רשתות סלולריות on Arpokrat

אימות דו-שלבי ב-SMS כבר לא מגן על כלום: במה להשתמש במקומו

Tue, 08 Sep 2026 00:00:00 +0000

ב-9 בינואר 2024 הודיע חשבון ה-X הרשמי של רשות ניירות ערך האמריקאית (SEC), הרגולטור של השווקים הפיננסיים, על אישור קרנות הסל על ביטקוין, החלטה שהשוק חיכה לה חודשים. תוך דקות ספורות עלה הביטקוין ביותר מ-1,000 דולר ליחידה. אחר כך הכחישה הרשות: החשבון נפרץ. השער ירד בחזרה ביותר מ-2,000 דולר.

מה שהופך את המקרה למלמד אינו עוצמת התנועה בשוק, אלא הפשטות של האמצעי. לפי ההודעה של משרד המשפטים האמריקאי, אריק קאונסיל ג’וניור, בן 26, הדפיס תעודת זהות מזויפת במדפסת כרטיסים ניידת, נכנס לחנות של AT&T ושכנע עובד להעביר את מספר הטלפון המשויך לחשבון לכרטיס SIM שבשליטתו. לאחר מכן קיבל ב-SMS את קודי איפוס הסיסמה והעביר אותם לשותפיו. ב-16 במאי 2025 הוא נידון ל-14 חודשי מאסר.

נדרשת הבהרה אחת, שמשנה את קריאת המקרה בלי להחליש את הלקח שבו. לפי ההודעה הרשמית של הרשות, האימות הרב-שלבי בחשבון הזה בוטל ביולי 2023, לבקשת הצוות עצמו. כלומר, בעת האירוע ה-SMS לא שימש כגורם שני אלא כערוץ שחזור. וזה בדיוק מה שהופך את הדוגמה למועילה: גורם שני או דלת אחורית, מספר הטלפון נשאר הנקודה שבה השרשרת נשברת.

מה הגורם השני אמור להבטיח

העיקרון נכנס למשפט אחד. סיסמה לבדה היא משהו שאתה יודע; אליה מתווסף משהו שברשותך (טלפון, מפתח פיזי) או משהו שאתה (טביעת אצבע). מי שגונב את הסיסמה שלך מדליפת נתונים לא מחזיק בכך גם בחפץ הפיזי שלך.

ההיגיון הזה נשען על הנחה שכמעט לעולם אינה נאמרת: שהגורם השני באמת קשור לחפץ שברשותך, ושהצגתו מוכיחה משהו על המקום שבו אתה מתחבר. ה-SMS נכשל בשתי הנקודות.

SMS אינו גורם החזקה

קבלת קוד ב-SMS אינה מוכיחה שברשותך מכשיר, אלא שמספר טלפון, שהוקצה בידי מפעיל ושאותו מפעיל יכול לשנות, מצביע על מכשיר כלשהו. זה לא אותו דבר. שלושה מסלולים מנצלים את הפער הזה, והם אינם נסגרים באותה דרך.

החלפת SIM

זו התקיפה שבמקרה של הרשות, והיא אינה נשענת על שום פרצה טכנית. התוקף אוסף מידע אישי על היעד, לרוב זמין ממילא בדליפות פומביות, ואז פונה למפעיל בהתחזות לאותו אדם: הטלפון אבד, אנא העבירו את המספר ל-SIM חדש. אם הוא משכנע, או אם עובד משתף פעולה, המספר עובר ידיים וכל המסרונים מגיעים אליו. הדוח השנתי של IC3 לשנת 2024, מרכז התלונות של ה-FBI, מונה באותה שנה בלבד 982 דיווחים על החלפת SIM וקרוב ל-26 מיליון דולר הפסדים מדווחים, וזאת בהתחשב רק בקורבנות שהגישו תלונה. שום עדכון תוכנה אינו סוגר את המסלול הזה: הוא אינו מכוון אל תוכנה אלא אל תהליך עסקי שמפעילים בני אדם.

יירוט דרך SS7

Signaling System 7 הוא הפרוטוקול שמאפשר לרשתות הטלפון בעולם לדבר זו עם זו: לנתב שיחה, לנהל נדידה, למסור מסרון ממפעיל אחד לאחר. הוא תוכנן ב-1975, כשמועדון המפעילים היה סגור ומצומצם וכל אחד ראה את האחרים כראויים לאמון מעצם המבנה. לכן אין בו שום אימות מובנה בין רשתות: בקשה שנראית לגיטימית מטופלת כלגיטימית.

זו אינה חולשה תיאורטית. בדצמבר 2014 הדגימו אותה החוקרים הגרמנים טוביאס אנגל וקרסטן נול בפומבי בכנס Chaos Communication Congress: איתור מנוי ויירוט המסרונים שלו על סמך מספר הטלפון בלבד. ב-2017 אושר ניצול ממשי: המפעיל הגרמני O2-Telefónica הודה שחשבונות בנק של לקוחות רוקנו, לאחר שהתוקפים השיגו גישה לרשת של מפעיל זר והגדירו הפניית מסרונים כדי ללכוד את קודי האישור הבנקאיים.

פישינג בזמן אמת

המסלול השלישי הוא החשוב ביותר, משום שאינו תלוי בשום פרצה בתחום התקשורת ושורד כל מה שאפשר היה לתקן בשני הקודמים.

אתר מזויף מחקה בצורה מושלמת את דף ההתחברות של שירות כלשהו. אתה מקליד בו שם משתמש וסיסמה, והאתר המזויף מעביר אותם מיד לאמיתי, שמפעיל שליחת מסרון לטלפון שלך. המסרון אכן מגיע אליך, והוא אותנטי. אתה מקליד את הקוד באתר המזויף, וזה מעביר אותו בתורו תוך שניות. הפגישה נפתחת, ומי שמחזיק בה הוא התוקף.

קוראים לזה תקיפת adversary-in-the-middle. היא מתועשת: כלים כמו Evilginx, שרת פרוקסי הפוך שהופיע ב-2017, או ערכות הנמכרות במנוי חודשי, הופכים אותה לנגישה בלי שום מיומנות מיוחדת. ואגב, מה שנגנב אינו רק הקוד אלא עוגיית הפגישה, שמאפשרת אחר כך להישאר מחובר בלי לעבור שוב שום אימות.

העניין הוא ארכיטקטוני. הקוד שנשלח ב-SMS אינו נושא שום מידע על האתר שביקש אותו. לכן הוא אינו יכול להבחין בין האמיתי למזויף: הוא תקף בכל מקום שבו יוקלד.

זו כבר לא דעה, זו עמדה רשמית

הטיעון החזק ביותר נגד ה-SMS אינו מגיע מספקי פתרונות אלא מהמוסדות שכותבים את התקנים.

ביולי 2025 פרסם ה-NIST האמריקאי את הגרסה הסופית של SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. המסמך יוצר קטגוריה מפורשת של אמצעי אימות מוגבלים, השמורה למנגנונים שיכולת העמידה שלהם נשחקה עם התפתחות האיומים. סעיף 3.1.3.3 משייך לשם את השימוש ברשת הטלפון הציבורית, כלומר קודים הנשלחים ב-SMS או בשיחה קולית: «Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.» למעשה, שירות שעדיין נשען על כך חייב להציע חלופה לא מוגבלת, ליידע את משתמשיו בסיכון ולהחזיק בתוכנית מעבר.

בדצמבר 2024 פרסמה CISA, סוכנות הסייבר האמריקאית, את Mobile Communications Best Practice Guidance, בעקבות מבצע הריגול Salt Typhoon שבמסגרתו חדרו גורמים הקשורים למדינה הסינית לכמה מפעילי תקשורת אמריקאים. הניסוח אינו מותיר מקום לפרשנות: «Do not use SMS as a second factor for authentication. SMS messages are not encrypted», ובהמשך, בלי עקיפות: «Only FIDO authentication is phishing-resistant.» המסמך ממליץ במפורש על מפתחות חומרה מסוג FIDO, ומזכיר בשמם את Yubico ואת Google Titan, ומבהיר שלאחר הפעלת FIDO יש לבטל את ה-SMS, שאם לא כן הוא נותר כמסלול גיבוי הניתן לניצול.

אפליקציות אימות: התקדמות אמיתית, פתרון חלקי

אפליקציות TOTP, ראשי תיבות של Time-based One-Time Password, מייצרות קוד בן שש ספרות המתחלף כל שלושים שניות, ומחושב מקומית מתוך סוד משותף שנקבע בעת ההפעלה ומתוך השעה הנוכחית. שום דבר אינו עובר ברשת הטלפון.

הרווח מיידי: החלפת SIM מאבדת כל אפקט מפני שהמספר כבר אינו מעורב, וכך גם היירוט דרך SS7 מפני שאין שום הודעה שמועברת. המעבר לאפליקציית אימות שווה ביצוע בכל חשבון שאינו יכול להתקדם מעבר לכך.

אבל המסלול השלישי נשאר שלם. קוד TOTP שהוקלד באתר מזויף מועבר לאתר האמיתי בדיוק כמו קוד SMS. האפליקציה אינה יודעת היכן אתה מתחבר: היא מציגה מספר, והמספר הזה תקף אצל כל מי שיציג אותו בתוך חלון שלושים השניות שלו. CISA אומרת זאת באותן מילים: קודי אימות טובים יותר מ-SMS אך נותרים חשופים לפישינג.

TOTP הוא שלב ביניים כן, לא יעד.

מדוע מפתח FIDO2 משנה את טבע הבעיה

מפתח חומרה מסוג FIDO2/WebAuthn אינו מסתפק בהקשיית התקיפה, הוא שולל ממנה את האפשרות המכנית.

בעת הרישום לשירות מייצר המפתח זוג מפתחות הצפנה ייעודי לאותו שירות. החלק הציבורי עובר לשירות, החלק הפרטי אינו יוצא לעולם מן השבב ואינו ניתן לייצוא ולא לקריאה. אין סוד משותף שניתן להעתקה, ואין קוד בן שש ספרות שניתן ליירוט.

לאחר מכן מגיע המנגנון המכריע, הקשירה למקור. בעת ההתחברות מעביר הדפדפן למפתח את שם התחום האמיתי של הדף המוצג. המידע הזה נכלל בנתונים הנחתמים, והדפדפן כופה אותו: ה-JavaScript של הדף אינו יכול לשנותו ואינו יכול לזייפו.

מפתח FIDO2 אינו הופך את הפישינג לקשה יותר להצלחה. הוא הופך את תוצאת הפישינג לחסרת שימוש.

נשוב אל תקיפת adversary-in-the-middle, הפעם עם מפתח. האתר המזויף מושלם, הקורבן אינו מבחין בדבר ונוגע במפתח שלו. הדפדפן מעביר את התחום האמיתי של הדף, כלומר את זה של אתר ההונאה. המפתח מגלה שאין שום זוג עבור התחום הזה, או חותם עבורו ומייצר חתימה שהשירות האמיתי ידחה. בשני המקרים התוקף אינו מקבל דבר בר-ניצול.

כאן נמצא ההבדל המהותי. עם SMS או TOTP, האבטחה נשענת בסופו של דבר על ערנות המשתמש, על יכולתו לזהות תחום מזויף בשורת הכתובת, ברגע שבו הוא ממהר והדף נראה רגיל. עם FIDO2 את הבדיקה הזו עושה מכונה, בכל פעם, בלי להיות תלויה בתשומת לב של אף אחד. העברת האחריות הזו חשובה יותר מן החוזק ההצפנתי.

האפקט נמדד. גוגל חייבה את עובדיה במפתחות בתחילת 2017 והצהירה ב-2018 שלא נרשמה אף פריצה לחשבון בקרב יותר מ-85,000 איש.

המגבלות האמיתיות של מפתחות החומרה

להציג אותם כמושלמים יהיה לא כן, וגם חסר תועלת לקראת ההחלטות האמיתיות.

העלות קיימת. הביאו בחשבון 25 עד 60 יורו לפי הדגם, יותר בגרסאות הביומטריות, וכפלו בשניים.

אובדן מפתח הוא הסיכון האמיתי. מפתח יחיד בחשבון קריטי הוא שגיאת תכנון. דרושים שניים רשומים בכל חשבון חשוב, אחד מהם שמור במקום אחר, אצל אדם קרוב או בכספת. השני אינו נוחות, הוא מה שמאפשר להשתמש בראשון בלי חשש.

הכיסוי חלקי. שירותים רבים, ובעיקר בנקאיים באירופה, עדיין אינם תומכים ב-FIDO2, ומכאן סדר העדיפויות שלהלן.

מפתח עלול להיגנב. מכאן הצורך להגדיר קוד PIN על המפתח, או לבחור דגם עם טביעת אצבע: בלי זה, החפץ לבדו מספיק למי שמרים אותו.

מסלול הגיבוי נותר החוליה החלשה. הפעלת FIDO2 בלי לבטל את ה-SMS אינה מגנה על דבר: התוקף פשוט הולך בדרך שנשארה פתוחה. המעבר מסתיים רק כשהמנגנון הישן נמחק מן החשבון, כולל אפשרויות השחזור.

בכל הנוגע לחומרה, סדרת YubiKey מכסה את קשת הפרוטוקולים הרחבה ביותר, מפתחות Google Titan זולים יותר ומוגבלים ל-FIDO, Nitrokey ו-SoloKeys מציעים חלופות עם קושחה פתוחה הניתנת לביקורת, ו-Token2 מייצרת דגמים עם לוח ספרות מובנה שבהם ה-PIN מוקלד על המפתח עצמו ולא על המקלדת. אין בחירה גרועה בין המפתחות המאושרים ל-FIDO2: הפרוטוקול זהה, ורק השימושים הנלווים שונים.

מהיכן להתחיל כשאי אפשר לשנות הכול

סדר המעבר אינו עניין של העדפה, הוא נובע מן התלויות בין החשבונות שלך.

תיבת הדואר הראשית קודם. היא מקבלת את קישורי האיפוס של כמעט כל השאר. תוקף ששולט בה משתלט על שאר החשבונות אחד אחד, בלי לתקוף אף אחד מהם ישירות. שום דבר אינו ראוי להיות מאובטח לפניה.
מנהל הסיסמאות. הוא מרכז את הגורם הראשון של כל הגישות שלך, ולכן ההגנה עליו חייבת להשתוות לזו של החשבון המוגן ביותר שהוא מכיל. זה הרגע לבדוק את איכות הסיסמה הראשית, נושא שפירטנו במאמר על אנטרופיה והמדע שמאחורי האבטחה שלך.
חשבונות פיננסיים ופלטפורמות קריפטו. מטרות בעלות ערך מיידי, שבהן פריצה הופכת תוך דקות להפסד בלתי הפיך.
חשבונות רשת עם קהל. מקרה הרשות ממחיש כמה שווה מילה של חשבון שעוקבים אחריו, והנזק אינו תמיד נגרם לבעליו.
השאר יכול לחכות, עם אפליקציית TOTP במקום SMS. פורום או שירות סטרימינג אינם מצדיקים את אותו מאמץ.

לחשבונות שעדיין אינם תומכים ב-FIDO2: לעבור ל-TOTP בכל מקום אפשרי, ולבקש מן המפעיל נעילת ניוד של המספר שלך, אפשרות חינמית אצל רובם.

מה זה אומר על הגישה של Arpokrat

הכתבה הזו מתארת בעיה שקיימת רק משום שמזהה מסוים הוצב במרכז המערכת. מספר הטלפון מעולם לא נועד לשמש הוכחת זהות: הוא הפך לעמוד השדרה של האימות המקוון מתוך הרגל, ושלוש התקיפות שתוארו לעיל מנצלות כולן את הסטת השימוש הזו.

זהו ההיגיון שהנחה את תכנון הפרוטוקול של Arpokrat Messenger: בלי מספר טלפון, בלי כתובת דוא"ל, בלי חשבון. המשתמש קיים כאוסף מפתחות הצפנה השמורים במכשירו שלו, והקשר נוצר באמצעות קישורי הזמנה לשימוש חד-פעמי. ההיגיון הוא זה של FIDO2, בדרגה אחת גבוהה יותר: מה שאינו מוחזק בידי צד שלישי אי אפשר להוציא ממנו, לא בהנדסה חברתית נגד מפעיל ולא בצו. את העקביות הזו עם ארכיטקטורת Zero-Knowledge אנו מפתחים במאמר על לאסוף עכשיו, לפענח אחר כך.

מפתח חומרה שחותם בלי לחשוף אף פעם את סודו הוא, אגב, גם אופן הפעולה של ארנק קריפטו לא מקוון, כפי שפירטנו במדריך המלא לארנק קר: לשמור את החלק הסודי בחפץ ייעודי, ולהוציא החוצה חתימה בלבד.

סיכום

אימות דו-שלבי ב-SMS לא תוכנן רע. כשהתפשט, בתחילת שנות ה-2010, הוא היווה התקדמות ניכרת ביחס לסיסמה לבדה, ולזכותו עמדה התכונה היחידה שחשובה בקנה מידה גדול: לכולם כבר היה טלפון.

הבעיה אינה בהמצאתו אלא בהישרדותו. ההדגמות של SS7 הן מ-2014, הניצול הבנקאי הממשי מ-2017, תיעוש הפישינג בזמן אמת מסוף אותו עשור. CISA כתבה שלא להשתמש בו עוד ב-2024, ה-NIST עיגן את ההגבלה ב-2025. כעשור מפריד בין הרגע שבו הפרצות הפכו לניתנות לניצול בקנה מידה רחב ובין הרגע שבו המוסדות העלו זאת על הכתב. וה-SMS נותר הגורם השני שברירת המחדל ברוב השירותים לקהל הרחב.

הפער הזה הוא המידע האמיתי שבכתבה. מנגנוני אבטחה אינם נעלמים כשהם מפסיקים לעבוד, אלא כשמשהו פשוט באותה מידה בא במקומם, וזה לוקח הרבה יותר זמן. השאלה, אפוא, אינה אם עליך לנטוש את ה-SMS, זה הוכרע לפני שנים. השאלה היא אילו הגנות אחרות שאתה רואה כמובנות מאליהן נמצאות כבר, בלי שאיש כתב זאת עדיין, באותו מצב בדיוק.

מקורות

משרד המשפטים של ארצות הברית, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 במאי 2025
רשות ניירות ערך, SECGov X Account, הודעה רשמית מ-22 בינואר 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, גרסה סופית מיולי 2025
CISA, Mobile Communications Best Practice Guidance, 18 בדצמבר 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, הדגמה של טוביאס אנגל וקרסטן נול, דצמבר 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, מאי 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, יולי 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, מפרט WebAuthn

5G, נתוני מיקום והמטרה השגויה של המשפט

Tue, 18 Aug 2026 00:00:00 +0000

בשנת 2011 ביקשה משטרת דטרויט מחברת סלולר את היסטוריית ההתחברות של הטלפון של טימותי קרפנטר לאנטנות. היא קיבלה 12,898 נקודות מיקום שנפרסו על פני 127 ימים, כמאה ליום. שבע שנים לאחר מכן קבע בית המשפט העליון של ארצות הברית שבקשה כזו מהווה חיפוש ומחייבת צו.

אותן 12,898 נקודות הגיעו מאנטנות של הדור הרביעי, שכל אחת מהן כיסתה רדיוס של כמה קילומטרים. אותה בקשה עצמה, אילו הופנתה היום לרשת 5G עירונית, לא הייתה מחזירה מאה נקודות ביום בדיוק של כמה קילומטרים. היא הייתה מחזירה נפח גדול בהרבה, בדיוק של כמה עשרות מטרים.

הטכנולוגיה החליפה סדר גודל. החשיבה המשפטית נותרה באותה נקודה בשרשרת.

אינטרס מוגן ששופטים משני עברי האוקיינוס מכירים בו

יש אינטרס שכמעט כולם מודים בקיומו וכמעט שום הוראה אינה מגנה עליו ביעילות: הזכות להימצא במקום כלשהו בלי שהעובדה הזו תתועד.

הפסיקה האירופית קבעה זאת באופן חד־משמעי. בפרשת Digital Rights Ireland (תיקים מאוחדים C-293/12 ו-C-594/12, 8 באפריל 2014), ולאחר מכן בפרשת Tele2 Sverige ו-Watson (תיקים מאוחדים C-203/15 ו-C-698/15, המותב המורחב, 21 בדצמבר 2016), קבע בית הדין של האיחוד האירופי שנתונים אלה, בהצטברותם, מאפשרים להסיק מסקנות מדויקות מאוד על חייהם הפרטיים של אנשים: הרגלי היום־יום, מקומות שהייה, תנועות, פעילויות ויחסים חברתיים.

בית המשפט העליון של ארצות הברית הגיע למסקנה קרובה בפרשת Carpenter v. United States, 585 U.S. 296 (2018). הוא הדגיש נקודה שהספרות האמריקאית דנה בה רבות: האופי הבלתי נמנע והאוטומטי של האיסוף. איש אינו מסכים להיות מחובר לאנטנה; הוא מחובר משום שיש בידיו טלפון דלוק.

האינטרס המוגן קיים אפוא, ושני בתי המשפט שיש להם משקל בתחום מכירים בו. הבעיה נמצאת במקום אחר.

מה ה-5G באמת שינה

בלבול נפוץ הוא לראות במיקום נתון שהטלפון משדר, בדיוק כמו הודעה או תמונה. זה אינו המצב. המיקום הוא תוצאה פיזיקלית של אופן פעולת הרשת. המפעילה יודעת לאיזו אנטנה המכשיר מחובר משום שהיא חייבת לדעת זאת כדי לנתב שיחה. אין שום מפתח שבאמצעותו אפשר להצפין את המידע הזה, שכן אין מדובר בתוכן אלא בתכונה של החיבור עצמו.

זה בדיוק מה שהופך את ה-5G למשמעותי במישור המשפטי ולא במישור הטכני.

הארכיטקטורות הקודמות נשענו על תאים רחבים. אנטנת 4G משרתת בדרך כלל רדיוס של כמה קילומטרים, והמיקום שנגזר מעצם ההתחברות נמדד במאות מטרים בעיר, ולעתים בעשרות קילומטרים באזור כפרי. ה-5G נשען על ציפוף מסיבי: תאים עירוניים מכסים בדרך כלל כמה מאות מטרים, וספרות ההנדסה מדברת על צפיפות של ארבעים עד חמישים תחנות בסיס לקילומטר רבוע, לעומת ארבע או חמש בימי ה-3G.

התוצאה מכנית. על פי הנייר הלבן של אריקסון על מיקום ב-5G, התשתית שנפרסה לצורכי קישוריות בלבד מגיעה לדיוק של עשרים עד חמישים מטרים בחוץ ושל מטר עד שלושה מטרים בפנים, ויורדת אל מתחת למטר בתנאים עירוניים נוחים. אין זו פונקציית מיקום שהופעלה אי־שם, אלא מה שהרשת יודעת מעצם מבנֶהָ, בלי שהותקנה אפליקציה ובלי שניתנה הרשאה. פירטנו את כל המנגנונים הללו, וגם את אמצעי הנגד שבאמת עובדים, במאמרנו על איתור המיקום המתמיד של הטלפון.

הפגיעה גדלה אפוא בכמה סדרי גודל. המסגרת המשפטית החלה נותרה זו שנועדה ל-2G ול-3G. שום התאמה נורמטיבית לא ליוותה את שינוי סדר הגודל.

המשפט מגן על הגישה, לא על ההיווצרות

המשפט האירופי מסדיר בקפידה מי רשאי לגשת לנתוני מיקום, באילו תנאים ותחת איזו בקרה. הוראה 2002/58/EC קובעת את עקרון חיסיון התקשורת, ובית הדין קבע בפרשת La Quadrature du Net (תיקים מאוחדים C-511/18, C-512/18 ו-C-520/18, המותב המורחב, 6 באוקטובר 2020) שסעיף 15(1) להוראה זו, בקריאה לאור סעיפים 7, 8, 11 ו-52(1) לאמנה, מונע שמירה כללית ובלתי מבחינה של נתוני תעבורה ומיקום כאמצעי מניעה. עם זאת בית הדין התיר חריגים מתוחמים כאשר מדינה חברה ניצבת מול איום חמור על הביטחון הלאומי המתברר כממשי ועכשווי או צפוי, בכפוף לביקורת אפקטיבית.

אלה הגנות אמיתיות, ויהיה זה מגוחך להמעיט בהן. אך כולן מתערבות בדיעבד. הן מניחות שהנתון קיים, שהוא נשמר, ורק אז מסדירות את תנאי השימוש בו.

אלא שאם המיקום הוא תוצר לוואי בלתי נמנע של פעולת הרשת, נקודת ההתערבות הנכונה אינה החיסיון. היא ההתמדה בזמן.

מיקום רגעי, הדרוש לניתוב תקשורת ונמחק מיד לאחר מכן, אינו כלי מעקב. היסטוריית מיקומים הנשמרת חודשים היא כלי כזה, יהיו אשר יהיו ערובות הגישה העוטפות אותה.

ההבדל בין השניים אינו משפטי אלא ארכיטקטוני. ולוח הזמנים האירופי הופך את השאלה לדחופה ולא לתיאורטית. הנציבות משכה את הצעת תקנת ה-ePrivacy ב-2025, בהיעדר הסכמה בין המחוקקים השותפים. מאז היא עובדת על מכשיר נפרד בעניין שמירת נתונים לצרכים פליליים, שהוכרז לשנת 2026 ונועד להאחיד משטרים לאומיים שהתפצלו מאז ביטול ההוראה משנת 2006. במילים אחרות, הטקסט שיקבע לעשור את משטר מטא־נתוני המיקום נכתב ברגע זה, על יסוד חשיבה שגובשה בעידן התאים הקילומטריים.

התקדים שה-5G יצר בעצמו

ההיבט המעניין ביותר בתיק הוא שהתשובה הנכונה כבר מופיעה בתקן הטכני, אלא שהיא מיושמת על אובייקט אחר.

עד ה-4G, המזהה הקבוע של המנוי, ה-IMSI, עבר בגלוי בממשק הרדיו בעת ההתחברות. זה מה שאפשר את לוכדי ה-IMSI, אותן תחנות בסיס מזויפות אשר, לפי התיאור המקובל של קרן החזית האלקטרונית, משדרות חזק יותר מהאנטנות הלגיטימיות כדי למשוך מכשירים וללכוד את המזהה שלהם.

החל מ-Release 15 של מפרטי 3GPP, שפורסם ב-2019, ה-5G מציע תשובה אלגנטית. המזהה הקבוע, הקרוי כיום SUPI, ניתן להחלפה בממשק הרדיו ב-SUCI, מזהה מוסתר המתקבל מהצפנת החלק הייחודי למנוי באמצעות קריפטוגרפיה של עקומים אליפטיים, עם המפתח הציבורי של המפעילה הביתית. רק הרשת הביתית, המחזיקה במפתח הפרטי המתאים, יכולה לפענח אותו. התוצאה ייחודית בכל חישוב, מה שמונע קישור בין מושב אחד למשנהו.

ההיגיון שנבחר ראוי להדגשה, משום שהוא בדיוק ההיגיון שאמור להנחות את המחוקק: לא מצפינים את המיקום, דבר שאינו אפשרי טכנית, אלא מצפינים את הזהות. למיקום שאין לשייך לו זהות יש ערך מוגבל מאוד לצורכי מעקב פרטני.

הכשל: הגנה שהיא רשות

ואולם יש הסתייגות כבדת משקל, ולדעתנו זו נקודת ההתערבות המעשית ביותר בכל התיק.

הנייר הלבן NIST CSWP 36A, שפורסם במרץ 2026 בידי המכון הלאומי לתקנים וטכנולוגיה, אומר זאת בלי כחל ושרק. מכשירים ופונקציות רשת התואמים ל-Release 15 ואילך חייבים לתמוך ב-SUCI, אך הפעלתו נותרת רשות בידי המפעילה. שלושה תנאים חייבים להתקיים יחד: יצרן הציוד חייב לתמוך, המפעילה חייבת להפעיל זאת ברשת שלה, וכרטיס ה-SIM חייב לשאת את הרכיבים הדרושים לחישוב.

לכך מתווספת מלכודת תצורה. התקן קובע סכמת הגנה אפסית, שבה משתמשים בפורמט SUCI באופן פורמלי אך ללא הצפנה של ממש, כך שהמזהה עובר בגלוי. NIST כותב שעל המפעילה להגדיר את רשתה בסכמת הגנה שאינה אפסית, ומזכיר שדוח של CSRIC, הגוף המייעץ של רשות התקשורת הפדרלית, המליץ כבר ב-2021 לייחד את הסכמה האפסית אך ורק לשיחות חירום ממכשיר שאינו מוכר לרשת.

ראוי להשאיר את הניסוח כפי שהוא. ההגנה הזמינה הטובה ביותר מפני מעקב אחר מכשירים ניידים קיימת בתקן הטכני מאז 2019. היא נשענת על בחירת תצורה שנתונה לשיקול דעתה של המפעילה. סוכנות פדרלית אמריקאית מוצאת לנכון לפרסם מסמך ב-2026 כדי להזכיר שכדאי להפעיל אותה. ושום מכשיר משפטי אירופי אינו מחייב זאת.

יש להוסיף שה-SUCI אינו סוגר את הנושא. העבודות שהוצגו תחת הכותרת 5G SUCI-catchers: still catching them all? מתעדות התקפות קישוריות המאפשרות לקשר מחדש מושבים חרף ההצפנה, וההגנה קורסת כליל אם התוקף מאלץ את המכשיר לרדת לדור קודם. חובה משפטית לא תפתור אפוא הכול. עם זאת היא תבטל פער שאין לו הצדקה שניתן להגן עליה: הפער בין מה שהתקן מתיר לבין מה שרשתות מסחריות עושות בפועל.

שלוש התערבויות עקיבות

אם לוקחים ברצינות את הרעיון שיש למזער את המיקום כבר בתכנון ולא להגן עליו בדיעבד, מתבקשות שלוש פעולות.

להפוך את ההסתרה האפקטיבית של המזהה לחובה. לחייב הפעלת SUCI ולאסור סכמות הגנה אפסיות ברשתות מסחריות, למעט המקרה השיורי של שיחות חירום. אין מדובר בהכתבת טכנולוגיה חדשה או במימון פריסה, אלא בדרישה להפעיל פונקציה שתוקננה לפני שבע שנים וכבר קיימת בציוד.
להתייחס לשמירה כאל חריג ולא כאל ברירת מחדל. המיקום הדרוש לניתוב תקשורת אמור להימחק ברגע שתפקיד זה הושלם. יצירת היסטוריה אמורה לחייב הצדקה ייחודית. זה ההבדל בין רשת שיודעת היכן אתם לבין רשת שזוכרת היכן הייתם.
להפוך את החזקת המפתח לזיקה המשפטית הרלוונטית. מיקום השרתים בתוך האיחוד אינו אומר הרבה אם המפתחות ההופכים את הנתונים לקריאים מצויים במקום אחר. הקריטריון בעל המשמעות המשפטית אמור להיות שליטה אפקטיבית באמצעי הפענוח, שאלה שבחנו בפירוט בהקשר ההתנגשות בין ה-Data Act ל-CLOUD Act.

הזווית שבה Arpokrat נוקטת

חשיבה זו אינה ייחודית לדיני התקשורת. זו החשיבה שאנו מיישמים על בחירות הארכיטקטורה שלנו, והיא נכנסת למשפט אחד: מה שלא נוצר אינו זקוק להגנה.

מסיבה זו ArpokratOS מסירה את ה-GPS, ה-Bluetooth וה-NFC ברמת הליבה במקום לכבות אותם בתפריט. מתג הוא מדיניות: רכיב בעל הרשאות יכול לעקוף אותו, עדכון יכול להדליק אותו מחדש, מערכת שנפרצה יכולה להתעלם ממנו. הסרת נתיב הקוד מבטלת את השאלה. זו ההעתקה, בקנה מידה של מכשיר בודד, של אותה תזוזה שאנו קוראים לה בקנה מידה של המשפט: להתערב בהיווצרות ולא בגישה.

יש לומר מיד גם מה זה אינו עושה. שום מערכת הפעלה אינה מוציאה מכשיר מגאומטריית הרשת. כל עוד כרטיס SIM פעיל, המפעילה יודעת באיזה תא המכשיר מחובר, וניתוב כל התעבורה דרך Tor אינו משנה זאת, שכן הוא מגן על התוכן ועל היעד ולא על שכבת הרדיו. בדיוק משום כך הנושא הוא נושא משפטי. יש קטגוריה של סיכונים ששום תצורה אישית אינה מצמצמת, ושהמשתנה היחיד הזמין לגביה הוא הכלל החל על המפעילה.

אותה דאגה מנחה את שאר עבודתנו. נתון שאינו קיים אינו יכול להיתפס, להימכר, לדלוף, או להיות מפוענח בעוד עשר שנים במכונה שאיש אינו מחזיק בה היום, שאלה שטיפלנו בה מזווית ההצפנה הנקצרת עכשיו ונשברת מאוחר יותר.

סיכום

הדיון הציבורי במעקב הסלולרי מתרכז כמעט אך ורק בגישה: מי רשאי לעיין בנתונים, על סמך מה, באיזה היתר. דיון זה לגיטימי, ולפסיקות בית הדין מאז 2014 היו השפעות מוחשיות. אבל הוא מתערב מאוחר מדי בשרשרת.

השאלה הקודמת לו, והמכרעת יותר, היא אם ההיסטוריה צריכה בכלל להתקיים. מאגר שנבנה היום מטעם לגיטימי נשאר זמין מחר לטעם אחר, והערובות העוטפות אותו תלויות בהחלטות פוליטיות עתידיות שאיש אינו שולט בהן ברגע האיסוף. זהו הימור על יציבות המוסדות, שנעשה לתקופה שאיש אינו קוצב.

ה-5G הכפיל פי כמה את הרזולוציה של המידע הזה בלי ששום התאמה נורמטיבית התרחשה. במקביל הוא הוכיח, באמצעות מנגנון ה-SUCI, שהדרך המעשית היא לנתק את המיקום מן הזהות ולא לנסות להצפין תכונה פיזיקלית של הרשת. התקן הטכני סיפק את התשובה שבע שנים לפני שהמשפט שאל את השאלה.

הטקסט האירופי על שמירת נתונים נכתב עכשיו. הוא יעסוק במטא־נתונים, כלומר במיקום, כלומר במה שה-5G מייצר כיום ברזולוציה שמנסחיו לא הכירו. אם יסתפק בהסדרת הגישה להיסטוריה שנתפסת כמובנת מאליה, או יעז לשאול אם ההיסטוריה הזו נחוצה בכלל, היא ככל הנראה שאלת הפרטיות החשובה ביותר בשנים הקרובות באירופה. וזו שאלה שהמגזר הטכני, לשם שינוי, כבר הכריע בה לכיוון הנכון.

מקורות

בית הדין של האיחוד האירופי, Digital Rights Ireland, תיקים מאוחדים C-293/12 ו-C-594/12, 8 באפריל 2014
בית הדין של האיחוד האירופי, Tele2 Sverige ו-Watson, תיקים מאוחדים C-203/15 ו-C-698/15, המותב המורחב, 21 בדצמבר 2016
בית הדין של האיחוד האירופי, La Quadrature du Net ואחרים, תיקים מאוחדים C-511/18, C-512/18 ו-C-520/18, המותב המורחב, 6 באוקטובר 2020
בית המשפט העליון של ארצות הברית, Carpenter v. United States, 585 U.S. 296, 2018
המכון הלאומי לתקנים וטכנולוגיה, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, מרץ 2026
אריקסון, 5G positioning: Locating devices anywhere
Merlin Chlosta ואחרים, 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
קרן החזית האלקטרונית, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

איתור מיקום תמידי: כך הטלפון עוקב אחריכם גם כשאתם בטוחים שמנעתם זאת

Sun, 02 Aug 2026 00:00:00 +0000

בשנת 2024 שני חוקרים מאוניברסיטת מרילנד תשאלו שוב ושוב את שירות מיקום ה-Wi-Fi של אפל, בלי שום הרשאה מיוחדת ובלי חומרה ייעודית, ובתוך שנה שחזרו את המיקום המדויק של יותר משני מיליארד נקודות גישה אלחוטיות ברחבי העולם. המאמר שלהם, Surveilling the Masses with Wi-Fi-Based Positioning Systems, מראה מה המפה הזו מאפשרת: לעקוב אחר ציוד שנכנס לאוקראינה ויוצא ממנה, לצפות בתנועת האוכלוסייה לאחר השרפות במאווי, לאתר אדם דרך הנתב הביתי שלו.

באף אחד מהמכשירים האלה לא הופעל GPS. המיקום הגיע ממקום אחר.

זהו הנקודה העיוורת הנפוצה ביותר בכל הנוגע לפרטיות בנייד: האמונה שקיים מתג מיקום, ושברגע שהוא כבוי הטלפון מפסיק לדעת היכן הוא נמצא. האמונה הזו שגויה בשבעה מישורים שונים.

מיקום אינו תכונה שהטלפון שלכם מפעיל. הוא תכונה של עצם היותו טלפון.

ה-GPS, או הערוץ הפחות בעייתי

המנגנון היחיד שכולם יודעים לנקוב בשמו הוא גם זה שאמור להדאיג אתכם הכי מעט.

GNSS, המונח הכולל שמאגד את ה-GPS האמריקאי, גלילאו, גלונאס ובאידו, פועל בהאזנה. הלוויינים משדרים ברציפות אותות עם חותמת זמן, המקלט קולט כמה מהם ומחשב את מיקומו מהפרשי זמני ההגעה. דיוק מקובל בשטח פתוח: שלושה עד חמישה מטרים, ולעיתים קרובות עשרות מטרים בעיר, שם החזיתות מחזירות את האותות.

הנקודה המכרעת היא שהחישוב הזה סביל. הטלפון אינו משדר דבר לעבר הלוויינים, ואף מפעיל לווייני אינו יודע על קיומכם. אילו היה מדובר ב-GNSS בלבד, כיבוי ה-GPS היה מספיק.

ובכל זאת יש ניואנס. כדי לזרז את החישוב הראשון, טלפונים משתמשים ב-A-GPS: הם מורידים משרת את נתוני מסלולי הלוויינים, באמצעות פרוטוקול SUPL. כדי לקבל את הנתונים הנכונים, הטלפון מוסר לאותו שרת את מזהה תא הרשת שאליו הוא מחובר. ה-GNSS הטהור אינו מסגיר אתכם, אבל המאיץ שהורכב עליו כן.

הרשת הסלולרית: מה שהמפעיל יודע מעצם המבנה

כדי ששיחה תוכל להגיע אליכם, הרשת חייבת לדעת באיזה אזור אתם נמצאים. זו אינה אפשרות שניתן להפעיל, אלא תנאי לעצם קיומו של השירות. הטלפון שלכם מדווח על עצמו ברציפות לאנטנה הקרובה ביותר, והרישום הזה מותיר עקבות אצל המפעיל. בלי שום אפליקציה מותקנת, בלי שום הרשאה שניתנה: כרטיס SIM פעיל מספיק.

הדיוק תלוי בשיטה:

מזהה תא בלבד: מ-200 מטר באזור עירוני צפוף ועד יותר מ-30 קילומטרים באזור כפרי, שם אנטנה אחת מכסה רדיוס רחב מאוד.
Cell ID מועשר, שמוסיף את מגזר האנטנה (רוב האתרים מחולקים לשלושה מגזרים של 120 מעלות) ואת עוצמת האות: מ-100 מטר עד כמה קילומטרים.
Timing advance, שמודד את זמן ההלוך ושוב בין הטלפון לאנטנה: בסדר גודל של 550 מטר ב-GSM, וכ-78 מטר ב-LTE.
ריבוי מדידות משלוש אנטנות ומעלה: 50 עד 300 מטר ב-LTE עירוני.

5G משנה את סדר הגודל משתי סיבות מצטברות. ראשית הצפיפות: תאי 5G מכסים רדיוסים קצרים בהרבה, ולכן עצם ההתחברות היא כבר מידע מדויק. שנית התקינה: החל מ-Release 16 משלב ה-3GPP אותות מיקום מובנים. היעדים המסחריים מכוונים לפחות מ-3 מטרים בתוך מבנים ולפחות מ-10 מטרים בחוץ עבור 80 % מהמכשירים, ו-Release 18 יורד עד רמת הסנטימטר בחלק מהשימושים התעשייתיים.

וכך התשתית שמחברת אתכם הופכת למערכת מיקום באיכות דומה ל-GPS, בלי שהפעלתם דבר. הנתונים האלה נשמרים לפי כללים לאומיים ונגישים לרשויות בהליכים משתנים. זה אותו ויכוח יסודי שנדון בהקשר של תחולת הדין על נתונים מאוחסנים: הגנה טכנית והגנה משפטית אינן חופפות.

ה-Wi-Fi: מפת עולם עשויה כתובות חומרה

כל נקודת גישה אלחוטית משדרת ברציפות מזהה חומרה ייחודי, ה-BSSID. המזהים האלה קבועים ויציבים גיאוגרפית: נתב ביתי נשאר שנים באותו מקום.

אפל, גוגל וכמה שחקנים מתמחים מתחזקים מאגרים שמשייכים לכל BSSID קואורדינטות, ואלה נבנים בידי הטלפונים של המשתמשים שלהם עצמם, שמדווחים את רשימת הנקודות הנראות יחד עם מיקום GNSS. לאחר מכן הפעולה מתהפכת: טלפון שרואה ארבע נקודות מוכרות כבר אינו זקוק ולו ללוויין אחד. באזור עירוני צפוף הדיוק מגיע בדרך כלל לכמה עשרות מטרים, ויורד מתחת לכך בתוך מבנים.

שתי תכונות מקשות על נטרול המנגנון הזה. ראשית, הטלפון סורק גם כאשר ה-Wi-Fi נראה מכובה: החל מאנדרואיד 4.3 המערכת שומרת על סריקה מחזורית שנועדה לשפר את איתור המיקום, ללא תלות במתג שבלוח ההגדרות המהיר. ההתנהגות הזו תלויה בהגדרה נפרדת, קבורה עמוק בשירותי המיקום, שכמעט אף משתמש מעולם לא פתח.

שנית, אפשר לתשאל את המאגר מבחוץ. זהו הפרצה שריי ולוין ניצלו: ממשקי המיקום מחזירים לא רק את המיקום המבוקש אלא גם את מיקומן של נקודות סמוכות, מה שמאפשר לקצור את המפה בלי להתקרב פיזית לאותם מקומות אף פעם.

בלוטות’ ו-BLE: מאותרים בידי הטלפונים של אחרים

Bluetooth Low Energy מוסיף שכבת קרבה, בטווח של כמה מטרים עד כמה עשרות מטרים, כלומר ברזולוציה עדינה בהרבה מזו של הרשת הסלולרית. שני שימושים מתקיימים זה לצד זה. משדרי איתור מסחריים, הפרוסים בחנויות, בשדות תעופה או בקניונים, משדרים מזהה שאפליקציות בטלפון מזהות, וכך מתגלה לפני איזה מדף עצרתם ולכמה זמן. ולצידם רשתות איתור שיתופיות, שה-Find My של אפל הוא המודל שלהן, ומאז אומץ גם בידי גוגל וסמסונג.

המנגנון השני הופך הנחה סמויה. הניתוח המכונן Who Can Find My Devices?, שפורסם בקובץ המאמרים של PETS 2021 בידי חוקרים מהאוניברסיטה הטכנית של דרמשטדט, שחזר את הפרוטוקול של אפל בהנדסה לאחור. מכשיר לא מקוון משדר אות BLE, כל מכשיר אפל בקרבת מקום קולט אותו, מצרף לו את מיקומו שלו ומעביר אותו מוצפן לשרתי אפל, בלי ידיעתו של המחזיק בו ובלי ידיעתו של המחזיק במכשיר המאותר.

התוצאה מבנית: מכשיר בלי כרטיס SIM, בלי Wi-Fi, בלי שום חיבור רשת נשאר בר-איתור, ובלבד שאדם זר יחלוף בקרבתו עם טלפון בכיס. הבידוד שלכם כבר אינו תלוי בהגדרות שלכם, אלא בהגדרות של העוברים ושבים.

חיישני התמד: לאתר בלי הרשאת מיקום

טלפון מכיל מד תאוצה, ג’ירוסקופ, מגנטומטר ולעיתים קרובות גם ברומטר. החיישנים האלה משתייכים לקטגוריית הרשאות נפרדת מזו של המיקום: אפליקציה יכולה לקרוא אותם בלי שביקשה מעולם לדעת היכן אתם.

חוקרים מפרינסטון הוכיחו זאת באמצעות PinMe. האפליקציה שלהם יוצאת מכתובת ה-IP ומאזור הזמן לקבלת מיקום גס, ואז קוראת את החיישנים: מד התאוצה מספק את פרופיל ההאצה והבלימה, הג’ירוסקופ את רצף הפניות, המגנטומטר את הכיוון, והברומטר את שינויי הגובה. רשת נוירונים מזהה את אמצעי התחבורה, הליכה, רכב, רכבת או מטוס, והמסלול מוצמד לנתונים ציבוריים של מיפוי, טופוגרפיה ומזג אוויר. התוצאה: מסלול בדיוק דומה ל-GPS, בלי הרשאת מיקום. לשיטה יש מגבלות, שהמחברים מתעדים, שכן היא נכשלת באזורים ללא כבישים ומידרדרת בתוכניות רשת אחידות, שבהן מסלולים רבים מייצרים אותה חתימה. היא נותרת ההוכחה לכך שהרשאה שנדחתה אינה דלת סגורה.

הברומטר מוסיף גם את הממד שה-GNSS מתקשה איתו, הממד האנכי. הדרישות האמריקאיות לשיחות חירום מחייבות דיוק ברמת הקומה של פלוס מינוס 3 מטרים ב-80 % מהשיחות מתוך מבנים. לדעת באיזו קומה נמצא אדם הוא דבר שונה במהותו מלדעת באיזה מקבץ בניינים הוא נמצא.

שוק הנתונים: הערוץ הבנאלי מכולם

המנגנונים הקודמים מתארים כיצד מחושב מיקום. נותר לדעת לאן הוא הולך, ושם מוכרע עיקר הסיכון היומיומי.

אלפי אפליקציות משלבות ערכות פיתוח פרסומיות (SDK), רכיבי תוכנה של צד שלישי שמפתח מוסיף כדי להפיק הכנסה מעבודתו או למדוד את קהלו. הרכיבים האלה יורשים את הרשאות האפליקציה המארחת: אפליקציית מזג אוויר שזקוקה למיקומכם מסיבה לגיטימית מעבירה אותו לגורמים ששמם מעולם לא נקרא בעיניכם. לכך מתווספים זרמי מכרזי הפרסום, שבהם המיקום המשוער שלכם מופץ לעשרות קונים פוטנציאליים בכל הצגה של באנר, כולל לאלה שאינם קונים דבר ומסתפקים בהאזנה.

חומר הגלם הזה מזין תעשייה שלמה. ארגון Electronic Frontier Foundation תיעד את המקרה של Fog Data Science, שטענה למיליארדי נקודות נתונים על יותר מ-250 מיליון מכשירים, שנמכרו למשטרות מקומיות בארצות הברית. בריאן קרבס תיאר את Locate X, מוצר שמאפשר לשרטט מצולע על מפה ולצפות בהיסטוריית המכשירים שנכנסו לאזור ויצאו ממנו.

הערוץ הזה אינו דורש שום הישג טכני, אלא רק שמישהו יסכים לשלם. המחיר צנוע.

מלכודות IMSI: איתור פעיל

המנגנונים שנסקרו עד כה מנצלים תפקוד תקין. קיים גם איתור פעיל, שמבצע צד שלישי המתערב ברשת.

מלכודת IMSI, או סימולטור תא, היא ציוד שמתחזה לאנטנה לגיטימית. טלפונים בטווח מתחברים אליה, וחושפים בכך את מזהה המנוי שלהם ואת נוכחותם בתחום מצומצם.

ה-5G היה אמור לסגור את הדלת הזו, בהחליפו את המזהה הקבוע הגלוי במזהה מוצפן, ה-SUCI. הסגירה חלקית. העבודות שהוצגו תחת הכותרת 5G SUCI-catchers: still catching them all? מתעדות התקפות קישור שמאפשרות לקשור מחדש הפעלות חרף ההצפנה. ובעיקר, ההגנה קורסת כליל אם התוקף מאלץ את המכשיר לרדת לדור קודם, ובמיוחד ל-2G, שהאימות בו חד-כיווני. טלפון 5G נותר פגיע להתקפה שתוכננה עבור רשת משנות התשעים, משום שהוא עדיין מסכים לרדת אליה.

אמצעי הנגד ויעילותם האמיתית

כל אחד מהאמצעים שלהלן עושה משהו. אף אחד מהם אינו עושה הכול, והפער בין מה שהם עושים ובין מה שמייחסים להם הוא שמייצר את ההחלטות הגרועות.

מצב טיסה

מצב טיסה מנתק את השידור של המודם הסלולרי, של ה-Wi-Fi ושל הבלוטות’. זו השפעה אמיתית, וזו התוצאה הטובה ביותר תמורת מאמץ כה קטן.

מה שהוא אינו עושה: הוא אינו עוצר את חיישני ההתמד, אינו מוחק מיקומים ששמורים כבר במטמון ושייצאו עם החיבור מחדש, ובמרבית המכשירים הוא מאפשר להפעיל מחדש את ה-Wi-Fi או את הבלוטות’ בנפרד בלי לצאת ממנו. ולבסוף, זהו מצב תוכנתי ולא ניתוק חשמל: אמינותו תלויה בשלמות המערכת שאוכפת אותו.

פרט שממעיטים בערכו: ההתנתקות מהרשת וההתחברות מחדש אליה הן כשלעצמן אירועים עם חותמת זמן אצל המפעיל. טלפון שנעלם ב-21:00 בתא אחד ומופיע מחדש ב-23:00 בתא אחר ייצר מידע, לא שתיקה.

אקראיות של כתובת MAC

מערכות ניידות משדרות היום כתובות MAC אקראיות בעת סריקות, כדי למנוע מעקב ממקום למקום. הכוונה טובה, התוצאה חלקית. העבודות המכוננות, ובהן Why MAC Address Randomization is not Enough, מראות שתוכן מסגרות הגילוי מספיק פעמים רבות כדי לזהות מחדש את המכשיר: מספר רכיבי המידע, ערכיהם וסדרם יוצרים טביעת אצבע. לכך נוספים מספרי הרצף, שהם עולים ולכן ניתנים לשרשור, והחתימה הזמנית הייחודית לכל דגם. מחקרים מסוימים מדווחים על מעקב נכון אחר מחצית המכשירים במשך עשרים דקות לפחות.

ולבסוף מגבלה עקרונית: האקראיות נוגעת רק לשלב הגילוי. ברגע שאתם מתחברים לרשת, הכתובת שבשימוש יציבה עבור אותה רשת, מעצם התכנון, כדי שהחיבור יעבוד. בית הקפה שאליו אתם הולכים כל בוקר מזהה אתכם.

לכבות באמת את הסריקות

זו ההגדרה המשתלמת ביותר וגם המוזנחת ביותר. באנדרואיד, חיפוש Wi-Fi וחיפוש בלוטות’ הם שתי אפשרויות נפרדות, הממוקמות בשירותי המיקום, ובלתי תלויות במתגים של הלוח המהיר. כל עוד הן פעילות, כיבוי ה-Wi-Fi מהלוח אינו מספיק: הסריקה נמשכת.

כיבוין מסלק שכבת איסוף שלמה, בלי מחיר אחר מלבד חישוב מיקום ראשון איטי מעט יותר. עבור רוב הקוראים, זה היחס הטוב ביותר בין המאמץ שהושקע לתוצאה שהושגה.

הרשאות אפליקציות

שלילת הרשאת המיקום מאפליקציות שברור שאינן זקוקות לה נותרת מועילה, והמערכות העדכניות מציעות שלוש דרגות: אישור חד-פעמי, אישור המוגבל לשימוש פעיל, ומיקום מקורב, שמעביר רק אזור בסדר גודל של קילומטר.

לעומת זאת, זה אינו מגן מפני ערכות SDK שמתארחות באפליקציה שיש לה סיבה לגיטימית לגשת למיקומכם, ולא מפני חיישני ההתמד, ולא מפני שכבות הרשת, שאינן עוברות דרך שום הרשאה.

ממה ה-VPN אינו מגן

נקודה שראוי להבהיר, משום שהאמונה ההפוכה נפוצה מאוד: VPN אינו מסתיר את מיקומכם. הוא מסתיר את כתובת ה-IP הציבורית שלכם, ולכן מטעה את איתור המיקום לפי IP, שהוא ממילא המנגנון הגס ביותר ברשימה.

VPN אינו נוגע לא במקלט ה-GNSS, לא בסריקת ה-Wi-Fi, לא בבלוטות’ ולא בחיישנים. הוא אינו משנה דבר במה שהמפעיל שלכם יודע, שכן המנהרה המוצפנת עוברת דרך האנטנות שלו וההתחברות לתא נשארת גלויה לו. הוא אינו מונע מאפליקציה בעלת הרשאת מיקום לשדר קואורדינטות מדויקות בתוך המנהרה. ה-VPN מגן על התוכן ועל היעד של התקשורת שלכם ברשת שאינה אמינה, וזה כבר הרבה. המיקום אינו בתחום אחריותו.

המגבלות הפיזיות

נרתיק פאראדיי עובד במובן המילולי: הוא חוסם שידור וקליטה. גם הוצאת הסוללה, במקומות שבהם הדבר עדיין אפשרי. מכשיר ייעודי, או פשוט להשאיר את הטלפון במקום אחר, נותר האמצעי החסין ביותר.

לפתרונות האלה יש חיסרון משותף שיש להביט בו בפנים: הם מייצרים חריגה. טלפון ששותק שעתיים בכל יום שלישי בערב אומר משהו. מול יריב שמנתח דפוסים במקום מיקומים רגעיים, ההיעדרות עצמה היא נתון.

שלושה יריבים, שלוש אסטרטגיות

זו ההבחנה החשובה ביותר במאמר הזה, וזו שקוראים עליה הכי פחות.

מול מפרסם או סוחר נתונים, אפשר לנצח בקרב. משמעת בהרשאות, כיבוי הסריקות, מערכת בלי שירותי מיקום קנייניים, איפוס מזהה הפרסום: כל אלה יחד מפחיתים מאוד את הנפח הנאסף. היריב הזה מחפש נפח בזול, לא את המקרה הפרטי שלכם.

מול המפעיל שלכם, שום תצורה אינה מספיקה. איתור סלולרי הוא תנאי לשירות. המשתנים האמיתיים היחידים הם משפטיים, כלומר מה שהחוק מתיר לשמור ולהעביר, וחומריים: איזה מכשיר, איזה כרטיס SIM, על שם מי, ומופעל היכן.

מול יריב מדינתי ממוקד, ההיגיון משתנה שוב, שכן הוא משלב גישה חוקית לנתוני המפעיל, איתור פעיל באמצעות סימולטור תא, דרישות מהפלטפורמות ובמידת הצורך גם פריצה למכשיר עצמו. אמצעי נגד תוכנתיים מצמצמים את המשטח, אבל המטרה הריאלית אינה היעלמות: היא לדעת בדיוק מה נותר חשוף.

הגישה של ArpokratOS

ArpokratOS משיב לנוף הזה בבחירה שנגזרת מההבחנה שלעיל: מה שצריך לנטרל מנוטרל ברמת המערכת, לא בתפריט.

בכל הנוגע ל-GNSS, מנהל ההתקן החומרתי מוסר. המכשיר מתנהג כאילו השבב אינו קיים, הן עבור האפליקציות והן עבור המערכת עצמה. ההבדל ממתג בהגדרות אינו קוסמטי. מתג הוא מדיניות: אוכפת אותו שכבה שרכיב בעל הרשאות מספיקות יכול לעקוף, שעדכון יכול להפעיל מחדש, ושמערכת שנפרצה יכולה להתעלם ממנה. הסרת נתיב הקוד מבטלת את השאלה, שכן כבר אין מה להפעיל.

הבלוטות’ מטופל ברמת ה-Core, באותו היגיון. בלוטות’ שכובה בהגדרות משאיר בפועל במכשירים רבים את מחסנית התוכנה חיה, כדי להזין שירותי קרבה ורשתות איתור שיתופיות. כשהוא נעדר ברמת המערכת, הוא אינו יכול לתקשר עם משדר בחנות, אינו יכול להשתתף ברשת מסוג Find My, ואינו יכול לשמש משטח תקיפה ללא אינטראקציה.

צריך לומר בבירור מה זה אינו עושה. ArpokratOS אינו הופך טלפון לבלתי ניתן לגילוי. כל עוד כרטיס SIM פעיל, המפעיל יודע לאיזה תא אתם מחוברים, ושום מערכת הפעלה אינה משנה זאת, גם לא כשכל התעבורה מנותבת דרך Tor. הניתוב מגן על התוכן ועל היעד, לא על הגאומטריה של הרדיו. מי שמבטיח חוסר נראות מוכר סיפור.

מה שארכיטקטורה כזו מספקת צנוע יותר: סילוק שכבות היישום והקרבה, שדרכן עובר הרוב המכריע של האיסוף בפועל, ומודל איומים מפורש לגבי מה שנותר. זהו אותו היגיון שהוחל על בחירת מערכת שולחנית, שפורט אצלנו בהשוואת מערכות ההפעלה: השאלה המועילה אינה אם כלי מגן, אלא ממה הוא מגן ובאיזה מחיר.

סיכום

המאמר הזה אינו מספק שיטה להיעלם. השיטה הזו אינה קיימת, והטקסטים שמתיימרים לטעון אחרת מייצרים בעיקר ביטחון כוזב, מסוכן יותר מהיעדר הגנה משום שהוא גורם לאנשים ליטול סיכונים.

המטרה הייתה להחליף שאלה בינארית, האם אפשר לאתר אותי או לא, בשאלה מועילה: על ידי מי, באיזה דיוק, במחיר איזה מאמץ מצידם, והאם זה משנה לי. התשובה שונה עבור עיתונאי שמגן על מקור, עבור מנהל שנוסע לתחום שיפוט רגיש, עבור עורך דין שפגישותיו חושפות אסטרטגיה, או עבור אדם פרטי שמתעצבן על כך שמפרסם מכיר את הרגליו.

מה שראוי לתשומת לב אינו דווקא ביצועיו של כל אחד מהמנגנונים האלה בנפרד, אלא העובדה שהם חופפים זה לזה. מיקום בדיוק של חמישים מטר אינו מעניין במיוחד. מיקום בדיוק של חמישים מטר, בכל רבע שעה, במשך שנתיים, משרטט מגורים, מקום עבודה, אמונה דתית, מצב בריאותי, רומן, מקור עיתונאי. נתון המיקום הוא המטא-נתון שהופך את כל השאר לקריאים, ומשום כך הוא שווה כסף רב.

מקורות

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: ה-'Super-Cookie' החדש של חברות התקשורת המאיים על הפרטיות שלך

Mon, 01 Jun 2026 00:00:00 +0000

סופם המתוכנן של קובצי העוגיות (cookies) של צד שלישי בדפדפני האינטרנט עורר מרוץ חימוש אמיתי בתעשיית הפרסום הממוקד. בעוד שגוגל מנסה לכפות סטנדרטים משלה (כמו ה-Privacy Sandbox), שחקן לא צפוי נוסף החליט לתפוס נתח מהעוגה: ספק שירותי האינטרנט שלך (ISP).

כך נולד Utiq (שנודע בעבר כפרויקט TrustPid), מיזם משותף שהוקם על ידי ענקיות התקשורת האירופיות. Utiq, הנמכרת לציבור הרחב כפתרון “שקוף ומכבד”, היא למעשה מה שמומחי אבטחת סייבר חוששים ממנו יותר מכל: “supercookie” הפועל ברמת הרשת.

מה זה Utiq ואיך זה עובד?

באופן מסורתי, מעקב פרסומי (עוגיות) מנוהל על ידי דפדפן האינטרנט שלך (Chrome, Firefox, Safari). יכולת לחסום אותו באמצעות תוספים (כמו uBlock Origin) או דפדפן המכוון לפרטיות (כמו Brave).

Utiq מעבירה את הבעיה צעד אחד אחורה: לרמת חיבור הרשת שלך.

כך נסגרת המלכודת:

יירוט רשת: כאשר אתה גולש באינטרנט דרך החיבור הסלולרי שלך (4G/5G) או תיבת הסיבים שלך, Utiq משתמשת בכתובת ה-IP שלך ובנתוני מנוי התקשורת שלך כדי לזהות אותך.
ההסכמה (הבחירה השקרית): עם ההגעה לאתר שותף, חלון קופץ (popup) מבקש ממך לאשר את Utiq. עקב העייפות הקשורה לבאנרים של עוגיות (Consent Fatigue), מיליוני משתמשים לוחצים על “אשר” מבלי לקרוא.
ה-“Network Signal”: לאחר מתן ההסכמה, Utiq יוצרת קשר ישירות עם מפעיל התקשורת שלך. זה האחרון יוצר אסימון זיהוי ייחודי תחת שם בדוי (אות הרשת) שאותו הוא מעביר למפרסמים.

כעת ניתן לעקוב אחריך מאתר לאתר, לא על ידי קובץ המאוחסן במחשב שלך, אלא על ידי התשתית עצמה המספקת לך את האינטרנט.

למה Utiq הוא סיוט לפרטיות (OPSEC)

היוזמה מעלה בעיות חמורות לריבונות הדיגיטלית ולסודיות הנתונים שלך:

מעקב במקור: בניגוד לעוגיות קלאסיות, אינך יכול פשוט “לנקות את ההיסטוריה שלך” או “לרוקן את המטמון” כדי להיפטר מ-Utiq. אסימון הזיהוי נוצר על ידי ספק האינטרנט שלך.
ריכוז פרופילים: מפעילי התקשורת כבר יודעים את שמך, כתובתך הפיזית, פרטי הבנק שלך ומיקומך בזמן אמת. על ידי קישור היסטוריית הגלישה שלך באינטרנט דרך Utiq לכך, הם יוצרים פרופיל התנהגותי ברמת דיוק מבהילה.
הפגם בפסאודונימיזציה (שימוש בשם בדוי): Utiq מגנה על עצמה על ידי אי שיתוף שמך בטקסט גלוי, וטוענת שהיא משתמשת באסימונים “מוצפנים”. עם זאת, בעולם אבטחת הסייבר, הוכח שניתן להפוך פסאודונימיזציה. הצלבת אסימונים אלה עם מאגרי מידע אחרים מאפשרת לזהות מחדש אנשים בקלות.

אילו מפעילים משתמשים ב-Utiq?

Utiq הוקמה על ידי ברית של ארבעת המפעילים האירופיים הגדולים ביותר. אם אתה לקוח של אחד מהם (או אחת מחברות הבת הזולות שלהם), החיבור שלך פוטנציאלית כבר “תואם” למעקב זה.

הנה המייסדים וקישורים למדיניות הפרטיות שלהם:

Orange (צרפת, ספרד, פולין וכו')
Vodafone (גרמניה, ספרד, בריטانيا וכו')
Telefónica / O2 / Movistar (ספרד, גרמניה וכו')
Deutsche Telekom (גרמניה, מרכז אירופה)

הטיפ של OPSEC: למרות ש-Utiq מציעה פורטל ניהול הסכמות מרוכז (consenthub.utiq.com) לביטול הגישה, ההגנה הטובה ביותר נשארת טכנולוגית.

גישת ה-Zero-Trust להתמודדות עם Utiq

הפילוסופיה של ריבונות דיגיטלית, המונעת על ידי אקוסיסטמות כמו Arpokrat, מסתמכת על עיקרון פשוט: לעולם אל תסמוך על תשתית הרשת.

כדי לנטרל טכנית מערכות כמו Utiq, הפתרון הוא להסתיר את התעבורה שלך מספק שירותי האינטרנט שלך:

שימוש ב-VPN ריבוני: על ידי הצפנת התעבורה שלך ברגע שהיא עוזבת את המכשיר שלך, ספק האינטרנט שלך רואה רק זרם נתונים בלתי קריא המופנה לשרת VPN. הוא אינו יכול עוד להזריק או לקרוא אסימוני Utiq.
רשת ה-Tor (Orbot): ניתוב בצל מונע כל זיהוי מקצה לקצה.
הצפנת DNS (DoH/DoT): מונע מהמפעיל שלך לדעת אילו אתרים אתה מבקש לבקר.

לסיכום, Utiq היא ההוכחה לכך שספקי אינטרנט אינם מסתפקים עוד בהיותם רק “צינורות”; הם רוצים להפוך למתווכי נתונים (data brokers). יותר מתמיד, הצפנת התעבורה שלך היא כבר לא אופציית אבטחה, אלא הכרח מוחלט כדי לשמר את השתיקה הדיגיטלית שלך.