Aleatorización MAC: qué arregló y qué nunca pudo arreglar
La aleatorización cambió tanto lo que las señales Wi-Fi revelan de un teléfono como lo que un sistema de conteo tiene que corregir.
En esta página
La aleatorización MAC hace que un teléfono presente direcciones aleatorizadas, que cambian con el tiempo y de una red a otra, en lugar de su dirección de hardware permanente. Redujo el rastreo poco sofisticado, pero un adversario capaz con acceso a la señal en bruto a menudo puede eludirla. Por eso la privacidad depende de la arquitectura del sistema receptor.
¿Qué cambia la aleatorización MAC en un teléfono?
Hace aproximadamente una década, los fabricantes de teléfonos empezaron a aleatorizar la dirección MAC, el identificador de hardware permanente que un teléfono difundía con cada transmisión Wi-Fi. Fue una mejora real de la privacidad, dirigida contra un abuso que ya estaba ocurriendo: el registro silencioso de identificadores permanentes mientras la gente se movía por las ciudades. Un teléfono que aleatoriza muestra una dirección mientras escanea y, normalmente, otra por cada red a la que se conecta, y la frecuencia con que cambia una dirección depende del fabricante y del sistema operativo. La documentación de las plataformas expone el objetivo con claridad: la dirección que ve una red no debería ser un identificador estable y universal que siga al dispositivo a todas partes. La aleatorización sí funciona contra el rastreador burdo al que apuntaba, un registrador de direcciones que empareja un único identificador permanente entre ubicaciones.
¿Qué dice la investigación sobre cómo eludir la aleatorización?
Frente a un análisis más decidido, el panorama es distinto, y la literatura de seguridad coincide en este punto. Estudios sobre implementaciones de aleatorización han demostrado formas prácticas de eludirla, y análisis del tráfico de probe requests muestran que los patrones de temporización, secuencia y contenido de las transmisiones de un dispositivo forman una huella que sobrevive a los cambios de dirección. Trabajos posteriores que combinan huellas temporales y de contenido informan de tasas de desaleatorización con las que el anonimato basado en la dirección deja de ser una suposición segura.
Téngalo en cuenta cuando evalúe cualquier sistema que capte señales Wi-Fi, incluidos los sistemas de conteo. Un proveedor cuyo argumento de privacidad se reduce a “las direcciones están aleatorizadas de todos modos” no lo respalda con ningún diseño propio y hace descansar el cumplimiento normativo de usted en la defensa imperfecta del fabricante del teléfono.
¿De dónde viene la privacidad de un sistema de conteo?
Un sistema de medición diseñado para la privacidad no depende de lo que haga el teléfono, porque la protección reside en el propio sistema. Los datos personales se eliminan de forma irrevocable al inicio del proceso (nunca se conservan en forma de hash ni se almacenan) y solo quedan estadísticas anónimas y agregadas. No queda ningún registro de direcciones que desaleatorizar ni archivo de señal en bruto del que sacar huellas, así que no hay nada que vulnerar ni nada que reclamar por orden judicial.
Nuestro método Wi-Fi está construido así, y las preguntas de la EIPD de un DPD buscan este tipo de diseño.
Bumbee Labs es la empresa detrás del único método de medición de afluencia en Europa aprobado por una autoridad de protección de datos.
¿Por qué la aleatorización MAC complicó el conteo?
Un contador que confía en las direcciones cuenta el mismo teléfono más de una vez, así que una medición rigurosa detecta patrones de aleatorización, filtra la suplantación y los dispositivos fijos, y calibra el modelo estadístico con conteos de control manuales. Esa capa de corrección decide la calidad de un conteo. En todo el sector, la aleatorización ha llevado a los proveedores a mejorar sus métodos de conteo además de sus prácticas de privacidad. El artículo complementario qué es un probe request explica cómo llegan las señales a convertirse en estadísticas.
Fuentes
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
¿Quieres ver cómo sería para tu espacio?
Preguntas frecuentes
¿Qué es la aleatorización MAC?
En lugar de difundir su dirección de hardware permanente, un teléfono moderno muestra una dirección MAC aleatorizada que va cambiando con el tiempo y es diferente en cada red. Las principales plataformas móviles introdujeron la aleatorización durante la última década para frenar la forma más burda de rastreo Wi-Fi: registrar un identificador permanente cada vez que reaparece.
¿La aleatorización MAC hace imposible el rastreo Wi-Fi?
No, y está bien documentado. Trabajos académicos han demostrado que los dispositivos pueden identificarse por su huella a pesar de la aleatorización, mediante patrones de temporización, secuencia y contenido en sus transmisiones. La propia documentación de las plataformas describe una aleatorización que se mantiene fija para cada red y no cambia constantemente. La aleatorización dificultó el rastreo sin hacerlo imposible.
Si la aleatorización MAC es imperfecta, ¿qué protege a los visitantes?
La arquitectura del sistema receptor. Un sistema diseñado para la privacidad elimina los datos personales de forma irrevocable al inicio de su proceso, sin conservarlos nunca en forma de hash ni almacenarlos, y solo quedan estadísticas anónimas y agregadas. No se guardan datos de señal en bruto, así que, haga lo que haga en principio un adversario hábil con las señales en bruto, no tiene nada con qué trabajar.
¿Cómo afecta la aleatorización MAC a la precisión del conteo?
Un contador ingenuo que confía en las direcciones cuenta el mismo teléfono más de una vez. Una medición rigurosa detecta y corrige la suplantación, los dispositivos fijos, los patrones del personal y la propia aleatorización, y después calibra con conteos de control manuales. La calidad del conteo se decide en esa capa de corrección, por lo que la madurez del método pesa más que la elección del sensor.