Dziesięć lat później

Swój pierwszy poradnik o zabezpieczaniu fotopułapek napisałem jakieś dziesięć lat temu. Od tamtej pory ciągle udoskonalam sposób, w jaki je chronię. W skrócie: tradycyjne zabezpieczenia nie działają na zdeterminowanego złodzieja.

Zabezpieczenia, po które sięgają właściciele — i dlaczego zawodzą

W kółko pojawiają się te same warstwy fizycznej ochrony: kamuflaż, linka lub zamek kablowy, metalowe skrzynki ochronne, montaż cztery metry nad ziemią, łańcuchy wokół pnia.

Żadna z nich nie powstrzyma kogoś, kto naprawdę chce się pozbyć fotopułapki. Zdeterminowany złodziej wejdzie na cztery metry, za drugim razem wróci z odpowiednim narzędziem albo po prostu rozbierze całe drzewo. Najczęściej nawet nie chodzi mu o sprzedaż — po prostu nie chce fotopułapek na „swoim” terenie.

Liczby, które to potwierdziły

Przeprowadziłem krótką, dwudniową ankietę wśród innych właścicieli fotopułapek. Wyniki:

  • 75% straciło przez kradzież co najmniej jedną fotopułapkę
  • Ponad 40% straciło kilka fotopułapek
  • 38% kradzieży poradziło sobie z zamkiem linkowym
  • 34% poradziło sobie z kamuflażem
  • 28% poradziło sobie z metalową skrzynką
  • Tylko 15,4% skradzionych fotopułapek zdążyło przed kradzieżą zrobić jakiekolwiek zdjęcie złodzieja
  • 86,5% poszkodowanych nigdy nie zgłosiło kradzieży na policję
  • Odzyskano zaledwie około 4% skradzionych fotopułapek

Trzech na czterech właścicieli zostało okradzionych. Jeden na siedmiu ma zdjęcie. Jeden na dwudziestu pięciu odzyskuje fotopułapkę. Prawie nikt nie zgłasza tego na policję.

Zmiana: nie bronić się, tylko identyfikować

Podejście musiało się zmienić. Skoro żadne fizyczne zabezpieczenie nie zatrzyma niezawodnie zdeterminowanego złodzieja, sensowne pytanie brzmi: co się dzieje, gdy fotopułapka już zniknie — i jak ustalić, kto ją zabrał.

Metoda, do której doszedłem, to coś, co nazwałbym socjotechniką z odrobiną programowania. Opiera się na jednym zachowaniu, które łączy niemal każdego złodzieja fotopułapek: po kradzieży prędzej czy później wkłada kartę SD do komputera, żeby zobaczyć, co na niej jest. Właśnie z tą chwilą ciekawości da się realnie pracować.

Jak działa pułapka HTML

W najprostszej postaci to mała strona HTML na karcie SD, która wygląda jak zwykła część plików zapisywanych przez fotopułapkę. Gdy złodziej otworzy ją w przeglądarce, JavaScript po stronie klienta po cichu wysyła na mój serwer adres IP, dane o przeglądarce i platformie, system operacyjny oraz znacznik czasu. Jeśli strona poprosi przeglądarkę o dostęp do lokalizacji — a złodziej się zgodzi — wysyła też dokładne współrzędne GPS.

Prośba o lokalizację działa najlepiej wtedy, gdy ma uzasadnienie. W jednej z wersji strona udaje mapę z lokalizacjami innych fotopułapek i prosi odwiedzającego o zgodę na dostęp do lokalizacji, rzekomo po to, by „zobaczyć dokładne współrzędne innych stanowisk fotopułapek”. Złodziej, który właśnie ukradł fotopułapkę, ma wszelkie powody, by chcieć tych informacji. Niektórzy się zgadzają.

Za stroną HTML stoi mały backend, który zapisuje zebrane dane do pliku logu albo wysyła powiadomienie e-mailem. Jeśli nie masz własnego serwera, możesz skorzystać z legalnych API geolokalizacyjnych, takich jak ipinfo.io, ip-api.com czy ipgeolocation.io — choć i tak złodziej musi zezwolić na lokalizację w przeglądarce.

Najważniejsze: na komputerze złodzieja nic się nie uruchamia, dopóki sam nie zdecyduje się otworzyć pliku. Żadnego złośliwego oprogramowania. Żadnej instalacji. Tylko strona internetowa, którą sam dobrowolnie otworzył po kradzieży karty.

Przypadek, który się udał

Raz socjotechnika zadziałała bez zarzutu: złodziej, na tyle ciekawy, że chciał zobaczyć lokalizacje innych fotopułapek, zezwolił przeglądarce na dostęp do lokalizacji. Strona zwróciła jego współrzędne GPS — na tyle konkretne, że można było z nimi coś zrobić.

Od skryptu do usługi

Przez długi czas działało to jako ręcznie złożony zestaw plików PHP i HTML na mojej stronie fotograficznej turiecfoto.sk — folder z fałszywą stroną resetu PIN-u, endpointem do zapisywania danych, małym panelem administracyjnym, połączeniem z bazą danych i kilkoma skryptami pomocniczymi. Do moich własnych fotopułapek to wystarczało.

Zamiana tego samego podejścia w usługę online sprawiła, że da się z niego korzystać także poza tą jedną konfiguracją. W My Trail Camera zakładasz konto na mytrailcamera.pro, dodajesz każdą fotopułapkę, pobierasz ZIP z plikami-przynętami i kopiujesz je na kartę SD. Gdy ktoś otworzy którykolwiek z nich, dostajesz e-mail z adresem IP, odciskiem przeglądarki, przybliżoną lokalizacją i oceną, jak mocne są dowody.

My Trail Camera jest darmowa i nie ma limitu fotopułapek — to ten sam rdzeń ochrony przed kradzieżą, którego używałem sam, a do tego funkcje, które przydają się dopiero wtedy, gdy masz w terenie wiele fotopułapek naraz: pozyskanie numeru telefonu przez fałszywy reset PIN-u, strefy monitorowania na mapie, szacowanie baterii z uwzględnieniem pogody oraz raport dowodowy PDF przygotowany dla policji.

Co usługa robi — a czego nie

Usługa nikogo nie hakuje. Niczego nie instaluje na urządzeniu złodzieja, nie skanuje sieci i nie robi nic bez działania samego złodzieja. Pliki-przynęty to zwykłe strony HTML, które po otwarciu w przeglądarce wysyłają standardowe żądanie HTTPS do mytrailcamera.pro — z takimi samymi informacjami, jakie każda strona internetowa dostaje od każdego odwiedzającego.

Przydatne czyni je kontekst: karta jest skradziona, pliki otwiera złodziej, a żądanie powstaje z jego własnej ciekawości.

Kilka rad

Gdybym miał po dziesięciu latach podsumować praktyczne wnioski:

  • Istnieją fotopułapki z aktywnym GPS i zabezpieczeniem przed kradzieżą; łatwiej je znaleźć na rynkach zagranicznych niż na słowackim
  • Apple AirTag ukryty w pasku albo w obudowie fotopułapki to zaskakująco tania dodatkowa warstwa ochrony — po usunięciu głośnika nie ostrzega dźwiękiem użytkowników iPhone’ów w pobliżu (osoba, która go nosi, i tak w końcu dostanie powiadomienie)
  • Działaj zgodnie z prawem — celem jest jeden adres IP i jedna lokalizacja do przekazania policji, a nie inwigilacja
  • Warto umieścić na karcie kilka plików-przynęt obok prawdziwych zdjęć, żeby karta nie wydawała się złodziejowi podejrzanie pusta, gdy ją przegląda

Dlaczego to zbudowałem

Zbudowałem My Trail Camera, bo sam jej potrzebowałem. Rdzeń ochrony przed kradzieżą jest darmowy i taki pozostanie — to ten sam mechanizm, którego używam we własnych fotopułapkach.

Zarejestruj się za darmo na mytrailcamera.pro i wypróbuj to z następną kartą.