Захист даних on Arpokrat

SignalTrace: Європа експортує стеження, якого не дозволяє собі

Tue, 01 Sep 2026 00:00:00 +0000

Сірий седан проїжджає під автострадною рамкою на швидкості 110 км/год. Камера на щоглі зчитує номер, ставить позначку часу, зберігає його. Нічого нового: такі пристрої існують уже двадцять років і встановлені десятками тисяч як у Північній Америці, так і в Європі.

Але якщо ця рамка отримала модуль, який італійська група Leonardo продає з червня 2026 року, вона щойно зафіксувала ще дещо. iPhone водія. Бездротові навушники пасажирки. Розумний годинник на панелі приладів. Автомагнітолу. Підключений брелок у бардачку. Датчики тиску всіх чотирьох шин. Перепустку, що залишилася в піджаку. І, якщо ззаду спить собака, його ідентифікаційний чип.

Десяток ідентифікаторів, номер, позиція, час. Повторіть це на кожній рамці мережі, і ви вже стежите не за автомобілем: ви стежите за людьми і знаєте, з ким вони пересуваються.

Що пристрій робить насправді

Продукт називається SignalTrace. Його продає Leonardo US Cyber and Security Solutions, і він доповнює лінійку ELSAG, одну з найпоширеніших ліній автоматичних зчитувачів номерних знаків на американському ринку. Про його існування 8 червня 2026 року повідомив Джозеф Кокс у 404 Media на основі продуктової специфікації виробника.

Вирішальний момент вміщається в одне речення: йдеться не про нові камери. SignalTrace є радіодатчиком, доданим до вже встановлених зчитувачів номерів. Щогла не змінюється, розташування не змінюється, силует обладнання при дорозі не змінюється. Змінюється те, що це обладнання слухає.

Датчик записує ідентифікатори, які у відкритому вигляді транслюють протоколи Bluetooth, Wi-Fi і RFID пристроїв, що перебувають в автомобілі. Технічний момент, який часто розуміють хибно: жоден пристрій не зламують і жодну вразливість не використовують. Пристрій Bluetooth або Wi-Fi постійно надсилає кадри виявлення, бо ці протоколи так задумані. Ваші навушники оголошують свою присутність, щоб телефон їх знайшов, а сам телефон опитує довколишній ефір у пошуках знайомих мереж. Ці випромінювання публічні за побудовою, і їх чує будь-який приймач у зоні дії.

Leonardo, до речі, уточнює, що система працює зі зчитувачем номерів або без нього, зокрема й у приміщеннях, і розпізнає автомобіль, номер якого закрито або знято.

Ось справжня політична тема: дообладнання вже наявної техніки. Встановлення нової мережі камер запускає голосування, обговорення, іноді судовий процес. Додавання електронної плати в уже погоджений корпус не запускає нічого. Спроможність стеження змінює свою природу без публічної дискусії, бо матеріально немає нічого нового, що можна побачити.

Від автомобіля до особи, і від особи до групи

Зчитувач номерів відповідає на одне питання: де був цей автомобіль. SignalTrace додає ще два: хто в ньому був і з ким.

Leonardo цього не приховує, це аргумент продажу. Система формує те, що документація називає електронним відбитком, набір ідентифікаторів, які «часто випромінюються разом». Приклад виробника промовистий: у цілому місті лише один автомобіль поєднає iPhone 13rev2, автомагнітолу Audi, навушники Bose, годинник Garmin, шукач ключів і номер ABC-1234.

Продукт не обмежується стеженням за автомобілями. Він автоматично створює граф зв’язків між людьми, без того щоб хтось мусив висловити бодай найменшу підозру.

Саме тут відбувається якісний стрибок. Співвідносячи пристрої, які регулярно подорожують разом, система механічно вибудовує соціальний граф. Два телефони, що зустрічаються щоранку в одному автомобілі, означають спільні поїздки або стосунки, які жодна зі сторін не хоче оприлюднювати. П’ятдесят пристроїв, зафіксованих в одному місці в один час, означають зібрання: демонстрація, богослужіння, профспілкові збори або черга перед клінікою.

Жоден із цих висновків не потребує доступу до змісту комунікації. Він виводиться з таблиці близькості, за замовчуванням, для всього населення, що пересувається, а не для визначених цілей. Це провина за асоціацією, вироблена промислово, ще до будь-якого розслідування. Том Боуман, юрист Center for Democracy & Technology, підсумовує проблему на сторінках TechNewsWorld: те, що робить інструмент корисним для стеження за справжнім підозрюваним, робить його так само здатним стежити за всіма іншими водіями, жоден з яких не погоджувався на реєстрацію своїх пристроїв.

Leonardo протиставляє два аргументи: система не розшифровує і не читає зміст комунікацій та сама по собі не ідентифікує осіб. Обидва твердження точні, і обидва не стосуються суті. Шуканою розвідданою ніколи не був зміст, вона в метаданих про місцеперебування, красномовніших за повідомлення. Що ж до ідентифікації, сам виробник визнає, що слідчий може пов’язати електронний підпис із номером, а потім через реєстри транспортних засобів вийти на власника.

Американське право, написане для іншого

У Сполучених Штатах існують закони штатів, що регулюють зчитувачі номерів, і деякі з них вимогливі щодо строків зберігання та цілей доступу. Але всі вони писалися навколо одного точного предмета: зображення номерного знака. Жоден не передбачає зчитування ідентифікаторів особистих пристроїв тим самим обладнанням.

Ця розбіжність створює не незаконність, а сіру зону, зручнішу для продавця. Поліцейська служба може стверджувати, не брешучи, що її програма зчитувачів номерів дозволена й відповідає праву, водночас збираючи відтепер у тому самому режимі дані цілком іншої природи. Leonardo до того ж має федеральні контракти зі Special Operations Command і General Services Administration, тобто закупівельний шлях, який значною мірою обходить місцеві погодження.

Конституційна дискусія щойно зрушила, і тут потрібна точність, бо стан права змінився цього літа. У січні 2026 року федеральний суд Вірджинії вирішив у справі Schmidt v. City of Norfolk, що міська мережа камер Flock не становить обшуку у розумінні четвертої поправки, оскільки не охоплює всіх пересувань мешканців. Рішення оскаржується в Четвертому окрузі, де вступила в справу ACLU.

Потім, 29 червня 2026 року, Верховний суд ухвалив рішення Chatrie v. United States. П’ятьма голосами проти чотирьох, пером судді Кейган, він визнав, що отримання поліцією даних про місцеперебування телефона становить обшук, оскільки особа зберігає розумне очікування приватності щодо цих даних, навіть коли їх утримує третя сторона і навіть за короткий період. Рішення продовжує Carpenter v. United States 2018 року і послаблює доктрину третьої сторони, як зазначив CDT.

Точний обсяг дії Chatrie щодо SignalTrace не вирішено, і стверджувати протилежне було б необачно: рішення стосується даних, витребуваних у Google, а не прямого зчитування поліцейським датчиком у публічному просторі. Але воно встановлює міркування, яке має значення, а саме що чутливість даних про місцеперебування не залежить від того, хто ними володіє.

Європейське питання, яке і є справжнім питанням

Ось де справа стає незручною для Європи. Leonardo не американський постачальник, а італійська група, що котирується в Мілані, першим акціонером якої є італійське міністерство економіки і фінансів із приблизно 30 % капіталу та правом призначати більшість ради директорів. Італійська держава не є пасивним акціонером цього продукту.

Спершу технічний момент

У європейському праві ідентифікатор пристрою є персональними даними. Це не доктринальна думка, а стала позиція наглядових органів. CNIL прямо розглядає MAC-адресу як таку у своїй доктрині щодо систем вимірювання відвідуваності і допускає їх збирання в публічному просторі лише за вузьких умов: анонімізація протягом кількох хвилин із високим рівнем колізій між особами або надійна псевдонімізація з подальшим знищенням протягом двадцяти чотирьох годин, інакше згода стає обов’язковою. Та сама доктрина уточнює, що заклик до людей вимкнути Wi-Fi не є прийнятною формою заперечення.

Суд Європейського Союзу 4 вересня 2025 року у справі ЄІЗД проти ЄРО (C-413/23 P) уточнив, що персональний характер псевдонімізованих даних оцінюється з огляду на розумно доступні засоби повторної ідентифікації. Тут же володільцем є поліцейський орган, який має реєстри транспортних засобів. Засоби повторної ідентифікації не гіпотетичні, вони в сусідньому кабінеті.

Нюанс, який змінює все

Було б хибно написати, що SignalTrace «був би незаконним у Європі», і читач-юрист одразу це помітив би. Обробка, здійснювана компетентним органом із метою запобігання та розслідування злочинів, не підпадає під GDPR. Вона підпадає під директиву (ЄС) 2016/680, звану Поліцейською директивою, яку кожна держава-член імплементує окремо, у Франції розділом III закону про захист даних. CNIL нагадує, що цей режим автономний, із власними підставами правомірності та власними правами.

Отже, правильне питання полягає не в абстрактній законності, а в умовах. За цього режиму такий пристрій вимагав би прямої національної правової підстави, визначених цілей, доведеної необхідності, обмеженого строку зберігання, оцінки впливу та незалежного контролю. У Франції зчитувачі номерів урегульовані саме так: статті L233-1 і L233-1-1 кодексу внутрішньої безпеки встановлюють вичерпний перелік правопорушень, які дають право на їх використання, а строк зберігання залишається одним із найкоротших у Союзі, п’ятнадцять днів за загальним правилом, навіть якщо сенатський законопроєкт прагне його подовжити.

Це принципова відмінність від американської ситуації. У Сполучених Штатах закон регулює предмет, номерний знак, і мовчання про ідентифікатори пристроїв означає дозвіл. У Європі закон регулює цілі та категорії даних, і це мовчання означає радше заборону, за браком прямої правової підстави. Порожнеча, констатована за океаном, тут у такій самій формі не існує. Не тому, що Європа доброчесніша: її юридична техніка протилежна.

Чого тоді варта охорона

Залишається питання, задля якого написано цю статтю. Чого варта європейська регуляторна охорона, коли європейське підприємство, контрольоване державою-членом, продає за межі Європи спроможність, яку не могло б розгорнути вдома без нового закону?

Заперечення заслуговують на серйозне ставлення. Промисловець не відповідає за правові рамки свого клієнта: американська влада вирішує, що дозволяє в себе. Продукт продають не диктатурі, а правовій державі з активним верховним судом, як щойно нагадало Chatrie. І аргумент промислового суверенітету законний: якщо європейські групи заборонять собі ці ринки, їх займуть ізраїльські, американські або китайські постачальники, і стеження не відступить ані на метр, а Європа втратить свою технологічну базу.

Ці аргументи прийнятні. Вони не відповідають на проблему.

Насамперед тому, що Союз уже визнав: експорт засобів стеження не є звичайною торгівлею. Регламент (ЄС) 2021/821 про товари подвійного використання запровадив у статті 5 всеохопне застереження щодо засобів кіберстеження, бо законодавець визнав, що інструмент, законний у виробництві, може бути нелегітимним у пункті призначення. Його межа повчальна: воно спрацьовує за наявності ризику внутрішніх репресій або тяжких порушень прав людини, тобто категорій, придуманих для авторитарних режимів. Продаж американській муніципальній поліції до них не належить. Європейська сітка досліджує моральність клієнта, ніколи не досліджує природу проданої спроможності.

Далі тому, що такий продукт не запас, який розпродають, а спроможність, яку підтримують: вона фінансує дослідження, готує інженерів, накопичує ноу-хау і створює встановлену базу. Того дня, коли великий теракт спонукає державу-члена вимагати цю спроможність, дискусія вже не точитиметься про доцільність її створення. Вона існуватиме, буде європейською, буде зрілою, а її постачальник буде частково державним. Аргумент «ми лише йдемо за ринком» стає тоді замкненим колом, оскільки внутрішній ринок буде підготовлено експортом.

Ось чого варта регуляторна охорона в цьому сценарії: вона захищає європейців від застосувань, а не від існування засобів. Вона вирішує питання, хто має право натиснути кнопку, і залишає промисловості будувати його, продавати, вдосконалювати, а потім чекати.

Що можна зробити, не розповідаючи собі казок

Першою згаданою відповіддю завжди є рандомізація MAC-адреси. Вона заслуговує на чесний розгляд, без реклами й без приниження. Вона справжня і вона працює.

Android від версії 10 та iOS від версії 14 за замовчуванням рандомізують MAC-адресу, що використовується у Wi-Fi, з окремою адресою для кожної мережі. У Bluetooth Low Energy сучасні пристрої транслюють розв’язувані приватні адреси, які періодично змінюються і можуть бути пов’язані зі справжнім пристроєм лише співрозмовником, який має ключ розв’язання.

Її межі так само реальні.

Спарювання знову відчиняє двері. Ключ розв’язання передається під час спарювання. Пристрій, уже спарений або явно схвалений, знаходить сталу ідентичність за змінною адресою. Механізм для цього й задумано.
Багато предметів нічого не рандомізують. Датчики тиску в шинах, RFID-перепустки, ідентифікаційні чипи тварин, автомагнітоли та дешева периферія випромінюють сталі ідентифікатори. Специфікація Leonardo згадує саме ці категорії, і це не випадковість.
Рандомізацію можна вимкнути. Її вимикають мережа за мережею, і часто вона вимкнена задля зручності, для MAC-фільтрації на домашньому маршрутизаторі або через корпоративну політику.
Група переживає ротацію ідентифікаторів. Це найменш очевидний і найважливіший момент. SignalTrace шукає не ідентифікатор, а набір пристроїв, що подорожують разом. Якщо бодай один член групи випромінює сталий ідентифікатор, увесь набір лишається прив’язуваним, хоч якою була б дисципліна решти.

Найдієвіший захід залишається найнуднішим: не випромінювати. Це передбачає вимкнення Bluetooth і Wi-Fi на рівні системи, у налаштуваннях, а не з панелі швидкого доступу. Ця різниця не косметична, ми докладно описали її у статті про постійну геолокацію телефона: у більшості споживчих систем кнопка швидкої панелі обриває видиме спарювання, але лишає програмний стек живим, і аналіз близькості триває. Та стаття описувала сканування Bluetooth як теоретичний вектор. SignalTrace став його комерційним продуктом, каталогізованим і готовий до постачання.

Треба залишатися чесним щодо результату: ці заходи зменшують поверхню вразливості, вони її не скасовують. Автомобіль лишається номерним знаком, а номерний знак лишається читабельним. Єдиний спосіб нічого не випромінювати полягає в тому, щоб нічого не носити, а це не є публічною політикою.

Що це говорить про наші проєктні рішення

В Arpokrat саме це міркування привело нас до того, щоб обробляти Bluetooth на рівні Core ArpokratOS, а не на рівні налаштувань. Перемикач в інтерфейсі задає лише користувацьке налаштування: оновлення, системний застосунок або служба геолокації можуть його обійти чи знову ввімкнути, і користувач цього не знатиме. Відсутній стек знову ввімкнути неможливо.

Проти зчитування на кшталт SignalTrace це, звісно, не робить пристрій невиявним, і ми цього не стверджуємо: телефон лишається в мобільній мережі, а інші предмети в автомобілі випромінюють самі по собі. Що це гарантує, так це те, що конкретний вектор випромінювання відсутній за побудовою, а не вимкнений на довірі. Це теза, яку ми обстоювали щодо 5G і помилки цілі в праві: правовий захист зосереджується на доступі до даних, тоді як мав би стосуватися самого існування інфраструктури, що їх виробляє. SignalTrace є цьому ілюстрацією, з тією різницею, що ця інфраструктура будується в Європі.

Висновок

Найпримітніше в цій справі не технічна спроможність, яку дослідники описували роками. Це метод розгортання.

Не буде нової мережі камер, яку відкривають, не буде муніципального рішення, яке можна оскаржити, не буде публічної закупівлі, впізнаваної як зміна природи. Будуть модулі, додані до наявних щогл, за наявними контрактами, у вже дозволених програмах. Того дня, коли відкриється публічна дискусія, інфраструктура буде встановлена, амортизована і вбудована у слідчі процедури. Дискусія тоді точитиметься про умови доступу до бази, яка існує, і ніколи про доцільність її створення.

Це звичайний порядок речей у сфері стеження, і він не випадковий. Лишається дізнатися, чи вважає Європа, що їй є що сказати, коли її власні промисловці, спираючись на її власні держави, будують цю інфраструктуру для інших. Європейське право ретельно впорядкувало відповідь на питання, хто може переглядати ці дані в нас. Воно ніколи не поставило питання, хто має право будувати цю машину.

5G, дані про місцеперебування і хибна ціль права

Tue, 18 Aug 2026 00:00:00 +0000

У 2011 році поліція Детройта запитала в мобільного оператора історію під’єднання телефона Тімоті Карпентера до базових станцій. Вона отримала 12 898 точок місцеперебування за 127 днів, приблизно сотню на добу. Через сім років Верховний суд Сполучених Штатів визнав, що такий запит становить обшук і потребує ордера.

Ці 12 898 точок надходили від антен четвертого покоління, кожна з яких покривала радіус кількох кілометрів. Той самий запит, надісланий сьогодні до міської мережі 5G, повернув би не сотню точок на добу з похибкою в кілька кілометрів. Він повернув би значно більший обсяг із похибкою в кілька десятків метрів.

Технологія змінила масштаб. Юридичне міркування лишилося на тому самому місці ланцюга.

Правове благо, яке визнають судді по обидва боки Атлантики

Існує інтерес, який визнають майже всі й який майже жоден акт не захищає дієво: право перебувати десь без того, щоб цей факт фіксували.

Європейська судова практика встановила це недвозначно. У справі Digital Rights Ireland (об’єднані справи C-293/12 і C-594/12, 8 квітня 2014 року), а потім у справі Tele2 Sverige і Watson (об’єднані справи C-203/15 і C-698/15, велика палата, 21 грудня 2016 року) Суд Європейського Союзу постановив, що ці дані, взяті в сукупності, дозволяють робити дуже точні висновки про приватне життя осіб: звички повсякденного життя, місця перебування, пересування, здійснювані види діяльності та соціальні зв’язки.

Верховний суд Сполучених Штатів дійшов близького висновку у справі Carpenter v. United States, 585 U.S. 296 (2018). Він наголосив на моменті, який американська доктрина багато коментувала: невідворотний і автоматичний характер цього збирання. Ніхто не погоджується бути під’єднаним до антени: людина під’єднана тому, що має увімкнений телефон.

Отже, правове благо існує, і його визнають два суди, які в цій сфері мають вагу. Проблема в іншому.

Що насправді змінило 5G

Поширена плутанина полягає в тому, що місцеперебування трактують як дані, які телефон передає, так само як повідомлення чи світлину. Це не так. Місцеперебування є фізичним наслідком роботи мережі. Оператор знає, до якої антени під’єднано пристрій, бо мусить це знати, аби маршрутизувати виклик. Не існує жодного ключа, яким можна було б зашифрувати цю інформацію, адже це не зміст, а властивість самого з’єднання.

Саме це робить 5G значущим у правовій, а не в технічній площині.

Попередні архітектури спиралися на широкі стільники. Антена 4G зазвичай обслуговує радіус у кілька кілометрів, і позиція, виведена лише з факту під’єднання, вимірювалася сотнями метрів у місті, а іноді десятками кілометрів у сільській місцевості. 5G спирається на масове ущільнення: міські стільники покривають зазвичай кількасот метрів, а інженерна література оперує щільностями порядку сорока-п’ятдесяти базових станцій на квадратний кілометр проти чотирьох-п’яти за часів 3G.

Наслідок механічний. Згідно з білою книгою Ericsson про позиціювання в 5G, інфраструктура, розгорнута лише заради зв’язку, досягає точності від двадцяти до п’ятдесяти метрів надворі та від одного до трьох метрів у приміщенні, а за сприятливих міських умов опускається нижче метра. Ідеться не про десь увімкнену функцію геолокації, а про те, що мережа знає за самою своєю будовою, без жодного встановленого застосунку й без жодного наданого дозволу. Усі ці механізми, а також контрзаходи, які справді працюють, ми детально розібрали у статті про постійну геолокацію телефона.

Отже, втручання зросло на кілька порядків. Застосовна правова рамка лишається тією, що була задумана для 2G і 3G. Жодне нормативне пристосування цієї зміни масштабу не супроводжувало.

Право захищає доступ, а не породження

Європейське право ретельно регулює, хто може отримати доступ до даних про місцеперебування, за яких умов і під яким контролем. Директива 2002/58/ЄС закріплює принцип конфіденційності комунікацій, а Суд ЄС постановив у справі La Quadrature du Net (об’єднані справи C-511/18, C-512/18 і C-520/18, велика палата, 6 жовтня 2020 року), що стаття 15(1) цієї директиви, тлумачена у світлі статей 7, 8, 11 і 52(1) Хартії, не допускає загального і невибіркового зберігання даних про трафік і місцеперебування з превентивною метою. Суд, утім, припустив окреслені відступи, коли держава-член стикається із серйозною загрозою національній безпеці, що виявляється реальною і наявною або передбачуваною, за умови дієвого контролю.

Це справжні гарантії, і применшувати їх було б безглуздо. Але всі вони втручаються постфактум. Вони припускають, що дані існують, що вони зберігаються, і лише потім упорядковують умови їх використання.

Проте якщо місцеперебування є неминучим побічним продуктом роботи мережі, доречною точкою втручання є не конфіденційність. Це тривалість зберігання.

Миттєва позиція, потрібна для маршрутизації комунікації і стерта одразу після цього, не є інструментом стеження. Історія позицій, що зберігається місяцями, ним є, хай які гарантії доступу її оточують.

Різниця між ними не юридична, а архітектурна. І європейський календар робить питання нагальним, а не теоретичним. Комісія відкликала проєкт регламенту ePrivacy у 2025 році через відсутність згоди між співзаконодавцями. Відтоді вона працює над окремим інструментом щодо зберігання даних для цілей кримінального провадження, анонсованим на 2026 рік, який має узгодити національні режими, що стали різнорідними після скасування директиви 2006 року. Інакше кажучи, текст, який на десятиліття визначить режим метаданих про місцеперебування, пишеться просто зараз, на основі міркування, задуманого за часів кілометрових стільників.

Прецедент, який 5G створило саме

Найцікавіше в цій справі те, що правильна відповідь уже міститься в технічному стандарті, але застосована до іншого об’єкта.

Аж до 4G постійний ідентифікатор абонента, IMSI, передавався у відкритому вигляді радіоінтерфейсом під час під’єднання. Саме це уможливило IMSI catcher’и, ті фальшиві базові станції, які, за еталонним описом Electronic Frontier Foundation, випромінюють потужніше за легітимні антени, щоб приваблювати термінали й перехоплювати їхній ідентифікатор.

Починаючи з Release 15 специфікацій 3GPP, опублікованого у 2019 році, 5G дає елегантну відповідь. Постійний ідентифікатор, тепер званий SUPI, може бути замінений на радіоінтерфейсі на SUCI, прихований ідентифікатор, отриманий шифруванням абонентської частини за допомогою криптографії на еліптичних кривих відкритим ключем домашнього оператора. Розшифрувати його може лише домашня мережа, яка володіє відповідним приватним ключем. Результат унікальний за кожного обчислення, що унеможливлює кореляцію між сесіями.

Обрана логіка варта підкреслення, бо вона саме та, якою мав би керуватися законодавець: шифрують не позицію, що було б технічно неможливо, шифрують ідентичність. Позиція без прив’язної ідентичності має вельми обмежену цінність для індивідуалізованого стеження.

Вада: захист є факультативним

Проте існує суттєве застереження, і це, на нашу думку, найконкретніша точка втручання в усій справі.

Біла книга NIST CSWP 36A, опублікована в березні 2026 року National Institute of Standards and Technology, каже це без манівців. Термінали й мережеві функції, що відповідають Release 15 або пізнішому, зобов’язані підтримувати SUCI, але його увімкнення лишається факультативним для оператора. Мають збігтися три умови: виробник обладнання має його підтримувати, оператор має увімкнути його у своїй мережі, а SIM-картка має містити елементи, потрібні для обчислення.

До цього додається конфігураційна пастка. Стандарт передбачає нульову схему захисту, за якої формат SUCI формально застосовується, але без дійсного шифрування, тож ідентифікатор іде у відкритому вигляді. NIST пише, що оператор має налаштувати свою мережу з ненульовою схемою захисту, і нагадує, що звіт CSRIC, дорадчого органу Federal Communications Commission, ще у 2021 році радив залишити нульову схему винятково для екстрених викликів із термінала, невідомого мережі.

Це формулювання варто лишити як є. Найкращий доступний захист від стеження за мобільними терміналами існує в технічному стандарті з 2019 року. Він тримається на конфігураційному виборі, залишеному на розсуд оператора. Американське федеральне агентство вважає за потрібне опублікувати у 2026 році документ, аби нагадати, що його слід було б увімкнути. І жоден європейський правовий інструмент цього не вимагає.

Треба додати, що SUCI не закриває тему. Праці, представлені під назвою 5G SUCI-catchers: still catching them all?, документують атаки зв’язування, що дозволяють повторно корелювати сесії попри шифрування, а захист падає цілком, якщо нападник змусить термінал перейти на попереднє покоління. Отже, правовий обов’язок не розв’язав би всього. Проте він усунув би розрив, який не має жодного захисного виправдання: між тим, що дозволяє стандарт, і тим, що роблять комерційні мережі.

Три послідовні втручання

Якщо серйозно поставитися до думки, що місцеперебування слід мінімізувати на етапі проєктування, а не захищати постфактум, логічно напрошуються три заходи.

Зробити обов’язковим дієве приховування ідентифікатора. Приписати увімкнення SUCI і заборонити нульові схеми захисту в комерційних мережах, окрім залишкового випадку екстрених викликів. Ідеться не про припис нової технології й не про фінансування розгортання, а про вимогу увімкнути функцію, стандартизовану сім років тому і вже наявну в обладнанні.
Розглядати зберігання як виняток, а не як усталене за замовчуванням. Позиція, потрібна для маршрутизації комунікації, має стиратися, щойно цю функцію виконано. Формування історії має вимагати окремого обґрунтування. Це різниця між мережею, яка знає, де ви є, і мережею, яка пам’ятає, де ви були.
Зробити володіння ключем належним колізійним прив’язуванням. Розташування серверів у Союзі мало що означає, якщо ключі, які роблять дані зрозумілими, перебувають деінде. Юридично значущим критерієм мало б бути дійсне панування над засобами розшифрування, питання, яке ми детально розглянули у зв’язку з конфліктом між Data Act і CLOUD Act.

Кут зору, якого дотримується Arpokrat

Це міркування не властиве лише телекомунікаційному праву. Саме його ми застосовуємо до власних архітектурних рішень, і воно вміщається в одне речення: те, що не було вироблене, не потребує захисту.

Тому ArpokratOS вилучає GPS, Bluetooth і NFC на рівні ядра, а не вимикає їх у меню. Перемикач є політикою: його може обійти привілейований компонент, знову увімкнути оновлення, зігнорувати скомпрометована система. Вилучення шляху в коді знімає саме питання. Це перенесення на масштаб пристрою того самого зміщення, якого ми прагнемо на масштабі права: втручатися на етапі породження, а не доступу.

Слід одразу сказати, чого це не робить. Жодна операційна система не виводить термінал за межі геометрії мережі. Доки SIM-картка активна, оператор знає стільник під’єднання, і повне маршрутизування трафіку через Tor цього не змінює, бо воно захищає зміст і призначення, а не радіорівень. Саме тому тема є правовою. Існує категорія ризиків, яких не зменшує жодне індивідуальне налаштування і для яких єдиною доступною змінною є правило, застосовне до оператора.

Та сама турбота керує рештою нашої роботи. Дані, яких не існує, неможливо ні витребувати, ні перепродати, ні викрасти, ні розшифрувати за десять років машиною, якої сьогодні ні в кого немає, питання, яке ми розглянули під кутом шифрування, зібраного зараз і зламаного згодом.

Висновок

Публічна дискусія про мобільне стеження зосереджена майже винятково на доступі: хто може переглядати дані, на якій підставі, з яким дозволом. Ця дискусія законна, і рішення, ухвалені Судом ЄС від 2014 року, дали відчутні наслідки. Але вона втручається в ланцюг надто пізно.

Питання, що передує їй і є визначальнішим, полягає в тому, чи має історія існувати взагалі. База, створена сьогодні з законної підстави, лишається доступною завтра для іншої, а гарантії довкола неї залежать від пізніших політичних рішень, які в момент збирання ніхто не контролює. Це ставка на стабільність інституцій, зроблена на строк, якого ніхто не встановлює.

5G примножило роздільність цієї інформації без жодного нормативного пристосування. Водночас воно показало, через механізм SUCI, що придатний шлях полягає у відокремленні позиції від ідентичності, а не в спробі зашифрувати фізичну властивість мережі. Технічний стандарт дав відповідь за сім років до того, як право поставило запитання.

Європейський текст про зберігання даних пишеться зараз. Він стосуватиметься метаданих, отже місцеперебування, отже того, що 5G нині виробляє з точністю, якої його автори не знали. Чи обмежиться він упорядкуванням доступу до історії, узятої як даність, чи наважиться запитати про необхідність цієї історії, є, ймовірно, найважливішим питанням приватності найближчих років у Європі. І це питання, яке технічний сектор, цього разу, вже вирішив у правильний бік.

Джерела

Суд Європейського Союзу, Digital Rights Ireland, об’єднані справи C-293/12 і C-594/12, 8 квітня 2014 року
Суд Європейського Союзу, Tele2 Sverige і Watson, об’єднані справи C-203/15 і C-698/15, велика палата, 21 грудня 2016 року
Суд Європейського Союзу, La Quadrature du Net та інші, об’єднані справи C-511/18, C-512/18 і C-520/18, велика палата, 6 жовтня 2020 року
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, березень 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta та ін., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act проти CLOUD Act: хто насправді контролює ваші дані в хмарі?

Fri, 19 Jun 2026 00:00:00 +0000

Упродовж багатьох років світ функціонував на основі простого припущення: дані мають фізичне місце зберігання. Якщо вони знаходилися на сервері в Дубліні, то підпадали під дію ірландського та європейського права. Це припущення зруйнувалося у 2018 році, коли Сполучені Штати ухвалили CLOUD Act — закон, що надає американським органам влади доступ до даних, якими керують американські компанії, незалежно від того, де ці дані фізично зберігаються у світі. Кілька років потому Брюссель відповів власним захисним інструментом: Data Act, що нині повністю набрав чинності і намагається обмежити екстериторіальний доступ органів влади третіх країн до даних, що зберігаються в Європейському Союзі.

Нижче наведено, що насправді передбачають ці два документи, де вони вступають у суперечність і чому єдиним справді надійним захистом від цього конфлікту залишається технічна неможливість доступу.

Американський CLOUD Act: доступ, заснований на контролі, а не на місцезнаходженні

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), ухвалений у березні 2018 року, вніс зміни до американського законодавства, доповнивши його статтею 18 U.S. Code § 2713. Цей текст зобов’язує будь-якого постачальника послуг електронного зв’язку або дистанційної комп’ютерної обробки даних зберігати, захищати або розкривати вміст повідомлення чи будь-який пов’язаний із ним запис, якщо ці дані перебувають у його володінні, під його охороною або контролем, незалежно від того, знаходяться ці дані всередині чи за межами Сполучених Штатів.

Саме це останнє положення змінює все. Критерієм є вже не фізичне місцезнаходження сервера, а контроль, який материнська компанія здійснює над своїми дочірніми структурами. Таким чином, американська компанія, що управляє центрами обробки даних у Європі, залишається підпорядкованою американським запитам, навіть якщо дані зберігаються виключно на території Європи.

Європейський Data Act: юридичний бар’єр для екстериторіального доступу

Регламент (ЄС) 2023/2854, відомий як Data Act, набрав чинності 11 січня 2024 року і повністю застосовується з 12 вересня 2025 року, при цьому окремі положення розподілені до 2026 і 2027 років. Його стаття 32 безпосередньо регулює питання міжнародного урядового доступу до даних.

Документ встановлює чітке правило: будь-яке рішення або вирок суду чи адміністративного органу третьої країни, що вимагає від постачальника послуг обробки даних передати або надати доступ до неперсональних даних, що зберігаються в Європейському Союзі, визнається та підлягає виконанню лише за наявності міжнародної угоди, наприклад договору про взаємну правову допомогу (MLA), що діє між країною-заявником та Союзом або між цією країною та відповідною державою-членом.

За відсутності такої угоди стаття 32 передбачає другий шлях, але з суворими обмеженнями: іноземне рішення може бути виконане лише в тому разі, якщо правова система третьої країни вимагає, щоб запит був обґрунтованим, пропорційним і достатньо конкретним — наприклад, встановлюючи чіткий зв’язок із певними особами або конкретними правопорушеннями, — і якщо мотивована заперечення адресата може бути подана на розгляд компетентного суду цієї третьої країни.

Пряме юридичне зіткнення

Проблема є очевидною: CLOUD Act вимагає розкриття даних на підставі контролю материнської компанії, без умови пропорційності, порівнянної з тією, що вимагається європейським правом. Data Act, навпаки, обумовлює визнання такого запиту наявністю міжнародної угоди або конкретних процесуальних гарантій. Американська компанія, що діє в Європі і отримала від американського органу влади вимогу передати дані, що зберігаються в ЄС, опиняється між двома суперечливими правовими зобов’язаннями: виконати американський мандат, порушивши право Союзу, або дотриматися Data Act, ризикуючи зазнати наслідків відмови в Сполучених Штатах.

Ця напруга не є теоретичною. Вона вже була задокументована Судом справедливості Європейського Союзу (CJEU) у двох ключових рішеннях — Schrems I (2015) та Schrems II (2020). В рішенні у справі Schrems II CJEU постановив, що американське спостереження, яке здійснюється на підставі Розділу 702 FISA (Foreign Intelligence Surveillance Act) та Виконавчого наказу 12333, не відповідає мінімальним гарантіям, що вимагаються правом Союзу згідно з принципом пропорційності, і тому не може вважатися обмеженим тим, що є суворо необхідним. Суд також зазначив відсутність ефективного судового захисту для осіб, яких стосується ЄС, що є порушенням статті 47 Хартії основних прав. Це рішення визнало недійсною систему Privacy Shield, яка до того часу регулювала передачу даних між ЄС і Сполученими Штатами.

Структурний ризик: Harvest Now, Decrypt Later

Окрім конфлікту юрисдикцій, на дані, що зберігаються в інфраструктурах, підпорядкованих американському праву, нависає більш прихована загроза: стратегія під назвою Harvest Now, Decrypt Later (HNDL). Принцип полягає в тому, що розвідувальна служба або ворожий державний актор перехоплює та зберігає вже сьогодні зашифровані дані, очікуючи на достатні квантові обчислювальні потужності для їх розшифрування в майбутньому.

Ця стратегія перетворює будь-яку тривалу залежність від американської хмарної інфраструктури на відкладений борг безпеки: те, що сьогодні є конфіденційним, може стати доступним для читання через десять або п’ятнадцять років, без будь-яких додаткових дій з боку зловмисника — лише час і терпіння.

Чому лише технічна неможливість є справжньою гарантією

Юридичний аналіз приводить до висновку, якого дотримуються численні експерти з відповідності: яким би міцним не був правовий каркас Data Act, він залишається документом, який геополітичні відносини сил і дипломатичний тиск можуть обійти, затримати або переінтерпретувати. Єдиний захист, що не залежить від жодних майбутніх переговорів, — це технічна неможливість виконання.

Архітектура zero knowledge, за якої постачальник ніколи не має у своєму розпорядженні та під своєю охороною ключів дешифрування, робить будь-який запит матеріально нездійсненним. Не можна бути змушеним видати те, чим ніколи не володів.

Саме ця логіка лежить в основі таких екосистем, як Arpokrat:

Юрисдикційна нейтралізація: інфраструктура розміщена у Швейцарії, під режимом федерального закону про захист даних (LPD/FADP), поза прямою сферою дії екстериторіальності CLOUD Act
Відсутність зберігання: архітектура zero knowledge позбавляє постачальника будь-якої можливості передати ключі або вміст, яким він ніколи не володіє
Зменшення ідентифікаційного сліду: усуваючи обов’язкову реєстрацію за номером телефону або адресою електронної пошти — ідентифікаторів, які спостереження на підставі Розділу 702 FISA може легко відстежувати, — користувач перестає бути ідентифікованим абонентом і стає анонімним криптографічним ключем

Ланцюг зберігання не закінчується шифруванням повідомлень

Аспект, який часто недооцінюється в аналізах відповідності: недостатньо шифрувати вміст повідомлення, якщо базова операційна система — Android чи iOS — продовжує збирати метадані або телеметрію на рівні ядра, надсилаючи їх на сервери, підпорядковані американській юрисдикції. Захист таємниці вимагає повного закриття ланцюга зберігання — від вмісту до самої матеріальної інфраструктури.

Саме тому цифровий суверенітет передбачає також роздуми щодо операційної системи, а не лише щодо застосунків для обміну повідомленнями. Дегуглізовані системи, де такі модулі, як Bluetooth або геолокація GNSS, можуть бути відключені безпосередньо на рівні ядра, усувають фізичні вектори атак, які жодне прикладне шифрування не може компенсувати.

Постквантова криптографія: горизонт, що вже наближається

Перед лицем загрози, яку становить стратегія HNDL, впровадження стандартів постквантової криптографії (PQC) стає необхідністю для всіх, хто прагне гарантувати конфіденційність чутливих даних у довгостроковій перспективі — будь то комерційні таємниці, ділове листування чи медичні дані. Шифрування, яке сьогодні вважається надійним за класичними стандартами, не гарантує стійкості до квантових обчислювальних потужностей, що очікуються протягом наступних п’ятнадцяти років.

Конфлікт між Data Act та CLOUD Act ілюструє ширшу реальність: цифровий суверенітет більше не може будуватися виключно на законодавчих текстах, якими б міцними вони не були. Він вимагає повного закриття ланцюга зберігання на кожному рівні — від протоколу шифрування до юрисдикції розміщення, включно з самою операційною системою. Саме цей багаторівневий підхід, а не довіра, що спирається на єдину нормативну базу, визначає сьогодні справжній цифровий суверенітет за задумом.

Кінець конфіденційності? Бекдори, Online Safety Act та відповідь суверенних екосистем

Wed, 10 Jun 2026 00:00:00 +0000

Лондон став епіцентром глобальної битви за майбутнє цифрової конфіденційності. З ухваленням закону Online Safety Act 2023 (OSA) та нещодавніми пропозиціями щодо перегляду закону Investigatory Powers Act (IPA) — прозваного його критиками «Хартією шпигунів» —, британський уряд привласнює собі право нав’язувати зобов’язання зі стеження в самому серці приватних комунікацій. Переломним моментом стала влада, надана регулятору OFCOM, вимагати від платформ впровадження «акредитованої технології» для виявлення матеріалів, що містять сексуальне насильство над дітьми (CSEA), або тероризму, в тому числі всередині комунікацій з наскрізним шифруванням.

Для великих цифрових платформ послання Вестмінстера є недвозначним: або вони сприяють доступу держави до своїх інфраструктур, або стикаються зі штрафами в розмірі до 10% від їхнього світового доходу. Реакція була миттєвою: такі сервіси, як Signal та WhatsApp, публічно пригрозили піти з британського ринку, відмовившись ставити під загрозу безпеку своїх користувачів заради задоволення однієї єдиної юрисдикції. Технічний аргумент важко оскаржити: не існує майстер-ключа, зарезервованого лише для легітимних суб’єктів. Відкриті двері для правоохоронних органів за своєю конструкцією є відкритими дверима для кіберзлочинців та іноземних спецслужб.

Бізнес-модель великих платформ: структурна перешкода для Zero-Knowledge

Опір великих платформ впровадженню шифрування типу Zero-Knowledge пояснюється не технічною нездатністю, а фундаментальною економічною несумісністю. Компанії на кшталт Alphabet і Meta спираються на моделі монетизації, засновані на систематичному зборі поведінкових даних. Ця модель, до речі, неявно визнається Законом про цифрові ринки (DMA) Європейського Союзу, який класифікує цих «воротарів» (gatekeepers) як організації, чиє домінуюче становище підживлюється саме накопиченням даних у безпрецедентних масштабах. Для цих гравців впровадження архітектури Zero-Knowledge означало б позбавлення їхніх рекламних систем безперервної ідентифікації користувачів, яка є їхнім паливом. Таким чином, це не технічний вибір, а компроміс між конфіденційністю користувачів та життєздатністю їхньої бізнес-моделі.

Стратегічний ризик: загроза «Harvest Now, Decrypt Later»

Крім дебатів про конфіденційність, ослаблення шифрування піднімає питання національної безпеки зовсім іншого масштабу. Стратегія, відома як Harvest Now, Decrypt Later (HNDL), полягає в тому, що державні супротивники вже сьогодні перехоплюють і зберігають величезні обсяги зашифрованих повідомлень в очікуванні майбутніх можливостей квантового розшифрування. Ослаблюючи поточні стандарти шифрування, британська законодавча база об’єктивно сприяє проведенню операцій такого типу проти урядових, дипломатичних або промислових комунікацій.

Саме в цьому контексті дефіциту довіри екосистеми, подібні до Arpokrat, набувають експлуатаційної значущості. Працюючи в рамках Федерального закону Швейцарії про захист даних (FADP), з архітектурою, яка не збирає жодних цивільних ідентифікаторів, Arpokrat пропонує технічний розрив з інфраструктурами, що підпадають під британську юрисдикцію — гарантуючи, що система залишається глухою до приписів, передбачених OSA.

Конфлікт норм: OSA та IPA проти європейського права

Юридичний аналіз нових прерогатив британської держави виявляє пряме зіткнення з основами європейського права щодо захисту даних та конфіденційності зв’язку.

OSA проти заборони на загальне стеження

Стаття 121 OSA вводить для OFCOM можливість видавати приписи, що примушують платформи впроваджувати сканування на боці клієнта (client-side scanning). Цей захід прямо суперечить принципу, що випливає з європейського права і включений до судової практики Суду Європейського Союзу (CJEU), який забороняє загальні зобов’язання зі стеження. Нав’язуючи «вразливість за дизайном» (vulnerability by design), це також ставить компанії в ситуацію подвійного примусу: послаблюючи свою безпеку для виконання державного мандата, вони не виконують своє зобов’язання щодо забезпечення рівня безпеки, відповідного обробці, як це закріплено в статті 32 GDPR.

Директива ePrivacy та конфіденційність комунікацій

Сканування приватних повідомлень прямо суперечить статті 5, абзац 1 Директиви 2002/58/EC (ePrivacy), яка зобов’язує держави-члени гарантувати конфіденційність електронних комунікацій і забороняє будь-які форми перехоплення або стеження без явної згоди відповідних користувачів.

Technical Capability Notices та блокування оновлень безпеки

В рамках режиму IPA 2016 британський уряд тепер має намір використовувати Повідомлення про технічні можливості (Technical Capability Notices - TCN) для блокування оновлень безпеки до їх розгортання. Цей механізм створює нерозв’язний конфлікт із зобов’язанням, встановленим статтею 32 GDPR, щодо забезпечення безперервної безпеки систем обробки — зобов’язанням, яке вимагає саме здатності застосовувати виправлення (patches) без зволікання або зовнішнього втручання.

Ризики комплаєнсу для компаній, що працюють в Європі

Перегляди IPA спрямовані на те, щоб змусити компанії повідомляти британський уряд про будь-які технічні зміни, що впливають на безпеку, до їх впровадження, надаючи йому таким чином право вето на розробку продуктів. Це втручання створює значну правову нестабільність для постачальників, що працюють на європейському ринку: відповідність Великобританії європейському праву — і без того крихка — може бути поставлена під сумнів, якщо Великобританія більше не гарантуватиме захист, по суті еквівалентний захисту GDPR. Отже, передача даних до Великобританії в цих нових рамках, ймовірно, піддасть компанії санкціям відповідно до GDPR.

Захист через технічну неможливість: принцип Zero-Knowledge як правовий щит

Міжнародна судова практика, консолідована рішеннями Schrems I та Schrems II Суду ЄС, встановила визначальний принцип: єдиним надійним захистом від непропорційного стеження є технічна неможливість доступу до даних. Архітектури Zero-Knowledge застосовують цей принцип у трьох рівнях захисту:

Відсутність зберігання: оскільки платформа не зберігає ключі розшифрування, будь-який припис сканувати повідомлення є технічно нездійсненним;
Суверенітет операційної системи: контроль над ArpokratOS усуває телеметрію, яка живить збір розвідданих на рівні пристрою;
Швейцарська юрисдикційна прив’язка: розміщуючи свою інфраструктуру у Швейцарії, Arpokrat працює в правовому режимі, що вимагає індивідуалізованих і мотивованих запитів про взаємну правову допомогу, нейтралізуючи автоматизоване виконання масових сканувань, передбачених OSA.

Висновок

Положення OSA та перегляди IPA становлять загрозу не лише для конфіденційності приватних осіб: вони є порушенням правової визначеності для всіх європейських даних, що проходять через інфраструктури, які підпадають під британську юрисдикцію. Узаконюючи ослаблення шифрування в ім’я громадської безпеки, Лондон парадоксальним чином піддає своїх союзників і торгових партнерів ризикам промислового і державного шпигунства, які архітектури Zero-Knowledge якраз і покликані запобігати.

Цілісність професійних та інституційних комунікацій тепер вимагає структурної відповіді: переходу до децентралізованих екосистем, що гарантують цифровий суверенітет, від рівня коду до юрисдикційної прив’язки.

Бомба сповільненої дії: Збери зараз, розшифруй потім та імператив Zero-Knowledge

Tue, 26 May 2026 00:00:00 +0000

Залежність європейських урядів від американської хмарної інфраструктури — це більше, ніж проблема негайного перехоплення. Найбільш руйнівною загрозою є стратегія HNDL: «Harvest Now, Decrypt Later».

Це не лобове вторгнення, а тиха крадіжка. Спецслужби сьогодні зберігають величезні обсяги зашифрованих даних просто тому, що вартість зберігання стала мізерною.

Вони терпляче чекають моменту, коли технологічні стрибки зроблять сучасні криптографічні ключі застарілими. Державна таємниця 2026 року може стати відкритою книгою через п’ятнадцять років.

Зворотна відповідальність і часовий ризик

Модель HNDL вводить нове поняття: відкладена правова шкода. Конфіденційність стає змінною, залежною від часу.

Модель HNDL визначає, що конфіденційність неминуче порушується, коли необхідний термін життя секрету перевищує горизонт розшифрування супротивника.

Якщо держава не гарантує абсолютний суверенітет своєї апаратної інфраструктури, вона практично відмовляється від довгострокової конфіденційності своїх громадян.

Сьогоднішнє перехоплення — це завтрашній злам. Перетворення залежності від хмар на борг національної безпеки — це авантюра, яку неможливо виплатити.

Антитеза Arpokrat: Юридична неможливість через код

У відповідь індустрія створює радикальні екосистеми цифрового суверенітету. Модель Arpokrat працює в децентралізованій мережі, захищеній суворим Швейцарським законом про захист даних (FADP).

Центральна логіка — абсолютний Privacy by Design. Користувач стає просто криптографічним ключем без фізичної ідентичності.

Юридично, якщо архітектура є фундаментально Zero-Knowledge, компанія стикається з технічною неможливістю виконувати іноземні ордери.

Це не зупинний математичний і юридичний захист: те, чого у вас немає, не може бути розкрито.

Поза межами шифрування: Знецінення цільових даних

Справжня відповідь у додатку Arpokrat полягає не в ставці на вічну математику, а в тому, щоб знецінити самі дані.

Без центральних метаданих для зв’язування повідомлення з людиною зашифрований вміст втрачає свою стратегічну цінність.

Проте саме лише програмне забезпечення безсиле, якщо апаратне забезпечення його зраджує.

Безпека у 21 столітті вимагає незалежності самої машини. Розгортання суверенної ОС без Google стало абсолютною вимогою виживання.