Стеження on Arpokrat

SignalTrace: Європа експортує стеження, якого не дозволяє собі

Tue, 01 Sep 2026 00:00:00 +0000

Сірий седан проїжджає під автострадною рамкою на швидкості 110 км/год. Камера на щоглі зчитує номер, ставить позначку часу, зберігає його. Нічого нового: такі пристрої існують уже двадцять років і встановлені десятками тисяч як у Північній Америці, так і в Європі.

Але якщо ця рамка отримала модуль, який італійська група Leonardo продає з червня 2026 року, вона щойно зафіксувала ще дещо. iPhone водія. Бездротові навушники пасажирки. Розумний годинник на панелі приладів. Автомагнітолу. Підключений брелок у бардачку. Датчики тиску всіх чотирьох шин. Перепустку, що залишилася в піджаку. І, якщо ззаду спить собака, його ідентифікаційний чип.

Десяток ідентифікаторів, номер, позиція, час. Повторіть це на кожній рамці мережі, і ви вже стежите не за автомобілем: ви стежите за людьми і знаєте, з ким вони пересуваються.

Що пристрій робить насправді

Продукт називається SignalTrace. Його продає Leonardo US Cyber and Security Solutions, і він доповнює лінійку ELSAG, одну з найпоширеніших ліній автоматичних зчитувачів номерних знаків на американському ринку. Про його існування 8 червня 2026 року повідомив Джозеф Кокс у 404 Media на основі продуктової специфікації виробника.

Вирішальний момент вміщається в одне речення: йдеться не про нові камери. SignalTrace є радіодатчиком, доданим до вже встановлених зчитувачів номерів. Щогла не змінюється, розташування не змінюється, силует обладнання при дорозі не змінюється. Змінюється те, що це обладнання слухає.

Датчик записує ідентифікатори, які у відкритому вигляді транслюють протоколи Bluetooth, Wi-Fi і RFID пристроїв, що перебувають в автомобілі. Технічний момент, який часто розуміють хибно: жоден пристрій не зламують і жодну вразливість не використовують. Пристрій Bluetooth або Wi-Fi постійно надсилає кадри виявлення, бо ці протоколи так задумані. Ваші навушники оголошують свою присутність, щоб телефон їх знайшов, а сам телефон опитує довколишній ефір у пошуках знайомих мереж. Ці випромінювання публічні за побудовою, і їх чує будь-який приймач у зоні дії.

Leonardo, до речі, уточнює, що система працює зі зчитувачем номерів або без нього, зокрема й у приміщеннях, і розпізнає автомобіль, номер якого закрито або знято.

Ось справжня політична тема: дообладнання вже наявної техніки. Встановлення нової мережі камер запускає голосування, обговорення, іноді судовий процес. Додавання електронної плати в уже погоджений корпус не запускає нічого. Спроможність стеження змінює свою природу без публічної дискусії, бо матеріально немає нічого нового, що можна побачити.

Від автомобіля до особи, і від особи до групи

Зчитувач номерів відповідає на одне питання: де був цей автомобіль. SignalTrace додає ще два: хто в ньому був і з ким.

Leonardo цього не приховує, це аргумент продажу. Система формує те, що документація називає електронним відбитком, набір ідентифікаторів, які «часто випромінюються разом». Приклад виробника промовистий: у цілому місті лише один автомобіль поєднає iPhone 13rev2, автомагнітолу Audi, навушники Bose, годинник Garmin, шукач ключів і номер ABC-1234.

Продукт не обмежується стеженням за автомобілями. Він автоматично створює граф зв’язків між людьми, без того щоб хтось мусив висловити бодай найменшу підозру.

Саме тут відбувається якісний стрибок. Співвідносячи пристрої, які регулярно подорожують разом, система механічно вибудовує соціальний граф. Два телефони, що зустрічаються щоранку в одному автомобілі, означають спільні поїздки або стосунки, які жодна зі сторін не хоче оприлюднювати. П’ятдесят пристроїв, зафіксованих в одному місці в один час, означають зібрання: демонстрація, богослужіння, профспілкові збори або черга перед клінікою.

Жоден із цих висновків не потребує доступу до змісту комунікації. Він виводиться з таблиці близькості, за замовчуванням, для всього населення, що пересувається, а не для визначених цілей. Це провина за асоціацією, вироблена промислово, ще до будь-якого розслідування. Том Боуман, юрист Center for Democracy & Technology, підсумовує проблему на сторінках TechNewsWorld: те, що робить інструмент корисним для стеження за справжнім підозрюваним, робить його так само здатним стежити за всіма іншими водіями, жоден з яких не погоджувався на реєстрацію своїх пристроїв.

Leonardo протиставляє два аргументи: система не розшифровує і не читає зміст комунікацій та сама по собі не ідентифікує осіб. Обидва твердження точні, і обидва не стосуються суті. Шуканою розвідданою ніколи не був зміст, вона в метаданих про місцеперебування, красномовніших за повідомлення. Що ж до ідентифікації, сам виробник визнає, що слідчий може пов’язати електронний підпис із номером, а потім через реєстри транспортних засобів вийти на власника.

Американське право, написане для іншого

У Сполучених Штатах існують закони штатів, що регулюють зчитувачі номерів, і деякі з них вимогливі щодо строків зберігання та цілей доступу. Але всі вони писалися навколо одного точного предмета: зображення номерного знака. Жоден не передбачає зчитування ідентифікаторів особистих пристроїв тим самим обладнанням.

Ця розбіжність створює не незаконність, а сіру зону, зручнішу для продавця. Поліцейська служба може стверджувати, не брешучи, що її програма зчитувачів номерів дозволена й відповідає праву, водночас збираючи відтепер у тому самому режимі дані цілком іншої природи. Leonardo до того ж має федеральні контракти зі Special Operations Command і General Services Administration, тобто закупівельний шлях, який значною мірою обходить місцеві погодження.

Конституційна дискусія щойно зрушила, і тут потрібна точність, бо стан права змінився цього літа. У січні 2026 року федеральний суд Вірджинії вирішив у справі Schmidt v. City of Norfolk, що міська мережа камер Flock не становить обшуку у розумінні четвертої поправки, оскільки не охоплює всіх пересувань мешканців. Рішення оскаржується в Четвертому окрузі, де вступила в справу ACLU.

Потім, 29 червня 2026 року, Верховний суд ухвалив рішення Chatrie v. United States. П’ятьма голосами проти чотирьох, пером судді Кейган, він визнав, що отримання поліцією даних про місцеперебування телефона становить обшук, оскільки особа зберігає розумне очікування приватності щодо цих даних, навіть коли їх утримує третя сторона і навіть за короткий період. Рішення продовжує Carpenter v. United States 2018 року і послаблює доктрину третьої сторони, як зазначив CDT.

Точний обсяг дії Chatrie щодо SignalTrace не вирішено, і стверджувати протилежне було б необачно: рішення стосується даних, витребуваних у Google, а не прямого зчитування поліцейським датчиком у публічному просторі. Але воно встановлює міркування, яке має значення, а саме що чутливість даних про місцеперебування не залежить від того, хто ними володіє.

Європейське питання, яке і є справжнім питанням

Ось де справа стає незручною для Європи. Leonardo не американський постачальник, а італійська група, що котирується в Мілані, першим акціонером якої є італійське міністерство економіки і фінансів із приблизно 30 % капіталу та правом призначати більшість ради директорів. Італійська держава не є пасивним акціонером цього продукту.

Спершу технічний момент

У європейському праві ідентифікатор пристрою є персональними даними. Це не доктринальна думка, а стала позиція наглядових органів. CNIL прямо розглядає MAC-адресу як таку у своїй доктрині щодо систем вимірювання відвідуваності і допускає їх збирання в публічному просторі лише за вузьких умов: анонімізація протягом кількох хвилин із високим рівнем колізій між особами або надійна псевдонімізація з подальшим знищенням протягом двадцяти чотирьох годин, інакше згода стає обов’язковою. Та сама доктрина уточнює, що заклик до людей вимкнути Wi-Fi не є прийнятною формою заперечення.

Суд Європейського Союзу 4 вересня 2025 року у справі ЄІЗД проти ЄРО (C-413/23 P) уточнив, що персональний характер псевдонімізованих даних оцінюється з огляду на розумно доступні засоби повторної ідентифікації. Тут же володільцем є поліцейський орган, який має реєстри транспортних засобів. Засоби повторної ідентифікації не гіпотетичні, вони в сусідньому кабінеті.

Нюанс, який змінює все

Було б хибно написати, що SignalTrace «був би незаконним у Європі», і читач-юрист одразу це помітив би. Обробка, здійснювана компетентним органом із метою запобігання та розслідування злочинів, не підпадає під GDPR. Вона підпадає під директиву (ЄС) 2016/680, звану Поліцейською директивою, яку кожна держава-член імплементує окремо, у Франції розділом III закону про захист даних. CNIL нагадує, що цей режим автономний, із власними підставами правомірності та власними правами.

Отже, правильне питання полягає не в абстрактній законності, а в умовах. За цього режиму такий пристрій вимагав би прямої національної правової підстави, визначених цілей, доведеної необхідності, обмеженого строку зберігання, оцінки впливу та незалежного контролю. У Франції зчитувачі номерів урегульовані саме так: статті L233-1 і L233-1-1 кодексу внутрішньої безпеки встановлюють вичерпний перелік правопорушень, які дають право на їх використання, а строк зберігання залишається одним із найкоротших у Союзі, п’ятнадцять днів за загальним правилом, навіть якщо сенатський законопроєкт прагне його подовжити.

Це принципова відмінність від американської ситуації. У Сполучених Штатах закон регулює предмет, номерний знак, і мовчання про ідентифікатори пристроїв означає дозвіл. У Європі закон регулює цілі та категорії даних, і це мовчання означає радше заборону, за браком прямої правової підстави. Порожнеча, констатована за океаном, тут у такій самій формі не існує. Не тому, що Європа доброчесніша: її юридична техніка протилежна.

Чого тоді варта охорона

Залишається питання, задля якого написано цю статтю. Чого варта європейська регуляторна охорона, коли європейське підприємство, контрольоване державою-членом, продає за межі Європи спроможність, яку не могло б розгорнути вдома без нового закону?

Заперечення заслуговують на серйозне ставлення. Промисловець не відповідає за правові рамки свого клієнта: американська влада вирішує, що дозволяє в себе. Продукт продають не диктатурі, а правовій державі з активним верховним судом, як щойно нагадало Chatrie. І аргумент промислового суверенітету законний: якщо європейські групи заборонять собі ці ринки, їх займуть ізраїльські, американські або китайські постачальники, і стеження не відступить ані на метр, а Європа втратить свою технологічну базу.

Ці аргументи прийнятні. Вони не відповідають на проблему.

Насамперед тому, що Союз уже визнав: експорт засобів стеження не є звичайною торгівлею. Регламент (ЄС) 2021/821 про товари подвійного використання запровадив у статті 5 всеохопне застереження щодо засобів кіберстеження, бо законодавець визнав, що інструмент, законний у виробництві, може бути нелегітимним у пункті призначення. Його межа повчальна: воно спрацьовує за наявності ризику внутрішніх репресій або тяжких порушень прав людини, тобто категорій, придуманих для авторитарних режимів. Продаж американській муніципальній поліції до них не належить. Європейська сітка досліджує моральність клієнта, ніколи не досліджує природу проданої спроможності.

Далі тому, що такий продукт не запас, який розпродають, а спроможність, яку підтримують: вона фінансує дослідження, готує інженерів, накопичує ноу-хау і створює встановлену базу. Того дня, коли великий теракт спонукає державу-члена вимагати цю спроможність, дискусія вже не точитиметься про доцільність її створення. Вона існуватиме, буде європейською, буде зрілою, а її постачальник буде частково державним. Аргумент «ми лише йдемо за ринком» стає тоді замкненим колом, оскільки внутрішній ринок буде підготовлено експортом.

Ось чого варта регуляторна охорона в цьому сценарії: вона захищає європейців від застосувань, а не від існування засобів. Вона вирішує питання, хто має право натиснути кнопку, і залишає промисловості будувати його, продавати, вдосконалювати, а потім чекати.

Що можна зробити, не розповідаючи собі казок

Першою згаданою відповіддю завжди є рандомізація MAC-адреси. Вона заслуговує на чесний розгляд, без реклами й без приниження. Вона справжня і вона працює.

Android від версії 10 та iOS від версії 14 за замовчуванням рандомізують MAC-адресу, що використовується у Wi-Fi, з окремою адресою для кожної мережі. У Bluetooth Low Energy сучасні пристрої транслюють розв’язувані приватні адреси, які періодично змінюються і можуть бути пов’язані зі справжнім пристроєм лише співрозмовником, який має ключ розв’язання.

Її межі так само реальні.

Спарювання знову відчиняє двері. Ключ розв’язання передається під час спарювання. Пристрій, уже спарений або явно схвалений, знаходить сталу ідентичність за змінною адресою. Механізм для цього й задумано.
Багато предметів нічого не рандомізують. Датчики тиску в шинах, RFID-перепустки, ідентифікаційні чипи тварин, автомагнітоли та дешева периферія випромінюють сталі ідентифікатори. Специфікація Leonardo згадує саме ці категорії, і це не випадковість.
Рандомізацію можна вимкнути. Її вимикають мережа за мережею, і часто вона вимкнена задля зручності, для MAC-фільтрації на домашньому маршрутизаторі або через корпоративну політику.
Група переживає ротацію ідентифікаторів. Це найменш очевидний і найважливіший момент. SignalTrace шукає не ідентифікатор, а набір пристроїв, що подорожують разом. Якщо бодай один член групи випромінює сталий ідентифікатор, увесь набір лишається прив’язуваним, хоч якою була б дисципліна решти.

Найдієвіший захід залишається найнуднішим: не випромінювати. Це передбачає вимкнення Bluetooth і Wi-Fi на рівні системи, у налаштуваннях, а не з панелі швидкого доступу. Ця різниця не косметична, ми докладно описали її у статті про постійну геолокацію телефона: у більшості споживчих систем кнопка швидкої панелі обриває видиме спарювання, але лишає програмний стек живим, і аналіз близькості триває. Та стаття описувала сканування Bluetooth як теоретичний вектор. SignalTrace став його комерційним продуктом, каталогізованим і готовий до постачання.

Треба залишатися чесним щодо результату: ці заходи зменшують поверхню вразливості, вони її не скасовують. Автомобіль лишається номерним знаком, а номерний знак лишається читабельним. Єдиний спосіб нічого не випромінювати полягає в тому, щоб нічого не носити, а це не є публічною політикою.

Що це говорить про наші проєктні рішення

В Arpokrat саме це міркування привело нас до того, щоб обробляти Bluetooth на рівні Core ArpokratOS, а не на рівні налаштувань. Перемикач в інтерфейсі задає лише користувацьке налаштування: оновлення, системний застосунок або служба геолокації можуть його обійти чи знову ввімкнути, і користувач цього не знатиме. Відсутній стек знову ввімкнути неможливо.

Проти зчитування на кшталт SignalTrace це, звісно, не робить пристрій невиявним, і ми цього не стверджуємо: телефон лишається в мобільній мережі, а інші предмети в автомобілі випромінюють самі по собі. Що це гарантує, так це те, що конкретний вектор випромінювання відсутній за побудовою, а не вимкнений на довірі. Це теза, яку ми обстоювали щодо 5G і помилки цілі в праві: правовий захист зосереджується на доступі до даних, тоді як мав би стосуватися самого існування інфраструктури, що їх виробляє. SignalTrace є цьому ілюстрацією, з тією різницею, що ця інфраструктура будується в Європі.

Висновок

Найпримітніше в цій справі не технічна спроможність, яку дослідники описували роками. Це метод розгортання.

Не буде нової мережі камер, яку відкривають, не буде муніципального рішення, яке можна оскаржити, не буде публічної закупівлі, впізнаваної як зміна природи. Будуть модулі, додані до наявних щогл, за наявними контрактами, у вже дозволених програмах. Того дня, коли відкриється публічна дискусія, інфраструктура буде встановлена, амортизована і вбудована у слідчі процедури. Дискусія тоді точитиметься про умови доступу до бази, яка існує, і ніколи про доцільність її створення.

Це звичайний порядок речей у сфері стеження, і він не випадковий. Лишається дізнатися, чи вважає Європа, що їй є що сказати, коли її власні промисловці, спираючись на її власні держави, будують цю інфраструктуру для інших. Європейське право ретельно впорядкувало відповідь на питання, хто може переглядати ці дані в нас. Воно ніколи не поставило питання, хто має право будувати цю машину.

5G, дані про місцеперебування і хибна ціль права

Tue, 18 Aug 2026 00:00:00 +0000

У 2011 році поліція Детройта запитала в мобільного оператора історію під’єднання телефона Тімоті Карпентера до базових станцій. Вона отримала 12 898 точок місцеперебування за 127 днів, приблизно сотню на добу. Через сім років Верховний суд Сполучених Штатів визнав, що такий запит становить обшук і потребує ордера.

Ці 12 898 точок надходили від антен четвертого покоління, кожна з яких покривала радіус кількох кілометрів. Той самий запит, надісланий сьогодні до міської мережі 5G, повернув би не сотню точок на добу з похибкою в кілька кілометрів. Він повернув би значно більший обсяг із похибкою в кілька десятків метрів.

Технологія змінила масштаб. Юридичне міркування лишилося на тому самому місці ланцюга.

Правове благо, яке визнають судді по обидва боки Атлантики

Існує інтерес, який визнають майже всі й який майже жоден акт не захищає дієво: право перебувати десь без того, щоб цей факт фіксували.

Європейська судова практика встановила це недвозначно. У справі Digital Rights Ireland (об’єднані справи C-293/12 і C-594/12, 8 квітня 2014 року), а потім у справі Tele2 Sverige і Watson (об’єднані справи C-203/15 і C-698/15, велика палата, 21 грудня 2016 року) Суд Європейського Союзу постановив, що ці дані, взяті в сукупності, дозволяють робити дуже точні висновки про приватне життя осіб: звички повсякденного життя, місця перебування, пересування, здійснювані види діяльності та соціальні зв’язки.

Верховний суд Сполучених Штатів дійшов близького висновку у справі Carpenter v. United States, 585 U.S. 296 (2018). Він наголосив на моменті, який американська доктрина багато коментувала: невідворотний і автоматичний характер цього збирання. Ніхто не погоджується бути під’єднаним до антени: людина під’єднана тому, що має увімкнений телефон.

Отже, правове благо існує, і його визнають два суди, які в цій сфері мають вагу. Проблема в іншому.

Що насправді змінило 5G

Поширена плутанина полягає в тому, що місцеперебування трактують як дані, які телефон передає, так само як повідомлення чи світлину. Це не так. Місцеперебування є фізичним наслідком роботи мережі. Оператор знає, до якої антени під’єднано пристрій, бо мусить це знати, аби маршрутизувати виклик. Не існує жодного ключа, яким можна було б зашифрувати цю інформацію, адже це не зміст, а властивість самого з’єднання.

Саме це робить 5G значущим у правовій, а не в технічній площині.

Попередні архітектури спиралися на широкі стільники. Антена 4G зазвичай обслуговує радіус у кілька кілометрів, і позиція, виведена лише з факту під’єднання, вимірювалася сотнями метрів у місті, а іноді десятками кілометрів у сільській місцевості. 5G спирається на масове ущільнення: міські стільники покривають зазвичай кількасот метрів, а інженерна література оперує щільностями порядку сорока-п’ятдесяти базових станцій на квадратний кілометр проти чотирьох-п’яти за часів 3G.

Наслідок механічний. Згідно з білою книгою Ericsson про позиціювання в 5G, інфраструктура, розгорнута лише заради зв’язку, досягає точності від двадцяти до п’ятдесяти метрів надворі та від одного до трьох метрів у приміщенні, а за сприятливих міських умов опускається нижче метра. Ідеться не про десь увімкнену функцію геолокації, а про те, що мережа знає за самою своєю будовою, без жодного встановленого застосунку й без жодного наданого дозволу. Усі ці механізми, а також контрзаходи, які справді працюють, ми детально розібрали у статті про постійну геолокацію телефона.

Отже, втручання зросло на кілька порядків. Застосовна правова рамка лишається тією, що була задумана для 2G і 3G. Жодне нормативне пристосування цієї зміни масштабу не супроводжувало.

Право захищає доступ, а не породження

Європейське право ретельно регулює, хто може отримати доступ до даних про місцеперебування, за яких умов і під яким контролем. Директива 2002/58/ЄС закріплює принцип конфіденційності комунікацій, а Суд ЄС постановив у справі La Quadrature du Net (об’єднані справи C-511/18, C-512/18 і C-520/18, велика палата, 6 жовтня 2020 року), що стаття 15(1) цієї директиви, тлумачена у світлі статей 7, 8, 11 і 52(1) Хартії, не допускає загального і невибіркового зберігання даних про трафік і місцеперебування з превентивною метою. Суд, утім, припустив окреслені відступи, коли держава-член стикається із серйозною загрозою національній безпеці, що виявляється реальною і наявною або передбачуваною, за умови дієвого контролю.

Це справжні гарантії, і применшувати їх було б безглуздо. Але всі вони втручаються постфактум. Вони припускають, що дані існують, що вони зберігаються, і лише потім упорядковують умови їх використання.

Проте якщо місцеперебування є неминучим побічним продуктом роботи мережі, доречною точкою втручання є не конфіденційність. Це тривалість зберігання.

Миттєва позиція, потрібна для маршрутизації комунікації і стерта одразу після цього, не є інструментом стеження. Історія позицій, що зберігається місяцями, ним є, хай які гарантії доступу її оточують.

Різниця між ними не юридична, а архітектурна. І європейський календар робить питання нагальним, а не теоретичним. Комісія відкликала проєкт регламенту ePrivacy у 2025 році через відсутність згоди між співзаконодавцями. Відтоді вона працює над окремим інструментом щодо зберігання даних для цілей кримінального провадження, анонсованим на 2026 рік, який має узгодити національні режими, що стали різнорідними після скасування директиви 2006 року. Інакше кажучи, текст, який на десятиліття визначить режим метаданих про місцеперебування, пишеться просто зараз, на основі міркування, задуманого за часів кілометрових стільників.

Прецедент, який 5G створило саме

Найцікавіше в цій справі те, що правильна відповідь уже міститься в технічному стандарті, але застосована до іншого об’єкта.

Аж до 4G постійний ідентифікатор абонента, IMSI, передавався у відкритому вигляді радіоінтерфейсом під час під’єднання. Саме це уможливило IMSI catcher’и, ті фальшиві базові станції, які, за еталонним описом Electronic Frontier Foundation, випромінюють потужніше за легітимні антени, щоб приваблювати термінали й перехоплювати їхній ідентифікатор.

Починаючи з Release 15 специфікацій 3GPP, опублікованого у 2019 році, 5G дає елегантну відповідь. Постійний ідентифікатор, тепер званий SUPI, може бути замінений на радіоінтерфейсі на SUCI, прихований ідентифікатор, отриманий шифруванням абонентської частини за допомогою криптографії на еліптичних кривих відкритим ключем домашнього оператора. Розшифрувати його може лише домашня мережа, яка володіє відповідним приватним ключем. Результат унікальний за кожного обчислення, що унеможливлює кореляцію між сесіями.

Обрана логіка варта підкреслення, бо вона саме та, якою мав би керуватися законодавець: шифрують не позицію, що було б технічно неможливо, шифрують ідентичність. Позиція без прив’язної ідентичності має вельми обмежену цінність для індивідуалізованого стеження.

Вада: захист є факультативним

Проте існує суттєве застереження, і це, на нашу думку, найконкретніша точка втручання в усій справі.

Біла книга NIST CSWP 36A, опублікована в березні 2026 року National Institute of Standards and Technology, каже це без манівців. Термінали й мережеві функції, що відповідають Release 15 або пізнішому, зобов’язані підтримувати SUCI, але його увімкнення лишається факультативним для оператора. Мають збігтися три умови: виробник обладнання має його підтримувати, оператор має увімкнути його у своїй мережі, а SIM-картка має містити елементи, потрібні для обчислення.

До цього додається конфігураційна пастка. Стандарт передбачає нульову схему захисту, за якої формат SUCI формально застосовується, але без дійсного шифрування, тож ідентифікатор іде у відкритому вигляді. NIST пише, що оператор має налаштувати свою мережу з ненульовою схемою захисту, і нагадує, що звіт CSRIC, дорадчого органу Federal Communications Commission, ще у 2021 році радив залишити нульову схему винятково для екстрених викликів із термінала, невідомого мережі.

Це формулювання варто лишити як є. Найкращий доступний захист від стеження за мобільними терміналами існує в технічному стандарті з 2019 року. Він тримається на конфігураційному виборі, залишеному на розсуд оператора. Американське федеральне агентство вважає за потрібне опублікувати у 2026 році документ, аби нагадати, що його слід було б увімкнути. І жоден європейський правовий інструмент цього не вимагає.

Треба додати, що SUCI не закриває тему. Праці, представлені під назвою 5G SUCI-catchers: still catching them all?, документують атаки зв’язування, що дозволяють повторно корелювати сесії попри шифрування, а захист падає цілком, якщо нападник змусить термінал перейти на попереднє покоління. Отже, правовий обов’язок не розв’язав би всього. Проте він усунув би розрив, який не має жодного захисного виправдання: між тим, що дозволяє стандарт, і тим, що роблять комерційні мережі.

Три послідовні втручання

Якщо серйозно поставитися до думки, що місцеперебування слід мінімізувати на етапі проєктування, а не захищати постфактум, логічно напрошуються три заходи.

Зробити обов’язковим дієве приховування ідентифікатора. Приписати увімкнення SUCI і заборонити нульові схеми захисту в комерційних мережах, окрім залишкового випадку екстрених викликів. Ідеться не про припис нової технології й не про фінансування розгортання, а про вимогу увімкнути функцію, стандартизовану сім років тому і вже наявну в обладнанні.
Розглядати зберігання як виняток, а не як усталене за замовчуванням. Позиція, потрібна для маршрутизації комунікації, має стиратися, щойно цю функцію виконано. Формування історії має вимагати окремого обґрунтування. Це різниця між мережею, яка знає, де ви є, і мережею, яка пам’ятає, де ви були.
Зробити володіння ключем належним колізійним прив’язуванням. Розташування серверів у Союзі мало що означає, якщо ключі, які роблять дані зрозумілими, перебувають деінде. Юридично значущим критерієм мало б бути дійсне панування над засобами розшифрування, питання, яке ми детально розглянули у зв’язку з конфліктом між Data Act і CLOUD Act.

Кут зору, якого дотримується Arpokrat

Це міркування не властиве лише телекомунікаційному праву. Саме його ми застосовуємо до власних архітектурних рішень, і воно вміщається в одне речення: те, що не було вироблене, не потребує захисту.

Тому ArpokratOS вилучає GPS, Bluetooth і NFC на рівні ядра, а не вимикає їх у меню. Перемикач є політикою: його може обійти привілейований компонент, знову увімкнути оновлення, зігнорувати скомпрометована система. Вилучення шляху в коді знімає саме питання. Це перенесення на масштаб пристрою того самого зміщення, якого ми прагнемо на масштабі права: втручатися на етапі породження, а не доступу.

Слід одразу сказати, чого це не робить. Жодна операційна система не виводить термінал за межі геометрії мережі. Доки SIM-картка активна, оператор знає стільник під’єднання, і повне маршрутизування трафіку через Tor цього не змінює, бо воно захищає зміст і призначення, а не радіорівень. Саме тому тема є правовою. Існує категорія ризиків, яких не зменшує жодне індивідуальне налаштування і для яких єдиною доступною змінною є правило, застосовне до оператора.

Та сама турбота керує рештою нашої роботи. Дані, яких не існує, неможливо ні витребувати, ні перепродати, ні викрасти, ні розшифрувати за десять років машиною, якої сьогодні ні в кого немає, питання, яке ми розглянули під кутом шифрування, зібраного зараз і зламаного згодом.

Висновок

Публічна дискусія про мобільне стеження зосереджена майже винятково на доступі: хто може переглядати дані, на якій підставі, з яким дозволом. Ця дискусія законна, і рішення, ухвалені Судом ЄС від 2014 року, дали відчутні наслідки. Але вона втручається в ланцюг надто пізно.

Питання, що передує їй і є визначальнішим, полягає в тому, чи має історія існувати взагалі. База, створена сьогодні з законної підстави, лишається доступною завтра для іншої, а гарантії довкола неї залежать від пізніших політичних рішень, які в момент збирання ніхто не контролює. Це ставка на стабільність інституцій, зроблена на строк, якого ніхто не встановлює.

5G примножило роздільність цієї інформації без жодного нормативного пристосування. Водночас воно показало, через механізм SUCI, що придатний шлях полягає у відокремленні позиції від ідентичності, а не в спробі зашифрувати фізичну властивість мережі. Технічний стандарт дав відповідь за сім років до того, як право поставило запитання.

Європейський текст про зберігання даних пишеться зараз. Він стосуватиметься метаданих, отже місцеперебування, отже того, що 5G нині виробляє з точністю, якої його автори не знали. Чи обмежиться він упорядкуванням доступу до історії, узятої як даність, чи наважиться запитати про необхідність цієї історії, є, ймовірно, найважливішим питанням приватності найближчих років у Європі. І це питання, яке технічний сектор, цього разу, вже вирішив у правильний бік.

Джерела

Суд Європейського Союзу, Digital Rights Ireland, об’єднані справи C-293/12 і C-594/12, 8 квітня 2014 року
Суд Європейського Союзу, Tele2 Sverige і Watson, об’єднані справи C-203/15 і C-698/15, велика палата, 21 грудня 2016 року
Суд Європейського Союзу, La Quadrature du Net та інші, об’єднані справи C-511/18, C-512/18 і C-520/18, велика палата, 6 жовтня 2020 року
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, березень 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta та ін., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Постійна геолокація: як телефон стежить за вами навіть тоді, коли ви впевнені, що це заблокували

Sun, 02 Aug 2026 00:00:00 +0000

У 2024 році двоє дослідників з Мерілендського університету багаторазово зверталися до сервісу позиціонування Apple за Wi-Fi, без жодних особливих привілеїв і без спеціалізованого обладнання, і за рік відтворили точне розташування понад двох мільярдів точок доступу Wi-Fi у світі. Їхня стаття Surveilling the Masses with Wi-Fi-Based Positioning Systems показує, що дозволяє така мапа: відстежувати техніку, яка в’їжджає в Україну і виїжджає з неї, спостерігати за переміщенням населення після пожеж на Мауї, стежити за конкретною людиною через її домашній роутер.

У жодному з цих пристроїв GPS не був увімкнений. Позиція надходила звідкись інде.

Це найпоширеніша сліпа зона у питаннях мобільної приватності: переконання, що існує перемикач геолокації і що, вимкнувши його, телефон перестає знати, де він. Це переконання хибне на семи різних рівнях.

Геолокація не є функцією, яку телефон вмикає. Це властивість того, чим він є.

GPS, тобто найменш проблемний вектор

Єдиний механізм, який усі можуть назвати, є водночас тим, що має турбувати вас найменше.

GNSS, узагальнений термін, що охоплює американський GPS, Galileo, ГЛОНАСС і BeiDou, працює через прослуховування. Супутники безперервно випромінюють сигнали з часовими мітками, приймач вловлює кілька з них і обчислює своє положення за різницею часу поширення. Звичайна точність на відкритій місцевості: три-п’ять метрів, у місті часто кілька десятків метрів, бо фасади відбивають сигнали.

Вирішальним є те, що це обчислення пасивне. Телефон нічого не випромінює в бік супутників, жоден супутниковий оператор не знає, що ви існуєте. Якби в грі був лише GNSS, вимкнення GPS було б достатньо.

Проте є нюанс. Щоб пришвидшити перше обчислення, телефони використовують A-GPS: вони завантажують супутникові ефемериди з сервера через протокол SUPL. Аби отримати правильні дані, телефон передає цьому серверу ідентифікатор комірки мережі, до якої він під’єднаний. Чистий GNSS вас не видає, а от прищеплений до нього прискорювач видає.

Мобільна мережа: те, що оператор знає за побудовою

Щоб дзвінок міг до вас дійти, мережа має знати, в якій зоні ви перебуваєте. Це не опція, яку вмикають, це умова існування послуги. Ваш телефон постійно повідомляє про себе найближчій вежі, і ця реєстрація лишає слід на боці оператора. Жодного встановленого застосунку, жодного наданого дозволу: достатньо активної SIM-картки.

Точність залежить від методу:

Лише ідентифікатор комірки: від 200 метрів у щільній міській забудові до понад 30 кілометрів у сільській місцевості, де одна вежа покриває дуже великий радіус.
Збагачений Cell ID, що додає сектор антени (більшість майданчиків поділені на три сектори по 120 градусів) і потужність сигналу: від 100 метрів до кількох кілометрів.
Timing advance, що вимірює затримку сигналу туди й назад між телефоном і вежею: близько 550 метрів у GSM, приблизно 78 метрів у LTE.
Мультилатерація за трьома чи більше вежами: від 50 до 300 метрів у міському LTE.

5G змінює масштаб з двох сукупних причин. Спершу щільність: комірки 5G покривають значно менші радіуси, тож саме лише під’єднання вже є точною інформацією. Далі стандартизація: починаючи з Release 16, 3GPP містить власні сигнали позиціонування. Комерційні цілі — менш ніж 3 метри в приміщенні і менш ніж 10 метрів надворі для 80 % пристроїв, а Release 18 для деяких промислових застосувань опускається до сантиметрів.

Отже, інфраструктура, яка вас з’єднує, стає системою позиціонування, зіставною за якістю з GPS, без жодної дії з вашого боку. Ці дані зберігаються за національними правилами і доступні органам влади за різними процедурами. Це та сама принципова дискусія, що й у випадку юрисдикції, застосовної до розміщених даних: технічний захист і правовий захист не збігаються.

Wi-Fi: мапа світу, складена з апаратних адрес

Кожна точка доступу Wi-Fi постійно транслює унікальний апаратний ідентифікатор, BSSID. Ці ідентифікатори незмінні й географічно стабільні: домашній роутер роками стоїть на одному місці.

Apple, Google і кілька спеціалізованих гравців ведуть бази, що пов’язують кожен BSSID із координатами. Їх наповнюють телефони їхніх власних користувачів, які надсилають перелік видимих точок разом із позицією за GNSS. Далі операція обертається: телефон, що бачить чотири відомі точки, більше не потребує жодного супутника. У щільній міській забудові точність зазвичай сягає кількох десятків метрів, а в приміщеннях опускається ще нижче.

Дві властивості роблять цей механізм важким для нейтралізації. По-перше, телефон сканує навіть тоді, коли Wi-Fi виглядає вимкненим: починаючи з Android 4.3, система підтримує періодичне сканування, покликане покращити геолокацію, незалежно від перемикача у швидкій панелі. Ця поведінка залежить від окремого налаштування, схованого в службах геолокації, яке практично жоден користувач ніколи не відкривав.

По-друге, базу можна опитувати ззовні. Саме цю прогалину використали Рай і Левін: інтерфейси позиціонування повертають не лише запитану позицію, а й позиції сусідніх точок доступу, що дає змогу збирати мапу, жодного разу фізично не наближаючись до цих місць.

Bluetooth і BLE: вас знаходять телефони інших людей

Bluetooth Low Energy додає шар близькості з дальністю від кількох до кількох десятків метрів, тобто з набагато тоншою деталізацією, ніж мобільна мережа. Співіснують два застосування. Комерційні маячки, розміщені в магазинах, аеропортах чи торгових центрах, випромінюють ідентифікатор, який розпізнають застосунки в телефоні, і це показує, перед якою полицею ви зупинилися і на скільки часу. І спільні мережі геолокації, взірцем яких є Find My від Apple, згодом перейнятий Google і Samsung.

Другий механізм перевертає неявне припущення. Еталонний аналіз Who Can Find My Devices?, опублікований у матеріалах PETS 2021 дослідниками Дармштадтського технічного університету, відтворив протокол Apple зворотною розробкою. Пристрій без з’єднання випромінює сигнал BLE, будь-який пристрій Apple поблизу його вловлює, додає власну позицію і передає її зашифрованою на сервери Apple, без відома як свого власника, так і власника знайденого пристрою.

Наслідок структурний: пристрій без SIM-картки, без Wi-Fi, без жодного мережевого з’єднання лишається таким, що його можна знайти, аби лише поруч пройшов незнайомець із телефоном у кишені. Ваша ізоляція більше не залежить від ваших налаштувань, а від налаштувань перехожих.

Інерційні датчики: локалізація без дозволу на геолокацію

Телефон містить акселерометр, гіроскоп, магнітометр і часто барометр. Ці датчики належать до категорії дозволів, відмінної від геолокації: застосунок може їх читати, жодного разу не спитавши, де ви.

Дослідники з Прінстона довели це за допомогою PinMe. Їхній застосунок відштовхується від IP-адреси і часового поясу задля грубої позиції, а потім читає датчики: акселерометр дає профіль прискорення і гальмування, гіроскоп — послідовність поворотів, магнітометр — курс, барометр — зміни висоти. Нейронна мережа визначає спосіб пересування — пішки, автомобілем, потягом чи літаком, — і маршрут накладається на відкриті картографічні, висотні та метеорологічні дані. Результат: траєкторія з точністю, зіставною з GPS, без дозволу на геолокацію. Метод має межі, які автори документують, адже він не працює в зонах без доріг і погіршується на однорідних прямокутних планах, де багато маршрутів дають однаковий підпис. Він лишається доказом того, що відхилений дозвіл — це не зачинені двері.

Барометр до того ж дає вимір, з яким GNSS дає раду погано, — вертикаль. Американські вимоги до екстрених викликів встановлюють точність до поверху плюс-мінус 3 метри для 80 % викликів із приміщень. Знати, на якому поверсі хтось перебуває, — це зовсім інше, ніж знати, у якому кварталі.

Ринок даних: найбанальніший вектор

Попередні механізми описують, як обчислюється позиція. Лишається дізнатися, куди вона йде, і саме тут розігрується основна частина щоденного ризику.

Тисячі застосунків містять рекламні SDK, програмні блоки від третіх сторін, які розробник додає, щоб монетизувати свою працю або виміряти аудиторію. Ці блоки успадковують дозволи застосунку-господаря: застосунок погоди, якому ваша позиція потрібна цілком законно, передає її гравцям, чиїх назв ви ніколи не читали. До цього додаються потоки рекламних аукціонів, де ваша приблизна позиція розсилається десяткам потенційних покупців при кожному показі банера, зокрема й тим, хто нічого не купує і задовольняється прослуховуванням.

Ця сировина живить цілу індустрію. Electronic Frontier Foundation задокументувала випадок Fog Data Science, яка заявляла про мільярди точок даних щодо понад 250 мільйонів пристроїв, проданих місцевій поліції у США. Браян Кребс описав Locate X, продукт, що дозволяє окреслити багатокутник на мапі й переглянути історію пристроїв, які входили в цю зону та виходили з неї.

Цей вектор не потребує жодного технічного подвигу, лише щоб хтось погодився заплатити. Ціна помірна.

IMSI-кетчери: активна локалізація

Розглянуті досі механізми використовують нормальну роботу системи. Існує також активна локалізація, яку веде третя сторона, що втручається в мережу.

IMSI-кетчер, або симулятор базової станції, — це обладнання, яке видає себе за легітимну вежу. Телефони в зоні дії під’єднуються до нього, розкриваючи свій ідентифікатор абонента і свою присутність у вузько окресленому периметрі.

5G мав зачинити ці двері, замінивши постійний ідентифікатор у відкритому вигляді на зашифрований — SUCI. Зачинення часткове. Роботи, представлені під назвою 5G SUCI-catchers: still catching them all?, документують атаки зв’язування, що дозволяють повторно корелювати сесії попри шифрування. Але головне: захист падає повністю, якщо зловмисник змушує пристрій перейти на попереднє покоління, зокрема 2G, автентифікація якого одностороння. Телефон із 5G лишається вразливим до атаки, задуманої для мережі 1990-х років, бо він досі погоджується туди спуститися.

Контрзаходи та їхня реальна дієвість

Кожен із наведених нижче заходів щось дає. Жоден не дає всього, і розрив між тим, що вони роблять, і тим, що їм приписують, породжує хибні рішення.

Режим польоту

Режим польоту вимикає передавання стільникового модема, Wi-Fi і Bluetooth. Це справжній ефект, і це найкращий результат за таких малих зусиль.

Чого він не робить: не зупиняє інерційні датчики, не видаляє вже закешовані позиції, які підуть при повторному з’єднанні, і на більшості пристроїв дозволяє окремо ввімкнути Wi-Fi або Bluetooth, не виходячи з нього. Він, зрештою, є програмним станом, а не відключенням живлення: його надійність залежить від цілісності системи, яка його застосовує.

Недооцінена деталь: від’єднання від мережі та подальше повернення самі по собі є подіями з часовою міткою на боці оператора. Телефон, що зникає о 21-й в одній комірці й з’являється о 23-й в іншій, породив інформацію, а не тишу.

Рандомізація MAC-адреси

Мобільні системи сьогодні під час сканування випромінюють випадкові MAC-адреси, щоб унеможливити відстеження з місця на місце. Намір добрий, результат неповний. Еталонні роботи, серед них Why MAC Address Randomization is not Enough, показують, що вмісту кадрів виявлення часто достатньо для повторної ідентифікації пристрою: кількість інформаційних елементів, їхні значення та порядок утворюють відбиток. До цього додаються послідовні номери, інкрементні й тому придатні для зчеплення, та часовий підпис, властивий кожній моделі. Деякі дослідження повідомляють про коректне відстеження половини пристроїв упродовж щонайменше двадцяти хвилин.

Нарешті, концептуальна межа: рандомізація стосується лише фази виявлення. Щойно ви під’єднуєтеся до мережі, використовувана адреса для цієї мережі стала за задумом, аби з’єднання працювало. Кав’ярня, куди ви ходите щоранку, вас упізнає.

Справді вимкнути сканування

Це найвигідніше і водночас найбільш ігнороване налаштування. В Android пошук Wi-Fi і пошук Bluetooth — це дві окремі опції, розташовані у службах геолокації, незалежні від перемикачів швидкої панелі. Доки вони активні, вимкнути Wi-Fi із панелі недостатньо: сканування триває.

Їх вимкнення прибирає цілий шар збирання даних, а єдиною платою є трохи повільніше перше визначення позиції. Для більшості читачів це найкраще співвідношення докладених зусиль і здобутого результату.

Дозволи застосунків

Відкликати дозвіл на геолокацію в застосунків, яким він вочевидь не потрібен, лишається корисним, а сучасні системи пропонують три градації: разовий дозвіл, дозвіл, обмежений активним використанням, і приблизне місцеперебування, що передає лише зону порядку кілометра.

Проте це не захищає ні від SDK всередині застосунку, що має законну підставу для доступу до вашої позиції, ні від інерційних датчиків, ні від мережевих рівнів, які не проходять через жоден дозвіл.

Від чого VPN не захищає

Момент, який слід прояснити, бо протилежне переконання дуже поширене: VPN не приховує вашого місцеперебування. Він приховує вашу публічну IP-адресу, тож спотворює геолокацію за IP, яка в будь-якому разі є найгрубішим механізмом у переліку.

VPN не торкається ні приймача GNSS, ні сканування Wi-Fi, ні Bluetooth, ні датчиків. Він нічого не змінює в тому, що знає ваш оператор, оскільки шифрований тунель проходить через його вежі, а під’єднання до комірки лишається йому видимим. Він не заважає застосунку з дозволом на геолокацію передати точні координати всередині тунелю. VPN захищає зміст і призначення ваших комунікацій у ненадійній мережі, і це вже чимало. Геолокація не входить до його периметра.

Фізичні межі

Чохол Фарадея працює буквально: він блокує передавання і приймання. Виймання акумулятора теж, там де це ще можливо. Окремий пристрій або просто залишений деінде телефон лишається найнадійнішим заходом.

Ці рішення мають спільну ваду, якій треба подивитися в очі: вони створюють аномалію. Телефон, що мовчить дві години щовівторка ввечері, щось повідомляє. Проти супротивника, який аналізує шаблони, а не миттєві позиції, відсутність сама є даними.

Три супротивники, три стратегії

Це найважливіше розрізнення цієї статті і водночас те, яке читають найрідше.

Проти рекламодавця чи брокера даних битву можна виграти. Дисципліна дозволів, вимкнення сканувань, система без пропрієтарних служб геолокації, скидання рекламного ідентифікатора: разом це дуже сильно скорочує зібраний обсяг. Цей супротивник шукає дешевий обсяг, а не саме ваш випадок.

Проти вашого оператора жодна конфігурація не допоможе. Стільникова геолокація є умовою послуги. Єдині справжні змінні — правові, тобто те, що закон дозволяє зберігати і передавати, і матеріальні: який пристрій, яка SIM-картка, на чиє ім’я, увімкнена де.

Проти цілеспрямованого державного супротивника міркування знову змінюється, адже він поєднує законний доступ до даних оператора, активну локалізацію симулятором базової станції, вимоги до платформ і, за потреби, компрометацію самого пристрою. Програмні контрзаходи зменшують поверхню, але реалістичною метою є не зникнення: нею є точне знання того, що лишається відкритим.

Підхід ArpokratOS

ArpokratOS відповідає на цей ландшафт вибором, що випливає з наведеного розрізнення: те, що має бути нейтралізоване, нейтралізують на рівні системи, а не в меню.

Щодо GNSS апаратний драйвер видалено. Пристрій поводиться так, ніби чипа не існує, — і для застосунків, і для самої системи. Відмінність від перемикача в налаштуваннях не косметична. Перемикач — це політика: її застосовує шар, який може обійти достатньо привілейований компонент, знову ввімкнути оновлення чи проігнорувати скомпрометована система. Видалення шляху коду знімає питання, бо вмикати вже нічого.

Bluetooth опрацьовано на рівні Core, за тією самою логікою. Bluetooth, вимкнений у налаштуваннях, на багатьох пристроях насправді лишає програмний стек живим, щоб живити служби близькості та спільні мережі геолокації. Відсутній на рівні системи, він не може ні спілкуватися з магазинним маячком, ні брати участь у мережі типу Find My, ні бути поверхнею атаки без взаємодії.

Треба чітко сказати, чого це не робить. ArpokratOS не робить телефон невиявним. Доки SIM-картка активна, оператор знає комірку під’єднання, і жодна операційна система цього не змінить, навіть якщо весь трафік іде через Tor. Маршрутизація захищає зміст і призначення, а не радіогеометрію. Той, хто обіцяє невидимість, продає казку.

Те, що дає така архітектура, скромніше: усунення прикладного шару та шару близькості, через які проходить переважна більшість реального збирання, і явна модель загроз для того, що лишається. Це те саме міркування, застосоване до вибору настільної системи, докладно викладене в нашому порівнянні операційних систем: корисне питання не в тому, чи інструмент захищає, а в тому, від чого він захищає і якою ціною.

Висновок

Ця стаття не дає методу зникнути. Такого методу не існує, а тексти, що стверджують протилежне, породжують передусім хибну впевненість, небезпечнішу за відсутність захисту, бо вона штовхає на ризик.

Мета полягала в тому, щоб замінити бінарне питання «чи можна мене знайти» на питання корисне: ким, з якою точністю, якою ціною для них і чи мене це обходить. Відповідь різна для журналіста, що захищає джерело, для керівника у відрядженні в чутливій юрисдикції, для адвоката, чиї зустрічі видають стратегію, і для приватної особи, якій прикро, що рекламодавець знає її звички.

Утім, увагу має привертати не ефективність кожного з цих механізмів окремо, а те, що вони накладаються один на одний. Позиція з точністю до п’ятдесяти метрів не надто цікава. Позиція з точністю до п’ятдесяти метрів, щочверть години, протягом двох років, окреслює житло, місце роботи, віросповідання, стан здоров’я, роман, джерело інформації. Дані про місцеперебування — це ті метадані, які роблять читабельними всі інші, і саме тому вони дорого коштують.

Джерела

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Філіппіни забороняють Monero та Zcash на регульованих платформах: сигнал глобальної тенденції

Wed, 17 Jun 2026 00:00:00 +0000

Центральний банк Філіппін щойно завдав нищівного удару по криптовалютах із посиленою конфіденційністю. Під виглядом відповідності міжнародним стандартам боротьби з відмиванням грошей це рішення ілюструє регуляторну динаміку, що виходить далеко за межі однієї країни — і яка має насторожити кожного, хто тримає або використовує такі активи, як Monero чи Zcash.

Що говорить меморандум

Bangko Sentral ng Pilipinas (BSP), центральний банк країни, затвердив Меморандум M-2026-023, підписаний заступницею губернатора Лін Хав’єр. Документ зобов’язує всіх ліцензованих постачальників послуг у сфері віртуальних активів (VASP) припинити лістинг та підтримку «анонімізуючих віртуальних активів». Меморандум не називає жодного токена поіменно, проте охоплювана категорія недвозначно включає Monero, Zcash та Dash — криптовалюти, розроблені для того, щоб зробити відстеження транзакцій складним або неможливим.

Захід набрав чинності негайно, без перехідного періоду. Окрім простого виведення цих активів із платформ, VASP тепер зобов’язані оцінювати кожен лістинговий токен за шістьма стовпами відповідності: надійність емітента, зрілість ринку, варіанти використання, прозорість та безпека, ліквідність і резерви, правова відповідність. Вони також мають визначити внутрішні порогові значення, що автоматично запускають делістинг, коли актив перестає відповідати цим критеріям.

Що це конкретно змінює

Меморандум не криміналізує приватне зберігання Monero чи Zcash, а також однорангові перекази, здійснювані поза регульованими платформами. Зникає інституційний доступ: регульовані шлюзи входу та виходу (купівля, продаж, депозит, зняття коштів на ліцензованій платформі) більше не зможуть обробляти ці активи.

Конкретно: якщо ви тримали privacy coins на філіппінській платформі, підпорядкованій ліцензії BSP — серед них Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank або UnionBank — ви маєте перевести їх на особистий гаманець або конвертувати до того, як платформа буде змушена їх вилучити.

З понад 16 мільйонами користувачів криптовалют у країні вплив відчується у великих масштабах на внутрішньому ринку, навіть якщо ефект на світовий курс XMR або ZEC має залишитися обмеженим — Філіппіни становлять лише незначну частку глобальної ліквідності цих активів.

Вирівнювання з FATF як універсальне виправдання

BSP обґрунтовує своє рішення явним вирівнюванням із стандартами FATF — міжнародного органу, що визначає правила боротьби з відмиванням грошей та фінансуванням тероризму. Залишатися в добрих стосунках із FATF є обов’язковим для більшості центральних банків — низький рейтинг може вплинути на доступ цілої країни до міжнародних фінансових ланцюгів.

Саме це виправдання вже призвело до того, що Європейський союз, Японія та Південна Корея поступово виключили privacy coins зі своїх регульованих платформ протягом останніх кількох років. Тому рішення Філіппін — не поодинокий випадок: це підтвердження фактичного стандарту, що поширюється — якщо юрисдикція хоче керувати криптовалютним ринком, визнаним на міжнародному рівні, активам із посиленою конфіденційністю там більше немає місця.

Напруга, яку ніхто по-справжньому не вирішує

Показово, що навіть прихильники цього рішення визнають законність тієї практики, яку воно прагне обмежити. Відповідальний за крипто в GCash, одній із найбільших фінтех-компаній країни, прямо визнав, що Monero та Zcash «існують з легітимних причин» і що конфіденційність є «основоположною цінністю крипто: здатністю здійснювати транзакції без нагляду». Проте він підтримав захід, вважаючи, що Філіппіни — країна з сильною залежністю від грошових переказів — не можуть позиціонуватися як надійна фінансова інфраструктура, одночасно дозволяючи вільний обіг анонімізуючих активів.

Ця напруга не вирішена — вона просто розрублена на користь регуляторної оптики: обсяги грошових переказів та міжнародна репутація важать більше, ніж аргумент законної конфіденційності, кожного разу, коли постає цей вибір.

Логічний наслідок: міграція до самозберігання

Схема, що повторюється від юрисдикції до юрисдикції, тепер читається чітко. Патерн майже завжди однаковий: фінансова конфіденційність залишається законною на індивідуальному рівні, але поступово стає неможливою для реалізації через інституційні канали. Самозберігання (self-custody) поки що не є мішенню — але кожна нова юрисдикція, що слідує цій моделі, ще трохи звужує простір, у якому ці активи можуть обертатися без регуляторного блокування.

Ми детально розглянули технічне функціонування цих блокчейнів і причини, через які вони стали улюбленою мішенню регуляторів, у нашому повному гіді з анонімних блокчейнів — ring signatures, zk-SNARKs та реальні обмеження цих технологій.

Обмін поза канями, що закриваються

У міру того, як регульовані платформи одна за одною залишають ринок privacy coins, роль некастодіальних інфраструктур без збору даних стає центральною для всіх, хто хоче продовжувати використовувати ці активи без залежності від VASP, підпорядкованого юрисдикції, здатній змінити політику в будь-який момент.

Arpokrat Swap дозволяє обмінювати Monero, Zcash та всі криптовалюти з посиленою конфіденційністю без реєстрації, без збору IP-логів і без cookies — незалежно від того, чи ви заходите на платформу через clearnet або через нашу адресу .onion. Жодна юрисдикція не може вилучити те, що ми ніколи не збираємо.

Це філіппінське рішення, мабуть, не останнє такого роду в цьому році. Питання вже не в тому, чи підуть інші країни тим самим шляхом — нещодавня історія свідчить, що так — а в тому, скільки часу залишається до того, як інституційний доступ до privacy coins стане винятком, а не нормою.

Кінець конфіденційності? Бекдори, Online Safety Act та відповідь суверенних екосистем

Wed, 10 Jun 2026 00:00:00 +0000

Лондон став епіцентром глобальної битви за майбутнє цифрової конфіденційності. З ухваленням закону Online Safety Act 2023 (OSA) та нещодавніми пропозиціями щодо перегляду закону Investigatory Powers Act (IPA) — прозваного його критиками «Хартією шпигунів» —, британський уряд привласнює собі право нав’язувати зобов’язання зі стеження в самому серці приватних комунікацій. Переломним моментом стала влада, надана регулятору OFCOM, вимагати від платформ впровадження «акредитованої технології» для виявлення матеріалів, що містять сексуальне насильство над дітьми (CSEA), або тероризму, в тому числі всередині комунікацій з наскрізним шифруванням.

Для великих цифрових платформ послання Вестмінстера є недвозначним: або вони сприяють доступу держави до своїх інфраструктур, або стикаються зі штрафами в розмірі до 10% від їхнього світового доходу. Реакція була миттєвою: такі сервіси, як Signal та WhatsApp, публічно пригрозили піти з британського ринку, відмовившись ставити під загрозу безпеку своїх користувачів заради задоволення однієї єдиної юрисдикції. Технічний аргумент важко оскаржити: не існує майстер-ключа, зарезервованого лише для легітимних суб’єктів. Відкриті двері для правоохоронних органів за своєю конструкцією є відкритими дверима для кіберзлочинців та іноземних спецслужб.

Бізнес-модель великих платформ: структурна перешкода для Zero-Knowledge

Опір великих платформ впровадженню шифрування типу Zero-Knowledge пояснюється не технічною нездатністю, а фундаментальною економічною несумісністю. Компанії на кшталт Alphabet і Meta спираються на моделі монетизації, засновані на систематичному зборі поведінкових даних. Ця модель, до речі, неявно визнається Законом про цифрові ринки (DMA) Європейського Союзу, який класифікує цих «воротарів» (gatekeepers) як організації, чиє домінуюче становище підживлюється саме накопиченням даних у безпрецедентних масштабах. Для цих гравців впровадження архітектури Zero-Knowledge означало б позбавлення їхніх рекламних систем безперервної ідентифікації користувачів, яка є їхнім паливом. Таким чином, це не технічний вибір, а компроміс між конфіденційністю користувачів та життєздатністю їхньої бізнес-моделі.

Стратегічний ризик: загроза «Harvest Now, Decrypt Later»

Крім дебатів про конфіденційність, ослаблення шифрування піднімає питання національної безпеки зовсім іншого масштабу. Стратегія, відома як Harvest Now, Decrypt Later (HNDL), полягає в тому, що державні супротивники вже сьогодні перехоплюють і зберігають величезні обсяги зашифрованих повідомлень в очікуванні майбутніх можливостей квантового розшифрування. Ослаблюючи поточні стандарти шифрування, британська законодавча база об’єктивно сприяє проведенню операцій такого типу проти урядових, дипломатичних або промислових комунікацій.

Саме в цьому контексті дефіциту довіри екосистеми, подібні до Arpokrat, набувають експлуатаційної значущості. Працюючи в рамках Федерального закону Швейцарії про захист даних (FADP), з архітектурою, яка не збирає жодних цивільних ідентифікаторів, Arpokrat пропонує технічний розрив з інфраструктурами, що підпадають під британську юрисдикцію — гарантуючи, що система залишається глухою до приписів, передбачених OSA.

Конфлікт норм: OSA та IPA проти європейського права

Юридичний аналіз нових прерогатив британської держави виявляє пряме зіткнення з основами європейського права щодо захисту даних та конфіденційності зв’язку.

OSA проти заборони на загальне стеження

Стаття 121 OSA вводить для OFCOM можливість видавати приписи, що примушують платформи впроваджувати сканування на боці клієнта (client-side scanning). Цей захід прямо суперечить принципу, що випливає з європейського права і включений до судової практики Суду Європейського Союзу (CJEU), який забороняє загальні зобов’язання зі стеження. Нав’язуючи «вразливість за дизайном» (vulnerability by design), це також ставить компанії в ситуацію подвійного примусу: послаблюючи свою безпеку для виконання державного мандата, вони не виконують своє зобов’язання щодо забезпечення рівня безпеки, відповідного обробці, як це закріплено в статті 32 GDPR.

Директива ePrivacy та конфіденційність комунікацій

Сканування приватних повідомлень прямо суперечить статті 5, абзац 1 Директиви 2002/58/EC (ePrivacy), яка зобов’язує держави-члени гарантувати конфіденційність електронних комунікацій і забороняє будь-які форми перехоплення або стеження без явної згоди відповідних користувачів.

Technical Capability Notices та блокування оновлень безпеки

В рамках режиму IPA 2016 британський уряд тепер має намір використовувати Повідомлення про технічні можливості (Technical Capability Notices - TCN) для блокування оновлень безпеки до їх розгортання. Цей механізм створює нерозв’язний конфлікт із зобов’язанням, встановленим статтею 32 GDPR, щодо забезпечення безперервної безпеки систем обробки — зобов’язанням, яке вимагає саме здатності застосовувати виправлення (patches) без зволікання або зовнішнього втручання.

Ризики комплаєнсу для компаній, що працюють в Європі

Перегляди IPA спрямовані на те, щоб змусити компанії повідомляти британський уряд про будь-які технічні зміни, що впливають на безпеку, до їх впровадження, надаючи йому таким чином право вето на розробку продуктів. Це втручання створює значну правову нестабільність для постачальників, що працюють на європейському ринку: відповідність Великобританії європейському праву — і без того крихка — може бути поставлена під сумнів, якщо Великобританія більше не гарантуватиме захист, по суті еквівалентний захисту GDPR. Отже, передача даних до Великобританії в цих нових рамках, ймовірно, піддасть компанії санкціям відповідно до GDPR.

Захист через технічну неможливість: принцип Zero-Knowledge як правовий щит

Міжнародна судова практика, консолідована рішеннями Schrems I та Schrems II Суду ЄС, встановила визначальний принцип: єдиним надійним захистом від непропорційного стеження є технічна неможливість доступу до даних. Архітектури Zero-Knowledge застосовують цей принцип у трьох рівнях захисту:

Відсутність зберігання: оскільки платформа не зберігає ключі розшифрування, будь-який припис сканувати повідомлення є технічно нездійсненним;
Суверенітет операційної системи: контроль над ArpokratOS усуває телеметрію, яка живить збір розвідданих на рівні пристрою;
Швейцарська юрисдикційна прив’язка: розміщуючи свою інфраструктуру у Швейцарії, Arpokrat працює в правовому режимі, що вимагає індивідуалізованих і мотивованих запитів про взаємну правову допомогу, нейтралізуючи автоматизоване виконання масових сканувань, передбачених OSA.

Висновок

Положення OSA та перегляди IPA становлять загрозу не лише для конфіденційності приватних осіб: вони є порушенням правової визначеності для всіх європейських даних, що проходять через інфраструктури, які підпадають під британську юрисдикцію. Узаконюючи ослаблення шифрування в ім’я громадської безпеки, Лондон парадоксальним чином піддає своїх союзників і торгових партнерів ризикам промислового і державного шпигунства, які архітектури Zero-Knowledge якраз і покликані запобігати.

Цілісність професійних та інституційних комунікацій тепер вимагає структурної відповіді: переходу до децентралізованих екосистем, що гарантують цифровий суверенітет, від рівня коду до юрисдикційної прив’язки.

Utiq: новий «суперкукі» телекомунікаційних компаній, що загрожує вашій конфіденційності

Mon, 01 Jun 2026 00:00:00 +0000

Заплановане припинення підтримки сторонніх кукі (third-party cookies) у веббраузерах спровокувало справжню гонку озброєнь в індустрії таргетованої реклами. Поки Google намагається нав’язати власні стандарти (такі як Privacy Sandbox), інший несподіваний гравець вирішив забрати свою частку пирога: ваш інтернет-провайдер (ISP).

Так народився проєкт Utiq (раніше відомий як проєкт TrustPid) — спільне підприємство, створене європейськими телекомунікаційними гігантами. Продаваний широкому загалу як «прозоре та етичне» рішення, Utiq насправді є тим, чого експерти з кібербезпеки побоюються найбільше: «суперкукі», який працює на мережевому рівні.

Що такое Utiq і як це працює?

Традиційно відстеження реклами (кукі) керується вашим веббраузером (Chrome, Firefox, Safari). Ви могли блокувати його за допомогою розширень (таких як uBlock Origin) або браузера, орієнтованого на конфіденційність (такого як Brave).

Utiq переносить проблему на крок назад: на рівень вашого мережевого підключення.

Ось як зачиняється пастка:

Перехоплення в мережі: Коли ви користуєтеся інтернетом через мобільне з’єднання (4G/5G) або домашній роутер, Utiq використовує вашу IP-адресу та дані вашої телекомунікаційної підписки для вашої ідентифікації.
Згода (хибний вибір): При переході на сайт-партнер спливаюче вікно (popup) запитує у вас згоду на активацію Utiq. Через утому від баннерів кукі (Consent Fatigue) мільйони користувачів натискають «Прийняти», не читаючи.
«Network Signal»: Щойно згоду отримано, Utiq безпосередньо зв’язується з вашим оператором зв’язку. Останній генерує унікальний псевдонімізований ідентифікаційний токен (мережевий сигнал), який потім передається рекламодавцям.

Тепер вас можна відстежувати від сайту до сайту не за файлом, збереженим на вашому комп’ютері, а через саму інфраструктуру, яка надає вам доступ до інтернету.

Чому Utiq — це кошмар для конфіденційності (OPSEC)

Ця ініціатива створює серйозні проблеми для цифрового суверенітету та конфіденційності ваших даних:

Відстеження у джерела: На відміну від класичних куки, ви не можете просто «очистити історію» або «видалити кеш», щоб позбутися Utiq. Ідентифікаційний токен створюється вашим провайдером.
Централізація профілів: Оператори зв’язку вже знають ваше ім’я, фізичну адресу, банківські реквізити та місцезнаходження в режимі реального часу. Пов’язуючи з цими даними історію вашого відвідування вебсторінок через Utiq, вони створюють поведінковий профіль лякаючої точності.
Вразливість псевдонімізації: Utiq захищається тим, що не передає ваше ім’я у відкритому вигляді, заявляючи про використання «зашифрованих» токенів. Однак у світі кібербезпеки доведено, що псевдонімізація є оборотною. Зіставлення цих токенів з іншими базами даних дозволяє легко повторно ідентифікувати людину.

Які оператори використовують Utiq?

Utiq був заснований альянсом чотирьох найбільших європейських операторів. Якщо ви є клієнтом одного з них, ваше з’єднання вже потенційно «сумісне» з цим відстеженням.

Порада OPSEC: Хоча Utiq пропонує централізований портал керування згодою (consenthub.utiq.com) для відкликання доступу, найкращий захист залишається технологічним.

Підхід Zero-Trust для протидії Utiq

Філософія цифрового суверенітету, що просувається такими екосистемами, как Arpokrat, спирається на простий принцип: ніколи не довіряти мережевій інфраструктурі.

Щоб технічно нейтралізувати системи типу Utiq, необхідно приховати свій трафік від власного інтернет-провайдера:

Використання суверенного VPN: Шифруючи трафік одразу на виході з вашого пристрою, ви робите так, що провайдер бачить лише нечитабельний потік даних, спрямований до VPN-сервера. Він більше не може впроваджувати або зчитувати токени Utiq.
Мережа Tor (Orbot): Цибулева маршрутизація запобігає будь-якій наскрізній ідентифікації.
Шифрування DNS (DoH/DoT): Не дозволяє вашому оператору знати, які сайти ви збираєтеся відвідати.

На закінчення, Utiq — це доказ того, що інтернет-провайдери більше не хочуть залишатися просто «трубами»; вони прагнуть стати брокерами даних. Шифрування трафіку більше не є питанням вибору, це абсолютна необхідність для збереження вашої цифрової приватності.

Кричуща тиша: що таке Warrant Canary і чому його зникнення має вас турбувати?

Mon, 01 Jun 2026 00:00:00 +0000

Глибоко у вугільних шахтах XIX століття шахтарі брали із собою канарейок у клітках. Ці маленькі пташки, надзвичайно чутливі до токсичних газів, гинули задовго до того, як люди усвідомлювали небезпеку.

У сучасному цифровому світі цей птах відродився у вигляді « Warrant Canary ».

Що таке Warrant Canary?

Це публічна заява, яку регулярно оновлює постачальник послуг, підтверджуючи, що він не отримував жодних таємних юридичних запитів, що змушують його скомпрометувати дані своїх користувачів.

Вся суть полягає в тому, що відбувається, коли канарейка зникає.

Якщо сервіс, який щомісяця публікував заяву “Ми не отримували жодних таємних ордерів”, раптом перестає її оновлювати, користувач робить висновок: канарейка мертва.

Компанія стала об’єктом стеження з постановою про нерозголошення (gag order). Не маючи змоги сказати, що їх скомпрометовано, вони просто перестають говорити, що вони в безпеці.

Епоха невидимого стеження

Proton: Публікує звіт про прозорість зі суворою канарейкою.
Riseup: Підтримує одну з найвідоміших канарейок.
Arpokrat: Наша екосистема підтримує публічний Warrant Canary з криптографічним оновленням.

Юридичний аналіз та Zero-Knowledge

Держава не має конституційного права змушувати компанію брехати. В екосистемі Arpokrat архітектура Zero-Knowledge створює технічну неможливість виконати наказ. Немає ні приватних ключів, ні ідентифікаторів (Zero-ID), які можна було б передати.

Ілюзія суверенітету: справа Olvid та пастка CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

Це оголошення пролунало як справжній «крик незалежності» в коридорах Парижа: прем’єр-міністр наказав уряду відмовитися від WhatsApp та Signal на користь Olvid, месенджера, представленого як «вітчизняний». Мета була зрозумілою: захистити державні таємниці від іноземних спецслужб.

Проте швидко виявилася гірка іронія: серце Olvid — його серверна інфраструктура — б’ється всередині Amazon Web Services (AWS), американського гіганта.

Для широкого загалу це здається простою технічною проблемою хостингу. Але для архітекторів суверенної кібербезпеки це політична вразливість першого порядку.

Екстериторіальність і конфлікт суверенітетів

Покладаючись на інфраструктуру Amazon, Olvid автоматично потрапляє на орбіту американського закону CLOUD Act.

Юридичний аналіз цієї справи виявляє сценарій юрисдикційної незахищеності, який просте впровадження національного «додатку» не вирішує. Переломний момент криється в концепції «контролю» проти «локалізації».

CLOUD Act кардинально змінив правову парадигму, постановивши, що фізичне розташування сервера не має значення. Обов’язок постачальника послуг (тут AWS) співпрацювати випливає виключно з його юрисдикційного зв’язку зі США.

Юридично це створює прямий конфлікт з GDPR. Суд ЄС вже встановив, що закони США про стеження не забезпечують рівень захисту, еквівалентний європейському.

Цифровий суверенітет — це не атрибут програмного забезпечення, а властивість цілісності ланцюга зберігання даних.

Привид FISA та хибна обіцянка шифрування

Гірше того, ця залежність від американської інфраструктури поміщає ці дані в тінь закону Foreign Intelligence Surveillance Act (FISA).

Зіткнувшись з цими загрозами, Olvid стверджує, що наскрізне шифрування є достатнім щитом. З точки зору інженерії конфіденційності, цей захист є небезпечно неповним.

Навіть якщо вміст повідомлення зашифрований, централізована інфраструктура AWS розкриває метадані. Знати, хто розмовляє з ким, коли, як часто та звідки, часто набагато цінніше для розвідки, ніж сам вміст.

Шифрування захищає текст, але централізований сервер видає мережу контактів.

Справжня небезпека ще попереду

Доки європейська інфраструктура залежатиме від організацій, що підпорядковуються екстериторіальним законам, правова безпека наших комунікацій залишатиметься ілюзорною.

Національна безпека у 21 столітті вимагає повної незалежності інфраструктури та обладнання. Стратегія «Збери зараз, розшифруй потім» — найбільш руйнівна загроза наступного десятиліття.

Перехоплена сьогодні державна таємниця — це не що інше, як математична бомба сповільненої дії.

(Читайте решту нашого аналізу в Частині 2: Бомба сповільненої дії та імператив Zero-Knowledge)