב הראשון, טלפונים משתמשים ב-A-GPS: הם מורידים משרת את נתוני מסלולי הלוויינים, באמצעות פרוטוקול SUPL . כדי לקבל את הנתונים הנכונים, הטלפון מוסר לאותו שרת את מזהה תא הרשת שאליו הוא מחובר. ה-GNSS הטהור אינו מסגיר אתכם, אבל המאיץ שהורכב עליו כן.
הרשת הסלולרית: מה שהמפעיל יודע מעצם המבנה
כדי ששיחה תוכל להגיע אליכם, הרשת חייבת לדעת באיזה אזור אתם נמצאים. זו אינה אפשרות שניתן להפעיל, אלא תנאי לעצם קיומו של השירות. הטלפון שלכם מדווח על עצמו ברציפות לאנטנה הקרובה ביותר, והרישום הזה מותיר עקבות אצל המפעיל. בלי שום אפליקציה מותקנת, בלי שום הרשאה שניתנה: כרטיס SIM פעיל מספיק.
הדיוק תלוי בשיטה:
- מזהה תא בלבד: מ-200 מטר באזור עירוני צפוף ועד יותר מ-30 קילומטרים באזור כפרי, שם אנטנה אחת מכסה רדיוס רחב מאוד.
- Cell ID מועשר, שמוסיף את מגזר האנטנה (רוב האתרים מחולקים לשלושה מגזרים של 120 מעלות) ואת עוצמת האות: מ-100 מטר עד כמה קילומטרים.
- Timing advance, שמודד את זמן ההלוך ושוב בין הטלפון לאנטנה: בסדר גודל של 550 מטר ב-GSM, וכ-78 מטר ב-LTE.
- ריבוי מדידות משלוש אנטנות ומעלה: 50 עד 300 מטר ב-LTE עירוני.
5G משנה את סדר הגודל משתי סיבות מצטברות. ראשית הצפיפות: תאי 5G מכסים רדיוסים קצרים בהרבה, ולכן עצם ההתחברות היא כבר מידע מדויק. שנית התקינה: החל מ-Release 16 משלב ה-3GPP אותות מיקום מובנים. היעדים המסחריים מכוונים לפחות מ-3 מטרים בתוך מבנים ולפחות מ-10 מטרים בחוץ עבור 80 % מהמכשירים, ו-Release 18 יורד עד רמת הסנטימטר בחלק מהשימושים התעשייתיים.
וכך התשתית שמחברת אתכם הופכת למערכת מיקום באיכות דומה ל-GPS, בלי שהפעלתם דבר. הנתונים האלה נשמרים לפי כללים לאומיים ונגישים לרשויות בהליכים משתנים. זה אותו ויכוח יסודי שנדון בהקשר של תחולת הדין על נתונים מאוחסנים : הגנה טכנית והגנה משפטית אינן חופפות.
ה-Wi-Fi: מפת עולם עשויה כתובות חומרה
כל נקודת גישה אלחוטית משדרת ברציפות מזהה חומרה ייחודי, ה-BSSID. המזהים האלה קבועים ויציבים גיאוגרפית: נתב ביתי נשאר שנים באותו מקום.
אפל, גוגל וכמה שחקנים מתמחים מתחזקים מאגרים שמשייכים לכל BSSID קואורדינטות, ואלה נבנים בידי הטלפונים של המשתמשים שלהם עצמם, שמדווחים את רשימת הנקודות הנראות יחד עם מיקום GNSS. לאחר מכן הפעולה מתהפכת: טלפון שרואה ארבע נקודות מוכרות כבר אינו זקוק ולו ללוויין אחד. באזור עירוני צפוף הדיוק מגיע בדרך כלל לכמה עשרות מטרים, ויורד מתחת לכך בתוך מבנים.
שתי תכונות מקשות על נטרול המנגנון הזה. ראשית, הטלפון סורק גם כאשר ה-Wi-Fi נראה מכובה: החל מאנדרואיד 4.3 המערכת שומרת על סריקה מחזורית שנועדה לשפר את איתור המיקום, ללא תלות במתג שבלוח ההגדרות המהיר. ההתנהגות הזו תלויה בהגדרה נפרדת, קבורה עמוק בשירותי המיקום, שכמעט אף משתמש מעולם לא פתח.
שנית, אפשר לתשאל את המאגר מבחוץ. זהו הפרצה שריי ולוין ניצלו: ממשקי המיקום מחזירים לא רק את המיקום המבוקש אלא גם את מיקומן של נקודות סמוכות, מה שמאפשר לקצור את המפה בלי להתקרב פיזית לאותם מקומות אף פעם.
בלוטות’ ו-BLE: מאותרים בידי הטלפונים של אחרים
Bluetooth Low Energy מוסיף שכבת קרבה, בטווח של כמה מטרים עד כמה עשרות מטרים, כלומר ברזולוציה עדינה בהרבה מזו של הרשת הסלולרית. שני שימושים מתקיימים זה לצד זה. משדרי איתור מסחריים, הפרוסים בחנויות, בשדות תעופה או בקניונים, משדרים מזהה שאפליקציות בטלפון מזהות, וכך מתגלה לפני איזה מדף עצרתם ולכמה זמן. ולצידם רשתות איתור שיתופיות, שה-Find My של אפל הוא המודל שלהן, ומאז אומץ גם בידי גוגל וסמסונג.
המנגנון השני הופך הנחה סמויה. הניתוח המכונן Who Can Find My Devices? , שפורסם בקובץ המאמרים של PETS 2021 בידי חוקרים מהאוניברסיטה הטכנית של דרמשטדט, שחזר את הפרוטוקול של אפל בהנדסה לאחור. מכשיר לא מקוון משדר אות BLE, כל מכשיר אפל בקרבת מקום קולט אותו, מצרף לו את מיקומו שלו ומעביר אותו מוצפן לשרתי אפל, בלי ידיעתו של המחזיק בו ובלי ידיעתו של המחזיק במכשיר המאותר.
התוצאה מבנית: מכשיר בלי כרטיס SIM, בלי Wi-Fi, בלי שום חיבור רשת נשאר בר-איתור, ובלבד שאדם זר יחלוף בקרבתו עם טלפון בכיס. הבידוד שלכם כבר אינו תלוי בהגדרות שלכם, אלא בהגדרות של העוברים ושבים.
חיישני התמד: לאתר בלי הרשאת מיקום
טלפון מכיל מד תאוצה, ג’ירוסקופ, מגנטומטר ולעיתים קרובות גם ברומטר. החיישנים האלה משתייכים לקטגוריית הרשאות נפרדת מזו של המיקום: אפליקציה יכולה לקרוא אותם בלי שביקשה מעולם לדעת היכן אתם.
חוקרים מפרינסטון הוכיחו זאת באמצעות PinMe . האפליקציה שלהם יוצאת מכתובת ה-IP ומאזור הזמן לקבלת מיקום גס, ואז קוראת את החיישנים: מד התאוצה מספק את פרופיל ההאצה והבלימה, הג’ירוסקופ את רצף הפניות, המגנטומטר את הכיוון, והברומטר את שינויי הגובה. רשת נוירונים מזהה את אמצעי התחבורה, הליכה, רכב, רכבת או מטוס, והמסלול מוצמד לנתונים ציבוריים של מיפוי, טופוגרפיה ומזג אוויר. התוצאה: מסלול בדיוק דומה ל-GPS, בלי הרשאת מיקום. לשיטה יש מגבלות, שהמחברים מתעדים, שכן היא נכשלת באזורים ללא כבישים ומידרדרת בתוכניות רשת אחידות, שבהן מסלולים רבים מייצרים אותה חתימה. היא נותרת ההוכחה לכך שהרשאה שנדחתה אינה דלת סגורה.
הברומטר מוסיף גם את הממד שה-GNSS מתקשה איתו, הממד האנכי. הדרישות האמריקאיות לשיחות חירום מחייבות דיוק ברמת הקומה של פלוס מינוס 3 מטרים ב-80 % מהשיחות מתוך מבנים. לדעת באיזו קומה נמצא אדם הוא דבר שונה במהותו מלדעת באיזה מקבץ בניינים הוא נמצא.
שוק הנתונים: הערוץ הבנאלי מכולם
המנגנונים הקודמים מתארים כיצד מחושב מיקום. נותר לדעת לאן הוא הולך, ושם מוכרע עיקר הסיכון היומיומי.
אלפי אפליקציות משלבות ערכות פיתוח פרסומיות (SDK), רכיבי תוכנה של צד שלישי שמפתח מוסיף כדי להפיק הכנסה מעבודתו או למדוד את קהלו. הרכיבים האלה יורשים את הרשאות האפליקציה המארחת: אפליקציית מזג אוויר שזקוקה למיקומכם מסיבה לגיטימית מעבירה אותו לגורמים ששמם מעולם לא נקרא בעיניכם. לכך מתווספים זרמי מכרזי הפרסום, שבהם המיקום המשוער שלכם מופץ לעשרות קונים פוטנציאליים בכל הצגה של באנר, כולל לאלה שאינם קונים דבר ומסתפקים בהאזנה.
חומר הגלם הזה מזין תעשייה שלמה. ארגון Electronic Frontier Foundation תיעד את המקרה של Fog Data Science , שטענה למיליארדי נקודות נתונים על יותר מ-250 מיליון מכשירים, שנמכרו למשטרות מקומיות בארצות הברית. בריאן קרבס תיאר את Locate X , מוצר שמאפשר לשרטט מצולע על מפה ולצפות בהיסטוריית המכשירים שנכנסו לאזור ויצאו ממנו.
הערוץ הזה אינו דורש שום הישג טכני, אלא רק שמישהו יסכים לשלם. המחיר צנוע.
מלכודות IMSI: איתור פעיל
המנגנונים שנסקרו עד כה מנצלים תפקוד תקין. קיים גם איתור פעיל, שמבצע צד שלישי המתערב ברשת.
מלכודת IMSI, או סימולטור תא, היא ציוד שמתחזה לאנטנה לגיטימית. טלפונים בטווח מתחברים אליה, וחושפים בכך את מזהה המנוי שלהם ואת נוכחותם בתחום מצומצם.
ה-5G היה אמור לסגור את הדלת הזו, בהחליפו את המזהה הקבוע הגלוי במזהה מוצפן, ה-SUCI. הסגירה חלקית. העבודות שהוצגו תחת הכותרת 5G SUCI-catchers: still catching them all? מתעדות התקפות קישור שמאפשרות לקשור מחדש הפעלות חרף ההצפנה. ובעיקר, ההגנה קורסת כליל אם התוקף מאלץ את המכשיר לרדת לדור קודם, ובמיוחד ל-2G, שהאימות בו חד-כיווני. טלפון 5G נותר פגיע להתקפה שתוכננה עבור רשת משנות התשעים, משום שהוא עדיין מסכים לרדת אליה.
אמצעי הנגד ויעילותם האמיתית
כל אחד מהאמצעים שלהלן עושה משהו. אף אחד מהם אינו עושה הכול, והפער בין מה שהם עושים ובין מה שמייחסים להם הוא שמייצר את ההחלטות הגרועות.
מצב טיסה
מצב טיסה מנתק את השידור של המודם הסלולרי, של ה-Wi-Fi ושל הבלוטות’. זו השפעה אמיתית, וזו התוצאה הטובה ביותר תמורת מאמץ כה קטן.
מה שהוא אינו עושה: הוא אינו עוצר את חיישני ההתמד, אינו מוחק מיקומים ששמורים כבר במטמון ושייצאו עם החיבור מחדש, ובמרבית המכשירים הוא מאפשר להפעיל מחדש את ה-Wi-Fi או את הבלוטות’ בנפרד בלי לצאת ממנו. ולבסוף, זהו מצב תוכנתי ולא ניתוק חשמל: אמינותו תלויה בשלמות המערכת שאוכפת אותו.
פרט שממעיטים בערכו: ההתנתקות מהרשת וההתחברות מחדש אליה הן כשלעצמן אירועים עם חותמת זמן אצל המפעיל. טלפון שנעלם ב-21:00 בתא אחד ומופיע מחדש ב-23:00 בתא אחר ייצר מידע, לא שתיקה.
אקראיות של כתובת MAC
מערכות ניידות משדרות היום כתובות MAC אקראיות בעת סריקות, כדי למנוע מעקב ממקום למקום. הכוונה טובה, התוצאה חלקית. העבודות המכוננות, ובהן Why MAC Address Randomization is not Enough , מראות שתוכן מסגרות הגילוי מספיק פעמים רבות כדי לזהות מחדש את המכשיר: מספר רכיבי המידע, ערכיהם וסדרם יוצרים טביעת אצבע. לכך נוספים מספרי הרצף, שהם עולים ולכן ניתנים לשרשור, והחתימה הזמנית הייחודית לכל דגם. מחקרים מסוימים מדווחים על מעקב נכון אחר מחצית המכשירים במשך עשרים דקות לפחות.
ולבסוף מגבלה עקרונית: האקראיות נוגעת רק לשלב הגילוי. ברגע שאתם מתחברים לרשת, הכתובת שבשימוש יציבה עבור אותה רשת, מעצם התכנון, כדי שהחיבור יעבוד. בית הקפה שאליו אתם הולכים כל בוקר מזהה אתכם.
לכבות באמת את הסריקות
זו ההגדרה המשתלמת ביותר וגם המוזנחת ביותר. באנדרואיד, חיפוש Wi-Fi וחיפוש בלוטות’ הם שתי אפשרויות נפרדות, הממוקמות בשירותי המיקום, ובלתי תלויות במתגים של הלוח המהיר. כל עוד הן פעילות, כיבוי ה-Wi-Fi מהלוח אינו מספיק: הסריקה נמשכת.
כיבוין מסלק שכבת איסוף שלמה, בלי מחיר אחר מלבד חישוב מיקום ראשון איטי מעט יותר. עבור רוב הקוראים, זה היחס הטוב ביותר בין המאמץ שהושקע לתוצאה שהושגה.
הרשאות אפליקציות
שלילת הרשאת המיקום מאפליקציות שברור שאינן זקוקות לה נותרת מועילה, והמערכות העדכניות מציעות שלוש דרגות: אישור חד-פעמי, אישור המוגבל לשימוש פעיל, ומיקום מקורב, שמעביר רק אזור בסדר גודל של קילומטר.
לעומת זאת, זה אינו מגן מפני ערכות SDK שמתארחות באפליקציה שיש לה סיבה לגיטימית לגשת למיקומכם, ולא מפני חיישני ההתמד, ולא מפני שכבות הרשת, שאינן עוברות דרך שום הרשאה.
ממה ה-VPN אינו מגן
נקודה שראוי להבהיר, משום שהאמונה ההפוכה נפוצה מאוד: VPN אינו מסתיר את מיקומכם. הוא מסתיר את כתובת ה-IP הציבורית שלכם, ולכן מטעה את איתור המיקום לפי IP, שהוא ממילא המנגנון הגס ביותר ברשימה.
VPN אינו נוגע לא במקלט ה-GNSS, לא בסריקת ה-Wi-Fi, לא בבלוטות’ ולא בחיישנים. הוא אינו משנה דבר במה שהמפעיל שלכם יודע, שכן המנהרה המוצפנת עוברת דרך האנטנות שלו וההתחברות לתא נשארת גלויה לו. הוא אינו מונע מאפליקציה בעלת הרשאת מיקום לשדר קואורדינטות מדויקות בתוך המנהרה. ה-VPN מגן על התוכן ועל היעד של התקשורת שלכם ברשת שאינה אמינה, וזה כבר הרבה. המיקום אינו בתחום אחריותו.
המגבלות הפיזיות
נרתיק פאראדיי עובד במובן המילולי: הוא חוסם שידור וקליטה. גם הוצאת הסוללה, במקומות שבהם הדבר עדיין אפשרי. מכשיר ייעודי, או פשוט להשאיר את הטלפון במקום אחר, נותר האמצעי החסין ביותר.
לפתרונות האלה יש חיסרון משותף שיש להביט בו בפנים: הם מייצרים חריגה. טלפון ששותק שעתיים בכל יום שלישי בערב אומר משהו. מול יריב שמנתח דפוסים במקום מיקומים רגעיים, ההיעדרות עצמה היא נתון.
שלושה יריבים, שלוש אסטרטגיות
זו ההבחנה החשובה ביותר במאמר הזה, וזו שקוראים עליה הכי פחות.
מול מפרסם או סוחר נתונים, אפשר לנצח בקרב. משמעת בהרשאות, כיבוי הסריקות, מערכת בלי שירותי מיקום קנייניים, איפוס מזהה הפרסום: כל אלה יחד מפחיתים מאוד את הנפח הנאסף. היריב הזה מחפש נפח בזול, לא את המקרה הפרטי שלכם.
מול המפעיל שלכם, שום תצורה אינה מספיקה. איתור סלולרי הוא תנאי לשירות. המשתנים האמיתיים היחידים הם משפטיים, כלומר מה שהחוק מתיר לשמור ולהעביר, וחומריים: איזה מכשיר, איזה כרטיס SIM, על שם מי, ומופעל היכן.
מול יריב מדינתי ממוקד, ההיגיון משתנה שוב, שכן הוא משלב גישה חוקית לנתוני המפעיל, איתור פעיל באמצעות סימולטור תא, דרישות מהפלטפורמות ובמידת הצורך גם פריצה למכשיר עצמו. אמצעי נגד תוכנתיים מצמצמים את המשטח, אבל המטרה הריאלית אינה היעלמות: היא לדעת בדיוק מה נותר חשוף.
הגישה של ArpokratOS
ArpokratOS משיב לנוף הזה בבחירה שנגזרת מההבחנה שלעיל: מה שצריך לנטרל מנוטרל ברמת המערכת, לא בתפריט.
בכל הנוגע ל-GNSS, מנהל ההתקן החומרתי מוסר. המכשיר מתנהג כאילו השבב אינו קיים, הן עבור האפליקציות והן עבור המערכת עצמה. ההבדל ממתג בהגדרות אינו קוסמטי. מתג הוא מדיניות: אוכפת אותו שכבה שרכיב בעל הרשאות מספיקות יכול לעקוף, שעדכון יכול להפעיל מחדש, ושמערכת שנפרצה יכולה להתעלם ממנה. הסרת נתיב הקוד מבטלת את השאלה, שכן כבר אין מה להפעיל.
הבלוטות’ מטופל ברמת ה-Core, באותו היגיון. בלוטות’ שכובה בהגדרות משאיר בפועל במכשירים רבים את מחסנית התוכנה חיה, כדי להזין שירותי קרבה ורשתות איתור שיתופיות. כשהוא נעדר ברמת המערכת, הוא אינו יכול לתקשר עם משדר בחנות, אינו יכול להשתתף ברשת מסוג Find My, ואינו יכול לשמש משטח תקיפה ללא אינטראקציה.
צריך לומר בבירור מה זה אינו עושה. ArpokratOS אינו הופך טלפון לבלתי ניתן לגילוי. כל עוד כרטיס SIM פעיל, המפעיל יודע לאיזה תא אתם מחוברים, ושום מערכת הפעלה אינה משנה זאת, גם לא כשכל התעבורה מנותבת דרך Tor. הניתוב מגן על התוכן ועל היעד, לא על הגאומטריה של הרדיו. מי שמבטיח חוסר נראות מוכר סיפור.
מה שארכיטקטורה כזו מספקת צנוע יותר: סילוק שכבות היישום והקרבה, שדרכן עובר הרוב המכריע של האיסוף בפועל, ומודל איומים מפורש לגבי מה שנותר. זהו אותו היגיון שהוחל על בחירת מערכת שולחנית, שפורט אצלנו בהשוואת מערכות ההפעלה : השאלה המועילה אינה אם כלי מגן, אלא ממה הוא מגן ובאיזה מחיר.
סיכום
המאמר הזה אינו מספק שיטה להיעלם. השיטה הזו אינה קיימת, והטקסטים שמתיימרים לטעון אחרת מייצרים בעיקר ביטחון כוזב, מסוכן יותר מהיעדר הגנה משום שהוא גורם לאנשים ליטול סיכונים.
המטרה הייתה להחליף שאלה בינארית, האם אפשר לאתר אותי או לא, בשאלה מועילה: על ידי מי, באיזה דיוק, במחיר איזה מאמץ מצידם, והאם זה משנה לי. התשובה שונה עבור עיתונאי שמגן על מקור, עבור מנהל שנוסע לתחום שיפוט רגיש, עבור עורך דין שפגישותיו חושפות אסטרטגיה, או עבור אדם פרטי שמתעצבן על כך שמפרסם מכיר את הרגליו.
מה שראוי לתשומת לב אינו דווקא ביצועיו של כל אחד מהמנגנונים האלה בנפרד, אלא העובדה שהם חופפים זה לזה. מיקום בדיוק של חמישים מטר אינו מעניין במיוחד. מיקום בדיוק של חמישים מטר, בכל רבע שעה, במשך שנתיים, משרטט מגורים, מקום עבודה, אמונה דתית, מצב בריאותי, רומן, מקור עיתונאי. נתון המיקום הוא המטא-נתון שהופך את כל השאר לקריאים, ומשום כך הוא שווה כסף רב.
מקורות
- Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
- Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
- Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
- Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
- Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
- 5G NR Positioning Enhancements in 3GPP Release-18
- Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
- Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
- Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense