Google maakt van iedere mobiel een spion

Vandaag een gastbijdrage van Jaap-Henk Hoepman, associate professor in security and applied cryptography aan de Radboud Universiteit in Nijmegen. Het stuk is ook op zijn eigen site te lezen.

Locatie gebaseerde diensten passen zich aan aan de lokatie waar je je bevindt. Je vind zo snel een restaurant naar keuze bij jou in de buurt, of weet waar je vrienden zich op dit moment bevinden. Veel van die diensten draaien op mobiele telefoons, of op tablets zoals de iPad. Om zo’n dienst te gebruiken moet je echter wel je huidige locatie te weten. Daarvoor is een aantal mogelijkheden. Google heeft een variant die de privacy ernstige schade toebrengt, juist aan de mensen die niet van locatie gebaseerde diensten gebruik maken.

Sommige telefoons hebben GPS, het satelliet gebaseerde Global Positioning System. Ook kan met behulp van de zendmasten van GSM je huidige locatie bepaald worden. Als je via WiFi draadloos met het Internet verbonden bent, dan is er ook nog een derde mogelijkheid om je locatie te bepalen. Van veel vaste PC’s, maar ook van WiFi access points is de locatie (bij benadering) bekend. Dit maakt het mogelijk om als je op je PC een website bezoekt, de taal van de website of de reclame af te stemmen op je huidige locatie.

In een recente blog post legt Kim Cameron uit hoe hiermee de locatie van mobiele apparaten bepaald kan worden, en waarom dit een privacy probleem oplevert. Elk apparaat met een Internet verbinding (of dat nu draadloos is of niet) heeft (naast een soms dynamisch IP adres) een uniek en vast MAC adres. Dat MAC adres is het unieke nummer van de netwerk hardware van het apparaat, en hangt aan alle netwerk berichten van en naar het apparaat. Alle apparaten die met hetzelfde draadloze netwerk verbonden zijn, kunnen dus het MAC adres van elkaar te weten komen.

Om zijn locatie te bepalen, verzamelt de mobiele telefoon alle MAC adressen die hij ziet op het lokale WiFi netwerk waar hij mee verbonden is. Hier zit in ieder geval het MAC adres van het WiFi access point bij. Vervolgens stuurt hij al deze MAC adressen op naar een centrale server van de locatie gebaseerde dienst. Deze kijkt of van één of meer van de MAC adressen de locatie bekend is, en bepaalt zo de locatie van de mobiele telefoon.

Hierin schuilt een groot privacy probleem. Niet zozeer voor de gebruiker van de locatie-gebaseerde dienst. Die heeft voor het gebruik van zijn locatie meestal vooraf expliciet toestemming gegeven. Nee, het probleem schuilt hem in de MAC adressen van alle andere mobiele telefoons die naar de locatie-gebaseerde dienst gestuurd worden. Die horen bij telefoons van gebruikers die geen toestemming hebben gegeven, en misschien wel van gebruikers die expliciet niet willen dat andere partijen hun huidige locatie te weten komen. Maar door het opsturen van al deze MAC adressen door één telefoon weet de locatie gebaseerde dienst meteen ook de locatie van alle andere telefoons.

Dit klinkt misschien als een vergezochte manier om een locatie gebaseerde dienst in te richten, maar dit is wel precies de manier waarop Google dat doet! Net als met Google Search of het recente debacle rond Google Street View: Google overschrijdt bewust de grenzen van het fatsoen en verzamelt ook nu weer meer informatie dan strikt noodzakelijk is voor de implementatie van een dienst. Het zou immers al een stuk minder erg worden als alleen het MAC adres van het WiFi access point zou worden doorgegeven.

Er is nog een sinisterder variant mogelijk (waarvan ik niet weet of die door Goolge of anderen gebruikt wordt). De hierboven geschetste variant vereist dat de locatie van het WiFi access point bekend is. Als dat niet zo is, dan heb je geen referentiepunt, en kun je dus niet de locatie van de andere apparaten bepalen. Maar stel nu dat één van de mobiele telefoons GPS bevat. Dan zou deze telefoon als ‘spion’ dienst kunnen doen. Hij verzamelt om de zoveel tijd alle MAC addressen van apparaten op hetzelfde netwerk, en stuurt deze, met de eigen GPS locatie, door aan de servers van de locatie gebaseerde dienst. Die slaat deze gegevens op, en verzamelt zo in een mum van tijd de locatie van heel veel mobiele apparaten, maar ook van nieuwe, nog onbekende, WiFi access points.

Wel slim van Google eigenlijk. Waarom zou je met een auto rond gaan rijden om de locatie van allerhande apparaten te bepalen, als je met een slinkse variant op crowd sourcing alle gebruikers van locatie gebaseerde diensten tot je spionnen kunt maken die jou gaan vertellen waar al die ander gebruikers zich bevinden…. Het wordt tijd dat we de Googles van deze wereld een halt toeroepen.