Cos'è un probe request?
I probe request rendono possibile la scoperta Wi-Fi e sollevano le domande sulla privacy dei dispositivi a cui la misurazione dei flussi di visitatori deve rispondere.
In questa pagina
Un probe request è un breve segnale radio che un dispositivo Wi-Fi invia per chiedere quali reti ci sono nelle vicinanze. È un frame di gestione, il livello di servizio del protocollo Wi-Fi, e non porta traffico dell’utente, messaggi o contenuti. Non lo fa partire nessuna app né alcun accesso, e i telefoni ne inviano che si colleghino o meno a una rete.
Come funziona un probe request?
Un dispositivo invia un probe request e aspetta che gli access point vicini rispondano con un probe response. Questa è la scansione attiva. L’alternativa è ascoltare in modo passivo i beacon che gli access point trasmettono, e i telefoni fanno entrambe le cose perché la scansione attiva è più veloce.
Un probe può essere diretto, nominando una rete specifica che il dispositivo sta cercando, oppure può essere un probe di broadcast che chiede qualsiasi rete nel raggio. I dispositivi inviano probe a intervalli che dipendono dal produttore, dal sistema operativo, dallo stato della batteria e dal fatto che lo schermo sia acceso o no. Anche i dispositivi connessi continuano a fare scansione, a una frequenza minore, ed è così che il tuo telefono passa a una rete più forte senza che tu glielo chieda.
Cosa hanno cambiato i produttori di telefoni nei probe request?
Ogni probe request include un indirizzo del mittente, l’indirizzo MAC del dispositivo. Un tempo i dispositivi effettuavano il probe con il proprio indirizzo hardware reale e permanente, che in linea di principio poteva essere registrato e riutilizzato. I dispositivi moderni inviano indirizzi MAC randomizzati che cambiano nel tempo e differiscono per rete. La randomizzazione ha reso più difficile la semplice registrazione, ma non impossibile, e ha cambiato il modo in cui funziona il conteggio: un sistema che conta ingenuamente gli indirizzi unici conterà lo stesso telefono più volte.
La qualità di un sistema di conteggio persone dipende dal suo livello di filtraggio e modellazione, che deve correggere gli indirizzi randomizzati e falsificati, i dispositivi fissi e i comportamenti tipici del personale. Quali dati ottieni descrive come vengono validati e consegnati i conteggi che ne risultano.
Perché i probe request contano per la privacy?
La scoperta Wi-Fi si basa sui probe request, quindi la privacy dipende da come il sistema che li riceve tratta gli identificativi che contengono. Un identificativo che può essere collegato a una persona è un dato personale ai sensi del GDPR, e per questo l’analisi Wi-Fi merita un esame attento in qualsiasi procurement o DPIA.
In una progettazione orientata alla privacy, i dati personali vengono eliminati in modo irreversibile, mai sottoposti a hashing e conservati, mai archiviati. Restano statistiche anonime e aggregate, senza profili né cronologia e senza alcun modo per risalire a un dispositivo o a una persona. La pagina sul conteggio persone conforme al GDPR spiega su cosa si concentra la verifica di conformità di un sistema progettato così.
Bumbee Labs è l’azienda dietro l’unico metodo di misurazione dei flussi di visitatori in Europa approvato da un’autorità per la protezione dei dati.
In che modo i probe request diventano una statistica sui visitatori?
Il conteggio persone tramite Wi-Fi legge questi segnali con gli access point che una sede già gestisce. Anonimizza fin dall’inizio della pipeline, filtra il rumore e calibra il risultato rispetto a conteggi manuali di controllo. Ne emerge come viene usato uno spazio fisico: quante persone lo hanno visitato, quanto sono rimaste e come si sono mosse tra le zone, senza alcun registro di dispositivi.
Fonti
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Fenske, E., Brown, D., Martin, J., Mayberry, T., Ryan, P., & Rye, E. (2021). Three years later: A study of MAC address randomization in mobile devices and when it succeeds. Proceedings on Privacy Enhancing Technologies, 2021(3), 164–181. https://doi.org/10.2478/popets-2021-0042
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- European Parliament and Council of the European Union (2016). Regulation (EU) 2016/679 (General Data Protection Regulation), Article 4(1) and Recital 30. https://eur-lex.europa.eu/eli/reg/2016/679/oj
Vuoi vedere come sarebbe per la tua sede?
Domande frequenti
Un probe request contiene dati personali?
Un probe request è un frame di gestione e non porta traffico dell'utente come messaggi, navigazione o contenuti. Include però un indirizzo MAC, e poiché un identificativo legato a un dispositivo può costituire dato personale ai sensi del GDPR, ciò che conta legalmente è cosa fa con esso il sistema che lo riceve. I sistemi progettati per la privacy eliminano il legame con qualsiasi individuo, così restano solo statistiche anonime e aggregate.
Una persona può essere tracciata tramite i probe request?
I dati grezzi e non elaborati dei probe possono essere usati in modo improprio a questo scopo, motivo per cui le autorità di controllo esaminano con attenzione l'analisi Wi-Fi. La randomizzazione del MAC rende più difficile registrare l'indirizzo di un dispositivo, ma non impossibile, quindi la privacy dipende dalla progettazione del sistema che riceve i segnali. Un sistema di misurazione orientato alla privacy è costruito in modo che nessun individuo possa mai essere identificato: i dati personali vengono eliminati in modo irreversibile, mai sottoposti a hashing e conservati, mai archiviati, e restano solo statistiche anonime e aggregate.
I telefoni inviano probe request anche quando sono connessi a una rete?
Sì, la maggior parte dei dispositivi continua a effettuare la scansione anche quando è connessa, ad esempio per trovare una rete più forte, sebbene la frequenza dipenda dal produttore, dal sistema operativo e dal fatto che lo schermo sia acceso. Il comportamento dei probe non segue un orario fisso e cambia nel tempo, quindi i sistemi di misurazione devono essere calibrati di conseguenza.
Il conteggio persone basato sui probe è conforme al GDPR?
Dipende interamente da come è progettato il sistema, ed è per questo che la domanda va posta in ogni processo di procurement. Il metodo Wi-Fi di Bumbee Labs è stato esaminato e approvato da un'autorità europea per la protezione dei dati, e la nostra pagina GDPR illustra cosa significa quell'approvazione ai fini di una verifica di conformità.