Randomizacja MAC: co naprawiła, a czego nigdy nie mogła
Randomizacja zmieniła zarówno to, co sygnały Wi-Fi zdradzają o telefonie, jak i to, co system zliczający musi korygować.
Na tej stronie
Randomizacja MAC sprawia, że telefon zamiast swojego stałego adresu sprzętowego prezentuje zrandomizowane adresy, zmienne w czasie i inne w każdej kolejnej sieci. Ograniczyła przypadkowe śledzenie, ale zdolny przeciwnik z dostępem do surowego sygnału często potrafi ją obejść. Dlatego o prywatności decyduje architektura systemu, który odbiera sygnały.
Co randomizacja MAC zmienia w telefonie?
Około dekady temu producenci telefonów zaczęli randomizować adres MAC, czyli stały identyfikator sprzętowy, który telefon rozgłaszał przy każdej transmisji Wi-Fi. Była to prawdziwa poprawa prywatności, wymierzona w nadużycie, do którego już dochodziło: ciche rejestrowanie stałych identyfikatorów ludzi przemieszczających się po miastach. Telefon z randomizacją pokazuje jeden adres podczas skanowania i zwykle inny dla każdej sieci, do której dołącza, a to, jak często adres się zmienia, zależy od producenta i systemu operacyjnego. Dokumentacja platform opisuje cel wprost: adres, który widzi sieć, nie powinien być stabilnym, uniwersalnym identyfikatorem podążającym za urządzeniem wszędzie. Randomizacja działa wobec prymitywnego narzędzia śledzącego, w które celowała, czyli rejestratora adresów dopasowującego jeden stały identyfikator w wielu lokalizacjach.
Co mówią badania o obchodzeniu randomizacji?
Przy bardziej zdeterminowanej analizie sytuacja wygląda inaczej, a literatura o bezpieczeństwie jest w tej sprawie zgodna. Badania implementacji randomizacji wykazały praktyczne sposoby jej pokonania, a analizy ruchu probe request pokazują, że wzorce czasowe, sekwencyjne i treściowe transmisji urządzenia tworzą odcisk palca, który przetrwa zmiany adresu. Późniejsze prace, łączące odciski czasowe i treściowe, podają wskaźniki derandomizacji, przy których nie można bezpiecznie zakładać anonimowości opartej na adresie.
Pamiętaj o tym, gdy oceniasz jakikolwiek system, który odbiera sygnały Wi-Fi, także systemy zliczające. Dostawca, którego argument w sprawie prywatności sprowadza się do “adresy i tak są zrandomizowane”, nie oparł go na żadnej własnej konstrukcji i uzależnia Twoją zgodność od niedoskonałej ochrony po stronie producenta telefonu.
Co zapewnia prywatność w systemie zliczającym?
System pomiarowy zaprojektowany z myślą o prywatności nie zależy od tego, co robi telefon, bo ochrona leży po stronie samego systemu. Dane osobowe są nieodwracalnie usuwane na samym początku przetwarzania (nigdy nie są haszowane i zachowywane, nigdy nie są przechowywane) i zostają wyłącznie anonimowe, zagregowane statystyki. Nie ma więc dziennika adresów do derandomizacji ani archiwum surowych sygnałów, z którego dałoby się tworzyć odciski palca, a zatem nie ma danych, które mogłyby wyciec, ani czego żądać nakazem.
Nasza metoda Wi-Fi jest zbudowana w ten sposób i właśnie takiej konstrukcji szukają pytania DPIA, które zadaje inspektor ochrony danych.
Bumbee Labs to firma stojąca za jedyną metodą pomiaru ruchu pieszego w Europie zatwierdzoną przez organ ochrony danych.
Dlaczego randomizacja MAC utrudniła zliczanie?
Licznik, który ufa adresom, liczy ten sam telefon więcej niż raz, więc poważny pomiar wykrywa wzorce randomizacji, filtruje spoofing i urządzenia stacjonarne oraz kalibruje model statystyczny względem ręcznych pomiarów kontrolnych. Jakość zliczania zależy właśnie od tej warstwy korekcji. W całej branży randomizacja skłoniła dostawców do ulepszenia zarówno metod zliczania, jak i praktyk ochrony prywatności. Artykuł co to jest probe request, który uzupełnia ten tekst, wyjaśnia, jak sygnały w ogóle stają się statystykami.
Źródła
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Ciekawi Cię, jak to wygląda dla Twojego obiektu?
Często zadawane pytania
Czym jest randomizacja MAC?
Zamiast rozgłaszać swój stały adres sprzętowy, nowoczesny telefon pokazuje zrandomizowany adres MAC, który z czasem się zmienia i w każdej sieci jest inny. Główne platformy mobilne wprowadziły randomizację w ciągu ostatniej dekady, by powstrzymać najprymitywniejszą formę śledzenia Wi-Fi: rejestrowanie jednego stałego identyfikatora za każdym razem, gdy pojawia się ponownie.
Czy randomizacja MAC czyni śledzenie Wi-Fi niemożliwym?
Nie, i jest to dobrze udokumentowane. Prace akademickie pokazały, że mimo randomizacji urządzenia można rozpoznać po odcisku palca, który tworzą wzorce czasowe, sekwencyjne i treściowe w ich transmisjach. Sama dokumentacja platform opisuje randomizację, w której adres pozostaje stały dla danej sieci i nie zmienia się bez przerwy. Randomizacja utrudniła śledzenie, ale go nie uniemożliwiła.
Jeśli randomizacja MAC jest niedoskonała, co chroni odwiedzających?
Architektura systemu, który odbiera sygnały. System zaprojektowany z myślą o prywatności nieodwracalnie usuwa dane osobowe na samym początku przetwarzania (nigdy ich nie haszuje i nie zachowuje, nigdy nie przechowuje) i zostawia wyłącznie anonimowe, zagregowane statystyki. Surowe dane sygnałowe nie są przechowywane, więc nawet sprytny przeciwnik, który teoretycznie umiałby coś z nimi zrobić, nie ma z czym pracować.
Jak randomizacja MAC wpływa na dokładność zliczania?
Naiwny licznik, który ufa adresom, liczy ten sam telefon więcej niż raz. Poważny pomiar wykrywa i koryguje spoofing, urządzenia stacjonarne, wzorce ruchu personelu i samą randomizację, a następnie kalibruje wyniki względem ręcznych pomiarów kontrolnych. O jakości zliczania decyduje ta warstwa korekcji, dlatego dojrzałość metody liczy się bardziej niż wybór czujnika.