Sieci komórkowe on Arpokrat

Uwierzytelnianie SMS-em już niczego nie chroni: czego używać zamiast niego

Tue, 08 Sep 2026 00:00:00 +0000

9 stycznia 2024 roku oficjalne konto X amerykańskiej Komisji Papierów Wartościowych i Giełd (SEC), nadzorcy rynków finansowych, ogłosiło zatwierdzenie funduszy ETF na bitcoina, decyzję, na którą rynek czekał od miesięcy. W ciągu kilku minut bitcoin zyskał ponad 1000 dolarów na jednostce. Potem SEC zdementowała: konto zostało zhakowane. Kurs spadł o ponad 2000 dolarów.

Pouczające w tej sprawie nie jest to, jak duży był ruch na rynku, lecz jak banalny był użyty środek. Według komunikatu amerykańskiego Departamentu Sprawiedliwości 26-letni Eric Council Jr. wydrukował fałszywy dokument tożsamości na przenośnej drukarce do kart, wszedł do salonu AT&T i przekonał pracownika, by przeniósł numer telefonu powiązany z kontem na kartę SIM, którą kontrolował. Otrzymał SMS-em kody resetujące hasło i przekazał je wspólnikom. 16 maja 2025 roku został skazany na 14 miesięcy więzienia.

Konieczne jest jedno uściślenie, które zmienia odczytanie sprawy, nie osłabiając jej wymowy. Zgodnie z oficjalnym oświadczeniem SEC uwierzytelnianie wieloskładnikowe zostało na tym koncie wyłączone w lipcu 2023 roku, na prośbę samego zespołu. SMS nie pełnił więc wtedy funkcji drugiego składnika, lecz kanału odzyskiwania dostępu. I właśnie to czyni ten przykład użytecznym: drugi składnik czy tylne wyjście, numer telefonu pozostaje miejscem, w którym łańcuch pęka.

Co drugi składnik ma gwarantować

Zasada mieści się w jednym zdaniu. Samo hasło to coś, co wiesz; dokłada się do tego coś, co masz (telefon, fizyczny klucz) albo coś, czym jesteś (odcisk palca). Kto ukradnie twoje hasło z wycieku danych, nie dysponuje przez to twoim fizycznym przedmiotem.

Rozumowanie opiera się na rzadko wypowiadanym założeniu: że drugi składnik jest naprawdę związany z przedmiotem w twoim posiadaniu i że jego okazanie dowodzi czegoś o tym, gdzie się logujesz. SMS zawodzi w obu punktach.

SMS nie jest składnikiem posiadania

Otrzymanie kodu SMS-em nie dowodzi, że posiadasz urządzenie, lecz że numer telefonu, przydzielony przez operatora i przez tego samego operatora zmienialny, wskazuje na jakiś aparat. To nie to samo. Trzy wektory wykorzystują tę różnicę i nie usuwa się ich w ten sam sposób.

SIM swapping

To atak ze sprawy SEC i nie opiera się na żadnej luce technicznej. Napastnik zbiera dane osobowe o celu, często już dostępne w publicznych wyciekach, po czym kontaktuje się z operatorem, podając się za tę osobę: zgubiony telefon, prośba o przeniesienie numeru na nową kartę SIM. Jeśli jest przekonujący albo jeśli pracownik działa w zmowie, numer zmienia właściciela i wszystkie SMS-y trafiają do niego. Raport roczny IC3 za 2024 rok, centrum zgłoszeń FBI, odnotowuje tylko w tym roku 982 zgłoszenia SIM swappingu i blisko 26 milionów dolarów zadeklarowanych strat, licząc wyłącznie ofiary, które złożyły zawiadomienie. Żadna aktualizacja oprogramowania nie naprawia tego wektora: nie celuje on w oprogramowanie, lecz w ludzki proces obsługi klienta.

Przechwytywanie przez SS7

Signaling System 7 to protokół, dzięki któremu sieci telefoniczne całego świata rozmawiają ze sobą: kierują połączenie, obsługują roaming, dostarczają SMS od jednego operatora do drugiego. Zaprojektowano go w 1975 roku, gdy klub operatorów był zamknięty, nieliczny, a każdy z założenia uważał pozostałych za godnych zaufania. Nie zawiera więc żadnego natywnego uwierzytelniania między sieciami: żądanie, które wygląda na uprawnione, jest traktowane jako uprawnione.

To nie jest teoretyczna słabość. W grudniu 2014 roku niemieccy badacze Tobias Engel i Karsten Nohl publicznie ją zademonstrowali na Chaos Communication Congress: lokalizacja abonenta i przechwycenie jego SMS-ów na podstawie samego numeru telefonu. W 2017 roku potwierdzono realne wykorzystanie: niemiecki operator O2-Telefónica przyznał, że klientom opróżniono konta bankowe, po tym jak napastnicy uzyskali dostęp do sieci zagranicznego operatora i uruchomili przekierowanie SMS-ów, by przechwytywać bankowe kody potwierdzające.

Phishing w czasie rzeczywistym

Trzeci wektor jest najważniejszy, bo nie zależy od żadnej luki telekomunikacyjnej i przetrwa wszystko, co dałoby się naprawić w dwóch poprzednich.

Fałszywa strona doskonale odwzorowuje stronę logowania danej usługi. Wpisujesz tam login i hasło, które fałszywa strona natychmiast przekazuje prawdziwej, a ta wysyła SMS na twój telefon. SMS rzeczywiście do ciebie dociera i jest autentyczny. Wpisujesz kod na fałszywej stronie, która z kolei przekazuje go dalej w kilka sekund. Sesja się otwiera, a trzyma ją napastnik.

Nazywa się to atakiem adversary-in-the-middle. Jest zindustrializowany: narzędzia takie jak Evilginx, odwrotne proxy, które pojawiło się w 2017 roku, albo zestawy sprzedawane w abonamencie miesięcznym, udostępniają go bez żadnych szczególnych umiejętności. Kradziony jest zresztą nie tylko kod, lecz ciasteczko sesji, które pozwala potem pozostać zalogowanym bez przechodzenia przez jakiekolwiek uwierzytelnianie.

Rzecz jest architektoniczna. Kod wysłany SMS-em nie zawiera żadnej informacji o stronie, która go zażądała. Nie potrafi więc odróżnić prawdziwej od fałszywej: jest ważny wszędzie tam, gdzie się go wpisze.

To już nie opinia, to oficjalne stanowisko

Najmocniejszy argument przeciwko SMS-om pochodzi nie od dostawców rozwiązań, lecz od instytucji, które piszą standardy.

W lipcu 2025 roku amerykański NIST opublikował ostateczną wersję SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. Tekst tworzy wyraźną kategorię uwierzytelniaczy ograniczonych, zarezerwowaną dla mechanizmów, których zdolność do stawiania oporu osłabła wraz z rozwojem zagrożeń. Sekcja 3.1.3.3 zalicza tam korzystanie z publicznej komutowanej sieci telefonicznej, czyli kody wysyłane SMS-em lub połączeniem głosowym: „Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9." W praktyce usługa, która nadal z tego korzysta, musi oferować alternatywę nieograniczoną, informować użytkowników o ryzyku i dysponować planem migracji.

W grudniu 2024 roku CISA, amerykańska agencja cyberbezpieczeństwa, opublikowała swoje Mobile Communications Best Practice Guidance, po kampanii szpiegowskiej Salt Typhoon, w której podmioty powiązane z państwem chińskim przeniknęły do kilku amerykańskich operatorów telekomunikacyjnych. Sformułowanie nie pozostawia pola do interpretacji: „Do not use SMS as a second factor for authentication. SMS messages are not encrypted", a dalej, bez ogródek: „Only FIDO authentication is phishing-resistant." Dokument wprost zaleca sprzętowe klucze FIDO, wymieniając Yubico i Google Titan, i zaznacza, że po włączeniu FIDO trzeba wyłączyć SMS, w przeciwnym razie pozostaje on możliwą do wykorzystania ścieżką awaryjną.

Aplikacje uwierzytelniające: realny postęp, rozwiązanie połowiczne

Aplikacje TOTP, od Time-based One-Time Password, generują sześciocyfrowy kod zmieniający się co trzydzieści sekund, obliczany lokalnie na podstawie sekretu udostępnionego przy aktywacji i bieżącej godziny. Nic nie przechodzi przez sieć telefoniczną.

Zysk jest natychmiastowy: SIM swapping traci skuteczność, bo numer przestaje mieć znaczenie, przechwytywanie przez SS7 również, bo żadna wiadomość nie jest przenoszona. Przejście na aplikację uwierzytelniającą warto wykonać na każdym koncie, które nie może pójść dalej.

Ale trzeci wektor pozostaje nietknięty. Kod TOTP wpisany na fałszywej stronie jest przekazywany prawdziwej dokładnie tak samo jak kod SMS. Aplikacja nie wie, gdzie się logujesz: wyświetla liczbę, a ta liczba jest ważna u każdego, kto przedstawi ją w jej trzydziestosekundowym oknie. CISA mówi to samo: kody z aplikacji są lepsze niż SMS, ale pozostają podatne na phishing.

TOTP to uczciwy etap pośredni, a nie cel.

Dlaczego klucz FIDO2 zmienia naturę problemu

Sprzętowy klucz FIDO2/WebAuthn nie tylko utrudnia atak, lecz odbiera mu mechaniczną możliwość.

Przy rejestracji w usłudze klucz generuje parę kluczy kryptograficznych przeznaczoną dla tej usługi. Część publiczna trafia do usługi, część prywatna nigdy nie opuszcza układu i nie da się jej ani wyeksportować, ani odczytać. Żadnego wspólnego sekretu, który dałoby się skopiować, żadnego sześciocyfrowego kodu do przechwycenia.

Potem następuje mechanizm rozstrzygający, powiązanie z origin. W chwili logowania przeglądarka przekazuje kluczowi prawdziwą nazwę domeny wyświetlanej strony. Ta informacja wchodzi w skład podpisywanych danych, a przeglądarka ją wymusza: JavaScript strony nie może jej ani zmienić, ani sfałszować.

Klucz FIDO2 nie sprawia, że phishing trudniej się udaje. Sprawia, że wynik phishingu jest bezużyteczny.

Wróćmy do ataku adversary-in-the-middle, tym razem z kluczem. Fałszywa strona jest doskonała, ofiara niczego nie wykrywa i dotyka klucza. Przeglądarka przekazuje prawdziwą domenę strony, czyli tę oszukańczą. Klucz stwierdza, że dla tej domeny nie istnieje żadna para, albo podpisuje dla niej, tworząc podpis, który prawdziwa usługa odrzuci. W obu przypadkach napastnik nie dostaje nic użytecznego.

Tu leży różnica natury. Przy SMS-ie lub TOTP bezpieczeństwo opiera się ostatecznie na czujności użytkownika, na jego zdolności wychwycenia sfałszowanej domeny w pasku adresu, w chwili gdy się spieszy, a strona wygląda normalnie. Przy FIDO2 tę weryfikację wykonuje maszyna, za każdym razem, niezależnie od czyjejkolwiek uwagi. To przeniesienie odpowiedzialności liczy się bardziej niż siła kryptografii.

Efekt daje się zmierzyć. Google wprowadził obowiązek kluczy dla pracowników na początku 2017 roku i w 2018 roku oświadczył, że nie odnotował żadnego przejęcia konta wśród ponad 85 000 osób.

Rzeczywiste ograniczenia kluczy sprzętowych

Przedstawianie ich jako doskonałych byłoby nieuczciwe i bezużyteczne przy podejmowaniu realnych decyzji.

Koszt istnieje. Licz od 25 do 60 euro zależnie od modelu, więcej za wersje biometryczne, i pomnóż przez dwa.

Utrata klucza to prawdziwe ryzyko. Jeden klucz na krytycznym koncie to błąd projektowy. Na każdym ważnym koncie trzeba zarejestrować dwa, jeden z nich przechowywany gdzie indziej, u bliskiej osoby lub w sejfie. Drugi nie jest wygodą, jest tym, co pozwala bez obaw korzystać z pierwszego.

Pokrycie jest niepełne. Wiele usług, zwłaszcza bankowych w Europie, nie obsługuje jeszcze FIDO2, stąd poniższa kolejność priorytetów.

Klucz można ukraść. Stąd konieczność ustawienia kodu PIN na kluczu albo wybrania modelu z czytnikiem linii papilarnych: bez tego sam przedmiot wystarczy temu, kto go podniesie.

Ścieżka awaryjna pozostaje najsłabszym ogniwem. Włączenie FIDO2 bez wyłączenia SMS-a nie chroni przed niczym: napastnik po prostu pójdzie drogą, która została otwarta. Migracja kończy się dopiero wtedy, gdy stary mechanizm zostanie usunięty z konta, łącznie z opcjami odzyskiwania.

Co do sprzętu: seria YubiKey pokrywa najszersze spektrum protokołów, klucze Google Titan są tańsze i ograniczają się do FIDO, Nitrokey i SoloKeys oferują alternatywy z otwartym, audytowalnym firmware’em, a Token2 produkuje modele z wbudowaną klawiaturą, w których PIN wprowadza się na samym kluczu, a nie na klawiaturze komputera. Wśród kluczy certyfikowanych FIDO2 nie ma złego wyboru: protokół jest ten sam, różnią się tylko zastosowania dodatkowe.

Od czego zacząć, gdy nie można zmienić wszystkiego

Kolejność migracji nie jest kwestią upodobania, wynika z zależności między twoimi kontami.

Najpierw główna skrzynka pocztowa. To ona odbiera linki resetujące do prawie wszystkiego pozostałego. Napastnik, który ją kontroluje, przejmuje pozostałe konta jedno po drugim, nie atakując żadnego bezpośrednio. Nic nie zasługuje na zabezpieczenie przed nią.
Menedżer haseł. Skupia pierwszy składnik wszystkich twoich dostępów, więc jego ochrona musi dorównywać ochronie najlepiej zabezpieczonego konta, które przechowuje. To moment, by sprawdzić jakość hasła głównego, temat omówiony szczegółowo w naszym artykule o entropii i nauce stojącej za twoim bezpieczeństwem.
Konta finansowe i platformy kryptowalutowe. Cele o natychmiastowej wartości, gdzie przejęcie zamienia się w nieodwracalną stratę w ciągu kilku minut.
Konta społecznościowe z zasięgiem. Sprawa SEC pokazuje, ile warte jest słowo obserwowanego konta, a szkoda nie zawsze dotyka jego właściciela.
Reszta może poczekać, z aplikacją TOTP w miejsce SMS-a. Forum czy serwis streamingowy nie uzasadnia tego samego wysiłku.

Dla kont, które jeszcze nie obsługują FIDO2: przejść na TOTP wszędzie, gdzie to możliwe, i poprosić operatora o blokadę przeniesienia numeru, u większości opcję bezpłatną.

Co to mówi o podejściu Arpokrat

Ten materiał opisuje problem, który istnieje wyłącznie dlatego, że w centrum systemu umieszczono identyfikator. Numer telefonu nigdy nie był pomyślany jako dowód tożsamości: stał się kręgosłupem uwierzytelniania w sieci z przyzwyczajenia, a wszystkie trzy opisane wyżej ataki wykorzystują właśnie to nadużycie przeznaczenia.

Takie rozumowanie legło u podstaw projektu protokołu Arpokrat Messenger: ani numeru telefonu, ani adresu e-mail, ani konta. Użytkownik istnieje jako zestaw kluczy kryptograficznych przechowywanych na własnym urządzeniu, a nawiązanie kontaktu odbywa się przez jednorazowe linki zapraszające. Logika jest ta sama co w FIDO2, o szczebel wyżej: czego strona trzecia nie posiada, tego nie da się z niej wydobyć, ani socjotechniką wobec operatora, ani nakazem. Tę spójność z architekturą Zero-Knowledge rozwijamy w artykule o zbieraniu teraz, odszyfrowaniu później.

Klucz sprzętowy, który podpisuje, nie ujawniając nigdy swojego sekretu, to zresztą także zasada działania portfela kryptowalutowego offline, opisana w naszym kompletnym przewodniku po cold wallet: trzymać część tajną w dedykowanym przedmiocie i wypuszczać na zewnątrz wyłącznie podpis.

Podsumowanie

Uwierzytelnianie SMS-em nie zostało źle zaprojektowane. Gdy upowszechniało się na początku lat dziesiątych, było znaczącym postępem wobec samego hasła i miało po swojej stronie jedyną cechę, która liczy się w skali masowej: każdy miał już telefon.

Problemem nie jest jego wynalezienie, lecz przetrwanie. Demonstracje SS7 pochodzą z 2014 roku, realne wykorzystanie w bankowości z 2017, industrializacja phishingu w czasie rzeczywistym z końca tej dekady. CISA napisała, by go już nie używać, w 2024 roku, NIST sformalizował ograniczenie w 2025. Około dekady dzieli moment, w którym luki stały się możliwe do wykorzystania na dużą skalę, od momentu, w którym instytucje ujęły to na piśmie. A SMS pozostaje domyślnym drugim składnikiem w większości usług dla masowego odbiorcy.

Ta luka czasowa to prawdziwa informacja płynąca z tego materiału. Mechanizmy bezpieczeństwa nie znikają wtedy, gdy przestają działać, lecz wtedy, gdy zastępuje je coś równie prostego, a to trwa znacznie dłużej. Pytanie nie brzmi więc, czy powinieneś porzucić SMS, bo to rozstrzygnięto lata temu. Brzmi ono: które inne zabezpieczenia, uznawane przez ciebie za oczywiste, znajdują się już, choć nikt tego jeszcze nie zapisał, w tej samej sytuacji.

Źródła

Departament Sprawiedliwości Stanów Zjednoczonych, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 maja 2025
Securities and Exchange Commission, SECGov X Account, oficjalne oświadczenie z 22 stycznia 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, wersja ostateczna z lipca 2025
CISA, Mobile Communications Best Practice Guidance, 18 grudnia 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, demonstracja Tobiasa Engela i Karstena Nohla, grudzień 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, maj 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, lipiec 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, specyfikacja WebAuthn

5G, dane lokalizacyjne i błąd celu w prawie

Tue, 18 Aug 2026 00:00:00 +0000

W 2011 roku policja z Detroit zwróciła się do operatora komórkowego o historię logowań telefonu Timothy’ego Carpentera do stacji bazowych. Otrzymała 12 898 punktów lokalizacyjnych rozłożonych na 127 dni, około stu dziennie. Siedem lat później Sąd Najwyższy Stanów Zjednoczonych orzekł, że takie żądanie stanowi przeszukanie i wymaga nakazu.

Te 12 898 punktów pochodziło z anten czwartej generacji, z których każda obejmowała promień kilku kilometrów. To samo żądanie skierowane dziś do miejskiej sieci 5G nie zwróciłoby stu punktów dziennie z dokładnością do kilku kilometrów. Zwróciłoby wolumen znacznie większy, z dokładnością do kilkudziesięciu metrów.

Technologia zmieniła skalę. Rozumowanie prawne pozostało w tym samym miejscu łańcucha.

Dobro prawne uznawane przez sądy po obu stronach Atlantyku

Istnieje interes, który przyznaje niemal każdy, a którego niemal żaden przepis nie chroni skutecznie: prawo do przebywania gdzieś bez rejestrowania tego faktu.

Orzecznictwo europejskie ustaliło to jednoznacznie. W sprawie Digital Rights Ireland (sprawy połączone C-293/12 i C-594/12, 8 kwietnia 2014 r.), a następnie w Tele2 Sverige i Watson (sprawy połączone C-203/15 i C-698/15, wielka izba, 21 grudnia 2016 r.) Trybunał Sprawiedliwości Unii Europejskiej orzekł, że dane te, rozpatrywane łącznie, pozwalają wyciągnąć bardzo precyzyjne wnioski o życiu prywatnym osób: nawyki dnia codziennego, miejsca pobytu, przemieszczanie się, wykonywane czynności i relacje społeczne.

Sąd Najwyższy Stanów Zjednoczonych doszedł do zbliżonego wniosku w sprawie Carpenter v. United States, 585 U.S. 296 (2018). Podkreślił punkt szeroko komentowany w amerykańskiej doktrynie: nieunikniony i automatyczny charakter tego zbierania. Nikt nie wyraża zgody na zalogowanie do stacji bazowej; jest do niej zalogowany dlatego, że ma włączony telefon.

Dobro prawne zatem istnieje i jest uznawane przez dwa sądy, które w tej dziedzinie się liczą. Problem leży gdzie indziej.

Co naprawdę zmieniło 5G

Powszechne nieporozumienie polega na traktowaniu lokalizacji jako danej, którą telefon przesyła, tak samo jak wiadomość czy zdjęcie. Tak nie jest. Lokalizacja to fizyczna konsekwencja działania sieci. Operator wie, do której anteny podłączone jest urządzenie, ponieważ musi to wiedzieć, aby skierować połączenie. Nie istnieje żaden klucz pozwalający zaszyfrować tę informację, gdyż nie jest ona treścią, lecz właściwością samego połączenia.

To właśnie czyni 5G istotnym w wymiarze prawnym, a nie technicznym.

Wcześniejsze architektury opierały się na szerokich komórkach. Antena 4G obsługuje zwykle promień kilku kilometrów, a pozycja wywnioskowana z samego zalogowania liczona była w setkach metrów w mieście, czasem w dziesiątkach kilometrów na wsi. 5G opiera się na masowym zagęszczeniu: komórki miejskie obejmują zazwyczaj kilkaset metrów, a literatura inżynierska zakłada gęstości rzędu czterdziestu do pięćdziesięciu stacji bazowych na kilometr kwadratowy, wobec czterech czy pięciu w epoce 3G.

Konsekwencja jest mechaniczna. Według białej księgi Ericssona o pozycjonowaniu 5G infrastruktura wdrożona wyłącznie dla łączności osiąga dokładność od dwudziestu do pięćdziesięciu metrów na zewnątrz i od jednego do trzech metrów wewnątrz budynków, a w sprzyjających warunkach miejskich schodzi poniżej metra. Nie chodzi o gdzieś włączoną funkcję lokalizacji, lecz o to, co sieć wie z samej swojej konstrukcji, bez zainstalowanej aplikacji i bez udzielonego uprawnienia. Wszystkie te mechanizmy, wraz ze środkami zaradczymi, które naprawdę działają, opisaliśmy szczegółowo w artykule o stałej geolokalizacji telefonu.

Ingerencja wzrosła zatem o kilka rzędów wielkości. Obowiązujące ramy prawne pozostają tymi pomyślanymi dla 2G i 3G. Żadne dostosowanie normatywne nie towarzyszyło tej zmianie skali.

Prawo chroni dostęp, nie powstawanie

Prawo europejskie starannie reguluje, kto może uzyskać dostęp do danych lokalizacyjnych, na jakich warunkach i pod jaką kontrolą. Dyrektywa 2002/58/WE ustanawia zasadę poufności komunikacji, a Trybunał Sprawiedliwości orzekł w sprawie La Quadrature du Net (sprawy połączone C-511/18, C-512/18 i C-520/18, wielka izba, 6 października 2020 r.), że art. 15 ust. 1 tej dyrektywy, odczytywany w świetle art. 7, 8, 11 i 52 ust. 1 Karty, stoi na przeszkodzie uogólnionemu i niezróżnicowanemu zatrzymywaniu danych o ruchu i danych o lokalizacji w celach prewencyjnych. Trybunał dopuścił jednak ograniczone odstępstwa, gdy państwo członkowskie stoi w obliczu poważnego zagrożenia bezpieczeństwa narodowego, które okazuje się rzeczywiste i aktualne lub przewidywalne, pod warunkiem skutecznej kontroli.

To realne gwarancje i absurdem byłoby je pomniejszać. Ale wszystkie wkraczają po fakcie. Zakładają, że dana istnieje, że jest przechowywana, a następnie porządkują warunki jej wykorzystania.

Jeśli jednak lokalizacja jest nieuniknionym produktem ubocznym działania sieci, właściwym punktem interwencji nie jest poufność. Jest nim trwałość.

Chwilowa pozycja, niezbędna do zestawienia połączenia i skasowana zaraz potem, nie jest narzędziem inwigilacji. Historia pozycji przechowywana przez miesiące nim jest, niezależnie od otaczających ją gwarancji dostępu.

Różnica między nimi nie jest prawna, lecz architektoniczna. A europejski kalendarz czyni tę kwestię pilną, a nie teoretyczną. Komisja wycofała projekt rozporządzenia ePrivacy w 2025 roku wobec braku porozumienia współprawodawców. Od tego czasu pracuje nad odrębnym instrumentem dotyczącym zatrzymywania danych na potrzeby postępowań karnych, zapowiedzianym na 2026 rok i mającym zharmonizować reżimy krajowe, które stały się rozbieżne po unieważnieniu dyrektywy z 2006 roku. Innymi słowy, tekst, który na dekadę ustali reżim metadanych lokalizacyjnych, powstaje właśnie teraz, na podstawie rozumowania wypracowanego w czasach komórek o zasięgu kilometrów.

Precedens, który 5G stworzyło samo

Najciekawsze w tej sprawie jest to, że właściwa odpowiedź już figuruje w normie technicznej, tyle że zastosowana do innego przedmiotu.

Aż do 4G stały identyfikator abonenta, IMSI, przesyłany był otwartym tekstem przez interfejs radiowy podczas logowania. To właśnie umożliwiło działanie IMSI catcherów, owych fałszywych stacji bazowych, które według referencyjnego opisu Electronic Frontier Foundation nadają mocniej niż legalne anteny, by przyciągnąć terminale i przechwycić ich identyfikator.

Od Release 15 specyfikacji 3GPP, opublikowanej w 2019 roku, 5G przynosi eleganckie rozwiązanie. Stały identyfikator, nazywany teraz SUPI, może zostać zastąpiony na interfejsie radiowym przez SUCI, identyfikator ukryty, uzyskany przez zaszyfrowanie części właściwej abonentowi za pomocą kryptografii krzywych eliptycznych, kluczem publicznym operatora macierzystego. Odszyfrować go może wyłącznie sieć macierzysta, która posiada odpowiadający klucz prywatny. Wynik jest niepowtarzalny przy każdym obliczeniu, co uniemożliwia korelację między sesjami.

Przyjęta logika zasługuje na podkreślenie, ponieważ jest dokładnie tą, którą powinien kierować się prawodawca: nie szyfruje się pozycji, co byłoby technicznie niemożliwe, szyfruje się tożsamość. Pozycja pozbawiona przypisywalnej tożsamości ma bardzo ograniczoną wartość dla inwigilacji zindywidualizowanej.

Luka: ochrona fakultatywna

Istnieje jednak poważne zastrzeżenie i jest to naszym zdaniem najbardziej konkretny punkt interwencji w całej sprawie.

Biała księga NIST CSWP 36A, opublikowana w marcu 2026 roku przez National Institute of Standards and Technology, mówi to wprost. Terminale i funkcje sieciowe zgodne z Release 15 lub późniejszą są zobowiązane obsługiwać SUCI, ale jego włączenie pozostaje fakultatywne dla operatora. Muszą być spełnione trzy warunki: producent sprzętu musi go obsługiwać, operator musi go włączyć w swojej sieci, a karta SIM musi zawierać elementy niezbędne do obliczenia.

Dochodzi do tego pułapka konfiguracyjna. Norma przewiduje zerowy schemat ochrony, w którym format SUCI jest formalnie stosowany, lecz bez rzeczywistego szyfrowania, wskutek czego identyfikator wędruje otwartym tekstem. NIST pisze, że operator musi skonfigurować swoją sieć ze schematem ochrony niezerowym, i przypomina, że raport CSRIC, organu doradczego Federal Communications Commission, już w 2021 roku zalecał zarezerwowanie schematu zerowego wyłącznie dla połączeń alarmowych z terminala nieznanego sieci.

Warto zostawić to sformułowanie takim, jakie jest. Najlepsza dostępna ochrona przed śledzeniem terminali mobilnych istnieje w normie technicznej od 2019 roku. Opiera się na wyborze konfiguracyjnym pozostawionym uznaniu operatora. Amerykańska agencja federalna uznaje za stosowne opublikować w 2026 roku dokument przypominający, że należałoby ją włączyć. I żaden europejski instrument prawny jej nie nakazuje.

Trzeba dodać, że SUCI nie zamyka tematu. Prace przedstawione pod tytułem 5G SUCI-catchers: still catching them all? dokumentują ataki powiązaniowe pozwalające ponownie skorelować sesje mimo szyfrowania, a ochrona upada całkowicie, jeśli atakujący zmusi terminal do przejścia na wcześniejszą generację. Obowiązek prawny nie rozwiązałby więc wszystkiego. Zlikwidowałby jednak rozziew, dla którego nie ma żadnego dającego się obronić uzasadnienia: ten między tym, na co pozwala norma, a tym, co robią sieci komercyjne.

Trzy spójne interwencje

Jeśli poważnie potraktować myśl, że lokalizację należy minimalizować już na etapie projektowania, a nie chronić po fakcie, logicznie narzucają się trzy środki.

Uczynić obowiązkowym rzeczywiste ukrycie identyfikatora. Nakazać włączenie SUCI i zakazać zerowych schematów ochrony w sieciach komercyjnych, poza szczątkowym przypadkiem połączeń alarmowych. Nie chodzi o narzucanie nowej technologii ani o finansowanie wdrożenia, lecz o wymóg włączenia funkcji znormalizowanej od siedmiu lat i już obecnej w sprzęcie.
Traktować przechowywanie jako wyjątek, a nie ustawienie domyślne. Pozycja niezbędna do zestawienia połączenia powinna być kasowana, gdy tylko ta funkcja zostanie spełniona. Tworzenie historii powinno wymagać szczególnego uzasadnienia. To różnica między siecią, która wie, gdzie jesteś, a siecią, która pamięta, gdzie byłeś.
Uczynić pieczę nad kluczem właściwym łącznikiem. Umiejscowienie serwerów w Unii niewiele znaczy, jeśli klucze pozwalające uczynić dane zrozumiałymi znajdują się gdzie indziej. Kryterium prawnie istotnym powinno być faktyczne władztwo nad środkami deszyfrowania, kwestia, którą szczegółowo zbadaliśmy przy okazji konfliktu między Data Act a CLOUD Act.

Perspektywa, którą przyjmuje Arpokrat

To rozumowanie nie jest właściwe wyłącznie prawu telekomunikacyjnemu. Stosujemy je do własnych decyzji architektonicznych i mieści się ono w jednym zdaniu: to, co nie zostało wytworzone, nie wymaga ochrony.

Dlatego ArpokratOS usuwa GPS, Bluetooth i NFC na poziomie jądra, zamiast wyłączać je w menu. Przełącznik jest polityką: może zostać obejściem przez komponent uprzywilejowany, ponownie włączony przez aktualizację, zignorowany przez skompromitowany system. Usunięcie ścieżki kodu likwiduje samo pytanie. To przeniesienie, w skali urządzenia, tego samego przesunięcia, którego domagamy się w skali prawa: interweniować przy powstawaniu, a nie przy dostępie.

Trzeba od razu powiedzieć, czego to nie robi. Żaden system operacyjny nie wyjmuje terminala z geometrii sieci. Dopóki karta SIM jest aktywna, operator zna komórkę zalogowania, a przepuszczenie całego ruchu przez Tor nic tu nie zmienia, ponieważ chroni ono treść i miejsce docelowe, a nie warstwę radiową. Właśnie dlatego temat jest prawny. Istnieje kategoria ryzyk, których nie zmniejsza żadna indywidualna konfiguracja i dla których jedyną dostępną zmienną jest reguła obowiązująca operatora.

Ta sama troska rządzi resztą naszej pracy. Dana, która nie istnieje, nie może zostać zarekwirowana, odsprzedana, wyprowadzona ani odszyfrowana za dziesięć lat przez maszynę, którą dziś nikt nie dysponuje, kwestia, którą omówiliśmy pod kątem szyfrowania zbieranego teraz i łamanego później.

Wnioski

Debata publiczna o inwigilacji mobilnej koncentruje się niemal wyłącznie na dostępie: kto może przeglądać dane, na jakiej podstawie, za czyim zezwoleniem. Ta debata jest uprawniona, a orzeczenia wydane od 2014 roku przez Trybunał Sprawiedliwości przyniosły wymierne skutki. Ale wkracza zbyt późno w łańcuchu.

Pytanie wcześniejsze i bardziej rozstrzygające brzmi, czy historia w ogóle powinna istnieć. Baza utworzona dziś w uzasadnionym celu pozostaje jutro dostępna dla innego, a otaczające ją gwarancje zależą od późniejszych decyzji politycznych, nad którymi w chwili zbierania nikt nie panuje. To zakład o stabilność instytucji, zawarty na okres, którego nikt nie wyznacza.

5G zwielokrotniło rozdzielczość tej informacji, choć nie nastąpiło żadne dostosowanie normatywne. Jednocześnie pokazało, poprzez mechanizm SUCI, że wykonalną drogą jest oddzielenie pozycji od tożsamości, a nie próba zaszyfrowania fizycznej właściwości sieci. Norma techniczna dostarczyła odpowiedzi siedem lat wcześniej, nim prawo postawiło pytanie.

Europejski tekst o zatrzymywaniu danych powstaje teraz. Będzie dotyczył metadanych, a więc lokalizacji, a więc tego, co 5G wytwarza dziś z dokładnością, jakiej jego redaktorzy nie znali. To, czy poprzestanie na uporządkowaniu dostępu do historii przyjętej za oczywistość, czy też odważy się zapytać o konieczność tej historii, jest prawdopodobnie najważniejszym pytaniem o prywatność w Europie na najbliższe lata. I jest to pytanie, które sektor techniczny, tym razem, rozstrzygnął już we właściwą stronę.

Źródła

Trybunał Sprawiedliwości Unii Europejskiej, Digital Rights Ireland, sprawy połączone C-293/12 i C-594/12, 8 kwietnia 2014 r.
Trybunał Sprawiedliwości Unii Europejskiej, Tele2 Sverige i Watson, sprawy połączone C-203/15 i C-698/15, wielka izba, 21 grudnia 2016 r.
Trybunał Sprawiedliwości Unii Europejskiej, La Quadrature du Net i in., sprawy połączone C-511/18, C-512/18 i C-520/18, wielka izba, 6 października 2020 r.
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, marzec 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta i in., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Stała geolokalizacja: jak telefon śledzi cię nawet wtedy, gdy myślisz, że mu to uniemożliwiłeś

Sun, 02 Aug 2026 00:00:00 +0000

W 2024 roku dwaj badacze z Uniwersytetu Maryland wielokrotnie odpytywali usługę pozycjonowania Wi-Fi firmy Apple, bez żadnych szczególnych uprawnień ani specjalistycznego sprzętu, i w ciągu roku odtworzyli dokładne położenie ponad dwóch miliardów punktów dostępowych Wi-Fi na świecie. Ich praca Surveilling the Masses with Wi-Fi-Based Positioning Systems pokazuje, co taka mapa umożliwia: śledzenie sprzętu wjeżdżającego na Ukrainę i z niej wyjeżdżającego, obserwowanie przemieszczeń ludności po pożarach na Maui, namierzenie konkretnej osoby przez jej domowy router.

W żadnym z tych urządzeń nie był włączony GPS. Pozycja pochodziła skądinąd.

To najczęstszy martwy punkt w kwestii prywatności mobilnej: przekonanie, że istnieje przełącznik lokalizacji i że po jego wyłączeniu telefon przestaje wiedzieć, gdzie się znajduje. To przekonanie jest fałszywe na siedmiu różnych poziomach.

Lokalizacja nie jest funkcją, którą telefon włącza. Jest właściwością tego, czym telefon jest.

GPS, czyli najmniej problematyczny wektor

Jedyny mechanizm, który wszyscy potrafią nazwać, jest zarazem tym, który powinien niepokoić najmniej.

GNSS, termin zbiorczy obejmujący amerykański GPS, Galileo, GLONASS i BeiDou, działa przez nasłuch. Satelity nadają w sposób ciągły sygnały ze znacznikiem czasu, odbiornik odbiera kilka z nich i wylicza swoją pozycję na podstawie różnic czasu propagacji. Typowa dokładność w otwartym terenie: od trzech do pięciu metrów, w mieście często kilkadziesiąt metrów, bo elewacje odbijają sygnały.

Rozstrzygające jest to, że obliczenie ma charakter pasywny. Telefon nie nadaje niczego w stronę satelitów, żaden operator satelitarny nie wie, że istniejesz. Gdyby w grze był wyłącznie GNSS, wyłączenie GPS by wystarczyło.

Jest tu jednak pewien niuans. Aby przyspieszyć pierwsze wyznaczenie pozycji, telefony korzystają z A-GPS: pobierają efemerydy satelitarne z serwera, poprzez protokół SUPL. Żeby otrzymać właściwe dane, telefon przekazuje temu serwerowi identyfikator komórki sieci, do której jest przyłączony. Czysty GNSS cię nie zdradza, ale doczepiony do niego akcelerator już tak.

Sieć komórkowa: to, co operator wie z definicji

Żeby połączenie mogło do ciebie dotrzeć, sieć musi wiedzieć, w jakim obszarze się znajdujesz. To nie jest opcja do włączenia, to warunek istnienia usługi. Telefon nieustannie zgłasza się do najbliższej stacji bazowej, a ta rejestracja zostawia ślad po stronie operatora. Żadnej zainstalowanej aplikacji, żadnego przyznanego uprawnienia: wystarczy aktywna karta SIM.

Dokładność zależy od metody:

Sam identyfikator komórki: od 200 metrów w gęstej zabudowie miejskiej do ponad 30 kilometrów na wsi, gdzie jedna stacja obsługuje bardzo duży promień.
Wzbogacony Cell ID, który dodaje sektor anteny (większość stacji jest podzielona na trzy sektory po 120 stopni) oraz siłę sygnału: od 100 metrów do kilku kilometrów.
Timing advance, mierzący opóźnienie w obie strony między telefonem a stacją: rzędu 550 metrów w GSM, około 78 metrów w LTE.
Multilateracja na trzech lub więcej stacjach: od 50 do 300 metrów w miejskim LTE.

5G zmienia skalę z dwóch nakładających się powodów. Po pierwsze gęstość: komórki 5G pokrywają znacznie mniejsze promienie, więc już samo przyłączenie jest informacją precyzyjną. Po drugie normalizacja: od wydania Release 16 3GPP uwzględnia natywne sygnały pozycjonujące. Cele komercyjne to poniżej 3 metrów w pomieszczeniach i poniżej 10 metrów na zewnątrz dla 80 % terminali, a Release 18 schodzi do centymetrów w niektórych zastosowaniach przemysłowych.

Infrastruktura, która cię łączy, staje się więc systemem pozycjonowania o jakości porównywalnej z GPS, bez włączania czegokolwiek z twojej strony. Dane te są przechowywane zgodnie z przepisami krajowymi i udostępniane organom w różnych trybach. To ten sam spór, co przy jurysdykcji właściwej dla danych hostowanych: ochrona techniczna i ochrona prawna nie pokrywają się.

Wi-Fi: mapa świata zbudowana z adresów sprzętowych

Każdy punkt dostępowy Wi-Fi rozgłasza nieprzerwanie unikalny identyfikator sprzętowy, BSSID. Identyfikatory te są stałe i geograficznie niezmienne: domowy router stoi latami w tym samym miejscu.

Apple, Google i kilku wyspecjalizowanych graczy utrzymują bazy wiążące każdy BSSID ze współrzędnymi, budowane przez telefony ich własnych użytkowników, które przesyłają listę widocznych punktów wraz z pozycją GNSS. Następnie operacja zostaje odwrócona: telefon widzący cztery znane punkty nie potrzebuje już ani jednego satelity. W gęstej zabudowie miejskiej dokładność sięga zwykle kilkudziesięciu metrów, a wewnątrz budynków schodzi jeszcze niżej.

Dwie cechy sprawiają, że ten mechanizm trudno zneutralizować. Po pierwsze telefon skanuje nawet wtedy, gdy Wi-Fi wydaje się wyłączone: od Androida 4.3 system utrzymuje okresowe skanowanie służące poprawie lokalizacji, niezależnie od przełącznika w panelu szybkich ustawień. To zachowanie zależy od odrębnej opcji, ukrytej w usługach lokalizacji, której praktycznie żaden użytkownik nigdy nie otworzył.

Po drugie bazę można odpytywać z zewnątrz. To właśnie luka wykorzystana przez Rye’a i Levina: interfejsy pozycjonowania zwracają nie tylko żądaną pozycję, ale również pozycje sąsiednich punktów, co pozwala zbierać mapę bez zbliżania się fizycznie do tych miejsc.

Bluetooth i BLE: zlokalizowany przez telefony innych ludzi

Bluetooth Low Energy dokłada warstwę bliskości, o zasięgu od kilku do kilkudziesięciu metrów, a więc o ziarnistości znacznie drobniejszej niż sieć komórkowa. Współistnieją dwa zastosowania. Beacony komercyjne, rozmieszczone w sklepach, na lotniskach czy w centrach handlowych, nadają identyfikator rozpoznawany przez aplikacje obecne w telefonie, co ujawnia, przed którą półką się zatrzymałeś i na jak długo. Oraz sieci lokalizacji współdzielonej, których wzorcem jest Find My firmy Apple, przejęty od tego czasu przez Google i Samsunga.

Ten drugi mechanizm odwraca milczące założenie. Referencyjna analiza Who Can Find My Devices?, opublikowana w materiałach PETS 2021 przez badaczy z Politechniki w Darmstadt, odtworzyła protokół Apple metodą inżynierii wstecznej. Urządzenie bez połączenia nadaje sygnał BLE, dowolne urządzenie Apple w pobliżu go odbiera, dołącza własną pozycję i przesyła ją zaszyfrowaną na serwery Apple, bez wiedzy zarówno swojego właściciela, jak i właściciela urządzenia lokalizowanego.

Konsekwencja ma charakter strukturalny: urządzenie bez karty SIM, bez Wi-Fi, bez jakiegokolwiek połączenia sieciowego pozostaje możliwe do zlokalizowania, o ile obok przejdzie nieznajomy z telefonem w kieszeni. Twoja izolacja nie zależy już od twoich ustawień, lecz od ustawień przechodniów.

Czujniki inercyjne: lokalizacja bez uprawnienia do lokalizacji

Telefon zawiera akcelerometr, żyroskop, magnetometr i często barometr. Czujniki te należą do kategorii uprawnień odrębnej od lokalizacji: aplikacja może je odczytywać, nigdy nie pytając, gdzie jesteś.

Badacze z Princeton wykazali to przy pomocy PinMe. Ich aplikacja wychodzi od adresu IP i strefy czasowej, by uzyskać zgrubną pozycję, a następnie odczytuje czujniki: akcelerometr daje profil przyspieszania i hamowania, żyroskop sekwencję zakrętów, magnetometr kurs, barometr zmiany wysokości. Sieć neuronowa rozpoznaje środek transportu, pieszo, samochód, pociąg czy samolot, a trasa jest dopasowywana do publicznych danych kartograficznych, wysokościowych i pogodowych. Wynik: trajektoria o dokładności porównywalnej z GPS, bez uprawnienia do lokalizacji. Metoda ma ograniczenia, które autorzy dokumentują, ponieważ zawodzi na obszarach bez dróg i pogarsza się przy jednolitych układach szachownicowych, gdzie wiele tras daje tę samą sygnaturę. Pozostaje jednak dowodem, że odmówione uprawnienie nie jest zamkniętymi drzwiami.

Barometr dostarcza ponadto wymiaru, z którym GNSS radzi sobie źle, czyli pionowego. Amerykańskie wymogi dotyczące połączeń alarmowych narzucają dokładność na poziomie kondygnacji plus minus 3 metry dla 80 % połączeń wykonywanych w budynkach. Wiedzieć, na którym piętrze ktoś się znajduje, to zupełnie inna wiedza niż wiedzieć, w którym kwartale ulic.

Rynek danych: wektor najbardziej banalny

Powyższe mechanizmy opisują, w jaki sposób pozycja jest wyliczana. Pozostaje pytanie, dokąd ona trafia, i tam właśnie rozgrywa się większość codziennego ryzyka.

Tysiące aplikacji zawierają reklamowe SDK, komponenty programowe dostarczane przez podmioty trzecie, które deweloper dodaje, by zmonetyzować swoją pracę lub mierzyć zasięg. Komponenty te dziedziczą uprawnienia aplikacji goszczącej: aplikacja pogodowa, która zasadnie potrzebuje twojej pozycji, przekazuje ją podmiotom, których nazw nigdy nie czytałeś. Do tego dochodzą strumienie aukcji reklamowych, w których twoja przybliżona pozycja jest rozsyłana do dziesiątek potencjalnych kupujących przy każdym wyświetleniu banera, w tym do tych, którzy niczego nie kupują i poprzestają na nasłuchiwaniu.

Ten surowiec zasila cały przemysł. Electronic Frontier Foundation udokumentowała przypadek Fog Data Science, firmy deklarującej miliardy punktów danych o ponad 250 milionach urządzeń, sprzedawanych lokalnym policjom w Stanach Zjednoczonych. Brian Krebs opisał Locate X, produkt pozwalający obrysować wielokąt na mapie i zobaczyć historię urządzeń, które wjechały do tego obszaru i go opuściły.

Ten wektor nie wymaga żadnego wyczynu technicznego, wystarczy, że ktoś zgodzi się zapłacić. Cena jest niewielka.

IMSI catchery: lokalizacja aktywna

Opisane dotąd mechanizmy wykorzystują normalne działanie systemu. Istnieje również lokalizacja aktywna, prowadzona przez podmiot ingerujący w sieć.

IMSI catcher, czyli symulator stacji bazowej, to urządzenie podszywające się pod legalną stację. Telefony w zasięgu przyłączają się do niego, ujawniając identyfikator abonenta i swoją obecność w ściśle ograniczonym obszarze.

5G miało zamknąć te drzwi, zastępując stały identyfikator przesyłany jawnie identyfikatorem zaszyfrowanym, SUCI. Zamknięcie jest częściowe. Prace przedstawione pod tytułem 5G SUCI-catchers: still catching them all? dokumentują ataki wiążące, pozwalające ponownie skorelować sesje mimo szyfrowania. Przede wszystkim jednak ochrona upada całkowicie, jeśli atakujący zmusi terminal do zejścia na wcześniejszą generację, zwłaszcza 2G, którego uwierzytelnianie jest jednostronne. Telefon 5G pozostaje podatny na atak zaprojektowany dla sieci z lat dziewięćdziesiątych, ponieważ nadal godzi się na takie zejście.

Środki zaradcze i ich rzeczywista skuteczność

Każdy z poniższych środków coś daje. Żaden nie daje wszystkiego, a rozziew między tym, co robią, a tym, co się im przypisuje, prowadzi do złych decyzji.

Tryb samolotowy

Tryb samolotowy odcina nadawanie modemu komórkowego, Wi-Fi i Bluetootha. To działa naprawdę i jest to najlepszy rezultat przy tak niewielkim wysiłku.

Czego nie robi: nie zatrzymuje czujników inercyjnych, nie usuwa pozycji już zapisanych w pamięci podręcznej, które wyjdą przy ponownym połączeniu, a na większości urządzeń pozwala włączyć z powrotem Wi-Fi lub Bluetooth osobno, bez wychodzenia z niego. Jest wreszcie stanem programowym, a nie odcięciem zasilania: jego wiarygodność zależy od integralności systemu, który go egzekwuje.

Niedoceniany szczegół: odłączenie od sieci i ponowne przyłączenie same w sobie są zdarzeniami ze znacznikiem czasu po stronie operatora. Telefon, który znika o 21 w jednej komórce i pojawia się o 23 w innej, wytworzył informację, a nie ciszę.

Losowanie adresu MAC

Systemy mobilne emitują dziś przy skanowaniu losowe adresy MAC, aby uniemożliwić śledzenie z miejsca na miejsce. Intencja jest dobra, rezultat niepełny. Prace referencyjne, w tym Why MAC Address Randomization is not Enough, pokazują, że sama zawartość ramek rozpoznawczych często wystarcza do ponownego zidentyfikowania urządzenia: liczba elementów informacyjnych, ich wartości i kolejność tworzą odcisk. Dochodzą do tego numery sekwencyjne, przyrostowe, a więc dające się połączyć w łańcuch, oraz sygnatura czasowa właściwa każdemu modelowi. Niektóre badania donoszą o poprawnym śledzeniu połowy urządzeń przez co najmniej dwadzieścia minut.

Wreszcie ograniczenie pojęciowe: losowanie dotyczy wyłącznie fazy wykrywania. Gdy tylko połączysz się z siecią, używany adres jest dla tej sieci stały, z założenia, żeby połączenie działało. Kawiarnia, do której chodzisz co rano, rozpoznaje cię.

Naprawdę wyłączyć skanowanie

To ustawienie najbardziej opłacalne i najczęściej pomijane. W Androidzie wyszukiwanie Wi-Fi i wyszukiwanie Bluetooth to dwie odrębne opcje, umieszczone w usługach lokalizacji, niezależne od przełączników w panelu szybkich ustawień. Dopóki są aktywne, wyłączenie Wi-Fi z panelu nie wystarcza: skanowanie trwa dalej.

Ich wyłączenie usuwa całą warstwę zbierania danych, a jedynym kosztem jest nieco wolniejsze pierwsze wyznaczenie pozycji. Dla większości czytelników to najlepszy stosunek włożonego wysiłku do uzyskanego efektu.

Uprawnienia aplikacji

Odbieranie uprawnienia do lokalizacji aplikacjom, które ewidentnie go nie potrzebują, pozostaje przydatne, a nowsze systemy oferują trzy stopnie: zgodę jednorazową, zgodę ograniczoną do aktywnego użycia oraz lokalizację przybliżoną, przekazującą jedynie obszar rzędu kilometra.

Nie chroni to natomiast ani przed SDK osadzonymi w aplikacji mającej uzasadniony powód dostępu do twojej pozycji, ani przed czujnikami inercyjnymi, ani przed warstwami sieciowymi, które nie przechodzą przez żadne uprawnienie.

Przed czym VPN nie chroni

Punkt wymagający wyjaśnienia, bo przekonanie odwrotne jest bardzo rozpowszechnione: VPN nie ukrywa twojej lokalizacji. Ukrywa twój publiczny adres IP, więc zafałszowuje geolokalizację po IP, która i tak jest najbardziej zgrubnym mechanizmem z całej listy.

VPN nie dotyka ani odbiornika GNSS, ani skanowania Wi-Fi, ani Bluetootha, ani czujników. Nie zmienia niczego w tym, co wie twój operator, ponieważ zaszyfrowany tunel przechodzi przez jego stacje, a przyłączenie do komórki pozostaje dla niego widoczne. Nie powstrzymuje aplikacji dysponującej uprawnieniem do lokalizacji przed przesłaniem dokładnych współrzędnych wewnątrz tunelu. VPN chroni treść i cel twojej komunikacji w niezaufanej sieci, a to już dużo. Lokalizacja nie mieści się w jego zakresie.

Granice fizyczne

Etui Faradaya działa w sensie dosłownym: blokuje nadawanie i odbiór. Wyjęcie baterii również, tam gdzie jest to jeszcze możliwe. Osobne urządzenie albo po prostu zostawienie telefonu gdzie indziej pozostaje środkiem najbardziej odpornym.

Rozwiązania te mają wspólną wadę, której trzeba spojrzeć w oczy: wytwarzają anomalię. Telefon, który milknie na dwie godziny w każdy wtorkowy wieczór, coś mówi. Wobec przeciwnika analizującego wzorce, a nie chwilowe pozycje, nieobecność jest daną.

Trzej przeciwnicy, trzy strategie

To najważniejsze rozróżnienie w tym artykule i zarazem to, które czyta się najrzadziej.

Przeciwko reklamodawcy lub brokerowi danych walka jest do wygrania. Dyscyplina uprawnień, wyłączenie skanowania, system bez zamkniętych usług lokalizacji, resetowanie identyfikatora reklamowego: razem bardzo silnie redukują zbierany wolumen. Ten przeciwnik szuka taniej masy, a nie twojego konkretnego przypadku.

Przeciwko twojemu operatorowi żadna konfiguracja nie wystarczy. Lokalizacja komórkowa jest warunkiem usługi. Jedyne realne zmienne są prawne, czyli to, co ustawa pozwala przechowywać i przekazywać, oraz materialne: jakie urządzenie, jaka karta SIM, na czyje nazwisko, włączona gdzie.

Przeciwko ukierunkowanemu przeciwnikowi państwowemu rozumowanie zmienia się jeszcze raz, ponieważ łączy on legalny dostęp do danych operatora, aktywną lokalizację symulatorem stacji, żądania wobec platform i, w razie potrzeby, kompromitację samego terminala. Programowe środki zaradcze zmniejszają powierzchnię, ale realistycznym celem nie jest zniknięcie: jest nim dokładna wiedza o tym, co pozostaje odsłonięte.

Podejście ArpokratOS

ArpokratOS odpowiada na ten krajobraz wyborem wynikającym z powyższego rozróżnienia: to, co ma zostać zneutralizowane, neutralizuje się na poziomie systemu, a nie w menu.

W przypadku GNSS sterownik sprzętowy zostaje usunięty. Urządzenie zachowuje się tak, jakby układ nie istniał, zarówno wobec aplikacji, jak i wobec samego systemu. Różnica względem przełącznika w ustawieniach nie jest kosmetyczna. Przełącznik to polityka: egzekwuje ją warstwa, którą wystarczająco uprzywilejowany komponent może obejść, aktualizacja ponownie włączyć, a skompromitowany system zignorować. Usunięcie ścieżki kodu likwiduje pytanie, bo nie ma już czego włączać.

Bluetooth jest traktowany na poziomie Core, według tej samej logiki. Bluetooth wyłączony w ustawieniach w praktyce pozostawia na wielu urządzeniach żywy stos programowy, obsługujący usługi bliskości i sieci lokalizacji współdzielonej. Nieobecny na poziomie systemu nie może ani rozmawiać z beaconem sklepowym, ani uczestniczyć w sieci typu Find My, ani służyć jako powierzchnia ataku bez interakcji.

Trzeba jasno powiedzieć, czego to nie daje. ArpokratOS nie czyni telefonu niewykrywalnym. Dopóki aktywna jest karta SIM, operator zna komórkę przyłączenia i żaden system operacyjny tego nie zmieni, nawet przy całym ruchu kierowanym przez Tor. Trasowanie chroni treść i cel, a nie geometrię radiową. Kto obiecuje niewidzialność, sprzedaje bajkę.

To, co taka architektura wnosi, jest skromniejsze: usunięcie warstw aplikacyjnej i bliskościowej, przez które przechodzi zdecydowana większość realnego zbierania danych, oraz jawny model zagrożeń dla tego, co pozostaje. To rozumowanie zastosowane do wyboru systemu na komputer, opisane w naszym porównaniu systemów operacyjnych: użyteczne pytanie nie brzmi, czy narzędzie chroni, lecz przed czym chroni i jakim kosztem.

Podsumowanie

Ten artykuł nie dostarcza metody na zniknięcie. Taka metoda nie istnieje, a teksty twierdzące inaczej wytwarzają przede wszystkim fałszywą pewność, groźniejszą niż brak ochrony, bo skłaniającą do podejmowania ryzyka.

Celem było zastąpienie pytania zerojedynkowego, czy jestem lokalizowalny czy nie, pytaniem użytecznym: przez kogo, z jaką dokładnością, jakim kosztem dla nich i czy mnie to obchodzi. Odpowiedź jest inna dla dziennikarza chroniącego źródło, dla menedżera podróżującego po wrażliwej jurysdykcji, dla adwokata, którego spotkania zdradzają strategię, i dla osoby prywatnej zirytowanej tym, że reklamodawca zna jej przyzwyczajenia.

Uwagę powinna zresztą przyciągać nie skuteczność każdego z tych mechanizmów z osobna, lecz to, że one się nakładają. Pozycja z dokładnością do pięćdziesięciu metrów nie jest szczególnie ciekawa. Pozycja z dokładnością do pięćdziesięciu metrów, co kwadrans, przez dwa lata, rysuje miejsce zamieszkania, miejsce pracy, wyznanie, stan zdrowia, romans, źródło informacji. Dana lokalizacyjna to metadana, która czyni wszystkie pozostałe czytelnymi, i właśnie dlatego jest tyle warta.

Źródła

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: Nowe „Super-Cookie” operatorów telekomunikacyjnych zagrażające Twojej prywatności

Mon, 01 Jun 2026 00:00:00 +0000

Planowany koniec plików cookie stron trzecich w przeglądarkach internetowych wywołał prawdziwy wyścig zbrojeń w branży reklamy ukierunkowanej. Podczas gdy Google próbuje narzucić własne standardy (takie jak Privacy Sandbox), inny nieoczekiwany gracz postanowił uszczknąć kawałek tortu: Twój dostawca usług internetowych (ISP).

Tak narodził się Utiq (wcześniej znany jako projekt TrustPid), spółka joint venture założona przez europejskich gigantów telekomunikacyjnych. Sprzedawany ogółowi społeczeństwa jako „przejrzyste i pełne szacunku” rozwiązanie, Utiq jest w rzeczywistości tym, czego eksperci ds. cyberbezpieczeństwa obawiają się najbardziej: „super-ciasteczkiem” działającym na poziomie sieci.

Czym jest Utiq i jak działa?

Tradycyjnie śledzenie reklam (pliki cookie) jest zarządzane przez Twoją przeglądarkę internetową (Chrome, Firefox, Safari). Można było je zablokować za pomocą rozszerzeń (takich jak uBlock Origin) lub przeglądarki zorientowanej na prywatność (jak Brave).

Utiq przesuwa problem o krok do tyłu: na poziom połączenia sieciowego.

Oto jak zamyka się pułapka:

Przechwytywanie w sieci: Podczas przeglądania internetu przez połączenie mobilne (4G/5G) lub światłowód, Utiq wykorzystuje Twój adres IP i dane subskrypcji telekomunikacyjnej, aby Cię zidentyfikować.
Zgoda (fałszywy wybór): Po wejściu na stronę partnerską, wyskakujące okienko (popup) prosi o zaakceptowanie Utiq. Ze względu na zmęczenie banerami cookies (Consent Fatigue), miliony użytkowników klikają „Akceptuj” bez czytania.
„Network Signal”: Po wyrażeniu zgody Utiq kontaktuje się bezpośrednio z Twoim operatorem telekomunikacyjnym. Ten ostatni generuje unikalny, spseudonimizowany token identyfikacyjny (sygnał sieciowy), który przekazuje reklamodawcom.

Jesteś teraz możliwy do śledzenia z witryny na witrynę, nie przez plik zapisany na Twoim komputerze, ale przez samą infrastrukturę, która zapewnia Ci internet.

Dlaczego Utiq to koszmar dla prywatności (OPSEC)

Inicjatywa ta rodzi poważne problemy dla cyfrowej suwerenności i poufności Twoich danych:

Śledzenie u źródła: W przeciwieństwie do klasycznych plików cookie, nie możesz po prostu „wyczyścić historii” lub „opróżnić pamięci podręcznej”, aby pozbyć się Utiq. Token identyfikacyjny jest generowany przez Twojego ISP.
Centralizacja profili: Operatorzy telekomunikacyjni znają już Twoje imię i nazwisko, adres fizyczny, dane bankowe i lokalizację w czasie rzeczywistym. Łącząc z tym historię przeglądania sieci przez Utiq, tworzą profilowanie behawioralne o przerażającej precyzji.
Błąd pseudonimizacji: Utiq broni się, nie udostępniając Twojego imienia w postaci jawnego tekstu, twierdząc, że używa „zaszyfrowanych” tokenów. Jednak w świecie cyberbezpieczeństwa udowodniono, że pseudonimizacja jest odwracalna. Krzyżowanie tych tokenów z innymi bazami danych pozwala na łatwą reidentyfikację osób.

Którzy operatorzy używają Utiq?

Utiq został założony przez sojusz czterech największych europejskich operatorów. Jeśli jesteś klientem jednego z nich (lub ich tanich spółek zależnych), Twoje połączenie jest potencjalnie już „kompatybilne” z tym śledzeniem.

Wskazówka OPSEC: Chociaż Utiq oferuje scentralizowany portal zarządzania zgodą (consenthub.utiq.com) w celu cofnięcia dostępu, najlepsza obrona pozostaje technologiczna.

Podejście Zero-Trust w walce z Utiq

Filozofia suwerenności cyfrowej, napędzana przez ekosystemy takie jak Arpokrat, opiera się na prostej zasadzie: nigdy nie ufaj infrastrukturze sieciowej.

Aby technicznie zneutralizować systemy takie jak Utiq, rozwiązaniem jest ukrycie ruchu przed własnym dostawcą internetu:

Korzystanie z suwerennego VPN: Szyfrując ruch zaraz po opuszczeniu urządzenia, Twój ISP widzi tylko nieczytelny strumień danych skierowany do serwera VPN. Nie może już wstrzykiwać ani odczytywać tokenów Utiq.
Sieć Tor (Orbot): Trasowanie cebulowe (Onion routing) zapobiega jakiejkolwiek identyfikacji typu end-to-end.
Szyfrowanie DNS (DoH/DoT): Zapobiega poznaniu przez operatora, jakie strony internetowe chcesz odwiedzić.

Podsumowując, Utiq jest dowodem na to, że dostawcy usług internetowych nie zadowalają się już byciem jedynie „rurami”; chcą stać się brokerami danych. Szyfrowanie ruchu jest teraz nie tyle opcją bezpieczeństwa, co absolutną koniecznością dla zachowania cyfrowej ciszy.