MAC-randomisatie: wat het oploste, en wat het nooit kon
Randomisatie veranderde zowel wat Wi-Fi-signalen over een telefoon prijsgeven als waarvoor een telsysteem moet corrigeren.
Op deze pagina
MAC-randomisatie laat een telefoon gerandomiseerde adressen tonen in plaats van zijn permanente hardwareadres. Die adressen veranderen na verloop van tijd en verschillen per netwerk. Het verminderde eenvoudige tracking, maar een bekwame aanvaller met toegang tot ruwe signalen kan het vaak omzeilen. Privacy rust daarom op de architectuur van het ontvangende systeem.
Wat verandert MAC-randomisatie aan een telefoon?
Ongeveer tien jaar geleden begonnen telefoonfabrikanten het MAC-adres te randomiseren: de permanente hardware-identificator die een telefoon bij elke Wi-Fi-transmissie uitzond. Het was een echte privacyverbetering, gericht op een misbruik dat al plaatsvond: het stille loggen van permanente identificatoren terwijl mensen zich door steden bewogen. Een randomiserende telefoon toont één adres tijdens het scannen en doorgaans een ander voor elk netwerk waarmee hij verbinding maakt. Hoe vaak een adres wisselt, hangt af van de fabrikant en het besturingssysteem. Platformdocumentatie noemt het doel duidelijk: het adres dat een netwerk ziet, mag geen stabiele, universele identificator zijn die het apparaat overal volgt. Tegen de grove tracker waarop randomisatie gericht was, werkt het wel: een adreslogger die één permanent ID op verschillende locaties aan elkaar koppelt.
Wat zegt onderzoek over het omzeilen van randomisatie?
Bij grondigere analyse ligt het anders, en de beveiligingsliteratuur is daar eensgezind over. Studies naar implementaties van randomisatie hebben praktische manieren aangetoond om die te omzeilen, en analyses van probe-request-verkeer laten zien dat de timing-, volgorde- en inhoudspatronen van de uitzendingen van een apparaat een vingerafdruk vormen die adreswijzigingen overleeft. Later onderzoek dat temporele en inhoudsgebaseerde vingerafdrukken combineert, rapporteert de-randomisatie in percentages waarbij anonimiteit via het adres geen veilige aanname meer is.
Houd hier rekening mee wanneer je een systeem beoordeelt dat Wi-Fi-signalen opvangt, telsystemen inbegrepen. Een leverancier wiens privacyverhaal neerkomt op “adressen zijn toch al gerandomiseerd”, heeft er geen eigen ontwerp achter gezet en laat jouw compliance afhangen van de onvolmaakte verdediging van de telefoonfabrikant.
Waar komt de privacy van een telsysteem vandaan?
Een meetsysteem dat voor privacy is ontworpen, hangt niet af van wat de telefoon doet, want de bescherming zit in het systeem zelf. Persoonsgegevens worden aan het begin van de pijplijn onomkeerbaar verwijderd (nooit gehasht en bewaard, nooit opgeslagen), en er blijven alleen anonieme, geaggregeerde statistieken over. Er is dus geen adreslog om te de-randomiseren en geen archief van ruwe signalen om vingerafdrukken uit te halen, zodat er bij een datalek niets te halen valt en er niets is om op te vorderen.
Onze Wi-Fi-methode is zo gebouwd, en de DPIA-vragen die een functionaris gegevensbescherming stelt, zoeken naar dit soort ontwerp.
Bumbee Labs is het bedrijf achter de enige methode voor bezoekersmeting in Europa die is goedgekeurd door een gegevensbeschermingsautoriteit.
Waarom maakte MAC-randomisatie tellen moeilijker?
Een teller die adressen vertrouwt, telt dezelfde telefoon meer dan eens. Degelijke meting detecteert daarom randomisatiepatronen, filtert spoofing en stilstaande apparaten eruit en kalibreert het statistische model tegen handmatige controletellingen. Die correctielaag bepaalt de kwaliteit van een telling. In de hele sector heeft randomisatie leveranciers ertoe gebracht zowel hun telmethoden als hun privacypraktijk te verbeteren. Hoe de signalen überhaupt statistiek worden, lees je in het bijbehorende artikel wat is een probe request.
Bronnen
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Benieuwd hoe dit eruitziet voor jouw locatie?
Veelgestelde vragen
Wat is MAC-randomisatie?
In plaats van zijn permanente hardwareadres uit te zenden, toont een moderne telefoon een gerandomiseerd MAC-adres dat na verloop van tijd wisselt en op elk netwerk anders is. De grote mobiele platformen voerden randomisatie het afgelopen decennium in om de grofste vorm van Wi-Fi-tracking te stoppen: het loggen van één permanente identificator telkens wanneer die opnieuw opduikt.
Maakt MAC-randomisatie Wi-Fi-tracking onmogelijk?
Nee, en dat is goed gedocumenteerd. Academisch onderzoek heeft aangetoond dat apparaten ondanks randomisatie aan een vingerafdruk te herkennen zijn, via timing-, volgorde- en inhoudspatronen in hun uitzendingen. Platformdocumentatie beschrijft zelf randomisatie die per netwerk blijft bestaan en niet voortdurend verandert. Randomisatie maakte tracking moeilijker, maar niet onmogelijk.
Als MAC-randomisatie onvolmaakt is, wat beschermt bezoekers dan?
De architectuur van het ontvangende systeem. Een systeem dat voor privacy is ontworpen, verwijdert persoonsgegevens aan het begin van zijn pijplijn onomkeerbaar (nooit gehasht en bewaard, nooit opgeslagen), zodat alleen anonieme, geaggregeerde statistieken overblijven. Ruwe signaaldata worden niet bewaard, dus zelfs een slimme aanvaller die in principe iets met ruwe signalen zou kunnen, heeft niets om mee te werken.
Hoe beïnvloedt MAC-randomisatie de nauwkeurigheid van tellingen?
Een naïeve teller die adressen vertrouwt, telt dezelfde telefoon meer dan eens. Degelijke meting herkent spoofing, stilstaande apparaten, personeelspatronen en de randomisatie zelf, corrigeert daarvoor en kalibreert daarna tegen handmatige controletellingen. De kwaliteit van de telling wordt in die correctielaag bepaald, en daarom weegt de volwassenheid van de methode zwaarder dan de keuze van de sensor.