Un saluto da 3flies4
Vorrei iniziare ringraziando lo staff e tutti i membri di questa community che rendono possibile tutto ciò.
Viste le molteplici domande sull'argomento e sulle possibili soluzioni da adottare per evitare di essere tracciati o identificati ho deciso di scrivere questa guida e presentarvi alcune delle tecnologie e strumenti che vengono utilizzati dalle BigTech/Governi/Istituzioni/Società di Advertising.
Prima di tutto vorrei esprimere il mio pensiero su tutto questo:
"E' veramente possibile evitare di essere tracciati o identificati durante l'utilizzo di tecnologie o dispositivi in questo caso mobile?"
Personalmente penso che si, è possibile ma temporaneamente mi spiego meglio, il fatto di essere identificati-tracciati in seguito o durante
una nostra attività, che può o no richiedere un certo grado di anonimità, dipende dalla natura e dall'impatto che quest' attività può avere, in base a queste due cose l'istituzione o chi altro abbia interesse ad identificarci durante o dopo lo svolgimento di quest'ultima stabilirà quanto è disposta a spendere in termini economici e di tempo per raggiungere l'obbiettivo.
Vorrei iniziare ringraziando lo staff e tutti i membri di questa community che rendono possibile tutto ciò.
Viste le molteplici domande sull'argomento e sulle possibili soluzioni da adottare per evitare di essere tracciati o identificati ho deciso di scrivere questa guida e presentarvi alcune delle tecnologie e strumenti che vengono utilizzati dalle BigTech/Governi/Istituzioni/Società di Advertising.
Prima di tutto vorrei esprimere il mio pensiero su tutto questo:
"E' veramente possibile evitare di essere tracciati o identificati durante l'utilizzo di tecnologie o dispositivi in questo caso mobile?"
Personalmente penso che si, è possibile ma temporaneamente mi spiego meglio, il fatto di essere identificati-tracciati in seguito o durante
una nostra attività, che può o no richiedere un certo grado di anonimità, dipende dalla natura e dall'impatto che quest' attività può avere, in base a queste due cose l'istituzione o chi altro abbia interesse ad identificarci durante o dopo lo svolgimento di quest'ultima stabilirà quanto è disposta a spendere in termini economici e di tempo per raggiungere l'obbiettivo.
Detto ciò uso queste ultime due righe prima di iniziare, per precisare che questa è una raccolta di informazioni, e che le tecnologie, e gli strumenti elencati non per forza siano attualmente in uso, inoltre se siete a conoscenza di altri metodi usati, o se avete informazioni maggiori riguardo a quelli elencati, condivideteli qui. Cercherò di mantenere aggiornata e strutturata questa guida rendendola comprensibile anche per chi non avesse conoscenze informatiche.
Iniziamo dal principio:
I primi dati raccolti sulla nostra identità, vengono acquisiti già al momento dell'acquisto del dispositivo, in caso questo avvenga tramite carta di credito o addirittura finanziamento. In quel preciso istante la vostra identità o meglio quella del proprietario della carta o del richiedente il finanziamento verranno associate al dispositivo per essere piu precisi al suo codice identificativo ovvero l' IMEI (International Mobile station Equipment Identity) dando inizio ad un infinità di dati che verranno raccolti nel tempo(utilizzando parte delle tecniche e strumenti che vedremo in seguito) utili a confermare sempre più l' identità associata al dispositivo, tenendo traccia anche delle relazioni di quest'ultimo con altri dispositivi, la finalità é di identificare e confermare l'identità anche di questi, più avanti vi sarà tutto più chiaro.
Molti di voi potranno dire , “effettuo l'acquisto in contanti”, ma a questo punto si presenta il prossimo “ostacolo” l'acquisto della sim e l'attivazione di un eventuale piano tariffario. Anche in questo caso ci troviamo a dover fornire i nostri dati i quali verranno raccolti dal nostro gestore telefonico ed associati a quella determinata sim tramite il codice univoco IMSI (International Mobile Subscriber Identity). A questo punto nel momento che la sim verrà inserita e registrata sulla rete usando il dispositivo precedentemente acquistato in contanti il risultato sarà che da quel momento l'indirizzo IMEI di quel dispositivo sarà associato all'IMSI della sim arrivando quindi ad associare comunque il dispositivo alla nostra identità.
Questo è solo l'inizio di un lungo processo di raccolta dati finalizzato al tracciamento e all' identificazione di un dispositivo, associando ad esso un identità reale già dal principio, per poi continuare a raccogliere metadati utili a confermare sempre più precisamente l'identità associata a tale dispositivo, qualora non si riesca a raccogliere i dati direttamente entrano in gioco le relazioni tra dispositivi, tenendone traccia infatti si può comunque arrivare ad identificare o confermare l'identità associata ad un dispositivo, semplicemente tracciando i dispositivi con i quali è spesso in contatto.
L'ultimo passaggio al quale dovremmo prestare attenzione e dovremo evitare dall inizio,o comunque dopo l'acquisto del dispositivo e la sim, è quello dell' id richiesto per l'attivazione,che sia esso un Apple ID o un Google Account, vediamo insieme cosa avviene in questa fase e cosa dobbiamo fare per evitare che il dispositivo venga associato alla nostra identità: per evitare quanto detto prima, possiamo acquistare il primo in contanti e la sim non a nostro nome (anche se questa pratica può limitare molto la possibilità di attivazione di eventuali piani tariffari o offerte),
Presumendo che fin qui siamo stati attenti, e abbiamo preso le dovute precauzioni per evitare qualsiasi tipo di associazione dispositivo/identità, arriviamo al momento subito dopo l'accensione dove ci viene richiesto di effettuare l'accesso con un account o ci viene data, qualora non ne possedessimo uno la possibilità di crearlo, rispettivamente un Apple ID qualora si trattasse di un dispositivo Apple o un Google Account in caso di dispositivo Android. Come possiamo intendere facilmente, alla creazione di questo account o all'accesso con uno già esistente l'IMEI e l' IMSI verranno associati a quell'account, quindi se volete evitare che tale dispositivo riconduca alla vostra identità un consiglio che vi posso dare è quello di :
- in caso di account già esistente assicurarsi che tale account non sia stato usato su altri dispositivi in passato, dai quali in qualche modo abbiano potuto raccogliere dati e confermare la vostra identità, perché come ben capirete al momento dell'accesso sarà automatica l'associazione del device alla vostra identità precedentemente confermata su altri dispositivi.
- registrare un nuovo account senza però utilizzare una connessione wi-fi che sia riconducibile a voi, quindi potrete usare la connessione dati fornita dal gestore della sim (che non è in alcun modo collegata alla nostra identità) o un qualsiasi wi-fi pubblico che non richieda la registrazione tramite documento.
- Infine la mia scelta preferita, acquistare un dispositivo che non sia brandizato o meglio non venga venduto con app e servizi preinstallati come Android, iOS o dispositivi commercializzati dai gestori come TIM ecc che in aggiunta a quelle gia esistenti inseriscono anche le loro app e funzionalità all'interno del device. Questo perché come potrete vedere in seguito spesso questi software sono utilizzati proprio per accumulare dati ed inviarli all'azienda che li immagazzina nei loro database.
Ultimamente sono stati commercializzati alcuni smartphone Linux i quali secondo me sono una scelta più che valida in quanto i loro OS sono open source e ci è quindi possibile vedere e capire il loro comportamento.
Un motivo che dovrebbe indurci a preferire un dispositivo diverso da Apple o Android è che, questi ultimi ci vengono forniti con un sistema incorporato chiamato Wi-Fi Triangolation il quale è in grado di rivelare la nostra posizione con una precisione da 1 a 2 metri. Il servizio è preinstallato e non può essere disattivato per i rispettivi Apple e Android ma solo per applicazioni di terzi.
Gli altri Protagonisti:
Continuiamo il nostro viaggio e diciamo che abbiamo evitato ogni possibile mezzo che possa identificarci di quelli discussi fin ora.
Bene i problemi non sono finiti, perché manca un protagonista nella nostra storia e penso lo abbiate già capito o vi stavate chiedendo perché non viene citato, lo facciamo ora, l'ultimo protagonista ma non per importanza ad avere un ruolo nel tracciamento e identificazione dei dispositivi è proprio lui il Governo o le sue tanto discusse istituzioni e agenzie.
Quest'ultimo entra in scena sfoggiando alcuni degli strumenti e tecniche più vicine o simili ad un film di spionaggio rispetto a quelli affrontati in precedenza vediamone insieme alcuni:
- Abitudini: ebbene si, come sappiamo noi umani siamo esseri abitudinari, e coloro che hanno interesse nel “controllarci”, tracciarci e identificarci hanno capito che sono proprio queste abitudini a fornire loro uno strumento abbastanza potente o perlomeno capace di dare un input, una direzione al processo di identificazione e tracciamento di un dispositivo che fino ad un dato momento non era associato ad alcuna identità. Per esempio anche se noi avessimo 10 telefoni con 10 sim non riconducibili a noi in alcun modo e li scambiassimo di volta in volta saremmo comunque facilmente identificabili dalle nostre abitudini ovvero la frequenza e gli orari nei quali chiamiamo determinate persone. Anche se questo approccio come detto in precedenza non fornisce una conferma certa dell'identità dà comunque un indizio al quale poi si possono aggiungere altre migliaia di informazioni che lasciamo in giro per la rete, non necessariamente usando il nostro dispositivo ma anche semplicemente tenendolo acceso(vedremo in seguito come sia possibile), ed arrivare cosi sempre più vicini alla conferma certa dell'identità associata a quel dispositivo.
- Voice Fingerprinting: come denunciato tempo a dietro da Snowden alcune agenzie governative hanno la possibilità di riconoscere un individuo tramite il Voice fingerprinting. In questo caso ogni persona sarebbe riconoscibile tramite la propria voce, la quale può essere catturata in molti modi diversi da chiamate, messaggi vocali, Skype ecc.
Questo è possibile qualora l'agenzia o l'istituzione sia in possesso del vostro Voice Fingerprintig in modo da confrontarlo con la voce acquisita durante una vostra chiamata e arrivare cosi, non ostante tutte le nostre precauzioni, ad associare la nostra identità al dispositivo
La nostra impronta digitale vocale è in possesso delle Big Tech come Google,Amazon,Apple e tutte quelle aziende che producono o offrono servizi come Alexa, Siri, Google Assisistant e Cortana. Il problema è che siamo proprio noi a fornirgliela, vi basti pensare a come vengono configurate queste applicazioni, chiedendoci di calibrare la nostra voce ripetendo diverse volte la stessa frase in modo che possa riconoscerci in futuro.
- Stingray: anche chiamato IMSI-Catcher è un dispositivo utilizzato per effettuare attacchi MITM (Man in the Middle) come lo stesso nome ci suggerisce questo attacco consiste nel mettersi tra il nostro dispositivo e la cella telefonica, intercettando cosi tutto il nostro traffico chiamate ,messaggi ecc.
- 5G: con il 5G diventa ancora più difficile nascondersi , dato che quest'ultima utilizza il beamforming, sostanzialmente significa che la cella telefonica punterà direttamente al nostro dispositivo. Questo dovrebbe essere sufficiente a farci capire che tutto ciò può benissimo essere usato anche come un localizzatore “laser” arrivando ad avere una precisione di pochi cm se non mm.
Cross-Device Tracking
Andremo a a vedere alcune tecniche meno ovvie, queste se abbinate con le precedenti già
viste possono offrire identità ancor più accurate o verificate del tutto.
Inoltre queste tecniche possono essere dannose soprattutto per chi spesso adotta metodi per nascondere la propria identità come l'uso di VPN ecc in quanto un altro dispositivo connesso alla vostra rete o vicino a voi può rilevare la vostra identità.
Andremo a a vedere alcune tecniche meno ovvie, queste se abbinate con le precedenti già
viste possono offrire identità ancor più accurate o verificate del tutto.
Inoltre queste tecniche possono essere dannose soprattutto per chi spesso adotta metodi per nascondere la propria identità come l'uso di VPN ecc in quanto un altro dispositivo connesso alla vostra rete o vicino a voi può rilevare la vostra identità.
Come alcuni di voi saprà il nostro telefono o qualsiasi altro mobile-device è in grado di inviare e ricevere dati non solamente tramite internet o linea telefonica . Infatti molte delle tecniche e strumenti che vedremo utilizzeranno come mezzo di comunicazione il bluetooth, il wi-fi, gli ultrasuoni o anche strumenti di rete conosciuti alla maggior parte di noi. Tutto questo viene definito dai data scientists cross device tracking (tracciamento dei dispositivi intrecciato) in quanto permette a chi ne usufruisce di raccogliere informazioni non solo in modo diretto ma anche in modo indiretto usando altri dispositivi che nel tempo si relazioneranno con il nostro.
Ecco un elenco di alcune delle tecniche che andremo a vedere:
- Buetooth
- Wi'Fi Probes
- UXDT
- ARP
Il Set di Strumenti:
- Contact Tracing: Visto il periodo in cui ci troviamo, molti avranno sentito parlare del contact tracing, in questo caso viene utilizzato il bluetooth, cosa che ormai troviamo ovunque su qualsiasi dispositivo, ma guardiamoci un attimo dietro e vediamo come questa tecnologia è mutata rispetto a qualche anno fa. In precedenza per far si che due dispositivi si connettessero e comunicassero tra loro necessitavamo di aver attivato la modalità “Visibile” su uno e in seguito avviare la ricerca sull'altro, e in alcuni casi confermare la connessione con un bottone o scrivendo un codice mostrato su entrambi i dispositivi. Ma il “progresso” non si ferma mai e vista la necessità e il desiderio per il contact tracing nel 2020 i dispositivi specialmente gli smartphone hanno l'abilità di essere automaticamente “Visti” da altri dispositivi nelle vicinanze e anche non portando a termine alcuna connessione, tra loro si scambiano comunque informazioni e si presentano l'un l'altro comunicando il proprio indirizzo MAC. Per chi ancora non lo sapesse, ogni dispositivo che fa uso del bluetooth emette delle frequenze radio, e l'identità di questo segnale viene trasmessa secondo gli standard del bluetooth comunicando quindi l' idirizzo MAC. Capiamo quindi che qualsiasi persona in possesso di un dispositivo di ricezione che funziona nel range di frequenza di 2.4Ghz, può catturare questi segnali ed avere cosi una lista di tutti i dispositivi presenti nella zona. Inoltre possono essere anche gli stessi smartphone con una qualsiasi app installata a raccogliere questi dati.
- Wi-Fi Probe: Come abbiamo già visto con il bluetooth, il problema dell' always-on wi-fi si presente più o meno con le stesse dinamiche ma con qualche differenza. Ogni dispositivo equipaggiato con una scheda wi-fi invierà ciò che viene chiamato wi-fi probe, questo viene fatto diverse volte al secondo, e su diverse frequenze, annunciando cosi la nostra presenza a tutti gli altri dispositivi nelle vicinanze comunicando anche la propria identità per mezzo dell'indirizzo MAC. A differenza del bluetooth però che copre una distanza di 1,5-3metri il wi-fi probe è concepito per essere ricevuto in un range di 60 metri.
- UXDT(Ultrasonic Cross Device Tracking): questo è uno dei miei preferiti vediamo in cosa consiste. Per questo tipo di “tracciamento” sono richiesti da un App i permessi di accesso al microfono ed autoparlanti. L'approccio di questa tecnica è molto interessante dato il fatto che non siamo in grado di rilevarla, in quanto il nostro dispositivo emettera un suono compreso nelle frequenze ultrasoniche che vanno dai 18Khz ai 20Khz, sappiamo che oltre i 30 anni la maggioranza delle persone non possono udire suoni sopra i 18Khz.
Considerando quanto detto alcune app potrebbero quindi mettersi in ascolto e vedere se c'è la presenza di messaggi UXDT, o anche fare l'opposto.
Le applicazioni di tale tecnologia secondo me sono limitate solo dalla fantasia di una persona, ad esempio una qualsiasi agenzia nazionale potrebbe posizionare dei ripetitori in punti strategici di una città o luogo, per sfruttare poi in seguito una qualsiasi app che permetta l'utilizzo del microfono del telefono e mettere quest'ultimo in ascolto, nel momento quindi che passeremo nelle vicinanze di questo ripetitore il nostro telefono riceverà il messaggio uxdt e ne comunicando la sua ricezione e indovinate tutto cio a cosa porterebbe? Ovvio la nostra posizione sarebbe rivelata anche se avessimo evitato tutto ciò che abbiamo visto fin ora, e tutto ciò noi non potremmo sentirlo.
Per non andare troppo oltre con la fantasia, un uso reale di questa tecnologia è stato fatto in passato da società pubblicitarie, inserendo questi messaggi UXDT in alcune pubblicità trasmesse in Tv, in questo modo qualora nel nostro dispositivo fosse presente una qualsiasi app pubblicitarià il telefono riceveva questo messaggio e comunicava all'azienda che quella pubblicità era stata realmente “vista”. Vista la sua natura però alcuni governi ne hanno proibito l'utilizzo anche se secondo quanto detto all'ultimo DefCon attualmente ci sono ancora 256 app nel PlayStore che presentano funzioni volte ad usare l'uxdt.
- ARP request: Chiunque abbia avuto a che fare con l'informatica sa bene cos'è una richiesta arp, per chi non lo sapesse può dare un occhiata qui per farsi un idea.
Questa tecnologia richiede che il dispositivo sia in grado di eseguire una richiesta ARP, qualora ci sia questo presupposto una volta inviata la richiesta l' arp (address resolution protocol) risponderà fornendo una lista di tutti gli indirizzi MAC presenti nella nostra rete. Questa lista viene poi inviata ad un database dove viene combinata ad altri dati ottenuti dalle precedenti tecniche, arrivando cosi a creare una relazione dei dispositivi. Un esempio può essere fatto prendendo chiamando in causa uno dei maggiori utilizzatori di questa tecnologia Facebook.
Mettiamo il caso che siamo a casa connessi al nostro wi-fi ma stiamo usando una vpn per navigare “anonimamente”, ad un certo punto però nostro fratello/sorella o chiunque voi vogliate prende il suo smartphone e si connette a facebook in quel momento facebook riceverà la lista dei dispositivi che sono presenti in quella rete esponendo cosi anche la vostra identità. Per questo vi consiglio di utilizzare un router vpn e non una vpn solo sul dispositivo.
Detto ciò vi invito ad esprimere il vostro parere in merito e sarei curioso di sentire come qualcuno di voi applicherebbe queste tecnologie anche in altri campi e non solo per il tracciamento.
Se siete arrivati a leggere fin qui vi ringrazio e spero che vi sia piaciuto il testo, qualora ci fosse qualche errore esponetelo e provvederò a corregge quanto prima possibile.
