MAC-randomisering: hva det løste, og hva det aldri kunne
Telefonprodusenter randomiserte Wi-Fi-adresser for å stoppe tilfeldig sporing, og det virket. Men forskning viser gang på gang at randomisering alene kan omgås, og det er derfor personvernet til et tellesystem hviler på arkitekturen, ikke på adressene det ser.
For rundt et tiår siden endret telefonprodusentene en av de stilleste standardinnstillingene i databehandling: MAC-adressen, den permanente maskinvareidentifikatoren en mobil kringkastet med hver Wi-Fi-overføring, ble randomisert. Det var en genuin personvernforbedring, rettet mot et reelt misbruk, den stille loggføringen av permanente identifikatorer mens folk beveget seg gjennom byer. Det skapte også to myter som fortsatt former hvordan folk tenker om Wi-Fi-analyse: at randomisering gjorde sporing umulig, og at randomisering er det som beskytter besøkende mot tellesystemer. Begge er feil, på lærerike måter.
Hva randomisering faktisk gjør
En randomiserende mobil presenterer forskjellige MAC-adresser i forskjellige sammenhenger: én mens den søker, som regel en annen per nettverk den kobler seg til, roterende på tidsplaner som varierer etter produsent og operativsystem. Plattformdokumentasjon beskriver designmålet tydelig: adressen et nettverk ser, skal ikke være en stabil, universell identifikator som følger enheten overalt. Mot den grove sporeren randomisering var rettet mot, en adresselogger som matcher én permanent ID på tvers av lokasjoner, virker det.
Hva forskningen stadig finner
Mot mer målrettet analyse er bildet et annet, og sikkerhetslitteraturen har vært konsekvent om det. Studier av randomiseringsimplementeringer har vist praktiske måter å omgå den på, og analyser av probe request-trafikk viser at timing-, sekvens- og innholdsmønstrene i en enhets overføringer danner et fingeravtrykk som overlever adresseendringer. Senere arbeid som kombinerer tidsmessige og innholdsbaserte fingeravtrykk, rapporterer avrandomisering i grader som burde gjøre slutt på enhver illusjon om anonymitet-gjennom-adresse. Den ærlige konklusjonen: MAC-randomisering reduserte tilfeldig sporing, og en kapabel motstander med tilgang til rå signaler kan ofte omgå den.
Den konklusjonen betyr noe for hvordan du vurderer ethvert system som lytter til Wi-Fi-signaler, inkludert tellesystemer. Hvis en leverandørs personvernhistorie handler om at «adressene er randomisert uansett», hviler de din etterlevelse på telefonprodusentens ufullkomne forsvar i stedet for sitt eget design.
Personvern gjennom arkitektur, ikke gjennom adresse
Den riktige lærdommen er arkitektonisk. Et målesystem designet for personvern avhenger ikke av hva telefonen gjør, fordi det fjerner angrepsflaten på sin egen side: persondata slettes ugjenkallelig helt i starten av behandlingskjeden, aldri hashet og beholdt, aldri lagret, og bare anonym, aggregert statistikk gjenstår. Det finnes ingen adresselogg å avrandomisere, ingen arkiv av rå signaler å fingeravtrykke, ingenting å bryte seg inn i og ingenting å begjære utlevert. Dette er designet bak vår Wi-Fi-metode, den eneste metoden for besøksmåling i Europa som er godkjent av en datatilsynsmyndighet, og det er standarden DPIA-spørsmålene egentlig prober etter.
Og ja, det gjorde tellingen vanskeligere, ærlig talt
Det finnes en nøyaktighetsside ved denne historien. En teller som stoler på adresser, dobbelttéller hver randomiserende mobil, så seriøs måling oppdager randomiseringsmønstre, filtrerer bort spoofing og stillestående enheter, og kalibrerer den statistiske modellen mot manuelle kontrolltellinger. Det korrigeringslaget, ikke sensoren, er der kvaliteten på tellingen avgjøres. Randomisering tvang bransjen til å modnes to ganger: på personvern og på metode. Hvordan signalene blir til statistikk i utgangspunktet, er dekket i hva er et probe request, denne artikkelens naturlige følgesvenn.
Ofte stilte spørsmål
Hva er MAC-randomisering?
I stedet for å kringkaste sin permanente maskinvareadresse, presenterer en moderne mobil randomiserte MAC-adresser som endrer seg over tid og varierer per nettverk. Innført på tvers av store mobilplattformer det siste tiåret, ble det designet for å stoppe den groveste formen for Wi-Fi-sporing: å loggføre én permanent identifikator som dukker opp igjen.
Gjør MAC-randomisering Wi-Fi-sporing umulig?
Nei, og det er godt dokumentert. Akademisk arbeid har vist at enheter kan fingeravtrykkes til tross for randomisering, gjennom timing-, sekvens- og innholdsmønstre i overføringene deres, og selve plattformdokumentasjonen beskriver randomisering som vedvarer per nettverk i stedet for å endre seg konstant. Randomisering hevet terskelen; det bygde ikke en mur.
Hvis randomisering er ufullkommen, hva beskytter faktisk besøkende?
Arkitekturen til det mottakende systemet. Et system designet for personvern sletter persondata ugjenkallelig helt i starten av behandlingskjeden, aldri hashet og beholdt, aldri lagret, slik at bare anonym, aggregert statistikk gjenstår. Da spiller det ingen rolle hva en dyktig motstander i prinsippet kunne gjøre med rå signaler, fordi råmaterialet ikke finnes å angripe.
Hvordan påvirker randomisering nøyaktigheten i telling?
En naiv teller som stoler på adresser, teller den samme mobilen flere ganger. Seriøs måling oppdager og korrigerer for randomisering, spoofing, stillestående enheter og ansattmønstre, og kalibrerer deretter mot manuelle kontrolltellinger. Korrigeringslaget er der kvaliteten på tellingen avgjøres, og det er derfor metodemodenhet betyr mer enn sensorvalg.