В 2024 году двое исследователей из Мэрилендского университета многократно обращались к службе позиционирования Apple по Wi-Fi, без каких-либо особых привилегий и без специализированного оборудования, и за год восстановили точное положение более двух миллиардов точек доступа Wi-Fi по всему миру. Их работа Surveilling the Masses with Wi-Fi-Based Positioning Systems показывает, что позволяет такая карта: отслеживать технику, въезжающую в Украину и покидающую её, наблюдать за перемещением населения после пожаров на Мауи, находить конкретного человека через его домашний роутер.
Ни на одном из этих устройств GPS не был включён. Позиция приходила из другого источника.
Это самая распространённая слепая зона в вопросах мобильной приватности: убеждение, что существует переключатель геолокации и что, стоит его выключить, телефон перестаёт знать, где он находится. Это убеждение ложно на семи разных уровнях.
Геолокация не функция, которую телефон включает. Это свойство того, чем он является.
GPS, то есть наименее проблемный вектор
Единственный механизм, который может назвать каждый, оказывается и тем, который должен беспокоить вас меньше всего.
GNSS, обобщающий термин для американского GPS, Galileo, ГЛОНАСС и BeiDou, работает на прослушивание. Спутники непрерывно излучают сигналы с отметками времени, приёмник улавливает несколько из них и вычисляет своё положение по разнице времени распространения. Обычная точность на открытой местности: три-пять метров, в городе часто несколько десятков метров, поскольку фасады отражают сигналы.
Решающее обстоятельство в том, что этот расчёт пассивен. Телефон ничего не излучает в сторону спутников, ни один спутниковый оператор не знает о вашем существовании. Если бы в игре был только GNSS, выключения GPS было бы достаточно.
Однако есть нюанс. Чтобы ускорить первое определение координат, телефоны используют A-GPS: они загружают спутниковые эфемериды с сервера по протоколу SUPL . Чтобы получить нужные данные, телефон передаёт этому серверу идентификатор соты сети, к которой он подключён. Чистый GNSS вас не выдаёт, а вот привитый к нему ускоритель выдаёт.
Мобильная сеть: то, что оператор знает по построению
Чтобы звонок мог до вас дойти, сеть должна знать, в какой зоне вы находитесь. Это не включаемая опция, это условие существования услуги. Ваш телефон постоянно заявляет о себе ближайшей вышке, и эта регистрация оставляет след на стороне оператора. Никакого установленного приложения, никакого выданного разрешения: достаточно активной SIM-карты.
Точность зависит от метода:
- Только идентификатор соты: от 200 метров в плотной городской застройке до более чем 30 километров в сельской местности, где одна вышка покрывает очень большой радиус.
- Обогащённый Cell ID, добавляющий сектор антенны (большинство площадок разделено на три сектора по 120 градусов) и мощность сигнала: от 100 метров до нескольких километров.
- Timing advance, измеряющий задержку прохождения сигнала туда и обратно между телефоном и вышкой: порядка 550 метров в GSM, около 78 метров в LTE.
- Мультилатерация по трём и более вышкам: от 50 до 300 метров в городском LTE.
5G меняет масштаб по двум складывающимся причинам. Сначала плотность: соты 5G покрывают куда меньшие радиусы, так что само подключение уже является тонкой информацией. Затем стандартизация: начиная с Release 16, 3GPP включает собственные сигналы позиционирования. Коммерческие цели — менее 3 метров внутри помещений и менее 10 метров снаружи для 80 % устройств, а Release 18 для отдельных промышленных применений опускается до сантиметров.
Инфраструктура, которая вас соединяет, тем самым становится системой позиционирования качества, сопоставимого с GPS, без того чтобы вы что-либо включали. Эти данные хранятся по национальным правилам и доступны властям по различным процедурам. Это та же самая принципиальная дискуссия, что и в случае юрисдикции, применимой к размещённым данным : техническая защита и правовая защита не совпадают.
Wi-Fi: карта мира, составленная из аппаратных адресов
Каждая точка доступа Wi-Fi постоянно транслирует уникальный аппаратный идентификатор, BSSID. Эти идентификаторы неизменны и географически стабильны: домашний роутер годами стоит на одном месте.
Apple, Google и несколько специализированных игроков ведут базы, связывающие каждый BSSID с координатами. Их наполняют телефоны их же пользователей, которые отправляют список видимых точек вместе с позицией по GNSS. Затем операция обращается: телефон, видящий четыре известные точки, больше не нуждается ни в одном спутнике. В плотной городской застройке точность обычно достигает нескольких десятков метров, а в помещениях опускается ещё ниже.
Два свойства делают этот механизм трудным для нейтрализации. Во-первых, телефон сканирует даже тогда, когда Wi-Fi выглядит отключённым: начиная с Android 4.3 система сохраняет периодическое сканирование, предназначенное для уточнения геолокации, независимо от переключателя в быстрой панели. Это поведение зависит от отдельной настройки, спрятанной в службах геолокации, которую практически ни один пользователь никогда не открывал.
Во-вторых, базу можно опрашивать извне. Именно эту брешь использовали Рай и Левин: интерфейсы позиционирования возвращают не только запрошенную позицию, но и позиции соседних точек доступа, что позволяет собирать карту, ни разу физически не приблизившись к этим местам.
Bluetooth и BLE: вас находят телефоны других людей
Bluetooth Low Energy добавляет слой близости с дальностью от нескольких до нескольких десятков метров, то есть с куда более тонкой детализацией, чем мобильная сеть. Сосуществуют два применения. Коммерческие маячки, размещённые в магазинах, аэропортах или торговых центрах, излучают идентификатор, который распознают приложения в телефоне, и это показывает, перед какой полкой вы остановились и на сколько времени. И совместные сети геолокации, образцом которых служит Find My от Apple, с тех пор перенятый Google и Samsung.
Второй механизм переворачивает неявное допущение. Эталонный анализ Who Can Find My Devices? , опубликованный в материалах PETS 2021 исследователями Дармштадтского технического университета, восстановил протокол Apple обратной разработкой. Устройство без связи излучает сигнал BLE, любое устройство Apple поблизости его ловит, добавляет собственную позицию и передаёт её зашифрованной на серверы Apple, без ведома как своего владельца, так и владельца найденного устройства.
Следствие носит структурный характер: устройство без SIM-карты, без Wi-Fi, без какого-либо сетевого подключения остаётся находимым, лишь бы рядом прошёл незнакомец с телефоном в кармане. Ваша изоляция больше не зависит от ваших настроек, а от настроек прохожих.
Инерциальные датчики: определить местоположение без разрешения на геолокацию
В телефоне есть акселерометр, гироскоп, магнитометр и часто барометр. Эти датчики относятся к категории разрешений, отличной от геолокации: приложение может их читать, ни разу не спросив, где вы.
Исследователи из Принстона доказали это с помощью PinMe . Их приложение отталкивается от IP-адреса и часового пояса ради грубой позиции, а затем читает датчики: акселерометр даёт профиль разгона и торможения, гироскоп — последовательность поворотов, магнитометр — курс, барометр — изменения высоты. Нейросеть определяет способ передвижения — пешком, автомобилем, поездом или самолётом, — и маршрут накладывается на открытые картографические, высотные и метеорологические данные. Результат: траектория с точностью, сопоставимой с GPS, без разрешения на геолокацию. У метода есть границы, которые авторы документируют, поскольку он не работает в зонах без дорог и ухудшается на однородных квартальных планировках, где множество маршрутов даёт одну и ту же подпись. Он остаётся доказательством того, что отклонённое разрешение — не закрытая дверь.
Барометр к тому же даёт измерение, с которым GNSS справляется плохо, — вертикаль. Американские требования к экстренным вызовам предписывают точность до этажа плюс-минус 3 метра для 80 % вызовов из помещений. Знать, на каком этаже находится человек, — это иное знание, чем знать, в каком квартале он находится.
Рынок данных: самый банальный вектор
Предыдущие механизмы описывают, как вычисляется позиция. Остаётся узнать, куда она уходит, и именно там разыгрывается основная часть повседневного риска.
Тысячи приложений содержат рекламные SDK, программные блоки от третьих сторон, которые разработчик добавляет, чтобы монетизировать свою работу или измерить аудиторию. Эти блоки наследуют разрешения приложения-хозяина: приложение погоды, которому ваша позиция нужна вполне законно, передаёт её игрокам, чьих названий вы никогда не читали. К этому добавляются потоки рекламных аукционов, где ваша приблизительная позиция рассылается десяткам потенциальных покупателей при каждом показе баннера, включая тех, кто ничего не покупает и ограничивается прослушиванием.
Это сырьё питает целую индустрию. Electronic Frontier Foundation задокументировала случай Fog Data Science , заявлявшей о миллиардах точек данных по более чем 250 миллионам устройств, которые продавались местной полиции в США. Брайан Кребс описал Locate X , продукт, позволяющий очертить многоугольник на карте и просмотреть историю устройств, которые входили в эту зону и покидали её.
Этот вектор не требует никакого технического подвига, нужно лишь, чтобы кто-то согласился заплатить. Цена скромная.
IMSI-кетчеры: активное определение местоположения
Рассмотренные до сих пор механизмы эксплуатируют нормальную работу системы. Существует также активное определение местоположения, которое ведёт третья сторона, вмешивающаяся в сеть.
IMSI-кетчер, или симулятор базовой станции, — это оборудование, выдающее себя за легитимную вышку. Телефоны в зоне действия подключаются к нему, раскрывая свой идентификатор абонента и своё присутствие в узко очерченном периметре.
5G должен был закрыть эту дверь, заменив постоянный идентификатор в открытом виде на зашифрованный — SUCI. Закрытие оказалось частичным. Работы, представленные под названием 5G SUCI-catchers: still catching them all? , документируют атаки связывания, позволяющие заново коррелировать сессии несмотря на шифрование. Но главное: защита падает полностью, если атакующий вынуждает устройство откатиться на предыдущее поколение, в частности 2G, аутентификация которого односторонняя. Телефон с 5G остаётся уязвим к атаке, задуманной для сети 1990-х годов, потому что он до сих пор соглашается туда спуститься.
Контрмеры и их реальная эффективность
Каждая из приведённых ниже мер что-то даёт. Ни одна не даёт всего, и разрыв между тем, что они делают, и тем, что им приписывают, порождает неверные решения.
Режим полёта
Режим полёта отключает передачу сотового модема, Wi-Fi и Bluetooth. Это реальный эффект, и это лучший результат при столь малых усилиях.
Чего он не делает: не останавливает инерциальные датчики, не удаляет уже закэшированные позиции, которые уйдут при повторном подключении, и на большинстве устройств позволяет отдельно включить Wi-Fi или Bluetooth, не выходя из него. Наконец, это программное состояние, а не отключение питания: его надёжность зависит от целостности системы, которая его применяет.
Недооценённая деталь: отключение от сети и последующее возвращение сами по себе являются событиями с отметкой времени на стороне оператора. Телефон, исчезающий в 21 час в одной соте и появляющийся в 23 часа в другой, произвёл информацию, а не тишину.
Рандомизация MAC-адреса
Мобильные системы сегодня при сканировании излучают случайные MAC-адреса, чтобы помешать отслеживанию от места к месту. Намерение хорошее, результат неполный. Эталонные работы, среди них Why MAC Address Randomization is not Enough , показывают, что содержимого кадров обнаружения часто достаточно для повторной идентификации устройства: количество информационных элементов, их значения и порядок образуют отпечаток. К этому добавляются порядковые номера, инкрементные и потому пригодные для сцепления, и временная подпись, характерная для каждой модели. Некоторые исследования сообщают о корректном отслеживании половины устройств в течение не менее двадцати минут.
Наконец, концептуальная граница: рандомизация касается только фазы обнаружения. Как только вы подключаетесь к сети, используемый адрес для этой сети постоянен по замыслу, чтобы соединение работало. Кофейня, куда вы ходите каждое утро, вас узнаёт.
По-настоящему отключить сканирование
Это самая выгодная и самая игнорируемая настройка. В Android поиск Wi-Fi и поиск Bluetooth — две отдельные опции, расположенные в службах геолокации, независимые от переключателей быстрой панели. Пока они активны, выключить Wi-Fi из панели недостаточно: сканирование продолжается.
Их отключение убирает целый слой сбора данных, а единственной платой оказывается чуть более медленное первое определение позиции. Для большинства читателей это лучшее соотношение затраченных усилий и полученного результата.
Разрешения приложений
Отзывать разрешение на геолокацию у приложений, которым оно очевидно не нужно, остаётся полезным, и современные системы предлагают три градации: разовое разрешение, разрешение, ограниченное активным использованием, и приблизительное местоположение, передающее лишь зону порядка километра.
Это, однако, не защищает ни от SDK внутри приложения, имеющего законное основание обращаться к вашей позиции, ни от инерциальных датчиков, ни от сетевых уровней, которые не проходят ни через какое разрешение.
От чего VPN не защищает
Момент, который следует прояснить, поскольку противоположное убеждение весьма распространено: VPN не скрывает ваше местоположение. Он скрывает ваш публичный IP-адрес, а значит, искажает геолокацию по IP, которая в любом случае является самым грубым механизмом в списке.
VPN не затрагивает ни приёмник GNSS, ни сканирование Wi-Fi, ни Bluetooth, ни датчики. Он ничего не меняет в том, что знает ваш оператор, поскольку шифрованный туннель проходит через его вышки, а подключение к соте остаётся для него видимым. Он не мешает приложению с разрешением на геолокацию передать точные координаты внутри туннеля. VPN защищает содержание и назначение ваших коммуникаций в ненадёжной сети, и это уже немало. Геолокация в его периметр не входит.
Физические пределы
Чехол Фарадея работает буквально: он блокирует передачу и приём. Извлечение аккумулятора тоже, там где это ещё возможно. Отдельное устройство или просто оставленный в другом месте телефон остаётся самой надёжной мерой.
У этих решений общий изъян, которому надо посмотреть в лицо: они создают аномалию. Телефон, молчащий два часа каждый вторник вечером, о чём-то сообщает. Против противника, анализирующего закономерности, а не мгновенные позиции, отсутствие само является данными.
Три противника, три стратегии
Это самое важное различение этой статьи и одновременно то, которое читают реже всего.
Против рекламодателя или брокера данных битву можно выиграть. Дисциплина разрешений, отключение сканирований, система без проприетарных служб геолокации, сброс рекламного идентификатора: вместе это очень сильно сокращает собираемый объём. Этот противник ищет дешёвый объём, а не именно ваш случай.
Против вашего оператора никакая конфигурация не поможет. Сотовая геолокация — условие услуги. Единственные реальные переменные правовые, то есть что закон позволяет хранить и передавать, и материальные: какое устройство, какая SIM-карта, на чьё имя, включённая где.
Против целенаправленного государственного противника рассуждение меняется вновь, поскольку он сочетает законный доступ к данным оператора, активное определение местоположения симулятором базовой станции, запросы к платформам и, при необходимости, компрометацию самого устройства. Программные контрмеры уменьшают поверхность, но реалистичная цель не исчезновение: она в том, чтобы точно знать, что остаётся открытым.
Подход ArpokratOS
ArpokratOS отвечает на этот ландшафт выбором, вытекающим из приведённого различения: то, что должно быть нейтрализовано, нейтрализуется на уровне системы, а не в меню.
В отношении GNSS аппаратный драйвер удалён. Устройство ведёт себя так, как если бы чипа не существовало, — и для приложений, и для самой системы. Отличие от переключателя в настройках не косметическое. Переключатель — это политика: её применяет слой, который может обойти достаточно привилегированный компонент, вновь включить обновление или проигнорировать скомпрометированная система. Удаление пути кода снимает вопрос, поскольку включать уже нечего.
Bluetooth обрабатывается на уровне Core, по той же логике. Bluetooth, отключённый в настройках, на многих устройствах на практике оставляет программный стек живым, чтобы питать службы близости и совместные сети геолокации. Отсутствуя на уровне системы, он не может ни общаться с магазинным маячком, ни участвовать в сети типа Find My, ни служить поверхностью атаки без взаимодействия.
Надо ясно сказать, чего это не делает. ArpokratOS не делает телефон необнаружимым. Пока SIM-карта активна, оператор знает соту подключения, и никакая операционная система этого не изменит, даже если весь трафик идёт через Tor. Маршрутизация защищает содержание и назначение, а не радиогеометрию. Тот, кто обещает невидимость, продаёт сказку.
То, что даёт такая архитектура, скромнее: устранение прикладного слоя и слоя близости, через которые проходит подавляющее большинство реального сбора, и явная модель угроз для того, что остаётся. Это то же рассуждение, применённое к выбору настольной системы, изложенное в нашем сравнении операционных систем : полезный вопрос не в том, защищает ли инструмент, а в том, от чего он защищает и какой ценой.
Заключение
Эта статья не даёт метода исчезнуть. Такого метода не существует, а тексты, утверждающие обратное, порождают прежде всего ложную уверенность, более опасную, чем отсутствие защиты, потому что она толкает на риск.
Цель состояла в том, чтобы заменить бинарный вопрос «можно ли меня найти» вопросом полезным: кем, с какой точностью, какой ценой для них и волнует ли это меня. Ответ различается для журналиста, защищающего источник, для руководителя в поездке в чувствительной юрисдикции, для адвоката, чьи встречи выдают стратегию, и для частного лица, которому досадно, что рекламодатель знает его привычки.
Внимание, впрочем, должна привлекать не эффективность каждого из этих механизмов по отдельности, а то, что они накладываются друг на друга. Позиция с точностью до пятидесяти метров не слишком интересна. Позиция с точностью до пятидесяти метров, каждые четверть часа, в течение двух лет, вычерчивает жильё, место работы, вероисповедание, состояние здоровья, роман, источник информации. Данные о местоположении — те метаданные, которые делают читаемыми все остальные, и именно поэтому они дорого стоят.
Источники
- Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
- Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
- Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
- Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
- Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
- 5G NR Positioning Enhancements in 3GPP Release-18
- Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
- Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
- Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense