Metadane on Arpokrat

Porównanie komunikatorów szyfrowanych 2026: szyfrowanie już nie wystarcza

Thu, 10 Sep 2026 00:00:00 +0000

Otwórz WhatsAppa, Telegrama, Signala, Messengera, Google Messages. Wszystkie te aplikacje wyświetlają dziś gdzieś w swoim interfejsie tę samą obietnicę: szyfrowanie end-to-end. Formuła stała się standardowym argumentem handlowym, dokładnie tak jak „bez zobowiązań" u operatora komórkowego. Nie różnicuje już niczego, właśnie dlatego, że stała się prawdziwa niemal wszędzie.

A jednak te aplikacje nie są do siebie w niczym podobne. Jedna żąda twojego numeru telefonu i przekazuje wymiarowi sprawiedliwości listę osób, które mają cię w swojej książce adresowej. Druga dosłownie nie wie o tobie nic, nawet tego, że istnieje konto. Pomiędzy nimi kilkanaście projektów dokonuje bardzo różnych wyborów i żaden nie tłumaczy ich jasno na swojej stronie głównej.

Szyfrowanie end-to-end oznacza, że treść twoich wiadomości jest nieczytelna dla pośrednika, który je przenosi. To ważne osiągnięcie i byłoby absurdem je pomniejszać. Nie mówi ono jednak nic o tym, czego ten sam pośrednik dowiaduje się poza treścią: że pisałeś, do kogo, o której godzinie, z jakiego adresu IP, jak często, w jakich grupach, z jakim numerem telefonu powiązanym z twoją tożsamością cywilną.

Szyfrowanie chroni to, co mówisz. Nie chroni faktu, że to powiedziałeś, ani do kogo, ani kiedy, ani skąd.

Ten artykuł nie ustala rankingu. Nie istnieje najlepszy komunikator w sensie absolutnym, ponieważ nie istnieje przeciwnik ogólny. To, co proponuje ten materiał, to najpierw siatka siedmiu kryteriów pozwalająca ocenić dowolną aplikację, w tym te, które jeszcze nie powstały, następnie uczciwa karta każdej z czternastu wybranych aplikacji, a na koniec rekomendacje według profilu zagrożenia. Każda karta zawiera rubrykę poświęconą temu, czego aplikacja nie chroni, bez wyjątku, łącznie z naszą.

Spis treści

Siedem kryteriów, które zastępują szyfrowanie

Ta sekcja jest najważniejsza w całym artykule. Jeśli masz przeczytać tylko jedną, przeczytaj tę: pozwoli ci samodzielnie ocenić dowolny komunikator, w tym te, które ukażą się po publikacji tego tekstu.

Szyfrowanie end-to-end, zdobycz, która już nie różnicuje

Protokół Signal, opublikowany w 2013 roku i od tego czasu formalnie analizowany przez badaczy kryptografii, stał się standardem faktycznym. WhatsApp używa go od 2016 roku, Google Messages go używa, Messenger go używa. Debata kryptograficzna jest w dużej mierze zamknięta, gdy chodzi o treść rozmów jeden na jeden.

Pytania, które pozostają użyteczne, nie dotyczą już obecności szyfrowania, lecz jego trybu. Czy jest włączone domyślnie, czy trzeba o nie poprosić? Czy obejmuje grupy, czy tylko wymianę we dwoje? Czy obejmuje kopie zapasowe, czy też trafiają one jawnie do Google i Apple? Czy istnieje forward secrecy, czyli regularna rotacja kluczy gwarantująca, że skompromitowanie klucza dzisiaj nie daje dostępu do wczorajszych wiadomości?

Te pytania wciąż różnicują. Obecność słowa „szyfrowany" na stronie marketingowej nie.

Metadane, czyli to, co usługa wie bez czytania twoich wiadomości

W maju 2014 roku, podczas publicznej debaty na Uniwersytecie Johnsa Hopkinsa z prawnikiem Davidem Cole’em, były dyrektor NSA i CIA Michael Hayden wypowiedział zdanie, które stało się słynne. Cole zacytował właśnie byłego radcę prawnego NSA Stewarta Bakera, według którego „metadane mówią ci absolutnie wszystko o czyimś życiu, a jeśli masz ich dość dużo, treść nie jest ci właściwie potrzebna". Hayden odpowiedział, przytakując: „Zabijamy ludzi na podstawie metadanych." Natychmiast dodał, że nie tak działały amerykańskie programy zbierania danych wewnątrz kraju, i to uściślenie trzeba przytoczyć dla uczciwości. Nie zmienia ono rzeczy najważniejszej: najwyższy rangą przedstawiciel amerykańskiego wywiadu publicznie potwierdził, że metadane wystarczają do decyzji o zabiciu człowieka.

Metadana w komunikatorze to wszystko, co nie jest treścią: kto pisze do kogo, o której godzinie, z jakiego adresu IP, jak często, w jakich grupach, przy jakim rozmiarze pliku. Odtworzenie związku między dziennikarzem a źródłem nie wymaga czytania ich korespondencji. Wystarczy stwierdzić, że zaczęli do siebie pisać trzy dni przed publikacją śledztwa. To samo rozumowanie dotyczy adwokata i jego klienta, lekarza i pacjenta, pracownika i związku zawodowego, dwojga ludzi, którzy nie chcą, by ich relacja była znana.

Usługa może więc być nienaganna, gdy chodzi o szyfrowanie treści, i całkowicie przejrzysta co do reszty. To wręcz sytuacja najczęstsza. Opisaliśmy gdzie indziej, jak to samo rozumowanie stosuje się do innych biernych sygnałów codzienności, zwłaszcza w naszym artykule o stałej geolokalizacji telefonu oraz w naszej analizie systemu SignalTrace firmy Leonardo, który odtwarza trasy i relacje wyłącznie na podstawie identyfikatorów Bluetooth przechwyconych mimochodem.

Dobre pytanie do zadania każdemu dostawcy: co zostanie na waszych serwerach, jeśli sędzia zajmie je jutro rano?

Wymagany identyfikator, numer, adres albo nic

To kryterium najbardziej konkretne i najbardziej niedoceniane. Współistnieją trzy modele.

Numer telefonu. W większości krajów jest powiązany z dokumentem tożsamości. Jest unikalny, trwały i już figuruje w książkach adresowych setek osób. Wymagać numeru to wiązać każde konto z tożsamością cywilną i czynić trywialnym odkrycie grafu społecznego: wystarczy porównać książki adresowe. Numer jest też dobrze znanym słabym punktem uwierzytelniania, jak pokazaliśmy w naszym artykule o uwierzytelnianiu dwuskładnikowym przez SMS: udany SIM swap nie kradnie tylko kodu, kradnie tożsamość w komunikatorze.

Adres e-mail albo losowy identyfikator. Lepiej, bo adres jednorazowy kosztuje kilka sekund, a losowy identyfikator nic nie mówi. Pozostaje jednak trwałym identyfikatorem po stronie serwera, a więc punktem zaczepienia do korelowania sesji w czasie.

Żadnego identyfikatora. To model najnowszy i najrzadszy. Nie ma w ogóle konta, katalogu, stałego adresu. Istniejesz jako zestaw kluczy kryptograficznych na swoim urządzeniu, a kontakt nawiązuje się przez jednorazowy link z zaproszeniem. Nic do wpisania, nic do wycieku, nic do skorelowania.

Otwarty kod i niezależny audyt, dwa pojęcia, które trzeba przestać mylić

To dwie różne rzeczy i trzeba przestać przedstawiać je razem.

Otwarty kod oznacza, że kod jest czytelny. To warunek konieczny zaufania, nie dowód bezpieczeństwa. Nikt nie czyta kodu, chyba że przypadkiem. Poważne luki przetrwały latami w bardzo obserwowanych projektach wolnego oprogramowania.

Niezależny audyt oznacza, że osoba trzecia opłacona po to, by szukać luk, szukała ich i opublikowała to, co znalazła. To nieskończenie mocniejsze i nieskończenie rzadsze, ponieważ kosztuje.

Następnie trzeba odróżnić dwa rodzaje audytu. Przegląd projektu kryptograficznego bada, czy protokół jest dobrze pomyślany na papierze. Audyt implementacji bada, czy kod rzeczywiście robi to, co protokół deklaruje. Oba są przydatne, nie dowodzą tego samego, a projekt może mieć pierwszy bez drugiego.

Przypadek Threemy doskonale ilustruje wartość takiego podejścia. W 2022 roku trzej badacze z ETH w Zurychu znaleźli siedem ataków na jej protokół, w trzech różnych modelach zagrożenia, i przekazali je producentowi. Threema odpowiedziała nowym protokołem, Ibex, opublikowanym pod koniec listopada 2022 roku. Aplikacja zamknięta i nieaudytowana nigdy nie doświadczyłaby tego epizodu, co wcale nie znaczyłoby, że jest bezpieczniejsza.

Jurysdykcja i CLOUD Act

Miejsce siedziby przedsiębiorstwa określa, które rządy mogą je zmusić. To kryterium prawne, nie techniczne, i jest rozstrzygające.

CLOUD Act, uchwalony w Stanach Zjednoczonych w 2018 roku, rozstrzyga pytanie postawione przez sprawę Microsoft Ireland: czy amerykańska firma może odmówić wydania poczty przechowywanej na irlandzkim serwerze? Odpowiedź ustawodawcy brzmi nie. Tekst nakłada na dostawców podlegających jurysdykcji amerykańskiej obowiązek przekazania danych, które kontrolują, niezależnie od miejsca przechowywania. Serwer we Frankfurcie prowadzony przez spółkę amerykańską pozostaje w zasięgu amerykańskiego żądania. Dostawca może wnieść sprzeciw, jeśli żądanie koliduje z prawem obcym, ale sprzeciw to procedura, nie tarcza.

Konsekwencja praktyczna jest prosta: hosting w Europie nie wystarczy, jeśli hostingodawca, spółka matka lub holding podlegają prawu amerykańskiemu. Pytanie, które należy zadać, brzmi nie „gdzie są wasze serwery", lecz „kto może was prawnie zmusić i na jakiej podstawie".

Trzeba dodać dwa zastrzeżenia. Po pierwsze, ochronna jurysdykcja nie służy niczemu, jeśli usługa mimo wszystko przechowuje dane nadające się do wykorzystania: najlepszą obroną pozostaje nie mieć nic do wydania. Po drugie, wroga jurysdykcja nie przekreśla usługi, która strukturalnie nic nie wie. Signal jest amerykański i nigdy nie mógł wydać niczego poza dwoma znacznikami czasu.

Trwałość projektu, kryterium, na które nikt nie patrzy

Bardzo dobrze zaprojektowany komunikator, który znika w ciągu osiemnastu miesięcy, zostawia cię z bezużyteczną książką adresową i, często, utraconą historią. To kryterium nigdy nie pojawia się w porównaniach. Rok 2026 uczynił je nie do pominięcia.

W kwietniu 2026 roku Session Technology Foundation ogłosiła publicznie, że zebrała jedynie około 65 000 dolarów darowizn, że potrzebuje mniej więcej miliona dolarów rocznie, by funkcjonować, i że jej środki nie wystarczą poza lipiec. Wszyscy pracownicy zostali zwolnieni, a prace rozwojowe stanęły. Session ma ponad milion aktywnych użytkowników miesięcznie. W czerwcu fundacja ogłosiła, że projekt uratowały darowizny tysięcy użytkowników, w większości drobne kwoty, i że rusza on ponownie z zespołem trzech programistów kierowanym przez architekta oprogramowania Jasona Rhinelandera.

Trzy tygodnie później, 9 lipca 2026 roku, projekt Briar opublikował podobny komunikat: po rozważeniu zamknięcia przechodzi w tryb utrzymania, to znaczy wyłącznie poprawki bezpieczeństwa i błędów, bez rozwoju nowych funkcji, z braku trwałego finansowania.

Dwa sztandarowe projekty, dwa różne modele ekonomiczne, ten sam rok, ten sam ślepy zaułek. Pytanie, które trzeba sobie zadać przed wyborem komunikatora, brzmi więc dziś: kto płaci, ile i przez jaki czas? Fundacja żyjąca z darowizn, firma sprzedająca licencje, dotowany projekt uniwersytecki i oprogramowanie tworzone społecznie przez wolontariuszy nie mają tej samej oczekiwanej długości życia, a nie ma to nic wspólnego z jakością ich kryptografii.

Praktyczność, pełnoprawne kryterium bezpieczeństwa

To ostatnie kryterium bywa traktowane przez purystów z pogardą. To błąd.

Komunikator, którego twoi rozmówcy odmawiają zainstalowania, nie chroni nikogo, bo rozmowa odbędzie się gdzie indziej, jawnie. Komunikator, którego powiadomienia nie docierają, popycha użytkowników z powrotem na WhatsAppa przy pilnych sprawach. Komunikator wymagający, by obie osoby były połączone w tej samej chwili, nie nadaje się do zwykłej korespondencji między dwiema strefami czasowymi.

Rzeczywiste bezpieczeństwo systemu to bezpieczeństwo jego rzeczywistego użycia, a nie jego karty katalogowej. Model odrobinę mniej czysty, z którego twoje kontakty faktycznie korzystają, chroni bardziej niż model doskonały, którego używasz tylko ty.

Komunikatory masowe

WhatsApp to najczęściej używany komunikator na świecie. Należy do Meta, jest darmowy, a jego model ekonomiczny opiera się na ekosystemie reklamowym grupy i na usługach dla firm.

Co naprawdę chroni. Treść wiadomości, z protokołem Signal, od 2016 roku. Ta implementacja jest poważna i trzeba to powiedzieć jasno: treść twoich rozmów na WhatsAppie nie jest czytelna dla Meta. Kopie zapasowe szyfrowane end-to-end istnieją i warto je włączyć, bo domyślnie włączone nie są. Aplikacja jest wyjątkowo niezawodna, dostępna wszędzie, a twoje kontakty już ją mają.

Czego nie chroni. Całej reszty. Na zwykłe żądanie Meta przekazuje dane abonenta: nazwę konta, datę utworzenia, ostatnie połączenie, adres IP, adres e-mail. Na nakaz przeszukania firma dostarcza książkę adresową osoby objętej postępowaniem, a także listę innych użytkowników WhatsAppa, którzy mają tę osobę w swoich kontaktach. Innymi słowy, graf społeczny jest do wydania w obie strony. Przechowywane metadane obejmują znaczniki czasu, identyfikatory nadawcy i odbiorcy, statusy doręczenia, skład grup i jego zmiany. Według upublicznionego dokumentu FBI WhatsApp jest w stanie wytwarzać określone metadane wskazanego użytkownika co piętnaście minut w ramach nadzoru w czasie rzeczywistym. Wreszcie numer telefonu jest obowiązkowy, a Meta podlega CLOUD Act.

Dla kogo jest przeznaczony. Dla wszystkich, jako zwykły kanał komunikacji, przy którym akceptuje się, że graf relacji jest znany Meta i może zostać przekazany organowi wymiaru sprawiedliwości.

Telegram bywa zaliczany do komunikatorów bezpiecznych. To nieporozumienie, które trzeba wyjaśnić bez agresji, bo Telegram jest znakomity w tym, co robi naprawdę.

Co naprawdę chroni. W codziennym użyciu nic ponad to, co klasyczna usługa internetowa. Zwykłe rozmowy, zwane czatami w chmurze, są szyfrowane między klientem a serwerem, a następnie przechowywane w postaci zaszyfrowanej po stronie Telegrama, który dysponuje środkami, by je odczytać. Szyfrowanie end-to-end jest dostępne wyłącznie w czatach tajnych, które nie są włączone domyślnie, ograniczają się do wymiany we dwoje, pozostają związane z urządzeniem źródłowym i nie synchronizują się. To, co Telegram robi znakomicie, to za to grupa masowa, kanał nadawczy, udostępnianie dużych plików i obecność na wielu urządzeniach. To znakomita sieć publikacyjna i tak należy ją oceniać.

Czego nie chroni. Treści zwykłych rozmów wobec producenta, numeru telefonu, adresu IP. Stanowisko firmy zmieniło się we wrześniu 2024 roku, po zatrzymaniu Pawła Durowa we Francji: Telegram przekazuje odtąd numery i adresy IP zgłoszonych użytkowników w odpowiedzi na ważne żądania prawne, podczas gdy wcześniejsze zobowiązanie ograniczało takie przekazania do spraw terrorystycznych. Liczby opublikowane za 2024 rok oddają zmianę skali: około 900 żądań spełnionych w Stanach Zjednoczonych wobec 2253 użytkowników, 14 641 w Indiach wobec 23 535 użytkowników, 142 w Wielkiej Brytanii. Grupa jest ponadto zarejestrowana na Brytyjskich Wyspach Dziewiczych i kierowana z Dubaju, a nieprzejrzystość tej struktury sama w sobie jest danymi do analizy.

Dla kogo jest przeznaczony. Do publicznego rozpowszechniania, dla szerokich społeczności, do śledzenia informacji. Nie do rozmowy, która ma pozostać poufna wobec producenta.

Standard faktyczny

Signal

Signal jest punktem odniesienia i ten artykuł traktuje go jako taki. Wydaje go Signal Foundation, amerykańska organizacja non profit finansowana z darowizn i z początkowej dotacji Briana Actona.

Co naprawdę chroni. Treść, protokołem, który sam wymyślił i który służy branży za wzorzec. Ale przede wszystkim, i to go wyróżnia, resztę: poufne odkrywanie kontaktów, zapieczętowanego nadawcę, systematyczną minimalizację przechowywanych danych. Dowód nie jest deklaratywny, jest sądowy. Signal publikuje swoje odpowiedzi na żądania na osobnej stronie i te odpowiedzi są do siebie podobne: organizacja może dostarczyć jedynie znacznik czasu utworzenia konta i datę ostatniego połączenia. W sprawie przed sądem Dystryktu Kolumbii wymiar sprawiedliwości zażądał danych abonenckich dla trzydziestu siedmiu numerów telefonów. Odpowiedź była ta sama. To jedyna publiczna historia oporu wobec żądań tej jakości w całym tym porównaniu i jest warta więcej niż jakakolwiek obietnica marketingowa.

Czego nie chroni. Numer telefonu pozostaje w 2026 roku obowiązkowy przy rejestracji. Nazwy użytkownika, wprowadzone w 2024 roku, pozwalają nie podawać numeru swoim kontaktom, co jest realnym postępem, ale nie znoszą wymogu przy zakładaniu konta. Publiczne prace wskazują, że Signal bada rejestrację bez numeru, być może opartą na jednorazowej opłacie ograniczającej nadużycia, lecz w chwili pisania tych słów nie jest ona dostępna. Signal podlega ponadto prawu amerykańskiemu, a więc CLOUD Act: ochrona nie wynika z jurysdykcji, wynika z tego, że nie ma czego wydać. Wreszcie infrastruktura jest scentralizowana, a ekosystem zamknięty dla klientów firm trzecich, do czego wracamy dalej.

Dla kogo jest przeznaczony. Dla właściwie każdego. To najlepszy na rynku stosunek ochrony do rzeczywistego rozpowszechnienia i domyślna rekomendacja, gdy numer telefonu nie stanowi problemu w twoim modelu zagrożenia.

Molly

Molly to utwardzony fork Signala na Androida. Nie zmienia ani protokołu, ani sieci, ani modelu identyfikatora: utwardza klienta.

Co naprawdę chroni. To, czego Signal nie chroni po stronie urządzenia. Molly szyfruje lokalną bazę danych za hasłem-frazą, co blokuje całą aplikację, i przy blokadzie nadpisuje pamięć operacyjną danymi losowymi, by oprzeć się analizie śledczej po zatrzymaniu urządzenia. Pozwala też kierować ruch przez serwer pośredniczący SOCKS lub przez Tor. Wariant Molly-FOSS usuwa własnościowe komponenty Google. Tego wszystkiego oficjalny klient nie robi.

Czego nie chroni. Wszystkiego, co dotyczy serwera. Molly korzysta z serwerów Signala, wymaga więc numeru telefonu i dziedziczy dokładnie ten sam profil metadanych i tę samą jurysdykcję. Istnieje wyłącznie na Androida. I działa w sieci Signala dzięki tolerancji fundacji, a nie jej formalnej zgodzie, co od lat obywa się bez incydentów.

Dla kogo jest przeznaczony. Dla użytkownika Signala na Androidzie, którego model zagrożenia obejmuje fizyczne zajęcie telefonu: dziennikarz w podróży, aktywistka, adwokat przekraczający granicę.

Komunikatory bez numeru telefonu

Session

Session postawił na radykalne rozwiązanie: znieść numer i e-mail. Przy rejestracji aplikacja generuje losowy identyfikator konta i o nic więcej nie pyta. Projekt prowadzi Session Technology Foundation, fundacja prawa szwajcarskiego.

Co naprawdę chroni. Tożsamość przy rejestracji i adres IP. Wiadomości przechodzą przez zdecentralizowaną sieć węzłów z trasowaniem cebulowym, tak że żaden serwer nie zna jednocześnie źródła i celu. Kod klientów na Androida, iOS i komputery był przedmiotem audytu opublikowanego przez francuską firmę Quarkslab, która wskazała siedem problemów na Androidzie, siedem na iOS i dwa w kliencie komputerowym, w większości od tego czasu naprawionych. Aplikacja jest dostępna na wszystkich platformach i wygląda jak zwykły komunikator, co w tej kategorii nie jest drobiazgiem.

Czego nie chroni. Session usunął forward secrecy w 2021 roku, powołując się na problemy ze stabilnością swojej zdecentralizowanej architektury. Konkretnie skompromitowanie klucza długoterminowego odsłania wiadomości z przeszłości. Fundacja ogłosiła w grudniu 2025 roku protokół V2 przywracający forward secrecy i dodający postkwantową wymianę kluczy opartą na ML-KEM, ale protokół ten nie był ukończony w chwili pisania. A przede wszystkim ciąży tu kryterium trwałości: projekt był w 2026 roku o kilka tygodni od zamknięcia i działa obecnie z trzema programistami przy ponad milionie użytkowników.

Dla kogo jest przeznaczony. Dla tych, którzy chcą obejść się bez numeru telefonu, nie zmieniając swoich nawyków, i akceptują obecny brak forward secrecy.

Threema

Threema to szwajcarska firma, która sprzedaje swoją aplikację. To jedyny płatny podmiot w tym porównaniu i właśnie to czyni jej model czytelnym.

Co naprawdę chroni. Tożsamość i jurysdykcję. Przy instalacji aplikacja generuje losowy Threema ID. Numer telefonu i adres e-mail są opcjonalne i służą wyłącznie temu, by kontakty mogły cię odnaleźć, do czego nic nie zmusza. Serwery należą do firmy i znajdują się w centrum danych z certyfikatem ISO 27001 w Zurychu, pod prawem szwajcarskim, poza zasięgiem CLOUD Act. Kod źródłowy jest opublikowany, a powtarzalne kompilacje są dostępne na Androidzie, co pozwala sprawdzić, czy rozpowszechniana aplikacja odpowiada kodowi. Threema zleciła audyt swoich aplikacji mobilnych firmie Cure53 w październiku 2020 roku, a następnie aplikacji komputerowej w styczniu 2024 roku. Protokół Ibex, przyjęty pod koniec 2022 roku, był przedmiotem formalnego dowodu bezpieczeństwa opublikowanego przez niemieckich badaczy w 2023 roku.

Czego nie chroni. Cena, około sześciu euro przy zakupie jednorazowym, to realna przeszkoda w przyjęciu jej przez twoich bliskich i główny praktyczny hamulec. Epizod ETH w Zurychu z 2022 roku przypomina ponadto, że nawet poważny podmiot może latami mieć podatny protokół: siedem znalezionych ataków, protokół przebudowany od zera. Wreszcie identyfikator Threema pozostaje trwałym identyfikatorem po stronie serwera, co nie jest modelem bez żadnego identyfikatora.

Dla kogo jest przeznaczona. Dla europejskiej firmy, kancelarii, administracji albo osoby prywatnej, która woli zapłacić za produkt niż zależeć od darowizn i chce jasnej jurysdykcji szwajcarskiej.

Wire

Wire mocno zmienił swoją naturę. Powstał jako komunikator masowy, po czym przestawił się na organizacje, firmy i sektor publiczny.

Co naprawdę chroni. Treść, protokołem Proteus, a następnie MLS, standardem komunikacji grupowej IETF, którego Wire był jednym z pierwszych poważnych wdrożeniowców. Rejestracja odbywa się przez e-mail, co pozwala uniknąć numeru telefonu. Audyty są publiczne: Kudelski Security i X41 D-Sec opublikowały przegląd implementacji protokołu w 2017 roku, a następnie audyty aplikacyjne klientów iOS, Android i webowego w 2018 roku.

Czego nie chroni. Metadanych, które Wire przechowuje jawnie po stronie serwera, czego producent nigdy nie ukrywał i co bywa regularnie krytykowane. Struktura prawna jest również złożona: działalność operacyjna podlega Wire Swiss GmbH w Szwajcarii, holding grupy ma siedzibę w Berlinie, a producent twierdzi, że ponad 90 % kapitału należy do europejskich inwestorów instytucjonalnych, lecz w 2019 roku utworzono podmiot amerykański w Delaware. Tę złożoność warto zrozumieć przed wyborem Wire do zastosowań wrażliwych.

Dla kogo jest przeznaczony. Dla organizacji, która potrzebuje zgodnej z przepisami szyfrowanej współpracy, ze wsparciem komercyjnym i scentralizowaną administracją, bardziej niż dla osoby poszukującej anonimowości.

Element i protokół Matrix

Element to główny klient Matrixa, otwartego i federacyjnego protokołu. Model różni się od wszystkich pozostałych w tym porównaniu: każdy może utrzymywać własny serwer, a serwery komunikują się ze sobą tak jak serwery poczty elektronicznej.

Co naprawdę chroni. Autonomię. Organizacja może utrzymywać swój serwer, kontrolować swoją infrastrukturę, nie zależeć od żadnego producenta i pozostać osiągalna z reszty sieci. To jedyny model w tym porównaniu, który daje takie połączenie, i właśnie dlatego wybrało go kilka europejskich administracji. Szyfrowanie end-to-end wiadomości jest wdrożone.

Czego nie chroni. Metadanych, i to strukturalnie. Administrator twojego serwera widzi, kto z kim rozmawia, kiedy i w jakich pokojach. Metadane pokoju, nazwa, temat i inne zdarzenia stanu, są przechowywane jawnie na serwerze. Element pracuje nad szyfrowaniem tych zdarzeń stanu, ale we wrześniu 2025 roku funkcja była wciąż eksperymentalna i zarezerwowana dla opcji laboratoryjnych. Federacja pogłębia problem: historia pokoju jest replikowana na serwerach uczestniczących, które ją przechowują. Producent sprzedaje zresztą bramę służącą do filtrowania federacji, by ograniczyć te wycieki, co jest pouczającym przyznaniem.

Dla kogo jest przeznaczony. Dla organizacji, która chce suwerenności nad swoją infrastrukturą i której przeciwnikiem nie jest jej własny administrator systemu. Nie dla osoby, która chce ukryć swoje relacje.

Komunikatory bez żadnego identyfikatora

To kategoria najnowsza. Zasada nie polega na ukryciu identyfikatora, lecz na nietworzeniu go.

SimpleX Chat

SimpleX Chat to pierwsza sieć komunikacyjna bez identyfikatora użytkownika, także losowego. To realny postęp koncepcyjny i tak należy go przedstawiać.

Co naprawdę chroni. Graf społeczny, z samej konstrukcji. Nie ma konta, katalogu, stałego adresu. Każda rozmowa opiera się na kolejkach jednokierunkowych umieszczonych na różnych przekaźnikach: to, co wysyłasz, przechodzi przez kolejkę na jednym przekaźniku, odpowiedzi wracają inną kolejką na innym przekaźniku, tak że żaden przekaźnik nie widzi obu końców. Przekaźniki są ślepe, nie znają ani nadawcy, ani odbiorcy. Projekt opublikował dwa niezależne audyty wykonane przez Trail of Bits: ocenę bezpieczeństwa implementacji w listopadzie 2022 roku, a następnie przegląd projektu kryptograficznego protokołów w październiku 2024 roku, obejmujący formalną weryfikację protokołu negocjacji kolejek i kończący się trzema problemami o średniej wadze i jednym o niskiej, wszystkimi trudnymi do wykorzystania. Protokół dodaje warstwę postkwantową do podwójnej zapadki. Przekaźniki można utrzymywać samodzielnie, klienci istnieją na Androida, iOS i komputery, a producent, SimpleX Chat Ltd, to brytyjska spółka zarejestrowana od października 2021 roku.

Czego nie chroni. Dwie rzeczy zasługują na wypowiedzenie. Po pierwsze hosting domyślny: przekaźniki prowadzone przez projekt działają u jednego dostawcy, Linode, spółki zależnej amerykańskiego Akamai, w jego europejskich centrach danych w Londynie, Frankfurcie i Sztokholmie. Użytkownik, który nie włącza Tora i nie zmienia przekaźników, zależy więc od infrastruktury prowadzonej przez spółkę amerykańską, co przywraca CLOUD Act do obrazu. Temat jest publicznie udokumentowany w repozytorium projektu. Po drugie, doświadczenie użytkownika pozostaje wymagające: nawiązanie połączenia wymaga wymiany linku lub kodu QR, niezawodność powiadomień na iOS była długo słabym punktem, a skalowanie dużych grup wciąż jest placem budowy. Finansowanie opiera się wreszcie odtąd na finansowaniu społecznościowym udziałowym uruchomionym w sierpniu 2026 roku.

Dla kogo jest przeznaczony. Dla tych, którzy chcą modelu bez identyfikatora z najlepszym dostępnym dziś poziomem weryfikacji zewnętrznej i akceptują bardziej techniczną obsługę.

Arpokrat Messenger

Arpokrat Messenger to nasz produkt, a ta karta stosuje tę samą siatkę co pozostałe. Trzeba zacząć od powiedzenia tego wprost: Arpokrat Messenger jest forkiem SimpleX. Opisana wyżej architektura, brak identyfikatorów, kolejki jednokierunkowe, ślepe przekaźniki, nie jest nasza, jest SimpleX. Nie twierdzimy, że ulepszyliśmy ją kryptograficznie, oddajemy jej autorstwo, dokładnie tak, jak wyraźnie czyni to nasza strona o protokole. To samo stanowisko zajmujemy wobec GrapheneOS w przypadku ArpokratOS.

Co naprawdę chroni. To, co chroni SimpleX, plus szereg decyzji eksploatacyjnych i produktowych. Prowadzone przez nas przekaźniki są rozmieszczone w pięciu jurysdykcjach dobranych ze względu na ich prawo: Szwajcarii, Islandii, Panamie, Malezji i na Mauritiusie, żadna nie jest amerykańska, a infrastruktura nie opiera się na żadnym amerykańskim hiperskalerze, ani Amazon Web Services, ani Google Cloud, ani Microsoft Azure, ani Cloudflare. Wiadomości oczekujące żyją wyłącznie w pamięci operacyjnej, pamięć wymiany jest wyłączona, przerwa w zasilaniu kasuje wszystko, a manifesty publikacyjne są podpisywane na maszynie Qubes OS odciętej od sieci. Tor włącza się jednym przyciskiem, bez aplikacji zewnętrznej, i pozostaje domyślnie wyłączony. Tryb incognito przypisuje inny profil do każdego kontaktu, wraz z nazwą wyświetlaną i przekaźnikiem, co uniemożliwia powiązanie życia zawodowego z prywatnym. Przekaźniki może utrzymywać samodzielnie każdy, bo oprogramowanie jest otwarte. Klienci są publikowani na licencji AGPLv3. Portfel niepowierniczy obsługuje Bitcoina, Ethereum, Monero, Polygon, Solanę i Trona, a klucze nigdy nie opuszczają urządzenia; obsługa Zcash jest zapowiedziana, lecz do dziś niedostępna. Wbudowany Swap to agregator porównujący oferty niezależnych dostawców i oceniający każdego w skali od A do D według wymaganego poziomu weryfikacji tożsamości, od A dla braku KYC do D dla KYC obowiązkowego, przy czym środki przechodzą bezpośrednio między użytkownikiem a wybranym dostawcą. Wedle naszej wiedzy żaden inny komunikator nie oferuje takiej oceny. Producentem jest wreszcie możliwy do zidentyfikowania podmiot komercyjny, Arpokrat GmbH, z siedzibą w Zug w Szwajcarii, z publicznym adresem pocztowym, warrant canary podpisanym w PGP, odnawianym w oknie ważności sześćdziesięciu dni, i zobowiązaniem do odpowiedzi wsparcia w ciągu 24 godzin. Aplikacja jest darmowa, bez reklam.

Czego nie chroni. I tu trzeba być precyzyjnym, bo to jedyny sposób, by zachować wiarygodność co do reszty.

Arpokrat Messenger nie dysponuje do dziś żadnym niezależnym audytem kryptograficznym opublikowanym pod jego nazwą. SimpleX ma dwa. Protokół leżący u podstaw jest więc audytowany, nasza implementacja i nasza eksploatacja nie są, a to nie to samo, jak wyjaśniono wyżej w tym artykule.

Arpokrat nie ma żadnej publicznej historii oporu wobec żądań sądowych. Signal ma taką, weryfikowalną, rozłożoną na lata. Warrant canary to poważne zobowiązanie, ale nie precedens sądowy.

Aplikacja istnieje dziś wyłącznie na Androida. Wersje na iOS, Linuksa, macOS i Windows są zapowiedziane, nie są dostępne. Dla tych, którzy piszą z użytkownikami iPhone’a, to przeszkoda natychmiastowa i nie da się jej obejść.

Sieć jest wreszcie młoda i mała. Liczba użytkowników nie stanowi o bezpieczeństwie, ale stanowi o dostępności twoich korespondentów, a to kryterium uzasadnione, którego sami broniliśmy wyżej.

Dla kogo jest przeznaczony. Dla tych, którzy chcą architektury bez identyfikatora, nie rezygnując z codziennej wygody, i wolą możliwy do zidentyfikowania podmiot komercyjny od projektu społecznościowego, którego finansowanie może się urwać. Pozycja, której bronimy, to nie „najbardziej prywatny", jest węższa i uczciwsza: najbardziej użyteczny spośród architektur bez identyfikatora, z modelem asynchronicznym, którego architektury peer-to-peer nie oferują, z ekosystemem i wsparciem komercyjnym.

Briar

Briar to prawdopodobnie najbardziej bezkompromisowy projekt na tej liście. Nie ma tu w ogóle serwera: wiadomości przechodzą bezpośrednio z jednego urządzenia na drugie przez Tor, a w braku połączenia przez Wi-Fi lub Bluetooth między urządzeniami w pobliżu.

Co naprawdę chroni. Wszystko, co zależy od infrastruktury, skoro jej nie ma. Nie ma czego zająć, nie ma czego żądać, nie ma operatora, którego można zmusić. Tryb sieci kratowej offline działa naprawdę przy odcięciu internetu, co czyni Briara narzędziem odniesienia na czas blackoutów i manifestacji. Kod został zaudytowany przez Cure53 w marcu 2017 roku, z dwunastoma wskazanymi i naprawionymi problemami. Projekt jest wolny, a jego koncepcja stanowi wzorzec. Briar Mailbox, osobna aplikacja instalowana na zapasowym urządzeniu z Androidem pozostawionym włączonym, pozwala odbierać wiadomości, gdy główny telefon jest offline, co częściowo odpowiada na główne ograniczenie modelu peer-to-peer.

Czego nie chroni. Wygody użytkowania, a odtąd i kierunku samego projektu. Zużycie baterii jest wysokie, praca w tle na Androidzie nieregularna, brakuje kopii zapasowej konta i załączników, a dodanie kontaktu jest mozolne. Nie ma wersji na iOS. Wersja komputerowa pozostaje w fazie beta, ostatnia to 0.6.5-beta opublikowana 20 lutego 2026 roku. A przede wszystkim ogłoszenie z 9 lipca 2026 roku przenosi projekt w tryb utrzymania: poprawki bezpieczeństwa i błędów, bez rozwoju funkcji. Projekt precyzuje, że plotki o całkowitym zamknięciu są nieaktualne, ale ambicja jest wyraźnie zawieszona.

Dla kogo jest przeznaczony. Dla strefy odcięcia internetu, manifestacji, kontekstu cenzury albo małej grupy, która akceptuje ograniczenie w zamian za całkowity brak infrastruktury.

Cwtch

Cwtch jest rozwijany przez Open Privacy Research Society, kanadyjskie stowarzyszenie non profit z siedzibą w Vancouver. Projekt jawnie celuje w komunikację grupową odporną na metadane.

Co naprawdę chroni. Metadane, także w grupie, co jest problemem trudnym. Połączenia przechodzą przez usługi onion Tor v3, a serwery przekazujące rozmowy grupowe są z założenia projektowane jako niezaufane: nie mają się niczego dowiedzieć. Wersja 1.13, opublikowana we wrześniu 2023 roku, zamknęła długą fazę alfa i beta, a projekt kontynuowano do wersji 1.15.

Czego nie chroni. Trwałości, po raz kolejny. Organizacja żyje zasadniczo z darowizn indywidualnych i wielokrotnie powtarzała to publicznie. Nie ma wersji na iOS. Tempo rozwoju jest tempem małego zespołu, a ekosystem użytkowników bardzo wąski. Nie znaleźliśmy opublikowanego audytu zewnętrznego równoważnego audytom SimpleX czy Briara.

Dla kogo jest przeznaczony. Dla grupy aktywistycznej lub badawczej, która potrzebuje rozmów zbiorowych odpornych na metadane i której członkowie czują się swobodnie technicznie.

Konwergencja roku 2026, komunikator staje się portfelem

Oto najciekawsza obserwacja tego roku i, wedle naszej wiedzy, nikt jeszcze nie sformułował jej w ten sposób.

W 2026 roku trzy forki trzech różnych protokołów, rozwijane przez trzy niepowiązane ze sobą zespoły, miały tę samą intuicję w tym samym momencie: zintegrować portfel niepowierniczy z szyfrowanym komunikatorem. Radar to fork Signala z Bitcoinem na Lightningu. Zerion to pochodna Briara z Bitcoinem i Monero. Arpokrat Messenger to fork SimpleX z portfelem wielołańcuchowym i agregatorem swapów.

Trzy przeciwstawne podstawy techniczne, jeden i ten sam wniosek. To nie przypadek, to znak, że dwie potrzeby traktowane dotąd osobno schodzą się ze sobą. Wysłanie pieniędzy i wysłanie wiadomości stawiają ten sam problem: pośrednika, który zna oba końce. Odpowiedź zbudowana dla wiadomości, szyfrowanie treści i minimalizacja metadanych, to dokładnie to, czego szukają użytkownicy kryptowalut. A komunikator to jedyne miejsce, w którym już się zna swojego odbiorcę.

Trzy podejścia są jednak bardzo różne, a porównanie jest pouczające.

Radar

Radar został uruchomiony 7 lipca 2026 roku przez zespół Cake Wallet, pod odrębnym podmiotem, Radar Chat, Inc., kierowanym przez jego założyciela Vikranta Sharmę. To fork Signala, darmowy, o otwartym kodzie, dostępny na iOS i Androida. Portfel jest niepowierniczy, z dwunastowyrazową frazą odzyskiwania i szyfrowanymi kopiami zapasowymi. Warstwa płatnicza zasługuje na doprecyzowanie, bo źródła nie mówią tego samego. Strona Radara opisuje portfel Bitcoin oparty na sieci Lightning, przypisuje każdemu kontu adres Lightning i nie wspomina o niczym więcej. Kilka artykułów z lipca 2026 roku wskazuje natomiast, że leżący u podstaw mechanizm opiera się na Spark, sieci Bitcoin warstwy 2 zintegrowanej przez SDK Breez, przy czym przelew między dwoma użytkownikami Radara rozlicza się wtedy ze Sparka na Sparka w mniej niż sekundę. Obie wersje się nie wykluczają, ponieważ dokumentacja Breez opisuje SDK obsługujące Spark i Lightning razem, wraz z adresami Lightning i fakturami bolt11. Wobec braku publicznego potwierdzenia ze strony samego producenta trzymamy się tego, co da się zweryfikować na jego własnej stronie: niepowiernicze płatności Bitcoin osiągalne przez sieć Lightning.

Najbardziej uderzający wybór leży gdzie indziej. Radar nie jest osobną siecią: łączysz się z nim swoim istniejącym kontem Signal, a kontakty, rozmowy, grupy i nazwa użytkownika idą za tobą. To przewaga konkurencyjna Radara i zarazem jego główne pytanie otwarte.

Ta interoperacyjność oznacza bowiem, że Radar dziedziczy model Signala w całości: numer telefonu pozostaje identyfikatorem, kod PIN Signala rządzi odzyskiwaniem konta, a więc domyślnie dostępem do kluczy portfela, które Radar szyfruje w koncie Signal, a wykorzystywana infrastruktura należy do Signal Foundation i podlega jurysdykcji amerykańskiej.

Następnie trzeba postawić pytanie o trwałość tej konstrukcji, nie twierdząc niczego jako faktu. Signal historycznie odmawiał, by klienci firm trzecich korzystali z jego serwerów: w 2016 roku porzucono projekt LibreSignal po tym, jak Moxie Marlinspike dał do zrozumienia, że nie życzy sobie, by fork używał ani nazwy, ani serwerów Signala, i wykluczył ponadto wszelką przyszłą federację. Fundacja zachowuje techniczną możliwość zablokowania klienta firmy trzeciej po jego podpisie. Do dziś tego nie zrobiła, a Molly używa sieci od lat bez incydentu, na który to precedens zespół Radara wprost się powołuje. Radar wpłaca zresztą miesięczną składkę na rzecz Signal Foundation i zamierza ją zwiększać wraz ze swoim wzrostem. Nic nie wskazuje więc, że Radar zostanie zablokowany. Ale produkt, którego dostęp do sieci zależy od trwającej tolerancji osoby trzeciej, niesie ryzyko strukturalne, którego nie niesie ani SimpleX, ani Briar, i użytkownik zasługuje na to, by wiedzieć o tym, zanim umieści tam środki.

Zerion

Zerion to pochodna Briara, zbudowana na protokole transportowym Bramble, opublikowana na GPL v3; projekt wyraźnie zaznacza, że nie jest ani powiązany z projektem Briar, ani przez niego zatwierdzony. Istnieje wyłącznie na Androida.

Trzeba oddać mu sprawiedliwość, bo kilka rzeczy robi wybitnie dobrze. Cały ruch przechodzi przez Tor, bez wyjątku: twoje urządzenie buduje obwód o trzech skokach, urządzenie twojego korespondenta buduje kolejny, a oba spotykają się na przekaźniku spotkaniowym, czyli sześć skoków łącznie i żadnego ujawnienia adresu IP. Każda wiadomość jest chroniona postkwantową wymianą kluczy opartą na ML-KEM-768. Wersja 3.0 dodała sieć kratową offline przez Bluetooth, przekazującą wiadomości indywidualne i grupowe przez sąsiednie telefony, przy czym każdy przekaźnik przenosi wyłącznie materiał zaszyfrowany, a także opcjonalny transport I2P. Tryb utwardzony odmawia uruchomienia na urządzeniu skompromitowanym, pod debuggerem lub z frameworkami przechwytującymi. Od wersji 3.0.4 zaszyfrowany sejf może zawierać niepowiernicze portfele Bitcoina i Monero, których klucze są generowane na urządzeniu, chronione własnym hasłem, z powtarzalnymi kompilacjami z zamrożonych źródeł i opublikowanymi odciskami.

Ograniczenie jest strukturalne i projekt go nie ukrywa: jego dokumentacja stwierdza czarno na białym, że wiadomość zostaje doręczona tylko wtedy, gdy oba urządzenia są online i połączone z Torem, i że żaden serwer nie przechowuje jej w międzyczasie na długie okresy offline. Innymi słowy nie istnieje odpowiednik Briar Mailbox. To rozstrzygający punkt techniczny i to on oddziela model peer-to-peer od modelu store and forward, w którym ślepy przekaźnik przechowuje zaszyfrowaną wiadomość, dopóki odbiorca po nią nie przyjdzie. Dla zwykłej korespondencji między dwiema osobami, które nie są połączone w tym samym czasie, różnica nie jest teoretyczna, rozstrzyga o użyteczności.

Drugie pytanie pozostaje otwarte i formułujemy je jako pytanie, skoro nie znaleźliśmy żadnego publicznego pomiaru: jaka jest rzeczywista jakość połączeń audio i wideo peer-to-peer na architekturze o sześciu skokach Tora? Zapowiedziane wybory techniczne są poważne, Opus, H.264, szyfrowanie AES-256-GCM i ramki wypełniane, a połączenia są domyślnie wyłączone. Ale Tor nie jest zaprojektowany pod niskie opóźnienia i wobec braku opublikowanych pomiarów ani producent, ani my nie możemy twierdzić, że doświadczenie jest porównywalne z klasycznym połączeniem.

Wreszcie nie znaleźliśmy opublikowanego niezależnego audytu dla Zeriona.

Zestawione ze sobą, trzy podejścia rysują trzy wyraźne kompromisy. Radar wybiera natychmiastowe rozpowszechnienie kosztem zależności od osoby trzeciej i utrzymania numeru telefonu. Zerion wybiera maksimum odporności sieciowej kosztem doręczalności i dostępności na iPhonie. Arpokrat wybiera model asynchroniczny i rozproszenie jurysdykcyjne kosztem historii i audytu, których jeszcze nie ma. Żaden z tych trzech kompromisów nie jest absurdalny i żaden nie jest darmowy.

Tabela zbiorcza

Aplikacja	Wymagany identyfikator	Jurysdykcja i hosting	Metadane po stronie serwera	Opublikowany audyt zewnętrzny	Doręczanie offline	Kod
WhatsApp	Numer telefonu	Stany Zjednoczone (Meta), CLOUD Act	Rozległe, graf kontaktów do wydania na nakaz	Nie dla usługi	Tak	Klient zamknięty
Telegram	Numer telefonu	Brytyjskie Wyspy Dziewicze, kierownictwo w Dubaju	Rozległe, czaty w chmurze czytelne dla producenta	Nie	Tak	Klient otwarty, serwer zamknięty
Signal	Numer telefonu	Stany Zjednoczone, CLOUD Act	Dwa znaczniki czasu, publiczna historia sądowa	Protokół przeanalizowany formalnie	Tak	Otwarty
Molly	Numer (konto Signal)	Serwery Signala, Stany Zjednoczone	Identyczne jak Signal	Odziedziczony po Signalu	Tak	Otwarty
Session	Brak, identyfikator losowy	Szwajcaria, zdecentralizowana sieć węzłów	Minimalne, do dziś bez forward secrecy	Tak, Quarkslab	Tak	Otwarty
Threema	Brak, Threema ID	Szwajcaria, serwery w Zurychu	Minimalne	Tak, Cure53 i ETH w Zurychu	Tak	Otwarty, płatny
Wire	E-mail lub numer	Szwajcaria i Niemcy, podmiot amerykański w Delaware	Przechowywane jawnie	Tak, Kudelski i X41	Tak	Otwarty
Element / Matrix	Zależnie od serwera, często e-mail	Twojego hostingodawcy	Widoczne dla serwera, stan pokoi jawny	Audyty opublikowane dla protokołu	Tak	Otwarty
SimpleX Chat	Brak, bez identyfikatora	Wielka Brytania, przekaźniki domyślne u Linode i Akamai	Brak możliwości korelacji przez pojedynczy przekaźnik	Tak, dwa audyty Trail of Bits	Tak	Otwarty
Arpokrat Messenger	Brak, bez identyfikatora	Szwajcaria (Zug), przekaźniki w pięciu jurysdykcjach spoza USA	Ślepe przekaźniki, wyłącznie pamięć operacyjna	Do dziś nie	Tak	Otwarty, AGPLv3
Briar	Brak, bez identyfikatora	Żadna, bez serwera	Żadne, nie ma czego zająć	Tak, Cure53 w 2017	Przez Briar Mailbox	Otwarty
Cwtch	Brak, bez identyfikatora	Kanada dla stowarzyszenia, serwery niezaufane z założenia	Odporność na metadane grupowe	Nie stwierdzono	Częściowe	Otwarty
Radar	Numer (konto Signal)	Serwery Signala, Stany Zjednoczone	Identyczne jak Signal	Nie stwierdzono	Tak	Otwarty
Zerion	Brak, bez identyfikatora	Żadna, bez serwera	Żadne, wszystko idzie przez Tor	Nie stwierdzono	Nie, oba urządzenia muszą być online	Otwarty, GPL v3

Jaki komunikator do jakiego profilu

Nie ma zwycięzcy, są sytuacje.

Dla rodziny i bliskich. Signal, bez wahania. To jedyny wybór łączący poważną ochronę z realną szansą, że twoi rozmówcy go zainstalują. Jeśli przeszkadza ci numer telefonu, włącz nazwę użytkownika, by go nie podawać. Jeśli twoi bliscy absolutnie nie chcą się ruszyć, włącz przynajmniej kopie zapasowe szyfrowane end-to-end na WhatsAppie: to nie ta sama ochrona, ale realny i darmowy postęp.

Dla dziennikarza ze źródłami. Problemem nie jest treść, lecz powiązanie. Architektura bez identyfikatora jest tu jedyną spójną odpowiedzią: SimpleX Chat albo Arpokrat Messenger, z włączonym Torem i innym profilem dla każdego źródła. Jeśli twoje źródło używa już Signala i odmawia instalowania czegokolwiek innego, użyj Signala zamiast niczego, z dedykowanym numerem, który cię nie identyfikuje, i Molly na Androidzie, by chronić samo urządzenie na wypadek zajęcia.

Dla członka zarządu lub radcy prawnego. Kryterium dominującym jest jurysdykcja, nie anonimowość. Threema dla kancelarii lub małej struktury, z jasnym rozliczeniem i szwajcarskimi serwerami. Element utrzymywany samodzielnie dla organizacji, która ma zespół techniczny i chce suwerenności nad swoją infrastrukturą, pamiętając, że administrator serwera widzi metadane. Wire dla organizacji, która chce komercyjnego produktu do współpracy, po zbadaniu jej struktury właścicielskiej.

Dla strefy odcięcia internetu lub cenzury. Briar, bo tryb kratowy przez Bluetooth i Wi-Fi działa całkiem bez infrastruktury, i Zerion z tych samych powodów, z nowszą siecią kratową offline. To dwie jedyne realne odpowiedzi, gdy przeciwnikiem jest sama sieć. Przewidź Briar Mailbox, jeśli twoja korespondencja ma przetrwać dłuższe okresy offline.

Dla tych, którzy na co dzień obracają kryptowalutami. To jedyny profil, dla którego konwergencja roku 2026 coś zmienia. Radar, jeśli twoje użycie to Bitcoin, a twoja sieć kontaktów już jest na Signalu, przy akceptacji zależności od infrastruktury Signala i numeru telefonu. Zerion, jeśli chcesz Bitcoina i Monero z maksimum odporności sieciowej, a twoi korespondenci są na Androidzie i często online. Arpokrat Messenger, jeśli chcesz wielu łańcuchów, dostępności asynchronicznej i możliwości porównywania dostawców swapów według ich wymogu KYC.

Dla tych, którzy chcą maksimum bez kompromisu w użytkowaniu. Ta kategoria nie istnieje i taki jest uczciwy wniosek z tego porównania. Maksimum teoretyczne to Briar albo Zerion, a płaci się za nie doręczalnością, baterią i brakiem iPhone’a. Najkorzystniejszy dziś kompromis, jeśli twoi korespondenci są na Androidzie, to architektura bez identyfikatora w trybie store and forward, SimpleX Chat albo Arpokrat Messenger, z włączonym Torem. Jeśli musisz uwzględnić użytkowników iPhone’a, SimpleX Chat jest dziś jedynym z tej rodziny, który pokrywa obie platformy. Arpokrat Messenger, dostępny na Androida, jest w trakcie prac nad iOS i platformami komputerowymi, bez ogłoszonej daty dostępności.

Co wybraliśmy w Arpokrat i dlaczego

Ta sekcja nie jest argumentarium, jest wyjaśnieniem kompromisów, w tym tych, których nie zawarliśmy.

Wyszliśmy od SimpleX, zamiast pisać własny protokół. Powód jest prosty: protokół bezpiecznej komunikacji ma wartość dopiero wtedy, gdy został sprawdzony, a protokół nowy z definicji nie ma za sobą żadnego sprawdzenia. SimpleX ma publiczną specyfikację, publiczny kod i dwa audyty Trail of Bits. Wymyślenie własnej kryptografii pozwoliłoby nam zrobić lepszą stronę marketingową i gorszy komunikator.

Wybraliśmy model store and forward zamiast peer-to-peer. To jawny kompromis wobec maksimum teoretycznego. Ślepy przekaźnik przechowujący zaszyfrowaną wiadomość aż do jej odebrania to jeden element infrastruktury więcej, a więc jedna powierzchnia więcej. W zamian wiadomość wyrusza, gdy ją piszesz, i dociera, gdy twój korespondent się połączy, co jest warunkiem normalnej korespondencji. Kryterium praktyczności, bronione na początku tego artykułu, nie jest ozdobnikiem: zastosowaliśmy je do siebie samych.

Rozmieściliśmy przekaźniki w pięciu jurysdykcjach poza Stanami Zjednoczonymi i wykluczyliśmy amerykańskich hiperskalerów, nie dla pozy, lecz dlatego, że CLOUD Act działa, zmuszając amerykańskiego dostawcę co do danych, które ten kontroluje. Ślepy przekaźnik, który nic nie przechowuje na dysku, ma niewiele do wydania; ślepy przekaźnik, którego żaden amerykański nakaz nie może dosięgnąć, ma jeszcze mniej. Oba środki się sumują, żaden nie zastępuje drugiego.

Zintegrowaliśmy portfel i agregator swapów, bo ta sama osoba, która nie chce, by pośrednik znał jej rozmówców, zazwyczaj nie chce też, by pośrednik znał jej transakcje. Ocena dostawców swapów od A do D według ich wymogu weryfikacji tożsamości wynika z tej samej logiki: nie decydujemy za użytkownika, jaki poziom poufności chce opłacić, dajemy mu informację, by mógł to rozważyć.

To, czego jeszcze nie zrobiliśmy, zasługuje wreszcie na wymienienie w tej samej sekcji. Nie mamy niezależnego audytu opublikowanego pod naszą nazwą. Nie mamy historii opublikowanych żądań sądowych, mamy tylko warrant canary. Nie jesteśmy jeszcze na iOS. Te trzy braki są realne, są udokumentowane w naszej karcie wyżej i żadnego nie da się nadrobić komunikatem prasowym.

Podsumowanie

Właściwe pytanie nie brzmi „który komunikator jest najlepszy". Nie ma odpowiedzi, bo jest źle postawione. Właściwe pytanie brzmi: przed kim się bronisz?

Przed reklamodawcą, który chce sprofilować twoje zainteresowania, wystarczy właściwie każda aplikacja z tego porównania. Przed przemocowym partnerem, który ma dostęp do twojego telefonu, liczy się blokada lokalna i czyszczenie pamięci, a Molly odpowiada lepiej niż Threema. Przed żądaniem sądowym w twoim kraju liczy się jurysdykcja i to, co usługa przechowuje. Przed przeciwnikiem, który chce ustalić, że z kimś rozmawiałeś, jedyną odpowiedzią jest architektura, która tej informacji nie tworzy. A przed przeciwnikiem zdolnym odciąć sieć jedyną odpowiedzią jest nie zależeć od niej.

Żadna aplikacja nie odpowiada na wszystkie te zagrożenia naraz, a te, które tak twierdzą, w pierwszej kolejności zasługują na twoją nieufność. Rok 2026 pokazał, że szyfrowanie stało się częścią łatwą. Trudne pozostają metadane, jurysdykcja i zdolność projektu do tego, by istnieć jeszcze za dwa lata. Session był o kilka tygodni od zniknięcia, Briar ograniczył swoje ambicje, a te dwa wydarzenia mówią o rzeczywistym stanie branży więcej niż jakiekolwiek porównanie prymitywów kryptograficznych.

Wybieraj więc zależnie od swojego przeciwnika, nie zależnie od rankingu. I pamiętaj, że najlepsze narzędzie świata nic nie jest warte, jeśli rozmowa skończy się gdzie indziej, bo twój rozmówca nie zechciał go zainstalować.

Źródła

SignalTrace: Europa eksportuje nadzór, na który sama sobie nie pozwala

Tue, 01 Sep 2026 00:00:00 +0000

Szara limuzyna przejeżdża pod bramownicą autostradową z prędkością 110 km/h. Kamera zamocowana na maszcie odczytuje tablicę, oznacza ją czasem, zapisuje. Nic nowego: takie urządzenia istnieją od dwudziestu lat i są rozstawione w dziesiątkach tysięcy egzemplarzy zarówno w Ameryce Północnej, jak i w Europie.

Ale jeśli ta bramownica otrzymała moduł, który włoska grupa Leonardo sprzedaje od czerwca 2026 roku, właśnie zarejestrowała coś jeszcze. iPhone’a kierowcy. Bezprzewodowe słuchawki pasażerki. Smartwatch na desce rozdzielczej. Radio samochodowe. Podłączony brelok w schowku. Czujniki ciśnienia w czterech oponach. Kartę dostępu, która została w marynarce. A jeśli z tyłu śpi pies, także jego czip identyfikacyjny.

Kilkanaście identyfikatorów, tablica, pozycja, godzina. Powtórz to przy każdej bramownicy w sieci, a nie śledzisz już samochodu: śledzisz ludzi i wiesz, z kim się przemieszczają.

Co urządzenie robi naprawdę

Produkt nazywa się SignalTrace. Sprzedawany przez Leonardo US Cyber and Security Solutions, uzupełnia serię ELSAG, jedną z najbardziej rozpowszechnionych linii automatycznych czytników tablic rejestracyjnych na rynku amerykańskim. Jego istnienie ujawnił 8 czerwca 2026 roku Joseph Cox w 404 Media, na podstawie karty produktu producenta.

Kluczowy punkt mieści się w jednym zdaniu: nie chodzi o nowe kamery. SignalTrace to czujnik radiowy dodawany do już zainstalowanych czytników tablic. Maszt się nie zmienia, lokalizacja się nie zmienia, sylwetka sprzętu przy drodze się nie zmienia. Zmienia się to, czego ten sprzęt słucha.

Czujnik rejestruje identyfikatory rozgłaszane otwartym tekstem przez protokoły Bluetooth, Wi-Fi i RFID urządzeń znajdujących się w pojeździe. Punkt techniczny często źle rozumiany: żadne urządzenie nie jest włamywane i żadna luka nie jest wykorzystywana. Urządzenie Bluetooth lub Wi-Fi stale wysyła ramki rozgłoszeniowe, ponieważ tak zaprojektowano te protokoły. Twoje słuchawki oznajmiają swoją obecność, żeby telefon mógł je odnaleźć, a ten telefon sam odpytuje otoczenie w poszukiwaniu znanych mu sieci. Te emisje są publiczne z założenia, a każdy odbiornik w zasięgu je słyszy.

Leonardo zresztą precyzuje, że system działa z czytnikiem tablic lub bez niego, także wewnątrz budynków, i rozpoznaje pojazd, którego tablica została zasłonięta lub zdjęta.

Doposażenie istniejącego sprzętu to prawdziwy temat polityczny. Instalacja nowej sieci kamer uruchamia głosowanie, debatę, czasem spór sądowy. Dodanie płytki elektronicznej do obudowy już zatwierdzonej nie uruchamia niczego. Zdolność nadzoru zmienia swoją naturę bez debaty publicznej, ponieważ materialnie nie ma nic nowego do zobaczenia.

Od pojazdu do osoby, i od osoby do grupy

Czytnik tablic odpowiada na jedno pytanie: gdzie był ten pojazd. SignalTrace dodaje dwa kolejne: kto w nim siedział i z kim.

Leonardo tego nie ukrywa, to argument sprzedażowy. System tworzy to, co dokumentacja nazywa odciskiem elektronicznym, zbiór identyfikatorów „często emitowanych razem". Przykład producenta jest jednoznaczny: w całym mieście tylko jeden pojazd połączy iPhone’a 13rev2, radio Audi, słuchawki Bose, zegarek Garmin, lokalizator kluczy i tablicę ABC-1234.

Produkt nie ogranicza się do śledzenia pojazdów. Automatycznie wytwarza graf relacji między osobami, bez konieczności sformułowania przez kogokolwiek najmniejszego podejrzenia.

To tutaj dokonuje się skok jakościowy. Korelując urządzenia, które regularnie podróżują razem, system mechanicznie buduje graf społeczny. Dwa telefony, które każdego ranka spotykają się w tym samym samochodzie, to wspólne dojazdy albo relacja, której żadna ze stron nie chce ujawniać. Pięćdziesiąt urządzeń zarejestrowanych w tym samym miejscu o tej samej godzinie to zgromadzenie: demonstracja, nabożeństwo, zebranie związkowe albo kolejka przed kliniką.

Żaden z tych wniosków nie wymaga dostępu do treści komunikacji. Wynika z tabeli bliskości, domyślnie, dla całej poruszającej się populacji, a nie dla wskazanych celów. To odpowiedzialność zbiorowa przez skojarzenie, wytwarzana przemysłowo, przed jakimkolwiek postępowaniem. Tom Bowman, prawnik z Center for Democracy & Technology, podsumowuje problem na łamach TechNewsWorld: to, co czyni narzędzie użytecznym w śledzeniu prawdziwego podejrzanego, czyni je równie zdolnym do śledzenia wszystkich pozostałych kierowców, z których żaden nie zgodził się na rejestrowanie swoich urządzeń.

Leonardo przeciwstawia dwa argumenty: system nie odszyfrowuje ani nie czyta treści komunikacji i sam z siebie nie identyfikuje osób. Oba twierdzenia są prawdziwe i oba są nie na temat. Poszukiwaną informacją nigdy nie była treść, tkwi ona w metadanej pozycji, bardziej wymownej niż wiadomość. Co do identyfikacji, sam producent przyznaje, że śledczy może powiązać sygnaturę elektroniczną z tablicą, a następnie dotrzeć do właściciela poprzez rejestry pojazdów.

Prawo amerykańskie napisane do czegoś innego

W Stanach Zjednoczonych istnieją stanowe przepisy regulujące czytniki tablic, a niektóre są wymagające co do okresów przechowywania i celów dostępu. Ale wszystkie zredagowano wokół jednego precyzyjnego przedmiotu: obrazu tablicy rejestracyjnej. Żaden nie przewiduje przechwytywania identyfikatorów urządzeń osobistych przez ten sam sprzęt.

Ta rozbieżność nie tworzy nielegalności, lecz szarą strefę, wygodniejszą dla sprzedawcy. Służba policyjna może utrzymywać, nie kłamiąc, że jej program czytników tablic jest dozwolony i zgodny z prawem, jednocześnie zbierając odtąd w tym samym reżimie dane o całkowicie odmiennym charakterze. Leonardo dysponuje ponadto kontraktami federalnymi, ze Special Operations Command i General Services Administration, czyli ścieżką zakupową, która w dużej mierze omija zgody lokalne.

Debata konstytucyjna właśnie drgnęła i trzeba tu precyzji, bo stan prawa zmienił się tego lata. W styczniu 2026 roku sąd federalny w Wirginii orzekł w sprawie Schmidt v. City of Norfolk, że miejska sieć kamer Flock nie stanowi przeszukania w rozumieniu czwartej poprawki, ponieważ nie obejmuje całości przemieszczeń mieszkańców. Orzeczenie jest w apelacji przed Czwartym Okręgiem, gdzie przystąpiła ACLU.

Następnie, 29 czerwca 2026 roku, Sąd Najwyższy wydał wyrok Chatrie v. United States. Stosunkiem pięć do czterech, pod piórem sędzi Kagan, orzekł, że uzyskanie przez policję danych lokalizacyjnych telefonu stanowi przeszukanie, ponieważ jednostka zachowuje uzasadnione oczekiwanie prywatności wobec tych danych, nawet gdy znajdują się u osoby trzeciej i nawet przez krótki okres. Wyrok przedłuża Carpenter v. United States z 2018 roku i osłabia doktrynę osoby trzeciej, jak zauważyło CDT.

Dokładny zasięg Chatrie wobec SignalTrace nie jest rozstrzygnięty i twierdzenie inaczej byłoby nieostrożne: wyrok dotyczy danych żądanych od Google’a, a nie bezpośredniego przechwytywania przez policyjny czujnik w przestrzeni publicznej. Ustanawia jednak rozumowanie, które się liczy, mianowicie że wrażliwość danej lokalizacyjnej nie zależy od tego, kto ją posiada.

Kwestia europejska, która jest kwestią prawdziwą

Tu sprawa staje się niewygodna dla Europy. Leonardo nie jest dostawcą amerykańskim, lecz włoską grupą notowaną w Mediolanie, której pierwszym akcjonariuszem jest włoskie Ministerstwo Gospodarki i Finansów, z około 30 % kapitału i prawem wskazania większości rady dyrektorów. Państwo włoskie nie jest biernym akcjonariuszem tego produktu.

Najpierw punkt techniczny

W prawie europejskim identyfikator urządzenia jest daną osobową. To nie opinia doktrynalna, lecz utrwalone stanowisko organów. CNIL wyraźnie traktuje adres MAC jako taki w swojej doktrynie dotyczącej systemów pomiaru natężenia ruchu i dopuszcza ich zbieranie w przestrzeni publicznej tylko pod ścisłymi warunkami: anonimizacja w ciągu kilku minut z wysokim wskaźnikiem kolizji między osobami albo wiarygodna pseudonimizacja z następującym po niej zniszczeniem w ciągu dwudziestu czterech godzin, w przeciwnym razie zgoda staje się obowiązkowa. Ta sama doktryna precyzuje, że zachęcanie ludzi do wyłączenia Wi-Fi nie jest dopuszczalną formą sprzeciwu.

Trybunał Sprawiedliwości Unii Europejskiej sprecyzował 4 września 2025 roku w sprawie EIOD przeciwko SRB (C-413/23 P), że osobowy charakter danej spseudonimizowanej ocenia się z uwzględnieniem rozsądnie możliwych do uruchomienia środków ponownej identyfikacji. Tymczasem tutaj posiadaczem jest organ policyjny, dysponujący rejestrami pojazdów. Środki ponownej identyfikacji nie są hipotetyczne, są w sąsiednim pokoju.

Niuans, który zmienia wszystko

Byłoby fałszem napisać, że SignalTrace „byłby nielegalny w Europie", i czytelnik prawnik zauważyłby to natychmiast. Przetwarzanie prowadzone przez właściwy organ do celów zapobiegania przestępczości i jej ścigania nie podlega RODO. Podlega dyrektywie (UE) 2016/680, zwanej dyrektywą policyjną, transponowanej odrębnie przez każde państwo członkowskie, we Francji w tytule III ustawy o ochronie danych. CNIL przypomina, że ten reżim jest autonomiczny, z własnymi podstawami legalności i własnymi prawami.

Właściwe pytanie nie dotyczy zatem abstrakcyjnej legalności, lecz warunków. W tym reżimie takie urządzenie zakładałoby wyraźną krajową podstawę prawną, określone cele, wykazaną niezbędność, ograniczony okres przechowywania, ocenę skutków i niezależną kontrolę. We Francji czytniki tablic są uregulowane właśnie tak: artykuły L233-1 i L233-1-1 kodeksu bezpieczeństwa wewnętrznego ustanawiają zamkniętą listę przestępstw otwierających drogę do ich użycia, a okres przechowywania pozostaje jednym z najkrótszych w Unii, co do zasady piętnaście dni, nawet jeśli senacki projekt ustawy próbuje go wydłużyć.

To zasadnicza różnica wobec sytuacji amerykańskiej. W Stanach Zjednoczonych prawo reguluje przedmiot, tablicę, a milczenie o identyfikatorach urządzeń oznacza przyzwolenie. W Europie prawo reguluje cele i kategorie danych, a to milczenie oznacza raczej zakaz, wobec braku wyraźnej podstawy prawnej. Luka stwierdzona za oceanem nie istnieje tutaj w tej samej formie. Nie dlatego, że Europa jest cnotliwsza: jej technika prawna jest odwrotna.

Ile zatem warta jest ochrona

Pozostaje pytanie, o które chodzi w tym artykule. Ile warta jest europejska ochrona regulacyjna, gdy europejskie przedsiębiorstwo, kontrolowane przez państwo członkowskie, sprzedaje poza Europą zdolność, której u siebie nie mogłoby wdrożyć bez nowej ustawy?

Zastrzeżenia zasługują na poważne potraktowanie. Przemysłowiec nie odpowiada za ramy prawne swojego klienta: to władze amerykańskie decydują, co dopuszczają u siebie. Produkt nie jest sprzedawany dyktaturze, lecz państwu prawa z aktywnym sądem najwyższym, o czym właśnie przypomniało Chatrie. A argument suwerenności przemysłowej jest zasadny: jeśli grupy europejskie zamkną sobie te rynki, zajmą je dostawcy izraelscy, amerykańscy lub chińscy, bez cofnięcia się nadzoru choćby o metr, a Europa straci przy tym swoją bazę technologiczną.

Te argumenty są dopuszczalne. Nie odpowiadają na problem.

Po pierwsze dlatego, że Unia już uznała, iż eksport środków nadzoru nie jest handlem jak każdy inny. Rozporządzenie (UE) 2021/821 w sprawie produktów podwójnego zastosowania wprowadziło w artykule 5 klauzulę zbiorczą obejmującą produkty cyberinwigilacji, ponieważ prawodawca przyznał, że narzędzie legalne w produkcji może być nieprawowite w miejscu przeznaczenia. Jego ograniczenie jest pouczające: uruchamia się wobec ryzyka represji wewnętrznych lub poważnych naruszeń praw człowieka, kategorii pomyślanych dla reżimów autorytarnych. Sprzedaż amerykańskiej policji miejskiej się w nich nie mieści. Europejska siatka bada moralność klienta, nigdy naturę sprzedawanej zdolności.

Po drugie dlatego, że taki produkt nie jest zapasem do wyprzedania, lecz zdolnością, którą się utrzymuje: finansuje badania, kształci inżynierów, gromadzi know-how i tworzy bazę zainstalowaną. W dniu, w którym poważny zamach skłoni państwo członkowskie do zażądania tej zdolności, debata nie będzie już dotyczyć zasadności jej budowy. Ona będzie istnieć, będzie europejska, będzie dojrzała, a jej dostawca będzie częściowo publiczny. Argument „tylko podążamy za rynkiem" staje się wtedy okrężny, ponieważ rynek krajowy zostanie przygotowany przez eksport.

Oto ile warta jest ochrona regulacyjna w tym scenariuszu: chroni Europejczyków przed zastosowaniami, nie przed istnieniem środków. Rozstrzyga kwestię, kto ma prawo nacisnąć przycisk, i zostawia przemysłowi budowanie go, sprzedawanie, ulepszanie, a potem czekanie.

Co można zrobić, bez opowiadania sobie bajek

Pierwszą przywoływaną odpowiedzią jest zawsze losowanie adresu MAC. Zasługuje na uczciwą ocenę, ani promocję, ani deprecjację. Jest realne i działa.

Android od wersji 10 i iOS od wersji 14 domyślnie losują adres MAC używany w Wi-Fi, z odrębnym adresem dla każdej sieci. W Bluetooth Low Energy nowoczesne urządzenia rozgłaszają rozwiązywalne adresy prywatne, które zmieniają się okresowo i mogą zostać powiązane z rzeczywistym urządzeniem tylko przez rozmówcę posiadającego klucz rozwiązywania.

Jego ograniczenia są równie realne.

Parowanie znów otwiera drzwi. Klucz rozwiązywania jest przekazywany podczas parowania. Urządzenie już sparowane lub wyraźnie zatwierdzone odnajduje stałą tożsamość za rotującym adresem. Mechanizm jest do tego stworzony.
Wiele przedmiotów nie losuje niczego. Czujniki ciśnienia w oponach, karty RFID, czipy identyfikacyjne zwierząt, radia samochodowe i tanie peryferia emitują stałe identyfikatory. Karta produktu Leonardo wymienia dokładnie te kategorie, co nie jest przypadkiem.
Losowanie da się wyłączyć. Wyłącza się je sieć po sieci i często jest wyłączone dla wygody, na potrzeby filtrowania MAC na domowym routerze albo z powodu polityki firmowej.
Grupa przeżywa rotację identyfikatorów. To punkt najmniej intuicyjny i najważniejszy. SignalTrace nie szuka identyfikatora, szuka zbioru urządzeń podróżujących razem. Jeśli choć jeden członek grupy emituje stały identyfikator, cały zbiór pozostaje przypisywalny, niezależnie od dyscypliny pozostałych.

Najskuteczniejszy środek pozostaje najnudniejszy: nie emitować. Zakłada to wyłączenie Bluetooth i Wi-Fi na poziomie systemu, w ustawieniach, a nie z panelu skrótów. Rozróżnienie nie jest kosmetyczne, opisaliśmy je szczegółowo w naszym artykule o nieustannej geolokalizacji telefonu: w większości systemów konsumenckich przycisk w panelu szybkiego dostępu przerywa widoczne parowanie, ale pozostawia stos programowy przy życiu, a analizy bliskości trwają dalej. Tamten artykuł opisywał skanowanie Bluetooth jako wektor teoretyczny. SignalTrace jest jego produktem komercyjnym, skatalogowanym i gotowym do dostawy.

Trzeba pozostać uczciwym co do rezultatu: te środki zmniejszają powierzchnię ekspozycji, nie znoszą jej. Pojazd pozostaje tablicą, a tablica pozostaje czytelna. Jedynym sposobem, by nic nie emitować, jest nic nie nosić, co nie jest polityką publiczną.

Co to mówi o naszych wyborach projektowych

W Arpokrat to właśnie to rozumowanie skłoniło nas do obsługi Bluetooth na poziomie Core systemu ArpokratOS, a nie na poziomie ustawień. Przełącznik w interfejsie to preferencja użytkownika: aktualizacja, aplikacja systemowa albo usługa lokalizacji mogą ją obejść lub ponownie włączyć, bez wiedzy użytkownika. Nieobecny stos nie da się ponownie włączyć.

Wobec przechwytywania takiego jak SignalTrace nie czyni to oczywiście urządzenia niewykrywalnym i nie twierdzimy tego: telefon pozostaje w sieci komórkowej, a pozostałe przedmioty w pojeździe emitują na własny rachunek. Gwarantuje to natomiast, że konkretny wektor emisji jest nieobecny z założenia, zamiast być wyłączony na zaufanie. To teza, której broniliśmy w tekście o 5G i błędzie celu w prawie: ochrona prawna skupia się na dostępie do danych, podczas gdy powinna dotyczyć samego istnienia infrastruktury, która je wytwarza. SignalTrace jest tego ilustracją, z tą różnicą, że ta infrastruktura powstaje w Europie.

Wnioski

Najbardziej uderzające w tej sprawie nie jest możliwość techniczna, którą badacze opisywali od lat. To metoda wdrożenia.

Nie będzie nowej sieci kamer do zainaugurowania, żadnej uchwały gminnej do zaskarżenia, żadnego przetargu publicznego rozpoznawalnego jako zmiana natury. Będą moduły dodane do istniejących masztów, w ramach istniejących umów, w programach już dopuszczonych. W dniu, w którym otworzy się debata publiczna, infrastruktura będzie zainstalowana, zamortyzowana i wbudowana w procedury śledcze. Debata będzie wtedy dotyczyć warunków dostępu do bazy, która istnieje, nigdy zasadności jej utworzenia.

Taki jest zwykły porządek rzeczy w kwestii nadzoru i nie jest on przypadkowy. Pozostaje ustalić, czy Europa uważa, że ma coś do powiedzenia, gdy jej właśni przemysłowcy, wsparci przez jej własne państwa, budują tę infrastrukturę dla innych. Prawo europejskie starannie zorganizowało odpowiedź na pytanie, kto może u nas przeglądać te dane. Nigdy nie postawiło pytania, kto ma prawo zbudować maszynę.

Stała geolokalizacja: jak telefon śledzi cię nawet wtedy, gdy myślisz, że mu to uniemożliwiłeś

Sun, 02 Aug 2026 00:00:00 +0000

W 2024 roku dwaj badacze z Uniwersytetu Maryland wielokrotnie odpytywali usługę pozycjonowania Wi-Fi firmy Apple, bez żadnych szczególnych uprawnień ani specjalistycznego sprzętu, i w ciągu roku odtworzyli dokładne położenie ponad dwóch miliardów punktów dostępowych Wi-Fi na świecie. Ich praca Surveilling the Masses with Wi-Fi-Based Positioning Systems pokazuje, co taka mapa umożliwia: śledzenie sprzętu wjeżdżającego na Ukrainę i z niej wyjeżdżającego, obserwowanie przemieszczeń ludności po pożarach na Maui, namierzenie konkretnej osoby przez jej domowy router.

W żadnym z tych urządzeń nie był włączony GPS. Pozycja pochodziła skądinąd.

To najczęstszy martwy punkt w kwestii prywatności mobilnej: przekonanie, że istnieje przełącznik lokalizacji i że po jego wyłączeniu telefon przestaje wiedzieć, gdzie się znajduje. To przekonanie jest fałszywe na siedmiu różnych poziomach.

Lokalizacja nie jest funkcją, którą telefon włącza. Jest właściwością tego, czym telefon jest.

GPS, czyli najmniej problematyczny wektor

Jedyny mechanizm, który wszyscy potrafią nazwać, jest zarazem tym, który powinien niepokoić najmniej.

GNSS, termin zbiorczy obejmujący amerykański GPS, Galileo, GLONASS i BeiDou, działa przez nasłuch. Satelity nadają w sposób ciągły sygnały ze znacznikiem czasu, odbiornik odbiera kilka z nich i wylicza swoją pozycję na podstawie różnic czasu propagacji. Typowa dokładność w otwartym terenie: od trzech do pięciu metrów, w mieście często kilkadziesiąt metrów, bo elewacje odbijają sygnały.

Rozstrzygające jest to, że obliczenie ma charakter pasywny. Telefon nie nadaje niczego w stronę satelitów, żaden operator satelitarny nie wie, że istniejesz. Gdyby w grze był wyłącznie GNSS, wyłączenie GPS by wystarczyło.

Jest tu jednak pewien niuans. Aby przyspieszyć pierwsze wyznaczenie pozycji, telefony korzystają z A-GPS: pobierają efemerydy satelitarne z serwera, poprzez protokół SUPL. Żeby otrzymać właściwe dane, telefon przekazuje temu serwerowi identyfikator komórki sieci, do której jest przyłączony. Czysty GNSS cię nie zdradza, ale doczepiony do niego akcelerator już tak.

Sieć komórkowa: to, co operator wie z definicji

Żeby połączenie mogło do ciebie dotrzeć, sieć musi wiedzieć, w jakim obszarze się znajdujesz. To nie jest opcja do włączenia, to warunek istnienia usługi. Telefon nieustannie zgłasza się do najbliższej stacji bazowej, a ta rejestracja zostawia ślad po stronie operatora. Żadnej zainstalowanej aplikacji, żadnego przyznanego uprawnienia: wystarczy aktywna karta SIM.

Dokładność zależy od metody:

Sam identyfikator komórki: od 200 metrów w gęstej zabudowie miejskiej do ponad 30 kilometrów na wsi, gdzie jedna stacja obsługuje bardzo duży promień.
Wzbogacony Cell ID, który dodaje sektor anteny (większość stacji jest podzielona na trzy sektory po 120 stopni) oraz siłę sygnału: od 100 metrów do kilku kilometrów.
Timing advance, mierzący opóźnienie w obie strony między telefonem a stacją: rzędu 550 metrów w GSM, około 78 metrów w LTE.
Multilateracja na trzech lub więcej stacjach: od 50 do 300 metrów w miejskim LTE.

5G zmienia skalę z dwóch nakładających się powodów. Po pierwsze gęstość: komórki 5G pokrywają znacznie mniejsze promienie, więc już samo przyłączenie jest informacją precyzyjną. Po drugie normalizacja: od wydania Release 16 3GPP uwzględnia natywne sygnały pozycjonujące. Cele komercyjne to poniżej 3 metrów w pomieszczeniach i poniżej 10 metrów na zewnątrz dla 80 % terminali, a Release 18 schodzi do centymetrów w niektórych zastosowaniach przemysłowych.

Infrastruktura, która cię łączy, staje się więc systemem pozycjonowania o jakości porównywalnej z GPS, bez włączania czegokolwiek z twojej strony. Dane te są przechowywane zgodnie z przepisami krajowymi i udostępniane organom w różnych trybach. To ten sam spór, co przy jurysdykcji właściwej dla danych hostowanych: ochrona techniczna i ochrona prawna nie pokrywają się.

Wi-Fi: mapa świata zbudowana z adresów sprzętowych

Każdy punkt dostępowy Wi-Fi rozgłasza nieprzerwanie unikalny identyfikator sprzętowy, BSSID. Identyfikatory te są stałe i geograficznie niezmienne: domowy router stoi latami w tym samym miejscu.

Apple, Google i kilku wyspecjalizowanych graczy utrzymują bazy wiążące każdy BSSID ze współrzędnymi, budowane przez telefony ich własnych użytkowników, które przesyłają listę widocznych punktów wraz z pozycją GNSS. Następnie operacja zostaje odwrócona: telefon widzący cztery znane punkty nie potrzebuje już ani jednego satelity. W gęstej zabudowie miejskiej dokładność sięga zwykle kilkudziesięciu metrów, a wewnątrz budynków schodzi jeszcze niżej.

Dwie cechy sprawiają, że ten mechanizm trudno zneutralizować. Po pierwsze telefon skanuje nawet wtedy, gdy Wi-Fi wydaje się wyłączone: od Androida 4.3 system utrzymuje okresowe skanowanie służące poprawie lokalizacji, niezależnie od przełącznika w panelu szybkich ustawień. To zachowanie zależy od odrębnej opcji, ukrytej w usługach lokalizacji, której praktycznie żaden użytkownik nigdy nie otworzył.

Po drugie bazę można odpytywać z zewnątrz. To właśnie luka wykorzystana przez Rye’a i Levina: interfejsy pozycjonowania zwracają nie tylko żądaną pozycję, ale również pozycje sąsiednich punktów, co pozwala zbierać mapę bez zbliżania się fizycznie do tych miejsc.

Bluetooth i BLE: zlokalizowany przez telefony innych ludzi

Bluetooth Low Energy dokłada warstwę bliskości, o zasięgu od kilku do kilkudziesięciu metrów, a więc o ziarnistości znacznie drobniejszej niż sieć komórkowa. Współistnieją dwa zastosowania. Beacony komercyjne, rozmieszczone w sklepach, na lotniskach czy w centrach handlowych, nadają identyfikator rozpoznawany przez aplikacje obecne w telefonie, co ujawnia, przed którą półką się zatrzymałeś i na jak długo. Oraz sieci lokalizacji współdzielonej, których wzorcem jest Find My firmy Apple, przejęty od tego czasu przez Google i Samsunga.

Ten drugi mechanizm odwraca milczące założenie. Referencyjna analiza Who Can Find My Devices?, opublikowana w materiałach PETS 2021 przez badaczy z Politechniki w Darmstadt, odtworzyła protokół Apple metodą inżynierii wstecznej. Urządzenie bez połączenia nadaje sygnał BLE, dowolne urządzenie Apple w pobliżu go odbiera, dołącza własną pozycję i przesyła ją zaszyfrowaną na serwery Apple, bez wiedzy zarówno swojego właściciela, jak i właściciela urządzenia lokalizowanego.

Konsekwencja ma charakter strukturalny: urządzenie bez karty SIM, bez Wi-Fi, bez jakiegokolwiek połączenia sieciowego pozostaje możliwe do zlokalizowania, o ile obok przejdzie nieznajomy z telefonem w kieszeni. Twoja izolacja nie zależy już od twoich ustawień, lecz od ustawień przechodniów.

Czujniki inercyjne: lokalizacja bez uprawnienia do lokalizacji

Telefon zawiera akcelerometr, żyroskop, magnetometr i często barometr. Czujniki te należą do kategorii uprawnień odrębnej od lokalizacji: aplikacja może je odczytywać, nigdy nie pytając, gdzie jesteś.

Badacze z Princeton wykazali to przy pomocy PinMe. Ich aplikacja wychodzi od adresu IP i strefy czasowej, by uzyskać zgrubną pozycję, a następnie odczytuje czujniki: akcelerometr daje profil przyspieszania i hamowania, żyroskop sekwencję zakrętów, magnetometr kurs, barometr zmiany wysokości. Sieć neuronowa rozpoznaje środek transportu, pieszo, samochód, pociąg czy samolot, a trasa jest dopasowywana do publicznych danych kartograficznych, wysokościowych i pogodowych. Wynik: trajektoria o dokładności porównywalnej z GPS, bez uprawnienia do lokalizacji. Metoda ma ograniczenia, które autorzy dokumentują, ponieważ zawodzi na obszarach bez dróg i pogarsza się przy jednolitych układach szachownicowych, gdzie wiele tras daje tę samą sygnaturę. Pozostaje jednak dowodem, że odmówione uprawnienie nie jest zamkniętymi drzwiami.

Barometr dostarcza ponadto wymiaru, z którym GNSS radzi sobie źle, czyli pionowego. Amerykańskie wymogi dotyczące połączeń alarmowych narzucają dokładność na poziomie kondygnacji plus minus 3 metry dla 80 % połączeń wykonywanych w budynkach. Wiedzieć, na którym piętrze ktoś się znajduje, to zupełnie inna wiedza niż wiedzieć, w którym kwartale ulic.

Rynek danych: wektor najbardziej banalny

Powyższe mechanizmy opisują, w jaki sposób pozycja jest wyliczana. Pozostaje pytanie, dokąd ona trafia, i tam właśnie rozgrywa się większość codziennego ryzyka.

Tysiące aplikacji zawierają reklamowe SDK, komponenty programowe dostarczane przez podmioty trzecie, które deweloper dodaje, by zmonetyzować swoją pracę lub mierzyć zasięg. Komponenty te dziedziczą uprawnienia aplikacji goszczącej: aplikacja pogodowa, która zasadnie potrzebuje twojej pozycji, przekazuje ją podmiotom, których nazw nigdy nie czytałeś. Do tego dochodzą strumienie aukcji reklamowych, w których twoja przybliżona pozycja jest rozsyłana do dziesiątek potencjalnych kupujących przy każdym wyświetleniu banera, w tym do tych, którzy niczego nie kupują i poprzestają na nasłuchiwaniu.

Ten surowiec zasila cały przemysł. Electronic Frontier Foundation udokumentowała przypadek Fog Data Science, firmy deklarującej miliardy punktów danych o ponad 250 milionach urządzeń, sprzedawanych lokalnym policjom w Stanach Zjednoczonych. Brian Krebs opisał Locate X, produkt pozwalający obrysować wielokąt na mapie i zobaczyć historię urządzeń, które wjechały do tego obszaru i go opuściły.

Ten wektor nie wymaga żadnego wyczynu technicznego, wystarczy, że ktoś zgodzi się zapłacić. Cena jest niewielka.

IMSI catchery: lokalizacja aktywna

Opisane dotąd mechanizmy wykorzystują normalne działanie systemu. Istnieje również lokalizacja aktywna, prowadzona przez podmiot ingerujący w sieć.

IMSI catcher, czyli symulator stacji bazowej, to urządzenie podszywające się pod legalną stację. Telefony w zasięgu przyłączają się do niego, ujawniając identyfikator abonenta i swoją obecność w ściśle ograniczonym obszarze.

5G miało zamknąć te drzwi, zastępując stały identyfikator przesyłany jawnie identyfikatorem zaszyfrowanym, SUCI. Zamknięcie jest częściowe. Prace przedstawione pod tytułem 5G SUCI-catchers: still catching them all? dokumentują ataki wiążące, pozwalające ponownie skorelować sesje mimo szyfrowania. Przede wszystkim jednak ochrona upada całkowicie, jeśli atakujący zmusi terminal do zejścia na wcześniejszą generację, zwłaszcza 2G, którego uwierzytelnianie jest jednostronne. Telefon 5G pozostaje podatny na atak zaprojektowany dla sieci z lat dziewięćdziesiątych, ponieważ nadal godzi się na takie zejście.

Środki zaradcze i ich rzeczywista skuteczność

Każdy z poniższych środków coś daje. Żaden nie daje wszystkiego, a rozziew między tym, co robią, a tym, co się im przypisuje, prowadzi do złych decyzji.

Tryb samolotowy

Tryb samolotowy odcina nadawanie modemu komórkowego, Wi-Fi i Bluetootha. To działa naprawdę i jest to najlepszy rezultat przy tak niewielkim wysiłku.

Czego nie robi: nie zatrzymuje czujników inercyjnych, nie usuwa pozycji już zapisanych w pamięci podręcznej, które wyjdą przy ponownym połączeniu, a na większości urządzeń pozwala włączyć z powrotem Wi-Fi lub Bluetooth osobno, bez wychodzenia z niego. Jest wreszcie stanem programowym, a nie odcięciem zasilania: jego wiarygodność zależy od integralności systemu, który go egzekwuje.

Niedoceniany szczegół: odłączenie od sieci i ponowne przyłączenie same w sobie są zdarzeniami ze znacznikiem czasu po stronie operatora. Telefon, który znika o 21 w jednej komórce i pojawia się o 23 w innej, wytworzył informację, a nie ciszę.

Losowanie adresu MAC

Systemy mobilne emitują dziś przy skanowaniu losowe adresy MAC, aby uniemożliwić śledzenie z miejsca na miejsce. Intencja jest dobra, rezultat niepełny. Prace referencyjne, w tym Why MAC Address Randomization is not Enough, pokazują, że sama zawartość ramek rozpoznawczych często wystarcza do ponownego zidentyfikowania urządzenia: liczba elementów informacyjnych, ich wartości i kolejność tworzą odcisk. Dochodzą do tego numery sekwencyjne, przyrostowe, a więc dające się połączyć w łańcuch, oraz sygnatura czasowa właściwa każdemu modelowi. Niektóre badania donoszą o poprawnym śledzeniu połowy urządzeń przez co najmniej dwadzieścia minut.

Wreszcie ograniczenie pojęciowe: losowanie dotyczy wyłącznie fazy wykrywania. Gdy tylko połączysz się z siecią, używany adres jest dla tej sieci stały, z założenia, żeby połączenie działało. Kawiarnia, do której chodzisz co rano, rozpoznaje cię.

Naprawdę wyłączyć skanowanie

To ustawienie najbardziej opłacalne i najczęściej pomijane. W Androidzie wyszukiwanie Wi-Fi i wyszukiwanie Bluetooth to dwie odrębne opcje, umieszczone w usługach lokalizacji, niezależne od przełączników w panelu szybkich ustawień. Dopóki są aktywne, wyłączenie Wi-Fi z panelu nie wystarcza: skanowanie trwa dalej.

Ich wyłączenie usuwa całą warstwę zbierania danych, a jedynym kosztem jest nieco wolniejsze pierwsze wyznaczenie pozycji. Dla większości czytelników to najlepszy stosunek włożonego wysiłku do uzyskanego efektu.

Uprawnienia aplikacji

Odbieranie uprawnienia do lokalizacji aplikacjom, które ewidentnie go nie potrzebują, pozostaje przydatne, a nowsze systemy oferują trzy stopnie: zgodę jednorazową, zgodę ograniczoną do aktywnego użycia oraz lokalizację przybliżoną, przekazującą jedynie obszar rzędu kilometra.

Nie chroni to natomiast ani przed SDK osadzonymi w aplikacji mającej uzasadniony powód dostępu do twojej pozycji, ani przed czujnikami inercyjnymi, ani przed warstwami sieciowymi, które nie przechodzą przez żadne uprawnienie.

Przed czym VPN nie chroni

Punkt wymagający wyjaśnienia, bo przekonanie odwrotne jest bardzo rozpowszechnione: VPN nie ukrywa twojej lokalizacji. Ukrywa twój publiczny adres IP, więc zafałszowuje geolokalizację po IP, która i tak jest najbardziej zgrubnym mechanizmem z całej listy.

VPN nie dotyka ani odbiornika GNSS, ani skanowania Wi-Fi, ani Bluetootha, ani czujników. Nie zmienia niczego w tym, co wie twój operator, ponieważ zaszyfrowany tunel przechodzi przez jego stacje, a przyłączenie do komórki pozostaje dla niego widoczne. Nie powstrzymuje aplikacji dysponującej uprawnieniem do lokalizacji przed przesłaniem dokładnych współrzędnych wewnątrz tunelu. VPN chroni treść i cel twojej komunikacji w niezaufanej sieci, a to już dużo. Lokalizacja nie mieści się w jego zakresie.

Granice fizyczne

Etui Faradaya działa w sensie dosłownym: blokuje nadawanie i odbiór. Wyjęcie baterii również, tam gdzie jest to jeszcze możliwe. Osobne urządzenie albo po prostu zostawienie telefonu gdzie indziej pozostaje środkiem najbardziej odpornym.

Rozwiązania te mają wspólną wadę, której trzeba spojrzeć w oczy: wytwarzają anomalię. Telefon, który milknie na dwie godziny w każdy wtorkowy wieczór, coś mówi. Wobec przeciwnika analizującego wzorce, a nie chwilowe pozycje, nieobecność jest daną.

Trzej przeciwnicy, trzy strategie

To najważniejsze rozróżnienie w tym artykule i zarazem to, które czyta się najrzadziej.

Przeciwko reklamodawcy lub brokerowi danych walka jest do wygrania. Dyscyplina uprawnień, wyłączenie skanowania, system bez zamkniętych usług lokalizacji, resetowanie identyfikatora reklamowego: razem bardzo silnie redukują zbierany wolumen. Ten przeciwnik szuka taniej masy, a nie twojego konkretnego przypadku.

Przeciwko twojemu operatorowi żadna konfiguracja nie wystarczy. Lokalizacja komórkowa jest warunkiem usługi. Jedyne realne zmienne są prawne, czyli to, co ustawa pozwala przechowywać i przekazywać, oraz materialne: jakie urządzenie, jaka karta SIM, na czyje nazwisko, włączona gdzie.

Przeciwko ukierunkowanemu przeciwnikowi państwowemu rozumowanie zmienia się jeszcze raz, ponieważ łączy on legalny dostęp do danych operatora, aktywną lokalizację symulatorem stacji, żądania wobec platform i, w razie potrzeby, kompromitację samego terminala. Programowe środki zaradcze zmniejszają powierzchnię, ale realistycznym celem nie jest zniknięcie: jest nim dokładna wiedza o tym, co pozostaje odsłonięte.

Podejście ArpokratOS

ArpokratOS odpowiada na ten krajobraz wyborem wynikającym z powyższego rozróżnienia: to, co ma zostać zneutralizowane, neutralizuje się na poziomie systemu, a nie w menu.

W przypadku GNSS sterownik sprzętowy zostaje usunięty. Urządzenie zachowuje się tak, jakby układ nie istniał, zarówno wobec aplikacji, jak i wobec samego systemu. Różnica względem przełącznika w ustawieniach nie jest kosmetyczna. Przełącznik to polityka: egzekwuje ją warstwa, którą wystarczająco uprzywilejowany komponent może obejść, aktualizacja ponownie włączyć, a skompromitowany system zignorować. Usunięcie ścieżki kodu likwiduje pytanie, bo nie ma już czego włączać.

Bluetooth jest traktowany na poziomie Core, według tej samej logiki. Bluetooth wyłączony w ustawieniach w praktyce pozostawia na wielu urządzeniach żywy stos programowy, obsługujący usługi bliskości i sieci lokalizacji współdzielonej. Nieobecny na poziomie systemu nie może ani rozmawiać z beaconem sklepowym, ani uczestniczyć w sieci typu Find My, ani służyć jako powierzchnia ataku bez interakcji.

Trzeba jasno powiedzieć, czego to nie daje. ArpokratOS nie czyni telefonu niewykrywalnym. Dopóki aktywna jest karta SIM, operator zna komórkę przyłączenia i żaden system operacyjny tego nie zmieni, nawet przy całym ruchu kierowanym przez Tor. Trasowanie chroni treść i cel, a nie geometrię radiową. Kto obiecuje niewidzialność, sprzedaje bajkę.

To, co taka architektura wnosi, jest skromniejsze: usunięcie warstw aplikacyjnej i bliskościowej, przez które przechodzi zdecydowana większość realnego zbierania danych, oraz jawny model zagrożeń dla tego, co pozostaje. To rozumowanie zastosowane do wyboru systemu na komputer, opisane w naszym porównaniu systemów operacyjnych: użyteczne pytanie nie brzmi, czy narzędzie chroni, lecz przed czym chroni i jakim kosztem.

Podsumowanie

Ten artykuł nie dostarcza metody na zniknięcie. Taka metoda nie istnieje, a teksty twierdzące inaczej wytwarzają przede wszystkim fałszywą pewność, groźniejszą niż brak ochrony, bo skłaniającą do podejmowania ryzyka.

Celem było zastąpienie pytania zerojedynkowego, czy jestem lokalizowalny czy nie, pytaniem użytecznym: przez kogo, z jaką dokładnością, jakim kosztem dla nich i czy mnie to obchodzi. Odpowiedź jest inna dla dziennikarza chroniącego źródło, dla menedżera podróżującego po wrażliwej jurysdykcji, dla adwokata, którego spotkania zdradzają strategię, i dla osoby prywatnej zirytowanej tym, że reklamodawca zna jej przyzwyczajenia.

Uwagę powinna zresztą przyciągać nie skuteczność każdego z tych mechanizmów z osobna, lecz to, że one się nakładają. Pozycja z dokładnością do pięćdziesięciu metrów nie jest szczególnie ciekawa. Pozycja z dokładnością do pięćdziesięciu metrów, co kwadrans, przez dwa lata, rysuje miejsce zamieszkania, miejsce pracy, wyznanie, stan zdrowia, romans, źródło informacji. Dana lokalizacyjna to metadana, która czyni wszystkie pozostałe czytelnymi, i właśnie dlatego jest tyle warta.

Źródła

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Iluzja Suwerenności: Przypadek Olvid i Pułapka CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

Ogłoszenie to zabrzmiało jak prawdziwy „okrzyk niepodległości” na korytarzach Paryża: premier nakazała rządowi porzucić WhatsApp i Signal na rzecz Olvid, komunikatora przedstawianego jako „rodzimy”. Cel był jasny: chronić tajemnice państwowe przed zagranicznymi agencjami wywiadowczymi.

Szybko jednak wyszła na jaw gorzka ironia: serce Olvid — jego infrastruktura serwerowa — bije w ramach Amazon Web Services (AWS), amerykańskiego giganta.

Dla ogółu społeczeństwa wydaje się to prostą kwestią techniczną dotyczącą hostingu. Ale dla architektów suwerennego cyberbezpieczeństwa jest to polityczna słabość pierwszego rzędu.

Ekstraterytorialność i Konflikt Suwerenności

Opierając się na infrastrukturze Amazon, Olvid automatycznie wchodzi na orbitę amerykańskiej ustawy CLOUD Act.

Analiza prawna tego przypadku ujawnia scenariusz braku bezpieczeństwa jurysdykcyjnego, którego samo przyjęcie narodowej „aplikacji” absolutnie nie rozwiązuje. Punkt krytyczny leży w koncepcji „kontroli” w stosunku do „lokalizacji”.

CLOUD Act radykalnie zmienił paradygmat prawny, stanowiąc, że fizyczna lokalizacja serwera nie ma znaczenia. Obowiązek współpracy dostawcy (tu AWS) wynika wyłącznie z jego powiązań jurysdykcyjnych z USA.

Z prawnego punktu widzenia tworzy to frontalny konflikt z RODO (GDPR). Trybunał Sprawiedliwości UE już ustalił, że amerykańskie przepisy dotyczące inwigilacji nie oferują poziomu ochrony równoważnego z europejskim.

Cyfrowa suwerenność nie jest atrybutem oprogramowania, ale właściwością integralności łańcucha dowodowego.

Widmo FISA i Fałszywa Obietnica Szyfrowania

Co gorsza, to uzależnienie od amerykańskiej infrastruktury umieszcza te dane w cieniu ustawy Foreign Intelligence Surveillance Act (FISA).

W obliczu tych zagrożeń Olvid twierdzi, że szyfrowanie end-to-end stanowi wystarczającą tarczę. Z perspektywy inżynierii prywatności obrona ta jest niebezpiecznie fragmentaryczna.

Nawet jeśli treść wiadomości jest zaszyfrowana, scentralizowana infrastruktura AWS ujawnia metadane. Wiedza o tym, kto rozmawia z kim, kiedy, jak często i skąd, jest często znacznie cenniejsza dla wywiadu niż sama treść wiadomości.

Szyfrowanie chroni tekst, ale scentralizowany serwer zdradza sieć kontaktów.

Prawdziwe Niebezpieczeństwo Dopiero Nadejdzie

Dopóki europejska infrastruktura będzie zależna od podmiotów podlegających przepisom ekstraterytorialnym, bezpieczeństwo prawne naszej komunikacji pozostanie iluzoryczne.

Bezpieczeństwo narodowe w XXI wieku wymaga całkowitej niezależności infrastruktury i sprzętu. Strategia „Zbierz teraz, odszyfruj później” to najbardziej niszczycielskie zagrożenie nadchodzącej dekady.

Tajemnica państwowa przechwycona dzisiaj to nic innego jak matematyczna bomba zegarowa.

(Przeczytaj resztę naszej analizy w Części 2: Bomba Zegarowa i Imperatyw Zero-Knowledge)