MAC-randomisering: hvad det løste, og hvad det aldrig kunne
Randomiseringen ændrede både, hvad Wi-Fi-signaler afslører om en telefon, og hvad et tællesystem skal korrigere for.
På denne side
MAC-randomisering får en telefon til at vise randomiserede adresser, der ændrer sig over tid og fra ét netværk til det næste, i stedet for sin permanente hardware-adresse. Randomiseringen mindskede den simple sporing, men en dygtig angriber med adgang til rå signaler kan ofte omgå den. Privatlivet hviler derfor på arkitekturen i det modtagende system.
Hvad ændrer MAC-randomisering på en telefon?
For omkring ti år siden begyndte telefonproducenterne at randomisere MAC-adressen, den permanente hardware-identifikator, som en telefon udsendte med hver Wi-Fi-transmission. Det var en reel forbedring af privatlivet, rettet mod et misbrug, der allerede fandt sted: den stille logning af permanente identifikatorer, mens mennesker bevægede sig gennem byerne. En telefon med randomisering viser én adresse, mens den scanner, og typisk en anden for hvert netværk, den forbinder sig til. Hvor ofte adressen skifter, afhænger af producent og styresystem. Platformenes dokumentation beskriver målet ligeud: den adresse, et netværk ser, bør ikke være en stabil, universel identifikator, der følger enheden overalt. Randomiseringen virker mod den primitive sporing, den var rettet mod, altså en adresselogger, der matcher ét permanent id på tværs af steder.
Hvad siger forskningen om at omgå randomiseringen?
Over for mere målrettet analyse ser det anderledes ud, og sikkerhedslitteraturen er konsekvent på det punkt. Studier af, hvordan randomisering er implementeret, har påvist praktiske måder at omgå den på, og analyser af probe request-trafik viser, at timing-, sekvens- og indholdsmønstre i en enheds transmissioner danner et fingeraftryk, der overlever adresseskift. Senere arbejde, der kombinerer tidsmæssige og indholdsbaserede fingeraftryk, rapporterer af-randomisering i et omfang, der gør anonymitet via adressen til en usikker antagelse.
Det bør I huske, når I vurderer et system, der opfanger Wi-Fi-signaler, også tællesystemer. En leverandør, hvis privatlivsargument går ud på “adresserne er randomiserede alligevel”, har intet eget design bag argumentet, og så hviler jeres compliance på telefonproducentens ufuldkomne forsvar.
Hvor kommer et tællesystems privatlivsbeskyttelse fra?
Et målesystem, der er designet til privatliv, afhænger ikke af, hvad telefonen gør, fordi beskyttelsen ligger på systemets egen side. Personoplysninger slettes uigenkaldeligt allerede i starten af pipelinen (de bliver aldrig hashet og gemt, aldrig lagret), og kun anonym, aggregeret statistik er tilbage. Så findes der ingen adresselog at af-randomisere og intet arkiv af rå signaler at tage fingeraftryk af, og dermed intet at bryde ind i eller kræve udleveret ved en retskendelse.
Vores Wi-Fi-metode er bygget på den måde, og de DPIA-spørgsmål, en DPO stiller, leder efter netop den slags design.
Bumbee Labs er virksomheden bag den eneste metode til besøgsmåling i Europa, der er godkendt af en databeskyttelsesmyndighed.
Hvorfor gjorde MAC-randomisering tællingen sværere?
En tæller, der stoler på adresser, tæller den samme telefon mere end én gang, så seriøs måling opdager randomiseringsmønstre, filtrerer spoofing og stationære enheder fra og kalibrerer den statistiske model mod manuelle kontroltællinger. Korrektionslaget afgør kvaliteten af en tælling. I hele branchen har randomiseringen fået leverandørerne til at forbedre både deres tællemetoder og deres privatlivspraksis. Artiklen hvad er et probe request hører sammen med denne og forklarer, hvordan signalerne overhovedet bliver til statistik.
Kilder
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Nysgerrig på, hvordan det ville se ud for dit sted?
Ofte stillede spørgsmål
Hvad er MAC-randomisering?
I stedet for at udsende sin permanente hardware-adresse viser en moderne telefon randomiserede MAC-adresser, der ændrer sig over tid og er forskellige for hvert netværk. Randomiseringen blev indført på de store mobilplatforme i løbet af det seneste årti og skulle stoppe den mest primitive form for Wi-Fi-sporing: at logge én permanent identifikator, hver gang den dukker op igen.
Gør MAC-randomisering Wi-Fi-sporing umulig?
Nej, og det er veldokumenteret. Forskning har vist, at enheder trods randomisering kan genkendes på et fingeraftryk ud fra timing-, sekvens- og indholdsmønstre i deres transmissioner. Platformenes egen dokumentation beskriver randomisering, der er fast pr. netværk og ikke skifter hele tiden. Randomisering gjorde sporing sværere, men ikke umulig.
Hvis MAC-randomisering er ufuldkommen, hvad beskytter så de besøgende?
Arkitekturen i det modtagende system. Et system, der er designet til privatliv, sletter personoplysninger uigenkaldeligt allerede i starten af sin pipeline (de bliver aldrig hashet og gemt, aldrig lagret), så kun anonym, aggregeret statistik er tilbage. Der gemmes ingen rå signaldata, så selv en dygtig angriber har intet at arbejde med.
Hvordan påvirker MAC-randomisering tællingens nøjagtighed?
En naiv tæller, der stoler på adresser, tæller den samme telefon mere end én gang. Seriøs måling opdager og korrigerer for spoofing, stationære enheder, personalemønstre og selve randomiseringen og kalibrerer derefter mod manuelle kontroltællinger. Tællekvaliteten afgøres i korrektionslaget, så metodens modenhed betyder mere end valget af sensor.