Кратко

  • Проект протокола DULT требует при привязке устройства записать проверяемые сведения о владельце. При запросе идентификатора сервис должен дать хотя бы одну скрытую частично подсказку: последние четыре цифры телефона либо часть адреса электронной почты.
  • Постоянный идентификатор вместе с такой подсказкой позволяет узнавать устройство. Поэтому запрос ограничен привязанным маячком в режиме отделения от владельца; через Bluetooth требуется действие пользователя, а близкий контакт NFC может служить признаком намерения.

Четыре цифры работают в обе стороны

Предупреждение о нежелательном отслеживании сообщает об угрозе, но не объясняет происхождение найденного предмета. Несколько знаков адреса или четыре последние цифры номера могут подсказать человеку, принадлежит ли маячок знакомому. Раздел 3.16 проекта связывает проверяемую личность владельца с идентификатором в момент настройки устройства. Ответ сервиса должен содержать по меньшей мере один из двух вариантов скрытых сведений. Полный номер и одновременно оба варианта текст не требует раскрывать.

Но узнаваемая подсказка полезна и постороннему. Проект прямо предупреждает: уникальный постоянный идентификатор плюс частичная информация о человеке могут сделать маячок опознаваемым. Идентификатор и подсказку поэтому не следует отдавать напрямую каждому запрашивающему устройству. В противном случае потерянный маячок превращается в каталог владельцев для любого телефона в зоне приема. Речь в документе о риске конструкции, а не о доказанном происшествии у конкретного производителя.

Запрос допустим только тогда, когда устройство остаётся привязанным и находится в режиме отделения от владельца. Далее важен способ обращения. Bluetooth охватывает пространство шире человеческой руки, поэтому при дальней беспроводной связи проект требует действия пользователя. При NFC физическая близость считывателя к маячку может выражать намерение. Раздел о конфиденциальности формулирует различие жёстко: чтение через NFC подразумевает фактическое обладание устройством, а по дальности Bluetooth такого вывода сделать нельзя. Телефон получил сигнал — это факт связи, не факт владения.

Есть и граница между маячком и сервером. Для чужих устройств маячок должен выдавать только данные, по которым нельзя установить личность. Как один из подходов проект описывает зашифрованное содержимое, не позволяющее связывать разные обращения; расшифровывает его сервис сети маячка. Сервис может ограничивать частоту запросов и выявлять злоупотребления. Аутентификация и защита от повторного предъявления нужны, чтобы однажды перехваченные данные нельзя было использовать для наблюдения за изменением частичных сведений о владельце. Решение о выдаче принимает управляемый сервис, а не сам радиоприёмник.

Отдельно задан срок для регистра владельцев: после отвязки записи следует хранить не менее 25 дней, затем удалять. Имеющиеся сведения также следует предоставлять по действительному запросу правоохранительных органов, поданному по установленной процедуре. Формальная выдача данных государству и ограниченная подсказка нашедшему маячок — разные каналы. Слово «следует» передаёт нормативное SHOULD проекта; оно не утверждает, что любой существующий продукт уже так работает.

Карточка IETF относит редакцию 01 к действующим Internet-Draft рабочей группы. В этой редакции доступ зависит от последовательности, а не от одного удачного сканирования: привязанный маячок переходит в режим отделения, человек совершает действие при запросе через Bluetooth, сервис решает, что открыть в ответе, а запись владельца после отвязки живёт по отдельному правилу. На каждом шаге полномочие меняет руки. Сервис, который показывает только итоговые четыре цифры, скрывает именно те решения, от которых зависит защита владельца.

Источники