Randomizace MAC adres: co vyřešila a co vyřešit nemohla
Randomizace změnila, co signály Wi-Fi prozrazují o telefonu, i to, co musí systém pro počítání osob korigovat.
Na této stránce
Randomizace MAC adres znamená, že telefon místo své trvalé hardwarové adresy používá náhodné adresy, které se mění v čase a v každé síti. Omezila běžné sledování, schopný útočník s přístupem k surovým signálům ji ale často dokáže obejít. Soukromí proto stojí na architektuře systému, který signály přijímá.
Co randomizace MAC adres v telefonu mění?
Zhruba před deseti lety začali výrobci telefonů randomizovat MAC adresu, tedy trvalý hardwarový identifikátor, který telefon vysílal s každým přenosem přes Wi-Fi. Šlo o skutečné zlepšení ochrany soukromí, zaměřené na zneužívání, které už probíhalo: tiché zaznamenávání trvalých identifikátorů při pohybu lidí po městě. Telefon s randomizací ukazuje jednu adresu při vyhledávání sítí a obvykle jinou pro každou síť, ke které se připojí. Jak často se adresa mění, záleží na výrobci a operačním systému. Dokumentace platforem uvádí cíl jasně: adresa, kterou síť vidí, nemá být stabilní univerzální identifikátor, který zařízení provází všude. Proti hrubému sledování, na které cílila, randomizace funguje: proti záznamníku adres, který páruje jedno trvalé ID napříč místy.
Co říká výzkum o obcházení randomizace?
Odhodlanější analýza je jiná věc a odborná literatura o bezpečnosti se v tom shoduje. Studie implementací randomizace ukázaly praktické způsoby, jak ji prolomit, a analýzy provozu probe requestů ukazují, že vzorce časování, pořadí a obsahu vysílání zařízení tvoří otisk, který změny adresy přežije. Pozdější práce kombinující časové a obsahové otisky uvádějí takovou úspěšnost derandomizace, že spoléhat na anonymitu adres není bezpečné.
Mějte to na paměti, když hodnotíte jakýkoli systém, který zachycuje signály Wi-Fi, včetně systémů pro počítání osob. Dodavatel, jehož argument o soukromí se omezuje na „adresy jsou stejně randomizované“, za tím nemá žádný vlastní návrh a nechává vaši shodu s předpisy stát na nedokonalé ochraně od výrobce telefonu.
Co zajišťuje soukromí v systému pro počítání osob?
Měřicí systém navržený s ohledem na soukromí nezávisí na tom, co dělá telefon, protože jeho ochrana leží na jeho vlastní straně. Osobní údaje jsou na začátku zpracování nevratně smazány (nikdy se nehashují a neuchovávají, nikdy se neukládají) a zůstanou jen anonymní agregované statistiky. Nezůstane tedy žádný záznam adres, který by šlo derandomizovat, žádný archiv surových signálů, ze kterého by šlo vytvořit otisk, a tím ani nic, co by mohlo uniknout nebo co by si mohl vyžádat soud.
Naše metoda přes Wi-Fi je postavená právě takto a otázky v DPIA, které klade pověřenec pro ochranu osobních údajů (DPO), hledají přesně tento typ návrhu.
Bumbee Labs je společnost, která stojí za jedinou metodou počítání osob v Evropě schválenou dozorovým úřadem pro ochranu osobních údajů.
Proč randomizace MAC adres ztížila počítání osob?
Počítadlo, které adresám věří, započítá stejný telefon víckrát. Seriózní měření proto rozpozná vzorce randomizace, odfiltruje podvržené adresy a nepohyblivá zařízení a kalibruje statistický model podle ručních kontrolních sčítání. O kvalitě výsledku rozhoduje tato korekční vrstva. Randomizace v celém oboru přiměla dodavatele zlepšit metody počítání i ochranu soukromí. Navazující článek co je probe request vysvětluje, jak se ze signálů vůbec stávají statistiky.
Zdroje
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Chcete vidět, jak by to vypadalo u vás?
Časté dotazy
Co je randomizace MAC adres?
Moderní telefon místo své trvalé hardwarové adresy vysílá náhodně generovanou MAC adresu, která se v čase mění a v každé síti je jiná. Hlavní mobilní platformy zavedly randomizaci během posledního desetiletí, aby zastavily nejhrubší formu sledování přes Wi-Fi: zaznamenávání jednoho trvalého identifikátoru pokaždé, když se znovu objeví.
Znemožňuje randomizace MAC adres sledování přes Wi-Fi?
Ne, a je to dobře zdokumentované. Akademické práce ukázaly, že zařízení lze i přes randomizaci rozpoznat podle otisku, tedy podle vzorců časování, pořadí a obsahu jejich vysílání. Samotná dokumentace platforem popisuje randomizaci, která v rámci jedné sítě přetrvává a nemění se neustále. Randomizace sledování ztížila, ale neznemožnila.
Když randomizace MAC adres není dokonalá, co chrání návštěvníky?
Architektura systému, který signály přijímá. Systém navržený s ohledem na soukromí na začátku zpracování nevratně smaže osobní údaje, nikdy je nehashuje a neuchovává, nikdy je neukládá, takže zůstanou jen anonymní agregované statistiky. Žádná surová data ze signálů se neuchovávají, a cokoli by šikovný útočník mohl se surovými signály teoreticky udělat, nemá z čeho vycházet.
Jak randomizace MAC adres ovlivňuje přesnost počítání?
Naivní počítadlo, které adresám věří, započítá stejný telefon víckrát. Seriózní měření rozpozná a koriguje podvržené adresy, nepohyblivá zařízení, vzorce personálu i samotnou randomizaci a pak se kalibruje podle ručních kontrolních sčítání. O kvalitě počítání rozhoduje právě tato korekční vrstva, takže vyspělost metody znamená víc než volba senzoru.