Наша компания использует новую технологию активный трекинг (мониторинга) MAC-адресов мобильных устройств. Отличие активного трекинга от пассивного заключается в том, что помимо прослушивания радар производит функцию дерандомизации тех устройств, которые пытаются скрыть настоящий MAC-адрес. В итоге, при помощи ряда определенных методик, активный Радар узнает реальный MAC адрес и обнаруживает устройство. При этом, мобильное устройство может быть не подключено ни к одной Wi-Fi сети.
Поскольку, с iOS версии 12.0, Android версии 8.0, а так же на многих устройствах по инициативе производителя функциональность рандомизации по умолчанию включена, все больше мобильных устройств становятся недоступными для пассивных радаров прошлого поколения. Так же, начиная с Android версии 9.0 и с IOS версии 12.0 рандомизация осуществляется в режиме "per SSID", то есть для каждого имени точки доступа устройство генерирует и хранит индивидуальный MAC адрес.
с 2022 года каждое мобильное устройство по умолчанию скрывает свой MAC адрес. По многочисленным тестам в реальных условиях, уже сегодня активный радар дает ощутимое преимущество и позволяет собрать от 80% до 100% MAC адресов, в то время как пассивный радар, относящийся к предыдущему поколению, позволяет собрать лишь 60% и менее.
Радаром может являться любой Wi-Fi роутер. Все что требуется это установить специальную прошивку от WIFIRADAR.RU. Для унификации компания сосредоточилась на наиболее распространенных моделях:
- мобильный - MikroTik WAP LTE KIT (r1)
- стационарный - MikroTik ltAP
- стационарный - TP-Link MR-3020 (r1/r3)
- стационарный - UniFi AP AC Lite
- стационарный - UniFi AP AC Mesh
- стационарный - Unifi AP AC Pro
В соответствии со стандартом 802.11 (Wi-Fi) любое мобильное устройство периодически рассылает запросы (probe request) для поиска точек доступа. Ответом на такие запросы является сообщение от точки доступа (probe response) с указанием ее характеристик и параметров подключения.
Момент рассылки широковещательных запросов определяется пользовательским устройством и зависит от операционной системы, версии ПО, модели беспроводного чипа и других факторов.
Можно обобщить наиболее распространенные случаи когда происходит рассылка probe request:
- Включение Wi-Fi модуля.
- Запуск (ручной) сканирования ближайших точек доступа.
- Пробуждение устройства из режима сна через нажатие кнопки.
- Пробуждение устройства по команде от приложения или операционной системы.
- Периодическая рассылка для актуализации списка точек доступа
Данный механизм является вспомогательным, так как информацию о точках доступа пользовательские устройства получают путем прослушивания эфира на наличие маяков (beacon) в которых также указывается информация о точке доступа и ее параметрах. Помимо широковещательного probe request пользовательское устройство может отправлять персональный запрос выбранной точке доступа для того чтобы удостовериться в ее работоспособности. Периодически пользовательские устройства производят рассылку для всех сохраненных Wi-Fi сетей методом простого перебора, пытаясь найти хотя бы одну точку поблизости.
Рандомизация MAC адресов
Поскольку, рассылка широковещательных probe request делается достаточно часто, это позволяет отследить конкретное устройство и даже восстановить путь его перемещения. Это позволяет злоумышленникам или спецслужбам производить слежку, а также совершать атаки на заранее выбранное устройство. Для избежания подобных рисков были разработаны методики рандомизации MAC адреса.
Основной метод заключается в том, что при отправке широковещательных и персональных probe request вместо реального MAC адреса, устройством производится подстановка случайного MAC адреса, не являющегося каким-либо образом связанным с данным устройством. Такой MAC адрес назначается единовременно ради проведения сканирования и время его жизни равно от нескольких секунд до нескольких минут. Далее MAC адрес заменяется на новый, случайный и больше никогда не используется. Таким образом, устройства могут генерировать запросы без раскрытия своего MAC адреса.
Дерандомизация MAC адресов
Если на probe request с рандомизированным MAC адресом пользовательское устройство получает ответ, то оно инициирует подключение к точке доступа, так как считает что она находится поблизости. По стандарту пользовательское устройство должно использовать свой реальный MAC адрес для подключения. На практике устройства либо пытаются инициировать подключение и в случае неудачи отправляют probe request с реальным MAC адресом. Либо после получения probe response сразу же отправляют еще один probe request уже с реальным MAC адресом. Либо с использованием своего реального MAC адреса пытаются подключить к сети.