Śledzenie lokalizacji on Arpokrat

SignalTrace: Europa eksportuje nadzór, na który sama sobie nie pozwala

Tue, 01 Sep 2026 00:00:00 +0000

Szara limuzyna przejeżdża pod bramownicą autostradową z prędkością 110 km/h. Kamera zamocowana na maszcie odczytuje tablicę, oznacza ją czasem, zapisuje. Nic nowego: takie urządzenia istnieją od dwudziestu lat i są rozstawione w dziesiątkach tysięcy egzemplarzy zarówno w Ameryce Północnej, jak i w Europie.

Ale jeśli ta bramownica otrzymała moduł, który włoska grupa Leonardo sprzedaje od czerwca 2026 roku, właśnie zarejestrowała coś jeszcze. iPhone’a kierowcy. Bezprzewodowe słuchawki pasażerki. Smartwatch na desce rozdzielczej. Radio samochodowe. Podłączony brelok w schowku. Czujniki ciśnienia w czterech oponach. Kartę dostępu, która została w marynarce. A jeśli z tyłu śpi pies, także jego czip identyfikacyjny.

Kilkanaście identyfikatorów, tablica, pozycja, godzina. Powtórz to przy każdej bramownicy w sieci, a nie śledzisz już samochodu: śledzisz ludzi i wiesz, z kim się przemieszczają.

Co urządzenie robi naprawdę

Produkt nazywa się SignalTrace. Sprzedawany przez Leonardo US Cyber and Security Solutions, uzupełnia serię ELSAG, jedną z najbardziej rozpowszechnionych linii automatycznych czytników tablic rejestracyjnych na rynku amerykańskim. Jego istnienie ujawnił 8 czerwca 2026 roku Joseph Cox w 404 Media, na podstawie karty produktu producenta.

Kluczowy punkt mieści się w jednym zdaniu: nie chodzi o nowe kamery. SignalTrace to czujnik radiowy dodawany do już zainstalowanych czytników tablic. Maszt się nie zmienia, lokalizacja się nie zmienia, sylwetka sprzętu przy drodze się nie zmienia. Zmienia się to, czego ten sprzęt słucha.

Czujnik rejestruje identyfikatory rozgłaszane otwartym tekstem przez protokoły Bluetooth, Wi-Fi i RFID urządzeń znajdujących się w pojeździe. Punkt techniczny często źle rozumiany: żadne urządzenie nie jest włamywane i żadna luka nie jest wykorzystywana. Urządzenie Bluetooth lub Wi-Fi stale wysyła ramki rozgłoszeniowe, ponieważ tak zaprojektowano te protokoły. Twoje słuchawki oznajmiają swoją obecność, żeby telefon mógł je odnaleźć, a ten telefon sam odpytuje otoczenie w poszukiwaniu znanych mu sieci. Te emisje są publiczne z założenia, a każdy odbiornik w zasięgu je słyszy.

Leonardo zresztą precyzuje, że system działa z czytnikiem tablic lub bez niego, także wewnątrz budynków, i rozpoznaje pojazd, którego tablica została zasłonięta lub zdjęta.

Doposażenie istniejącego sprzętu to prawdziwy temat polityczny. Instalacja nowej sieci kamer uruchamia głosowanie, debatę, czasem spór sądowy. Dodanie płytki elektronicznej do obudowy już zatwierdzonej nie uruchamia niczego. Zdolność nadzoru zmienia swoją naturę bez debaty publicznej, ponieważ materialnie nie ma nic nowego do zobaczenia.

Od pojazdu do osoby, i od osoby do grupy

Czytnik tablic odpowiada na jedno pytanie: gdzie był ten pojazd. SignalTrace dodaje dwa kolejne: kto w nim siedział i z kim.

Leonardo tego nie ukrywa, to argument sprzedażowy. System tworzy to, co dokumentacja nazywa odciskiem elektronicznym, zbiór identyfikatorów „często emitowanych razem". Przykład producenta jest jednoznaczny: w całym mieście tylko jeden pojazd połączy iPhone’a 13rev2, radio Audi, słuchawki Bose, zegarek Garmin, lokalizator kluczy i tablicę ABC-1234.

Produkt nie ogranicza się do śledzenia pojazdów. Automatycznie wytwarza graf relacji między osobami, bez konieczności sformułowania przez kogokolwiek najmniejszego podejrzenia.

To tutaj dokonuje się skok jakościowy. Korelując urządzenia, które regularnie podróżują razem, system mechanicznie buduje graf społeczny. Dwa telefony, które każdego ranka spotykają się w tym samym samochodzie, to wspólne dojazdy albo relacja, której żadna ze stron nie chce ujawniać. Pięćdziesiąt urządzeń zarejestrowanych w tym samym miejscu o tej samej godzinie to zgromadzenie: demonstracja, nabożeństwo, zebranie związkowe albo kolejka przed kliniką.

Żaden z tych wniosków nie wymaga dostępu do treści komunikacji. Wynika z tabeli bliskości, domyślnie, dla całej poruszającej się populacji, a nie dla wskazanych celów. To odpowiedzialność zbiorowa przez skojarzenie, wytwarzana przemysłowo, przed jakimkolwiek postępowaniem. Tom Bowman, prawnik z Center for Democracy & Technology, podsumowuje problem na łamach TechNewsWorld: to, co czyni narzędzie użytecznym w śledzeniu prawdziwego podejrzanego, czyni je równie zdolnym do śledzenia wszystkich pozostałych kierowców, z których żaden nie zgodził się na rejestrowanie swoich urządzeń.

Leonardo przeciwstawia dwa argumenty: system nie odszyfrowuje ani nie czyta treści komunikacji i sam z siebie nie identyfikuje osób. Oba twierdzenia są prawdziwe i oba są nie na temat. Poszukiwaną informacją nigdy nie była treść, tkwi ona w metadanej pozycji, bardziej wymownej niż wiadomość. Co do identyfikacji, sam producent przyznaje, że śledczy może powiązać sygnaturę elektroniczną z tablicą, a następnie dotrzeć do właściciela poprzez rejestry pojazdów.

Prawo amerykańskie napisane do czegoś innego

W Stanach Zjednoczonych istnieją stanowe przepisy regulujące czytniki tablic, a niektóre są wymagające co do okresów przechowywania i celów dostępu. Ale wszystkie zredagowano wokół jednego precyzyjnego przedmiotu: obrazu tablicy rejestracyjnej. Żaden nie przewiduje przechwytywania identyfikatorów urządzeń osobistych przez ten sam sprzęt.

Ta rozbieżność nie tworzy nielegalności, lecz szarą strefę, wygodniejszą dla sprzedawcy. Służba policyjna może utrzymywać, nie kłamiąc, że jej program czytników tablic jest dozwolony i zgodny z prawem, jednocześnie zbierając odtąd w tym samym reżimie dane o całkowicie odmiennym charakterze. Leonardo dysponuje ponadto kontraktami federalnymi, ze Special Operations Command i General Services Administration, czyli ścieżką zakupową, która w dużej mierze omija zgody lokalne.

Debata konstytucyjna właśnie drgnęła i trzeba tu precyzji, bo stan prawa zmienił się tego lata. W styczniu 2026 roku sąd federalny w Wirginii orzekł w sprawie Schmidt v. City of Norfolk, że miejska sieć kamer Flock nie stanowi przeszukania w rozumieniu czwartej poprawki, ponieważ nie obejmuje całości przemieszczeń mieszkańców. Orzeczenie jest w apelacji przed Czwartym Okręgiem, gdzie przystąpiła ACLU.

Następnie, 29 czerwca 2026 roku, Sąd Najwyższy wydał wyrok Chatrie v. United States. Stosunkiem pięć do czterech, pod piórem sędzi Kagan, orzekł, że uzyskanie przez policję danych lokalizacyjnych telefonu stanowi przeszukanie, ponieważ jednostka zachowuje uzasadnione oczekiwanie prywatności wobec tych danych, nawet gdy znajdują się u osoby trzeciej i nawet przez krótki okres. Wyrok przedłuża Carpenter v. United States z 2018 roku i osłabia doktrynę osoby trzeciej, jak zauważyło CDT.

Dokładny zasięg Chatrie wobec SignalTrace nie jest rozstrzygnięty i twierdzenie inaczej byłoby nieostrożne: wyrok dotyczy danych żądanych od Google’a, a nie bezpośredniego przechwytywania przez policyjny czujnik w przestrzeni publicznej. Ustanawia jednak rozumowanie, które się liczy, mianowicie że wrażliwość danej lokalizacyjnej nie zależy od tego, kto ją posiada.

Kwestia europejska, która jest kwestią prawdziwą

Tu sprawa staje się niewygodna dla Europy. Leonardo nie jest dostawcą amerykańskim, lecz włoską grupą notowaną w Mediolanie, której pierwszym akcjonariuszem jest włoskie Ministerstwo Gospodarki i Finansów, z około 30 % kapitału i prawem wskazania większości rady dyrektorów. Państwo włoskie nie jest biernym akcjonariuszem tego produktu.

Najpierw punkt techniczny

W prawie europejskim identyfikator urządzenia jest daną osobową. To nie opinia doktrynalna, lecz utrwalone stanowisko organów. CNIL wyraźnie traktuje adres MAC jako taki w swojej doktrynie dotyczącej systemów pomiaru natężenia ruchu i dopuszcza ich zbieranie w przestrzeni publicznej tylko pod ścisłymi warunkami: anonimizacja w ciągu kilku minut z wysokim wskaźnikiem kolizji między osobami albo wiarygodna pseudonimizacja z następującym po niej zniszczeniem w ciągu dwudziestu czterech godzin, w przeciwnym razie zgoda staje się obowiązkowa. Ta sama doktryna precyzuje, że zachęcanie ludzi do wyłączenia Wi-Fi nie jest dopuszczalną formą sprzeciwu.

Trybunał Sprawiedliwości Unii Europejskiej sprecyzował 4 września 2025 roku w sprawie EIOD przeciwko SRB (C-413/23 P), że osobowy charakter danej spseudonimizowanej ocenia się z uwzględnieniem rozsądnie możliwych do uruchomienia środków ponownej identyfikacji. Tymczasem tutaj posiadaczem jest organ policyjny, dysponujący rejestrami pojazdów. Środki ponownej identyfikacji nie są hipotetyczne, są w sąsiednim pokoju.

Niuans, który zmienia wszystko

Byłoby fałszem napisać, że SignalTrace „byłby nielegalny w Europie", i czytelnik prawnik zauważyłby to natychmiast. Przetwarzanie prowadzone przez właściwy organ do celów zapobiegania przestępczości i jej ścigania nie podlega RODO. Podlega dyrektywie (UE) 2016/680, zwanej dyrektywą policyjną, transponowanej odrębnie przez każde państwo członkowskie, we Francji w tytule III ustawy o ochronie danych. CNIL przypomina, że ten reżim jest autonomiczny, z własnymi podstawami legalności i własnymi prawami.

Właściwe pytanie nie dotyczy zatem abstrakcyjnej legalności, lecz warunków. W tym reżimie takie urządzenie zakładałoby wyraźną krajową podstawę prawną, określone cele, wykazaną niezbędność, ograniczony okres przechowywania, ocenę skutków i niezależną kontrolę. We Francji czytniki tablic są uregulowane właśnie tak: artykuły L233-1 i L233-1-1 kodeksu bezpieczeństwa wewnętrznego ustanawiają zamkniętą listę przestępstw otwierających drogę do ich użycia, a okres przechowywania pozostaje jednym z najkrótszych w Unii, co do zasady piętnaście dni, nawet jeśli senacki projekt ustawy próbuje go wydłużyć.

To zasadnicza różnica wobec sytuacji amerykańskiej. W Stanach Zjednoczonych prawo reguluje przedmiot, tablicę, a milczenie o identyfikatorach urządzeń oznacza przyzwolenie. W Europie prawo reguluje cele i kategorie danych, a to milczenie oznacza raczej zakaz, wobec braku wyraźnej podstawy prawnej. Luka stwierdzona za oceanem nie istnieje tutaj w tej samej formie. Nie dlatego, że Europa jest cnotliwsza: jej technika prawna jest odwrotna.

Ile zatem warta jest ochrona

Pozostaje pytanie, o które chodzi w tym artykule. Ile warta jest europejska ochrona regulacyjna, gdy europejskie przedsiębiorstwo, kontrolowane przez państwo członkowskie, sprzedaje poza Europą zdolność, której u siebie nie mogłoby wdrożyć bez nowej ustawy?

Zastrzeżenia zasługują na poważne potraktowanie. Przemysłowiec nie odpowiada za ramy prawne swojego klienta: to władze amerykańskie decydują, co dopuszczają u siebie. Produkt nie jest sprzedawany dyktaturze, lecz państwu prawa z aktywnym sądem najwyższym, o czym właśnie przypomniało Chatrie. A argument suwerenności przemysłowej jest zasadny: jeśli grupy europejskie zamkną sobie te rynki, zajmą je dostawcy izraelscy, amerykańscy lub chińscy, bez cofnięcia się nadzoru choćby o metr, a Europa straci przy tym swoją bazę technologiczną.

Te argumenty są dopuszczalne. Nie odpowiadają na problem.

Po pierwsze dlatego, że Unia już uznała, iż eksport środków nadzoru nie jest handlem jak każdy inny. Rozporządzenie (UE) 2021/821 w sprawie produktów podwójnego zastosowania wprowadziło w artykule 5 klauzulę zbiorczą obejmującą produkty cyberinwigilacji, ponieważ prawodawca przyznał, że narzędzie legalne w produkcji może być nieprawowite w miejscu przeznaczenia. Jego ograniczenie jest pouczające: uruchamia się wobec ryzyka represji wewnętrznych lub poważnych naruszeń praw człowieka, kategorii pomyślanych dla reżimów autorytarnych. Sprzedaż amerykańskiej policji miejskiej się w nich nie mieści. Europejska siatka bada moralność klienta, nigdy naturę sprzedawanej zdolności.

Po drugie dlatego, że taki produkt nie jest zapasem do wyprzedania, lecz zdolnością, którą się utrzymuje: finansuje badania, kształci inżynierów, gromadzi know-how i tworzy bazę zainstalowaną. W dniu, w którym poważny zamach skłoni państwo członkowskie do zażądania tej zdolności, debata nie będzie już dotyczyć zasadności jej budowy. Ona będzie istnieć, będzie europejska, będzie dojrzała, a jej dostawca będzie częściowo publiczny. Argument „tylko podążamy za rynkiem" staje się wtedy okrężny, ponieważ rynek krajowy zostanie przygotowany przez eksport.

Oto ile warta jest ochrona regulacyjna w tym scenariuszu: chroni Europejczyków przed zastosowaniami, nie przed istnieniem środków. Rozstrzyga kwestię, kto ma prawo nacisnąć przycisk, i zostawia przemysłowi budowanie go, sprzedawanie, ulepszanie, a potem czekanie.

Co można zrobić, bez opowiadania sobie bajek

Pierwszą przywoływaną odpowiedzią jest zawsze losowanie adresu MAC. Zasługuje na uczciwą ocenę, ani promocję, ani deprecjację. Jest realne i działa.

Android od wersji 10 i iOS od wersji 14 domyślnie losują adres MAC używany w Wi-Fi, z odrębnym adresem dla każdej sieci. W Bluetooth Low Energy nowoczesne urządzenia rozgłaszają rozwiązywalne adresy prywatne, które zmieniają się okresowo i mogą zostać powiązane z rzeczywistym urządzeniem tylko przez rozmówcę posiadającego klucz rozwiązywania.

Jego ograniczenia są równie realne.

Parowanie znów otwiera drzwi. Klucz rozwiązywania jest przekazywany podczas parowania. Urządzenie już sparowane lub wyraźnie zatwierdzone odnajduje stałą tożsamość za rotującym adresem. Mechanizm jest do tego stworzony.
Wiele przedmiotów nie losuje niczego. Czujniki ciśnienia w oponach, karty RFID, czipy identyfikacyjne zwierząt, radia samochodowe i tanie peryferia emitują stałe identyfikatory. Karta produktu Leonardo wymienia dokładnie te kategorie, co nie jest przypadkiem.
Losowanie da się wyłączyć. Wyłącza się je sieć po sieci i często jest wyłączone dla wygody, na potrzeby filtrowania MAC na domowym routerze albo z powodu polityki firmowej.
Grupa przeżywa rotację identyfikatorów. To punkt najmniej intuicyjny i najważniejszy. SignalTrace nie szuka identyfikatora, szuka zbioru urządzeń podróżujących razem. Jeśli choć jeden członek grupy emituje stały identyfikator, cały zbiór pozostaje przypisywalny, niezależnie od dyscypliny pozostałych.

Najskuteczniejszy środek pozostaje najnudniejszy: nie emitować. Zakłada to wyłączenie Bluetooth i Wi-Fi na poziomie systemu, w ustawieniach, a nie z panelu skrótów. Rozróżnienie nie jest kosmetyczne, opisaliśmy je szczegółowo w naszym artykule o nieustannej geolokalizacji telefonu: w większości systemów konsumenckich przycisk w panelu szybkiego dostępu przerywa widoczne parowanie, ale pozostawia stos programowy przy życiu, a analizy bliskości trwają dalej. Tamten artykuł opisywał skanowanie Bluetooth jako wektor teoretyczny. SignalTrace jest jego produktem komercyjnym, skatalogowanym i gotowym do dostawy.

Trzeba pozostać uczciwym co do rezultatu: te środki zmniejszają powierzchnię ekspozycji, nie znoszą jej. Pojazd pozostaje tablicą, a tablica pozostaje czytelna. Jedynym sposobem, by nic nie emitować, jest nic nie nosić, co nie jest polityką publiczną.

Co to mówi o naszych wyborach projektowych

W Arpokrat to właśnie to rozumowanie skłoniło nas do obsługi Bluetooth na poziomie Core systemu ArpokratOS, a nie na poziomie ustawień. Przełącznik w interfejsie to preferencja użytkownika: aktualizacja, aplikacja systemowa albo usługa lokalizacji mogą ją obejść lub ponownie włączyć, bez wiedzy użytkownika. Nieobecny stos nie da się ponownie włączyć.

Wobec przechwytywania takiego jak SignalTrace nie czyni to oczywiście urządzenia niewykrywalnym i nie twierdzimy tego: telefon pozostaje w sieci komórkowej, a pozostałe przedmioty w pojeździe emitują na własny rachunek. Gwarantuje to natomiast, że konkretny wektor emisji jest nieobecny z założenia, zamiast być wyłączony na zaufanie. To teza, której broniliśmy w tekście o 5G i błędzie celu w prawie: ochrona prawna skupia się na dostępie do danych, podczas gdy powinna dotyczyć samego istnienia infrastruktury, która je wytwarza. SignalTrace jest tego ilustracją, z tą różnicą, że ta infrastruktura powstaje w Europie.

Wnioski

Najbardziej uderzające w tej sprawie nie jest możliwość techniczna, którą badacze opisywali od lat. To metoda wdrożenia.

Nie będzie nowej sieci kamer do zainaugurowania, żadnej uchwały gminnej do zaskarżenia, żadnego przetargu publicznego rozpoznawalnego jako zmiana natury. Będą moduły dodane do istniejących masztów, w ramach istniejących umów, w programach już dopuszczonych. W dniu, w którym otworzy się debata publiczna, infrastruktura będzie zainstalowana, zamortyzowana i wbudowana w procedury śledcze. Debata będzie wtedy dotyczyć warunków dostępu do bazy, która istnieje, nigdy zasadności jej utworzenia.

Taki jest zwykły porządek rzeczy w kwestii nadzoru i nie jest on przypadkowy. Pozostaje ustalić, czy Europa uważa, że ma coś do powiedzenia, gdy jej właśni przemysłowcy, wsparci przez jej własne państwa, budują tę infrastrukturę dla innych. Prawo europejskie starannie zorganizowało odpowiedź na pytanie, kto może u nas przeglądać te dane. Nigdy nie postawiło pytania, kto ma prawo zbudować maszynę.

5G, dane lokalizacyjne i błąd celu w prawie

Tue, 18 Aug 2026 00:00:00 +0000

W 2011 roku policja z Detroit zwróciła się do operatora komórkowego o historię logowań telefonu Timothy’ego Carpentera do stacji bazowych. Otrzymała 12 898 punktów lokalizacyjnych rozłożonych na 127 dni, około stu dziennie. Siedem lat później Sąd Najwyższy Stanów Zjednoczonych orzekł, że takie żądanie stanowi przeszukanie i wymaga nakazu.

Te 12 898 punktów pochodziło z anten czwartej generacji, z których każda obejmowała promień kilku kilometrów. To samo żądanie skierowane dziś do miejskiej sieci 5G nie zwróciłoby stu punktów dziennie z dokładnością do kilku kilometrów. Zwróciłoby wolumen znacznie większy, z dokładnością do kilkudziesięciu metrów.

Technologia zmieniła skalę. Rozumowanie prawne pozostało w tym samym miejscu łańcucha.

Dobro prawne uznawane przez sądy po obu stronach Atlantyku

Istnieje interes, który przyznaje niemal każdy, a którego niemal żaden przepis nie chroni skutecznie: prawo do przebywania gdzieś bez rejestrowania tego faktu.

Orzecznictwo europejskie ustaliło to jednoznacznie. W sprawie Digital Rights Ireland (sprawy połączone C-293/12 i C-594/12, 8 kwietnia 2014 r.), a następnie w Tele2 Sverige i Watson (sprawy połączone C-203/15 i C-698/15, wielka izba, 21 grudnia 2016 r.) Trybunał Sprawiedliwości Unii Europejskiej orzekł, że dane te, rozpatrywane łącznie, pozwalają wyciągnąć bardzo precyzyjne wnioski o życiu prywatnym osób: nawyki dnia codziennego, miejsca pobytu, przemieszczanie się, wykonywane czynności i relacje społeczne.

Sąd Najwyższy Stanów Zjednoczonych doszedł do zbliżonego wniosku w sprawie Carpenter v. United States, 585 U.S. 296 (2018). Podkreślił punkt szeroko komentowany w amerykańskiej doktrynie: nieunikniony i automatyczny charakter tego zbierania. Nikt nie wyraża zgody na zalogowanie do stacji bazowej; jest do niej zalogowany dlatego, że ma włączony telefon.

Dobro prawne zatem istnieje i jest uznawane przez dwa sądy, które w tej dziedzinie się liczą. Problem leży gdzie indziej.

Co naprawdę zmieniło 5G

Powszechne nieporozumienie polega na traktowaniu lokalizacji jako danej, którą telefon przesyła, tak samo jak wiadomość czy zdjęcie. Tak nie jest. Lokalizacja to fizyczna konsekwencja działania sieci. Operator wie, do której anteny podłączone jest urządzenie, ponieważ musi to wiedzieć, aby skierować połączenie. Nie istnieje żaden klucz pozwalający zaszyfrować tę informację, gdyż nie jest ona treścią, lecz właściwością samego połączenia.

To właśnie czyni 5G istotnym w wymiarze prawnym, a nie technicznym.

Wcześniejsze architektury opierały się na szerokich komórkach. Antena 4G obsługuje zwykle promień kilku kilometrów, a pozycja wywnioskowana z samego zalogowania liczona była w setkach metrów w mieście, czasem w dziesiątkach kilometrów na wsi. 5G opiera się na masowym zagęszczeniu: komórki miejskie obejmują zazwyczaj kilkaset metrów, a literatura inżynierska zakłada gęstości rzędu czterdziestu do pięćdziesięciu stacji bazowych na kilometr kwadratowy, wobec czterech czy pięciu w epoce 3G.

Konsekwencja jest mechaniczna. Według białej księgi Ericssona o pozycjonowaniu 5G infrastruktura wdrożona wyłącznie dla łączności osiąga dokładność od dwudziestu do pięćdziesięciu metrów na zewnątrz i od jednego do trzech metrów wewnątrz budynków, a w sprzyjających warunkach miejskich schodzi poniżej metra. Nie chodzi o gdzieś włączoną funkcję lokalizacji, lecz o to, co sieć wie z samej swojej konstrukcji, bez zainstalowanej aplikacji i bez udzielonego uprawnienia. Wszystkie te mechanizmy, wraz ze środkami zaradczymi, które naprawdę działają, opisaliśmy szczegółowo w artykule o stałej geolokalizacji telefonu.

Ingerencja wzrosła zatem o kilka rzędów wielkości. Obowiązujące ramy prawne pozostają tymi pomyślanymi dla 2G i 3G. Żadne dostosowanie normatywne nie towarzyszyło tej zmianie skali.

Prawo chroni dostęp, nie powstawanie

Prawo europejskie starannie reguluje, kto może uzyskać dostęp do danych lokalizacyjnych, na jakich warunkach i pod jaką kontrolą. Dyrektywa 2002/58/WE ustanawia zasadę poufności komunikacji, a Trybunał Sprawiedliwości orzekł w sprawie La Quadrature du Net (sprawy połączone C-511/18, C-512/18 i C-520/18, wielka izba, 6 października 2020 r.), że art. 15 ust. 1 tej dyrektywy, odczytywany w świetle art. 7, 8, 11 i 52 ust. 1 Karty, stoi na przeszkodzie uogólnionemu i niezróżnicowanemu zatrzymywaniu danych o ruchu i danych o lokalizacji w celach prewencyjnych. Trybunał dopuścił jednak ograniczone odstępstwa, gdy państwo członkowskie stoi w obliczu poważnego zagrożenia bezpieczeństwa narodowego, które okazuje się rzeczywiste i aktualne lub przewidywalne, pod warunkiem skutecznej kontroli.

To realne gwarancje i absurdem byłoby je pomniejszać. Ale wszystkie wkraczają po fakcie. Zakładają, że dana istnieje, że jest przechowywana, a następnie porządkują warunki jej wykorzystania.

Jeśli jednak lokalizacja jest nieuniknionym produktem ubocznym działania sieci, właściwym punktem interwencji nie jest poufność. Jest nim trwałość.

Chwilowa pozycja, niezbędna do zestawienia połączenia i skasowana zaraz potem, nie jest narzędziem inwigilacji. Historia pozycji przechowywana przez miesiące nim jest, niezależnie od otaczających ją gwarancji dostępu.

Różnica między nimi nie jest prawna, lecz architektoniczna. A europejski kalendarz czyni tę kwestię pilną, a nie teoretyczną. Komisja wycofała projekt rozporządzenia ePrivacy w 2025 roku wobec braku porozumienia współprawodawców. Od tego czasu pracuje nad odrębnym instrumentem dotyczącym zatrzymywania danych na potrzeby postępowań karnych, zapowiedzianym na 2026 rok i mającym zharmonizować reżimy krajowe, które stały się rozbieżne po unieważnieniu dyrektywy z 2006 roku. Innymi słowy, tekst, który na dekadę ustali reżim metadanych lokalizacyjnych, powstaje właśnie teraz, na podstawie rozumowania wypracowanego w czasach komórek o zasięgu kilometrów.

Precedens, który 5G stworzyło samo

Najciekawsze w tej sprawie jest to, że właściwa odpowiedź już figuruje w normie technicznej, tyle że zastosowana do innego przedmiotu.

Aż do 4G stały identyfikator abonenta, IMSI, przesyłany był otwartym tekstem przez interfejs radiowy podczas logowania. To właśnie umożliwiło działanie IMSI catcherów, owych fałszywych stacji bazowych, które według referencyjnego opisu Electronic Frontier Foundation nadają mocniej niż legalne anteny, by przyciągnąć terminale i przechwycić ich identyfikator.

Od Release 15 specyfikacji 3GPP, opublikowanej w 2019 roku, 5G przynosi eleganckie rozwiązanie. Stały identyfikator, nazywany teraz SUPI, może zostać zastąpiony na interfejsie radiowym przez SUCI, identyfikator ukryty, uzyskany przez zaszyfrowanie części właściwej abonentowi za pomocą kryptografii krzywych eliptycznych, kluczem publicznym operatora macierzystego. Odszyfrować go może wyłącznie sieć macierzysta, która posiada odpowiadający klucz prywatny. Wynik jest niepowtarzalny przy każdym obliczeniu, co uniemożliwia korelację między sesjami.

Przyjęta logika zasługuje na podkreślenie, ponieważ jest dokładnie tą, którą powinien kierować się prawodawca: nie szyfruje się pozycji, co byłoby technicznie niemożliwe, szyfruje się tożsamość. Pozycja pozbawiona przypisywalnej tożsamości ma bardzo ograniczoną wartość dla inwigilacji zindywidualizowanej.

Luka: ochrona fakultatywna

Istnieje jednak poważne zastrzeżenie i jest to naszym zdaniem najbardziej konkretny punkt interwencji w całej sprawie.

Biała księga NIST CSWP 36A, opublikowana w marcu 2026 roku przez National Institute of Standards and Technology, mówi to wprost. Terminale i funkcje sieciowe zgodne z Release 15 lub późniejszą są zobowiązane obsługiwać SUCI, ale jego włączenie pozostaje fakultatywne dla operatora. Muszą być spełnione trzy warunki: producent sprzętu musi go obsługiwać, operator musi go włączyć w swojej sieci, a karta SIM musi zawierać elementy niezbędne do obliczenia.

Dochodzi do tego pułapka konfiguracyjna. Norma przewiduje zerowy schemat ochrony, w którym format SUCI jest formalnie stosowany, lecz bez rzeczywistego szyfrowania, wskutek czego identyfikator wędruje otwartym tekstem. NIST pisze, że operator musi skonfigurować swoją sieć ze schematem ochrony niezerowym, i przypomina, że raport CSRIC, organu doradczego Federal Communications Commission, już w 2021 roku zalecał zarezerwowanie schematu zerowego wyłącznie dla połączeń alarmowych z terminala nieznanego sieci.

Warto zostawić to sformułowanie takim, jakie jest. Najlepsza dostępna ochrona przed śledzeniem terminali mobilnych istnieje w normie technicznej od 2019 roku. Opiera się na wyborze konfiguracyjnym pozostawionym uznaniu operatora. Amerykańska agencja federalna uznaje za stosowne opublikować w 2026 roku dokument przypominający, że należałoby ją włączyć. I żaden europejski instrument prawny jej nie nakazuje.

Trzeba dodać, że SUCI nie zamyka tematu. Prace przedstawione pod tytułem 5G SUCI-catchers: still catching them all? dokumentują ataki powiązaniowe pozwalające ponownie skorelować sesje mimo szyfrowania, a ochrona upada całkowicie, jeśli atakujący zmusi terminal do przejścia na wcześniejszą generację. Obowiązek prawny nie rozwiązałby więc wszystkiego. Zlikwidowałby jednak rozziew, dla którego nie ma żadnego dającego się obronić uzasadnienia: ten między tym, na co pozwala norma, a tym, co robią sieci komercyjne.

Trzy spójne interwencje

Jeśli poważnie potraktować myśl, że lokalizację należy minimalizować już na etapie projektowania, a nie chronić po fakcie, logicznie narzucają się trzy środki.

Uczynić obowiązkowym rzeczywiste ukrycie identyfikatora. Nakazać włączenie SUCI i zakazać zerowych schematów ochrony w sieciach komercyjnych, poza szczątkowym przypadkiem połączeń alarmowych. Nie chodzi o narzucanie nowej technologii ani o finansowanie wdrożenia, lecz o wymóg włączenia funkcji znormalizowanej od siedmiu lat i już obecnej w sprzęcie.
Traktować przechowywanie jako wyjątek, a nie ustawienie domyślne. Pozycja niezbędna do zestawienia połączenia powinna być kasowana, gdy tylko ta funkcja zostanie spełniona. Tworzenie historii powinno wymagać szczególnego uzasadnienia. To różnica między siecią, która wie, gdzie jesteś, a siecią, która pamięta, gdzie byłeś.
Uczynić pieczę nad kluczem właściwym łącznikiem. Umiejscowienie serwerów w Unii niewiele znaczy, jeśli klucze pozwalające uczynić dane zrozumiałymi znajdują się gdzie indziej. Kryterium prawnie istotnym powinno być faktyczne władztwo nad środkami deszyfrowania, kwestia, którą szczegółowo zbadaliśmy przy okazji konfliktu między Data Act a CLOUD Act.

Perspektywa, którą przyjmuje Arpokrat

To rozumowanie nie jest właściwe wyłącznie prawu telekomunikacyjnemu. Stosujemy je do własnych decyzji architektonicznych i mieści się ono w jednym zdaniu: to, co nie zostało wytworzone, nie wymaga ochrony.

Dlatego ArpokratOS usuwa GPS, Bluetooth i NFC na poziomie jądra, zamiast wyłączać je w menu. Przełącznik jest polityką: może zostać obejściem przez komponent uprzywilejowany, ponownie włączony przez aktualizację, zignorowany przez skompromitowany system. Usunięcie ścieżki kodu likwiduje samo pytanie. To przeniesienie, w skali urządzenia, tego samego przesunięcia, którego domagamy się w skali prawa: interweniować przy powstawaniu, a nie przy dostępie.

Trzeba od razu powiedzieć, czego to nie robi. Żaden system operacyjny nie wyjmuje terminala z geometrii sieci. Dopóki karta SIM jest aktywna, operator zna komórkę zalogowania, a przepuszczenie całego ruchu przez Tor nic tu nie zmienia, ponieważ chroni ono treść i miejsce docelowe, a nie warstwę radiową. Właśnie dlatego temat jest prawny. Istnieje kategoria ryzyk, których nie zmniejsza żadna indywidualna konfiguracja i dla których jedyną dostępną zmienną jest reguła obowiązująca operatora.

Ta sama troska rządzi resztą naszej pracy. Dana, która nie istnieje, nie może zostać zarekwirowana, odsprzedana, wyprowadzona ani odszyfrowana za dziesięć lat przez maszynę, którą dziś nikt nie dysponuje, kwestia, którą omówiliśmy pod kątem szyfrowania zbieranego teraz i łamanego później.

Wnioski

Debata publiczna o inwigilacji mobilnej koncentruje się niemal wyłącznie na dostępie: kto może przeglądać dane, na jakiej podstawie, za czyim zezwoleniem. Ta debata jest uprawniona, a orzeczenia wydane od 2014 roku przez Trybunał Sprawiedliwości przyniosły wymierne skutki. Ale wkracza zbyt późno w łańcuchu.

Pytanie wcześniejsze i bardziej rozstrzygające brzmi, czy historia w ogóle powinna istnieć. Baza utworzona dziś w uzasadnionym celu pozostaje jutro dostępna dla innego, a otaczające ją gwarancje zależą od późniejszych decyzji politycznych, nad którymi w chwili zbierania nikt nie panuje. To zakład o stabilność instytucji, zawarty na okres, którego nikt nie wyznacza.

5G zwielokrotniło rozdzielczość tej informacji, choć nie nastąpiło żadne dostosowanie normatywne. Jednocześnie pokazało, poprzez mechanizm SUCI, że wykonalną drogą jest oddzielenie pozycji od tożsamości, a nie próba zaszyfrowania fizycznej właściwości sieci. Norma techniczna dostarczyła odpowiedzi siedem lat wcześniej, nim prawo postawiło pytanie.

Europejski tekst o zatrzymywaniu danych powstaje teraz. Będzie dotyczył metadanych, a więc lokalizacji, a więc tego, co 5G wytwarza dziś z dokładnością, jakiej jego redaktorzy nie znali. To, czy poprzestanie na uporządkowaniu dostępu do historii przyjętej za oczywistość, czy też odważy się zapytać o konieczność tej historii, jest prawdopodobnie najważniejszym pytaniem o prywatność w Europie na najbliższe lata. I jest to pytanie, które sektor techniczny, tym razem, rozstrzygnął już we właściwą stronę.

Źródła

Trybunał Sprawiedliwości Unii Europejskiej, Digital Rights Ireland, sprawy połączone C-293/12 i C-594/12, 8 kwietnia 2014 r.
Trybunał Sprawiedliwości Unii Europejskiej, Tele2 Sverige i Watson, sprawy połączone C-203/15 i C-698/15, wielka izba, 21 grudnia 2016 r.
Trybunał Sprawiedliwości Unii Europejskiej, La Quadrature du Net i in., sprawy połączone C-511/18, C-512/18 i C-520/18, wielka izba, 6 października 2020 r.
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, marzec 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta i in., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Stała geolokalizacja: jak telefon śledzi cię nawet wtedy, gdy myślisz, że mu to uniemożliwiłeś

Sun, 02 Aug 2026 00:00:00 +0000

W 2024 roku dwaj badacze z Uniwersytetu Maryland wielokrotnie odpytywali usługę pozycjonowania Wi-Fi firmy Apple, bez żadnych szczególnych uprawnień ani specjalistycznego sprzętu, i w ciągu roku odtworzyli dokładne położenie ponad dwóch miliardów punktów dostępowych Wi-Fi na świecie. Ich praca Surveilling the Masses with Wi-Fi-Based Positioning Systems pokazuje, co taka mapa umożliwia: śledzenie sprzętu wjeżdżającego na Ukrainę i z niej wyjeżdżającego, obserwowanie przemieszczeń ludności po pożarach na Maui, namierzenie konkretnej osoby przez jej domowy router.

W żadnym z tych urządzeń nie był włączony GPS. Pozycja pochodziła skądinąd.

To najczęstszy martwy punkt w kwestii prywatności mobilnej: przekonanie, że istnieje przełącznik lokalizacji i że po jego wyłączeniu telefon przestaje wiedzieć, gdzie się znajduje. To przekonanie jest fałszywe na siedmiu różnych poziomach.

Lokalizacja nie jest funkcją, którą telefon włącza. Jest właściwością tego, czym telefon jest.

GPS, czyli najmniej problematyczny wektor

Jedyny mechanizm, który wszyscy potrafią nazwać, jest zarazem tym, który powinien niepokoić najmniej.

GNSS, termin zbiorczy obejmujący amerykański GPS, Galileo, GLONASS i BeiDou, działa przez nasłuch. Satelity nadają w sposób ciągły sygnały ze znacznikiem czasu, odbiornik odbiera kilka z nich i wylicza swoją pozycję na podstawie różnic czasu propagacji. Typowa dokładność w otwartym terenie: od trzech do pięciu metrów, w mieście często kilkadziesiąt metrów, bo elewacje odbijają sygnały.

Rozstrzygające jest to, że obliczenie ma charakter pasywny. Telefon nie nadaje niczego w stronę satelitów, żaden operator satelitarny nie wie, że istniejesz. Gdyby w grze był wyłącznie GNSS, wyłączenie GPS by wystarczyło.

Jest tu jednak pewien niuans. Aby przyspieszyć pierwsze wyznaczenie pozycji, telefony korzystają z A-GPS: pobierają efemerydy satelitarne z serwera, poprzez protokół SUPL. Żeby otrzymać właściwe dane, telefon przekazuje temu serwerowi identyfikator komórki sieci, do której jest przyłączony. Czysty GNSS cię nie zdradza, ale doczepiony do niego akcelerator już tak.

Sieć komórkowa: to, co operator wie z definicji

Żeby połączenie mogło do ciebie dotrzeć, sieć musi wiedzieć, w jakim obszarze się znajdujesz. To nie jest opcja do włączenia, to warunek istnienia usługi. Telefon nieustannie zgłasza się do najbliższej stacji bazowej, a ta rejestracja zostawia ślad po stronie operatora. Żadnej zainstalowanej aplikacji, żadnego przyznanego uprawnienia: wystarczy aktywna karta SIM.

Dokładność zależy od metody:

Sam identyfikator komórki: od 200 metrów w gęstej zabudowie miejskiej do ponad 30 kilometrów na wsi, gdzie jedna stacja obsługuje bardzo duży promień.
Wzbogacony Cell ID, który dodaje sektor anteny (większość stacji jest podzielona na trzy sektory po 120 stopni) oraz siłę sygnału: od 100 metrów do kilku kilometrów.
Timing advance, mierzący opóźnienie w obie strony między telefonem a stacją: rzędu 550 metrów w GSM, około 78 metrów w LTE.
Multilateracja na trzech lub więcej stacjach: od 50 do 300 metrów w miejskim LTE.

5G zmienia skalę z dwóch nakładających się powodów. Po pierwsze gęstość: komórki 5G pokrywają znacznie mniejsze promienie, więc już samo przyłączenie jest informacją precyzyjną. Po drugie normalizacja: od wydania Release 16 3GPP uwzględnia natywne sygnały pozycjonujące. Cele komercyjne to poniżej 3 metrów w pomieszczeniach i poniżej 10 metrów na zewnątrz dla 80 % terminali, a Release 18 schodzi do centymetrów w niektórych zastosowaniach przemysłowych.

Infrastruktura, która cię łączy, staje się więc systemem pozycjonowania o jakości porównywalnej z GPS, bez włączania czegokolwiek z twojej strony. Dane te są przechowywane zgodnie z przepisami krajowymi i udostępniane organom w różnych trybach. To ten sam spór, co przy jurysdykcji właściwej dla danych hostowanych: ochrona techniczna i ochrona prawna nie pokrywają się.

Wi-Fi: mapa świata zbudowana z adresów sprzętowych

Każdy punkt dostępowy Wi-Fi rozgłasza nieprzerwanie unikalny identyfikator sprzętowy, BSSID. Identyfikatory te są stałe i geograficznie niezmienne: domowy router stoi latami w tym samym miejscu.

Apple, Google i kilku wyspecjalizowanych graczy utrzymują bazy wiążące każdy BSSID ze współrzędnymi, budowane przez telefony ich własnych użytkowników, które przesyłają listę widocznych punktów wraz z pozycją GNSS. Następnie operacja zostaje odwrócona: telefon widzący cztery znane punkty nie potrzebuje już ani jednego satelity. W gęstej zabudowie miejskiej dokładność sięga zwykle kilkudziesięciu metrów, a wewnątrz budynków schodzi jeszcze niżej.

Dwie cechy sprawiają, że ten mechanizm trudno zneutralizować. Po pierwsze telefon skanuje nawet wtedy, gdy Wi-Fi wydaje się wyłączone: od Androida 4.3 system utrzymuje okresowe skanowanie służące poprawie lokalizacji, niezależnie od przełącznika w panelu szybkich ustawień. To zachowanie zależy od odrębnej opcji, ukrytej w usługach lokalizacji, której praktycznie żaden użytkownik nigdy nie otworzył.

Po drugie bazę można odpytywać z zewnątrz. To właśnie luka wykorzystana przez Rye’a i Levina: interfejsy pozycjonowania zwracają nie tylko żądaną pozycję, ale również pozycje sąsiednich punktów, co pozwala zbierać mapę bez zbliżania się fizycznie do tych miejsc.

Bluetooth i BLE: zlokalizowany przez telefony innych ludzi

Bluetooth Low Energy dokłada warstwę bliskości, o zasięgu od kilku do kilkudziesięciu metrów, a więc o ziarnistości znacznie drobniejszej niż sieć komórkowa. Współistnieją dwa zastosowania. Beacony komercyjne, rozmieszczone w sklepach, na lotniskach czy w centrach handlowych, nadają identyfikator rozpoznawany przez aplikacje obecne w telefonie, co ujawnia, przed którą półką się zatrzymałeś i na jak długo. Oraz sieci lokalizacji współdzielonej, których wzorcem jest Find My firmy Apple, przejęty od tego czasu przez Google i Samsunga.

Ten drugi mechanizm odwraca milczące założenie. Referencyjna analiza Who Can Find My Devices?, opublikowana w materiałach PETS 2021 przez badaczy z Politechniki w Darmstadt, odtworzyła protokół Apple metodą inżynierii wstecznej. Urządzenie bez połączenia nadaje sygnał BLE, dowolne urządzenie Apple w pobliżu go odbiera, dołącza własną pozycję i przesyła ją zaszyfrowaną na serwery Apple, bez wiedzy zarówno swojego właściciela, jak i właściciela urządzenia lokalizowanego.

Konsekwencja ma charakter strukturalny: urządzenie bez karty SIM, bez Wi-Fi, bez jakiegokolwiek połączenia sieciowego pozostaje możliwe do zlokalizowania, o ile obok przejdzie nieznajomy z telefonem w kieszeni. Twoja izolacja nie zależy już od twoich ustawień, lecz od ustawień przechodniów.

Czujniki inercyjne: lokalizacja bez uprawnienia do lokalizacji

Telefon zawiera akcelerometr, żyroskop, magnetometr i często barometr. Czujniki te należą do kategorii uprawnień odrębnej od lokalizacji: aplikacja może je odczytywać, nigdy nie pytając, gdzie jesteś.

Badacze z Princeton wykazali to przy pomocy PinMe. Ich aplikacja wychodzi od adresu IP i strefy czasowej, by uzyskać zgrubną pozycję, a następnie odczytuje czujniki: akcelerometr daje profil przyspieszania i hamowania, żyroskop sekwencję zakrętów, magnetometr kurs, barometr zmiany wysokości. Sieć neuronowa rozpoznaje środek transportu, pieszo, samochód, pociąg czy samolot, a trasa jest dopasowywana do publicznych danych kartograficznych, wysokościowych i pogodowych. Wynik: trajektoria o dokładności porównywalnej z GPS, bez uprawnienia do lokalizacji. Metoda ma ograniczenia, które autorzy dokumentują, ponieważ zawodzi na obszarach bez dróg i pogarsza się przy jednolitych układach szachownicowych, gdzie wiele tras daje tę samą sygnaturę. Pozostaje jednak dowodem, że odmówione uprawnienie nie jest zamkniętymi drzwiami.

Barometr dostarcza ponadto wymiaru, z którym GNSS radzi sobie źle, czyli pionowego. Amerykańskie wymogi dotyczące połączeń alarmowych narzucają dokładność na poziomie kondygnacji plus minus 3 metry dla 80 % połączeń wykonywanych w budynkach. Wiedzieć, na którym piętrze ktoś się znajduje, to zupełnie inna wiedza niż wiedzieć, w którym kwartale ulic.

Rynek danych: wektor najbardziej banalny

Powyższe mechanizmy opisują, w jaki sposób pozycja jest wyliczana. Pozostaje pytanie, dokąd ona trafia, i tam właśnie rozgrywa się większość codziennego ryzyka.

Tysiące aplikacji zawierają reklamowe SDK, komponenty programowe dostarczane przez podmioty trzecie, które deweloper dodaje, by zmonetyzować swoją pracę lub mierzyć zasięg. Komponenty te dziedziczą uprawnienia aplikacji goszczącej: aplikacja pogodowa, która zasadnie potrzebuje twojej pozycji, przekazuje ją podmiotom, których nazw nigdy nie czytałeś. Do tego dochodzą strumienie aukcji reklamowych, w których twoja przybliżona pozycja jest rozsyłana do dziesiątek potencjalnych kupujących przy każdym wyświetleniu banera, w tym do tych, którzy niczego nie kupują i poprzestają na nasłuchiwaniu.

Ten surowiec zasila cały przemysł. Electronic Frontier Foundation udokumentowała przypadek Fog Data Science, firmy deklarującej miliardy punktów danych o ponad 250 milionach urządzeń, sprzedawanych lokalnym policjom w Stanach Zjednoczonych. Brian Krebs opisał Locate X, produkt pozwalający obrysować wielokąt na mapie i zobaczyć historię urządzeń, które wjechały do tego obszaru i go opuściły.

Ten wektor nie wymaga żadnego wyczynu technicznego, wystarczy, że ktoś zgodzi się zapłacić. Cena jest niewielka.

IMSI catchery: lokalizacja aktywna

Opisane dotąd mechanizmy wykorzystują normalne działanie systemu. Istnieje również lokalizacja aktywna, prowadzona przez podmiot ingerujący w sieć.

IMSI catcher, czyli symulator stacji bazowej, to urządzenie podszywające się pod legalną stację. Telefony w zasięgu przyłączają się do niego, ujawniając identyfikator abonenta i swoją obecność w ściśle ograniczonym obszarze.

5G miało zamknąć te drzwi, zastępując stały identyfikator przesyłany jawnie identyfikatorem zaszyfrowanym, SUCI. Zamknięcie jest częściowe. Prace przedstawione pod tytułem 5G SUCI-catchers: still catching them all? dokumentują ataki wiążące, pozwalające ponownie skorelować sesje mimo szyfrowania. Przede wszystkim jednak ochrona upada całkowicie, jeśli atakujący zmusi terminal do zejścia na wcześniejszą generację, zwłaszcza 2G, którego uwierzytelnianie jest jednostronne. Telefon 5G pozostaje podatny na atak zaprojektowany dla sieci z lat dziewięćdziesiątych, ponieważ nadal godzi się na takie zejście.

Środki zaradcze i ich rzeczywista skuteczność

Każdy z poniższych środków coś daje. Żaden nie daje wszystkiego, a rozziew między tym, co robią, a tym, co się im przypisuje, prowadzi do złych decyzji.

Tryb samolotowy

Tryb samolotowy odcina nadawanie modemu komórkowego, Wi-Fi i Bluetootha. To działa naprawdę i jest to najlepszy rezultat przy tak niewielkim wysiłku.

Czego nie robi: nie zatrzymuje czujników inercyjnych, nie usuwa pozycji już zapisanych w pamięci podręcznej, które wyjdą przy ponownym połączeniu, a na większości urządzeń pozwala włączyć z powrotem Wi-Fi lub Bluetooth osobno, bez wychodzenia z niego. Jest wreszcie stanem programowym, a nie odcięciem zasilania: jego wiarygodność zależy od integralności systemu, który go egzekwuje.

Niedoceniany szczegół: odłączenie od sieci i ponowne przyłączenie same w sobie są zdarzeniami ze znacznikiem czasu po stronie operatora. Telefon, który znika o 21 w jednej komórce i pojawia się o 23 w innej, wytworzył informację, a nie ciszę.

Losowanie adresu MAC

Systemy mobilne emitują dziś przy skanowaniu losowe adresy MAC, aby uniemożliwić śledzenie z miejsca na miejsce. Intencja jest dobra, rezultat niepełny. Prace referencyjne, w tym Why MAC Address Randomization is not Enough, pokazują, że sama zawartość ramek rozpoznawczych często wystarcza do ponownego zidentyfikowania urządzenia: liczba elementów informacyjnych, ich wartości i kolejność tworzą odcisk. Dochodzą do tego numery sekwencyjne, przyrostowe, a więc dające się połączyć w łańcuch, oraz sygnatura czasowa właściwa każdemu modelowi. Niektóre badania donoszą o poprawnym śledzeniu połowy urządzeń przez co najmniej dwadzieścia minut.

Wreszcie ograniczenie pojęciowe: losowanie dotyczy wyłącznie fazy wykrywania. Gdy tylko połączysz się z siecią, używany adres jest dla tej sieci stały, z założenia, żeby połączenie działało. Kawiarnia, do której chodzisz co rano, rozpoznaje cię.

Naprawdę wyłączyć skanowanie

To ustawienie najbardziej opłacalne i najczęściej pomijane. W Androidzie wyszukiwanie Wi-Fi i wyszukiwanie Bluetooth to dwie odrębne opcje, umieszczone w usługach lokalizacji, niezależne od przełączników w panelu szybkich ustawień. Dopóki są aktywne, wyłączenie Wi-Fi z panelu nie wystarcza: skanowanie trwa dalej.

Ich wyłączenie usuwa całą warstwę zbierania danych, a jedynym kosztem jest nieco wolniejsze pierwsze wyznaczenie pozycji. Dla większości czytelników to najlepszy stosunek włożonego wysiłku do uzyskanego efektu.

Uprawnienia aplikacji

Odbieranie uprawnienia do lokalizacji aplikacjom, które ewidentnie go nie potrzebują, pozostaje przydatne, a nowsze systemy oferują trzy stopnie: zgodę jednorazową, zgodę ograniczoną do aktywnego użycia oraz lokalizację przybliżoną, przekazującą jedynie obszar rzędu kilometra.

Nie chroni to natomiast ani przed SDK osadzonymi w aplikacji mającej uzasadniony powód dostępu do twojej pozycji, ani przed czujnikami inercyjnymi, ani przed warstwami sieciowymi, które nie przechodzą przez żadne uprawnienie.

Przed czym VPN nie chroni

Punkt wymagający wyjaśnienia, bo przekonanie odwrotne jest bardzo rozpowszechnione: VPN nie ukrywa twojej lokalizacji. Ukrywa twój publiczny adres IP, więc zafałszowuje geolokalizację po IP, która i tak jest najbardziej zgrubnym mechanizmem z całej listy.

VPN nie dotyka ani odbiornika GNSS, ani skanowania Wi-Fi, ani Bluetootha, ani czujników. Nie zmienia niczego w tym, co wie twój operator, ponieważ zaszyfrowany tunel przechodzi przez jego stacje, a przyłączenie do komórki pozostaje dla niego widoczne. Nie powstrzymuje aplikacji dysponującej uprawnieniem do lokalizacji przed przesłaniem dokładnych współrzędnych wewnątrz tunelu. VPN chroni treść i cel twojej komunikacji w niezaufanej sieci, a to już dużo. Lokalizacja nie mieści się w jego zakresie.

Granice fizyczne

Etui Faradaya działa w sensie dosłownym: blokuje nadawanie i odbiór. Wyjęcie baterii również, tam gdzie jest to jeszcze możliwe. Osobne urządzenie albo po prostu zostawienie telefonu gdzie indziej pozostaje środkiem najbardziej odpornym.

Rozwiązania te mają wspólną wadę, której trzeba spojrzeć w oczy: wytwarzają anomalię. Telefon, który milknie na dwie godziny w każdy wtorkowy wieczór, coś mówi. Wobec przeciwnika analizującego wzorce, a nie chwilowe pozycje, nieobecność jest daną.

Trzej przeciwnicy, trzy strategie

To najważniejsze rozróżnienie w tym artykule i zarazem to, które czyta się najrzadziej.

Przeciwko reklamodawcy lub brokerowi danych walka jest do wygrania. Dyscyplina uprawnień, wyłączenie skanowania, system bez zamkniętych usług lokalizacji, resetowanie identyfikatora reklamowego: razem bardzo silnie redukują zbierany wolumen. Ten przeciwnik szuka taniej masy, a nie twojego konkretnego przypadku.

Przeciwko twojemu operatorowi żadna konfiguracja nie wystarczy. Lokalizacja komórkowa jest warunkiem usługi. Jedyne realne zmienne są prawne, czyli to, co ustawa pozwala przechowywać i przekazywać, oraz materialne: jakie urządzenie, jaka karta SIM, na czyje nazwisko, włączona gdzie.

Przeciwko ukierunkowanemu przeciwnikowi państwowemu rozumowanie zmienia się jeszcze raz, ponieważ łączy on legalny dostęp do danych operatora, aktywną lokalizację symulatorem stacji, żądania wobec platform i, w razie potrzeby, kompromitację samego terminala. Programowe środki zaradcze zmniejszają powierzchnię, ale realistycznym celem nie jest zniknięcie: jest nim dokładna wiedza o tym, co pozostaje odsłonięte.

Podejście ArpokratOS

ArpokratOS odpowiada na ten krajobraz wyborem wynikającym z powyższego rozróżnienia: to, co ma zostać zneutralizowane, neutralizuje się na poziomie systemu, a nie w menu.

W przypadku GNSS sterownik sprzętowy zostaje usunięty. Urządzenie zachowuje się tak, jakby układ nie istniał, zarówno wobec aplikacji, jak i wobec samego systemu. Różnica względem przełącznika w ustawieniach nie jest kosmetyczna. Przełącznik to polityka: egzekwuje ją warstwa, którą wystarczająco uprzywilejowany komponent może obejść, aktualizacja ponownie włączyć, a skompromitowany system zignorować. Usunięcie ścieżki kodu likwiduje pytanie, bo nie ma już czego włączać.

Bluetooth jest traktowany na poziomie Core, według tej samej logiki. Bluetooth wyłączony w ustawieniach w praktyce pozostawia na wielu urządzeniach żywy stos programowy, obsługujący usługi bliskości i sieci lokalizacji współdzielonej. Nieobecny na poziomie systemu nie może ani rozmawiać z beaconem sklepowym, ani uczestniczyć w sieci typu Find My, ani służyć jako powierzchnia ataku bez interakcji.

Trzeba jasno powiedzieć, czego to nie daje. ArpokratOS nie czyni telefonu niewykrywalnym. Dopóki aktywna jest karta SIM, operator zna komórkę przyłączenia i żaden system operacyjny tego nie zmieni, nawet przy całym ruchu kierowanym przez Tor. Trasowanie chroni treść i cel, a nie geometrię radiową. Kto obiecuje niewidzialność, sprzedaje bajkę.

To, co taka architektura wnosi, jest skromniejsze: usunięcie warstw aplikacyjnej i bliskościowej, przez które przechodzi zdecydowana większość realnego zbierania danych, oraz jawny model zagrożeń dla tego, co pozostaje. To rozumowanie zastosowane do wyboru systemu na komputer, opisane w naszym porównaniu systemów operacyjnych: użyteczne pytanie nie brzmi, czy narzędzie chroni, lecz przed czym chroni i jakim kosztem.

Podsumowanie

Ten artykuł nie dostarcza metody na zniknięcie. Taka metoda nie istnieje, a teksty twierdzące inaczej wytwarzają przede wszystkim fałszywą pewność, groźniejszą niż brak ochrony, bo skłaniającą do podejmowania ryzyka.

Celem było zastąpienie pytania zerojedynkowego, czy jestem lokalizowalny czy nie, pytaniem użytecznym: przez kogo, z jaką dokładnością, jakim kosztem dla nich i czy mnie to obchodzi. Odpowiedź jest inna dla dziennikarza chroniącego źródło, dla menedżera podróżującego po wrażliwej jurysdykcji, dla adwokata, którego spotkania zdradzają strategię, i dla osoby prywatnej zirytowanej tym, że reklamodawca zna jej przyzwyczajenia.

Uwagę powinna zresztą przyciągać nie skuteczność każdego z tych mechanizmów z osobna, lecz to, że one się nakładają. Pozycja z dokładnością do pięćdziesięciu metrów nie jest szczególnie ciekawa. Pozycja z dokładnością do pięćdziesięciu metrów, co kwadrans, przez dwa lata, rysuje miejsce zamieszkania, miejsce pracy, wyznanie, stan zdrowia, romans, źródło informacji. Dana lokalizacyjna to metadana, która czyni wszystkie pozostałe czytelnymi, i właśnie dlatego jest tyle warta.

Źródła

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense