El detector de fantasmas
Conocer el IMEI no es conocer al equipo. Un salto imposible, dos sesiones con el mismo identificador o una secuencia inesperada son anomalías; ninguna, por sí sola, demuestra un clon.
Una jornada sintética de doce identificadores. Detrás de ocho hay un solo aparato, con las cosas que le pasan a un equipo de verdad: una sesión que queda medio abierta, una posición errónea, datos guardados que llegan tarde, un reinicio, retransmisiones, una actualización, o un inventario que dice que está dado de baja. Detrás de los otros cuatro hay dos aparatos que declaran el mismo identificador. El gateway no sabe cuál es cuál: sólo ve sesiones, mensajes con su número de secuencia, la hora que trae cada uno, la posición, y el modelo y firmware que el equipo declara al iniciar sesión. Dos detectores leen lo mismo. Todo es modelo; nada es medición. Corre en tu navegador y no envía nada.
Elige un identificador para ver su detalle.
LO QUE QUEDÓ COMO EVIDENCIA
LO QUE SE DESCARTÓ, Y POR QUÉ
EL MAPA
Cada posición válida, en kilómetros. El color es la trayectoria a la que el detector la asignó, ordenando por la hora del equipo.
EL DÍA
Arriba, las sesiones que vio el servidor, del color del aparato que se declaró en el login. En medio, el número de secuencia de cada mensaje, del color de la cadena a la que pertenece. Abajo, cuándo apareció cada evidencia; en gris, las de una familia que no llegó a contar.
Cómo decide
El ingenuo acusa de clon con una sola anomalía: un login mientras hay otra sesión abierta del mismo identificador, un salto imposible entre dos posiciones seguidas en el orden de llegada, o un número de secuencia que no sigue al anterior.
El correlacionado primero descarta lo que tiene otra explicación. Un mensaje repetido con el mismo número y el mismo contenido, dentro de la ventana, es una retransmisión. Una posición con una hora imposible, o sin fix, sale del mapa. Una que llega con más retraso que el umbral viene guardada, y por eso el mapa se ordena por la hora del equipo y no por la de llegada. Cada posición va a la trayectoria que pueda alcanzarla sin pasar de la velocidad máxima (a menos de 1 km siempre se considera alcanzable: es el ruido del GPS); las trayectorias con menos puntos que el mínimo son posiciones sueltas. Los números de secuencia se encadenan de uno en uno, con saltos de hasta tres; una cadena que empieza en cero al iniciar sesión es un reinicio. Una sesión vieja que ya no manda nada después de abrirse la nueva estaba medio abierta; unas pocas sustituciones son reconexiones.
Lo que queda son evidencias de cuatro tipos: en las sesiones (tráfico en dos a la vez, o un vaivén de sustituciones), en el contador (dos cadenas que se cruzan), en la geografía (dos trayectorias que se alternan) y en la identidad declarada (un modelo distinto al del inventario, o un modelo o firmware que va y vuelve). Sesiones y contador cuentan como una sola familia, porque los dos salen de las mismas conexiones. Con evidencia de dos familias, el veredicto es identidad duplicada; con una, revisar; con ninguna, nada. Aparte, si el inventario no tiene al equipo como activo, es un fantasma de inventario.
Lo que no modela: equipos que pierden mensajes, contadores que saltan de más de tres, relojes que se adelantan poco a poco, posiciones erróneas que se repiten en el mismo lugar, un clon que imita también el contador o el firmware, ni las direcciones IP de origen (en una red celular cambian con cada reconexión y dicen poco). Aquí el equipo declara su modelo y firmware en cada inicio de sesión; en JT808, según la versión del protocolo, eso viaja en el registro, en la autenticación o en una consulta aparte. Los casos están hechos a propósito, cada control con un solo evento y los umbrales justo encima: con un solo aparato, tres reinicios en un día, o cinco cortes de un minuto en una hora con la política que sustituye, ya darían «revisar». Los umbrales del detector se escogieron viéndolos: que el correlacionado acierte en las cincuenta jornadas que prueba el código es por construcción, no una medida de cómo le iría con datos reales. Lo que sí muestra es por qué una sola anomalía no basta.