MAC-randomisatie: wat het oploste, en wat het nooit kon
Telefoonfabrikanten randomiseerden Wi-Fi-adressen om casual tracking te stoppen, en dat werkte. Maar onderzoek blijft aantonen dat randomisatie alleen te omzeilen is, en daarom rust de privacy van een telsysteem op zijn architectuur, niet op de adressen die het ziet.
Ongeveer een decennium geleden veranderden telefoonfabrikanten een van de stilste standaarden in de computerwereld: het MAC-adres, de permanente hardware-identificator die een telefoon uitzendt bij elke Wi-Fi-transmissie, werd gerandomiseerd. Het was een echte privacyverbetering, gericht op een reëel misbruik, het stille loggen van permanente identificatoren terwijl mensen zich door steden bewogen. Het schiep ook twee mythes die nog altijd bepalen hoe mensen denken over Wi-Fi-analyse: dat randomisatie tracking onmogelijk maakte, en dat randomisatie is wat bezoekers beschermt tegen telsystemen. Beide zijn onjuist, op een leerzame manier.
Wat randomisatie werkelijk doet
Een randomiserende telefoon presenteert verschillende MAC-adressen in verschillende contexten: één tijdens het scannen, doorgaans een ander per netwerk waarmee hij verbindt, roterend op schema’s die variëren per fabrikant en besturingssysteem. Platformdocumentatie beschrijft het ontwerpdoel duidelijk: het adres dat een netwerk ziet, zou geen stabiele, universele identificator moeten zijn die het apparaat overal volgt. Tegen de grove tracker waar randomisatie op mikte, een adreslogger die één permanent ID matcht over locaties heen, werkt het.
Wat onderzoek blijft vinden
Tegen meer vastberaden analyse ziet het plaatje er anders uit, en de beveiligingsliteratuur is daar consistent over geweest. Studies naar implementaties van randomisatie hebben praktische manieren aangetoond om die te omzeilen, en analyses van probe-request-verkeer laten zien dat de timing-, volgorde- en inhoudspatronen van de uitzendingen van een apparaat een vingerafdruk vormen die adreswijzigingen overleeft. Later onderzoek dat temporele en inhoudsgebaseerde vingerafdrukken combineert, rapporteert de-randomisatie in percentages die elke illusie van anonimiteit-door-adres zouden moeten beëindigen. De eerlijke conclusie: MAC-randomisatie verminderde casual tracking, en een capabele tegenstander met toegang tot ruwe signalen kan het vaak omzeilen.
Die conclusie telt voor hoe je elk systeem beoordeelt dat Wi-Fi-signalen hoort, inclusief telsystemen. Als het privacyverhaal van een leverancier neerkomt op “adressen zijn toch al gerandomiseerd”, laten ze jouw compliance rusten op de onvolmaakte verdediging van de telefoonfabrikant, niet op hun eigen ontwerp.
Privacy door architectuur, niet door adres
De juiste les is architecturaal. Een meetsysteem dat voor privacy is ontworpen, hangt niet af van wat de telefoon doet, want het verwijdert het aanvalsoppervlak aan de eigen kant: persoonsgegevens worden onomkeerbaar verwijderd aan het begin van de pijplijn, nooit gehasht en bewaard, nooit opgeslagen, en alleen anonieme, geaggregeerde statistieken blijven over. Er is geen adreslog om te de-randomiseren, geen archief van ruwe signalen om aan een vingerafdruk te herkennen, niets om te schenden en niets om op te vorderen. Dit is het ontwerp achter onze Wi-Fi-methode, de enige telmethode voor bezoekersanalyse in Europa die is goedgekeurd door een gegevensbeschermingsautoriteit, en het is de standaard waar de DPIA-vragen werkelijk naar peilen.
En ja, het maakte tellen eerlijk gezegd moeilijker
Er zit een nauwkeurigheidskant aan dit verhaal. Een teller die adressen vertrouwt, telt elke randomiserende telefoon dubbel, dus serieuze meting detecteert randomisatiepatronen, filtert spoofing en stilstaande apparaten eruit, en kalibreert het statistische model tegen handmatige controletellingen. Die correctielaag, niet de sensor, bepaalt de kwaliteit van de telling. Randomisatie dwong de sector om twee keer volwassen te worden: op privacy en op methode. Hoe de signalen om te beginnen statistiek worden, staat beschreven in wat is een probe request, de natuurlijke tegenhanger van dit artikel.
Veelgestelde vragen
Wat is MAC-randomisatie?
In plaats van zijn permanente hardwareadres uit te zenden, presenteert een moderne telefoon gerandomiseerde MAC-adressen die na verloop van tijd veranderen en per netwerk verschillen. Ingevoerd bij de grote mobiele platformen in het afgelopen decennium, was het bedoeld om de meest grove vorm van Wi-Fi-tracking te stoppen: het loggen van één permanente identificator terwijl die telkens terugkeert.
Maakt MAC-randomisatie Wi-Fi-tracking onmogelijk?
Nee, en dat is goed gedocumenteerd. Academisch onderzoek heeft aangetoond dat apparaten ondanks randomisatie kunnen worden herkend aan een vingerafdruk, via timing-, volgorde- en inhoudspatronen in hun uitzendingen, en platformdocumentatie zelf beschrijft randomisatie die per netwerk blijft bestaan in plaats van constant te veranderen. Randomisatie legde de lat hoger; het bouwde geen muur.
Als randomisatie onvolmaakt is, wat beschermt bezoekers dan werkelijk?
De architectuur van het ontvangende systeem. Een systeem dat voor privacy is ontworpen, verwijdert persoonsgegevens onomkeerbaar aan het begin van zijn pijplijn, nooit gehasht en bewaard, nooit opgeslagen, zodat alleen anonieme, geaggregeerde statistieken overblijven. Dan maakt het niet uit wat een slimme tegenstander in principe zou kunnen doen met ruwe signalen, want het ruwe materiaal om aan te vallen bestaat niet.
Hoe beïnvloedt randomisatie de nauwkeurigheid van telling?
Een naïeve teller die adressen vertrouwt, telt dezelfde telefoon meerdere keren. Serieuze meting detecteert en corrigeert voor randomisatie, spoofing, stilstaande apparaten en personeelspatronen, en kalibreert vervolgens tegen handmatige controletellingen. Deze correctielaag bepaalt de kwaliteit van de telling, en daarom telt methodevolwassenheid meer dan sensorkeuze.