MAC-randomisering: hvad det løste, og hvad det aldrig kunne
Telefonproducenter randomiserede Wi-Fi-adresser for at stoppe tilfældig sporing, og det virkede. Men forskning viser gang på gang, at randomisering alene kan omgås, hvorfor et tællesystems privatliv hviler på dets arkitektur, ikke på de adresser, det ser.
For omkring et årti siden ændrede telefonproducenter en af computerverdenens mest ubemærkede standardindstillinger: MAC-adressen, den permanente hardware-identifikator, en telefon udsendte med hver Wi-Fi-transmission, blev randomiseret. Det var en reel privatlivsforbedring, rettet mod et reelt misbrug, den stille logning af permanente identifikatorer, mens mennesker bevægede sig gennem byer. Det skabte også to myter, der stadig former, hvordan folk tænker om Wi-Fi-analyse: at randomisering gjorde sporing umulig, og at randomisering er det, der beskytter besøgende mod tællesystemer. Begge er forkerte, på en lærerig måde.
Hvad randomisering reelt gør
En randomiserende telefon præsenterer forskellige MAC-adresser i forskellige sammenhænge: én mens den skanner, typisk en anden pr. netværk den tilslutter sig, roterende efter tidsplaner der varierer med producent og styresystem. Platformenes dokumentation beskriver designmålet ligeud: den adresse, et netværk ser, bør ikke være en stabil, universel identifikator, der følger enheden overalt. Mod den primitive tracker, randomisering var rettet imod, en adresselogger der matcher ét permanent id på tværs af lokationer, virker det.
Hvad forskningen bliver ved med at finde
Mod mere målrettet analyse er billedet et andet, og sikkerhedslitteraturen har været konsistent om det. Studier af randomiseringsimplementeringer har påvist praktiske måder at omgå det på, og analyser af probe request-trafik viser, at timing-, sekvens- og indholdsmønstre i en enheds transmissioner danner et fingeraftryk, der overlever adresseskift. Senere arbejde, der kombinerer tidsmæssige og indholdsbaserede fingeraftryk, rapporterer af-randomisering i grader, der bør afslutte enhver illusion om anonymitet-via-adresse. Den ærlige konklusion: MAC-randomisering reducerede tilfældig sporing, og en dygtig modstander med adgang til rå signaler kan ofte omgå det.
Den konklusion betyder noget for, hvordan I vurderer ethvert system, der lytter til Wi-Fi-signaler, inklusive tællesystemer. Hvis en leverandørs privatlivsargument går ud på “adresserne er randomiserede alligevel”, hviler jeres compliance på telefonproducentens ufuldkomne forsvar frem for på leverandørens eget design.
Privatliv via arkitektur, ikke via adresse
Den rigtige lære er arkitektonisk. Et målesystem designet til privatliv afhænger ikke af, hvad telefonen gør, fordi det fjerner angrebsfladen på sin egen side: personoplysninger slettes uigenkaldeligt, hashes aldrig og gemmes aldrig, ved starten af pipelinen, og kun anonym, aggregeret statistik er tilbage. Der findes ingen adresselog at af-randomisere, intet arkiv af rå signaler at fingeraftrykke, intet at bryde ind i og intet at indkalde ved en stævning. Det er designet bag vores Wi-Fi-metode, den eneste metode til besøgsmåling i Europa, der er godkendt af en databeskyttelsesmyndighed, og det er den standard, DPIA-spørgsmålene reelt sonderer efter.
Og ja, det gjorde tællingen sværere, ærligt talt
Der er en nøjagtighedsside af denne historie. En tæller, der stoler på adresser, dobbelttæller hver randomiserende telefon, så seriøs måling opdager randomiseringsmønstre, filtrerer spoofing og stationære enheder fra, og kalibrerer den statistiske model mod manuelle kontroltællinger. Det korrektionslag, ikke sensoren, er dér, hvor tællekvaliteten afgøres. Randomisering tvang branchen til at modnes to gange: på privatliv og på metode. Hvordan signalerne bliver til statistik i første omgang, er dækket i hvad er et probe request, denne artikels naturlige følgesvend.
Ofte stillede spørgsmål
Hvad er MAC-randomisering?
I stedet for at udsende sin permanente hardware-adresse præsenterer en moderne telefon randomiserede MAC-adresser, der ændrer sig over tid og varierer pr. netværk. Indført på tværs af store mobilplatforme gennem det seneste årti var det designet til at stoppe den mest primitive form for Wi-Fi-sporing: logning af én permanent identifikator, hver gang den dukker op igen.
Gør MAC-randomisering Wi-Fi-sporing umulig?
Nej, og det er velbelagt. Akademisk arbejde har vist, at enheder kan fingeraftrykkes trods randomisering, gennem timing-, sekvens- og indholdsmønstre i deres transmissioner, og platformenes egen dokumentation beskriver randomisering, der består pr. netværk frem for at ændre sig konstant. Randomisering hævede barren; det byggede ikke en mur.
Hvis randomisering er ufuldkommen, hvad beskytter så reelt de besøgende?
Arkitekturen i det modtagende system. Et system designet til privatliv sletter personoplysninger uigenkaldeligt, hashes aldrig og gemmes aldrig, ved starten af sin pipeline, og efterlader kun anonym, aggregeret statistik. Så betyder det ikke noget, hvad en dygtig modstander i princippet kunne gøre med rå signaler, for rådataen findes ikke til at angribe.
Hvordan påvirker randomisering tællingens nøjagtighed?
En naiv tæller, der stoler på adresser, tæller den samme telefon flere gange. Seriøs måling opdager og korrigerer for randomisering, spoofing, stationære enheder og personalemønstre, og kalibrerer derefter mod manuelle kontroltællinger. Korrektionslaget er dér, hvor tællekvaliteten afgøres, hvilket er grunden til, at metodemodenhed betyder mere end sensorvalg.