Второго мая компании Apple и Google сообщили о разработке стандарта, который позволит снизить риски неправомерного использования геометок. Брелоки с возможностью геолокации выпускаются уже лет десять, но вопросы приватности, связанные с этими устройствами, стали активно обсуждаться только после того, как Apple представила свои метки AirTag в апреле 2021 года. Эти штуки бесценны, когда нужно найти потерявшиеся дома ключи или отследить чемодан, уехавший в неизвестном направлении после авиаперелёта. Но, к сожалению, из-за них у злоумышленников появился новый простой способ слежки за людьми.
AirTag может подключаться к любым устройствам Apple в зоне видимости и передавать владельцу свои координаты, даже если он находится за сотни километров. Эти теги уже использовали для раскрытия адреса секретного государственного агентства в Германии, для угона дорогих автомобилей, да и просто для преследования людей. Есть случай убийства, произошедшего после того, как местоположение жертвы было установлено с помощью AirTag. Практически сразу после выпуска устройств Apple выкатила фичу, позволяющую определить, что вам подбросили AirTag без вашего ведома. Проблема в том, что для определения меток Apple вам нужен iPhone либо специальное приложение для Android. Новая спецификация пытается сделать функцию определения «жучков» универсальной.
В заявлениях Apple и Google практически нет конкретики. Обе компании говорят о необходимости соблюдать приватность пользователей. Сообщается также о том, что спецификацию, находящуюся на стадии обсуждения, поддержали и другие производители похожих устройств: Samsung, Tile, Chipolo, eufy Security и Pebblebee. Технические детали можно взять напрямую из документа, он находится в открытом доступе.
В спецификации вводятся необходимые определения — например, что геометку стоит считать «подброшенной», если она находится вдали от владельца более получаса (владелец метки в плохом сценарии — тот, кто устраивает слежку). Предлагается, что геометки будут передавать в эфир по протоколу Bluetooth LE открытое сообщение, сигнализирующее о том, что владелец «жучка» получает информацию о его местоположении. Или получал как минимум в течение последних 24 часов. Также вводится отдельная категория устройств-геометок, чтобы отличить их от всех остальных устройств, вещающих по протоколу Bluetooth. Наконец, вводится функциональность, позволяющая обнаружить подброшенную метку. То, что сейчас доступно только владельцу геометки, в теории сможет сделать владелец любого смартфона, если метка длительное время находится рядом с ним. Например, включить на ней звуковой сигнал. В геометку также будет записана обфусцированная информация о владельце, личность которого при необходимости смогут установить правоохранительные органы.
Когда данный стандарт будет внедрён повсеместно, обнаруживать непрошеную слежку станет гораздо проще. Это оградит потенциальных жертв от «простого» шпионажа, когда по сути любой человек без каких-либо технических знаний может получить доступ к их местоположению. От более сложных случаев это вряд ли спасёт: можно предположить, что прошивку устройств наподобие AirTag попытаются видоизменить так, чтобы сделать их «невидимыми».
Есть и немного другой взгляд на приватность, связанный в целом с повсеместным внедрением технологий Bluetooth LE и UWB. Издание The Register напоминает про прошлогоднюю научную работу, которая показывала возможность идентификации человека при помощи устройств, которые он носит с собой. Вот один факт из этой работы: технологии BLE и UWB продолжают работать в айфонах даже после выключения питания устройства (подробно это описано здесь). Эти особенности также могут использоваться для слежки, просто такой метод доступен не всем, а только организациям с необходимыми для этого ресурсами.
Материалы: Блог компании «Лаборатория Касперского»