#CyberMagazyn: Bluetooth nowym narzędziem stalkerów. Ile mówią o nas nasze smartfony?

Opublikowana niedawno praca zespołu naukowców z Kalifornii dowodzi, że nasze telefony (oraz inne gadżety wyposażone w technologię łączności Bluetooth) coraz częściej można traktować jako bezprzewodowe narzędzia do śledzenia naszej lokalizacji – i to wcale nie przez reklamodawców i wielkie firmy technologiczne, co dziś nie jest już żadną tajemnicą.

„Korzystając z protokołu Bluetooth Low Energy (BLE), urządzenia mobilne takie jak smartfony i smartwatche nieustannie transmitują sygnał, który informuje pasywnych odbiorców o lokalizacji urządzenia. Wykorzystują to aplikacje takie, jak narzędzia do śledzenia kontaktów społecznych w obliczu pandemii COVID-19, a także rozwiązania do poszukiwania zagubionych urządzeń" – twierdzą badacze.

Jak wskazują, aplikacje te wykorzystują rozwiązania kryptograficzne pozwalające zminimalizować ryzyko wykorzystania sygnału przez potencjalnych atakujących, chcących stalkować posiadacza smartfona czy smartwatcha. Ich obejście jest jednak możliwe i aktywnie realizowane przez mapowanie unikalnych niedoskonałości fizycznej warstwy transmisji w poszczególnych urządzeniach, które powstają na etapie ich produkcji.

Jak Bluetooth może być wykorzystany do śledzenia smartfonów?

Z badania wynika przede wszystkim to, że Bluetooth może być bardzo efektywnym narzędziem do śledzenia lokalizacji użytkowników urządzeń elektronicznych, pod warunkiem, że smartfon czy smartwatch nie znajdują się w pobliżu innych urządzeń.

Indywidualny monitoring sygnału pozwala na śledzenie telefonu nawet z odległości kilkuset metrów – twierdzą eksperci. Jeśli natomiast użytkownik znajduje się w grupie innych osób posiadających smartfony z aktywnym Bluetooth, wówczas możliwość stalkowania go ogranicza się drastycznie, do kilku lub kilkunastu metrów – wszystko przez „zanieczyszczenie" innymi sygnałami, które uniemożliwiają dokładne mapowanie ruchu pojedynczego urządzenia.

Autorzy pracy wskazują, że podatne na nadużycia z wykorzystaniem Bluetooth może być od 40 do 47 proc. smartfonów, które zawierają niedoskonałości pozwalające na dokładne zmapowanie ich indywidualnego sygnału.

Wykorzystywany w badaniu algorytm pozwolił badaczom na zdefiniowanie dwóch uniwersalnych czynników, które można odnaleźć w sygnale Bluetooth emitowanym przez urządzenia, a które są jednocześnie zależne od wspomnianych wyżej „niedoskonałości" produkcyjnych. Warto przy tym zauważyć, że defekty pozwalające na śledzenie smartfonów nie mają nic wspólnego z wiekiem urządzeń, ani modelem telefonu.

Co może wpłynąć na utrudnienie śledzenia smartfona przez Bluetooth? Nie tylko „szum" powstały w wyniku nakładania się na siebie sygnałów emitowanych przez wiele urządzeń znajdujących się jednocześnie w tym samym miejscu, ale też np. temperatura otoczenia.

Do stalkowania urządzenia w oparciu o Bluetooth nie trzeba zbyt złożonej technologii – badacze wskazują, że wystarczy sprzęt do wykrywania sygnału radiowego, który kosztuje mniej niż 200 dolarów i dość wysoki poziom wiedzy technicznej, który pozwoli na jego wykorzystanie.

Jak dużym problemem może być stalking przez Bluetooth?

Potencjalnie, bardzo dużym. O tym, że ta technologia łączności jest już wykorzystywana w złych celach, pisałam wielokrotnie przy okazji stalkingu z użyciem lokalizatorów AirTags, produkowanych przez koncern Apple. W ostatnich dniach media obiegła wiadomość o tym, że gadżet ten został wykorzystany przez sprawczynię zabójstwa, która najpierw zlokalizowała podrzuconym do samochodu AirTagiem swojego partnera oskarżanego przez nią o niewierność, a następnie w wyniku kłótni przed jednym z pubów zabiła go, potrącając mężczyznę wielokrotnie swoim autem.

To skrajny przypadek, niemniej jednak problem wykorzystania urządzeń Bluetooth do monitorowania lokalizacji osób jest już dość rozpoznany – AirTagi są narzędziem przemocy domowej i przemocy w związkach, służą też do stalkingu, który sam w sobie jest formą przemocy i przestępstwem.

Problem ze śledzeniem urządzeń wyposażonych w Bluetooth jest jednak znacznie szerszy – co udowadnia omawiana praca naukowa.

Niemal wszyscy korzystamy dziś z gadżetów, które łączą się z naszymi telefonami czy smartwatchami właśnie z użyciem Bluetooth. Podłączamy w ten sposób słuchawki, drukarki, elektronikę ubieralną do fitnessu czy inne urządzenia peryferyjne, nie zdając sobie najczęściej sprawy z tego, że Bluetooth może stanowić ryzyko dla naszej prywatności, a nawet – co udowadnia wspomniany wcześniej przypadek zabójstwa – dla życia.

O tym, że Bluetooth w naszym telefonie jest aktywny, najczęściej w ogóle nie myślimy – zostawiamy go włączonego nawet, gdy nie korzystamy z żadnych peryferiów, po to, by móc się z nimi łatwo połączyć w dowolnym momencie.

Urządzeń internetu rzeczy, łączących się i „rozmawiających" ze sobą po to, aby ułatwić nam życie w cyfrowym świecie, jest wokół nas coraz więcej. Niektóre z nich wykorzystują do łączności sieci bezprzewodowe WiFi, gdzie również istnieje spore ryzyko wykorzystania sygnału do śledzenia nas (jest ono już jednak dość dobrze zmapowane i opisane), inne z kolei opierają się właśnie na Bluetooth. Istnieją marne szanse, by przyszłość była mniej połączona – wprost przeciwnie, urządzeń peryferyjnych, jak i zastosowań dla Bluetooth będzie w naszym życiu coraz więcej.

Nie tylko stalkerzy

Oprócz przemocy domowej i stalkingu istnieje jeszcze jedno ryzyko, które wiąże się z możliwościami ataku na prywatność użytkowników smartfonów opisanych w badaniu zespołu z Kalifornii.

To inwigilacja ze strony organów ścigania i rządów. W demokracjach przyzwyczailiśmy się do myślenia o tym, że inwigilacja i śledzenie obywateli to sytuacje graniczne, które mają prawo wydarzać się wyłącznie za zgodą sądu, w przypadkach, gdy chodzi o ochronę bezpieczeństwa publicznego, narodowego, lub przeciwdziałanie przestępczości, w tym – terroryzmowi.

Realia wyglądają jednak inaczej, co uświadamia dobitnie choćby szeroko opisywana na naszych łamach afera z Pegasusem, który również i państwo polskie wykorzystywało do inwigilowania swoich obywateli.

Dziś monitoring ze strony państwa wcale nie musi odbywać się za pomocą żądań dostępu do danych wysyłanych oficjalną drogą firmom technologicznym, które mają prawo odmówić udostępnienia danych w sytuacjach, gdy może to zagrozić prawom człowieka i demokracji, np. w przypadku chęci bezprawnej inwigilacji dziennikarzy.

O wiele łatwiej śledzić nas z pomocą urządzeń, które sami z ogromną chęcią codziennie rano wkładamy do kieszeni i zabieramy ze sobą wszędzie – nie tylko do sypialni.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].