Отслеживание перемещений украинцев в связи с коронавирусом. Это возможно?
За нами следят наши девайсы — кто и как это может использовать
Нас окружает огромное количество различных электронных устройств.
Функционал этих устройств нам не известен. В них запихивают всякие возможности, которые, по мнению изготовителей этих девайсов, должны упростить и сделать нашу жизнь прекрасней.
Всегда любым двигателем прогресса становится лень. Да-да, обычная человеческая лень. Сначала мы не хотим вставать и переключать каналы на телевизоре (проводные, потом беспроводные, а сейчас через приложение в телефоне) пульты дистанционного управления, автоматические парковочные системы в автомобилях. Примеров очень много, смысл один: для достижения результата нужно меньше телодвижений. На этом фоне возникают мысли про некую единственную кнопку с надписью: «Сделать хорошо» (текст на кнопке звучит по-другому, но смысл примерно ясен).
Давайте на примере последних событий разберем некоторые придуманные ситуации для понимания возможных последствий применения неконтролируемых технологий.
Любое устройство имеет свой функционал. Изначально была идея, под которую это устройство разрабатывалось. Причем неважно, это устройство аппаратное, или программное, устанавливаемое на наш смартфон: его задача упростить нам жизнь и максимально расширить зону комфорта. Благие намерения, не так ли? За это даже денег просят.
Часто, практически всегда, новые продукты вываливают на рынок без соблюдения всех процедур тестирования. Это понятно: есть хорошая идея, которую шустрые деятели с дипломами MBA покупают за бесценок, делают шум с анонсами выхода мега-супер продукта, и в желании опередить конкурентов выбрасывают на рынок. Тут на второй план выходит стабильность, безопасность, различные косяки в работе продукта, потому что на первом деньги. Меняется идеология. Основной критерий не функционал, а скорость выхода. Ну и якобы потом допилим с очередным обновлением. Знакомо?
Теперь про реалии
На фоне всех происходящих движений с эпидемией короновируса во многих странах сделали шаги по попытке контроля заболевших/условно заболевших/здоровых граждан.
Причем совершенно разными методами. Но основная идея одна: все привязки делаются к вашему местоположению и контролю передвижений.
Логично, что для этого контроля нужно в режиме реального времени отслеживать ваше местоположение. Давайте разберем этот момент подробнее.
Каким образом это можно сделать?
1. С помощью оператора, предоставляющего вам доступ к мобильной связи. Тут все просто: у оператора на поверхности планеты есть инфраструктура вышек для создания этой самой связи. В зависимости от плотности населения этих вышек может быть больше или меньше. Соответственно, разные результаты в разной местности.
Дальше. В любой момент времени ваш телефон видит несколько вышек оператора с разным уровнем сигнала. И вышки точно так же видят ваш телефон и тоже с разным уровнем сигнала. Вспоминаем геометрию, рисуем радиусы, вектора и получаем некую зону на карте, в которой в данный момент времени находится ваше устройство.
Вроде бы все отлично, и как в голливудских фильмах на карте появляется точка. А вот и нет. Это не точка, а довольно большая зона, в которую может входить несколько многоэтажек, кусок дороги и леса, река, озеро и какая-нибудь автостоянка. Естественно, для точного обнаружения терминала существуют методы, но они работают на максимум десятки телефонов одновременно и требуют очень дорогую вундервафлю на базе автомобиля и стоимостью, как годовой бюджет среднестатического НИИ.
О массовом применении этой технологии можно забыть.
Нужна точность.
2. С помощью встроенного приемника GPS. Да, точность увеличивается, когда вы находитесь на улице. Но из квартиры на карантине спутники не видны. Потолок удачно экранирует. И железная крыша. В некоторых случаях видны кое-какие спутники из окна, но они находятся почти над горизонтом, поэтому обработка данных от них не значительно улучшит качество определения координат.
Есть исключения: вы вышли на балкон покурить, вышли с собакой на улицу погулять или просто прошвырнулись за сигаретами к киоску возле дома. Именно в этот момент ваше устройство найдет себя на поверхности планеты и запишет в свою память дату/время/координаты и успокоится. На самом деле пока ничего не произошло: для вашей засечки необходимо нечто, что будет передавать координаты наружу. Некое приложение, которое вы установите сами на свой телефон.
Об этом чуть позже. Сейчас рассматриваем получение координат самим телефоном.
Первые два способа старинны, стандартны, и существует огромное количество вариантов сместить ваши координаты. Или просто не отдать их установленному приложению, ибо то, что видит оператор связи — очень неточно.
А теперь о неприятном
3. WіFі. Если нас не погубит очередной вирус, нас убьёт WіFі. В прямом смысле.
Давайте рассмотрим, как с помощью этой технологии мгновенно определяются наши координаты. Нас окружает всегда огромное количество домашних/офисных/на заправках/свой вариант точек доступа (АР). Наше устройство обычно видит их десятками. И в них уникальный МАС адрес и уровень сигнала. Имея такую табличку с МАС адресами и уровнем сигнала, система геопозиционирования отправляет эти данные на удаленный сервер и получает оттуда точные координаты вашего телефона.
Причем это все происходит автоматически. У вас же включены карты в смартфоне? Причем неважно, каким именно провайдером вы пользуетесь: гуглкарты, яндексом, 2gis (список огромен).
Откуда эти провайдеры знают точные координаты установки АР? А сколько лет граждане пользуются навигаторами? Машины ездят, и пешеходы ходят постоянно. И передают данные. И они накапливаются. И используются для определения координат. А самих точек доступа миллиарды. И их не становится меньше. Все ваши передвижения уже записаны в истории на серверах гугла. И эпла.
Естественно, можно попытаться отключить передачу этих данных, но это находится в таких дебрях, что даже опытному специалисту приходится ломать мозг, как это сделать. Единого и универсального рецепта нет. Мы отключаем, а уже установленное приложение в нашем телефоне его включает. Например, фейсбук. Или ватсап. Или вайбер. И даже сделав полный аудит своего устройства и потратив на это несколько дней, вы неприятно удивитесь, что после обновления приложения/системы/любимой игрушки все опять по-тихому заработает.
Фразы оппонентов, типа: «да кому мы нужны» и «у тебя паранойя» оставьте для специалистов и экспертов, которые сейчас не ходят в школу. Это все сейчас я рассказываю не с целью напугать, а показать реальность, пусть и не самую приятную. Там еще много чего есть, но это не сегодня. Мы сегодня про координаты.
4. Bluetooth. По нему очень сложно отследить координаты, но в список внес его не спроста: это мост между вашим телефоном и всякими фитнес-браслетами, системами в автомобиле (громкая связь/связь с бортовой медиа и навигационной системой), другими устройствами, которые могут работать как автономно, так и в паре с вашим телефоном. И в этих гаджетах, подключаемых по bluetooth, тоже есть система определения координат. Своя. Отдельная от телефона. Которая рассказывает, где сейчас/час назад/вчера находился этот гаджет. А телефон доволен: у него появляется альтернативный источник определения местоположения, он добавляет эти данные к тем, что у него уже есть и в переменной точки местоположения появляется более высокая точность. И он готов отдать эти координаты любому приложению, что спросит. Что уже стоит в вашем смартфоне. Правда неприятно?
Идем дальше.
Установленные приложения.
Вместе с приложениями к нам в устройство можно поставить SSL сертификат. Исключительно с целью доверять удаленным серверам этих приложений. Пока все нормально. Это если сертификат настоящий, выписан удостоверяющим центром, находится в базе. И, внимание, выписан исключительно на доменное имя, обслуживающее само приложение. Тут все четко.
Теперь рассмотрим вариант, когда устанавливается сертификат, не привязанный к конкретному сервису, а является СА сертификатом удостоверяющего центра. По-простому это можно описать так: когда мы устанавливаем что-то, и это что-то соединяется только с тем, что нужно, у нас нет паники. А когда у нас в системе устанавливается вместе с приложением, которое крайне необходимо сейчас обществу, сертификат, которому телефон доверяет, и у него есть возможность подписывать не только свои удаленные сервера, но и любые другие, тут уже начинается паника. Почему? Да потому, что можно подставить любой другой ресурс/страницу/сервер, и система никак не отреагирует.
Например, вы заходите на фейсбук, пишете текст в сообщении, а какой-то плохой человек с низкой социальной ответственностью будет читать ваши сообщения. И почту. И видеть передаваемые файлы по мессенджерам. И отправленные и принятые голосовые сообщения. Тут уже становится не очень хорошо. Эту тему можно развивать и дальше, и с помощью минимальных манипуляций добраться и к вашим перепискам в мессенджерах. И все это с системой определения координат. Главное — установите приложение.
Теперь давайте представим, что приложения, которые нам будут настоятельно рекомендовать установить, писали, мягко скажем, бюджетные, мало понимающие последствия, почти за еду, кодеры. Кроме требований заказчика в них будет, скорее всего, куча ошибок, которые могут привести к утечке данных из ваших смартфонов. Если вы политик — уйдет ваша переписка, если вы предприниматель — уйдут ваши доступы к счетам, если вы просто параноик с идеями глобального заговора — самое время начинать паниковать.
У меня совсем нет доверия к поделкам, представляемым нам, как мега-продукт от государства. И это не недоверие к власти, это недоверие к исполнителю, создавшему данный продукт. Или продукты. Или все вместе. Потому что нет нормального тестирования. Есть выпускники с дипломами МВА, которым на все наплевать. И есть дедлайны со стороны государства сделать все на вчера.
Последствия
Даже после удаления программы в системе что-то останется. И мне почему-то кажется, что это будет именно тот самый сертификат государственного удостоверяющего центра, который является самоподписным. Или неправильно выпущенным, например, не на один сервис, а на всё, что им будет подписано в будущем. Скандальчик про скрипты для установки на сайтах по требованию киберполиции помните? Так это будет на порядок жестче. А спишут на скорость написания приложения и «не досмотрели» и расскажут про «сильно преувеличенную роль безопасности».
Приходят сразу на ум мысли про тотальный контроль и ограничение конституционных свобод и прав. Возможно, я не прав.
Теперь про реальность
Давайте представим себе, что мы используем смартфон без сим-карты. Пункты один и два сразу отпадают. И мы даже не будем использовать пункт 4. Останется только пункт 3.
И мы используем только WіFі. Этого будет достаточно для четкой засечки наших координат. Но есть одно но. Не знаю, как в яблочных устройствах, расскажу про андроид.
Есть такая функция, как меню разработчика. И вот в нем можно для определенных, выбранных приложений задать определенную геопозицию, которая будет транслировать эти координаты в приложение. В этом месте можно улыбнуться. Не думаю, что навязываемые нам приложения будут иметь альтернативную систему получения координат, кроме как с потока в самом телефоне. Для этого нужно время и понимание того, что ты делаешь. И время для тестирования. А его нет. Есть только мечты про глобальный контроль каналов связи. За деньги операторов.
Тогда вся затея с приложениями, контролирующими перемещения, просто разбивается. Совсем. Написать маленькую программку, которая сделает все эти манипуляции для действительно разбирающегося специалиста — дня два. С перерывами на кофе, сон и покурить. И кто-то это обязательно сделает. И выложит. И все попытки ввести контроль провалятся.
Это я к чему? Сначала нужно думать, что ты делаешь, и только потом, взвесив все за и против, начинать процедуру. Не будем далеко ходить: распиаренное приложение для вызова полиции. Кнопка сос, или как оно там называется. Приходит в голову сюжет в стиле блокбастеров: группа бандитов собирается ограбить банк. А в этот момент происходит некое массовое мероприятие с большим количеством людей. Делается некий пшик с дымовой завесой на этом мероприятии и в течение двух минут приходит около 600 сообщений из этой программы с просьбой о помощи. Все срываются на это место, указанное в координатах, а в это время бандиты спокойно выносят из банка все ценности. Тут есть много вариантов. Но это не сегодня.
Выводы
• Использование программ в смартфонах для контроля за передвижением граждан требует серьезной подготовки, проверки «поделок» на предмет уязвимостей и закладок. Сырой продукт выпускать нельзя.
• Если кто-то захочет, он сможет скрыть свои реальные координаты простым способом.
• Риск установки вместе с приложением «довеска», ограничивающего наши права и свободы. Это намного серьезнее вируса.
• Верьте только себе. Перепроверяйте информацию и меньше трепитесь в социальных сетях и в мессенджерах. Родина слышит.
