MAC-aadressi juhuslikustamine: mida see lahendas ja mida see kunagi ei suutnud
Juhuslikustamine muutis seda, mida Wi-Fi signaalid telefoni kohta paljastavad, ja ka seda, mida loendussüsteem peab arvesse võtma ja korrigeerima.
Sellel lehel
MAC-aadressi juhuslikustamise tõttu näitab telefon oma püsiva riistvaraaadressi asemel juhuslikke aadresse, mis muutuvad aja jooksul ja võrgust võrku. See vähendas pinnapealset jälgimist, kuid võimekas ründaja, kellel on ligipääs algsignaalidele, saab sellest sageli mööda. Privaatsus sõltub seega vastuvõtva süsteemi ülesehitusest.
Mida MAC-aadressi juhuslikustamine telefonis muudab?
Umbes kümme aastat tagasi hakkasid telefonitootjad juhuslikustama MAC-aadressi, püsivat riistvaratunnust, mida telefon iga Wi-Fi saatega edastas. See oli tõeline privaatsuse paranemine, mis oli suunatud juba toimuva kuritarvituse vastu: püsivate tunnuste vaikne logimine, kui inimesed linnas liikusid. Juhuslikustav telefon näitab võrke otsides üht aadressi ja tavaliselt iga võrgu jaoks, millega ta liitub, teist, ning see, kui sageli aadress vahetub, sõltub tootjast ja operatsioonisüsteemist. Platvormide dokumentatsioon ütleb eesmärgi otse välja: aadress, mida võrk näeb, ei tohiks olla stabiilne ja universaalne tunnus, mis seadet kõikjale saadab. Juhuslikustamine toimib tõesti selle toore jälgija vastu, kellele see oli suunatud: aadressilogija, mis seob üht püsivat ID-d eri asukohtades.
Mida ütlevad uuringud juhuslikustamisest möödahiilimise kohta?
Põhjalikum analüüs on hoopis teine asi ja turvauuringud on selles küsimuses üksmeelsed. Juhuslikustamise rakenduste uuringud on näidanud praktilisi viise selle ületamiseks ning probe request’ide liikluse analüüsid näitavad, et seadme saadetiste ajastuse, järjestuse ja sisu mustrid moodustavad sõrmejälje, mis aadressivahetuse üle elab. Hilisemad tööd, mis ühendavad ajalised ja sisupõhised sõrmejäljed, kirjeldavad juhuslikustamise tagasipööramist sellisel määral, et aadressipõhisele anonüümsusele ei saa enam kindel olla.
Pidage seda meeles, kui hindate mis tahes süsteemi, mis Wi-Fi signaale vastu võtab, ka loendussüsteeme. Kui tarnija privaatsuslugu taandub lausele „aadressid on niikuinii juhuslikustatud“, pole ta sellesse oma lahendust panustanud ja jätab Teie nõuetele vastavuse telefonitootja ebatäiusliku kaitse hooleks.
Mis tagab loendussüsteemi privaatsuse?
Privaatsust silmas pidades loodud mõõtesüsteem ei sõltu sellest, mida telefon teeb, sest selle kaitse asub süsteemi enda poolel. Isikuandmed kustutatakse pöördumatult kohe andmetöötluse ahela alguses (neid ei räsita ega hoita alles ega salvestata) ning alles jääb ainult anonüümne koondstatistika. Seega pole aadressilogi, mille juhuslikustamist tagasi pöörata, ega algsignaalide arhiivi, millest sõrmejälgi otsida, ja seetõttu pole ka midagi, mida saaks lekitada või kohtu nõudel välja anda.
Meie Wi-Fi-põhine meetod on ehitatud just nii ja andmekaitsespetsialisti DPIA küsimused otsivad sellist ülesehitust.
Bumbee Labs on välja töötanud Euroopa ainsa külastajate loendamise meetodi, mille on heaks kiitnud andmekaitseasutus.
Miks tegi MAC-aadressi juhuslikustamine loendamise keerulisemaks?
Aadresse usaldav loendur loeb sama telefoni mitu korda, seega tuvastab tõsiseltvõetav mõõtmine juhuslikustamise mustrid, filtreerib välja võltsitud aadressid ja paigal seisvad seadmed ning kalibreerib statistilise mudeli käsitsi tehtud kontroll-loenduste järgi. Just see korrektsioonikiht määrab loenduse kvaliteedi. Kogu valdkonnas on juhuslikustamine sundinud tarnijaid parandama nii oma loendusmeetodeid kui ka privaatsuspraktikat. Kaasartikkel mis on probe request selgitab, kuidas signaalidest üldse statistika saab.
Allikad
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Kas soovite näha, milline see oleks Teie asukohas?
Korduma kippuvad küsimused
Mis on MAC-aadressi juhuslikustamine?
Tänapäeva telefon näitab oma püsiva riistvaraaadressi asemel juhuslikku MAC-aadressi, mis muutub aja jooksul ja on igas võrgus erinev. Suured mobiiliplatvormid võtsid juhuslikustamise kasutusele viimase kümnendi jooksul, et peatada Wi-Fi kaudu jälgimise kõige toorem vorm: ühe püsiva tunnuse logimine iga kord, kui see uuesti ilmub.
Kas MAC-aadressi juhuslikustamine teeb Wi-Fi kaudu jälgimise võimatuks?
Ei, ja see on hästi dokumenteeritud. Teadustööd on näidanud, et seadmeid saab juhuslikustamisest hoolimata sõrmejälje järgi ära tunda nende saadetiste ajastuse, järjestuse ja sisu mustrite põhjal. Ka platvormide endi dokumentatsioon kirjeldab juhuslikustamist, mis püsib võrgu kaupa samana ega muutu pidevalt. Juhuslikustamine tegi jälgimise raskemaks, kuid mitte võimatuks.
Kui MAC-aadressi juhuslikustamine on ebatäiuslik, mis siis külastajaid kaitseb?
Vastuvõtva süsteemi ülesehitus. Privaatsust silmas pidades loodud süsteem kustutab isikuandmed pöördumatult kohe andmetöötluse ahela alguses, neid ei räsita ega hoita alles ega salvestata, nii et alles jääb ainult anonüümne koondstatistika. Algseid signaaliandmeid ei säilitata, nii et ka osaval ründajal pole midagi, millega töötada, ükskõik mida ta algsignaalidega põhimõtteliselt teha võiks.
Kuidas mõjutab MAC-aadressi juhuslikustamine loendamise täpsust?
Naiivne loendur, mis usaldab aadresse, loeb sama telefoni mitu korda. Tõsiseltvõetav mõõtmine tuvastab ja korrigeerib võltsitud aadresse, paigal seisvaid seadmeid, töötajate mustreid ja juhuslikustamist ennast ning kalibreerib tulemused käsitsi tehtud kontroll-loenduste järgi. Loendamise kvaliteet otsustatakse selles korrektsioonikihis, seega loeb meetodi küpsus rohkem kui anduri valik.