האם אפשר להסתיר זיוף מיקום מאפליקציות

מדריכים באינטרנט מתארים את אותו דבר: פותחים את מנהל האתחול, משיגים root, מתקינים מודול שמתערב בשכבת המערכת ומסיר מהקואורדינטות את סימון המקור המדומה.

זה סוגר בדיוק את הראשונה מבין ארבע הרמות. אימות המכשיר נכשל מעצם ההגדרה אחרי פתיחת מנהל האתחול — והוא נכשל לא בגלל הזיוף, אלא בגלל השינוי עצמו. להשוואה מול רשתות ולניתוח בצד השרת אין קשר למכשיר בכלל: השירות מבצע אותם, ושום מודול בטלפון לא משפיע עליהם.

התוצאה היא החלפה: מכבים את הבדיקה הבולטת ביותר ובאותו זמן מדליקים בדיקה שנייה, גסה בהרבה — „המכשיר שונה”. עבור האפליקציות שבשבילן כל זה נעשה (בנקים, משלוחים, מעקב ארגוני), התוצאה גרועה מקודם: לפני כן הן עבדו ופשוט התעלמו מהקואורדינטות המזויפות; עכשיו הן לא נפתחות בכלל.

גם אם מניחים בצד את כל מה שלמעלה, לפתרון כזה יש חיים קצרים. סימון המקור המדומה השתנה יחד עם גרסאות Android: לפני Android 12 אפליקציות קראו שדה אחד, ומ-Android 12 — שדה אחר, והעקיפות הישנות הפסיקו לעבוד. אימות הפלטפורמה מתעדכן בצד השירות, ולא במכשיר — כך שהוא נשבר בלי מעורבות שלך וברגע שרירותי.

בפועל זה אומר התעסקות מתמדת: אחרי כל עדכון של המערכת, של האפליקציה או של האימות עצמו צריך לבדוק אם העקיפה עדיין עובדת ולהגדיר משהו מחדש. אנחנו לא רואים בזה דבר מקובל ולא ממליצים על זה לאף אחד — ובדיוק בגלל זה Mock Location לא מסתירה את הסימון ולא תסתיר.

שירותים שבודקים מיקום לא עושים את זה מתוך רוע: עבורם המיקום הוא הוכחה לעובדה. שליח סימן משלוח, עובד דיווח נוכחות באתר, משתמש אישר אזור לתוכנית מחיר. זיוף של הוכחה כזו מפר את כללי השירות, ולעיתים קרובות גם חוזה.

התוצאות צפויות: חסימת חשבון בלי החזר ובלי בדיקה חוזרת, בתרחישי עבודה — שיחה עם המעסיק, ובחלק מהמקרים גם תביעות משפטיות. העמדה שלנו לגבי החוקיות של הזיוף כשלעצמו נמצאת בתשובה נפרדת: מותר לך לשנות את המיקום שלך, אבל להטעות שירות שמסתמך על המיקום הזה — זה כבר סיפור אחר.

החדשות הטובות: הרוב המכריע של התרחישים עובד בלי שום הסתרה, כי האפליקציות שם פשוט לא קוראות את הסימון.

מפות וניווט, מזג אוויר, חיפוש בסביבה, מודעות ומחירים מקומיים, בדיקת תרחישים שתלויים במיקום — כל אלה מקבלים קואורדינטות מזויפות כמו שהן. אפשר לבדוק בתוך דקה אם האפליקציה שצריך נמצאת בקבוצה הזו: מפעילים זיוף ובודקים מה היא מציגה (איך בודקים).

אם מתברר שהאפליקציה היא מאלה שקוראות את הסימון, האפשרות היחידה שעובדת היא לא לעקוף את הבדיקה, אלא לפתור את המשימה אחרת. לתוכן אזורי צריך לעיתים קרובות יותר את הרשת, ולא GPS: זיוף מיקום או VPN. לבדיקת אפליקציה משלך — אמולטור וגרסאות דיבאג, שבהן הזיוף מובנה ולא מטעה אף אחד (הסבר ל-QA).

אי אפשר לשלול לגמרי זיהוי של זיוף: יש ארבע רמות בדיקה, ושינוי המערכת סוגר אחת מהן ובאותו זמן מרים את הדגל „המכשיר שונה”, שגורם לאותן אפליקציות לסרב עוד קודם.

Mock Location פועלת אך ורק בתוך המנגנון המובנה של Android: מה המנגנון הזה, למה לא צריך root ולמה אפליקציה רואה את הקואורדינטות האמיתיות מתוארים בנפרד. אנחנו לא מפרסמים מדריכים לעקיפת בדיקות — לא מתוך זהירות, אלא כי הם לא פותרים את המשימה ויוצרים למשתמש בעיות גדולות יותר מהבעיה המקורית.