Randomização de endereço MAC: o que ela resolveu e o que nunca poderia resolver
A randomização mudou o que os sinais Wi-Fi revelam sobre um celular e também o que um sistema de contagem precisa corrigir.
Nesta página
A randomização de endereço MAC faz o celular apresentar endereços randomizados, que mudam com o tempo e de uma rede para outra, no lugar do seu endereço de hardware permanente. Ela reduziu o rastreamento casual, mas um adversário capaz, com acesso aos sinais brutos, muitas vezes consegue contorná-la. Por isso a privacidade na contagem de pessoas depende da arquitetura do sistema que recebe os sinais.
O que a randomização de MAC muda no celular?
Há cerca de uma década, os fabricantes de celulares começaram a randomizar o endereço MAC, o identificador de hardware permanente que o celular transmitia em cada comunicação Wi-Fi. Foi um avanço real de privacidade, contra um abuso que já acontecia: o registro silencioso de identificadores permanentes enquanto as pessoas circulavam pelas cidades. Um celular com randomização mostra um endereço quando procura redes e, em geral, outro para cada rede em que entra, e a frequência com que o endereço muda depende do fabricante e do sistema operacional. A documentação das plataformas diz o objetivo com todas as letras: o endereço que uma rede vê não deve ser um identificador estável e universal que acompanha o aparelho por toda parte. A randomização funciona contra o rastreador rudimentar que tinha como alvo: um registrador de endereços que cruza um único ID permanente entre locais.
O que a pesquisa diz sobre contornar a randomização?
Uma análise mais determinada é outra história, e a literatura de segurança é unânime nesse ponto. Estudos sobre as implementações de randomização demonstraram formas práticas de derrotá-la, e análises do tráfego de probe requests mostram que os padrões de tempo, sequência e conteúdo das transmissões de um aparelho formam uma impressão digital que sobrevive à troca de endereço. Trabalhos posteriores, que combinam impressões digitais temporais e de conteúdo, relatam taxas de desrandomização que tornam o anonimato baseado no endereço uma premissa insegura.
Leve isso em conta ao avaliar qualquer sistema que capte sinais Wi-Fi, inclusive os sistemas de contagem. Um fornecedor cuja explicação sobre privacidade se resume a “os endereços já são randomizados” não colocou nenhum projeto próprio por trás disso e deixa a sua conformidade apoiada na defesa imperfeita do fabricante do celular.
O que garante a privacidade de um sistema de contagem?
Um sistema de medição projetado para a privacidade não depende do que o celular faz, porque a proteção fica do lado dele. Os dados pessoais são excluídos de forma irreversível no início do processamento (sem guardá-los em forma de hash e sem armazená-los), e só ficam estatísticas anônimas e agregadas. Não sobra registro de endereços para desrandomizar nem arquivo de sinais brutos para identificar por impressão digital, e portanto nada que possa vazar ou ser requisitado pela Justiça.
O nosso método por Wi-Fi é construído assim, e as perguntas do RIPD que um encarregado (DPO) faz procuram justamente esse tipo de projeto.
A Bumbee Labs é a empresa por trás do único método de contagem de pessoas da Europa aprovado por uma autoridade de proteção de dados.
Por que a randomização de MAC dificultou a contagem?
Um contador que confia nos endereços conta o mesmo celular mais de uma vez. Por isso, uma medição séria detecta os padrões de randomização, filtra spoofing e aparelhos parados e calibra o modelo estatístico com contagens manuais de controle. É essa camada de correção que decide a qualidade de uma contagem. Em todo o setor, a randomização obrigou os fornecedores a melhorar tanto os métodos de contagem quanto as práticas de privacidade. O artigo complementar, o que é um probe request, explica como os sinais viram estatísticas.
Fontes
- Apple (2014). iOS Security (white paper, outubro de 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, artigo 109393. https://doi.org/10.1016/j.comnet.2022.109393
Quer ver como isso funcionaria no seu espaço?
Perguntas frequentes
O que é a randomização de endereço MAC?
Em vez de transmitir o seu endereço de hardware permanente, um celular moderno mostra um endereço MAC randomizado, que muda com o tempo e é diferente em cada rede. As principais plataformas móveis adotaram a randomização ao longo da última década para impedir a forma mais rudimentar de rastreamento por Wi-Fi: registrar um identificador permanente toda vez que ele reaparece.
A randomização de MAC torna o rastreamento por Wi-Fi impossível?
Não, e isso está bem documentado. Trabalhos acadêmicos mostraram que é possível criar uma impressão digital dos aparelhos apesar da randomização, a partir de padrões de tempo, de sequência e de conteúdo nas suas transmissões. A própria documentação das plataformas descreve uma randomização que se mantém por rede e não muda o tempo todo. A randomização dificultou o rastreamento, mas não o tornou impossível.
Se a randomização de MAC é imperfeita, o que protege os visitantes?
A arquitetura do sistema que recebe os sinais. Um sistema projetado para a privacidade exclui os dados pessoais de forma irreversível logo no início do processamento, sem guardá-los em forma de hash e sem armazená-los, e só ficam estatísticas anônimas e agregadas. Nenhum dado bruto de sinal é guardado, então o que um adversário habilidoso poderia em tese fazer com sinais brutos não tem sobre o que agir.
Como a randomização de MAC afeta a precisão da contagem?
Um contador ingênuo, que confia nos endereços, conta o mesmo celular mais de uma vez. Uma medição séria detecta e corrige spoofing, aparelhos parados, padrões dos funcionários e a própria randomização, e depois calibra o resultado com contagens manuais de controle. A qualidade da contagem se decide nessa camada de correção, então a maturidade do método pesa mais do que a escolha do sensor.