[:sv]
Se även Mobilkartläggning bryter mot lagen, Slaget om staden – andra delen, Öppet brev från Bumbee Labs och annat om mobilkartläggning.
Under Lördag eftermiddag (den 8/11) kommer aktivister från DFRI att dela ut flygblad i på Vasagatan i centrala Västerås. Vi kommer även att demonstrera en teknisk uppfinning med potential att sabotera övervakningssystemet och skydda integriteten för personer som rör sig i staden.
Här finns några länkar till media som rapporterar om aktionen:
VLT: Övervakning i city saboteras
VLT: Störningen har startat
SVT: Storebror ser dig
Vi vill kanske inte alltid erkänna det, men vi är oskiljaktiga från våra telefoner. Sällan är mobilen mer än en armslängd bort, till och med när vi sover. Den som känner till var din telefon befinner sig och var den har varit tidigare, vet således en hel del om var även du befinner dig och har varit.
Det är relativt enkelt att spåra en mobiltelefon och att plocka fram information om platser där den tidigare befunnit sig. Din telefon är vanligtvis inte säker och tyvärr finns det företag som slår mynt av din olyckliga belägenhet.
I den här blogposten ska vi förklara hur mobiltelefonspårning går till och vilka kortsiktiga åtgärder du kan vidta för att skydda dig samt skissa upp en långsiktig lösning. För att konkretisera tittar vi på det system för att spåra mobiltelefoners (och därmed människors) rörelser som används i Västerås centrum just nu.
När vi pratar om spårning i det här sammanhanget syftar vi inte på den typen av positionering som telefonoperatören kan göra på uppdrag av polisen eller den information du frivilligt lämnar ut genom att installera appar som använder telefonens GPS. Vi pratar om ett sätt att hålla reda på var din telefon befinner sig helt utan både din och din operatörs inblandning.
Övervakningen i Västerås centrum
Under våren 2014 kontaktade företaget Bumbee Labs organisationen Västerås citysamverkan som består av företrädare för staden, fastighetsägare och näringsliv. De ville sälja sin produkt IOPS, ett system för att kartlägga hur människor rör sig i staden. Citysamverkan nappade på erbjudandet och systemet installerades på prov. I November kommer beslut fattas om det skall köpas in eller om utvärderingssystemet skall monteras ner.
På Bumbee Labs hemsida kan man läsa om IOPS (Indoor Outdoor Positioning System) att:
IOPS mäter signalstyrkan i decibel på en anonym radiosignal som besökarnas elektroniska enheter (mobiltelefoner m.fl.) sänder ut. […] Efter att en passage mäts raderas den ursprungliga anonyma radiosignalen från våra register. Eftersom det är tekniskt omöjligt för oss att koppla ihop den anonyma radiosignalen till en fysisk person, behandlas inga personuppgifter av IOPS.
Dessa påståenden är anmärkningsvärda av flera skäl och väcker en rad frågor.
Det första man kan konstatera är att Bumbee Labs påstående om en ”anonym radiosignal” inte stämmer. Mobiltelefoner skickar inte ut några anonyma radiosignaler över huvud taget.
Även påståendet ”det är tekniskt omöjligt för oss att koppla ihop den anonyma radiosignalen till en fysisk person” är falskt, då det ofta går relativt enkelt att identifiera telefonens ägare genom att avlyssna telefonens WiFi-kommunikation. Mer om detta i nästa avsnitt.
Det är tekniskt möjligt att bygga den typen av system som Bumbee Labs saluför på ett sätt som inte utgör några integritetsmässiga övertramp och det är fullt möjligt att IOPS fungerar på ett sådant sätt. Men det är omöjligt att veta eftersom företaget inte är öppna med hur deras spårning går till. DFRI har kontaktat Bumbee Labs med frågor och för att få en kommentar, men de har inte svarat. Med tanke på felaktigheterna i företagets andra kommunikation känner vi oss inte lugnade av försäkran om att ”radiosignalen [raderas] från våra register”.
WiFi – Digitala fotspår i etern
När det gäller WiFi-signaler, sänder en mobiltelefon alltid ut sin MAC-adress i alla sina anrop till omkringliggande antenner. Det är ett slags serienummer som är unikt för just den telefonen och är allt annat än anonymt.
En kvalificerad gissning av hur systemet fungerar, underbyggd av information från företagets hemsida och uttalanden i media, tyder på att de ”anonyma radiosignaler” som Bumbee Labs hänvisar till är så kallade ”proble requests”. Det är en signal som din telefon regelbundet sänder ut för att fråga om nätverk den tidigare varit ansluten till finns i närheten (för att den då skall kunna ansluta automatiskt till dem igen).
Vad bör göras?
Naturligtvis kan varken Västerås citysamverkan eller Bumbee Labs lastas för att våra telefoner sänder ut all den här känsliga informationen. Men att systematiskt och storskaligt utnyttja den sårbara belägenhet vi alla befinner oss i är lika förkastligt som att närgånget fotografera offren i en trafikolycka. Att Västerås stad, som en del av Citysamverkan, deltar i detta är anmärkningsvärt.
Att stänga av WiFi är ett enkelt sätt för privatpersoner att undgå den typen av spårning som beskrivits i den här blogposten. Det är dessutom bra för batteritiden. Men det är lätt att glömma bort och det krävs att man alls vet om att man blir spårad.
Men att tvingas stänga av WiFi är en nödlösning. DFRI önskar sig telefoner som är säkra och som är utformade för att värnar vår integritet, utan att några speciella inställningar måste göras. Det är vårt långsiktiga mål.
I Apples iOS 8 finns en funktion som ibland använder slumpvisa MAC-adresser vid probe requesets. Det är ett steg i rätt riktning – men det måste göras rätt och hela tiden, inte bara ibland. Vi hoppas att det initiativet plockas upp av Google och även införs i Android.
Edit: Efter publikationen av detta inlägg fick vi ett mail från företaget bakom IOPS. Det finns att läsa här.[:]