MAC-cím-randomizálás: mit oldott meg, és mire nem volt soha képes
A randomizálás megváltoztatta, mit árulnak el a Wi-Fi-jelek egy telefonról, és azt is, mit kell egy számlálórendszernek korrigálnia.
Ezen az oldalon
A MAC-cím-randomizálás miatt a telefon az állandó hardvercíme helyett véletlenszerű címeket mutat, amelyek idővel és hálózatról hálózatra változnak. Ez visszaszorította az alkalmi nyomon követést, de egy felkészült támadó, aki hozzáfér a nyers jelekhez, gyakran meg tudja kerülni. A magánszféra védelme ezért a fogadó rendszer felépítésén múlik.
Mit változtat a MAC-cím-randomizálás a telefonon?
Nagyjából egy évtizede a telefongyártók elkezdték randomizálni a MAC-címet, azt az állandó hardverazonosítót, amelyet a telefon minden Wi-Fi-adással kisugárzott. Ez valódi előrelépés volt a magánszféra védelmében, és egy már létező visszaélés ellen irányult: az állandó azonosítók csendes naplózása ellen, miközben az emberek a városokban mozogtak. A randomizáló telefon kereséskor egy címet mutat, és jellemzően minden hálózathoz, amelyhez csatlakozik, egy másikat; az, hogy milyen gyakran változik egy cím, a gyártótól és az operációs rendszertől függ. A platformdokumentációk egyértelműen megfogalmazzák a célt: a hálózat által látott cím ne legyen olyan stabil, univerzális azonosító, amely mindenhová elkíséri az eszközt. A randomizálás működik is a durva nyomkövető ellen, amelyet célba vett: egy olyan címnaplózó ellen, amely egyetlen állandó azonosítót párosít össze különböző helyszíneken.
Mit mondanak a kutatások a randomizálás megkerüléséről?
Az elszántabb elemzés más kérdés, és a biztonsági szakirodalom ebben egységes. A randomizálási megvalósításokról szóló tanulmányok gyakorlati módszereket mutattak be a kijátszására, a probe request-forgalom elemzései pedig azt mutatják, hogy egy eszköz adásainak időzítési, sorrendi és tartalmi mintázatai olyan ujjlenyomatot alkotnak, amely túléli a címváltást. Későbbi, időbeli és tartalmi ujjlenyomatokat kombináló munkák olyan arányú derandomizálásról számolnak be, amely mellett a címalapú anonimitást nem biztonságos feltételezni.
Ezt érdemes szem előtt tartani minden olyan rendszer értékelésekor, amely Wi-Fi-jeleket fog, a számlálórendszereket is beleértve. Az a szolgáltató, amelynek adatvédelmi érvelése annyi, hogy „a címek úgyis randomizáltak”, semmilyen saját tervezést nem tett mögé, és az Ön megfelelését a telefongyártó tökéletlen védelmére bízza.
Mitől védi a magánszférát egy számlálórendszer?
Az adatvédelemre tervezett mérőrendszer nem függ attól, mit tesz a telefon, mert a védelme a saját oldalán van. A személyes adatok a feldolgozási lánc legelején visszafordíthatatlanul törlődnek (soha nem tárolják őket hashelve, soha nem mentik el őket), és csak anonim, összesített statisztika marad. Így nincs derandomizálható címnapló és nincs ujjlenyomat-vételre alkalmas nyersjel-archívum, vagyis nincs mit feltörni vagy hatósági megkeresésre kiadni.
A Wi-Fi-alapú módszerünk így épül fel, és az adatvédelmi tisztviselő DPIA-kérdései is ilyen kialakítást keresnek.
A Bumbee Labs áll Európa egyetlen olyan látogatószámlálási módszere mögött, amelyet egy adatvédelmi felügyeleti hatóság jóváhagyott.
Miért nehezítette meg a MAC-cím-randomizálás a számlálást?
Egy címekben megbízó számláló ugyanazt a telefont többször is megszámolja, ezért a komoly mérés felismeri a randomizálási mintázatokat, kiszűri a hamisított címeket és az egy helyben álló eszközöket, és a statisztikai modellt kézi kontrollszámlálásokkal kalibrálja. Ez a korrekciós réteg dönti el a számlálás minőségét. A randomizálás az egész iparágban arra késztette a szolgáltatókat, hogy a számlálási módszereiken is javítsanak, ne csak az adatvédelmi gyakorlatukon. A kapcsolódó cikk, a mi az a probe request, azt magyarázza el, hogyan lesz a jelekből egyáltalán statisztika.
Források
- Apple (2014). iOS Security (white paper, 2014. október). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Kíváncsi, hogyan nézne ki ez az Ön helyszínén?
Gyakori kérdések
Mi a MAC-cím-randomizálás?
Egy mai telefon az állandó hardvercíme helyett véletlenszerű MAC-címet mutat, amely idővel változik, és minden hálózaton más. A nagy mobilplatformok az elmúlt évtizedben vezették be a randomizálást, hogy megállítsák a Wi-Fi-alapú nyomon követés legdurvább formáját: egyetlen állandó azonosító naplózását minden alkalommal, amikor újra felbukkan.
Lehetetlenné teszi-e a MAC-cím-randomizálás a Wi-Fi-alapú nyomon követést?
Nem, és ezt jól dokumentálták. Tudományos munkák kimutatták, hogy az eszközök a randomizálás ellenére is azonosíthatók ujjlenyomat alapján, az adásaik időzítésének, sorrendjének és tartalmának mintázataiból. Maguk a platformdokumentációk is olyan randomizálást írnak le, amely hálózatonként állandó marad, és nem változik folyamatosan. A randomizálás megnehezítette a nyomon követést, de nem tette lehetetlenné.
Ha a MAC-cím-randomizálás tökéletlen, mi védi a látogatókat?
A fogadó rendszer felépítése. Az adatvédelemre tervezett rendszer a feldolgozási lánc legelején visszafordíthatatlanul törli a személyes adatokat, soha nem tárolja őket hashelve, soha nem menti el őket, így csak anonim, összesített statisztika marad. Nyers jeladat nem marad meg, így egy ügyes támadónak nincs min dolgoznia, bármit kezdhetne is elvben a nyers jelekkel.
Hogyan befolyásolja a MAC-cím-randomizálás a számlálás pontosságát?
Egy naiv, a címekben megbízó számláló ugyanazt a telefont többször is megszámolja. A komoly mérés felismeri és korrigálja a hamisított címeket, az egy helyben álló eszközöket, a személyzet mintázatait és magát a randomizálást, majd kézi kontrollszámlálásokkal kalibrál. A számlálás minősége ebben a korrekciós rétegben dől el, ezért a módszer kiforrottsága többet számít, mint az érzékelő megválasztása.