MAC adrešu randomizācija: ko tā atrisināja un ko nekad nevarēja
Randomizācija mainīja gan to, ko Wi-Fi signāli atklāj par tālruni, gan to, kas skaitīšanas sistēmai jākoriģē.
Šajā lapā
MAC adrešu randomizācija liek tālrunim rādīt randomizētas adreses, kas mainās laika gaitā un no viena tīkla uz otru, nevis savu pastāvīgo aparatūras adresi. Tā samazināja gadījuma rakstura izsekošanu, taču spējīgs uzbrucējs ar piekļuvi neapstrādātiem signāliem to bieži var apiet. Tāpēc privātums balstās uz uztverošās sistēmas arhitektūru.
Ko MAC adrešu randomizācija tālrunī maina?
Apmēram pirms desmit gadiem tālruņu ražotāji sāka randomizēt MAC adresi, pastāvīgo aparatūras identifikatoru, ko tālrunis raidīja ar katru Wi-Fi pārraidi. Tas bija reāls privātuma uzlabojums, kas bija vērsts pret jau notiekošu ļaunprātīgu praksi: pastāvīgu identifikatoru slepenu reģistrēšanu, cilvēkiem pārvietojoties pa pilsētām. Tālrunis ar randomizāciju skenēšanas laikā rāda vienu adresi un parasti citu katram tīklam, kuram pievienojas, un tas, cik bieži adrese mainās, ir atkarīgs no ražotāja un operētājsistēmas. Platformu dokumentācija mērķi formulē skaidri: adresei, ko redz tīkls, nevajadzētu būt stabilam, universālam identifikatoram, kas visur seko ierīcei. Pret rupjo izsekotāju, uz kuru tā bija mērķēta, randomizācija tiešām darbojas: pret adrešu reģistrētāju, kas vienu pastāvīgu ID salīdzina dažādās vietās.
Ko pētījumi saka par randomizācijas apiešanu?
Mērķtiecīgāka analīze ir cits jautājums, un drošības literatūra šajā ziņā ir vienprātīga. Randomizācijas ieviešanas pētījumi ir parādījuši praktiskus veidus, kā to apiet, un probe request datplūsmas analīzes rāda, ka ierīces raidījumu laika, secības un satura modeļi veido „pirkstu nospiedumu”, kas saglabājas arī pēc adreses maiņas. Vēlākos darbos, kuros apvienoti laika un satura pirkstu nospiedumi, ziņots par derandomizāciju tādā apmērā, ka paļauties uz adrešu anonimitāti nav droši.
Paturiet to prātā, vērtējot jebkuru sistēmu, kas uztver Wi-Fi signālus, ieskaitot skaitīšanas sistēmas. Piegādātājs, kura stāsts par privātumu ir „adreses tik un tā ir randomizētas”, nav tam pamatā licis nekādu paša dizainu un atstāj Jūsu atbilstību atkarīgu no tālruņa ražotāja nepilnīgās aizsardzības.
Kas nodrošina skaitīšanas sistēmas privātumu?
Uz privātumu veidota mērīšanas sistēma nav atkarīga no tā, ko dara tālrunis, jo tās aizsardzība atrodas sistēmas pašas pusē. Personas dati tiek neatgriezeniski dzēsti jau apstrādes ķēdes sākumā (nekad netiek hešoti un saglabāti, nekad netiek glabāti), un paliek tikai anonīma, apkopota statistika. Tāpēc nav ne adrešu žurnāla, ko derandomizēt, ne neapstrādātu signālu arhīva, no kā veidot pirkstu nospiedumus, un līdz ar to nav nekā, ko uzlauzt vai pieprasīt ar tiesas rīkojumu.
Mūsu Wi-Fi metode ir veidota tieši tā, un datu aizsardzības speciālista jautājumi novērtējumā par ietekmi uz datu aizsardzību (NIDA) meklē tieši šādu dizainu.
Bumbee Labs ir uzņēmums, kas izstrādājis vienīgo apmeklētāju skaitīšanas metodi Eiropā, ko apstiprinājusi datu aizsardzības uzraudzības iestāde.
Kāpēc MAC adrešu randomizācija apgrūtināja skaitīšanu?
Skaitītājs, kas uzticas adresēm, vienu un to pašu tālruni saskaita vairākas reizes, tāpēc nopietna mērīšana atpazīst randomizācijas modeļus, atfiltrē viltotas adreses un stacionāras ierīces un kalibrē statistisko modeli pret manuāliem kontroles skaitījumiem. Šis korekcijas slānis nosaka skaitījuma kvalitāti. Visā nozarē randomizācija ir likusi piegādātājiem uzlabot gan skaitīšanas metodes, gan privātuma praksi. Papildu raksts kas ir probe request skaidro, kā signāli vispār kļūst par statistiku.
Avoti
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Vēlaties redzēt, kā tas izskatītos Jūsu vietā?
Biežāk uzdotie jautājumi
Kas ir MAC adrešu randomizācija?
Tā vietā, lai raidītu savu pastāvīgo aparatūras adresi, mūsdienu tālrunis rāda randomizētu MAC adresi, kas laika gaitā mainās un katrā tīklā ir citāda. Lielākās mobilās platformas pēdējās desmitgades laikā ieviesa randomizāciju, lai apturētu visrupjāko Wi-Fi izsekošanas veidu: viena pastāvīga identifikatora reģistrēšanu ikreiz, kad tas parādās no jauna.
Vai MAC adrešu randomizācija padara Wi-Fi izsekošanu neiespējamu?
Nē, un tas ir labi dokumentēts. Akadēmiskie pētījumi parādījuši, ka ierīcēm var izveidot „pirkstu nospiedumu” par spīti randomizācijai, izmantojot to raidījumu laika, secības un satura modeļus. Pašu platformu dokumentācija apraksta randomizāciju, kas katram tīklam saglabājas un nemainās nepārtraukti. Randomizācija izsekošanu apgrūtināja, bet nepadarīja neiespējamu.
Ja MAC adrešu randomizācija nav pilnīga, kas aizsargā apmeklētājus?
Uztverošās sistēmas arhitektūra. Uz privātumu veidota sistēma personas datus neatgriezeniski dzēš jau apstrādes ķēdes sākumā, tos nekad nehešojot un neglabājot, tāpēc paliek tikai anonīma, apkopota statistika. Neapstrādāti signālu dati netiek glabāti, tāpēc tam, ko izveicīgs uzbrucējs principā varētu izdarīt ar neapstrādātiem signāliem, nav ar ko strādāt.
Kā MAC adrešu randomizācija ietekmē skaitīšanas precizitāti?
Naivs skaitītājs, kas uzticas adresēm, vienu un to pašu tālruni saskaita vairākas reizes. Nopietna mērīšana atpazīst un koriģē viltotas adreses, stacionāras ierīces, darbinieku kustības modeļus un pašu randomizāciju, un pēc tam kalibrē rezultātus pret manuāliem kontroles skaitījumiem. Skaitīšanas kvalitāti nosaka šis korekcijas slānis, tāpēc metodes briedums ir svarīgāks par sensora izvēli.