Alle kan overvåge dig via din mobils wifi

Smartphones udsender et ID, som med enkle midler kan indsamles. It-eksperter er bekymrede, men Datatilsynet kender ikke til fænomenet.

Hvornår møder chefen på arbejde? Og hvor ofte og hvor længe handler den samme kunde i supermarkedet? Alt det og meget mere kan private og virksomheder få svar på via det wifi-signal, som smartphones og andre mobile enheder udsender.

Det skriver avisen Ingeniøren fredag.

I London er det netop kommet frem, at skraldespande i den britiske hovedstad har været udstyret med elektronik, der gennem en uge i juni har indsamlet mere end en halv million ID’er fra intetanende forbipasserendes telefoner og tablets. Bystyret har krævet indsamlingen stoppet, og sagen er nu indbragt for det britiske svar på det danske Datatilsynet, Information Commissioner’s Office.

ID’erne – de såkaldte MAC-adresser – kan opsamles med udstyr til få hundrede kroner, og de kan potentielt bruges som en slags ‘real life cookies’ – de små data-stumper, der i browseren registrerer vores aktiviteter på nettet, og som hjemmesider ifølge europæisk lovgivning skal gøre opmærksom på brugen af.

Mens en internet -cookie eksempelvis kan fortælle, om du har besøgt en hjemmeside før, så kan en MAC-baseret ‘real life cookie’ i princippet afsløre, om du tidligere har besøgt en restaurant eller bodega.

'Vanvittige mængder af lokationsdata'

»Sagen med skraldespandene er bekymrende. Det kræver absolut intet at sætte en database op og koble den med andre databaser, så man kan se, hvilke butikker folk har besøgt og andre lokationsdata. Det er vanvittige mængder af lokationsdata, som ikke burde være så let tilgængelige,« siger it-sikkerhedsekspert ved finske F-Secure Sean Sullivan, som tilføjer, at enhver – i modsætning til teleselskabernes data om folks bevægelser – i princippet kan opbygge data om folks færden på baggrund af MAC-adresser uden nogen form for dommerkendelse.

MAC-adressen knytter sig til den enkelte enhed og kan ikke umiddelbart føres tilbage til en person. Men kombineret med manuelle eller automatiserede observationer af, hvem der er til stede, når en specifik MAC-adresse popper op, vil det alligevel være muligt at knytte adresserne til personer.

Perspektivet ved MAC-indsamlingen er ifølge en meddelelse fra firmaet bag forsøget i London, Renew, at kunne forudsige folks færden – blandt andet i forhold til, hvor de vil drikke, spise, eller hvilke personlige vaner de har. Også af private kan den automatisk udsendte MAC-adresse bruges til eksempelvis at registrere, om en enhed befinder sig på et givent sted på et bestemt tidspunkt.

Sean Sullivan opfordrer til, at der kommer et lovgivningsmæssigt fokus på indsamling af MAC-adresser.

Datatilsynet på bar bund

Datatilsynet kan ikke umiddelbart oplyse, hvorvidt den form for registrering er lovlig eller ej:

»Vi har mig bekendt ikke haft sager, der minder om det her. Og derfor har vi ikke haft nogen stillingtagen til det. Det er spørgsmålet, om det overhovedet er personoplysninger, men hvis det er, så er der i hvert fald med persondataloven mulighed for at foretage forskning,« siger kontorchef i Datatilsynet Lena Andersen.

Netop forskning har opsamling af MAC-adresser været brugt til i Aarhus. Her har der været et forsøg med at indsamle MAC-data for at undersøge borgernes brug af kommunens grønne områder. Og et andet eksempel kommer fra den nordjyske virksomhed Blip Systems, der bruger wifi- og Bluetooth-informationer fra mobile enheder til at forudsige flowet af trafik på veje og menneskestrømme i lufthavne.

Læs også: Sådan sporer lufthavnen dig og din baggage med trådløse netværk

Teknisk chef i virksomheden Lars Tørholm fortæller, at en telefon normalt udsender sin MAC-adresse med få minutters mellemrum eller endnu oftere. Han tilføjer, at løsningen fra Blip Systems ikke kan anvendes til at overvåge enkelte enheders færden, idet systemet udelukkende opsamler MAC-data i anonymiseret form.

Lektor ved Institut for Datalogi ved Aarhus Universitet Mikkel Baun Kjærgaard forklarer, at både Windows-, Android- og iOS-telefoner udsender deres MAC-adresse. Den eneste måde at undgå det på er at slukke for wifi-signalet.

Kommentarer (36)

Ove Andersen

Det er der vel ikke noget nyt i. Kastrup lufthavn overvejede jo også i 2008 at bruge bluetooth til reducere køerne [1], og det bruges nu i flere lufthavne (Oslo, Kastrup, Heathrow, Helsinki [2])

Så de kunne jo også passende skrive på skærmen, "Velkommen tilbage", når de kan genkende et tidligere ID/MAC. Så ville man føle sig så dejligt hjemme :)

[1] http://www.version2.dk/artikel/passagerer-i-kastrup-skal-spores-med-en-c...
[2] http://www.futuretravelexperience.com/2011/07/helsinkis-bluetooth-based-...

Jens Jönsson

Det er spørgsmålet, om det overhovedet er personoplysninger, men hvis det er, så er der i hvert fald med persondataloven mulighed for at foretage forskning,« siger kontorchef i Datatilsynet Lena Andersen.

Det kan det vel hurtigt blive, hvis man f.eks. sammenkæder oplysningerne med videooptagelser af hvem der bevæger sig rundt i en given butik, hvornår.

Christian Carstens

Synes man mangler at nævne hvilke positive fordele og muligheder der er for den almindelige borger, ved at følge folks trådløse enheder.

Som der kommenteres anvendes Bluetooth og Wi-Fi sporing i både København, Oslo og Helsinki men også i store internationale lufthavne som Amsterdam, Dubai og Toronto, til bl.a. at forbedre rejseoplevelsen for de rejsene ved at reducere kø ved Check-in, paskontrol og security. Desuden oplyses eventuel køtid på infoskærme. I trafik anvendes den trådløse teknologi også til at forbedre infrastrukturen ved bl.a. køvarsling og optimering at trafiksignaler som reducerer benzinforbruget og rejsetid for trafikanter. Trafikingeniører i bl.a. København, Århus og Aalborg anvender også teknologien til bl.a byplanlægning.

Ingeniøren skrev i maj denne artikel: http://ing.dk/artikel/wifi-og-bluetooth-giver-danskerne-trafikovervaagni...

Bruno Andersen

Synes man mangler at nævne hvilke positive fordele og muligheder der er for den almindelige borger, ved at følge folks trådløse enheder.

Der den store fordel for den almindelige bruger, at man kan få målrettede supertilbud på fx kaffe og pizza i et lufthavnsområde;-)
Det hedder sig, at man bruger det til at undgå flaskehalse med mange passagerer, -det er vel inddirekte til brugernes fordel.

Ove Andersen

Med en laptop, ja MAC adressen kan ændres rimeligt nemt (nok de færreste der gør det).

Med en telefon, så skal den rootes eller jailbrakes først. Det er vist kun "entusiaster" der gør det, ikke mindst fordi det ofte kræver en fuld wipe, af sikkerhedshensyn, for at åbne bootloaderen (gør det med HTC i hvert fald).

Martin Bøgelund

Man kan gøre rigtig meget af den slags for relativt få midler.
CreepyDOL, der er bygget op omkring et bundt Raspberry Pi's, er... virkelig creepy.
"The nodes look for various forms of data, including Dropbox and iMessage data, that can provide information about the user of the smartphone. Some data only reveals that a particular protocol is being used by a particular user, while others may leak a great deal of personal information, including names, pictures, and email addresses. To stay within the law, O'Connor tested CreepyDOL with software settings that made the sensor nodes blind to any but his own smartphones."

Christian Nobel

"Version2 er Danmarks it-medie, der henvender sig til de mange, der arbejder professionelt med it."

Med det in mente, så burde niveauet altså være højere end:
"ID’erne – de såkaldte MAC-adresser"

OG:

Ja selvfølgelig kan man logge MAC adresser, så længe der er et netværkskort, som "skvadrer" i større eller mindre omfang, så er det jo ligesom nødvendigt at identificere sig med MAC adressen.

Men ellers så kan man som Brian er inde på sørge for at WiFi er slukket, men lur mig om ikke det næste vel bliver at nogle politikere læser dette, og så skal Ethernet protokollen udvides så den kan give advarsler på linie med cookies - suk.

Henning Hansen

Datatilsynet kan vel ikke være helt uforberedt - det svarer vel til en del andre overvågningsteknologier, såsom aflæsning af nummerplader, ansigtsgenkendelse, brug af betalingskort, road-pricing, rejsekortet, m.m.

Kristoffer Olsen

Hvordan er det nu man gør i Københavns lufthavn?


Ja det er det samme, man gør i Københavns Lufthavn og sågar i Field's-indkøbscenteret og formodentlig et væld af andre steder med mange butikker og et fælles, gratis wifi til besøgende.

Forskellen mellem den engelske model og de ovenstående er nok bare, at det formodentlig står i brugsbetingelserne, at oplysningerne om ens brug og bevægelser bliver gemt og brugt til at "forbedre servicen" eller lignende.

martin nyhjem

Datatilsynet kan vel ikke være helt uforberedt - det svarer vel til en del andre overvågningsteknologier, såsom aflæsning af nummerplader, ansigtsgenkendelse, brug af betalingskort, road-pricing, rejsekortet, m.m.

Alle de ting du nævner er personhenførbare. Nummerplader, ansigt, betalingskort osv. er alt sammen noget som er registreret til dig.
Det er din MAC adresse ikke, og derfor er informationen ikke personhenførbar, og derfor behøver tilsynet ikke tage stilling til det.
Hvis informationen blev koblet sammen med anden data, som f.eks. cpr nummer eller navn og adresse, så ville det være noget andet, men så længe det kun er MAC adressen, og denne adresse ikke er koblet sammen med din person, så behøver de ikke tage stilling til problemet :)

Morten K. Thomsen

Med det in mente, så burde niveauet altså være højere end:
"ID’erne – de såkaldte MAC-adresser"

Artiklen er forsidehistorien i dagens udgave af Ingeniøren, og ing.dk har den også som tophistorie (i form at et link til Version2) her til morgen. Derfor er vi nødt til at tage hensyn til, at ikke alle læsere har en professionel, it-teknisk baggrund.

Vh Morten, Version2.

Povl H. Pedersen

Jeg ved ikke om Juicedefender også slukker for Bluetooth, så du ikke kan bruge den i bilen. For BT er også noget man tracker. Det har en MAC adresse som WiFi, og laver også broadcasts. Jeg mener de forsøg man vil lave herhjemme er både BT og WiFi.
Og du skal vel også helst sætte din telefon i fly mode, og slukke telefondelen for at være anonym. Det koster ikke mange dollars at købe en SDR (Software Defined Radio), og man har styr på 3G, og man også modtage 4G pakker, selvom der ikke er meget til at dekode dem endnu. Telefonen har vist også et fast ID her, og jeg mener det kan klares med OSS.

Så hvis du ikke vil spores, så husk at pille batteriet ud af alt elektronisk udstyr, herunder ure, specielt smartwatch, løbeure og pulsmålere (ANT+ kan også spores). Put det hele i et faraday bur.

Og vent så på lidt bedre biometrisk tracking.

Christian Carstens

Synes dog at Ingeniørens fulde version giver et noget bedre overblik over både fordele og ulemper end ovenstående "udsnit" som primært fokuserer på bekymringen ved brug teknologien.

Kjeld Flarup Christensen

Principielt er der jo ikke nogen forskel til at sætte en masse mennesker til at kigge ud af vinduet og notere ned hvem der kommer forbi. Hvis vi bevæges os i det offentlige rum, så må vi leve med den slags, eller tage en strømpe over hovedet.

Løsningen for mig at se er at telefonerne få indbygget en stealth mode, hvor de først sender deres MAC, hvis de fanger data fra et netværk som de vil kommunikere med. F.eks. hvis de opfanger et kendt MAC. Det vil givet også være noget som sparer på strømmen.

Torben Jensen

Teknisk chef i virksomheden Lars Tørholm [...] løsningen fra Blip Systems ikke kan anvendes til at overvåge enkelte enheders færden, idet systemet udelukkende opsamler MAC-data i anonymiseret form.

Joh, det kan godt være at de kun opsamler enhedsid AA-BB-CC.., men fuld sporbarhed af dig kræver kun sammenhængen mellem CPR 010101-0123 og enhed AA-BB-CC.. er dannet en gang. Derefter er resten trivielt.

Så kan der være enkelte tilfælde hvor din telefon er lånt ud, men mon ikke de fleste holder egen (smart)phone på sig konstant ?

Det er sikkert ikke anderledes end alle andre steder der (naturligvis) sker profilering, f.eks. i supermarkedet. Men hvis man forestiller sig disse apparater udvidet til en hel by bliver det ret interessant. Tid at finde den gamle Nokia dumbphone frem fra støvet.

Brian Hansen

Juicedefender kan slukke og tænde for hvad du vil, når du vil :)
Kræver det ikke en hel del tilladelser for at få lov at snuse på telefon netværket? Man skal vel nærmest være operatør?

Kjeld Flarup Christensen

Det er faktisk ikke nogen ringe ide. Nu vi er ved det. Måske man også kunne aflytte icc, imei og telefon nummeret på en GSM telefon. Måske ved at sætte en picocell op, så forsøger telefonen at registrere sig på den. Jeg vil tro at den mindst giver mig sit icc nummer. Så er det bare bede politiet spørge teleselskabet om hvem der ejer det nummer.

Erik Jønsson

Man kan jo altid undgå overvågning ved at slukke for telefonen. Eller kan man?
I kender sikkert alle Lisbeth Salander, hovedpersonen i romanen "Mænd der hader kvinder". Hun ved lidt mere om it end de fleste. Når hun ikke bruger sin mobil nøjes hun ikke med at slukke den, hun piller også batteri og sim-kort ud.
Så det gør jeg også.
Skørt - men hvem ved egentlig hvad USA-regeringen har "overtalt" Apple til at putte i deres telefoner? Og hvad indbygger kineserne mon i de mobiler de laver? Det er der vist ingen der ved.

Christian Schmidt

Principielt er der jo ikke nogen forskel til at sætte en masse mennesker til at kigge ud af vinduet og notere ned hvem der kommer forbi.


Forskellen er, hvor mange ressourcer det kræver at foretage denne slags masseovervågning. Det har en helt naturlig selvregulerende effekt, når den slags privatlivsindgreb (overgreb?) er dyre at foretage. Så vil de kun blive brugt, når det er tilstrækkeligt vigtigt, fx ved efterforskningen af grove forbrydelser.

Hvorvidt det er lovligt at notere ned, hvem der kommer forbi dit vindue, ved jeg ikke. Jeg har hørt løse rygter om, at det er ulovligt for børn at "samle på nummerplader".

Michael Thomsen

Artiklen er forsidehistorien i dagens udgave af Ingeniøren, og ing.dk har den også som tophistorie (i form at et link til Version2) her til morgen. Derfor er vi nødt til at tage hensyn til, at ikke alle læsere har en professionel, it-teknisk baggrund.


Så det du siger er, at jeres journalister er for dovne til at skrive om det samme emne mere end en gang? (I kunne jo overveje at skrive en teknisk forståelig udgave på v2 og så skrive jeres EB version på et andet medie.) Fair nok; men så kunne I måske i det mindste leve op til det formål, som I selv har defineret, som Christian så fint citerer ovenfor. Alternativt lukke v2, eftersom der åbenbart ikke er noget marked for den målgruppe I har.

Istedet for altid at lefle for laveste fællesnævner, er vi nogle som gerne så niveauet hævet.

Kai Birger Nielsen

>Kjeld Flarup Christensen
Ah ja, en picocell (eller nok snarere en femtocell) under ens egen kontrol. Jeg kan se det for mig: ukendt mac-adresse dukker op på ens grund. pr automatisk bliver den sat ind i femtocellens acceptliste og der lyder et bip fra ens nye "gæst"'s mobiltelefon med en velkomstbesked fra det nye net: "Lokal udbyder af telefoni og totalovervågning - smil til kameraerne" eller måske "HA motorcykelklub, velkommen" eller måske noget tilsvarende på rumænsk.

Alle udgående opkald bliver logget og viderestillet til en passiv optager, opkaldende nummer bliver logget og sendt pr sms til ejeren af huset, så han kan ringe op og spørge hvad han kan hjælpe med. Mon ikke det vil skræmme de fleste banditter langt væk?

Eneste kiks er vist at acceptlisten til picocellen er en liste over telefonnumre og ikke mac-adresser :-(
Men det kunne jo selvfølgelig bare være alle telefonnumre :-)

Peter Jürgensen

Joh, det kan godt være at de kun opsamler enhedsid AA-BB-CC.., men fuld sporbarhed af dig kræver kun sammenhængen mellem CPR 010101-0123 og enhed AA-BB-CC.. er dannet en gang. Derefter er resten trivielt.

Ifølge denne link benytter Blip Systems hashing med en ny nøgle hver dag, således at en sporet enhed vil optræde som en ny enhed næste dag.
Det gør problemet lidt mindre vil jeg mene.

http://www.bliptrack.com/traffic/area-of-operations/privacy-concerns/

Nedenstående er klippet fra siden under ovenstående link:

BlipTrack™ One Way Hash

When a BlipTrack™ sensor detects a Bluetooth or Wi-Fi device in its proximity, the sensor will generate a one way hash code from the address of the detected device using a SHA-256 algorithm. Only hash codes are transmitted to the central server.
There is no way to revert hash codes back to real MAC addresses, thereby preventing access to the MAC addresses of the tracked devices.

BlipTrack™ Re-Hashing.

BlipTrack™ supports re-hashing of MAC Address device hashes.
By re-hashing the hash codes, using a new salt on a daily basis, a detected device will only have the same hash code for one day.
The next day that user will be seen as a new user.

Jacob Pind

mon ikke datatilsynet skulle omstruktures, så de fik nogen folk ind med forstand på tingne så de kunne være lidt pro aktive med udvilkning istedet for kun at komme når skaden er sket også højest at sig fy virksomheden.

Einar Petersen

Ja man kan altid prøve men...

New Wireless technology that operates without the use of batteries.

http://www.redorbit.com/news/technology/1112923167/engineers-present-bat...

Så det med batteri og sim kort taget ud er a thing of the past. Det er vel bare et spørgsmål om tid førend denne batteriløse trådløse teknologi er miniaturiseret nok.... og så indbygger man den i tøj etc. helt integreret og usynligt, en pervasive teknologisk løsning der sikrer total sporbarhed på alt og alle til enhver tid - bortset måske fra i nudist lejren...

Måske skal man overveje en sølvpapirs hat ;)

Log ind eller opret en konto for at skrive kommentarer

JobfinderJob i it-branchen

TDC skifter koncernchef efter faldende mobilomsætning

Jesper Stein Sandal Mobil og tele 14. aug 2015

Nyeste job

KurserStyrk dine evner med et kursus

Service Excellence i dagens Service Desk

Hvornår: Hvor: Efter aftale Pris: kr. Efter aftale

Dataanalyse og pivottabeller i Excel 2013

Hvornår: Hvor: Østjylland Pris: kr. Efter aftale

Master i gymnasiepædagogik

Hvornår: Hvor: Fyn Pris: kr. Efter aftale

Excel 2013 Videregående

Hvornår: 2015-09-02 Hvor: Østjylland Pris: kr. 4950.00

Når kunden ikke betaler

Hvornår: 2015-12-02 Hvor: Fyn Pris: kr. 1800.00