Защита данных on Arpokrat

SignalTrace: Европа экспортирует слежку, которую себе не позволяет

Tue, 01 Sep 2026 00:00:00 +0000

Серый седан проезжает под дорожной рамкой на скорости 110 км/ч. Камера на мачте считывает номер, проставляет метку времени, сохраняет его. Ничего нового: такие устройства существуют уже двадцать лет и установлены десятками тысяч как в Северной Америке, так и в Европе.

Но если эта рамка получила модуль, который итальянская группа Leonardo продаёт с июня 2026 года, она только что записала кое-что ещё. iPhone водителя. Беспроводные наушники пассажирки. Умные часы на приборной панели. Автомагнитолу. Подключённый брелок в бардачке. Датчики давления всех четырёх шин. Пропуск, оставшийся в пиджаке. И, если сзади спит собака, её идентификационный чип.

Десяток идентификаторов, номер, координата, время. Повторите это на каждой рамке сети, и вы уже следите не за машиной: вы следите за людьми и знаете, с кем они передвигаются.

Что устройство делает на самом деле

Продукт называется SignalTrace. Его продаёт Leonardo US Cyber and Security Solutions, и он дополняет линейку ELSAG, одну из самых распространённых линий автоматических считывателей номерных знаков на американском рынке. О его существовании 8 июня 2026 года сообщил Джозеф Кокс в 404 Media на основании продуктовой спецификации производителя.

Решающий момент умещается в одну фразу: речь не о новых камерах. SignalTrace представляет собой радиодатчик, добавляемый к уже установленным считывателям номеров. Мачта не меняется, место не меняется, силуэт оборудования у дороги не меняется. Меняется то, что это оборудование слушает.

Датчик записывает идентификаторы, передаваемые в открытом виде протоколами Bluetooth, Wi-Fi и RFID устройств, находящихся в автомобиле. Технический момент, который часто понимают неверно: ни одно устройство не взламывают и ни одну уязвимость не эксплуатируют. Устройство Bluetooth или Wi-Fi постоянно излучает кадры обнаружения, потому что эти протоколы так задуманы. Ваши наушники объявляют о своём присутствии, чтобы телефон их нашёл, а сам телефон опрашивает окружающий эфир в поисках знакомых сетей. Эти излучения публичны по построению, и их слышит любой приёмник в зоне действия.

Leonardo, кстати, уточняет, что система работает со считывателем номеров и без него, в том числе в помещении, и распознаёт автомобиль, номер которого закрыт или снят.

Вот настоящая политическая тема: дооснащение уже существующего оборудования. Установка новой сети камер запускает голосование, обсуждение, иногда судебный спор. Добавление электронной платы в уже согласованный корпус не запускает ничего. Возможность слежки меняет свою природу без публичной дискуссии, потому что материально ничего нового увидеть нельзя.

От автомобиля к человеку, и от человека к группе

Считыватель номеров отвечает на один вопрос: где был этот автомобиль. SignalTrace добавляет ещё два: кто в нём находился и с кем.

Leonardo этого не скрывает, это аргумент продажи. Система формирует то, что документация называет электронным отпечатком, набор идентификаторов, «часто излучаемых вместе». Пример производителя красноречив: во всём городе только один автомобиль соединит iPhone 13rev2, автомагнитолу Audi, наушники Bose, часы Garmin, поисковик ключей и номер ABC-1234.

Продукт не ограничивается слежением за автомобилями. Он автоматически создаёт граф связей между людьми, при том что никому не пришлось высказать ни малейшего подозрения.

Именно здесь происходит качественный скачок. Соотнося устройства, которые регулярно ездят вместе, система механически выстраивает социальный граф. Два телефона, встречающиеся каждое утро в одной машине, означают совместные поездки либо отношения, которые ни одна из сторон не желает делать публичными. Пятьдесят устройств, зафиксированных в одном месте в один час, означают собрание: демонстрация, богослужение, профсоюзное заседание или очередь перед клиникой.

Ни один из этих выводов не требует доступа к содержанию коммуникации. Он выводится из таблицы близости, по умолчанию, для всего передвигающегося населения, а не для назначенных целей. Это виновность по ассоциации, произведённая промышленно, до всякого расследования. Том Боуман, юрист Center for Democracy & Technology, суммирует проблему на страницах TechNewsWorld: то, что делает инструмент полезным для слежки за настоящим подозреваемым, делает его столь же способным следить за всеми остальными автомобилистами, ни один из которых не соглашался на регистрацию своих устройств.

Leonardo выдвигает два возражения: система не расшифровывает и не читает содержание коммуникаций и сама по себе не идентифицирует людей. Оба утверждения верны, и оба не по существу. Искомыми сведениями никогда не было содержание, они в метаданных о местоположении, более красноречивых, чем сообщение. Что до идентификации, сам производитель признаёт, что следователь может связать электронную подпись с номером, а затем через регистрационные базы выйти на владельца.

Американское право, написанное для другого

В Соединённых Штатах существуют законы штатов, регулирующие считыватели номеров, и некоторые из них требовательны к срокам хранения и целям доступа. Но все они писались вокруг одного точного предмета: изображения номерного знака. Ни один не предполагает считывания идентификаторов личных устройств тем же оборудованием.

Это расхождение создаёт не незаконность, а серую зону, более удобную для продавца. Полицейская служба может утверждать, не солгав, что её программа считывателей номеров разрешена и соответствует праву, при этом собирая отныне в том же режиме данные совершенно иной природы. У Leonardo к тому же есть федеральные контракты со Special Operations Command и General Services Administration, то есть закупочный путь, который в значительной мере обходит местные согласования.

Конституционная дискуссия только что сдвинулась, и здесь нужна точность, потому что состояние права изменилось этим летом. В январе 2026 года федеральный суд Виргинии постановил по делу Schmidt v. City of Norfolk, что городская сеть камер Flock не образует обыска в смысле четвёртой поправки, поскольку не покрывает всех перемещений жителей. Решение обжалуется в Четвёртом округе, куда вступила ACLU.

Затем, 29 июня 2026 года, Верховный суд вынес решение Chatrie v. United States. Пятью голосами против четырёх, пером судьи Кейган, он признал, что получение полицией данных о местоположении телефона образует обыск, поскольку человек сохраняет разумное ожидание приватности в отношении этих данных, даже когда ими владеет третье лицо и даже за короткий период. Решение продолжает Carpenter v. United States 2018 года и ослабляет доктрину третьего лица, как отметил CDT.

Точный охват Chatrie применительно к SignalTrace не разрешён, и утверждать обратное было бы неосторожно: решение касается данных, истребованных у Google, а не прямого считывания полицейским датчиком в публичном пространстве. Но оно закрепляет рассуждение, которое имеет значение, а именно: чувствительность данных о местоположении не зависит от того, кто ими владеет.

Европейский вопрос, который и есть настоящий вопрос

Вот где дело становится неудобным для Европы. Leonardo не американский поставщик, а итальянская группа, котирующаяся в Милане, чей первый акционер, итальянское министерство экономики и финансов, владеет примерно 30 % капитала и вправе назначать большинство совета директоров. Итальянское государство не является пассивным акционером этого продукта.

Сначала технический момент

В европейском праве идентификатор устройства является персональными данными. Это не доктринальное мнение, а устойчивая позиция надзорных органов. CNIL прямо трактует MAC-адрес именно так в своей доктрине о системах измерения посещаемости и допускает их сбор в публичном пространстве только при узких условиях: анонимизация за несколько минут с высоким уровнем коллизий между людьми либо надёжная псевдонимизация с последующим уничтожением в течение двадцати четырёх часов, иначе согласие становится обязательным. Та же доктрина уточняет, что предложение людям выключить Wi-Fi не является приемлемой формой возражения.

Суд Европейского союза 4 сентября 2025 года по делу ЕКЗД против ЕСР (C-413/23 P) уточнил, что персональный характер псевдонимизированных данных оценивается с учётом разумно доступных средств повторной идентификации. Здесь же владельцем является полицейский орган, располагающий регистрационными базами. Средства повторной идентификации не гипотетичны, они в соседнем кабинете.

Нюанс, который меняет всё

Было бы неверно написать, что SignalTrace «был бы незаконен в Европе», и читатель-юрист заметил бы это немедленно. Обработка, осуществляемая компетентным органом в целях предупреждения и расследования преступлений, не подпадает под GDPR. Она подпадает под директиву (ЕС) 2016/680, называемую Полицейской директивой, которую каждое государство-член имплементирует отдельно, во Франции разделом III закона о защите данных. CNIL напоминает, что этот режим автономен, со своими основаниями правомерности и своими правами.

Стало быть, правильный вопрос состоит не в отвлечённой законности, а в условиях. При этом режиме такое устройство предполагало бы прямое национальное правовое основание, определённые цели, доказанную необходимость, ограниченный срок хранения, оценку воздействия и независимый контроль. Во Франции считыватели номеров урегулированы именно так: статьи L233-1 и L233-1-1 кодекса внутренней безопасности устанавливают исчерпывающий перечень правонарушений, дающих право на их использование, а срок хранения остаётся одним из самых коротких в Союзе, пятнадцать дней по общему правилу, даже если сенатский законопроект стремится его удлинить.

Это принципиальное отличие от американской ситуации. В Соединённых Штатах закон регулирует предмет, номерной знак, и молчание об идентификаторах устройств означает разрешение. В Европе закон регулирует цели и категории данных, и это молчание означает скорее запрет, за отсутствием прямого правового основания. Пустота, отмеченная за океаном, здесь в такой же форме не существует. Не потому, что Европа добродетельнее: её юридическая техника обратна.

Чего тогда стоит защита

Остаётся вопрос, ради которого написана эта статья. Чего стоит европейская регуляторная защита, когда европейская компания, контролируемая государством-членом, продаёт за пределы Европы возможность, которую не могла бы развернуть у себя без нового закона?

Возражения заслуживают серьёзного отношения. Промышленник не отвечает за правовые рамки своего клиента: американские власти сами решают, что разрешают у себя. Продукт продаётся не диктатуре, а правовому государству с активным верховным судом, о чём только что напомнило Chatrie. И довод промышленного суверенитета законен: если европейские группы запретят себе эти рынки, их займут израильские, американские или китайские поставщики, и слежка не отступит ни на метр, а Европа при этом потеряет свою технологическую базу.

Эти доводы приемлемы. Они не отвечают на проблему.

Прежде всего потому, что Союз уже признал: экспорт средств слежки не является обычной торговлей. Регламент (ЕС) 2021/821 о товарах двойного назначения ввёл в статье 5 всеохватную оговорку в отношении средств киберслежки, поскольку законодатель признал, что законный в производстве инструмент может быть нелегитимным в месте назначения. Его предел поучителен: он срабатывает при риске внутренних репрессий или тяжких нарушений прав человека, то есть в категориях, придуманных для авторитарных режимов. Продажа американской муниципальной полиции в них не входит. Европейская сетка исследует нравственность клиента, но никогда не исследует природу продаваемой возможности.

Затем потому, что такой продукт не запас, который распродают, а возможность, которую поддерживают: она финансирует исследования, готовит инженеров, накапливает ноу-хау и создаёт установленную базу. В день, когда крупный теракт побудит государство-член потребовать эту возможность, дискуссия уже не будет о целесообразности её создания. Она будет существовать, будет европейской, будет зрелой, а её поставщик будет отчасти государственным. Довод «мы лишь следуем за рынком» становится тогда замкнутым кругом, поскольку внутренний рынок будет подготовлен экспортом.

Вот чего стоит регуляторная защита в этом сценарии: она защищает европейцев от применений, а не от существования средств. Она решает вопрос о том, кто вправе нажать кнопку, и оставляет промышленности строить его, продавать, улучшать, а потом ждать.

Что можно сделать, не рассказывая себе сказок

Первым упоминаемым ответом всегда является рандомизация MAC-адреса. Она заслуживает честного разбора, без рекламы и без принижения. Она реальна и она работает.

Android начиная с версии 10 и iOS начиная с версии 14 по умолчанию рандомизируют MAC-адрес, используемый в Wi-Fi, с отдельным адресом для каждой сети. В Bluetooth Low Energy современные устройства транслируют разрешимые частные адреса, которые периодически меняются и могут быть привязаны к настоящему устройству только собеседником, обладающим ключом разрешения.

Её пределы столь же реальны.

Сопряжение снова открывает дверь. Ключ разрешения передаётся при сопряжении. Устройство, уже сопряжённое или явно одобренное, вновь находит устойчивую личность за меняющимся адресом. Механизм для этого и задуман.
Многие предметы ничего не рандомизируют. Датчики давления в шинах, RFID-пропуска, идентификационные чипы животных, автомагнитолы и дешёвая периферия излучают постоянные идентификаторы. Спецификация Leonardo упоминает именно эти категории, и это не случайность.
Рандомизацию можно отключить. Её отключают сеть за сетью, и часто она отключена ради удобства, для MAC-фильтрации на домашнем маршрутизаторе или из-за корпоративной политики.
Группа переживает смену идентификаторов. Это наименее очевидный и самый важный момент. SignalTrace ищет не идентификатор, а набор устройств, путешествующих вместе. Если хотя бы один член группы излучает постоянный идентификатор, весь набор остаётся привязываемым, какой бы ни была дисциплина остальных.

Самая действенная мера остаётся самой скучной: не излучать. Это предполагает отключение Bluetooth и Wi-Fi на уровне системы, в настройках, а не из панели быстрого доступа. Различие не косметическое, мы подробно разобрали его в статье о постоянной геолокации телефона: в большинстве потребительских систем кнопка быстрой панели прерывает видимое сопряжение, но оставляет программный стек живым, и анализ близости продолжается. Та статья описывала сканирование Bluetooth как теоретический вектор. SignalTrace стал его коммерческим продуктом, каталогизированным и готовый к поставке.

Нужно оставаться честным в отношении результата: эти меры уменьшают поверхность уязвимости, но не устраняют её. Автомобиль остаётся номерным знаком, а номерной знак остаётся читаемым. Единственный способ ничего не излучать состоит в том, чтобы ничего не носить с собой, а это не публичная политика.

Что это говорит о наших проектных решениях

В Arpokrat именно это рассуждение привело нас к обработке Bluetooth на уровне Core системы ArpokratOS, а не на уровне настроек. Переключатель в интерфейсе задаёт лишь пользовательское предпочтение: обновление, системное приложение или служба геолокации могут его обойти или снова включить, а пользователь об этом не узнает. Отсутствующий стек снова включить нельзя.

Против считывания вроде SignalTrace это, разумеется, не делает устройство необнаружимым, и мы этого не утверждаем: телефон остаётся в мобильной сети, а прочие предметы в автомобиле излучают сами по себе. Гарантирует оно лишь то, что конкретный вектор излучения отсутствует по построению, а не отключён на доверии. Это тезис, который мы отстаивали по поводу 5G и ошибки цели в праве: правовая защита сосредоточена на доступе к данным, тогда как она должна касаться самого существования инфраструктуры, которая их производит. SignalTrace служит тому иллюстрацией, с той разницей, что эта инфраструктура строится в Европе.

Заключение

Самое примечательное в этом деле не техническая возможность, которую исследователи описывали годами. Это метод развёртывания.

Не будет новой сети камер, которую открывают, не будет муниципального решения, которое можно оспорить, не будет госзакупки, опознаваемой как смена природы. Будут модули, добавленные к существующим мачтам, по существующим контрактам, в уже разрешённых программах. В день, когда откроется публичная дискуссия, инфраструктура будет установлена, амортизирована и встроена в следственные процедуры. Дискуссия тогда пойдёт об условиях доступа к базе, которая существует, и никогда о целесообразности её создания.

Таков обычный порядок вещей в области слежки, и он не случаен. Остаётся узнать, считает ли Европа, что ей есть что сказать, когда её собственные промышленники, опираясь на её собственные государства, строят эту инфраструктуру для других. Европейское право тщательно выстроило ответ на вопрос о том, кто может просматривать эти данные у нас. Оно никогда не задавало вопрос о том, кто вправе построить машину.

5G, геолокация и ошибка прицела в праве

Tue, 18 Aug 2026 00:00:00 +0000

В 2011 году полиция Детройта запросила у мобильного оператора историю подключений телефона Тимоти Карпентера к базовым станциям. Она получила 12 898 точек местоположения за 127 дней, около сотни в сутки. Семь лет спустя Верховный суд Соединённых Штатов признал, что такой запрос представляет собой обыск и требует ордера.

Эти 12 898 точек приходили с антенн четвёртого поколения, каждая из которых покрывала радиус в несколько километров. Тот же запрос, направленный сегодня в городскую сеть 5G, вернул бы не сотню точек в сутки с погрешностью в несколько километров. Он вернул бы гораздо больший объём с погрешностью в несколько десятков метров.

Технология сменила масштаб. Юридическое рассуждение осталось на том же месте цепи.

Правовое благо, которое судьи признают по обе стороны Атлантики

Существует интерес, который признают почти все и который почти ни один акт не защищает действенно: право находиться где-то без того, чтобы этот факт фиксировался.

Европейская судебная практика установила это недвусмысленно. В деле Digital Rights Ireland (объединённые дела C-293/12 и C-594/12, 8 апреля 2014 года), а затем в деле Tele2 Sverige и Watson (объединённые дела C-203/15 и C-698/15, большая палата, 21 декабря 2016 года) Суд Европейского Союза постановил, что эти данные, взятые в совокупности, позволяют делать очень точные выводы о частной жизни лиц: привычки повседневной жизни, места пребывания, перемещения, осуществляемая деятельность и социальные связи.

Верховный суд Соединённых Штатов пришёл к близкому выводу в деле Carpenter v. United States, 585 U.S. 296 (2018). Он подчеркнул момент, который американская доктрина много комментировала: неотвратимый и автоматический характер этого сбора. Никто не соглашается быть подключённым к антенне: человек подключён потому, что у него есть включённый телефон.

Итак, правовое благо существует, и его признают два суда, которые в этой области имеют вес. Проблема в другом.

Что 5G изменило на самом деле

Распространённая путаница состоит в том, что местоположение рассматривают как данные, которые телефон передаёт, наравне с сообщением или фотографией. Это не так. Местоположение есть физическое следствие работы сети. Оператор знает, к какой антенне подключено устройство, потому что обязан это знать, чтобы маршрутизировать вызов. Не существует ключа, которым можно было бы зашифровать эту информацию, поскольку речь идёт не о содержании, а о свойстве самого соединения.

Именно это делает 5G значимым в правовой плоскости, а не в технической.

Прежние архитектуры опирались на широкие соты. Антенна 4G обычно обслуживает радиус в несколько километров, и позиция, выведенная из одного лишь подключения, измерялась сотнями метров в городе, иногда десятками километров в сельской местности. 5G опирается на массовое уплотнение: городские соты покрывают обычно несколько сотен метров, а инженерная литература оперирует плотностями порядка сорока-пятидесяти базовых станций на квадратный километр против четырёх-пяти во времена 3G.

Следствие механическое. Согласно белой книге Ericsson о позиционировании в 5G, инфраструктура, развёрнутая исключительно ради связи, достигает точности от двадцати до пятидесяти метров на улице и от одного до трёх метров в помещении, а при благоприятных городских условиях опускается ниже метра. Речь не о где-то включённой функции геолокации, а о том, что сеть знает по самому своему устройству, без единого установленного приложения и без единого выданного разрешения. Все эти механизмы, а также контрмеры, которые действительно работают, мы подробно разобрали в статье о постоянной геолокации телефона.

Таким образом, вторжение выросло на несколько порядков. Применимая правовая рамка остаётся той, что была задумана для 2G и 3G. Никакой нормативной адаптации эта смена масштаба не сопровождала.

Право защищает доступ, а не порождение

Европейское право тщательно регулирует, кто может получить доступ к данным о местоположении, на каких условиях и под каким контролем. Директива 2002/58/ЕС закрепляет принцип конфиденциальности коммуникаций, а Суд ЕС постановил в деле La Quadrature du Net (объединённые дела C-511/18, C-512/18 и C-520/18, большая палата, 6 октября 2020 года), что статья 15(1) этой директивы, толкуемая в свете статей 7, 8, 11 и 52(1) Хартии, не допускает всеобщего и недифференцированного хранения данных о трафике и местоположении в превентивных целях. Суд, однако, допустил очерченные отступления, когда государство-член сталкивается с серьёзной угрозой национальной безопасности, оказывающейся реальной и наличной или предсказуемой, при условии действенного контроля.

Это настоящие гарантии, и было бы нелепо их принижать. Но все они вступают в дело задним числом. Они предполагают, что данные существуют, что они хранятся, и лишь затем упорядочивают условия их использования.

Между тем если местоположение есть неизбежный побочный продукт работы сети, то уместной точкой вмешательства является не конфиденциальность. Это срок хранения.

Мгновенная позиция, необходимая для маршрутизации связи и стёртая сразу после, не является инструментом слежки. История позиций, хранимая месяцами, им является, какими бы гарантиями доступа она ни была окружена.

Различие между ними не юридическое, а архитектурное. И европейский календарь делает вопрос неотложным, а не теоретическим. Комиссия отозвала проект регламента ePrivacy в 2025 году из-за отсутствия согласия между созаконодателями. С тех пор она работает над отдельным инструментом о хранении данных для целей уголовного производства, объявленным на 2026 год и призванным гармонизировать национальные режимы, ставшие разнородными после отмены директивы 2006 года. Иначе говоря, текст, который на десятилетие определит режим метаданных о местоположении, пишется прямо сейчас, на основе рассуждения, задуманного во времена километровых сот.

Прецедент, который 5G создало само

Самое интересное в этом деле то, что верный ответ уже содержится в техническом стандарте, но применён к другому объекту.

Вплоть до 4G постоянный идентификатор абонента, IMSI, передавался открытым текстом по радиоинтерфейсу при подключении. Именно это сделало возможными IMSI-кэтчеры, те поддельные базовые станции, которые, согласно эталонному описанию Electronic Frontier Foundation, излучают мощнее легитимных антенн, чтобы притягивать терминалы и перехватывать их идентификатор.

Начиная с Release 15 спецификаций 3GPP, опубликованного в 2019 году, 5G даёт изящный ответ. Постоянный идентификатор, ныне называемый SUPI, может быть заменён на радиоинтерфейсе на SUCI, скрытый идентификатор, полученный шифрованием абонентской части средствами криптографии на эллиптических кривых с использованием открытого ключа домашнего оператора. Расшифровать его может только домашняя сеть, владеющая соответствующим закрытым ключом. Результат уникален при каждом вычислении, что препятствует корреляции между сессиями.

Принятая логика заслуживает быть подчёркнутой, потому что она ровно та, которой следовало бы руководствоваться законодателю: шифруют не позицию, что было бы технически невозможно, шифруют личность. Позиция, лишённая привязываемой личности, имеет весьма ограниченную ценность для индивидуализированной слежки.

Изъян: защита факультативна

Существует, однако, значительная оговорка, и это, на наш взгляд, самая конкретная точка вмешательства во всём деле.

Белая книга NIST CSWP 36A, опубликованная в марте 2026 года National Institute of Standards and Technology, говорит об этом без обиняков. Терминалы и сетевые функции, соответствующие Release 15 или более позднему, обязаны поддерживать SUCI, но его включение остаётся факультативным для оператора. Должны совпасть три условия: производитель оборудования должен его поддерживать, оператор должен включить его в своей сети, а SIM-карта должна нести элементы, необходимые для вычисления.

К этому добавляется конфигурационная ловушка. Стандарт предусматривает нулевую схему защиты, при которой формат SUCI формально применяется, но без действительного шифрования, так что идентификатор идёт открытым текстом. NIST пишет, что оператору необходимо настроить свою сеть с ненулевой схемой защиты, и напоминает, что доклад CSRIC, консультативного органа Federal Communications Commission, ещё в 2021 году рекомендовал оставить нулевую схему исключительно для экстренных вызовов с терминала, не известного сети.

Эту формулировку стоит оставить как есть. Лучшая доступная защита от отслеживания мобильных терминалов существует в техническом стандарте с 2019 года. Она держится на конфигурационном выборе, оставленном на усмотрение оператора. Американское федеральное агентство считает нужным опубликовать в 2026 году документ, напоминающий, что её следовало бы включить. И ни один европейский правовой инструмент её не предписывает.

Надо добавить, что SUCI не закрывает тему. Работы, представленные под названием 5G SUCI-catchers: still catching them all?, документируют атаки связывания, позволяющие вновь коррелировать сессии несмотря на шифрование, и защита падает полностью, если атакующий вынудит терминал перейти на предыдущее поколение. Правовая обязанность, стало быть, не решила бы всего. Она тем не менее устранила бы разрыв, у которого нет никакого защитимого оправдания: между тем, что позволяет стандарт, и тем, что делают коммерческие сети.

Три согласованных вмешательства

Если всерьёз принять мысль, что местоположение следует минимизировать на этапе проектирования, а не защищать задним числом, логически напрашиваются три меры.

Сделать обязательным действительное сокрытие идентификатора. Предписать включение SUCI и запретить нулевые схемы защиты в коммерческих сетях, кроме остаточного случая экстренных вызовов. Речь не о том, чтобы предписывать новую технологию или финансировать развёртывание, а о требовании включить функцию, стандартизованную семь лет назад и уже присутствующую в оборудовании.
Рассматривать хранение как исключение, а не как настройку по умолчанию. Позиция, необходимая для маршрутизации связи, должна стираться, как только эта функция выполнена. Формирование истории должно требовать особого обоснования. Это разница между сетью, которая знает, где вы находитесь, и сетью, которая помнит, где вы были.
Сделать владение ключом надлежащим критерием привязки. Размещение серверов в Союзе мало что значит, если ключи, делающие данные читаемыми, находятся в другом месте. Юридически значимым критерием должно быть действительное господство над средствами расшифрования, вопрос, который мы подробно рассмотрели в связи с конфликтом между Data Act и CLOUD Act.

Угол зрения, которого держится Arpokrat

Это рассуждение не свойственно одному лишь телекоммуникационному праву. Именно его мы применяем к собственным архитектурным решениям, и оно умещается в одну фразу: то, что не было произведено, не нуждается в защите.

Поэтому ArpokratOS удаляет GPS, Bluetooth и NFC на уровне ядра, а не отключает их в меню. Переключатель есть политика: его может обойти привилегированный компонент, снова включить обновление, проигнорировать скомпрометированная система. Удаление пути в коде снимает сам вопрос. Это перенос на масштаб устройства того же смещения, которого мы добиваемся на масштабе права: вмешиваться на этапе порождения, а не доступа.

Надо сразу сказать, чего это не делает. Ни одна операционная система не выводит терминал за пределы геометрии сети. Пока SIM-карта активна, оператор знает соту подключения, и полная маршрутизация трафика через Tor этого не меняет, поскольку она защищает содержание и назначение, а не радиоуровень. Именно поэтому тема является правовой. Существует категория рисков, которую не снижает никакая индивидуальная настройка и для которой единственной доступной переменной остаётся правило, применимое к оператору.

Та же забота управляет остальной нашей работой. Данные, которых не существует, нельзя ни истребовать, ни перепродать, ни выкрасть, ни расшифровать через десять лет машиной, которой сегодня ни у кого нет, вопрос, который мы разобрали под углом шифрования, собранного сейчас и взломанного позже.

Заключение

Публичная дискуссия о мобильной слежке сосредоточена почти исключительно на доступе: кто может просматривать данные, на каком основании, с каким разрешением. Эта дискуссия законна, и решения, вынесенные Судом ЕС с 2014 года, дали ощутимые результаты. Но она вступает в цепь слишком поздно.

Предшествующий и более определяющий вопрос состоит в том, должна ли история существовать вообще. База, созданная сегодня по законному основанию, остаётся доступной завтра для другого, и окружающие её гарантии зависят от последующих политических решений, которые в момент сбора никто не контролирует. Это ставка на устойчивость институтов, сделанная на срок, который никто не устанавливает.

5G многократно повысило разрешение этой информации без какой-либо нормативной адаптации. Одновременно оно показало, посредством механизма SUCI, что осуществимый путь состоит в отделении позиции от личности, а не в попытке зашифровать физическое свойство сети. Технический стандарт дал ответ за семь лет до того, как право задало вопрос.

Европейский текст о хранении данных пишется сейчас. Он будет касаться метаданных, а значит местоположения, а значит того, что 5G производит теперь с точностью, которой его составители не знали. Ограничится ли он упорядочением доступа к истории, принимаемой как данность, или же осмелится поставить под вопрос необходимость этой истории, вероятно, и есть важнейший вопрос приватности ближайших лет в Европе. И это вопрос, который технический сектор, на сей раз, уже решил в правильную сторону.

Источники

Суд Европейского Союза, Digital Rights Ireland, объединённые дела C-293/12 и C-594/12, 8 апреля 2014 года
Суд Европейского Союза, Tele2 Sverige и Watson, объединённые дела C-203/15 и C-698/15, большая палата, 21 декабря 2016 года
Суд Европейского Союза, La Quadrature du Net и другие, объединённые дела C-511/18, C-512/18 и C-520/18, большая палата, 6 октября 2020 года
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, март 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta и др., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act против CLOUD Act: кто на самом деле контролирует ваши данные в облаке?

Fri, 19 Jun 2026 00:00:00 +0000

На протяжении многих лет мир руководствовался простым допущением: у данных есть физическое место нахождения. Если они хранились на сервере в Дублине, на них распространялось ирландское и европейское право. Это допущение рухнуло в 2018 году, когда США приняли CLOUD Act — закон, предоставляющий американским властям доступ к данным, находящимся под контролем американских компаний, вне зависимости от того, где именно эти данные физически хранятся в мире. Несколько лет спустя Брюссель ответил собственным защитным механизмом: Data Act, ныне полностью вступивший в силу, который призван ограничить экстерриториальный доступ властей третьих стран к данным, хранящимся в Европейском союзе.

Ниже — что на самом деле предусматривают оба документа, где они вступают в прямое противоречие и почему единственной по-настоящему надёжной защитой в условиях этого конфликта остаётся техническая невозможность доступа.

Американский CLOUD Act: доступ, основанный на контроле, а не на местонахождении

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), принятый в марте 2018 года, внёс изменения в американское законодательство, добавив 18 U.S. Code § 2713. Этот раздел обязывает любого поставщика услуг электронной связи или удалённой вычислительной обработки данных сохранять, резервировать или раскрывать содержимое коммуникаций и любые относящиеся к ним записи, если эти данные находятся в его владении, хранении или под его контролем, независимо от того, находятся ли эти данные внутри или за пределами Соединённых Штатов.

Именно эта последняя оговорка меняет всё. Критерием становится не физическое местонахождение сервера, а контроль, который материнская компания осуществляет над своими дочерними структурами. Американская компания, эксплуатирующая центры обработки данных в Европе, остаётся обязанной исполнять американские запросы, даже если данные хранятся исключительно на европейской территории.

Европейский Data Act: правовой барьер против экстерриториального доступа

Регламент (ЕС) 2023/2854, известный как Data Act, вступил в силу 11 января 2024 года и применяется в полном объёме с 12 сентября 2025 года, причём отдельные положения вводятся поэтапно вплоть до 2026 и 2027 годов. Его статья 32 непосредственно регулирует вопрос международного государственного доступа к данным.

Документ устанавливает чёткое правило: любое решение или судебное постановление органа власти или административного органа третьей страны, обязывающее поставщика услуг обработки данных передать или предоставить доступ к неперсональным данным, хранящимся в Европейском союзе, признаётся и подлежит исполнению только при наличии международного соглашения — например, договора о взаимной правовой помощи (MLA), действующего между запрашивающей страной и Союзом либо между этой страной и соответствующим государством-членом.

При отсутствии такого соглашения статья 32 допускает второй путь, однако в строго ограниченных условиях: иностранное решение может быть исполнено лишь в том случае, если правовая система третьей страны требует, чтобы запрос был мотивирован, соразмерен и достаточно конкретен — например, устанавливал чёткую связь с определёнными лицами или конкретными правонарушениями, — а мотивированные возражения адресата могут быть рассмотрены компетентным судом этой третьей страны.

Прямое правовое столкновение

Проблема очевидна: CLOUD Act требует раскрытия данных на основании контроля материнской компании без каких-либо условий соразмерности, сопоставимых с требованиями европейского права. Data Act, напротив, обусловливает признание подобного запроса наличием международного соглашения или конкретных процессуальных гарантий. Американская компания, работающая в Европе и получившая от американских властей требование передать данные, хранящиеся в ЕС, оказывается зажатой между двумя взаимоисключающими правовыми обязательствами: выполнить американский ордер, нарушив право Союза, или соблюсти Data Act, рискуя столкнуться с последствиями отказа в США.

Это противоречие не является теоретическим. Оно уже задокументировано Судом справедливости Европейского союза (CJEU) в двух основополагающих решениях — Schrems I (2015) и Schrems II (2020). В решении по делу Schrems II CJEU констатировал, что американское наблюдение, осуществляемое в рамках Раздела 702 FISA (Foreign Intelligence Surveillance Act) и Исполнительного приказа 12333, не отвечает минимальным гарантиям, предусмотренным правом Союза в соответствии с принципом соразмерности, и потому не может считаться ограниченным тем, что строго необходимо. Суд также указал на отсутствие эффективных средств судебной защиты для затронутых лиц из ЕС, что нарушает статью 47 Хартии основных прав. Это решение аннулировало механизм Privacy Shield, ранее регулировавший трансатлантическую передачу данных между ЕС и США.

Структурный риск: Harvest Now, Decrypt Later

Помимо коллизии юрисдикций, данным, хранящимся в инфраструктурах, подпадающих под действие американского права, угрожает более коварная опасность — стратегия Harvest Now, Decrypt Later (HNDL). Её суть заключается в том, что спецслужба или враждебный государственный актор перехватывает и накапливает уже сегодня зашифрованные данные в ожидании достаточных квантовых вычислительных мощностей, которые позволят расшифровать их в будущем.

Эта стратегия превращает любую длительную зависимость от американской облачной инфраструктуры в отложенный долг безопасности: то, что сегодня является конфиденциальным, может стать читаемым через десять или пятнадцать лет — без каких-либо дополнительных действий со стороны атакующего, лишь с течением времени.

Почему только техническая невозможность является подлинной гарантией

Правовой анализ приводит к выводу, который разделяют многие эксперты в области комплаенса: сколь бы прочным ни был правовой каркас Data Act, он остаётся текстом, который геополитические расстановки сил и дипломатическое давление способны обходить, затягивать или переосмыслять. Единственная защита, не зависящая ни от каких будущих переговоров, — это техническая невозможность исполнения.

Архитектура zero knowledge, при которой поставщик услуг никогда не владеет и не хранит ключи дешифрования, делает любой запрос о выдаче данных фактически неисполнимым. Невозможно быть принуждённым передать то, чем ты никогда не владел.

Именно эта логика лежит в основе таких экосистем, как Arpokrat:

Юрисдикционная нейтрализация: инфраструктура размещена в Швейцарии, под действием Федерального закона о защите данных (LPD/FADP), за пределами прямого экстерриториального действия CLOUD Act
Отсутствие хранения: архитектура zero knowledge лишает поставщика какой-либо возможности передать ключи или содержимое, которыми он никогда не располагал
Сокращение идентификационного следа: отказ от обязательной регистрации по номеру телефона или адресу электронной почты — идентификаторов, которые слежка на основе Раздела 702 FISA легко отслеживает, — превращает пользователя из идентифицируемого абонента в анонимный криптографический ключ

Цепочка хранения не заканчивается шифрованием сообщений

Аспект, который нередко недооценивается в комплаенс-анализе: недостаточно шифровать содержимое коммуникаций, если лежащая в основе операционная система — будь то Android или iOS — продолжает собирать метаданные или телеметрию на уровне ядра, направляя их на серверы, находящиеся в американской юрисдикции. Защита конфиденциальности требует полного закрытия всей цепочки хранения — от содержимого до самой аппаратной инфраструктуры.

Именно поэтому цифровой суверенитет предполагает и осмысленный выбор операционной системы, а не только мессенджеров. Разгуглённые системы, в которых такие модули, как Bluetooth или геолокация GNSS, могут быть отключены непосредственно на уровне ядра, устраняют физические векторы атаки, которые никакое прикладное шифрование не способно компенсировать.

Постквантовая криптография: горизонт, который уже наступает

Перед лицом угрозы, которую представляет стратегия HNDL, принятие стандартов постквантовой криптографии (PQC) становится необходимостью для всех, кто стремится обеспечить долгосрочную конфиденциальность чувствительных данных — будь то коммерческая тайна, деловая переписка или медицинские данные. Шифрование, признанное сегодня надёжным по классическим стандартам, не гарантирует устойчивости к квантовым вычислительным возможностям, которые ожидаются в ближайшие пятнадцать лет.

Противостояние Data Act и CLOUD Act отражает более глубокую реальность: цифровой суверенитет больше нельзя выстраивать исключительно на законодательных текстах, сколь бы прочными они ни были. Он требует закрытия всей цепочки хранения на каждом уровне — от протокола шифрования до юрисдикции размещения, включая саму операционную систему. Именно этот многоуровневый подход, а не доверие, опирающееся на единственную нормативную базу, определяет сегодня подлинный цифровой суверенитет по замыслу.

Конец конфиденциальности? Бэкдоры, Online Safety Act и ответ суверенных экосистем

Wed, 10 Jun 2026 00:00:00 +0000

Лондон стал эпицентром глобальной битвы за будущее цифровой конфиденциальности. С принятием закона Online Safety Act 2023 (OSA) и недавними предложениями по пересмотру закона Investigatory Powers Act (IPA) — прозванного его критиками «Хартией шпионов» —, британское правительство присваивает себе право навязывать обязательства по слежке в самом сердце частных коммуникаций. Переломным моментом стала власть, предоставленная регулятору OFCOM, требовать от платформ внедрения «аккредитованной технологии» для обнаружения материалов, содержащих сексуальное насилие над детьми (CSEA), или терроризма, в том числе внутри коммуникаций со сквозным шифрованием.

Для крупных цифровых платформ послание Вестминстера недвусмысленно: либо они способствуют доступу государства к своим инфраструктурам, либо сталкиваются со штрафами в размере до 10% от их мирового дохода. Реакция последовала незамедлительно: такие сервисы, как Signal и WhatsApp, публично пригрозили уйти с британского рынка, отказавшись ставить под угрозу безопасность своих пользователей ради удовлетворения одной единственной юрисдикции. Технический аргумент трудно оспорить: не существует мастер-ключа, зарезервированного только для легитимных субъектов. Открытая дверь для правоохранительных органов по своей конструкции является открытой дверью для киберпреступников и иностранных спецслужб.

Бизнес-модель крупных платформ: структурное препятствие для Zero-Knowledge

Сопротивление крупных платформ внедрению шифрования типа Zero-Knowledge объясняется не технической неспособностью, а фундаментальной экономической несовместимостью. Компании вроде Alphabet и Meta опираются на модели монетизации, основанные на систематическом сборе поведенческих данных. Эта модель, кстати, неявно признается Законом о цифровых рынках (DMA) Европейского Союза, который классифицирует этих «привратников» (gatekeepers) как организации, чье доминирующее положение подпитывается именно накоплением данных в беспрецедентных масштабах. Для этих игроков внедрение архитектуры Zero-Knowledge означало бы лишение их рекламных систем непрерывной идентификации пользователей, которая является их топливом. Таким образом, это не технический выбор, а компромисс между конфиденциальностью пользователей и жизнеспособностью их бизнес-модели.

Стратегический риск: угроза «Harvest Now, Decrypt Later»

Помимо дебатов о конфиденциальности, ослабление шифрования поднимает вопрос национальной безопасности совершенно иного масштаба. Стратегия, известная как Harvest Now, Decrypt Later (HNDL), заключается в том, что государственные противники уже сегодня перехватывают и хранят огромные объемы зашифрованных сообщений в ожидании будущих возможностей квантовой расшифровки. Ослабляя текущие стандарты шифрования, британская законодательная база объективно способствует проведению операций такого типа против правительственных, дипломатических или промышленных коммуникаций.

Именно в этом контексте дефицита доверия экосистемы, подобные Arpokrat, приобретают эксплуатационную значимость. Работая в рамках Федерального закона Швейцарии о защите данных (FADP), с архитектурой, которая не собирает никаких гражданских идентификаторов, Arpokrat предлагает технический разрыв с инфраструктурами, подпадающими под британскую юрисдикцию — гарантируя, что система остается глухой к предписаниям, предусмотренным OSA.

Конфликт норм: OSA и IPA против европейского права

Юридический анализ новых прерогатив британского государства выявляет прямое столкновение с основами европейского права в отношении защиты данных и конфиденциальности связи.

OSA против запрета на всеобщую слежку

Статья 121 OSA вводит для OFCOM возможность издавать предписания, принуждающие платформы внедрять сканирование на стороне клиента (client-side scanning). Эта мера прямо противоречит принципу, вытекающему из европейского права и включенному в судебную практику Суда Европейского Союза (CJEU), который запрещает общие обязательства по слежке. Навязывая «уязвимость по дизайну» (vulnerability by design), это также ставит компании в ситуацию двойного принуждения: ослабляя свою безопасность для выполнения государственного мандата, они не выполняют свое обязательство по обеспечению уровня безопасности, соответствующего обработке, как это закреплено в статье 32 GDPR.

Директива ePrivacy и конфиденциальность коммуникаций

Сканирование личных сообщений прямо противоречит статье 5, абзац 1 Директивы 2002/58/EC (ePrivacy), которая обязывает государства-члены гарантировать конфиденциальность электронных коммуникаций и запрещает любые формы перехвата или слежки без явного согласия соответствующих пользователей.

Technical Capability Notices и блокировка обновлений безопасности

В рамках режима IPA 2016 британское правительство теперь намерено использовать уведомления о технических возможностях (Technical Capability Notices - TCN) для блокировки обновлений безопасности до их развертывания. Этот механизм создает неразрешимый конфликт с обязательством, установленным статьей 32 GDPR, по обеспечению непрерывной безопасности систем обработки — обязательством, которое требует именно способности применять исправления (patches) без промедления или внешнего вмешательства.

Риски комплаенса для компаний, работающих в Европе

Пересмотры IPA направлены на то, чтобы заставить компании уведомлять британское правительство о любых технических изменениях, влияющих на безопасность, до их внедрения, предоставляя ему таким образом право вето на разработку продуктов. Это вмешательство создает значительную правовую нестабильность для поставщиков, работающих на европейском рынке: соответствие Великобритании европейскому праву — и без того хрупкое — может быть поставлено под сомнение, если Великобритания больше не будет гарантировать защиту, по существу эквивалентную защите GDPR. Следовательно, передача данных в Великобританию в этих новых рамках, вероятно, подвергнет компании санкциям в соответствии с GDPR.

Защита через техническую невозможность: принцип Zero-Knowledge как правовой щит

Международная судебная практика, консолидированная решениями Schrems I и Schrems II Суда ЕС, установила определяющий принцип: единственной надежной защитой от непропорциональной слежки является техническая невозможность доступа к данным. Архитектуры Zero-Knowledge применяют этот принцип в трех уровнях защиты:

Отсутствие хранения: поскольку платформа не хранит ключи расшифровки, любое предписание сканировать сообщения технически невыполнимо;
Суверенитет операционной системы: контроль над ArpokratOS устраняет телеметрию, которая питает сбор разведданных на уровне устройства;
Швейцарская юрисдикционная привязка: размещая свою инфраструктуру в Швейцарии, Arpokrat работает в правовом режиме, требующем индивидуализированных и мотивированных запросов о взаимной правовой помощи, нейтрализуя автоматизированное выполнение массовых сканирований, предусмотренных OSA.

Заключение

Положения OSA и пересмотры IPA представляют собой угрозу не только для конфиденциальности частных лиц: они представляют собой нарушение правовой определенности для всех европейских данных, проходящих через инфраструктуры, подпадающие под британскую юрисдикцию. Узаконивая ослабление шифрования во имя общественной безопасности, Лондон парадоксальным образом подвергает своих союзников и торговых партнеров рискам промышленного и государственного шпионажа, которые архитектуры Zero-Knowledge как раз и призваны предотвращать.

Целостность профессиональных и институциональных коммуникаций теперь требует структурного ответа: перехода к децентрализованным экосистемам, гарантирующим цифровой суверенитет, от уровня кода до юрисдикционной привязки.

Бомба замедленного действия: Собери сейчас, расшифруй позже и императив Zero-Knowledge

Tue, 26 May 2026 00:00:00 +0000

Зависимость европейских правительств от американской облачной инфраструктуры представляет собой нечто большее, чем просто проблему немедленного перехвата. Самая разрушительная угроза на ближайшие десятилетия — это стратегия HNDL: «Harvest Now, Decrypt Later».

Это не лобовое вторжение, а тихая кража. Спецслужбы сегодня перехватывают и хранят огромные объемы зашифрованных данных просто потому, что стоимость хранения стала ничтожной.

Они терпеливо ждут момента, когда технологические скачки сделают современные криптографические ключи устаревшими. Государственная тайна, защищенная в 2026 году, может стать открытой книгой через пятнадцать лет.

Обратная ответственность и временной риск

Модель HNDL вводит новое понятие: отложенный правовой ущерб. При массовом сборе данных для будущего расшифрования конфиденциальность становится переменной, зависящей от времени.

Научная модель HNDL определяет, что конфиденциальность неизбежно нарушается, когда требуемый срок жизни секрета превышает горизонт расшифрования противника.

Если государство не гарантирует абсолютный суверенитет своей аппаратной инфраструктуры, оно на практике подписывает отказ от долгосрочной конфиденциальности для своих граждан.

Сегодняшний перехват — это завтрашний взлом. Превращение зависимости от облака в долг национальной безопасности — это авантюра, за которую невозможно расплатиться.

Антитеза Arpokrat: Юридическая невозможность через код

В ответ на эту уязвимость индустрия создает радикальные экосистемы цифрового суверенитета. Модель Arpokrat работает в децентрализованной сети, защищенной строгим Швейцарским законом о защите данных (FADP).

Центральная логика — это абсолютный Privacy by Design. При устранении необходимости в номере телефона пользователь становится простым криптографическим ключом.

Юридически, если архитектура фундаментально Zero-Knowledge, компания сталкивается с технической невозможностью выполнить иностранные ордера.

Это математическая и юридическая защита: то, чего у вас нет, не может быть раскрыто.

За пределами шифрования: Обесценивание целевых данных

Истинный ответ в приложении Arpokrat состоит не в том, чтобы делать ставку на вечную математику, а в том, чтобы обесценить сами данные.

Без централизованных метаданных, связывающих сообщение с физическим лицом, зашифрованный контент теряет свою стратегическую ценность.

Однако одно только программное обеспечение ничего не может сделать, если аппаратное обеспечение его предает.

Безопасность в XXI веке требует независимости самой машины. Развертывание суверенной ОС без Google стало абсолютным условием выживания для всех, кто работает с государственными тайнами.