MAC-randomisering: vad det löste, och vad det aldrig kunde
Telefontillverkare randomiserade Wi-Fi-adresser för att stoppa slentrianmässig spårning, och det fungerade. Men forskning visar gång på gång att randomisering ensam går att kringgå, vilket är varför ett räkningssystems integritet vilar på dess arkitektur, inte på adresserna det ser.
För ungefär ett decennium sedan ändrade telefontillverkare en av de tystaste standardinställningarna inom datorteknik: MAC-adressen, den permanenta hårdvaruidentifierare en telefon sände med varje Wi-Fi-överföring, blev randomiserad. Det var en genuin integritetsförbättring, riktad mot ett verkligt missbruk, den tysta loggningen av permanenta identifierare medan människor rörde sig genom städer. Det skapade också två myter som fortfarande formar hur folk tänker om Wi-Fi-analys: att randomisering gjorde spårning omöjlig, och att randomisering är det som skyddar besökare från räkningssystem. Båda är fel, på lärorika sätt.
Vad randomisering faktiskt gör
En randomiserande telefon presenterar olika MAC-adresser i olika sammanhang: en medan den söker, vanligtvis en annan per nätverk den ansluter till, roterande enligt scheman som varierar mellan tillverkare och operativsystem. Plattformarnas dokumentation beskriver designmålet rakt av: adressen ett nätverk ser ska inte vara en stabil, universell identifierare som följer enheten överallt. Mot den grova spåraren som randomiseringen siktade in sig på, en adressloggare som matchar ett permanent ID över platser, fungerar det.
Vad forskningen fortsätter att hitta
Mot mer beslutsam analys ser bilden annorlunda ut, och säkerhetslitteraturen har varit konsekvent om det. Studier av randomiseringsimplementationer har visat praktiska sätt att kringgå den, och analyser av probe request-trafik visar att timing-, sekvens- och innehållsmönstren i en enhets sändningar bildar ett fingeravtryck som överlever adressbyten. Senare arbete som kombinerar temporala och innehållsbaserade fingeravtryck rapporterar avrandomisering i grader som borde göra slut på varje illusion av anonymitet-genom-adress. Den ärliga slutsatsen: MAC-randomisering minskade slentrianmässig spårning, och en kapabel motståndare med tillgång till råa signaler kan ofta kringgå den.
Den slutsatsen spelar roll för hur ni utvärderar vilket system som helst som lyssnar på Wi-Fi-signaler, inklusive räkningssystem. Om en leverantörs integritetsargument går ut på “adresserna är ju randomiserade ändå”, vilar er regelefterlevnad på telefontillverkarens ofullständiga försvar snarare än på leverantörens egen design.
Integritet genom arkitektur, inte genom adress
Den rätta lärdomen är arkitektonisk. Ett mätsystem byggt för integritet beror inte på vad telefonen gör, för det tar bort attackytan på sin egen sida: persondata raderas oåterkalleligt, hashas aldrig och sparas, lagras aldrig, och kvar blir bara anonym, aggregerad statistik. Det finns ingen adresslogg att avrandomisera, inget råsignalarkiv att fingeravtrycksidentifiera, inget att bryta sig in i och inget att stämma fram. Det är designen bakom vår Wi-Fi-metod, den enda metoden för besöksmätning i Europa som är godkänd av en dataskyddsmyndighet, och det är den standard som DPIA-frågorna egentligen sonderar efter.
Och ja, det gjorde räkning svårare, ärligt talat
Det finns en noggrannhetssida av den här historien. En räknare som litar på adresser dubbelräknar varje randomiserande telefon, så seriös mätning upptäcker randomiseringsmönster, filtrerar bort spoofing och stillastående enheter, och kalibrerar den statistiska modellen mot manuella kontrollräkningar. Det korrigeringslagret, inte sensorn, är där räkningens kvalitet avgörs. Randomiseringen tvingade branschen att mogna på två fronter samtidigt: integritet och metod. Hur signalerna blir statistik i första hand täcks i vad är en probe request, den här artikelns naturliga följeslagare.
Vanliga frågor
Vad är MAC-randomisering?
I stället för att sända ut sin permanenta hårdvaruadress presenterar en modern telefon randomiserade MAC-adresser som ändras över tid och skiljer sig per nätverk. Infört på stora mobilplattformar under det senaste decenniet var det tänkt att stoppa den grövsta formen av Wi-Fi-spårning: att logga en permanent identifierare varje gång den dyker upp igen.
Gör MAC-randomisering Wi-Fi-spårning omöjlig?
Nej, och det är väl dokumenterat. Akademisk forskning har visat att enheter kan fingeravtrycksidentifieras trots randomisering, genom timing-, sekvens- och innehållsmönster i deras sändningar, och plattformarnas egen dokumentation beskriver randomisering som består per nätverk snarare än ändras konstant. Randomisering höjde ribban, den byggde inte en mur.
Om randomiseringen är ofullständig, vad skyddar då besökarna på riktigt?
Arkitekturen hos det mottagande systemet. Ett system byggt för integritet raderar persondata oåterkalleligt vid pipelinens start, hashas aldrig och sparas, lagras aldrig, och kvar blir bara anonym, aggregerad statistik. Då spelar det ingen roll vad en påhittig motståndare i teorin skulle kunna göra med råa signaler, eftersom råmaterialet inte finns att attackera.
Hur påverkar randomisering räkningens noggrannhet?
En naiv räknare som litar på adresser räknar samma telefon flera gånger. Seriös mätning upptäcker och korrigerar för randomisering, spoofing, stillastående enheter och personalmönster, och kalibrerar sedan mot manuella kontrollräkningar. Korrigeringslagret är där räkningens kvalitet avgörs, vilket är varför metodens mognad väger tyngre än sensorvalet.