Randomização de MAC: o que resolveu e o que nunca poderia resolver
A randomização mudou o que os sinais Wi-Fi revelam sobre um telemóvel e também aquilo que um sistema de contagem tem de corrigir.
Nesta página
Com a randomização de MAC, um telemóvel apresenta endereços aleatórios, que mudam ao longo do tempo e de uma rede para outra, em vez do seu endereço de hardware permanente. Isso reduziu o rastreamento ocasional, mas um adversário capaz, com acesso aos sinais brutos, consegue muitas vezes contorná-la. Na contagem de pessoas, a privacidade assenta por isso na arquitetura do sistema que recebe os sinais.
O que muda a randomização de MAC num telemóvel?
Há cerca de uma década, os fabricantes de telemóveis começaram a tornar aleatório o endereço MAC, o identificador de hardware permanente que um telemóvel difundia em cada transmissão Wi-Fi. Foi uma melhoria real da privacidade, dirigida a um abuso que já acontecia: o registo silencioso de identificadores permanentes enquanto as pessoas circulavam pelas cidades. Um telemóvel com randomização apresenta um endereço quando procura redes e, normalmente, outro para cada rede a que se liga, e a frequência com que o endereço muda depende do fabricante e do sistema operativo. A documentação das plataformas diz claramente qual é o objetivo: o endereço que uma rede vê não deve ser um identificador estável e universal que acompanha o dispositivo para todo o lado. A randomização funciona de facto contra o rastreador rudimentar a que se dirigia: um registador de endereços que associa um identificador permanente em vários locais.
O que diz a investigação sobre contornar a randomização?
Uma análise mais determinada é outra história, e a literatura de segurança é coerente neste ponto. Estudos sobre implementações de randomização demonstraram formas práticas de a derrotar, e as análises do tráfego de probe requests mostram que os padrões de tempo, de sequência e de conteúdo das transmissões de um dispositivo formam uma impressão digital que sobrevive às mudanças de endereço. Trabalhos posteriores, que combinam impressões digitais temporais e de conteúdo, relatam taxas de desrandomização que tornam o anonimato baseado no endereço um pressuposto inseguro.
Tenha isto em conta quando avaliar qualquer sistema que capte sinais Wi-Fi, incluindo os sistemas de contagem. Um fornecedor cuja explicação sobre privacidade se resume a «os endereços são aleatórios de qualquer forma» não pôs nenhuma conceção própria por trás disso e deixa a sua conformidade dependente da defesa imperfeita do fabricante do telemóvel.
O que dá privacidade a um sistema de contagem?
Um sistema de medição concebido para a privacidade não depende do que o telemóvel faz, porque a sua proteção está do seu próprio lado. Os dados pessoais são eliminados de forma irreversível logo no início do processamento (nunca convertidos em hash e conservados, nunca guardados), e só restam estatísticas anónimas e agregadas. Assim, não fica nenhum registo de endereços para desrandomizar nem nenhum arquivo de sinais brutos de onde extrair impressões digitais, e portanto nada que possa ser violado ou exigido judicialmente.
O nosso método Wi-Fi foi construído assim, e as perguntas de uma AIPD que um encarregado de proteção de dados faz procuram precisamente este tipo de conceção.
A Bumbee Labs é a empresa por trás do único método de contagem de pessoas da Europa aprovado por uma autoridade de proteção de dados.
Porque é que a randomização de MAC tornou a contagem mais difícil?
Um contador que confia nos endereços conta o mesmo telemóvel mais do que uma vez, por isso uma medição séria deteta os padrões de randomização, filtra a falsificação de endereços e os dispositivos estacionários e calibra o modelo estatístico com contagens manuais de controlo. É essa camada de correção que decide a qualidade de uma contagem. Em todo o setor, a randomização levou os fornecedores a melhorar tanto os seus métodos de contagem como as suas práticas de privacidade. O artigo complementar, o que é um probe request, explica como os sinais se transformam em estatísticas.
Fontes
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Quer ver como seria no seu espaço?
Perguntas frequentes
O que é a randomização de MAC?
Em vez de difundir o seu endereço de hardware permanente, um telemóvel moderno apresenta um endereço MAC aleatório, que muda ao longo do tempo e é diferente em cada rede. As principais plataformas móveis introduziram a randomização ao longo da última década para travar a forma mais grosseira de rastreamento por Wi-Fi: registar um identificador permanente sempre que ele reaparece.
A randomização de MAC torna impossível o rastreamento por Wi-Fi?
Não, e isso está bem documentado. Trabalhos académicos mostraram que é possível criar impressões digitais dos dispositivos apesar da randomização, a partir de padrões de tempo, de sequência e de conteúdo nas suas transmissões. A própria documentação das plataformas descreve uma randomização que se mantém por rede e não muda constantemente. A randomização tornou o rastreamento mais difícil, mas não impossível.
Se a randomização de MAC é imperfeita, o que protege os visitantes?
A arquitetura do sistema que recebe os sinais. Um sistema concebido para a privacidade elimina os dados pessoais de forma irreversível logo no início do seu processamento, sem nunca os converter em hash e conservar, sem nunca os guardar, pelo que só restam estatísticas anónimas e agregadas. Não se conservam dados brutos de sinal, por isso aquilo que um adversário engenhoso poderia, em teoria, fazer com sinais brutos fica sem matéria-prima.
Como afeta a randomização de MAC a precisão da contagem?
Um contador ingénuo que confia nos endereços conta o mesmo telemóvel mais do que uma vez. Uma medição séria deteta e corrige a falsificação de endereços, os dispositivos estacionários, os padrões dos funcionários e a própria randomização, e depois calibra-se com contagens manuais de controlo. A qualidade da contagem decide-se nessa camada de correção, pelo que a maturidade do método conta mais do que a escolha do sensor.