Estudio de las tramas Probe Request y su uso como identificador único de dispositivos WiFi

Abstract

Este proyecto aborda el estudio de las tramas WiFi del subtipo “Probe Request” y su utilidad a la hora de contar dispositivos en las inmediaciones de una red WiFi que esté a la escucha. Estas tramas las emiten los dispositivos móviles (smartphones, tablets, ordenadores portátiles) de forma periódica, incluso cuando no están conectados ni asociados con ninguna red WiFi. El sistema propuesto monitoriza estas tramas a su alrededor, por uno o varios puntos de acceso o dongles WiFi, y luego procesa los campos internos de dichas tramas a fin de evitar contar más dispositivos de los que realmente hay. Este sobre recuento se suele producir en sistemas que no post preocesan las tramas “Probe Request”, ya que interpretan cada trama con una dirección MAC desconocida que le llega como un nuevo dispositivo. La dirección MAC (específicamente la dirección MAC origen) es para un dispositivo WiFi como la matrícula para un coche: lo identifica unívocamente respecto del resto. No obstante, en los últimos años hemos observado cómo los fabricantes de dispositivos WiFi modernos (Apple, Android, Windows, etc) falsifican (o aleatorizan) estas direcciones MAC en las tramas “Probe Request”, con el objetivo de engañar o perturbar a los sistemas de recuento de dispositivos en un entorno. Esto es legítimo por parte de los fabricantes, pero también es legítimo por parte de los investigadores del campo de las comunicaciones inalámbricas el indagar en este comportamiento a fin de hacer sistemas de recuento fiables y robustos (siempre dentro de las normativas europeas u nacionales sobre protección de datos). Para ello, el sistema consiste en analizar los campos de la trama “Probe Request”, olvidándose de la dirección MAC como identificador fiable (pues sabemos que se falsea o aleatoriza) y atendiendo a otros campos que sí permanecen constantes a lo largo de distintas tramas del mismo dispositivo. En la analogía de los coches, sería como obviar la matrícula (pues puede haber sido manipulada) para fijarnos en el color, la marca, modelo, kilometraje, averías o imperfecciones de la carrocería del coche para identificarlo de forma unívoca. De esta forma se genera una fingerprint o huella dactilar de cada dispositivo, independientemente de la dirección MAC que haya exhibido en cada trama recibida, y que otorga recuentos más fiables que simplemente mirando la dirección MAC que el sistema ha escuchado. Se ha probado el sistema de recuento en distintos escenarios urbanos, escuchando tramas “Probe Request” de dispositivos móviles reales que pasaban cerca del sensor. Se permite el análisis del tráfico en tiempo real con los datos capturados, y también en diferido con datos capturados anteriormente y almacenados en un archivo. Aun así, el sistema tiene sus limitaciones, particularmente cuando hay varios dispositivos iguales en las inmediaciones de la red: parecerán el mismo dispositivo a ojos de nuestro sistema. También se propondrán posibles mejoras futuras para mejorar la precisión, especialmente en el caso comentado de que haya varios dispositivos iguales de forma concurrente.

This project addresses the study of WiFi frames of the "Probe Request" subtype and their usefulness in counting devices in the vicinity of a listening WiFi network. These frames are issued by mobile devices (smartphones, tablets, laptops) on a regular basis, even when they are not connected or associated with any WiFi network. The proposed system monitors these frames around it, by one or more access points or WiFi dongles, and then processes the internal fields of these frames in order to avoid counting more devices than there really are. This over count usually occurs on systems that do not post process the "Probe Request" frames, since they interpret each frame with an unknown MAC address that arrives as a new device. The MAC address (specifically the source MAC address) is for a WiFi device like the license plate for a car: it uniquely identifies it regarding to the rest. However, in recent years we have observed how the manufacturers of modern WiFi devices (Apple, Android, Windows, etc.) falsify (or randomize) these MAC addresses in the "Probe Request" frames, with the aim of deceiving or disturbing the device counting systems in an environment. This is legitimate on the part of manufacturers, but it is also legitimate on the part of researchers in the field of wireless communications to inquire into this behavior in order to make counting systems reliable and robust. For this, the system consists of analyzing the fields of the “Probe Request” frame, forgetting the MAC address as a reliable identifier (since we know that it is falsified or randomized) and attending to other fields that do remain constant throughout different frames from the same device. In the analogy of cars, it would be like ignoring the license plate (as it may have been manipulated) focus on at the color, brand, model, mileage, breakdowns or imperfections of the car body to uniquely identify it. In this way, a fingerprint of each device is generated, regardless of the MAC address that has been displayed in each frame received, and which provides more reliable counts than simply looking at the MAC address that the system has listened to. The counting system has been tested in different urban settings, listening to “Probe Request” frames from real mobile devices that passed near the sensor. Traffic analysis is allowed in real time with the captured data, and also delayed with previously captured data stored in a file. Even so, the system has its limitations, particularly when there are several similar devices in the immediate vicinity of the network: they will appear to be the same device in the eyes of our system. Possible future enhancements to improve accuracy will also be proposed, especially in the commented case that multiple devices are concurrently the same.