La randomisation MAC : ce qu'elle a corrigé, et ce qu'elle n'a jamais pu
Les fabricants de téléphones ont randomisé les adresses Wi-Fi pour arrêter le suivi occasionnel, et cela a fonctionné. Mais la recherche montre régulièrement que la randomisation seule peut être contournée, d'où le fait que la vie privée d'un système de comptage repose sur son architecture, pas sur les adresses qu'il voit.
Il y a environ dix ans, les fabricants de téléphones ont changé l’un des réglages les plus discrets de l’informatique : l’adresse MAC, l’identifiant matériel permanent qu’un téléphone diffusait à chaque transmission Wi-Fi, est devenue randomisée. C’était une véritable avancée pour la vie privée, visant un abus réel, l’enregistrement silencieux d’identifiants permanents au fil des déplacements dans les villes. Cela a aussi créé deux mythes qui façonnent encore la façon dont les gens pensent l’analyse Wi-Fi : que la randomisation a rendu le suivi impossible, et que la randomisation est ce qui protège les visiteurs des systèmes de comptage. Les deux sont faux, de façon instructive.
Ce que la randomisation fait vraiment
Un téléphone randomisant présente des adresses MAC différentes selon les contextes : une pendant la recherche de réseaux, généralement une autre par réseau rejoint, alternant selon des calendriers qui varient par fabricant et système d’exploitation. La documentation des plateformes décrit clairement l’objectif de conception : l’adresse qu’un réseau voit ne devrait pas être un identifiant stable et universel qui suit l’appareil partout. Face au suivi grossier que la randomisation ciblait, un enregistreur d’adresses faisant correspondre un identifiant permanent unique à travers les lieux, elle fonctionne.
Ce que la recherche continue de découvrir
Face à une analyse plus déterminée, le tableau est différent, et la littérature de sécurité l’a constamment confirmé. Des études sur les implémentations de randomisation ont démontré des moyens pratiques de la contourner, et des analyses du trafic de probe requests montrent que le timing, la séquence et les motifs de contenu des transmissions d’un appareil forment une empreinte qui survit aux changements d’adresse. Des travaux ultérieurs combinant empreintes temporelles et empreintes de contenu rapportent des taux de dé-randomisation qui devraient mettre fin à toute illusion d’anonymat par l’adresse. La conclusion honnête : la randomisation MAC a réduit le suivi occasionnel, et un adversaire capable ayant accès aux signaux bruts peut souvent la contourner.
Cette conclusion compte pour évaluer tout système qui écoute des signaux Wi-Fi, y compris les systèmes de comptage. Si l’argumentaire de confidentialité d’un fournisseur se résume à « les adresses sont randomisées de toute façon », il fait reposer votre conformité sur la défense imparfaite du fabricant de téléphones plutôt que sur sa propre conception.
La vie privée par l’architecture, pas par l’adresse
La bonne leçon est architecturale. Un système de mesure conçu pour la vie privée ne dépend pas de ce que fait le téléphone, parce qu’il supprime la surface d’attaque de son propre côté : les données personnelles sont supprimées de manière irrévocable dès le début du pipeline, jamais hachées et conservées, jamais stockées, et il ne reste que des statistiques anonymes et agrégées. Il n’y a aucun journal d’adresses à dé-randomiser, aucune archive de signaux bruts à identifier, rien à violer et rien à assigner. C’est la conception derrière notre méthode Wi-Fi, la seule méthode de mesure de fréquentation en Europe approuvée par une autorité de protection des données, et c’est la norme que les questions de l’AIPD cherchent vraiment à vérifier.
Et oui, cela a rendu le comptage plus difficile, honnêtement
Il y a un versant précision à cette histoire. Un compteur qui se fie aux adresses compte deux fois chaque téléphone randomisant, si bien qu’une mesure sérieuse détecte les motifs de randomisation, filtre l’usurpation et les appareils immobiles, et calibre le modèle statistique par rapport à des comptages de contrôle manuels. Cette couche de correction, pas le capteur, est ce qui décide de la qualité du comptage. La randomisation a forcé le secteur à mûrir deux fois : sur la vie privée et sur la méthode. La façon dont les signaux deviennent des statistiques est couverte dans qu’est-ce qu’un probe request, le compagnon naturel de cet article.
Questions fréquentes
Qu'est-ce que la randomisation MAC ?
Au lieu de diffuser son adresse matérielle permanente, un téléphone moderne présente des adresses MAC randomisées qui changent au fil du temps et diffèrent selon le réseau. Introduite sur les principales plateformes mobiles au cours de la dernière décennie, elle visait à arrêter la forme la plus grossière de suivi Wi-Fi : l'enregistrement d'un identifiant permanent unique à chaque réapparition.
La randomisation MAC rend-elle le suivi Wi-Fi impossible ?
Non, et c'est bien documenté. Des travaux universitaires ont montré que des appareils peuvent être identifiés malgré la randomisation, par le timing, la séquence et les motifs de contenu de leurs transmissions, et la documentation des plateformes elles-mêmes décrit une randomisation qui persiste par réseau plutôt que de changer en permanence. La randomisation a relevé la barre ; elle n'a pas construit un mur.
Si la randomisation est imparfaite, qu'est-ce qui protège vraiment les visiteurs ?
L'architecture du système récepteur. Un système conçu pour la vie privée supprime les données personnelles de manière irrévocable dès le début de son pipeline, jamais hachées et conservées, jamais stockées, ne laissant que des statistiques anonymes et agrégées. Alors, peu importe ce qu'un adversaire habile pourrait en principe faire avec des signaux bruts, puisque la matière première n'existe pas pour être attaquée.
Comment la randomisation affecte-t-elle la précision du comptage ?
Un compteur naïf qui se fie aux adresses compte plusieurs fois le même téléphone. Une mesure sérieuse détecte et corrige la randomisation, l'usurpation, les appareils immobiles et les comportements assimilables au personnel, puis se calibre par rapport à des comptages de contrôle manuels. C'est cette couche de correction qui décide de la qualité du comptage, ce qui explique pourquoi la maturité de la méthode compte plus que le choix du capteur.