La randomisation MAC : ce qu'elle a corrigé, et ce qu'elle n'a jamais pu
La randomisation a changé à la fois ce que les signaux Wi-Fi révèlent d'un téléphone et ce qu'un système de comptage doit corriger.
Sur cette page
La randomisation MAC fait qu’un téléphone présente des adresses randomisées, qui changent au fil du temps et d’un réseau à l’autre, au lieu de son adresse matérielle permanente. Elle a réduit le suivi rudimentaire, mais un adversaire compétent ayant accès aux signaux bruts peut souvent la contourner. La vie privée repose donc sur l’architecture du système récepteur.
Que change la randomisation MAC sur un téléphone ?
Il y a une dizaine d’années, les fabricants de téléphones ont commencé à randomiser l’adresse MAC, l’identifiant matériel permanent qu’un téléphone diffusait à chaque transmission Wi-Fi. C’était une vraie avancée pour la vie privée, dirigée contre un abus qui existait déjà : l’enregistrement silencieux d’identifiants permanents au fil des déplacements des gens en ville. Un téléphone qui randomise présente une adresse pendant la recherche de réseaux et généralement une autre pour chaque réseau rejoint, et la fréquence à laquelle une adresse change dépend du fabricant et du système d’exploitation. La documentation des plateformes décrit clairement l’objectif : l’adresse qu’un réseau voit ne doit pas être un identifiant stable et universel qui suit l’appareil partout. La randomisation fonctionne bel et bien contre le suivi grossier qu’elle visait : un enregistreur d’adresses qui repère le même identifiant permanent d’un lieu à l’autre.
Que dit la recherche sur le contournement de la randomisation ?
Face à une analyse plus déterminée, le tableau est différent, et la littérature de sécurité est constante sur ce point. Des études sur les implémentations de la randomisation ont démontré des moyens pratiques de la contourner, et des analyses du trafic de probe requests montrent que la chronologie, l’ordre et le contenu des transmissions d’un appareil forment une empreinte qui survit aux changements d’adresse. Des travaux ultérieurs combinant empreintes temporelles et empreintes de contenu rapportent des taux de dé-randomisation tels qu’il devient imprudent de tenir pour acquis l’anonymat fondé sur l’adresse.
Gardez cela à l’esprit dès que vous évaluez un système qui capte des signaux Wi-Fi, y compris un système de comptage. Un fournisseur dont l’argumentaire de confidentialité se résume à « les adresses sont randomisées de toute façon » ne s’appuie sur aucune conception propre et fait reposer votre conformité sur la défense imparfaite du fabricant de téléphones.
D’où vient la confidentialité d’un système de comptage ?
Un système de mesure conçu pour la vie privée ne dépend pas de ce que fait le téléphone, parce que sa protection se trouve de son propre côté. Les données personnelles sont supprimées de manière irrévocable dès le début du pipeline (jamais hachées puis conservées, jamais stockées), et il ne reste que des statistiques anonymes et agrégées. Il n’existe donc aucun journal d’adresses à dé-randomiser ni aucune archive de signaux bruts dont tirer une empreinte, et rien à pirater ni à livrer sur réquisition judiciaire.
Notre méthode Wi-Fi repose sur ce principe, et c’est ce type de conception que recherchent les questions de l’AIPD d’un DPO.
Bumbee Labs est l’entreprise derrière la seule méthode de mesure de fréquentation en Europe approuvée par une autorité de protection des données.
Pourquoi la randomisation MAC a-t-elle compliqué le comptage ?
Un compteur qui se fie aux adresses compte le même téléphone plus d’une fois, si bien qu’une mesure rigoureuse détecte les motifs de randomisation, filtre l’usurpation et les appareils immobiles, et calibre le modèle statistique par rapport à des comptages de contrôle manuels. C’est cette couche de correction qui décide de la qualité d’un comptage. Dans tout le secteur, la randomisation a poussé les fournisseurs à améliorer leurs méthodes de comptage autant que leurs pratiques de confidentialité. L’article complémentaire, qu’est-ce qu’un probe request, explique comment les signaux deviennent des statistiques.
Sources
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Envie de voir ce que cela donnerait pour votre site ?
Questions fréquentes
Qu'est-ce que la randomisation MAC ?
Au lieu de diffuser son adresse matérielle permanente, un téléphone moderne présente une adresse MAC randomisée qui évolue avec le temps et n'est pas la même d'un réseau à l'autre. Les principales plateformes mobiles ont introduit la randomisation au cours de la dernière décennie pour arrêter la forme la plus grossière de suivi Wi-Fi : l'enregistrement d'un même identifiant permanent à chaque fois qu'il réapparaît.
La randomisation MAC rend-elle le suivi Wi-Fi impossible ?
Non, et c'est bien documenté. Des travaux universitaires ont montré que des appareils peuvent être identifiés par empreinte malgré la randomisation, grâce à la chronologie, à l'ordre et au contenu de leurs transmissions. La documentation des plateformes elle-même décrit une randomisation qui reste fixe pour un réseau donné au lieu de changer en permanence. La randomisation a rendu le suivi plus difficile, sans le rendre impossible.
Si la randomisation MAC est imparfaite, qu'est-ce qui protège les visiteurs ?
L'architecture du système récepteur. Un système conçu pour la vie privée supprime les données personnelles de manière irrévocable dès le début de son pipeline (jamais hachées puis conservées, jamais stockées) et ne laisse que des statistiques anonymes et agrégées. Aucune donnée de signal brut n'est conservée : quoi qu'un adversaire habile puisse en principe faire avec des signaux bruts, il n'a rien sur quoi travailler.
Comment la randomisation MAC affecte-t-elle la précision du comptage ?
Un compteur naïf qui se fie aux adresses compte le même téléphone plus d'une fois. Une mesure rigoureuse détecte et corrige l'usurpation, les appareils immobiles, les comportements assimilables au personnel et la randomisation elle-même, puis se calibre par rapport à des comptages de contrôle manuels. La qualité du comptage se joue dans cette couche de correction, et c'est pourquoi la maturité de la méthode pèse plus que le choix du capteur.
Pour aller plus loin
Fait partie de
Protection des données:La décision IMYConforme au RGPD vs approuvé