MAC-randomisering: vad den löste och vad den aldrig kunde lösa
Randomiseringen ändrade både vad Wi-Fi-signalerna avslöjar om en telefon och vad ett system för besöksräkning måste korrigera för.
På den här sidan
MAC-randomisering innebär att en telefon visar randomiserade adresser i stället för sin permanenta hårdvaruadress, och adresserna ändras över tid och skiljer sig mellan nätverk. Randomiseringen minskade den slentrianmässiga spårningen, men en kunnig angripare med tillgång till råa signaler kan ofta kringgå den. Integriteten vilar därför på det mottagande systemets arkitektur.
Vad ändrar MAC-randomisering i en telefon?
För ungefär ett decennium sedan började telefontillverkarna randomisera MAC-adressen, den permanenta hårdvaruidentifierare som en telefon skickade med i varje Wi-Fi-sändning. Det var en verklig integritetsförbättring, riktad mot ett missbruk som redan pågick: att permanenta identifierare loggades i det tysta medan människor rörde sig genom städer. En telefon som randomiserar visar en adress när den söker efter nätverk och oftast en annan för varje nätverk den ansluter till, och hur ofta adressen byts beror på tillverkare och operativsystem. Plattformarnas dokumentation beskriver målet rakt på sak: adressen som ett nätverk ser ska inte vara en stabil, universell identifierare som följer enheten överallt. Mot den grova spåraren den var riktad mot, en adressloggare som matchar ett permanent ID mellan olika platser, fungerar randomiseringen.
Vad säger forskningen om att kringgå randomiseringen?
Mot en mer målmedveten analys ser det annorlunda ut, och säkerhetslitteraturen är samstämmig på den punkten. Studier av hur randomiseringen är implementerad har visat praktiska sätt att kringgå den, och analyser av probe request-trafik visar att mönstren i timing, sekvens och innehåll i en enhets sändningar bildar ett fingeravtryck som överlever adressbyten. Senare arbeten som kombinerar tidsbaserade och innehållsbaserade fingeravtryck rapporterar avrandomisering i en omfattning som gör adressbaserad anonymitet till ett osäkert antagande.
Tänk på det när ni utvärderar ett system som tar emot Wi-Fi-signaler, också system för besöksräkning. En leverantör vars integritetsargument går ut på att “adresserna är ju randomiserade ändå” har inte lagt någon egen design bakom det, och då vilar er regelefterlevnad på telefontillverkarens ofullständiga skydd.
Vad ger ett system för besöksräkning dess integritetsskydd?
Ett mätsystem som är byggt för integritet är inte beroende av vad telefonen gör, eftersom skyddet sitter på systemets egen sida. Personuppgifter raderas oåterkalleligt i början av pipelinen (de hashas och sparas aldrig, lagras aldrig), och kvar blir bara anonym, aggregerad statistik. Då finns det ingen adresslogg att avrandomisera och inget arkiv med råsignaler att ta fingeravtryck på, och därmed ingenting att bryta sig in i eller tvinga fram rättsligt.
Vår Wi-Fi-metod är byggd på det sättet, och ett dataskyddsombuds DPIA-frågor letar efter just den sortens design.
Bumbee Labs är företaget bakom den enda metoden för besöksmätning i Europa som är godkänd av en dataskyddsmyndighet.
Varför gjorde MAC-randomiseringen besöksräkningen svårare?
En räknare som litar på adresserna räknar samma telefon mer än en gång, så seriös mätning upptäcker randomiseringsmönster, filtrerar bort spoofing och stillastående enheter och kalibrerar den statistiska modellen mot manuella kontrollräkningar. Räkningens kvalitet avgörs i det korrigeringslagret. I hela branschen har randomiseringen fått leverantörerna att förbättra både sina räknemetoder och sitt integritetsarbete. Artikeln vad är en probe request hör ihop med den här och förklarar hur signalerna blir statistik från början.
Källor
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Nyfiken på hur det skulle se ut för din plats?
Vanliga frågor
Vad är MAC-randomisering?
I stället för att sända ut sin permanenta hårdvaruadress visar en modern telefon en randomiserad MAC-adress som skiftar över tid och är olika för varje nätverk. De stora mobilplattformarna införde randomisering under det senaste decenniet för att stoppa den grövsta formen av Wi-Fi-spårning: att logga en permanent identifierare varje gång den dyker upp igen.
Gör MAC-randomisering Wi-Fi-spårning omöjlig?
Nej, och det är väl dokumenterat. Akademisk forskning har visat att enheter kan identifieras med fingeravtryck trots randomisering, utifrån mönster i timing, sekvens och innehåll i deras sändningar. Plattformarnas egen dokumentation beskriver randomisering som ligger fast per nätverk och inte ändras hela tiden. Randomiseringen gjorde spårning svårare men inte omöjlig.
Om MAC-randomiseringen är ofullständig, vad skyddar då besökarna?
Det mottagande systemets arkitektur. Ett system byggt för integritet raderar personuppgifter oåterkalleligt i början av pipelinen. De hashas och sparas aldrig, lagras aldrig, och kvar blir bara anonym, aggregerad statistik. Ingen rådata från signalerna sparas, så en skicklig angripare har inget att arbeta med, vad den än i teorin skulle kunna göra med råa signaler.
Hur påverkar MAC-randomisering räkningens noggrannhet?
En naiv räknare som litar på adresser räknar samma telefon mer än en gång. Seriös mätning upptäcker och korrigerar för spoofing, stillastående enheter, personalmönster och själva randomiseringen, och kalibrerar sedan mot manuella kontrollräkningar. Räkningens kvalitet avgörs i korrigeringslagret, och därför väger metodens mognad tyngre än valet av sensor.