Randomizacja MAC: co naprawiła, a czego nigdy nie mogła
Producenci telefonów zrandomizowali adresy Wi-Fi, by powstrzymać przypadkowe śledzenie, i to zadziałało. Ale badania wciąż pokazują, że samą randomizację da się obejść, dlatego prywatność systemu zliczającego zależy od jego architektury, nie od adresów, które widzi.
Około dekady temu producenci telefonów zmienili jedno z najcichszych domyślnych ustawień w informatyce: adres MAC, stały identyfikator sprzętowy, który telefon rozgłaszał z każdą transmisją Wi-Fi, stał się zrandomizowany. Była to prawdziwa poprawa prywatności, wymierzona w realne nadużycie, ciche rejestrowanie stałych identyfikatorów, gdy ludzie przemieszczali się przez miasta. Stworzyła też dwa mity, które wciąż kształtują sposób myślenia o analityce Wi-Fi: że randomizacja uczyniła śledzenie niemożliwym oraz że randomizacja jest tym, co chroni odwiedzających przed systemami zliczającymi. Oba są błędne, w pouczający sposób.
Co randomizacja faktycznie robi
Randomizujący telefon prezentuje różne adresy MAC w różnych kontekstach: jeden podczas skanowania, zwykle inny dla każdej sieci, do której dołącza, rotując według harmonogramów, które różnią się w zależności od producenta i systemu operacyjnego. Dokumentacja platform opisuje cel projektowy wprost: adres, który widzi sieć, nie powinien być stabilnym, uniwersalnym identyfikatorem podążającym za urządzeniem wszędzie. Wobec prostackiego trackera, w który celowała randomizacja, rejestratora adresów dopasowującego jeden stały identyfikator w wielu lokalizacjach, działa.
Co wciąż odkrywają badania
Wobec bardziej zdeterminowanej analizy obraz jest inny, a literatura z zakresu bezpieczeństwa jest w tej sprawie konsekwentna. Badania implementacji randomizacji wykazały praktyczne sposoby jej pokonania, a analizy ruchu probe request pokazują, że wzorce czasowe, sekwencyjne i treściowe transmisji urządzenia tworzą odcisk palca, który przetrwa zmiany adresu. Późniejsze prace, łączące odciski czasowe i treściowe, raportują wskaźniki derandomizacji, które powinny zakończyć wszelkie złudzenia o anonimowości opartej na adresie. Uczciwy wniosek: randomizacja MAC ograniczyła przypadkowe śledzenie, a zdolny przeciwnik z dostępem do surowego sygnału często potrafi ją obejść.
Ten wniosek ma znaczenie dla tego, jak oceniasz każdy system, który nasłuchuje sygnałów Wi-Fi, w tym systemy zliczające. Jeśli argument prywatności dostawcy sprowadza się do “adresy są i tak zrandomizowane”, opiera Twoją zgodność na niedoskonałej obronie producenta telefonu, a nie na własnej konstrukcji.
Prywatność przez architekturę, nie przez adres
Właściwa lekcja jest architektoniczna. System pomiarowy zaprojektowany z myślą o prywatności nie zależy od tego, co robi telefon, ponieważ usuwa powierzchnię ataku po swojej własnej stronie: dane osobowe są nieodwracalnie usuwane na samym początku procesu, nigdy nie są haszowane i zachowywane, nigdy nie są przechowywane, a pozostają wyłącznie anonimowe, zagregowane statystyki. Nie ma dziennika adresów do derandomizacji, nie ma archiwum surowego sygnału do tworzenia odcisku palca, nic do naruszenia i nic do zażądania nakazem. To konstrukcja stojąca za naszą metodą Wi-Fi, jedyną metodą pomiaru ruchu pieszego w Europie zatwierdzoną przez organ ochrony danych, i to standard, którego naprawdę sprawdzają pytania DPIA.
I tak, uczciwie, utrudniła zliczanie
Ta historia ma też stronę dokładnościową. Licznik, który ufa adresom, podwójnie liczy każdy randomizujący telefon, więc poważny pomiar wykrywa wzorce randomizacji, filtruje spoofing i urządzenia stacjonarne oraz kalibruje model statystyczny względem ręcznych pomiarów kontrolnych. Ta warstwa korekcji, nie sensor, decyduje o jakości zliczania. Randomizacja zmusiła branżę do dorośnięcia dwukrotnie: w kwestii prywatności i w kwestii metody. To, jak sygnały stają się statystykami, opisuje co to jest probe request, naturalny towarzysz tego artykułu.
Często zadawane pytania
Czym jest randomizacja MAC?
Zamiast rozgłaszać swój stały adres sprzętowy, nowoczesny telefon prezentuje zrandomizowane adresy MAC, które zmieniają się w czasie i różnią się dla każdej sieci. Wprowadzona na głównych platformach mobilnych w ciągu ostatniej dekady, miała powstrzymać najgrubszą formę śledzenia Wi-Fi: rejestrowanie jednego stałego identyfikatora, gdy pojawia się on ponownie.
Czy randomizacja MAC czyni śledzenie Wi-Fi niemożliwym?
Nie, i jest to dobrze udokumentowane. Prace akademickie pokazały, że urządzenia można odróżnić mimo randomizacji, dzięki wzorcom czasowym, sekwencyjnym i treściowym w ich transmisjach, a sama dokumentacja platform opisuje randomizację, która utrzymuje się per sieć, zamiast zmieniać się bez przerwy. Randomizacja podniosła poprzeczkę; nie zbudowała muru.
Jeśli randomizacja jest niedoskonała, co naprawdę chroni odwiedzających?
Architektura odbierającego systemu. System zaprojektowany z myślą o prywatności usuwa dane osobowe nieodwracalnie na samym początku swojego procesu, nigdy nie haszuje ich i nie zachowuje, nigdy nie przechowuje, pozostawiając wyłącznie anonimowe, zagregowane statystyki. Wtedy nie ma znaczenia, co teoretycznie mógłby zrobić sprytny przeciwnik z surowymi sygnałami, bo surowy materiał nie istnieje, by go zaatakować.
Jak randomizacja wpływa na dokładność zliczania?
Naiwny licznik, który ufa adresom, liczy ten sam telefon kilka razy. Poważny pomiar wykrywa i koryguje randomizację, spoofing, urządzenia stacjonarne i wzorce podobne do personelu, a następnie kalibruje się względem ręcznych pomiarów kontrolnych. To warstwa korekcji, nie wybór czujnika, decyduje o jakości zliczania, dlatego dojrzałość metody liczy się bardziej niż wybór sensora.