Google maakt - toch niet - van iedere mobiel een spion.

(Updated 22-7-2010 om recht te zetten dat Google, in tegenstelling tot wat in het originele artikel stond, niet de MAC addressen van andere mobiele apparaten verzamelt.)

Locatie gebaseerde diensten passen zich aan aan de lokatie waar je je bevindt. Je vindt zo snel een restaurant naar keuze bij jou in de buurt, of weet waar je vrienden zich op dit moment bevinden. Veel van die diensten draaien op mobiele telefoons, of op tablets zoals de iPad. Om zo'n dienst te gebruiken moet je echter wel je huidige locatie te weten. Daarvoor zijn een aantal mogelijkheden.

Sommige telefoons hebben GPS, het satelliet gebaseerde Global Positioning System. Ook kan met behulp van de zendmasten van GSM je huidige locatie bepaald worden. Als je via WiFi draadloos met het Internet verbonden bent, dan is er ook nog een derde mogelijkheid om je locatie te bepalen. Van veel vaste PC's, maar ook van WiFi access points is de locatie (bij benadering) bekend. Dit maakt het mogelijk om als je op je PC een website bezoekt, de taal van de website of de reclame af te stemmen op je huidige locatie.

In een recente blog post legt Kim Cameron uit hoe hiermee de locatie van mobiele apparaten bepaald kan worden, en waarom dit een privacy probleem zou kunnen opleveren. Elk apparaat met een Internet verbinding (of dat nu draadloos is of niet) heeft (naast een soms dynamisch IP adres) een uniek en vast MAC adres. Dat MAC adres is het unieke nummer van de netwerk hardware van het apparaat, en hangt aan alle netwerk berichten van en naar het apparaat. Alle apparaten die met hetzelfde draadloze netwerk verbonden zijn, kunnen dus het MAC adres van elkaar te weten komen.

Om zijn locatie te bepalen, verzamelt de mobiele telefoon alle MAC adressen die hij ziet op het lokale WiFi netwerk waar hij mee verbonden is. Hier zit in ieder geval het MAC adres van het WiFi access point bij. Vervolgens stuurt hij deze MAC adressen op naar een centrale server van de locatie gebaseerde dienst. Deze kijkt of van één of meer van de MAC adressen de locatie bekend is, en bepaalt zo de locatie van de mobiele telefoon.

Hierin schuilt een groot privacy probleem, als de lijst van MAC adressen niet alleen de base stations bevat, maar ook alle andere mobiele apparaten in de omgeving.  Niet zozeer voor de gebruiker van de locatie-gebaseerde dienst. Die heeft voor het gebruik van zijn locatie meestal vooraf expliciet toestemming gegeven. Nee, het probleem schuilt hem in de MAC adressen van alle andere mobiele telefoons die naar de locatie-gebaseerde dienst gestuurd worden. Die horen bij telefoons van gebruikers die geen toestemming hebben gegeven, en misschien wel van gebruikers die expliciet niet willen dat andere partijen hun huidige locatie te weten komen. Maar door het opsturen van al deze MAC adressen door één telefoon weet de locatie gebaseerde dienst meteen ook de locatie van alle andere telefoons.

Bij nader onderzoek (bedankt Jelle) blijkt dat Google niet (zoals in een eerdere versie van deze blog post) de MAC adressen van andere mobiele apparaten doorstuurt, maar enkel de MAC adressen van alle zichtbare WiFi base stations. Dit is dus dezelfde manier als het WiFi Positioning System WPS.

Waakzaamheid is desalniettemin geboden. Want er is nog een sinisterder variant mogelijk (die voorzover bekend door niemand gebruikt wordt). De hierboven geschetste variant vereist dat de locatie van het WiFi access point bekend is. Als dat niet zo is, dan heb je geen referentiepunt, en kun je dus niet de locatie van de andere apparaten bepalen. Maar stel nu dat één van de mobiele telefoons GPS bevat. Dan zou deze telefoon als 'spion' dienst kunnen doen. Hij verzamelt om de zoveel tijd alle MAC addressen van apparaten op hetzelfde netwerk, en stuurt deze, met de eigen GPS locatie, door aan de servers van de locatie gebaseerde dienst. Die slaat deze gegevens op, en verzamelt zo in een mum van tijd de locatie van heel veel mobiele apparaten, maar ook van nieuwe, nog onbekende, WiFi access points.

Wel slim eigenlijk. Waarom zou je met een auto rond gaan rijden om de locatie van allerhande apparaten te bepalen, als je met een slinkse variant op crowd sourcing alle gebruikers van locatie gebaseerde diensten tot je spionnen kunt maken die jou gaan vertellen waar al die ander gebruikers zich bevinden.…

::: {#_mcePaste style=“position:absolute;left:-10000px;top:522px;width:1px;height:1px;overflow:hidden;”} http://en.wikipedia.org/wiki/Wi-Fi_Positioning_System :::