Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Недавно техническую прессу обошла сенсационная новость о том, что фирма Qualcomm — один из лидирующих поставщиков чипов для смартфонов — следит за их местоположением при помощи собственного сервиса геолокации. В нашем посте разберемся, что в этой новости — правда, а что — чушь, и как на самом деле можно минимизировать слежку за геолокацией. Но для начала давайте разберемся, как вообще работает геопозиционирование.

Как мобильные устройства определяют, где я нахожусь?

Классический способ определения местоположения — прием сигнала со спутников GPS/ГЛОНАСС/Galileo/Beidou. При этом сам приемник сигнала (чип в смартфоне или навигаторе) проводит вычисления и определяет свое местонахождение. Это достаточно точный метод, который не предполагает передачу устройством какой-либо информации, только прием. Но у него есть и существенные недостатки: он не работает в помещениях и занимает много времени в случае, если приемник используется не ежедневно. Дело в том, что для проведения вычислений устройству необходимо знать точное местоположение спутников, так что ему приходится скачивать так называемый альманах, содержащий информацию об их положении и движении, что занимает 5-10 минут (если качать непосредственно со спутника).

Чтобы минимизировать временные затраты, альманах за пару секунд скачивается из Интернета, это называется Assisted GNSS (A-GPS, A-GNSS). По изначальной спецификации технологии данные передаются только для текущего момента. Но ряд производителей научились снабжать свои приемники A-GPS еще и прогнозом положения спутников на будущую неделю, ускоряя вычисление координат, даже если приемник не будет связываться с Интернетом в ближайшие дни. Такая технология называется Predicted Satellite Data Service (PSDS), и самая яркая ее реализация — фирменный сервис Qualcomm, который мы упоминали в начале поста. Этот сервис появился в 2007 году и получил название GpsOne Xtra, затем в 2013-м он был переименован в IZat XTRA Assistance, а в последней своей версии был скромно назван Qualcomm GNSS Assistance Service.

 

View the full article

Опубликовано

https://lor.sh/@umnik/110265059222751184

 

В общем и в целом написано правильно, что удивительно для этого автора. Я даже сомневаюсь, что он это сам писал, честно говоря. Замечания:

  • Модем является самостоятельным компьютером внутри телефона и может работать и без Андроида вовсе. Он вполне автономен. Он настолько автономен, что Андроид им почти и не управляет - у них просто есть механизм общения друг с другом, но не более того. Можете считать, что каждый живёт в своём доме, но они могут показывать друг другу в свои окна таблички с текстом. На этом всё
  • Незачем было давать ссылку на статью от ГрафенОС, т.к. это специализированная прошивка на ограниченный набор устройств. Если быть точным - только на Pixel. Это очень хорошая прошивка, но примерно 99.9% пользователей остаются за бортом
  • Не нужно объединять фичу куалкома с подгрузкой альманаха и supl. Это разные вещи. Но написана статья так, что создаётся ощущение, что это или одно и тоже, или одно - часть другого

SUPL работает иначе. Эту фичу должны поддерживать и вышки, которые видит телефон. Дело в том, что положение вышек известно совершенно точно, они очень редко бегают с места на место (и я не шучу - иногда всё же бегают - в одном месте ставят новую а старую перевозят в другой регион, к примеру). Зная уровень сигнала вышки и используя формулу расчёта затухания, можно вычислить, относительно точно (у меня в селе - так вообще почти идеально, ведь никаких высоток - чистое поле), на каком расстоянии от вышки находится устройство. Теперь, зная точные координаты этой вышки, можно очертить окружность вокруг неё с вычисленным радиусом. А когда вышек более чем одна видна (как правило, это так, не считая глухие места),  то будет не радиус вокруг одной вышки, а небольшая область, которая образуется наложениями вычисленных радиусов до каждой из вышек. И это, блин, во-первых очень быстро, во-вторых довольно точно. Разброс пусть несколько метров, да пусть даже 20 метров. Но что такое 20 метров, когда речь идёт о том, чтобы быстро понять, где ты вообще находишься. А если будешь двигаться, то будут всё время происходить коррекции расчётов.

 

Итого. Вышка должна уметь передавать нужную инфу о себе (если вышка не сообщает свои координаты, то она бесполезна, но не совсем). Андроид даёт модему тычку, чтобы тот умел пробрасывать предоставленные данные ОС. Сама ОС не имеет доступа к инфе о вышках - это задача модема. Если модем будет сообщать дичь, ОС просто будет верить. Ну а модем, соотвественно, должен вообще поддерживать фичу с теми же координатами.

 

Если координаты вышка о себе не сообщает, то не всё потеряно. Тут в бой вступает ещё и сама ОС (хотя не знаю, может сначала ОС, а потом инфа от модема, может наоборот - это детали). ОС топает на серверы производителя - к Гуглу, Эплу (или на серверы Мозиллы в некоторых кастомных прошивках, или на серверы Графена в случае ГрафенОС) и говорит: я вижу такую-то вышку. Не знаешь, где она находится? И, если повезёт, на сервере будут данные о её физическом местоположении. Но откуда оно известно?

  • ЭплоГуглоМайкрософтоНокии при обнаружении Wi-Fi точек и вышек связи берут ваши GPS координаты и, если удалось их получить — отправляют информацию: такая-то вышка (или вай-фай точка), на таком-то бейсбенде имеет сейчас такой-то уровень сигнала, а мои собственные координаты вот такие. На сервере накапливается вот такие данные от массы пользователей и производятся расчёты
  • Пользователь пытается узнать своё местоположение и ЭплоГуглоМайкрософты отправляют инфу о вышке, уровне сигнала, бейсбендах и получают в ответ, если повезёт, уже рассчитанные результаты положения

Аналогично работает Мозилловский сервис, но там сами пользователи его наполняю. Я, если выхожу из дома, всегда включаю сбор данных. Батарею выжирает менее чем за день, но, т. к. я не в горы еду, мне всё равно. Зато мой второй телефон, который только на Мозилловском сервисе работает, сейчас мгновенно получает местоположение по любому из адресов, где я гуляю.

 

Итого. A-GPS - сам по себе и ему нужно знать примерное местоположение ваше. Даже IP может быть достаточно в общем случае. SUPL - сам по себе. Он про GPS ничего не знает. А вот ОС может дёргать разные ручки и пытаться улучшать данные, используя оба сервиса одновременно. Ещё чуть понятнее. A-GPS, это сервис, работающий так:

  • Эй, сервер, вот примерно в этом городе я нахожусь. Какие спутники сейчас у меня над башкой висят, какие сейчас подлетят, и, главное, на каких частотах они вещают
  • Эй, клиент, судя по тому, что ты сейчас где-то в Екб, то над твоим регионом сейчас вот эти спутники и вот эти на подлёте. Включи свой модем на вот эти частоты
  • ...GPS приёмник сразу переключается на нужные частоты и сразу получает вещание от спутника

То есть если сервер не будет знать регион, то и не сможет сказать, какие спутники и на каких частотах сейчас вещают. И, фишка, эти данные довольно стабильны. Их смело можно кешировать. Но стоит сменить регион, например уехать в командировку, то данные нужно с нуля получать. Отсюда и необходимость модему делать запросы и палить IP адрес - чтобы регион понять.

  • Like (+1) 1
Опубликовано

Завершается статья советом, который решает все проблемы разом, не только ту, которую описывает статья
 

Цитата
  • Лучше всего вообще не пользуйтесь сотовыми телефонами. Даже если сделать все вышеперечисленное, ваше примерное местоположение всегда знает сотовый оператор.

 

  • Улыбнуло 1
Опубликовано

В Мск и без телефонов известно твоё местоположение. Просто сначала нужно сделать так, чтобы его начали отслеживать.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      Автор KL FC Bot
      Постоянный доступ в Интернет и мобильная связь привычны, как электричество, и мы уже плохо представляем, как жили без них раньше. Но представьте себе ситуацию, когда мобильного Интернета или сотовой связи нет, а вам нужно оставаться на связи с друзьями поблизости. Например, в самолете вашу компанию рассадили по разным концам салона, а вы собирались во время полета обсудить дальнейшие планы поездки. Или на музыкальном фестивале Интернет еле дышит, вокруг громко, но договориться, когда идти на мейн, все-таки нужно.
      Тут на помощь могут прийти децентрализованные p2p- (peer-to-peer) или mesh-мессенджеры, позволяющие связать множество устройств в единую mesh-сеть через Bluetooth или Wi-Fi Direct.
      В 2010-е годы с появлением Wi-Fi Direct подобные мессенджеры, с одной стороны, наделали много шума, а с другой, — не получили особого распространения: непонятно было, для чего и где их использовать. Странная замена рации, менее дальнобойной и более энергозависимой, не стала популярной среди пользователей смартфонов. Тем не менее по сей день подобные мессенджеры живы, поддерживаются разработчиками и даже появляются новые разработки.
      Меж тем, у этих мессенджеров есть важная ниша: они позволяют оставаться на связи в ситуациях природных катаклизмов, координировать работу поисковых групп или просто общаться с соседями по дому или даче при сбоях мобильной связи или Интернета. Для этих и других подобных случаев не идеально, но подойдут децентрализованные мессенджеры, которые не требуют подключения к Интернету.
      Так что, если перед задуманным походом вам не доставят заказанные рации, вы можете попробовать воспользоваться mesh-мессенджерами как запасным вариантом.
      Как работают p2p-мессенджеры?
      Принцип работы подобных мессенджеров основан на децентрализованных mesh-сетях, где каждое устройство одновременно является и клиентом, и ретранслятором. Из множества клиентских устройств строится распределенная сеть, каждый участник которой может служить мостом для передачи сообщений дальше.
      Представьте, что ваш смартфон превращается в мини-рацию, которая может передавать сообщения другим таким же устройствам с нужным приложением поблизости. Если вы хотите отправить сообщение, оно будет «прыгать» через смартфоны других пользователей приложения, пока не дойдет до адресата. При этом промежуточные устройства не смогут прочитать сообщение — для связующих узлов оно будет зашифровано.
      Устройства связываются между собой напрямую с использованием либо Bluetooth, либо Wi-Fi Direct.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Присутствие в Интернете сегодня неизбежно. Все больше и больше повседневных процессов происходят онлайн, и, если вы не моряк и не лесничий, жить в офлайне теперь — привилегия. По примерным оценкам, каждый из нас генерирует ежечасно от двух до трех гигабайт данных — через смартфоны, IoT-устройства и онлайн-сервисы. При этом 71% тех же американцев обеспокоены сбором информации государством, а 81% — корпорациями. Сегодня мы разберем обычный день современного человека, чтобы понять, где и как мы оставляем цифровые следы привычными действиями и что с этим делать.
      Утренние ритуалы: как следят смартфон и браузер
      Вы встали, узнали погоду на сегодня, полистали рилсы, что-то полайкали, вбили свой маршрут на работу и выяснили, через какие пробки вам придется продираться. С настройкой приватности в соцсетях все очевидно: ее надо подкрутить, чтобы подписанные на вас родители и коллеги не поседели от вашего чувства юмора, и поможет в этом наш сайт Privacy Checker. Сложнее с геопозицией, которую любят собирать все кому не лень. Мы уже подробно рассказывали о том, как смартфоны собирают на вас досье, и о том, кто такие брокеры данных геолокации и что происходит, когда они «протекают».
      Только представьте: около половины популярных Android-приложений запрашивают геолокацию там, где она не нужна. А браузеры Chrome и Safari по умолчанию разрешают кросс-доменное отслеживание cookies, что позволяет рекламным сетям строить детальные профили пользователей под персонализированную рекламу. В ход идет почти вся телеметрия смартфона, позволяющая составлять детальный портрет потребителя без кастдевов и фокус-групп. Лучший маркетолог — у вас в кармане, только вот работает он не на вас. Как быть?
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      До недавнего времени злоумышленники в основном интересовались криптокошельками исключительно домашних пользователей. Однако, по всей видимости, бизнес все чаще стал использовать криптовалюту — теперь злоумышленники пытаются добраться и до кошельков организаций. За примерами далеко ходить не надо. Недавно исследованный коллегами зловред Efimer, рассылаемый организациям, умеет подменять адреса криптокошельков в буфере обмена. В России организации не имеют права рассчитываться криптовалютой, но, тем не менее, некоторые используют ее в качестве инвестиций. Поэтому функциональность, связанная с криптокошельками, появилась даже в зловредах, используемых в атаках исключительно на российские организации. Вредоносное ПО семейства Pure, например, не только подменяет адреса в буфере, но также охотится и за учетными данными программных криптокошельков. Поэтому мы не очень удивились, когда увидели и криптовалютный фишинг, направленный не только на домашних, но и на корпоративных пользователей. Чему мы удивились, так это легенде и, в целом, качеству этого фишинга.
      Фишинговая схема
      Сама по себе схема нацелена на пользователей аппаратных криптокошельков Ledger: Nano X и Nano S Plus. Злоумышленники рассылают фишинговое письмо, в котором многословно извиняются за допущенный промах — якобы из-за технического недочета сегменты приватного ключа от криптокошелька были переданы на сервер Ledger. И он в общем-то был очень хорошо защищен и зашифрован, но вот команда обнаружила очень сложную утечку, в ходе которой атакующие эксфильтрировали фрагменты ключей и при помощи крайне продвинутых методов расшифровали их и реконструировали часть ключей, что привело к краже криптоактивов. И чтобы через эту уязвимость не взломали еще и ваш криптокошелек, авторы письма рекомендуют немедленно обновить микропрошивку устройства.
      Фишинговое предупреждение о необходимости обновления микропрошивки
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Технологию ключей доступа (КД, passkeys) рекламируют все ИТ-гиганты как эффективную и удобную замену паролям, которая может покончить с фишингом и утечками учетных данных. Суть в следующем — человек входит в систему при помощи криптографического ключа, сохраненного в специальном аппаратном модуле на его устройстве, а разблокирует эти данные при помощи биометрии или ПИН-кода. Мы подробно разобрали текущее положение дел с passkeys для домашних пользователей в двух статьях (терминология и базовые сценарии использования, сложные случаи), но у компаний к ИБ-технологиям совершенно другие требования и подходы. Насколько хороши ключи доступа и FIDO2 WebAuthn в корпоративной среде?
      Мотивы перехода на passkeys в компании
      Как и любая крупная миграция, переход на ключи доступа требует бизнес-обоснования. В теории passkeys решают сразу несколько злободневных проблем:
      Снижают риски компрометации компании с использованием кражи легитимных учетных записей (устойчивость к фишингу — главное заявленное преимущество КД). Повышают устойчивость к другим видам атак на identity, таким как перебор паролей — brute forcing, credential stuffing. Помогают соответствовать регуляторным требованиям. Во многих индустриях регуляторы обязуют применять для аутентификации сотрудников устойчивые методы, и passkeys обычно признаются таковыми. Снижают затраты. Если компания выбрала passkeys, хранящиеся в ноутбуках и смартфонах, то высокого уровня безопасности можно достичь без дополнительных затрат на USB-устройства, смарт-карты, их администрирование и логистику. Повышают продуктивность сотрудников. Хорошо налаженный процесс аутентификации повседневно экономит время каждому сотруднику и снижает процент неудачных входов в ИТ-системы. Также переход на КД обычно увязывают с отменой всем привычных и ненавистных регулярных смен пароля. Снижают нагрузку на хелпдеск за счет уменьшения числа заявок, связанных с забытыми паролями и заблокированными учетными записями.  
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Исследователи Маттео Риццо и Энди Нгуен из компании Google опубликовали работу, в которой предложили усовершенствованную атаку Retbleed. Как мы объясняли в одном из предыдущих постов, атака Retbleed эксплуатирует уязвимости в процессорах AMD Zen и Zen 2, а также в процессорах Intel поколений Kaby Lake и Coffee Lake. Аппаратные уязвимости такого рода крайне сложно использовать на практике, из-за чего всевозможные варианты Spectre, а также производные атаки, типа Retbleed, остаются по большому счету теоретическими. Хотя методы борьбы с ними внедряют и создатели процессоров, и разработчики ПО. Суть работы исследователей Google заключается в повышении эффективности атаки Retbleed. Не меняя ничего кардинально в архитектуре атаки, они смоги использовать особенности процессоров AMD Zen 2, чтобы читать произвольные данные из оперативной памяти.
      Кратко о Retbleed
      Retbleed, как и Spectre, эксплуатирует особенности так называемой системы предсказания ветвлений центрального процессора. Предсказание ветвлений позволяет процессору выполнять инструкции заранее, не дожидаясь результатов предыдущих вычислений. Иногда предсказание оказывается неправильным, но в норме это должно приводить только к небольшому и незаметному для пользователя замедлению работы программы.
      Атака Spectre в 2018 году показала, что неправильные предсказания могут быть использованы для кражи секретов. Это возможно благодаря двум ключевым особенностям. Во-первых, систему предсказания ветвлений можно натренировать так, что произойдет обращение к области памяти с секретными данными, и они будут загружены в кэш-память процессора. Во-вторых, был найден способ вытащить эти секретные данные из кэш-памяти по стороннему каналу, измеряя время выполнения определенной инструкции.
       
      View the full article
×
×
  • Создать...