Мобильные сети on Arpokrat

Двухфакторная аутентификация по SMS больше ничего не защищает: чем её заменить

Tue, 08 Sep 2026 00:00:00 +0000

9 января 2024 года официальный аккаунт в X Комиссии по ценным бумагам и биржам США (SEC), регулятора финансовых рынков, объявил об одобрении биткоин-ETF, решении, которого рынок ждал месяцами. За считаные минуты биткоин прибавил более 1000 долларов за единицу. Затем SEC опровергла: аккаунт был взломан. Курс упал более чем на 2000 долларов.

Поучительна в этой истории не величина рыночного движения, а банальность использованного средства. Согласно сообщению Министерства юстиции США, 26-летний Эрик Каунсил-младший распечатал поддельное удостоверение личности на портативном принтере карт, пришёл в салон AT&T и убедил сотрудника перенести привязанный к аккаунту номер телефона на SIM-карту, которую контролировал. Он получил по SMS коды сброса пароля и передал их сообщникам. 16 мая 2025 года его приговорили к 14 месяцам тюрьмы.

Требуется одно уточнение, которое меняет прочтение случая, не ослабляя его урока. Согласно официальному заявлению SEC, многофакторная аутентификация на этом аккаунте была отключена в июле 2023 года по просьбе самой команды. Значит, SMS на момент событий служила не вторым фактором, а каналом восстановления доступа. И именно это делает пример полезным: второй фактор или запасной вход, номер телефона остаётся тем местом, где цепь рвётся.

Что должен гарантировать второй фактор

Принцип умещается в одну фразу. Один только пароль это то, что вы знаете; к нему добавляется то, что у вас есть (телефон, физический ключ) или то, чем вы являетесь (отпечаток пальца). Тот, кто украл ваш пароль из утечки, не получает тем самым ваш физический предмет.

Рассуждение опирается на редко проговариваемое допущение: что второй фактор действительно привязан к предмету в вашем владении и что его предъявление что-то доказывает о том, где вы входите в систему. SMS не выдерживает ни того, ни другого.

SMS не является фактором владения

Получение кода по SMS не доказывает, что вы владеете устройством, а лишь что номер телефона, выданный оператором и изменяемый тем же оператором, указывает на некий аппарат. Это не одно и то же. Этот разрыв используют три вектора, и устраняются они по-разному.

Подмена SIM-карты

Это атака из дела SEC, и она не опирается ни на какую техническую уязвимость. Злоумышленник собирает личные данные о цели, часто уже доступные из публичных утечек, а затем обращается к оператору, выдавая себя за неё: телефон потерян, прошу перенести номер на новую SIM-карту. Если он убедителен или если сотрудник в сговоре, номер меняет владельца и все SMS приходят к нему. Годовой отчёт IC3 за 2024 год, центра приёма жалоб ФБР, фиксирует только за этот год 982 обращения по поводу подмены SIM-карты и около 26 миллионов долларов заявленных потерь, учитывая лишь тех пострадавших, кто подал заявление. Никакое обновление программного обеспечения этот вектор не закрывает: он нацелен не на программу, а на человеческий бизнес-процесс.

Перехват через SS7

Signaling System 7 это протокол, благодаря которому телефонные сети всего мира общаются между собой: маршрутизируют вызов, обслуживают роуминг, доставляют SMS от одного оператора другому. Он был спроектирован в 1975 году, когда клуб операторов был закрытым, немногочисленным, и каждый считал остальных заслуживающими доверия по самой конструкции. Поэтому он не содержит никакой встроенной аутентификации между сетями: запрос, выглядящий законным, обрабатывается как законный.

Это не теоретическая слабость. В декабре 2014 года немецкие исследователи Тобиас Энгель и Карстен Нол публично продемонстрировали её на Chaos Communication Congress: определение местоположения абонента и перехват его SMS по одному лишь номеру телефона. В 2017 году подтвердилась реальная эксплуатация: немецкий оператор O2-Telefónica признал, что у ряда клиентов опустошили банковские счета после того, как злоумышленники получили доступ к сети зарубежного оператора и настроили переадресацию SMS, чтобы перехватывать банковские коды подтверждения.

Фишинг в реальном времени

Третий вектор самый важный, поскольку он не зависит ни от какой телекоммуникационной уязвимости и переживает всё, что можно было бы исправить в двух предыдущих.

Поддельный сайт в точности повторяет страницу входа сервиса. Вы вводите там логин и пароль, которые поддельный сайт немедленно передаёт настоящему, а тот отправляет SMS на ваш телефон. SMS действительно доходит до вас, и она подлинная. Вы вводите код на поддельном сайте, который, в свою очередь, передаёт его за несколько секунд. Сессия открывается, и держит её злоумышленник.

Это называется атакой adversary-in-the-middle. Она поставлена на поток: инструменты вроде Evilginx, обратного прокси, появившегося в 2017 году, или наборы, продаваемые по месячной подписке, делают её доступной без каких-либо особых навыков. К тому же крадут не только код, но и cookie сессии, который затем позволяет оставаться в системе, не проходя больше никакой аутентификации.

Вопрос архитектурный. Код, отправленный по SMS, не содержит никакой информации о сайте, который его запросил. Поэтому он не способен отличить настоящий от поддельного: он действителен везде, где его введут.

Это уже не мнение, это официальная позиция

Самый весомый аргумент против SMS исходит не от поставщиков решений, а от институтов, которые пишут стандарты.

В июле 2025 года американский NIST опубликовал окончательную версию SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. Текст создаёт явную категорию ограниченных аутентификаторов, предназначенную для механизмов, чья способность сопротивляться атакам ухудшилась с развитием угроз. Раздел 3.1.3.3 относит туда использование коммутируемой телефонной сети, то есть коды, отправляемые по SMS или голосовым вызовом: «Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.» На практике сервис, который всё ещё к этому прибегает, обязан предложить неограниченную альтернативу, уведомить пользователей о риске и располагать планом миграции.

В декабре 2024 года CISA, американское агентство кибербезопасности, опубликовало своё руководство Mobile Communications Best Practice Guidance после шпионской кампании Salt Typhoon, в ходе которой связанные с китайским государством акторы проникли к нескольким американским телеком-операторам. Формулировка не оставляет пространства для толкования: «Do not use SMS as a second factor for authentication. SMS messages are not encrypted», и далее, без обиняков: «Only FIDO authentication is phishing-resistant.» Документ прямо рекомендует аппаратные ключи FIDO, называя Yubico и Google Titan, и уточняет, что после включения FIDO следует отключить SMS, иначе она остаётся пригодным для эксплуатации запасным механизмом.

Приложения-аутентификаторы: реальный прогресс, частичное решение

Приложения типа TOTP, от Time-based One-Time Password, генерируют шестизначный код, меняющийся каждые тридцать секунд и вычисляемый локально из общего секрета, разделённого при активации, и текущего времени. По телефонной сети не проходит ничего.

Выигрыш немедленный: подмена SIM-карты теряет смысл, поскольку номер больше не участвует, перехват через SS7 тоже, поскольку никакое сообщение не передаётся. Переход на приложение-аутентификатор стоит выполнить на любом аккаунте, который не может пойти дальше.

Но третий вектор остаётся нетронутым. Код TOTP, введённый на поддельном сайте, передаётся настоящему точно так же, как код из SMS. Приложение не знает, где вы входите: оно показывает число, и это число действительно для любого, кто предъявит его в своём тридцатисекундном окне. CISA говорит то же самое: коды из аутентификатора лучше SMS, но остаются уязвимыми к фишингу.

TOTP это честный промежуточный этап, а не конечная точка.

Почему ключ FIDO2 меняет саму природу проблемы

Аппаратный ключ FIDO2/WebAuthn не просто усложняет атаку, он лишает её механической возможности.

При регистрации в сервисе ключ генерирует криптографическую пару, предназначенную именно этому сервису. Открытая часть уходит сервису, закрытая никогда не покидает чип и не поддаётся ни экспорту, ни чтению. Никакого общего секрета, который можно было бы скопировать, никакого шестизначного кода для перехвата.

Затем наступает решающий механизм, привязка к origin. В момент входа браузер передаёт ключу настоящее доменное имя отображаемой страницы. Эта информация входит в подписываемые данные, и браузер её навязывает: JavaScript страницы не может ни изменить её, ни подделать.

Ключ FIDO2 не делает фишинг более сложным для успеха. Он делает результат фишинга непригодным.

Вернёмся к атаке adversary-in-the-middle, на этот раз с ключом. Поддельный сайт безупречен, жертва ничего не замечает и прикасается к ключу. Браузер передаёт настоящий домен страницы, то есть мошеннический. Ключ обнаруживает, что для этого домена пары не существует, либо подписывает для него, создавая подпись, которую настоящий сервис отвергнет. В обоих случаях злоумышленник не получает ничего пригодного.

Вот в чём различие по природе. С SMS или TOTP безопасность в конечном счёте опирается на бдительность пользователя, на его способность заметить поддельный домен в адресной строке в тот момент, когда он спешит, а страница выглядит обычно. С FIDO2 эту проверку выполняет машина, каждый раз, не завися ни от чьего внимания. Именно этот перенос ответственности важнее криптографической стойкости.

Эффект измерим. Google сделал ключи обязательными для сотрудников в начале 2017 года и заявил в 2018-м, что не зафиксировал ни одной компрометации аккаунта среди более чем 85 000 человек.

Настоящие пределы аппаратных ключей

Представлять их совершенными было бы нечестно и бесполезно для подготовки действительно значимых решений.

Стоимость существует. Считайте от 25 до 60 евро в зависимости от модели, больше за биометрические версии, и умножьте на два.

Потеря ключа это настоящий риск. Единственный ключ на критическом аккаунте это конструктивная ошибка. На каждом важном аккаунте нужны два зарегистрированных, один из которых хранится в другом месте, у близкого человека или в сейфе. Второй это не удобство, это то, что позволяет пользоваться первым без опасений.

Покрытие неполное. Многие сервисы, особенно банковские в Европе, пока не поддерживают FIDO2, отсюда приведённая ниже очерёдность.

Ключ могут украсть. Отсюда необходимость задать PIN-код на ключе или выбрать модель со сканером отпечатка: без этого самого предмета достаточно тому, кто его подберёт.

Запасной путь остаётся слабым звеном. Включить FIDO2, не отключив SMS, не защищает ни от чего: злоумышленник просто пойдёт дорогой, которая осталась открытой. Миграция завершена лишь тогда, когда старый механизм удалён из аккаунта, включая опции восстановления.

Что до оборудования, линейка YubiKey покрывает самый широкий спектр протоколов, ключи Google Titan дешевле и ограничиваются FIDO, Nitrokey и SoloKeys предлагают альтернативы с открытой и проверяемой прошивкой, а Token2 выпускает модели со встроенной клавиатурой, где PIN вводится на самом ключе, а не на клавиатуре компьютера. Среди сертифицированных по FIDO2 ключей плохого выбора нет: протокол один и тот же, различаются лишь побочные применения.

С чего начать, когда нельзя изменить всё

Порядок миграции не дело вкуса, он вытекает из зависимостей между вашими аккаунтами.

Сначала основная почта. Она получает ссылки для сброса почти всего остального. Злоумышленник, который её контролирует, забирает остальные аккаунты один за другим, не атакуя ни один из них напрямую. Ничто не заслуживает быть защищённым раньше неё.
Менеджер паролей. Он сосредоточивает первый фактор всех ваших доступов, поэтому его защита должна быть равна защите наиболее защищённого аккаунта, который он содержит. Это подходящий момент проверить качество мастер-пароля, тема подробно разобрана в нашей статье об энтропии и науке, стоящей за вашей безопасностью.
Финансовые аккаунты и криптоплатформы. Цели с немедленной ценностью, где компрометация за несколько минут превращается в необратимую потерю.
Соцсети с аудиторией. Дело SEC показывает, чего стоит слово аккаунта, за которым следят, и ущерб не всегда падает на его владельца.
Остальное может подождать, с приложением TOTP вместо SMS. Форум или стриминговый сервис не оправдывают тех же усилий.

Для аккаунтов, которые пока не поддерживают FIDO2: переходить на TOTP везде, где это возможно, и попросить оператора заблокировать перенос вашего номера, у большинства это бесплатная опция.

Что это говорит о подходе Arpokrat

Этот материал описывает проблему, которая существует лишь потому, что в центр системы поставили идентификатор. Номер телефона никогда не задумывался как доказательство личности: он стал хребтом онлайн-аутентификации по привычке, и все три описанные выше атаки эксплуатируют именно это отклонение от назначения.

Именно такое рассуждение легло в основу протокола Arpokrat Messenger: ни номера телефона, ни адреса электронной почты, ни аккаунта. Пользователь существует как набор криптографических ключей, хранящихся на его собственном устройстве, а знакомство происходит через одноразовые ссылки-приглашения. Логика та же, что у FIDO2, только уровнем выше: то, чем не владеет третья сторона, у неё нельзя выманить ни социальной инженерией против оператора, ни требованием органов. Эту согласованность с архитектурой Zero-Knowledge мы развиваем в статье о собрать сейчас, расшифровать позже.

Аппаратный ключ, который подписывает, ни разу не раскрывая свой секрет, это, кстати, и принцип работы офлайнового криптокошелька, описанный в нашем полном руководстве по cold wallet: держать секретную часть в отдельном предмете и выпускать наружу только подпись.

Заключение

Двухфакторная аутентификация по SMS не была плохо задумана. Когда она распространилась в начале 2010-х, это был существенный шаг вперёд по сравнению с одним паролем, и у неё было единственное качество, которое имеет значение в масштабе: телефон уже был у всех.

Проблема не в изобретении, а в выживании. Демонстрации SS7 датируются 2014 годом, реальная банковская эксплуатация 2017-м, индустриализация фишинга в реальном времени концом того же десятилетия. CISA написала не использовать её в 2024 году, NIST формализовал ограничение в 2025-м. Около десяти лет отделяют момент, когда уязвимости стали пригодны для массовой эксплуатации, от момента, когда институты изложили это на бумаге. А SMS остаётся вторым фактором по умолчанию в большинстве сервисов для широкой публики.

Именно этот разрыв и есть подлинная информация данного материала. Механизмы безопасности исчезают не тогда, когда перестают работать, а тогда, когда им на смену приходит нечто столь же простое, и это занимает гораздо больше времени. Вопрос, следовательно, не в том, стоит ли вам отказаться от SMS, это решено уже годы назад. Вопрос в том, какие другие средства защиты, которые вы считаете само собой разумеющимися, уже находятся, хотя никто этого ещё не написал, в том же положении.

Источники

Министерство юстиции США, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 мая 2025
Securities and Exchange Commission, SECGov X Account, официальное заявление от 22 января 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, окончательная версия, июль 2025
CISA, Mobile Communications Best Practice Guidance, 18 декабря 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, демонстрация Тобиаса Энгеля и Карстена Нола, декабрь 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, май 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, июль 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, спецификация WebAuthn

5G, геолокация и ошибка прицела в праве

Tue, 18 Aug 2026 00:00:00 +0000

В 2011 году полиция Детройта запросила у мобильного оператора историю подключений телефона Тимоти Карпентера к базовым станциям. Она получила 12 898 точек местоположения за 127 дней, около сотни в сутки. Семь лет спустя Верховный суд Соединённых Штатов признал, что такой запрос представляет собой обыск и требует ордера.

Эти 12 898 точек приходили с антенн четвёртого поколения, каждая из которых покрывала радиус в несколько километров. Тот же запрос, направленный сегодня в городскую сеть 5G, вернул бы не сотню точек в сутки с погрешностью в несколько километров. Он вернул бы гораздо больший объём с погрешностью в несколько десятков метров.

Технология сменила масштаб. Юридическое рассуждение осталось на том же месте цепи.

Правовое благо, которое судьи признают по обе стороны Атлантики

Существует интерес, который признают почти все и который почти ни один акт не защищает действенно: право находиться где-то без того, чтобы этот факт фиксировался.

Европейская судебная практика установила это недвусмысленно. В деле Digital Rights Ireland (объединённые дела C-293/12 и C-594/12, 8 апреля 2014 года), а затем в деле Tele2 Sverige и Watson (объединённые дела C-203/15 и C-698/15, большая палата, 21 декабря 2016 года) Суд Европейского Союза постановил, что эти данные, взятые в совокупности, позволяют делать очень точные выводы о частной жизни лиц: привычки повседневной жизни, места пребывания, перемещения, осуществляемая деятельность и социальные связи.

Верховный суд Соединённых Штатов пришёл к близкому выводу в деле Carpenter v. United States, 585 U.S. 296 (2018). Он подчеркнул момент, который американская доктрина много комментировала: неотвратимый и автоматический характер этого сбора. Никто не соглашается быть подключённым к антенне: человек подключён потому, что у него есть включённый телефон.

Итак, правовое благо существует, и его признают два суда, которые в этой области имеют вес. Проблема в другом.

Что 5G изменило на самом деле

Распространённая путаница состоит в том, что местоположение рассматривают как данные, которые телефон передаёт, наравне с сообщением или фотографией. Это не так. Местоположение есть физическое следствие работы сети. Оператор знает, к какой антенне подключено устройство, потому что обязан это знать, чтобы маршрутизировать вызов. Не существует ключа, которым можно было бы зашифровать эту информацию, поскольку речь идёт не о содержании, а о свойстве самого соединения.

Именно это делает 5G значимым в правовой плоскости, а не в технической.

Прежние архитектуры опирались на широкие соты. Антенна 4G обычно обслуживает радиус в несколько километров, и позиция, выведенная из одного лишь подключения, измерялась сотнями метров в городе, иногда десятками километров в сельской местности. 5G опирается на массовое уплотнение: городские соты покрывают обычно несколько сотен метров, а инженерная литература оперирует плотностями порядка сорока-пятидесяти базовых станций на квадратный километр против четырёх-пяти во времена 3G.

Следствие механическое. Согласно белой книге Ericsson о позиционировании в 5G, инфраструктура, развёрнутая исключительно ради связи, достигает точности от двадцати до пятидесяти метров на улице и от одного до трёх метров в помещении, а при благоприятных городских условиях опускается ниже метра. Речь не о где-то включённой функции геолокации, а о том, что сеть знает по самому своему устройству, без единого установленного приложения и без единого выданного разрешения. Все эти механизмы, а также контрмеры, которые действительно работают, мы подробно разобрали в статье о постоянной геолокации телефона.

Таким образом, вторжение выросло на несколько порядков. Применимая правовая рамка остаётся той, что была задумана для 2G и 3G. Никакой нормативной адаптации эта смена масштаба не сопровождала.

Право защищает доступ, а не порождение

Европейское право тщательно регулирует, кто может получить доступ к данным о местоположении, на каких условиях и под каким контролем. Директива 2002/58/ЕС закрепляет принцип конфиденциальности коммуникаций, а Суд ЕС постановил в деле La Quadrature du Net (объединённые дела C-511/18, C-512/18 и C-520/18, большая палата, 6 октября 2020 года), что статья 15(1) этой директивы, толкуемая в свете статей 7, 8, 11 и 52(1) Хартии, не допускает всеобщего и недифференцированного хранения данных о трафике и местоположении в превентивных целях. Суд, однако, допустил очерченные отступления, когда государство-член сталкивается с серьёзной угрозой национальной безопасности, оказывающейся реальной и наличной или предсказуемой, при условии действенного контроля.

Это настоящие гарантии, и было бы нелепо их принижать. Но все они вступают в дело задним числом. Они предполагают, что данные существуют, что они хранятся, и лишь затем упорядочивают условия их использования.

Между тем если местоположение есть неизбежный побочный продукт работы сети, то уместной точкой вмешательства является не конфиденциальность. Это срок хранения.

Мгновенная позиция, необходимая для маршрутизации связи и стёртая сразу после, не является инструментом слежки. История позиций, хранимая месяцами, им является, какими бы гарантиями доступа она ни была окружена.

Различие между ними не юридическое, а архитектурное. И европейский календарь делает вопрос неотложным, а не теоретическим. Комиссия отозвала проект регламента ePrivacy в 2025 году из-за отсутствия согласия между созаконодателями. С тех пор она работает над отдельным инструментом о хранении данных для целей уголовного производства, объявленным на 2026 год и призванным гармонизировать национальные режимы, ставшие разнородными после отмены директивы 2006 года. Иначе говоря, текст, который на десятилетие определит режим метаданных о местоположении, пишется прямо сейчас, на основе рассуждения, задуманного во времена километровых сот.

Прецедент, который 5G создало само

Самое интересное в этом деле то, что верный ответ уже содержится в техническом стандарте, но применён к другому объекту.

Вплоть до 4G постоянный идентификатор абонента, IMSI, передавался открытым текстом по радиоинтерфейсу при подключении. Именно это сделало возможными IMSI-кэтчеры, те поддельные базовые станции, которые, согласно эталонному описанию Electronic Frontier Foundation, излучают мощнее легитимных антенн, чтобы притягивать терминалы и перехватывать их идентификатор.

Начиная с Release 15 спецификаций 3GPP, опубликованного в 2019 году, 5G даёт изящный ответ. Постоянный идентификатор, ныне называемый SUPI, может быть заменён на радиоинтерфейсе на SUCI, скрытый идентификатор, полученный шифрованием абонентской части средствами криптографии на эллиптических кривых с использованием открытого ключа домашнего оператора. Расшифровать его может только домашняя сеть, владеющая соответствующим закрытым ключом. Результат уникален при каждом вычислении, что препятствует корреляции между сессиями.

Принятая логика заслуживает быть подчёркнутой, потому что она ровно та, которой следовало бы руководствоваться законодателю: шифруют не позицию, что было бы технически невозможно, шифруют личность. Позиция, лишённая привязываемой личности, имеет весьма ограниченную ценность для индивидуализированной слежки.

Изъян: защита факультативна

Существует, однако, значительная оговорка, и это, на наш взгляд, самая конкретная точка вмешательства во всём деле.

Белая книга NIST CSWP 36A, опубликованная в марте 2026 года National Institute of Standards and Technology, говорит об этом без обиняков. Терминалы и сетевые функции, соответствующие Release 15 или более позднему, обязаны поддерживать SUCI, но его включение остаётся факультативным для оператора. Должны совпасть три условия: производитель оборудования должен его поддерживать, оператор должен включить его в своей сети, а SIM-карта должна нести элементы, необходимые для вычисления.

К этому добавляется конфигурационная ловушка. Стандарт предусматривает нулевую схему защиты, при которой формат SUCI формально применяется, но без действительного шифрования, так что идентификатор идёт открытым текстом. NIST пишет, что оператору необходимо настроить свою сеть с ненулевой схемой защиты, и напоминает, что доклад CSRIC, консультативного органа Federal Communications Commission, ещё в 2021 году рекомендовал оставить нулевую схему исключительно для экстренных вызовов с терминала, не известного сети.

Эту формулировку стоит оставить как есть. Лучшая доступная защита от отслеживания мобильных терминалов существует в техническом стандарте с 2019 года. Она держится на конфигурационном выборе, оставленном на усмотрение оператора. Американское федеральное агентство считает нужным опубликовать в 2026 году документ, напоминающий, что её следовало бы включить. И ни один европейский правовой инструмент её не предписывает.

Надо добавить, что SUCI не закрывает тему. Работы, представленные под названием 5G SUCI-catchers: still catching them all?, документируют атаки связывания, позволяющие вновь коррелировать сессии несмотря на шифрование, и защита падает полностью, если атакующий вынудит терминал перейти на предыдущее поколение. Правовая обязанность, стало быть, не решила бы всего. Она тем не менее устранила бы разрыв, у которого нет никакого защитимого оправдания: между тем, что позволяет стандарт, и тем, что делают коммерческие сети.

Три согласованных вмешательства

Если всерьёз принять мысль, что местоположение следует минимизировать на этапе проектирования, а не защищать задним числом, логически напрашиваются три меры.

Сделать обязательным действительное сокрытие идентификатора. Предписать включение SUCI и запретить нулевые схемы защиты в коммерческих сетях, кроме остаточного случая экстренных вызовов. Речь не о том, чтобы предписывать новую технологию или финансировать развёртывание, а о требовании включить функцию, стандартизованную семь лет назад и уже присутствующую в оборудовании.
Рассматривать хранение как исключение, а не как настройку по умолчанию. Позиция, необходимая для маршрутизации связи, должна стираться, как только эта функция выполнена. Формирование истории должно требовать особого обоснования. Это разница между сетью, которая знает, где вы находитесь, и сетью, которая помнит, где вы были.
Сделать владение ключом надлежащим критерием привязки. Размещение серверов в Союзе мало что значит, если ключи, делающие данные читаемыми, находятся в другом месте. Юридически значимым критерием должно быть действительное господство над средствами расшифрования, вопрос, который мы подробно рассмотрели в связи с конфликтом между Data Act и CLOUD Act.

Угол зрения, которого держится Arpokrat

Это рассуждение не свойственно одному лишь телекоммуникационному праву. Именно его мы применяем к собственным архитектурным решениям, и оно умещается в одну фразу: то, что не было произведено, не нуждается в защите.

Поэтому ArpokratOS удаляет GPS, Bluetooth и NFC на уровне ядра, а не отключает их в меню. Переключатель есть политика: его может обойти привилегированный компонент, снова включить обновление, проигнорировать скомпрометированная система. Удаление пути в коде снимает сам вопрос. Это перенос на масштаб устройства того же смещения, которого мы добиваемся на масштабе права: вмешиваться на этапе порождения, а не доступа.

Надо сразу сказать, чего это не делает. Ни одна операционная система не выводит терминал за пределы геометрии сети. Пока SIM-карта активна, оператор знает соту подключения, и полная маршрутизация трафика через Tor этого не меняет, поскольку она защищает содержание и назначение, а не радиоуровень. Именно поэтому тема является правовой. Существует категория рисков, которую не снижает никакая индивидуальная настройка и для которой единственной доступной переменной остаётся правило, применимое к оператору.

Та же забота управляет остальной нашей работой. Данные, которых не существует, нельзя ни истребовать, ни перепродать, ни выкрасть, ни расшифровать через десять лет машиной, которой сегодня ни у кого нет, вопрос, который мы разобрали под углом шифрования, собранного сейчас и взломанного позже.

Заключение

Публичная дискуссия о мобильной слежке сосредоточена почти исключительно на доступе: кто может просматривать данные, на каком основании, с каким разрешением. Эта дискуссия законна, и решения, вынесенные Судом ЕС с 2014 года, дали ощутимые результаты. Но она вступает в цепь слишком поздно.

Предшествующий и более определяющий вопрос состоит в том, должна ли история существовать вообще. База, созданная сегодня по законному основанию, остаётся доступной завтра для другого, и окружающие её гарантии зависят от последующих политических решений, которые в момент сбора никто не контролирует. Это ставка на устойчивость институтов, сделанная на срок, который никто не устанавливает.

5G многократно повысило разрешение этой информации без какой-либо нормативной адаптации. Одновременно оно показало, посредством механизма SUCI, что осуществимый путь состоит в отделении позиции от личности, а не в попытке зашифровать физическое свойство сети. Технический стандарт дал ответ за семь лет до того, как право задало вопрос.

Европейский текст о хранении данных пишется сейчас. Он будет касаться метаданных, а значит местоположения, а значит того, что 5G производит теперь с точностью, которой его составители не знали. Ограничится ли он упорядочением доступа к истории, принимаемой как данность, или же осмелится поставить под вопрос необходимость этой истории, вероятно, и есть важнейший вопрос приватности ближайших лет в Европе. И это вопрос, который технический сектор, на сей раз, уже решил в правильную сторону.

Источники

Суд Европейского Союза, Digital Rights Ireland, объединённые дела C-293/12 и C-594/12, 8 апреля 2014 года
Суд Европейского Союза, Tele2 Sverige и Watson, объединённые дела C-203/15 и C-698/15, большая палата, 21 декабря 2016 года
Суд Европейского Союза, La Quadrature du Net и другие, объединённые дела C-511/18, C-512/18 и C-520/18, большая палата, 6 октября 2020 года
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, март 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta и др., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Постоянная геолокация: как телефон следит за вами, даже когда вы уверены, что это отключили

Sun, 02 Aug 2026 00:00:00 +0000

В 2024 году двое исследователей из Мэрилендского университета многократно обращались к службе позиционирования Apple по Wi-Fi, без каких-либо особых привилегий и без специализированного оборудования, и за год восстановили точное положение более двух миллиардов точек доступа Wi-Fi по всему миру. Их работа Surveilling the Masses with Wi-Fi-Based Positioning Systems показывает, что позволяет такая карта: отслеживать технику, въезжающую в Украину и покидающую её, наблюдать за перемещением населения после пожаров на Мауи, находить конкретного человека через его домашний роутер.

Ни на одном из этих устройств GPS не был включён. Позиция приходила из другого источника.

Это самая распространённая слепая зона в вопросах мобильной приватности: убеждение, что существует переключатель геолокации и что, стоит его выключить, телефон перестаёт знать, где он находится. Это убеждение ложно на семи разных уровнях.

Геолокация не функция, которую телефон включает. Это свойство того, чем он является.

GPS, то есть наименее проблемный вектор

Единственный механизм, который может назвать каждый, оказывается и тем, который должен беспокоить вас меньше всего.

GNSS, обобщающий термин для американского GPS, Galileo, ГЛОНАСС и BeiDou, работает на прослушивание. Спутники непрерывно излучают сигналы с отметками времени, приёмник улавливает несколько из них и вычисляет своё положение по разнице времени распространения. Обычная точность на открытой местности: три-пять метров, в городе часто несколько десятков метров, поскольку фасады отражают сигналы.

Решающее обстоятельство в том, что этот расчёт пассивен. Телефон ничего не излучает в сторону спутников, ни один спутниковый оператор не знает о вашем существовании. Если бы в игре был только GNSS, выключения GPS было бы достаточно.

Однако есть нюанс. Чтобы ускорить первое определение координат, телефоны используют A-GPS: они загружают спутниковые эфемериды с сервера по протоколу SUPL. Чтобы получить нужные данные, телефон передаёт этому серверу идентификатор соты сети, к которой он подключён. Чистый GNSS вас не выдаёт, а вот привитый к нему ускоритель выдаёт.

Мобильная сеть: то, что оператор знает по построению

Чтобы звонок мог до вас дойти, сеть должна знать, в какой зоне вы находитесь. Это не включаемая опция, это условие существования услуги. Ваш телефон постоянно заявляет о себе ближайшей вышке, и эта регистрация оставляет след на стороне оператора. Никакого установленного приложения, никакого выданного разрешения: достаточно активной SIM-карты.

Точность зависит от метода:

Только идентификатор соты: от 200 метров в плотной городской застройке до более чем 30 километров в сельской местности, где одна вышка покрывает очень большой радиус.
Обогащённый Cell ID, добавляющий сектор антенны (большинство площадок разделено на три сектора по 120 градусов) и мощность сигнала: от 100 метров до нескольких километров.
Timing advance, измеряющий задержку прохождения сигнала туда и обратно между телефоном и вышкой: порядка 550 метров в GSM, около 78 метров в LTE.
Мультилатерация по трём и более вышкам: от 50 до 300 метров в городском LTE.

5G меняет масштаб по двум складывающимся причинам. Сначала плотность: соты 5G покрывают куда меньшие радиусы, так что само подключение уже является тонкой информацией. Затем стандартизация: начиная с Release 16, 3GPP включает собственные сигналы позиционирования. Коммерческие цели — менее 3 метров внутри помещений и менее 10 метров снаружи для 80 % устройств, а Release 18 для отдельных промышленных применений опускается до сантиметров.

Инфраструктура, которая вас соединяет, тем самым становится системой позиционирования качества, сопоставимого с GPS, без того чтобы вы что-либо включали. Эти данные хранятся по национальным правилам и доступны властям по различным процедурам. Это та же самая принципиальная дискуссия, что и в случае юрисдикции, применимой к размещённым данным: техническая защита и правовая защита не совпадают.

Wi-Fi: карта мира, составленная из аппаратных адресов

Каждая точка доступа Wi-Fi постоянно транслирует уникальный аппаратный идентификатор, BSSID. Эти идентификаторы неизменны и географически стабильны: домашний роутер годами стоит на одном месте.

Apple, Google и несколько специализированных игроков ведут базы, связывающие каждый BSSID с координатами. Их наполняют телефоны их же пользователей, которые отправляют список видимых точек вместе с позицией по GNSS. Затем операция обращается: телефон, видящий четыре известные точки, больше не нуждается ни в одном спутнике. В плотной городской застройке точность обычно достигает нескольких десятков метров, а в помещениях опускается ещё ниже.

Два свойства делают этот механизм трудным для нейтрализации. Во-первых, телефон сканирует даже тогда, когда Wi-Fi выглядит отключённым: начиная с Android 4.3 система сохраняет периодическое сканирование, предназначенное для уточнения геолокации, независимо от переключателя в быстрой панели. Это поведение зависит от отдельной настройки, спрятанной в службах геолокации, которую практически ни один пользователь никогда не открывал.

Во-вторых, базу можно опрашивать извне. Именно эту брешь использовали Рай и Левин: интерфейсы позиционирования возвращают не только запрошенную позицию, но и позиции соседних точек доступа, что позволяет собирать карту, ни разу физически не приблизившись к этим местам.

Bluetooth и BLE: вас находят телефоны других людей

Bluetooth Low Energy добавляет слой близости с дальностью от нескольких до нескольких десятков метров, то есть с куда более тонкой детализацией, чем мобильная сеть. Сосуществуют два применения. Коммерческие маячки, размещённые в магазинах, аэропортах или торговых центрах, излучают идентификатор, который распознают приложения в телефоне, и это показывает, перед какой полкой вы остановились и на сколько времени. И совместные сети геолокации, образцом которых служит Find My от Apple, с тех пор перенятый Google и Samsung.

Второй механизм переворачивает неявное допущение. Эталонный анализ Who Can Find My Devices?, опубликованный в материалах PETS 2021 исследователями Дармштадтского технического университета, восстановил протокол Apple обратной разработкой. Устройство без связи излучает сигнал BLE, любое устройство Apple поблизости его ловит, добавляет собственную позицию и передаёт её зашифрованной на серверы Apple, без ведома как своего владельца, так и владельца найденного устройства.

Следствие носит структурный характер: устройство без SIM-карты, без Wi-Fi, без какого-либо сетевого подключения остаётся находимым, лишь бы рядом прошёл незнакомец с телефоном в кармане. Ваша изоляция больше не зависит от ваших настроек, а от настроек прохожих.

Инерциальные датчики: определить местоположение без разрешения на геолокацию

В телефоне есть акселерометр, гироскоп, магнитометр и часто барометр. Эти датчики относятся к категории разрешений, отличной от геолокации: приложение может их читать, ни разу не спросив, где вы.

Исследователи из Принстона доказали это с помощью PinMe. Их приложение отталкивается от IP-адреса и часового пояса ради грубой позиции, а затем читает датчики: акселерометр даёт профиль разгона и торможения, гироскоп — последовательность поворотов, магнитометр — курс, барометр — изменения высоты. Нейросеть определяет способ передвижения — пешком, автомобилем, поездом или самолётом, — и маршрут накладывается на открытые картографические, высотные и метеорологические данные. Результат: траектория с точностью, сопоставимой с GPS, без разрешения на геолокацию. У метода есть границы, которые авторы документируют, поскольку он не работает в зонах без дорог и ухудшается на однородных квартальных планировках, где множество маршрутов даёт одну и ту же подпись. Он остаётся доказательством того, что отклонённое разрешение — не закрытая дверь.

Барометр к тому же даёт измерение, с которым GNSS справляется плохо, — вертикаль. Американские требования к экстренным вызовам предписывают точность до этажа плюс-минус 3 метра для 80 % вызовов из помещений. Знать, на каком этаже находится человек, — это иное знание, чем знать, в каком квартале он находится.

Рынок данных: самый банальный вектор

Предыдущие механизмы описывают, как вычисляется позиция. Остаётся узнать, куда она уходит, и именно там разыгрывается основная часть повседневного риска.

Тысячи приложений содержат рекламные SDK, программные блоки от третьих сторон, которые разработчик добавляет, чтобы монетизировать свою работу или измерить аудиторию. Эти блоки наследуют разрешения приложения-хозяина: приложение погоды, которому ваша позиция нужна вполне законно, передаёт её игрокам, чьих названий вы никогда не читали. К этому добавляются потоки рекламных аукционов, где ваша приблизительная позиция рассылается десяткам потенциальных покупателей при каждом показе баннера, включая тех, кто ничего не покупает и ограничивается прослушиванием.

Это сырьё питает целую индустрию. Electronic Frontier Foundation задокументировала случай Fog Data Science, заявлявшей о миллиардах точек данных по более чем 250 миллионам устройств, которые продавались местной полиции в США. Брайан Кребс описал Locate X, продукт, позволяющий очертить многоугольник на карте и просмотреть историю устройств, которые входили в эту зону и покидали её.

Этот вектор не требует никакого технического подвига, нужно лишь, чтобы кто-то согласился заплатить. Цена скромная.

IMSI-кетчеры: активное определение местоположения

Рассмотренные до сих пор механизмы эксплуатируют нормальную работу системы. Существует также активное определение местоположения, которое ведёт третья сторона, вмешивающаяся в сеть.

IMSI-кетчер, или симулятор базовой станции, — это оборудование, выдающее себя за легитимную вышку. Телефоны в зоне действия подключаются к нему, раскрывая свой идентификатор абонента и своё присутствие в узко очерченном периметре.

5G должен был закрыть эту дверь, заменив постоянный идентификатор в открытом виде на зашифрованный — SUCI. Закрытие оказалось частичным. Работы, представленные под названием 5G SUCI-catchers: still catching them all?, документируют атаки связывания, позволяющие заново коррелировать сессии несмотря на шифрование. Но главное: защита падает полностью, если атакующий вынуждает устройство откатиться на предыдущее поколение, в частности 2G, аутентификация которого односторонняя. Телефон с 5G остаётся уязвим к атаке, задуманной для сети 1990-х годов, потому что он до сих пор соглашается туда спуститься.

Контрмеры и их реальная эффективность

Каждая из приведённых ниже мер что-то даёт. Ни одна не даёт всего, и разрыв между тем, что они делают, и тем, что им приписывают, порождает неверные решения.

Режим полёта

Режим полёта отключает передачу сотового модема, Wi-Fi и Bluetooth. Это реальный эффект, и это лучший результат при столь малых усилиях.

Чего он не делает: не останавливает инерциальные датчики, не удаляет уже закэшированные позиции, которые уйдут при повторном подключении, и на большинстве устройств позволяет отдельно включить Wi-Fi или Bluetooth, не выходя из него. Наконец, это программное состояние, а не отключение питания: его надёжность зависит от целостности системы, которая его применяет.

Недооценённая деталь: отключение от сети и последующее возвращение сами по себе являются событиями с отметкой времени на стороне оператора. Телефон, исчезающий в 21 час в одной соте и появляющийся в 23 часа в другой, произвёл информацию, а не тишину.

Рандомизация MAC-адреса

Мобильные системы сегодня при сканировании излучают случайные MAC-адреса, чтобы помешать отслеживанию от места к месту. Намерение хорошее, результат неполный. Эталонные работы, среди них Why MAC Address Randomization is not Enough, показывают, что содержимого кадров обнаружения часто достаточно для повторной идентификации устройства: количество информационных элементов, их значения и порядок образуют отпечаток. К этому добавляются порядковые номера, инкрементные и потому пригодные для сцепления, и временная подпись, характерная для каждой модели. Некоторые исследования сообщают о корректном отслеживании половины устройств в течение не менее двадцати минут.

Наконец, концептуальная граница: рандомизация касается только фазы обнаружения. Как только вы подключаетесь к сети, используемый адрес для этой сети постоянен по замыслу, чтобы соединение работало. Кофейня, куда вы ходите каждое утро, вас узнаёт.

По-настоящему отключить сканирование

Это самая выгодная и самая игнорируемая настройка. В Android поиск Wi-Fi и поиск Bluetooth — две отдельные опции, расположенные в службах геолокации, независимые от переключателей быстрой панели. Пока они активны, выключить Wi-Fi из панели недостаточно: сканирование продолжается.

Их отключение убирает целый слой сбора данных, а единственной платой оказывается чуть более медленное первое определение позиции. Для большинства читателей это лучшее соотношение затраченных усилий и полученного результата.

Разрешения приложений

Отзывать разрешение на геолокацию у приложений, которым оно очевидно не нужно, остаётся полезным, и современные системы предлагают три градации: разовое разрешение, разрешение, ограниченное активным использованием, и приблизительное местоположение, передающее лишь зону порядка километра.

Это, однако, не защищает ни от SDK внутри приложения, имеющего законное основание обращаться к вашей позиции, ни от инерциальных датчиков, ни от сетевых уровней, которые не проходят ни через какое разрешение.

От чего VPN не защищает

Момент, который следует прояснить, поскольку противоположное убеждение весьма распространено: VPN не скрывает ваше местоположение. Он скрывает ваш публичный IP-адрес, а значит, искажает геолокацию по IP, которая в любом случае является самым грубым механизмом в списке.

VPN не затрагивает ни приёмник GNSS, ни сканирование Wi-Fi, ни Bluetooth, ни датчики. Он ничего не меняет в том, что знает ваш оператор, поскольку шифрованный туннель проходит через его вышки, а подключение к соте остаётся для него видимым. Он не мешает приложению с разрешением на геолокацию передать точные координаты внутри туннеля. VPN защищает содержание и назначение ваших коммуникаций в ненадёжной сети, и это уже немало. Геолокация в его периметр не входит.

Физические пределы

Чехол Фарадея работает буквально: он блокирует передачу и приём. Извлечение аккумулятора тоже, там где это ещё возможно. Отдельное устройство или просто оставленный в другом месте телефон остаётся самой надёжной мерой.

У этих решений общий изъян, которому надо посмотреть в лицо: они создают аномалию. Телефон, молчащий два часа каждый вторник вечером, о чём-то сообщает. Против противника, анализирующего закономерности, а не мгновенные позиции, отсутствие само является данными.

Три противника, три стратегии

Это самое важное различение этой статьи и одновременно то, которое читают реже всего.

Против рекламодателя или брокера данных битву можно выиграть. Дисциплина разрешений, отключение сканирований, система без проприетарных служб геолокации, сброс рекламного идентификатора: вместе это очень сильно сокращает собираемый объём. Этот противник ищет дешёвый объём, а не именно ваш случай.

Против вашего оператора никакая конфигурация не поможет. Сотовая геолокация — условие услуги. Единственные реальные переменные правовые, то есть что закон позволяет хранить и передавать, и материальные: какое устройство, какая SIM-карта, на чьё имя, включённая где.

Против целенаправленного государственного противника рассуждение меняется вновь, поскольку он сочетает законный доступ к данным оператора, активное определение местоположения симулятором базовой станции, запросы к платформам и, при необходимости, компрометацию самого устройства. Программные контрмеры уменьшают поверхность, но реалистичная цель не исчезновение: она в том, чтобы точно знать, что остаётся открытым.

Подход ArpokratOS

ArpokratOS отвечает на этот ландшафт выбором, вытекающим из приведённого различения: то, что должно быть нейтрализовано, нейтрализуется на уровне системы, а не в меню.

В отношении GNSS аппаратный драйвер удалён. Устройство ведёт себя так, как если бы чипа не существовало, — и для приложений, и для самой системы. Отличие от переключателя в настройках не косметическое. Переключатель — это политика: её применяет слой, который может обойти достаточно привилегированный компонент, вновь включить обновление или проигнорировать скомпрометированная система. Удаление пути кода снимает вопрос, поскольку включать уже нечего.

Bluetooth обрабатывается на уровне Core, по той же логике. Bluetooth, отключённый в настройках, на многих устройствах на практике оставляет программный стек живым, чтобы питать службы близости и совместные сети геолокации. Отсутствуя на уровне системы, он не может ни общаться с магазинным маячком, ни участвовать в сети типа Find My, ни служить поверхностью атаки без взаимодействия.

Надо ясно сказать, чего это не делает. ArpokratOS не делает телефон необнаружимым. Пока SIM-карта активна, оператор знает соту подключения, и никакая операционная система этого не изменит, даже если весь трафик идёт через Tor. Маршрутизация защищает содержание и назначение, а не радиогеометрию. Тот, кто обещает невидимость, продаёт сказку.

То, что даёт такая архитектура, скромнее: устранение прикладного слоя и слоя близости, через которые проходит подавляющее большинство реального сбора, и явная модель угроз для того, что остаётся. Это то же рассуждение, применённое к выбору настольной системы, изложенное в нашем сравнении операционных систем: полезный вопрос не в том, защищает ли инструмент, а в том, от чего он защищает и какой ценой.

Заключение

Эта статья не даёт метода исчезнуть. Такого метода не существует, а тексты, утверждающие обратное, порождают прежде всего ложную уверенность, более опасную, чем отсутствие защиты, потому что она толкает на риск.

Цель состояла в том, чтобы заменить бинарный вопрос «можно ли меня найти» вопросом полезным: кем, с какой точностью, какой ценой для них и волнует ли это меня. Ответ различается для журналиста, защищающего источник, для руководителя в поездке в чувствительной юрисдикции, для адвоката, чьи встречи выдают стратегию, и для частного лица, которому досадно, что рекламодатель знает его привычки.

Внимание, впрочем, должна привлекать не эффективность каждого из этих механизмов по отдельности, а то, что они накладываются друг на друга. Позиция с точностью до пятидесяти метров не слишком интересна. Позиция с точностью до пятидесяти метров, каждые четверть часа, в течение двух лет, вычерчивает жильё, место работы, вероисповедание, состояние здоровья, роман, источник информации. Данные о местоположении — те метаданные, которые делают читаемыми все остальные, и именно поэтому они дорого стоят.

Источники

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: новый «суперкуки» телекоммуникационных компаний, угрожающий вашей конфиденциальности

Mon, 01 Jun 2026 00:00:00 +0000

Запланированный отказ от сторонних куки (third-party cookies) в веб-браузерах спровоцировал настоящую гонку вооружений в индустрии таргетированной рекламы. Пока Google пытается навязать свои стандарты (такие как Privacy Sandbox), другой неожиданный игрок решил забрать свою долю пирога: ваш интернет-провайдер (ISP).

Так родился проект Utiq (ранее известный как проект TrustPid) — совместное предприятие, созданное европейскими телекоммуникационными гигантами. Продаваемый широкой публике как «прозрачное и этичное» решение, Utiq на самом деле представляет собой то, чего эксперты по кибербезопасности опасаются больше всего: «суперкуки», работающий на сетевом уровне.

Что такое Utiq и как это работает?

Традиционно отслеживание рекламы (куки) управляется вашим веб-браузером (Chrome, Firefox, Safari). Вы могли блокировать его с помощью расширений (таких как uBlock Origin) или браузера, ориентированного на конфиденциальность (такого как Brave).

Utiq переносит проблему на шаг назад: на уровень вашего сетевого подключения.

Вот как закрывается ловушка:

Перехват на уровне сети: Когда вы пользуетесь интернетом через мобильное соединение (4G/5G) или домашний роутер, Utiq использует ваш IP-адрес и данные вашей телекоммуникационной подписки для вашей идентификации.
Согласие (ложный выбор): При переходе на сайт-партнер всплывающее окно (popup) запрашивает у вас согласие на активацию Utiq. Из-за усталости от баннеров куки (Consent Fatigue) миллионы пользователей нажимают «Принять», не читая.
«Network Signal»: Как только согласие получено, Utiq напрямую связывается с вашим оператором связи. Последний генерирует уникальный псевдонимизированный идентификационный токен (сетевой сигнал), который затем передается рекламодателям.

Теперь вас можно отслеживать от сайта к сайту не по файлу, сохраненному на вашем компьютере, а через саму инфраструктуру, которая предоставляет вам доступ в интернет.

Почему Utiq — это кошмар для конфиденциальности (OPSEC)

Эта инициатива создает серьезные проблемы для цифрового суверенитета и конфиденциальности ваших данных:

Отслеживание у источника: В отличие от классических куки, вы не можете просто «очистить историю» или «удалить кэш», чтобы избавиться от Utiq. Идентификационный токен создается вашим провайдером.
Централизация профилей: Операторы связи уже знают ваше имя, физический адрес, банковские реквизиты и местоположение в режиме реального времени. Связывая с этими данными историю вашего посещения веб-страниц через Utiq, они создают поведенческий профиль пугающей точности.
Уязвимость псевдонимизации: Utiq защищается тем, что не передает ваше имя в открытом виде, заявляя об использовании «зашифрованных» токенов. Однако в мире кибербезопасности доказано, что псевдонимизация обратима. Сопоставление этих токенов с другими базами данных позволяет легко повторно идентифицировать человека.

Какие операторы используют Utiq?

Utiq был основан альянсом четырех крупнейших европейских операторов. Если вы являетесь клиентом одного из них, ваше соединение уже потенциально «совместимо» с этим отслеживанием.

Совет OPSEC: Хотя Utiq предлагает централизованный портал управления согласием (consenthub.utiq.com) для отзыва доступа, лучшая защита остается технологической.

Подход Zero-Trust для противодействия Utiq

Философия цифрового суверенитета, продвигаемая такими экосистемами, как Arpokrat, опирается на простой принцип: никогда не доверять сетевой инфраструктуре.

Чтобы технически нейтрализовать системы типа Utiq, необходимо скрыть свой трафик от собственного интернет-провайдера:

Использование суверенного VPN: Шифруя трафик сразу на выходе из вашего устройства, вы делаете так, что провайдер видит лишь нечитаемый поток данных, направленный к VPN-серверу. Он больше не может внедрять или считывать токены Utiq.
Сеть Tor (Orbot): Луковая маршрутизация предотвращает любую сквозную идентификацию.
Шифрование DNS (DoH/DoT): Не позволяет вашему оператору знать, какие сайты вы собираетесь посетить.

В заключение, Utiq — это доказательство того, что интернет-провайдеры больше не хотят оставаться просто «трубами»; они стремятся стать брокерами данных. Шифрование трафика больше не является вопросом выбора, это абсолютная необходимость для сохранения вашей цифровой приватности.