Në vitin 2024, dy studiues të Universitetit të Merilendit e pyetën vazhdimisht shërbimin e pozicionimit me Wi-Fi të Apple-it, pa asnjë privilegj të veçantë dhe pa pajisje të specializuara, dhe brenda një viti rindërtuan pozicionin e saktë të më shumë se dy miliardë pikave të aksesit Wi-Fi në botë. Punimi i tyre, Surveilling the Masses with Wi-Fi-Based Positioning Systems , tregon çfarë mundëson kjo hartë: ndjekjen e pajisjeve që hyjnë dhe dalin nga Ukraina, vëzhgimin e zhvendosjes së popullsisë pas zjarreve të Mauit, gjurmimin e një individi përmes ruterit të internetit në shtëpinë e tij.
Asnjë prej këtyre pajisjeve nuk e kishte GPS-in të ndezur. Pozicioni vinte nga diku tjetër.
Ky është pikë e verbër më e përhapur në çështjen e privatësisë në celular: bindja se ekziston një çelës i vendndodhjes dhe se, sapo ta fikësh, telefoni pushon së ditur ku ndodhet. Kjo bindje është e gabuar në shtatë nivele të ndryshme.
Vendndodhja nuk është një veçori që telefoni yt e ndez. Është një veti e vetë asaj që telefoni është.
GPS-i, ose vektori më pak shqetësues
I vetmi mekanizëm që të gjithë dinë ta emërtojnë është njëkohësisht ai që duhet të të shqetësojë më pak.
GNSS, termi i përgjithshëm që përfshin GPS-in amerikan, Galileon, GLONASS-in dhe BeiDou-në, funksionon duke dëgjuar. Satelitët transmetojnë vazhdimisht sinjale me vulë kohore, marrësi kap disa prej tyre dhe e llogarit pozicionin e vet nga ndryshimet e kohës së përhapjes. Saktësia e zakonshme në terren të hapur: tre deri në pesë metra, shpesh disa dhjetëra metra në qytet, ku fasadat i pasqyrojnë sinjalet.
Pika vendimtare është se ky llogaritje është pasive. Telefoni nuk transmeton asgjë drejt satelitëve dhe asnjë operator satelitor nuk e di se ti ekziston. Po të ishte në lojë vetëm GNSS-i, fikja e GPS-it do të mjaftonte.
Ka megjithatë një nuancë. Për ta shpejtuar llogaritjen e parë, telefonat përdorin A-GPS: shkarkojnë nga një server efemeridat satelitore, përmes protokollit SUPL . Për të marrë të dhënat e duhura, telefoni i dërgon atij serveri identifikuesin e qelizës së rrjetit ku është i lidhur. GNSS-i i pastër nuk të tradhton, por përshpejtuesi që i është mbivendosur, po.
Rrjeti celular: çfarë di operatori nga vetë ndërtimi
Që një telefonatë të mund të të mbërrijë, rrjeti duhet të dijë në cilën zonë ndodhesh. Kjo nuk është një mundësi që aktivizohet, është kushti i ekzistencës së shërbimit. Telefoni yt i njoftohet vazhdimisht antenës më të afërt dhe ky regjistrim lë gjurmë te operatori. Asnjë aplikacion i instaluar, asnjë leje e dhënë: mjafton një kartë SIM aktive.
Saktësia varet nga metoda:
- Vetëm identifikuesi i qelizës: nga 200 metra në zonë urbane të dendur deri në më shumë se 30 kilometra në zonë rurale, ku një antenë mbulon një rreze shumë të gjerë.
- Cell ID i pasuruar, që shton sektorin e antenës (shumica e vendndodhjeve ndahen në tre sektorë prej 120 gradësh) dhe fuqinë e sinjalit: nga 100 metra deri në disa kilometra.
- Timing advance, që mat vonesën vajtje-ardhje midis telefonit dhe antenës: rreth 550 metra në GSM, afërsisht 78 metra në LTE.
- Multilaterimi mbi tre ose më shumë antena: 50 deri në 300 metra në LTE urban.
5G e ndryshon shkallën për dy arsye që mblidhen. Së pari dendësia: qelizat 5G mbulojnë rreze shumë më të shkurtra, prandaj vetëm fakti i lidhjes është tashmë një informacion i hollësishëm. Pastaj standardizimi: që nga Release 16, 3GPP përfshin sinjale pozicionimi të vetat. Objektivat tregtarë synojnë nën 3 metra brenda ndërtesave dhe nën 10 metra jashtë për 80 % të pajisjeve, ndërsa Release 18 zbret deri në centimetër për disa përdorime industriale.
Kështu infrastruktura që të lidh kthehet në një sistem pozicionimi me cilësi të krahasueshme me GPS-in, pa aktivizuar ti asgjë. Këto të dhëna ruhen sipas rregullave kombëtare dhe u vihen në dispozicion autoriteteve me procedura të ndryshme. Është i njëjti debat themelor si ai për juridiksionin e zbatueshëm mbi të dhënat e strehuara : mbrojtja teknike dhe mbrojtja juridike nuk mbivendosen.
Wi-Fi: një hartë e botës prej adresash harduerike
Çdo pikë aksesi Wi-Fi transmeton vazhdimisht një identifikues harduerik unik, BSSID-in. Këta identifikues janë fiksë dhe gjeografikisht të qëndrueshëm: një ruter shtëpiak rri vite me radhë në të njëjtin vend.
Apple, Google dhe disa aktorë të specializuar mbajnë baza që lidhin çdo BSSID me koordinata, të ndërtuara nga vetë telefonat e përdoruesve të tyre, të cilët dërgojnë listën e pikave të dukshme bashkë me një pozicion GNSS. Pastaj veprimi përmbyset: një telefon që sheh katër pika të njohura nuk ka më nevojë as për një satelit të vetëm. Në zonë urbane të dendur saktësia arrin rëndom disa dhjetëra metra dhe brenda ndërtesave zbret edhe më poshtë.
Dy veti e bëjnë të vështirë neutralizimin e këtij mekanizmi. Së pari, telefoni skanon edhe kur Wi-Fi duket i fikur: që nga Android 4.3, sistemi ruan një skanim periodik të destinuar për të përmirësuar vendndodhjen, pavarësisht nga çelësi i panelit të shpejtë. Kjo sjellje varet nga një cilësim i veçantë, i varrosur në shërbimet e vendndodhjes, që pothuajse asnjë përdorues nuk e ka hapur ndonjëherë.
Së dyti, baza mund të pyetet nga jashtë. Kjo është e çara që shfrytëzuan Rye dhe Levin: ndërfaqet e pozicionimit kthejnë jo vetëm pozicionin e kërkuar, por edhe atë të pikave fqinje, çka lejon korrjen e hartës pa iu afruar kurrë fizikisht atyre vendeve.
Bluetooth dhe BLE: i lokalizuar nga telefonat e të tjerëve
Bluetooth Low Energy shton një shtresë afërsie, me rreze nga disa metra deri në disa dhjetëra metra, pra me hollësi shumë më të imët se rrjeti celular. Bashkëjetojnë dy përdorime. Bikonat tregtarë, të vendosur në dyqane, aeroporte ose qendra tregtare, transmetojnë një identifikues që aplikacionet në telefon e njohin, çka zbulon para cilit raft je ndalur dhe për sa kohë. Dhe rrjetet bashkëpunuese të lokalizimit, model i të cilave është Find My i Apple-it, i marrë më pas edhe nga Google dhe Samsung.
Ky mekanizëm i dytë e përmbys një supozim të nënkuptuar. Analiza referencë Who Can Find My Devices? , botuar në përmbledhjen e PETS 2021 nga studiues të Universitetit Teknik të Darmshtatit, e rindërtoi protokollin e Apple-it me inxhinieri të kundërt. Një pajisje pa lidhje transmeton një sinjal BLE, çdo pajisje Apple aty pranë e kap, i shton pozicionin e vet dhe e dërgon të enkriptuar te serverët e Apple-it, pa dijeninë as të mbajtësit të saj, as të mbajtësit të pajisjes që po lokalizohet.
Pasoja është strukturore: një pajisje pa kartë SIM, pa Wi-Fi, pa asnjë lloj lidhjeje rrjeti mbetet e lokalizueshme, mjafton që aty pranë të kalojë një i panjohur me telefon në xhep. Izolimi yt nuk varet më nga cilësimet e tua, por nga ato të kalimtarëve.
Sensorët inercialë: lokalizim pa leje vendndodhjeje
Një telefon përmban akselerometër, xhiroskop, magnetometër dhe shpesh barometër. Këta sensorë bëjnë pjesë në një kategori lejesh të ndarë nga vendndodhja: një aplikacion mund t’i lexojë pa të pyetur asnjëherë se ku je.
Studiues të Prinstonit e treguan këtë me PinMe . Aplikacioni i tyre niset nga adresa IP dhe zona kohore për një pozicion të përafërt, pastaj lexon sensorët: akselerometri jep profilin e nxitimit dhe të frenimit, xhiroskopi radhën e kthesave, magnetometri drejtimin, barometri ndryshimet e lartësisë. Një rrjet nervor identifikon mënyrën e udhëtimit, në këmbë, me makinë, me tren apo me avion, dhe itinerari përputhet me të dhëna publike hartografike, altimetrike dhe meteorologjike. Rezultati: një trajektore me saktësi të krahasueshme me GPS-in, pa leje vendndodhjeje. Metoda ka kufij, të cilët autorët i dokumentojnë, sepse dështon në zona pa rrugë dhe përkeqësohet në plane rrjetore njëtrajtëshe, ku shumë itinerare prodhojnë të njëjtën nënshkrim. Mbetet gjithsesi dëshmia se një leje e refuzuar nuk është derë e mbyllur.
Barometri sjell veç kësaj dimensionin që GNSS-i e trajton keq, atë vertikal. Kërkesat amerikane për thirrjet e urgjencës imponojnë saktësi në nivel kati prej plus-minus 3 metrash për 80 % të thirrjeve nga brenda ndërtesave. Të dish në cilin kat ndodhet dikush është krejt tjetër gjë nga të ditur në cilin bllok banesash është.
Tregu i të dhënave: vektori më i banalizuar
Mekanizmat e mësipërm përshkruajnë si llogaritet një pozicion. Mbetet të dihet ku shkon ai, dhe pikërisht aty luhet pjesa më e madhe e rrezikut të përditshëm.
Mijëra aplikacione përfshijnë SDK reklamash, komponentë softuerikë të palëve të treta që zhvilluesi i shton për të monetizuar punën e vet ose për të matur audiencën. Këta komponentë trashëgojnë lejet e aplikacionit pritës: një aplikacion moti që e ka legjitimisht të nevojshme vendndodhjen tënde ia përcjell aktorëve emrat e të cilëve nuk i ke lexuar kurrë. Këtu shtohen edhe rrjedhat e ankandeve reklamuese, ku pozicioni yt i përafërt shpërndahet te dhjetëra blerës të mundshëm sa herë shfaqet një baner, përfshirë edhe ata që nuk blejnë asgjë dhe mjaftohen me dëgjimin.
Kjo lëndë e parë ushqen një industri të tërë. Electronic Frontier Foundation dokumentoi rastin e Fog Data Science , që pretendonte miliarda pika të dhënash për më shumë se 250 milionë pajisje, të shitura policive lokale amerikane. Brian Krebs përshkroi Locate X , një produkt që lejon të vizatosh një shumëkëndësh mbi hartë dhe të shohësh historikun e pajisjeve që hynë e dolën nga ajo zonë.
Ky vektor nuk kërkon asnjë mjeshtëri teknike, veç dikë që pranon të paguajë. Çmimi është modest.
Kapësit e IMSI-t: lokalizimi aktiv
Mekanizmat e parë deri tani shfrytëzojnë një funksionim normal. Ekziston edhe një lokalizim aktiv, i kryer nga një palë e tretë që ndërhyn në rrjet.
Një kapës IMSI, ose simulator qelize, është pajisje që paraqitet si antenë e ligjshme. Telefonat brenda rrezes lidhen me të, duke zbuluar identifikuesin e abonentit dhe praninë e tyre brenda një perimetri të ngushtë.
5G-ja duhej ta mbyllte këtë derë duke e zëvendësuar identifikuesin e përhershëm të dërguar hapur me një identifikues të enkriptuar, SUCI-n. Mbyllja është e pjesshme. Punimet e paraqitura me titullin 5G SUCI-catchers: still catching them all? dokumentojnë sulme lidhjeje që lejojnë rikorrelimin e sesioneve pavarësisht enkriptimit. Mbi të gjitha, mbrojtja bie krejtësisht nëse sulmuesi e detyron pajisjen të zbresë në një brez të mëparshëm, sidomos 2G, autentikimi i të cilit është i njëanshëm. Një telefon 5G mbetet i cenueshëm ndaj një sulmi të konceptuar për një rrjet të viteve nëntëdhjetë, sepse ende pranon të zbresë atje.
Kundërmasat dhe efektshmëria e tyre e vërtetë
Secila prej masave më poshtë bën diçka. Asnjëra nuk bën gjithçka, dhe hendeku midis asaj që bëjnë dhe asaj që u atribuohet prodhon vendimet e gabuara.
Modaliteti i fluturimit
Modaliteti i fluturimit e ndërpret transmetimin e modemit celular, të Wi-Fi-t dhe të Bluetooth-it. Kjo është reale dhe është rezultati më i mirë për një përpjekje kaq të vogël.
Çfarë nuk bën: nuk i ndal sensorët inercialë, nuk i fshin pozicionet e ruajtura tashmë në kesh, të cilat do të nisen sapo të rilidhesh, dhe në shumicën e pajisjeve lejon riaktivizimin veç e veç të Wi-Fi-t ose të Bluetooth-it pa dalë prej tij. Së fundi, është një gjendje softuerike, jo një ndërprerje e rrymës: besueshmëria e tij varet nga integriteti i sistemit që e zbaton.
Një hollësi e nënvlerësuar: shkëputja nga rrjeti dhe rilidhja janë vetë ngjarje me vulë kohore te operatori. Një telefon që zhduket në orën 21 në një qelizë dhe rishfaqet në orën 23 në një tjetër ka prodhuar një informacion, jo një heshtje.
Rastësimi i adresës MAC
Sistemet celulare sot transmetojnë adresa MAC të rastësishme gjatë skanimeve, për të penguar ndjekjen nga një vend në tjetrin. Qëllimi është i mirë, rezultati i paplotë. Punimet referencë, mes tyre Why MAC Address Randomization is not Enough , tregojnë se përmbajtja e kornizave të zbulimit mjafton shpesh për ta riidentifikuar pajisjen: numri i elementeve informative, vlerat e tyre dhe renditja e tyre formojnë një gjurmë. Këtu shtohen numrat e sekuencës, rritës e pra të zinxhirueshëm, dhe nënshkrimi kohor karakteristik i çdo modeli. Disa studime raportojnë ndjekje të saktë të gjysmës së pajisjeve për të paktën njëzet minuta.
Së fundi një kufi konceptual: rastësimi ka të bëjë vetëm me fazën e zbulimit. Sapo lidhesh me një rrjet, adresa e përdorur është e qëndrueshme për atë rrjet, nga vetë konceptimi, që lidhja të funksionojë. Lokali ku shkon çdo mëngjes të njeh.
Të fiket vërtet skanimi
Ky është cilësimi më fitimprurës dhe më i lënë pas dore. Në Android, kërkimi i Wi-Fi-t dhe kërkimi i Bluetooth-it janë dy opsione të veçanta, të vendosura te shërbimet e vendndodhjes, të pavarura nga çelësat e panelit të shpejtë. Për sa kohë janë aktive, fikja e Wi-Fi-t nga paneli nuk mjafton: skanimi vazhdon.
Çaktivizimi i tyre heq një shtresë të tërë mbledhjeje, pa kosto tjetër përveç një llogaritjeje të parë pozicioni pak më të ngadaltë. Për shumicën e lexuesve, ky është raporti më i mirë midis përpjekjes së dhënë dhe rezultatit të marrë.
Lejet e aplikacioneve
Heqja e lejes së vendndodhjes nga aplikacionet që dukshëm nuk e kanë nevojë mbetet e dobishme, dhe sistemet e reja ofrojnë tri shkallë: leja një herë e vetme, leja e kufizuar në përdorim aktiv dhe vendndodhja e përafërt, që përcjell vetëm një zonë me përmasa rreth një kilometri.
Kjo nuk mbron, në të kundërt, as nga SDK-të e strehuara brenda një aplikacioni që ka arsye të ligjshme të aksesojë pozicionin tënd, as nga sensorët inercialë, as nga shtresat e rrjetit, të cilat nuk kalojnë nëpër asnjë leje.
Çfarë nuk e mbron VPN-ja
Pikë që duhet sqaruar, sepse bindja e kundërt është shumë e përhapur: një VPN nuk e fsheh vendndodhjen tënde. Ajo fsheh adresën tënde publike IP, pra e shtrembëron gjeolokalizimin sipas IP-së, që gjithsesi është mekanizmi më i trashë i listës.
Një VPN nuk prek as marrësin GNSS, as skanimin Wi-Fi, as Bluetooth-in, as sensorët. Nuk ndryshon asgjë nga ajo që di operatori yt, pasi tuneli i enkriptuar kalon nëpër antenat e tij dhe lidhja me qelizën i mbetet e dukshme. Nuk e pengon as një aplikacion me leje vendndodhjeje të dërgojë koordinata të sakta brenda tunelit. VPN-ja mbron përmbajtjen dhe destinacionin e komunikimeve të tua në një rrjet jo të besueshëm, dhe kjo është tashmë shumë. Vendndodhja nuk hyn në fushën e saj.
Kufijtë fizikë
Një çantë Faradei funksionon në kuptimin e drejtpërdrejtë: bllokon transmetimin dhe marrjen. Edhe heqja e baterisë, aty ku është ende e mundur. Pajisja e dedikuar, ose thjesht lënia e telefonit diku tjetër, mbetet masa më e fortë.
Këto zgjidhje ndajnë një të metë që duhet parë në sy: prodhojnë një anomali. Një telefon që hesht dy orë çdo të martë në mbrëmje thotë diçka. Përballë një kundërshtari që analizon modele në vend të pozicioneve të çastit, mungesa është e dhënë.
Tre kundërshtarë, tri strategji
Ky është dallimi më i rëndësishëm i këtij shkrimi dhe ai që lexohet më rrallë.
Përballë një reklamuesi ose një ndërmjetësi të dhënash, beteja fitohet. Disiplinë në leje, çaktivizim i skanimeve, sistem pa shërbime pronësore vendndodhjeje, rivendosje e identifikuesit reklamues: të gjitha së bashku e ulin shumë fort vëllimin e mbledhur. Ky kundërshtar kërkon vëllim me kosto të ulët, jo rastin tënd të veçantë.
Përballë operatorit tënd, asnjë konfigurim nuk mjafton. Lokalizimi celular është kushti i shërbimit. Të vetmet ndryshore reale janë juridike, pra çfarë lejon ligji të ruhet e të përcillet, dhe materiale: cila pajisje, cila kartë SIM, në emër të kujt, e ndezur ku.
Përballë një kundërshtari shtetëror të targetuar, arsyetimi ndryshon sërish, pasi ai ndërthur aksesin ligjor te të dhënat e operatorit, lokalizimin aktiv me simulator qelize, kërkesat drejtuar platformave dhe, sipas rastit, komprometimin e vetë pajisjes. Kundërmasat softuerike e zvogëlojnë sipërfaqen, por objektivi realist nuk është zhdukja: është të dish saktësisht çfarë mbetet e ekspozuar.
Qasja e ArpokratOS-it
ArpokratOS i përgjigjet këtij peizazhi me një zgjedhje që rrjedh nga dallimi i mësipërm: ajo që duhet neutralizuar neutralizohet në nivel sistemi, jo në një menu.
Për GNSS-in, drejtuesi harduerik është hequr. Pajisja sillet sikur çipi të mos ekzistonte, si për aplikacionet ashtu edhe për vetë sistemin. Ndryshimi nga një çelës në cilësime nuk është kozmetik. Një çelës është politikë: e zbaton një shtresë që mund të anashkalohet nga një komponent me privilegje të mjaftueshme, të riaktivizohet nga një përditësim ose të shpërfillet nga një sistem i komprometuar. Heqja e rrugës së kodit e zhduk pyetjen, pasi nuk ka më asgjë për t’u aktivizuar.
Bluetooth-i trajtohet në nivelin Core, me të njëjtën logjikë. Një Bluetooth i çaktivizuar në cilësime në praktikë e lë të gjallë grumbullin softuerik në shumë pajisje, për të ushqyer shërbimet e afërsisë dhe rrjetet bashkëpunuese të lokalizimit. Kur mungon në nivel sistemi, ai nuk mund as të flasë me një bikon dyqani, as të marrë pjesë në një rrjet të tipit Find My, as të shërbejë si sipërfaqe sulmi pa ndërveprim.
Duhet thënë qartë çfarë kjo nuk bën. ArpokratOS nuk e bën një telefon të pazbulueshëm. Për sa kohë një kartë SIM është aktive, operatori e njeh qelizën e lidhjes, dhe asnjë sistem operativ nuk e ndryshon këtë, as me tërë trafikun e drejtuar përmes Tor-it. Rrugëzimi mbron përmbajtjen dhe destinacionin, jo gjeometrinë radio. Kush premton padukshmëri, po shet një përrallë.
Ajo që sjell një arkitekturë e tillë është më modeste: heqja e shtresave aplikative dhe të afërsisë, nëpër të cilat kalon shumica dërrmuese e mbledhjes reale, dhe një model i qartë kërcënimi për atë që mbetet. Është i njëjti arsyetim i zbatuar te zgjedhja e një sistemi për kompjuter, i shtjelluar në krahasimin tonë të sistemeve operative : pyetja e dobishme nuk është nëse një mjet mbron, por nga çfarë mbron dhe me çfarë çmimi.
Përfundim
Ky shkrim nuk ofron një metodë për t’u zhdukur. Ajo metodë nuk ekziston, dhe tekstet që pretendojnë të kundërtën prodhojnë mbi të gjitha një besim të rremë, më të rrezikshëm se mungesa e mbrojtjes, sepse të shtyn të marrësh rreziqe.
Qëllimi ishte të zëvendësohej një pyetje binare, a mund të lokalizohem apo jo, me një pyetje të dobishme: nga kush, me çfarë saktësie, me çfarë kostoje për ta dhe a më intereson mua. Përgjigjja ndryshon për një gazetar që mbron një burim, për një drejtues në udhëtim në një juridiksion të ndjeshëm, për një avokat takimet e të cilit zbulojnë një strategji, ose për një individ që thjesht i vjen keq që një reklamues i njeh zakonet.
Ajo që duhet të tërheqë vëmendjen nuk është, në fakt, performanca e secilit prej këtyre mekanizmave marrë veçmas, por fakti që ata mbivendosen. Një pozicion me saktësi pesëdhjetë metra nuk është veçanërisht interesant. Një pozicion me saktësi pesëdhjetë metra, çdo çerek ore, për dy vjet, vizaton një banesë, një vend pune, një besim fetar, një gjendje shëndetësore, një lidhje, një burim informacioni. E dhëna e vendndodhjes është metadata që i bën të lexueshme të gjitha të tjerat, dhe pikërisht për këtë arsye ka çmim të lartë.
Burime
- Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
- Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
- Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
- Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
- Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
- 5G NR Positioning Enhancements in 3GPP Release-18
- Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
- Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
- Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense