Randomizzazione MAC: cosa ha risolto, e cosa non ha mai potuto risolvere
La randomizzazione ha cambiato sia ciò che i segnali Wi-Fi rivelano di un telefono sia ciò che un sistema di conteggio deve correggere.
In questa pagina
La randomizzazione MAC fa sì che un telefono presenti indirizzi randomizzati, che cambiano nel tempo e da una rete all’altra, invece del suo indirizzo hardware permanente. Ha ridotto il tracciamento più rudimentale, ma un avversario capace con accesso al segnale grezzo può spesso aggirarla. Per questo la privacy dipende dall’architettura del sistema che riceve i segnali.
Cosa cambia la randomizzazione MAC in un telefono?
Circa un decennio fa i produttori di telefoni hanno cominciato a randomizzare l’indirizzo MAC, l’identificativo hardware permanente che un telefono trasmetteva con ogni comunicazione Wi-Fi. È stato un vero miglioramento della privacy, mirato a un abuso già in corso: la registrazione silenziosa di identificativi permanenti mentre le persone si spostavano nelle città. Un telefono che randomizza mostra un indirizzo durante la scansione e, di solito, un altro per ogni rete a cui si collega, e la frequenza con cui un indirizzo cambia dipende dal produttore e dal sistema operativo. La documentazione delle piattaforme dichiara l’obiettivo senza giri di parole: l’indirizzo che una rete vede non dovrebbe essere un identificativo stabile e universale che segue il dispositivo ovunque. La randomizzazione funziona davvero contro il tracciatore grezzo che aveva preso di mira, cioè un registro di indirizzi che abbina lo stesso ID permanente in luoghi diversi.
Cosa dice la ricerca su come aggirare la randomizzazione?
Contro un’analisi più determinata il quadro cambia, e la letteratura sulla sicurezza è coerente su questo punto. Studi sulle implementazioni della randomizzazione hanno dimostrato modi pratici per aggirarla, e le analisi del traffico di probe request mostrano che i pattern di tempistica, sequenza e contenuto delle trasmissioni di un dispositivo formano un’impronta che sopravvive ai cambi di indirizzo. Lavori successivi che combinano impronte temporali e basate sul contenuto riportano tassi di de-randomizzazione tali che l’anonimato basato sull’indirizzo non è più un presupposto sicuro.
Tienilo presente quando valuti qualsiasi sistema che capta segnali Wi-Fi, compresi i sistemi di conteggio. Un fornitore che sulla privacy si limita a dire “gli indirizzi sono comunque randomizzati” non ha alle spalle alcuna progettazione propria e fa dipendere la tua conformità dalla difesa imperfetta del produttore del telefono.
Da dove viene la privacy di un sistema di conteggio?
Un sistema di misurazione progettato per la privacy non dipende da cosa fa il telefono, perché la protezione sta nel sistema stesso. I dati personali vengono eliminati in modo irreversibile all’inizio della pipeline (mai sottoposti a hashing e conservati, mai archiviati) e restano solo statistiche anonime e aggregate. Non esiste quindi alcun registro di indirizzi da de-randomizzare né un archivio di segnali grezzi da sottoporre a fingerprinting, e non c’è niente da violare né da consegnare su ordine di un giudice.
Il nostro metodo Wi-Fi è costruito così, e le domande della DPIA poste da un DPO cercano questo tipo di progettazione.
Bumbee Labs è l’azienda dietro l’unico metodo di misurazione dei flussi di visitatori in Europa approvato da un’autorità per la protezione dei dati.
Perché la randomizzazione MAC ha reso più difficile il conteggio?
Un contatore che si fida degli indirizzi conta lo stesso telefono più di una volta, quindi una misurazione rigorosa rileva i pattern di randomizzazione, filtra lo spoofing e i dispositivi fissi, e calibra il modello statistico rispetto a conteggi manuali di controllo. È quel livello di correzione a decidere la qualità di un conteggio. In tutto il settore la randomizzazione ha spinto i fornitori a migliorare i propri metodi di conteggio oltre che le pratiche sulla privacy. L’articolo complementare, cos’è un probe request, spiega come i segnali diventano statistiche.
Fonti
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Vuoi vedere come sarebbe per la tua sede?
Domande frequenti
Cos'è la randomizzazione MAC?
Invece di trasmettere il proprio indirizzo hardware permanente, un telefono moderno mostra un indirizzo MAC randomizzato che si modifica nel tempo ed è diverso su ogni rete. Le principali piattaforme mobili hanno introdotto la randomizzazione nell'ultimo decennio per fermare la forma più grezza di tracciamento Wi-Fi: registrare un identificativo permanente ogni volta che ricompare.
La randomizzazione MAC rende impossibile il tracciamento Wi-Fi?
No, ed è ben documentato. La ricerca accademica ha dimostrato che i dispositivi si possono riconoscere tramite fingerprinting nonostante la randomizzazione, grazie ai pattern di tempistica, sequenza e contenuto delle loro trasmissioni. La documentazione stessa delle piattaforme descrive una randomizzazione che resta fissa per ciascuna rete e non cambia di continuo. La randomizzazione ha reso il tracciamento più difficile senza renderlo impossibile.
Se la randomizzazione MAC è imperfetta, cosa protegge i visitatori?
L'architettura del sistema che riceve i segnali. Un sistema progettato per la privacy elimina i dati personali in modo irreversibile all'inizio della sua pipeline (mai sottoposti a hashing e conservati, mai archiviati) e lascia solo statistiche anonime e aggregate. Non si conservano dati di segnale grezzi, quindi un avversario abile, qualunque cosa potrebbe fare in linea di principio con i segnali grezzi, non ha nulla su cui lavorare.
Come influisce la randomizzazione MAC sull'accuratezza del conteggio?
Un contatore ingenuo che si fida degli indirizzi conta lo stesso telefono più di una volta. Una misurazione rigorosa rileva e corregge lo spoofing, i dispositivi fissi, i pattern del personale e la randomizzazione stessa, poi calibra rispetto a conteggi manuali di controllo. La qualità del conteggio si decide in questo livello di correzione, per cui la maturità del metodo conta più della scelta del sensore.