O que é um probe request?
Os probe requests fazem funcionar a descoberta de redes Wi-Fi e levantam as questões de privacidade dos dispositivos a que a medição da afluência tem de responder.
Nesta página
O que é um probe request? É um sinal de rádio curto que um dispositivo Wi-Fi envia para perguntar que redes há por perto. Trata-se de uma trama de gestão, a camada de manutenção do protocolo Wi-Fi, e não transporta tráfego do utilizador, mensagens nem conteúdos. Nenhuma aplicação ou início de sessão o desencadeia, e os telemóveis enviam-nos quer se liguem a uma rede quer não.
Como funciona um probe request?
Um dispositivo envia um probe request e espera que os pontos de acesso próximos respondam com uma probe response. É a chamada procura ativa. A alternativa é escutar passivamente os beacons que os pontos de acesso difundem, e os telemóveis fazem as duas coisas porque a procura ativa é mais rápida.
Um probe pode ser dirigido, indicando uma rede concreta que o dispositivo procura, ou pode ser um probe de difusão, que pergunta por qualquer rede ao alcance. Os dispositivos enviam probes a intervalos que variam conforme o fabricante, o sistema operativo, o estado da bateria e o facto de o ecrã estar ou não ligado. Os dispositivos ligados também continuam a procurar, a um ritmo mais baixo, e é assim que o seu telemóvel passa para uma rede com melhor sinal sem que o peça.
O que mudaram os fabricantes de telemóveis nos probe requests?
Cada probe request inclui um endereço de origem, o endereço MAC do dispositivo. Antes, os dispositivos enviavam probes com o seu endereço de hardware real e permanente, que podia, em teoria, ser registado e reutilizado. Os dispositivos modernos enviam endereços MAC aleatórios, que mudam ao longo do tempo e são diferentes para cada rede. A randomização tornou mais difícil o registo simples, embora não impossível, e mudou a forma como a contagem funciona: um sistema que conte ingenuamente endereços únicos vai contar o mesmo telemóvel muitas vezes.
A qualidade de um sistema de medição da afluência depende da sua camada de filtragem e modelação, que tem de corrigir endereços aleatórios e falsificados, dispositivos estacionários e comportamentos semelhantes aos dos funcionários. Que dados obtém descreve como as contagens resultantes são validadas e entregues.
Porque é que os probe requests importam para a privacidade?
A descoberta de redes Wi-Fi depende dos probe requests, por isso a privacidade depende da forma como o sistema que os recebe trata os identificadores que transportam. Um identificador que possa ser associado a uma pessoa é um dado pessoal nos termos do RGPD, e é por isso que a análise de dados Wi-Fi merece escrutínio em qualquer processo de aquisição ou AIPD.
Numa conceção centrada na privacidade, os dados pessoais são eliminados de forma irreversível, nunca convertidos em hash e conservados, nunca guardados. O que resta são estatísticas anónimas e agregadas, sem perfis nem histórico, e sem caminho de volta a um dispositivo ou a uma pessoa. A página sobre análise de afluência em conformidade com o RGPD explica o que uma análise de conformidade de uma conceção destas avalia.
A Bumbee Labs é a empresa por trás do único método de contagem de pessoas da Europa aprovado por uma autoridade de proteção de dados.
Como se transformam os probe requests numa estatística de afluência?
A contagem de pessoas por Wi-Fi lê estes sinais com os pontos de acesso que o espaço já tem. Anonimiza logo no início do processamento, filtra o ruído e calibra o resultado com contagens manuais de controlo. O resultado mostra como um espaço físico é utilizado: quantas pessoas o visitaram, quanto tempo ficaram e como se deslocaram entre zonas, sem qualquer registo de dispositivos.
Fontes
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Fenske, E., Brown, D., Martin, J., Mayberry, T., Ryan, P., & Rye, E. (2021). Three years later: A study of MAC address randomization in mobile devices and when it succeeds. Proceedings on Privacy Enhancing Technologies, 2021(3), 164–181. https://doi.org/10.2478/popets-2021-0042
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- European Parliament and Council of the European Union (2016). Regulation (EU) 2016/679 (General Data Protection Regulation), Article 4(1) and Recital 30. https://eur-lex.europa.eu/eli/reg/2016/679/oj
Quer ver como seria no seu espaço?
Perguntas frequentes
Um probe request contém dados pessoais?
Um probe request é uma trama de gestão e não transporta tráfego do utilizador, como mensagens, navegação ou conteúdos. Inclui, no entanto, um endereço MAC, e como um identificador associado a um dispositivo pode ser um dado pessoal nos termos do RGPD, o que conta do ponto de vista jurídico é o que o sistema recetor faz com ele. Os sistemas concebidos para a privacidade eliminam a ligação a qualquer pessoa, de modo que só restam estatísticas anónimas e agregadas.
É possível seguir uma pessoa através de probe requests?
Os dados brutos de probe, sem tratamento, podem ser usados abusivamente dessa forma, e é por isso que as autoridades de controlo examinam com atenção a análise de dados Wi-Fi. A randomização de MAC torna mais difícil registar o endereço de um dispositivo, embora não impossível, pelo que a privacidade assenta na conceção do sistema que recebe os sinais. Um sistema de medição centrado na privacidade é construído de forma a que nenhuma pessoa possa alguma vez ser identificada: os dados pessoais são eliminados de forma irreversível, nunca convertidos em hash e conservados, nunca guardados, e só restam estatísticas anónimas e agregadas.
Os telemóveis enviam probe requests quando estão ligados a uma rede?
Sim, a maioria dos dispositivos continua a procurar redes mesmo quando está ligada, por exemplo para encontrar uma rede com melhor sinal, embora a frequência varie conforme o fabricante, o sistema operativo e o facto de o ecrã estar ou não ligado. O comportamento de probe não segue um horário fixo e muda com o tempo, por isso os sistemas de medição têm de ser calibrados em função dele.
A contagem de pessoas baseada em probe requests está em conformidade com o RGPD?
Depende inteiramente da conceção do sistema, e é por isso que a pergunta deve constar de qualquer processo de aquisição. O método Wi-Fi da Bumbee Labs foi analisado e aprovado por uma autoridade europeia de proteção de dados, e a nossa página sobre o RGPD explica o que essa aprovação significa numa análise de conformidade.