MAC-randomisering: hva det løste, og hva det aldri kunne
Randomiseringen endret både hva Wi-Fi-signalene avslører om en telefon, og hva et tellesystem må korrigere for.
På denne siden
MAC-randomisering betyr at en mobil viser randomiserte adresser i stedet for sin permanente maskinvareadresse, og adressene endrer seg over tid og fra nettverk til nettverk. Randomiseringen reduserte enkel sporing, men en dyktig angriper med tilgang til rå signaler kan ofte omgå den. Personvernet hviler derfor på arkitekturen i systemet som tar imot signalene.
Hva endrer MAC-randomisering på en telefon?
For rundt et tiår siden begynte telefonprodusentene å randomisere MAC-adressen, den permanente maskinvareidentifikatoren en mobil sendte ut med hver Wi-Fi-overføring. Det var en reell forbedring av personvernet, rettet mot et misbruk som allerede foregikk: at permanente identifikatorer ble logget i det stille mens folk beveget seg gjennom byer. En mobil med randomisering viser én adresse når den søker etter nettverk, og som regel en annen for hvert nettverk den kobler seg til. Hvor ofte adressen byttes, avhenger av produsent og operativsystem. Plattformdokumentasjonen beskriver målet tydelig: adressen et nettverk ser, skal ikke være en stabil, universell identifikator som følger enheten overalt. Randomiseringen virker mot den grove sporeren den var laget for: en adresselogger som kjenner igjen én permanent ID på tvers av steder.
Hva sier forskningen om å omgå randomiseringen?
Mot mer målrettet analyse ser det annerledes ut, og sikkerhetslitteraturen er samstemt på dette punktet. Studier av hvordan randomiseringen er implementert, har påvist praktiske måter å omgå den på, og analyser av probe request-trafikk viser at timing-, sekvens- og innholdsmønstrene i en enhets overføringer danner et fingeravtrykk som overlever adressebytter. Senere arbeid som kombinerer tidsbaserte og innholdsbaserte fingeravtrykk, rapporterer avrandomisering i et omfang som gjør adressebasert anonymitet til en usikker forutsetning.
Ha dette i bakhodet når du vurderer et system som fanger opp Wi-Fi-signaler, også tellesystemer. En leverandør som begrunner personvernet med at «adressene er randomisert uansett», har ikke lagt noe eget design bak det og lar etterlevelsen din hvile på telefonprodusentens ufullkomne forsvar.
Hva gir et tellesystem personvernet sitt?
Et målesystem som er bygd for personvern, er ikke avhengig av hva telefonen gjør, fordi beskyttelsen ligger på systemets egen side. Persondata slettes ugjenkallelig i starten av behandlingskjeden (de blir aldri hashet og beholdt, aldri lagret), og bare anonym, aggregert statistikk blir igjen. Da finnes det ingen adresselogg å avrandomisere og ikke noe arkiv av rå signaler å ta fingeravtrykk av, og dermed ingenting å bryte seg inn i og ingenting å kreve utlevert.
Vår Wi-Fi-metode er bygd på denne måten, og DPIA-spørsmålene fra et personvernombud ser etter nettopp denne typen design.
Bumbee Labs er selskapet bak den eneste metoden for besøksmåling i Europa som er godkjent av en datatilsynsmyndighet.
Hvorfor gjorde MAC-randomisering tellingen vanskeligere?
En teller som stoler på adresser, teller den samme mobilen mer enn én gang, så seriøs måling oppdager randomiseringsmønstre, filtrerer bort spoofing og stillestående enheter og kalibrerer den statistiske modellen mot manuelle kontrolltellinger. Det er korrigeringslaget som avgjør kvaliteten på en telling. I hele bransjen har randomiseringen fått leverandørene til å forbedre både tellemetodene og personvernarbeidet sitt. Artikkelen hva er et probe request hører sammen med denne og forklarer hvordan signalene i det hele tatt blir til statistikk.
Kilder
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Nysgjerrig på hvordan dette ser ut for ditt sted?
Ofte stilte spørsmål
Hva er MAC-randomisering?
I stedet for sin permanente maskinvareadresse sender en moderne mobil ut randomiserte MAC-adresser som endrer seg over tid og varierer fra nettverk til nettverk. Randomiseringen ble innført på de store mobilplattformene i løpet av det siste tiåret og skulle stoppe den groveste formen for Wi-Fi-sporing: å logge én permanent identifikator hver gang den dukker opp igjen.
Gjør MAC-randomisering Wi-Fi-sporing umulig?
Nei, og det er godt dokumentert. Akademisk arbeid har vist at det går an å ta fingeravtrykk av enheter til tross for randomisering, ut fra timing-, sekvens- og innholdsmønstre i overføringene deres. Plattformdokumentasjonen beskriver selv randomisering som er fast per nettverk og ikke endrer seg hele tiden. Randomisering gjorde sporing vanskeligere uten å gjøre den umulig.
Hvis MAC-randomisering er ufullkommen, hva beskytter besøkende?
Arkitekturen i systemet som tar imot signalene. Et system som er bygd for personvern, sletter persondata ugjenkallelig i starten av behandlingskjeden (de blir aldri hashet og beholdt, aldri lagret), slik at bare anonym, aggregert statistikk blir igjen. Ingen rå signaldata blir lagret, så en dyktig angriper har ingenting å arbeide med, uansett hva vedkommende i prinsippet kunne gjort med rå signaler.
Hvordan påvirker MAC-randomisering nøyaktigheten i tellingen?
En naiv teller som stoler på adresser, teller den samme mobilen mer enn én gang. Seriøs måling oppdager og korrigerer for spoofing, stillestående enheter, mønstre fra ansatte og selve randomiseringen, og kalibrerer deretter mot manuelle kontrolltellinger. Kvaliteten på tellingen avgjøres i dette korrigeringslaget, og derfor betyr metodens modenhet mer enn valget av sensor.