In 2024 bevroegen twee onderzoekers van de University of Maryland herhaaldelijk de wifi-locatiedienst van Apple, zonder bijzondere rechten en zonder gespecialiseerde apparatuur, en reconstrueerden zij in één jaar de precieze positie van meer dan twee miljard wifi-toegangspunten wereldwijd. Hun artikel Surveilling the Masses with Wi-Fi-Based Positioning Systems laat zien wat die kaart mogelijk maakt: materieel volgen dat Oekraïne binnenkomt en weer verlaat, de verplaatsing van de bevolking na de branden op Maui observeren, iemand opsporen via zijn internetmodem thuis.
Bij geen van die apparaten stond gps aan. De positie kwam ergens anders vandaan.
Dit is de meest verbreide blinde vlek op het gebied van mobiele privacy: de overtuiging dat er een locatieschakelaar bestaat en dat de telefoon, zodra die uitstaat, niet meer weet waar hij is. Die overtuiging is op zeven verschillende niveaus onjuist.
Locatie is geen functie die uw telefoon inschakelt. Het is een eigenschap van wat hij is.
Gps, de minst problematische vector
Het enige mechanisme dat iedereen kan benoemen, is ook het mechanisme waarover u zich het minst zorgen zou moeten maken.
GNSS, de verzamelterm voor het Amerikaanse gps, Galileo, GLONASS en BeiDou, werkt door te luisteren. De satellieten zenden continu signalen met een tijdstempel uit, de ontvanger vangt er meerdere op en berekent zijn positie uit de verschillen in looptijd. Gebruikelijke nauwkeurigheid in de open lucht: drie tot vijf meter, in de stad vaak enkele tientallen meters, waar gevels de signalen weerkaatsen.
Doorslaggevend is dat deze berekening passief is. De telefoon zendt niets naar de satellieten, geen enkele satellietexploitant weet dat u bestaat. Als GNSS het enige was dat meespeelde, zou gps uitzetten volstaan.
Er is echter een nuance. Om de eerste positiebepaling te versnellen gebruiken telefoons A-GPS: ze halen de satellietbaangegevens op bij een server, via het SUPL -protocol. Om de juiste gegevens te krijgen, stuurt de telefoon die server het identificatienummer van de netwerkcel waarop hij is ingelogd. Zuivere GNSS verraadt u niet, maar de versneller die eraan is vastgeplakt wel.
Het mobiele netwerk: wat de provider per definitie weet
Wil een oproep u kunnen bereiken, dan moet het netwerk weten in welk gebied u zich bevindt. Dat is geen optie die u kunt inschakelen, het is de bestaansvoorwaarde van de dienst. Uw telefoon meldt zich permanent bij de dichtstbijzijnde mast, en die registratie laat een spoor na bij de provider. Geen geïnstalleerde app, geen verleende toestemming: een actieve simkaart volstaat.
De nauwkeurigheid hangt af van de methode:
- Cell-ID alleen: van 200 meter in dichtbebouwd stedelijk gebied tot meer dan 30 kilometer op het platteland, waar één mast een zeer grote straal bestrijkt.
- Verrijkte Cell ID, die de mastsector toevoegt (de meeste locaties zijn verdeeld in drie sectoren van 120 graden) plus de signaalsterkte: van 100 meter tot enkele kilometers.
- Timing advance, dat de heen-en-weertijd tussen telefoon en mast meet: in de orde van 550 meter bij GSM, rond 78 meter bij LTE.
- Multilateratie over drie masten of meer: 50 tot 300 meter bij stedelijk LTE.
5G verandert de schaal om twee cumulatieve redenen. Eerst de dichtheid: 5G-cellen bestrijken veel kleinere stralen, waardoor het enkele inloggen al fijnmazige informatie is. Dan de normalisatie: sinds Release 16 bevat 3GPP native positioneringssignalen. De commerciële doelstellingen mikken op minder dan 3 meter binnenshuis en minder dan 10 meter buiten voor 80 % van de toestellen, en Release 18 gaat voor bepaalde industriële toepassingen tot op de centimeter.
De infrastructuur die u verbindt, wordt daarmee een positioneringssysteem van een kwaliteit vergelijkbaar met gps, zonder dat u iets hebt ingeschakeld. Die gegevens worden bewaard volgens nationale regels en zijn voor autoriteiten toegankelijk via uiteenlopende procedures. Het is hetzelfde grondprobleem als bij het recht dat van toepassing is op gehoste gegevens : technische bescherming en juridische bescherming vallen niet samen.
Wifi: een wereldkaart van hardware-adressen
Elk wifi-toegangspunt zendt permanent een uniek hardware-identificatienummer uit, het BSSID. Die identificatienummers liggen vast en zijn geografisch stabiel: een thuismodem blijft jarenlang op dezelfde plek staan.
Apple, Google en enkele gespecialiseerde partijen onderhouden databases die elk BSSID aan coördinaten koppelen, opgebouwd door de telefoons van hun eigen gebruikers, die de lijst van zichtbare toegangspunten doorgeven samen met een GNSS-positie. Daarna wordt de bewerking omgekeerd: een telefoon die vier bekende toegangspunten ziet, heeft geen enkele satelliet meer nodig. In dichtbevolkt stedelijk gebied haalt de nauwkeurigheid doorgaans enkele tientallen meters, en binnenshuis komt ze daaronder.
Twee eigenschappen maken dit mechanisme moeilijk te neutraliseren. Ten eerste scant de telefoon ook wanneer wifi uit lijkt te staan: sinds Android 4.3 houdt het systeem een periodieke scan aan die de locatiebepaling moet verbeteren, los van de schakelaar in het snelmenu. Dat gedrag hangt af van een aparte instelling, diep weggestopt in de locatiediensten, die vrijwel geen enkele gebruiker ooit heeft geopend.
Ten tweede is de database van buitenaf te bevragen. Dat is het gat dat Rye en Levin hebben uitgebuit: de positioneringsinterfaces geven niet alleen de gevraagde positie terug, maar ook die van naburige toegangspunten, waardoor de kaart geoogst kan worden zonder ooit fysiek in de buurt van die plekken te komen.
Bluetooth en BLE: gelokaliseerd door de telefoons van anderen
Bluetooth Low Energy voegt een nabijheidslaag toe, met een bereik van enkele meters tot enkele tientallen meters, en dus een veel fijnere korrel dan het mobiele netwerk. Er bestaan twee toepassingen naast elkaar. Commerciële beacons, geplaatst in winkels, luchthavens of winkelcentra, zenden een identificatienummer uit dat apps op de telefoon herkennen, waardoor duidelijk wordt voor welk schap u bent blijven staan en hoe lang. En collaboratieve locatienetwerken, waarvan Apples Find My het model is, sindsdien overgenomen door Google en Samsung.
Dat tweede mechanisme keert een impliciete aanname om. De toonaangevende analyse Who Can Find My Devices? , gepubliceerd in de proceedings van PETS 2021 door onderzoekers van de Technische Universiteit Darmstadt, heeft Apples protocol via reverse engineering gereconstrueerd. Een apparaat zonder verbinding zendt een BLE-signaal uit, een willekeurig Apple-apparaat in de buurt vangt dat op, voegt zijn eigen positie toe en stuurt die versleuteld naar Apples servers, buiten medeweten van zowel de eigenaar ervan als de eigenaar van het gelokaliseerde apparaat.
Het gevolg is structureel: een apparaat zonder simkaart, zonder wifi, zonder enige netwerkverbinding blijft lokaliseerbaar, mits een onbekende met een telefoon op zak langsloopt. Uw isolement hangt niet langer af van uw instellingen, maar van die van voorbijgangers.
De traagheidssensoren: lokaliseren zonder locatietoestemming
Een telefoon bevat een versnellingsmeter, een gyroscoop, een magnetometer en vaak een barometer. Die sensoren vallen onder een andere toestemmingscategorie dan locatie: een app kan ze uitlezen zonder ooit te hebben gevraagd waar u bent.
Onderzoekers van Princeton hebben dat aangetoond met PinMe . Hun app vertrekt van het IP-adres en de tijdzone voor een grove positie en leest vervolgens de sensoren uit: de versnellingsmeter geeft het optrek- en remprofiel, de gyroscoop de opeenvolging van bochten, de magnetometer de koers, de barometer de hoogteverschillen. Een neuraal netwerk bepaalt de vervoerswijze, te voet, auto, trein of vliegtuig, en het traject wordt teruggelegd op openbare kaart-, hoogte- en weergegevens. Resultaat: een traject met een nauwkeurigheid vergelijkbaar met gps, zonder locatietoestemming. De methode heeft grenzen, die de auteurs documenteren, want ze faalt in gebieden zonder wegen en verslechtert bij uniforme rasterplattegronden, waar veel routes dezelfde signatuur opleveren. Ze blijft het bewijs dat een geweigerde toestemming geen gesloten deur is.
De barometer levert bovendien de dimensie waar GNSS slecht mee omgaat: de verticale. De Amerikaanse eisen voor noodoproepen schrijven een verdiepingsnauwkeurigheid van plus of min 3 meter voor bij 80 % van de oproepen binnenshuis. Weten op welke verdieping iemand zich bevindt, is van een andere orde dan weten in welk huizenblok.
De datamarkt: de banaalste vector
De voorgaande mechanismen beschrijven hoe een positie wordt berekend. Rest de vraag waar die naartoe gaat, en daar speelt zich het leeuwendeel van het dagelijkse risico af.
Duizenden apps bevatten reclame-SDK’s, softwarebouwstenen van derden die een ontwikkelaar toevoegt om zijn werk te gelde te maken of zijn bereik te meten. Die bouwstenen erven de rechten van de gastheerapp: een weerapp die uw positie legitiem nodig heeft, geeft die door aan partijen van wie u de naam nooit hebt gelezen. Daar komen de advertentieveilingstromen bij, waarin uw geschatte positie bij elke bannervertoning naar tientallen potentiële kopers wordt gestuurd, ook naar wie niets koopt en zich beperkt tot meeluisteren.
Deze grondstof voedt een hele industrie. De Electronic Frontier Foundation documenteerde de zaak Fog Data Science , dat miljarden datapunten over meer dan 250 miljoen apparaten claimde en die verkocht aan lokale Amerikaanse politiekorpsen. Brian Krebs beschreef Locate X , een product waarmee u een veelhoek op een kaart tekent en de geschiedenis ziet van de apparaten die dat gebied binnenkwamen en verlieten.
Deze vector vergt geen technisch huzarenstukje, alleen iemand die bereid is te betalen. De prijs is bescheiden.
IMSI-catchers: de actieve lokalisatie
De tot dusver besproken mechanismen buiten een normale werking uit. Daarnaast bestaat actieve lokalisatie, uitgevoerd door een derde die op het netwerk ingrijpt.
Een IMSI-catcher, of celsimulator, is apparatuur die zich voordoet als een legitieme mast. Telefoons binnen bereik loggen erop in en onthullen daarbij hun abonnee-identificatie en hun aanwezigheid binnen een beperkte straal.
5G zou die deur sluiten door de permanente identificatie in leesbare vorm te vervangen door een versleutelde, de SUCI. De sluiting is gedeeltelijk. Het werk dat is gepresenteerd onder de titel 5G SUCI-catchers: still catching them all? documenteert koppelingsaanvallen waarmee sessies ondanks de versleuteling opnieuw te correleren zijn. Belangrijker nog: de bescherming valt volledig weg als de aanvaller het toestel dwingt terug te vallen op een eerdere generatie, met name 2G, waarvan de authenticatie eenzijdig is. Een 5G-telefoon blijft kwetsbaar voor een aanval die is ontworpen voor een netwerk uit de jaren negentig, omdat hij nog altijd bereid is daarheen af te dalen.
De tegenmaatregelen en hun werkelijke effect
Elke maatregel hieronder doet iets. Geen enkele doet alles, en het gat tussen wat ze doen en wat men hun toeschrijft, leidt tot de verkeerde beslissingen.
De vliegtuigmodus
De vliegtuigmodus schakelt het zenden van de mobiele modem, wifi en bluetooth uit. Dat is reëel, en het is het beste resultaat voor zo weinig moeite.
Wat hij niet doet: hij stopt de traagheidssensoren niet, hij wist de al opgeslagen posities niet, die bij het opnieuw verbinden alsnog vertrekken, en op de meeste toestellen laat hij toe wifi of bluetooth afzonderlijk weer aan te zetten zonder hem te verlaten. Het is ten slotte een softwaretoestand, geen stroomonderbreking: de betrouwbaarheid hangt af van de integriteit van het systeem dat hem toepast.
Een onderschat detail: het loskoppelen en opnieuw aanmelden bij het netwerk zijn zelf gebeurtenissen met een tijdstempel aan de kant van de provider. Een telefoon die om 21 uur in de ene cel verdwijnt en om 23 uur in een andere weer opduikt, heeft informatie geproduceerd, geen stilte.
De randomisatie van het MAC-adres
Mobiele systemen zenden tegenwoordig willekeurige MAC-adressen uit tijdens het scannen, om te voorkomen dat men van plaats naar plaats gevolgd wordt. De bedoeling is goed, het resultaat onvolledig. Het toonaangevende werk, waaronder Why MAC Address Randomization is not Enough , laat zien dat de inhoud van de zoekframes vaak volstaat om het apparaat opnieuw te identificeren: het aantal informatie-elementen, hun waarden en hun volgorde vormen een vingerafdruk. Daar komen de volgnummers bij, die oplopend en dus aaneen te rijgen zijn, en de tijdsignatuur die eigen is aan elk model. Sommige studies melden dat de helft van de apparaten minstens twintig minuten correct te volgen is.
Ten slotte een conceptuele grens: de randomisatie betreft alleen de zoekfase. Zodra u verbinding maakt met een netwerk, is het gebruikte adres per ontwerp stabiel voor dat netwerk, opdat de verbinding werkt. Het café waar u elke ochtend komt, herkent u.
De scans echt uitzetten
Dit is de meest lonende en de meest genegeerde instelling. Op Android zijn wifi-scannen en bluetooth-scannen twee aparte opties, ondergebracht bij de locatiediensten, los van de schakelaars in het snelmenu. Zolang ze aanstaan, volstaat het niet wifi via het paneel uit te zetten: het scannen gaat door.
Ze uitschakelen verwijdert een volledige verzamellaag, zonder andere kosten dan een iets tragere eerste positiebepaling. Voor de meeste lezers is dat de beste verhouding tussen geleverde inspanning en behaald resultaat.
De app-toestemmingen
Locatietoestemming intrekken bij apps die haar aantoonbaar niet nodig hebben, blijft nuttig, en recente systemen bieden drie gradaties: eenmalige toestemming, toestemming beperkt tot actief gebruik, en geschatte locatie, die slechts een gebied in de orde van een kilometer doorgeeft.
Dat beschermt echter niet tegen SDK’s die draaien binnen een app met een legitieme reden om uw positie op te vragen, noch tegen de traagheidssensoren, noch tegen de netwerklagen, die via geen enkele toestemming lopen.
Waartegen een VPN niet beschermt
Een punt dat verheldering verdient, omdat de tegenovergestelde overtuiging zeer wijdverbreid is: een VPN verbergt uw locatie niet. Hij verbergt uw publieke IP-adres en vervalst dus de locatiebepaling op basis van IP, die sowieso het grofste mechanisme uit de lijst is.
Een VPN raakt noch de GNSS-ontvanger, noch het wifi-scannen, noch bluetooth, noch de sensoren. Hij verandert niets aan wat uw provider weet, want de versleutelde tunnel loopt via zijn masten en het inloggen op de cel blijft voor hem zichtbaar. Hij verhindert niet dat een app met locatietoestemming exacte coördinaten binnen de tunnel doorgeeft. Een VPN beschermt de inhoud en de bestemming van uw communicatie op een onbetrouwbaar netwerk, en dat is al veel. Locatiebepaling valt niet binnen zijn bereik.
De fysieke grenzen
Een faradayhoes werkt in letterlijke zin: hij blokkeert zenden en ontvangen. Het verwijderen van de batterij ook, waar dat nog mogelijk is. Een apart toestel, of gewoon uw telefoon elders laten, blijft de robuustste maatregel.
Deze oplossingen delen een gebrek waar we recht in het gezicht moeten kijken: ze produceren een afwijking. Een telefoon die elke dinsdagavond twee uur zwijgt, zegt iets. Tegen een tegenstander die patronen analyseert in plaats van momentopnames, is afwezigheid zelf een gegeven.
Drie tegenstanders, drie strategieën
Dit is het belangrijkste onderscheid van dit artikel en het onderscheid dat men het minst vaak leest.
Tegen een adverteerder of een datahandelaar is de strijd te winnen. Discipline bij toestemmingen, scans uitschakelen, een systeem zonder propriëtaire locatiediensten, de reclame-identificatie resetten: samen verlagen die het verzamelde volume zeer sterk. Deze tegenstander zoekt goedkoop volume, niet uw specifieke geval.
Tegen uw provider volstaat geen enkele configuratie. Locatiebepaling via het mobiele netwerk is de voorwaarde van de dienst. De enige echte variabelen zijn juridisch, namelijk wat de wet toestaat te bewaren en door te geven, en materieel: welk toestel, welke simkaart, op wiens naam, waar aangezet.
Tegen een gerichte statelijke tegenstander verandert de redenering opnieuw, want die combineert wettelijke toegang tot de providergegevens, actieve lokalisatie met een celsimulator, vorderingen bij de platformen en, in voorkomend geval, compromittering van het toestel zelf. Softwarematige tegenmaatregelen verkleinen het aanvalsoppervlak, maar het realistische doel is niet verdwijnen: het is precies weten wat blootgesteld blijft.
De aanpak van ArpokratOS
ArpokratOS beantwoordt dit landschap met een keuze die voortvloeit uit het bovenstaande onderscheid: wat geneutraliseerd moet worden, wordt dat op systeemniveau, niet in een menu.
Bij GNSS wordt het hardwarestuurprogramma verwijderd. Het toestel gedraagt zich alsof de chip niet bestaat, zowel voor applicaties als voor het systeem zelf. Het verschil met een schakelaar in de instellingen is niet cosmetisch. Een schakelaar is beleid: hij wordt afgedwongen door een laag die omzeild kan worden door een voldoende bevoorrechte component, opnieuw ingeschakeld door een update, of genegeerd door een gecompromitteerd systeem. Het codepad verwijderen laat de vraag vervallen, want er valt niets meer in te schakelen.
Bluetooth wordt op Core-niveau aangepakt, volgens dezelfde logica. Bluetooth dat in de instellingen is uitgezet, laat op veel toestellen de softwarestack in de praktijk in leven, om nabijheidsdiensten en collaboratieve locatienetwerken te voeden. Afwezig op systeemniveau kan het niet praten met een winkelbeacon, niet deelnemen aan een netwerk van het type Find My, en niet dienen als aanvalsoppervlak zonder interactie.
Er moet duidelijk gezegd worden wat dit niet doet. ArpokratOS maakt een telefoon niet ondetecteerbaar. Zolang een simkaart actief is, kent de provider de cel waarop u bent ingelogd, en geen enkel besturingssysteem verandert dat, zelfs niet met al het verkeer via Tor. Routering beschermt de inhoud en de bestemming, niet de radiogeometrie. Wie onzichtbaarheid belooft, verkoopt een verhaal.
Wat zo’n architectuur oplevert is bescheidener: het wegnemen van de applicatie- en nabijheidslagen, waarlangs verreweg het grootste deel van de werkelijke verzameling loopt, en een expliciet dreigingsmodel voor wat overblijft. Het is dezelfde redenering als bij de keuze van een desktopsysteem, uitgewerkt in onze vergelijking van besturingssystemen : de nuttige vraag is niet of een instrument beschermt, maar waartegen het beschermt en tegen welke prijs.
Conclusie
Dit artikel biedt geen methode om te verdwijnen. Die methode bestaat niet, en teksten die het tegendeel beweren, produceren vooral vals vertrouwen, dat gevaarlijker is dan geen bescherming omdat het mensen risico’s doet nemen.
Het doel was een binaire vraag, ben ik lokaliseerbaar of niet, te vervangen door een nuttige vraag: door wie, met welke nauwkeurigheid, tegen welke kosten voor hen, en kan het mij schelen. Het antwoord verschilt voor een journalist die een bron beschermt, een bestuurder op reis in een gevoelige jurisdictie, een advocaat wiens afspraken een strategie verraden, of een particulier die zich eraan ergert dat een adverteerder zijn gewoonten kent.
Wat de aandacht verdient, is trouwens niet de prestatie van elk van deze mechanismen afzonderlijk, maar het feit dat ze elkaar overlappen. Een positie met vijftig meter marge is niet erg interessant. Een positie met vijftig meter marge, elk kwartier, twee jaar lang, tekent een woonadres, een werkplek, een geloofsovertuiging, een gezondheidstoestand, een verhouding, een bron. Locatiegegevens zijn de metadata die alle andere leesbaar maken, en dat is de reden waarom ze veel waard zijn.
Bronnen
- Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
- Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
- Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
- Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
- Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
- 5G NR Positioning Enhancements in 3GPP Release-18
- Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
- Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
- Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense