Randomizzazione MAC: cosa ha risolto, e cosa non ha mai potuto risolvere
I produttori di telefoni hanno randomizzato gli indirizzi Wi-Fi per fermare il tracciamento occasionale, e ha funzionato. Ma la ricerca continua a mostrare che la randomizzazione da sola si può aggirare, ed è per questo che la privacy di un sistema di conteggio sta nella sua architettura, non negli indirizzi che vede.
Circa un decennio fa, i produttori di telefoni hanno cambiato una delle impostazioni predefinite più silenziose dell’informatica: l’indirizzo MAC, l’identificativo hardware permanente che un telefono trasmetteva con ogni comunicazione Wi-Fi, è diventato randomizzato. È stato un vero miglioramento della privacy, mirato a un abuso reale, la registrazione silenziosa di identificativi permanenti mentre le persone si spostavano nelle città. Ha anche creato due miti che ancora oggi condizionano il modo in cui si pensa all’analisi Wi-Fi: che la randomizzazione abbia reso impossibile il tracciamento, e che la randomizzazione sia ciò che protegge i visitatori dai sistemi di conteggio. Entrambi sono sbagliati, in modo istruttivo.
Cosa fa davvero la randomizzazione
Un telefono che randomizza presenta indirizzi MAC diversi in contesti diversi: uno durante la scansione, tipicamente un altro per ogni rete a cui si unisce, con rotazioni su schedule che variano per produttore e sistema operativo. La documentazione delle piattaforme descrive l’obiettivo di progettazione con chiarezza: l’indirizzo che una rete vede non dovrebbe essere un identificativo stabile e universale che segue il dispositivo ovunque. Contro il tracciatore grezzo che la randomizzazione prendeva di mira, un registro di indirizzi che abbina un ID permanente attraverso le posizioni, funziona.
Cosa continua a trovare la ricerca
Contro un’analisi più determinata, il quadro cambia, e la letteratura sulla sicurezza è stata coerente su questo punto. Studi sulle implementazioni della randomizzazione hanno dimostrato modi pratici per aggirarla, e le analisi del traffico di probe request mostrano che i pattern di tempistica, sequenza e contenuto delle trasmissioni di un dispositivo formano un’impronta che sopravvive ai cambi di indirizzo. Lavori successivi che combinano impronte temporali e basate sul contenuto riportano tassi di de-randomizzazione tali da porre fine a qualsiasi illusione di anonimato tramite indirizzo. La conclusione onesta: la randomizzazione MAC ha ridotto il tracciamento occasionale, e un avversario capace con accesso al segnale grezzo può spesso aggirarla.
Quella conclusione conta per come valuti qualsiasi sistema che ascolta segnali Wi-Fi, inclusi i sistemi di conteggio. Se la storia sulla privacy di un fornitore si riduce a “gli indirizzi sono comunque randomizzati”, stai basando la tua conformità sulla difesa imperfetta del produttore del telefono anziché sulla progettazione del fornitore stesso.
Privacy per architettura, non per indirizzo
La lezione giusta è architetturale. Un sistema di misurazione progettato per la privacy non dipende da cosa fa il telefono, perché elimina la superficie di attacco dal proprio lato: i dati personali vengono eliminati in modo irreversibile all’inizio della pipeline, mai sottoposti a hashing e conservati, mai archiviati, e restano solo statistiche anonime e aggregate. Non esiste alcun registro di indirizzi da de-randomizzare, nessun archivio di segnali grezzi da sottoporre a fingerprinting, niente da violare e niente da citare in giudizio. Questa è la progettazione dietro il nostro metodo Wi-Fi, l’unico metodo di analisi dei flussi in Europa approvato da un’autorità per la protezione dei dati, ed è lo standard che le domande della DPIA in realtà indagano.
E sì, ha reso il conteggio più difficile, onestamente
C’è anche un risvolto sull’accuratezza in questa storia. Un contatore che si fida degli indirizzi conta due volte ogni telefono che randomizza, quindi una misurazione seria rileva i pattern di randomizzazione, filtra lo spoofing e i dispositivi fissi, e calibra il modello statistico rispetto a conteggi manuali di controllo. Quel livello di correzione, non il sensore, è dove si decide la qualità del conteggio. La randomizzazione ha costretto il settore a maturare due volte: sulla privacy e sul metodo. Come i segnali diventano statistiche fin dall’inizio è trattato in cos’è un probe request, il naturale complemento di questo articolo.
Domande frequenti
Cos'è la randomizzazione MAC?
Invece di trasmettere il proprio indirizzo hardware permanente, un telefono moderno presenta indirizzi MAC randomizzati che cambiano nel tempo e differiscono per rete. Introdotta su tutte le principali piattaforme mobili nell'ultimo decennio, è stata pensata per fermare la forma più grezza di tracciamento Wi-Fi: registrare un identificativo permanente man mano che ricompare.
La randomizzazione MAC rende impossibile il tracciamento Wi-Fi?
No, ed è ben documentato. Il mondo accademico ha dimostrato che i dispositivi possono essere sottoposti a fingerprinting nonostante la randomizzazione, attraverso pattern di tempistica, sequenza e contenuto nelle loro trasmissioni, e la documentazione stessa delle piattaforme descrive una randomizzazione che persiste per rete anziché cambiare in continuazione. La randomizzazione ha alzato l'asticella; non ha costruito un muro.
Se la randomizzazione è imperfetta, cosa protegge davvero i visitatori?
L'architettura del sistema che riceve i segnali. Un sistema progettato per la privacy elimina i dati personali in modo irreversibile all'inizio della sua pipeline, mai sottoposti a hashing e conservati, mai archiviati, lasciando solo statistiche anonime e aggregate. A quel punto non conta cosa potrebbe fare in linea di principio un avversario capace con i segnali grezzi, perché la materia prima per l'attacco non esiste.
Come influisce la randomizzazione sull'accuratezza del conteggio?
Un contatore ingenuo che si fida degli indirizzi conta lo stesso telefono più volte. Una misurazione seria rileva e corregge la randomizzazione, lo spoofing, i dispositivi fissi e i pattern del personale, poi calibra rispetto a conteggi manuali di controllo. Il livello di correzione è dove si decide la qualità del conteggio, ed è per questo che la maturità del metodo conta più della scelta del sensore.