MAC i tożsamość

Adres IP to tylko jeden z identyfikatorów. Urządzenia i przeglądarki ujawniają wiele innych: adresy MAC, nazwy hostów, odciski przeglądarek i dane logowania do kont. Prawdziwa anonimowość oznacza kontrolowanie ich wszystkich.

W tej lekcji skupiono się na fałszowaniu identyfikatorów niskiego poziomu, zwłaszcza adresu MAC, oraz na zrozumieniu, co jeszcze może ujawnić tożsamość użytkownika.

Adres MAC to 48-bitowy identyfikator sprzętowy zapisany w interfejsie sieciowym, przedstawiany jako sześć par cyfr szesnastkowych, na przykład a4:5e:60:1f:2c:8b.

Pierwsze trzy bajty to OUI, który identyfikuje producenta. Adresy MAC działają w warstwie 2 i są widoczne tylko w lokalnym segmencie sieci, a nie w całym internecie.

W sieci lokalnej adres MAC może śledzić urządzenie nawet po zmianie jego adresu IP. Jest używany do:

• dzierżaw DHCP i kontroli dostępu do sieci;
• śledzenia przez captive portal (na przykład zapamiętywania urządzenia przez płatne Wi-Fi);
• tworzenia list dozwolonych i zablokowanych adresów MAC.

Sfałszowanie adresu MAC pozwala ominąć proste filtry i uniknąć lokalnego śledzenia.

W systemie Linux interfejsy można sprawdzać za pomocą ip link lub starszego polecenia ifconfig. Należy zwrócić uwagę na nazwę interfejsu (na przykład eth0 lub wlan0) oraz jego bieżący adres MAC.

Adres MAC można zmienić programowo. Najpierw należy wyłączyć interfejs, a po wprowadzeniu zmiany ponownie go włączyć. Narzędzie macchanger upraszcza ten proces i może przydzielić losowy adres lub adres konkretnego producenta.

Losowy adres MAC z nietypowym OUI może wyglądać podejrzanie. Aby wtopić się w otoczenie, należy użyć OUI popularnego producenta (Apple, Samsung, Intel), tak aby adres przypominał adres zwykłego urządzenia.

Urządzenie rozgłasza także nazwę hosta i opcje żądania DHCP, które mogą posłużyć do określenia systemu operacyjnego i modelu urządzenia. Nazwa hosta taka jak „Johns-MacBook-Pro” zdradza zbyt wiele.

Na potrzeby anonimowości należy ustawić ogólną nazwę hosta i pamiętać, że sama kolejność opcji DHCP może identyfikować system operacyjny.

Wyżej w stosie protokołów witryny tworzą odcisk przeglądarki na podstawie user agenta, rozmiaru ekranu, czcionek, zainstalowanych wtyczek, sposobu renderowania canvasu i strefy czasowej. W połączeniu informacje te często są unikatowe nawet bez użycia plików cookie.

Sfałszowanie adresu MAC nie chroni przed fingerprintingiem. Tor Browser przeciwdziała temu, sprawiając, że wszyscy użytkownicy wyglądają tak samo.

Telefony i laptopy randomizują teraz swoje adresy MAC podczas wyszukiwania sieci Wi-Fi lub dołączania do nich, aby utrudnić śledzenie. Jest to funkcja ochrony prywatności, którą można wykorzystać i którą należy rozumieć podczas analizowania sieci.

Jednak po nawiązaniu połączenia niektóre urządzenia ujawniają stały adres MAC przypisany do danej sieci, więc randomizacja nie jest całkowita.

Najważniejsza lekcja: anonimowość wymaga kontrolowania identyfikatorów na każdej warstwie:

• Warstwa 2: adres MAC.
• Warstwa 3: adres IP (za pośrednictwem VPN/Tor).
• Warstwa aplikacji: nazwa hosta, user agent, fingerprint.
• Warstwa ludzka: konta, styl pisania, nawyki.

Naprawienie jednej warstwy przy jednoczesnym ujawnianiu informacji w innej niweczy cały wysiłek.

Sfałszowany adres MAC ustawiony za pomocą macchanger zostaje przywrócony po ponownym uruchomieniu. Aby zachować zmianę, należy skonfigurować menedżera sieci lub skrypt uruchamiany przy starcie systemu, który zastosuje ją podczas rozruchu.

Należy zachować spójność: jeśli podczas każdej sesji urządzenie ma wyglądać jak zupełnie nowe, należy za każdym razem używać randomizacji; jeśli ma ono podszywać się pod jedno konkretne dozwolone urządzenie, należy ustawiać ten sam adres przy każdym uruchomieniu. Strategię dotyczącą adresu MAC należy dopasować do celu.

Zastanów się, jak daleko dociera adres MAC.

Dowiedziałeś się o tożsamości urządzenia:

• Adres MAC jest identyfikatorem warstwy 2 widocznym tylko lokalnie; można go sfałszować za pomocą macchanger.
• Należy używać wiarygodnego OUI producenta, aby wtopić się w otoczenie.
• Nazwy hostów, opcje DHCP i fingerprinty przeglądarki ujawniają tożsamość na innych warstwach.
• Nowoczesne urządzenia randomizują adresy MAC, ale nie robią tego idealnie.
• Anonimowość wymaga kontrolowania identyfikatorów na każdej warstwie.

Dalej: ludzkie błędy OPSEC, które demaskują ludzi.