摘要

  • DULT 配件协议草案要求设备绑定时记录可核实的主人身份；在规定的标识查询中，平台至少获得一项遮蔽后的电话或邮箱线索，让发现可疑设备的人有机会辨认主人。
  • 草案同时指出，稳定的设备标识加上残缺的主人资料，仍足以使设备可被识别。已绑定设备只有进入与主人分离的状态才能开放查询；蓝牙等远距离接口需要用户动作，NFC 的贴近动作则可以作为意图的证据。

四位数字既是线索，也是把手

“发现未知追踪器”能让人警觉，却没有回答谁把设备放在那里。草案的主人登记规则先要求在设备绑定时记录可核实的身份，例如手机号或邮箱。其后，标识查询返回给平台的遮蔽信息，至少要包含电话尾号四位，或保留少量字符的邮箱。它没有要求两项同时公开，也没有要求把完整联系方式交给查找者。对刚刚找出设备的人来说，一小段信息有时足以分清熟人、家人和完全陌生的人。

问题是，能用于辨认的东西，也能用于关联。草案在安全章节说得直白：稳定的标识符，加上部分用户信息，可能使配件变得可识别。因此，标识与遮蔽资料不应直接交给每一台发起请求的设备。如果一枚遗失的定位器随时回答“我是谁的”，防丢功能就附带了一本可反复查询的主人索引。这不是草案描述的已发生事故，而是它试图堵住的设计通道。

IETF 的现行记录把这一文本列为仍在推进的工作组 Internet-Draft，并非已经生效的 RFC。草案规定，查询只在已绑定设备的分离状态下开放。经蓝牙之类远距离无线接口请求，必须要求用户动作；经 NFC 查询，近距离接触可以被视为足够的意图。扫描到信号只证明电波到了手机，不能证明手机主人摸到了那枚设备。把这两件事混为一谈，方便做产品流程，却把访问门槛交给了无线覆盖范围。

草案还要求配件面对非主人设备只提供不可识别的数据。它举出的方案，是由配件交出加密、不可链接的载荷，再由配件所属网络服务解密；服务端可以限速并检查欺诈。载荷应有认证和防重放保护，免得有人保存一次抓到的材料，以后反复查询主人资料是否变化。这里的关键角色不是“附近的手机”，而是控制解密和披露的网络服务。它能把帮助受害者辨认设备与阻止批量挖掘身份放在同一个决策点。

谁有设备，谁只是站得近

隐私章节明确区分 NFC 与蓝牙：前者读取标识意味着实际占有设备，后者的无线距离无法证明这一点。收到警报的人、找到实物的人、处于信号范围内的人、向服务端请求资料的人，可能是四个人。平台如果只记一条“成功查询”，读者就无从知道是哪一步把信息交给了谁。

还有另一个时钟。草案说主人解除设备绑定后，登记资料应至少留存 25 天，期满后应删除；对按既定程序提出的有效执法请求，现有登记资料应予提供。这里的“应”是草案的 SHOULD 规范用语，不是对所有产品的法律结论。临时遮蔽查询、登记留存和执法取证各有不同的收件人和目的，不能被一个含糊的“安全需要”吞掉。

目前公开证据没有某一具名网络从警报、动作、解密、重复查询到删档的完整实现轨迹。拿到这条轨迹，才能判断草案设想的门槛在产品里是否真的存在。

来源