MAC-osoitteen satunnaistaminen: mitä se korjasi ja mitä se ei koskaan voinut korjata
Satunnaistaminen muutti sekä sitä, mitä Wi-Fi-signaalit kertovat puhelimesta, että sitä, mitä laskentajärjestelmän on korjattava.
Tällä sivulla
MAC-osoitteen satunnaistaminen tarkoittaa, että puhelin näyttää pysyvän laitteisto-osoitteensa sijaan satunnaistettuja osoitteita, jotka muuttuvat ajan mittaan ja vaihtelevat verkoittain. Se vähensi vaivatonta seurantaa, mutta kyvykäs hyökkääjä, jolla on pääsy raakasignaaleihin, voi usein kiertää sen. Yksityisyys nojaa siksi vastaanottavan järjestelmän arkkitehtuuriin.
Mitä MAC-osoitteen satunnaistaminen muuttaa puhelimessa?
Noin vuosikymmen sitten puhelinvalmistajat alkoivat satunnaistaa MAC-osoitteen eli pysyvän laitteistotunnisteen, jonka puhelin lähetti jokaisen Wi-Fi-lähetyksen mukana. Se oli todellinen yksityisyysparannus, joka kohdistui jo käynnissä olleeseen väärinkäyttöön: pysyvien tunnisteiden huomaamattomaan kirjaamiseen ihmisten liikkuessa kaupungeissa. Satunnaistava puhelin näyttää yhden osoitteen skannatessaan ja tyypillisesti toisen jokaisessa verkossa, johon se liittyy, ja osoitteen vaihtotiheys riippuu valmistajasta ja käyttöjärjestelmästä. Alustojen dokumentaatio kertoo tavoitteen suoraan: osoitteen, jonka verkko näkee, ei pitäisi olla vakaa, universaali tunniste, joka seuraa laitetta kaikkialle. Satunnaistaminen toimii karkeaa seurantaa vastaan, johon se oli tarkoitettu, eli osoitteiden kirjaajaa, joka yhdistää saman pysyvän tunnisteen eri paikoissa.
Mitä tutkimus kertoo satunnaistamisen kiertämisestä?
Määrätietoisempi analyysi on eri asia, ja tietoturvakirjallisuus on tästä yksimielinen. Satunnaistamistoteutusten tutkimukset ovat tuoneet esiin käytännön keinoja kiertää se, ja probe request -liikenteen analyysit näyttävät, että laitteen lähetysten ajoitus-, järjestys- ja sisältökuviot muodostavat sormenjäljen, joka säilyy osoitteenvaihdoksista huolimatta. Myöhemmät tutkimukset, joissa yhdistetään ajoitukseen ja sisältöön perustuvia sormenjälkiä, raportoivat satunnaistamisen purkamisesta niin korkeita osuuksia, että osoitteisiin perustuvaa anonymiteettiä ei voi pitää turvallisena oletuksena.
Pidä tämä mielessä, kun arvioit mitä tahansa Wi-Fi-signaaleja vastaanottavaa järjestelmää, myös laskentajärjestelmiä. Toimittaja, jonka yksityisyysperustelu rajoittuu siihen, että “osoitteet on kuitenkin satunnaistettu”, ei ole tukenut sitä omalla suunnittelullaan, ja silloin vaatimustenmukaisuutesi nojaa puhelinvalmistajan epätäydelliseen suojaukseen.
Mistä laskentajärjestelmän yksityisyydensuoja syntyy?
Yksityisyyttä varten suunniteltu mittausjärjestelmä ei riipu siitä, mitä puhelin tekee, koska sen suoja on järjestelmän omalla puolella. Henkilötiedot poistetaan peruuttamattomasti käsittelyketjun alussa (niitä ei koskaan tiivistetä ja säilytetä eikä tallenneta), ja jäljelle jää vain anonyymia, aggregoitua tilastoa. Silloin ei ole osoitelokia, jonka satunnaistamisen voisi purkaa, eikä raakasignaaliarkistoa, josta voisi muodostaa sormenjälkiä, joten ei ole mitään murrettavaa eikä mitään, mitä voisi vaatia luovutettavaksi.
Wi-Fi-menetelmämme on rakennettu näin, ja tietosuojavastaavan DPIA-kysymykset etsivät juuri tällaista suunnittelua.
Bumbee Labs on yritys, jonka kehittämä menetelmä on Euroopan ainoa kävijämittausmenetelmä, joka on tietosuojaviranomaisen hyväksymä.
Miksi MAC-osoitteen satunnaistaminen vaikeutti laskentaa?
Laskuri, joka luottaa osoitteisiin, laskee saman puhelimen useammin kuin kerran. Siksi vakavasti otettava mittaus tunnistaa satunnaistamiskuviot, suodattaa pois väärennetyt osoitteet ja paikallaan pysyvät laitteet ja kalibroi tilastollisen mallin käsin tehtyjä kontrollilaskentoja vasten. Laskennan laatu ratkeaa tässä korjauskerroksessa. Satunnaistaminen on ajanut toimittajat koko alalla parantamaan sekä laskentamenetelmiään että yksityisyyskäytäntöjään. Artikkeli mikä on probe request jatkaa aihetta ja selittää, miten signaaleista ylipäätään tulee tilastoa.
Lähteet
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Haluatko nähdä, miltä tämä näyttäisi sinun kohteessasi?
Usein kysytyt kysymykset
Mitä MAC-osoitteen satunnaistaminen on?
Pysyvän laitteisto-osoitteensa sijaan nykyaikainen puhelin näyttää satunnaistetun MAC-osoitteen, joka vaihtuu ajan mittaan ja on eri jokaisessa verkossa. Suuret mobiilialustat ottivat satunnaistamisen käyttöön viimeisen vuosikymmenen aikana estääkseen Wi-Fi-seurannan karkeimman muodon: saman pysyvän tunnisteen kirjaamisen aina, kun se ilmestyy uudelleen.
Tekeekö MAC-osoitteen satunnaistaminen Wi-Fi-seurannasta mahdotonta?
Ei, ja tämä on hyvin dokumentoitu. Akateeminen tutkimus on osoittanut, että laitteille voidaan satunnaistamisesta huolimatta muodostaa sormenjälki niiden lähetysten ajoitus-, järjestys- ja sisältökuvioiden avulla. Alustojen oma dokumentaatio kuvaa satunnaistamista, joka pysyy samana kussakin verkossa eikä muutu jatkuvasti. Satunnaistaminen vaikeutti seurantaa mutta ei tehnyt siitä mahdotonta.
Jos MAC-osoitteen satunnaistaminen on epätäydellistä, mikä suojaa kävijöitä?
Vastaanottavan järjestelmän arkkitehtuuri. Yksityisyyttä varten suunniteltu järjestelmä poistaa henkilötiedot peruuttamattomasti käsittelyketjunsa alussa. Niitä ei koskaan tiivistetä ja säilytetä eikä tallenneta, joten jäljelle jää vain anonyymia, aggregoitua tilastoa. Raakaa signaalidataa ei säilytetä, joten taitavalla hyökkääjällä ei ole aineistoa, johon tarttua, mitä se raakasignaaleilla periaatteessa voisikin tehdä.
Miten MAC-osoitteen satunnaistaminen vaikuttaa laskennan tarkkuuteen?
Naiivi laskuri, joka luottaa osoitteisiin, laskee saman puhelimen useammin kuin kerran. Vakavasti otettava mittaus tunnistaa ja korjaa väärennetyt osoitteet, paikallaan pysyvät laitteet, henkilökunnan liikkumiskuviot ja itse satunnaistamisen, ja kalibroi tuloksen sitten käsin tehtyjä kontrollilaskentoja vasten. Laskennan laatu ratkeaa tässä korjauskerroksessa, minkä vuoksi menetelmän kypsyys on tärkeämpää kuin anturin valinta.