Was ist ein Probe Request? So entdecken Geräte Netzwerke

Was ist ein Probe Request? So erkennen Geräte Netzwerke. Ein technisches Briefing von Purple. Einführung und Kontext. Willkommen zu diesem technischen Briefing von Purple. Ich werde Sie durch einen der grundlegendsten - und am häufigsten missverstandenen - Mechanismen im Bereich Enterprise WiFi führen: den Probe Request. Wenn Sie für eine Bereitstellung von Gäste-WiFi, ein Einzelhandelsnetzwerk mit mehreren Standorten oder ein System zur Analyse von Veranstaltungsorten verantwortlich sind, ist das Verständnis von Probe Requests unerlässlich. Es ist das Fundament, auf dem alles andere aufbaut - von der Besucherfrequenz- und Verweildaueranalyse bis hin zu den Herausforderungen der MAC-Anonymisierung und der GDPR-Konformität. Lassen Sie uns also direkt einsteigen. Jedes Mal, wenn ein Gerät - ein Smartphone, ein Laptop, ein Tablet - nicht mit einem Netzwerk verbunden ist, sucht es ständig nach einem. Dieser Scanvorgang beginnt mit einem Probe Request. Dabei handelt es sich um einen Management-Frame, der unter IEEE 802.11 definiert ist und vom Client-Gerät und nicht vom Access Point gesendet wird. Stellen Sie sich das so vor, als würde das Gerät in den Raum rufen: "Ist hier jemand, den ich kenne?" Der Access Point hört zu und antwortet, wenn er die Anfrage erkennt. Dies geschieht hunderte Male am Tag, oft ohne dass der Besitzer des Geräts etwas davon bemerkt. Für Netzwerkarchitekten und Betreiber von Veranstaltungsorten sind diese Probe Requests eine Goldgrube für Betriebsdaten - vorausgesetzt, man weiß, wie man sie richtig erfasst und interpretiert. Technische Vertiefung. Gehen wir nun näher auf die technischen Details ein. Ein Probe Request ist ein Layer-2-Management-Frame, der auf den Funkbändern 2,4 GHz oder 5 GHz übertragen wird. Gemäß dem IEEE 802.11-Standard ist er als Management-Frame des Subtyps 4 klassifiziert. Der Frame enthält mehrere wichtige Informationselemente: das SSID-Feld, das Element für unterstützte Datenraten, das Element für erweiterte unterstützte Datenraten sowie Leistungsmerkmale einschließlich HT - also High-Throughput - und VHT-Funktionen für 802.11ac-Geräte. Es gibt zwei Arten von Probe Requests. Die erste ist ein Broadcast Probe Request, manchmal auch als Wildcard Probe bezeichnet. Hierbei ist das SSID-Feld leer - das Gerät fordert im Wesentlichen jeden Access Point in Reichweite auf, sich zu identifizieren. Die zweite Art ist ein Directed Probe Request, bei dem das SSID-Feld einen bestimmten Netzwerknamen enthält. Dies geschieht, wenn das Gerät aktiv nach einem Netzwerk sucht, mit dem es zuvor verbunden war und das in seiner Liste bevorzugter Netzwerke gespeichert ist. Die Antwort des Access Points - der Probe-Response-Frame - spiegelt einen Großteil des Inhalts des Beacon-Frames wider. Sie enthält die SSID, die BSSID, das Beacon-Intervall, den Zeitstempel und die vollständigen Leistungsmerkmale. Dieser Austausch ermöglicht es einem Gerät, seine Liste der verfügbaren Netzwerke zu erstellen, noch bevor der Benutzer überhaupt seine WiFi-Einstellungen öffnet. Es gibt einen wichtigen Unterschied zwischen aktivem und passivem Scannen. Aktives Scannen ist der soeben beschriebene Zyklus aus Probe-Requests und Probe-Responses. Passives Scannen funktioniert anders - das Gerät lauscht einfach auf Beacon-Frames, die Access Points regelmäßig, in der Regel alle 100 Millisekunden, ausstrahlen. Passives Scannen ist langsamer, verbraucht aber weniger Strom. Die meisten modernen Geräte nutzen eine Kombination aus beidem, je nach Energiestatus und der regulatorischen Domain, in der sie betrieben werden. Hier wird es betrieblich relevant. In Veranstaltungsorten mit hoher Dichte - wie einem Stadion, einem Konferenzzentrum oder einer großen Verkaufsfläche - können Tausende von Geräten gleichzeitig Probe-Requests über mehrere Kanäle senden. Dies führt zu einem sogenannten Probe Storm. Jeder Probe-Request verbraucht Sendezeit. In einem schlecht konzipierten Netzwerk kann dieser Management-Frame-Overhead den Durchsatz für verbundene Clients spürbar beeinträchtigen. Aus diesem Grund implementieren Access Points der Enterprise-Klasse standardmäßig eine Filterung und Ratenbegrenzung für Probe-Requests. Sprechen wir nun über MAC-Adressen und warum dies für Analysen von enormer Bedeutung ist. In der Vergangenheit enthielt jeder Probe-Request die echte Hardware-MAC-Adresse des Geräts - eine weltweit eindeutige 48-Bit-Kennung, die in die Netzwerkkarte eingebrannt ist. Dies machte probebasierte Analysen äußerst zuverlässig. Sie konnten ein Gerät auf Ihrem Gelände verfolgen, die Verweildauer messen, wiederkehrende Besucher identifizieren und mit hoher Zuverlässigkeit Heatmaps für die Besucherfrequenz erstellen. Das änderte sich mit iOS 14 im Jahr 2020 und Android 10 davor erheblich. Apple und Google führten die Randomisierung von MAC-Adressen für Probe-Requests ein. Anstatt die echte Hardware-MAC zu senden, generieren Geräte beim Scannen nun eine zufällige MAC-Adresse. Unter iOS erfolgt diese Randomisierung pro SSID - das bedeutet, dass das Gerät eine einheitliche, zufällige MAC verwendet, wenn es sich mit einem bestimmten Netzwerk verbindet, aber eine andere, wenn es nach Netzwerken sucht. Unter Android variiert die Implementierung je nach Hersteller. Die praktischen Auswirkungen für Standortbetreiber sind erheblich. Probebasierte Analysen der Besucherfrequenz, die auf persistenten MAC-Adressen basierten, sind für nicht verbundene Geräte unzuverlässig geworden. Die Anzahl eindeutiger Geräte wird künstlich aufgebläht. Die Identifizierung wiederkehrender Besucher allein auf der Grundlage von Probe-Daten ist nicht mehr realisierbar. Die Lösung - und hier wird authentifiziertes Gäste-WiFi entscheidend - besteht darin, Ihre Identitätsebene von der MAC-Adresse auf den authentifizierten Benutzer zu verlagern. Wenn sich ein Besucher über ein Captive Portal oder ein Social Login anmeldet, erfassen Sie eine persistente, einwilligungsbasierte Identität, die die MAC-Randomisierung übersteht. Die Gäste-WiFi-Plattform von Purple tut genau das - sie verknüpft die Analysen mit der authentifizierten Sitzung und nicht mit der Hardware-Adresse. So erhalten Sie genaue, GDPR-konforme Daten zur Besucherfrequenz, unabhängig vom MAC-Verhalten des Geräts. Es gibt auch eine Sicherheitsdimension bei Probe Requests, die Netzwerksicherheitsanalysten verstehen müssen. Da Probe Requests unverschlüsselte Management Frames sind, sind sie für jeden sichtbar, der ein Paketaufzeichnungstool im Monitor-Modus verwendet. Ein gezielter Probe Request enthüllt die SSIDs von Netzwerken, mit denen sich ein Gerät zuvor verbunden hat - die sogenannte Preferred Network List oder PNL. Dies stellt ein echtes Datenschutzrisiko dar. Ein Gerät, das sich durch Ihren Standort bewegt, sendet die Namen aller Netzwerke aus, mit denen es jemals verbunden war. Dies ist einer der Gründe, warum die MAC-Randomisierung überhaupt erst eingeführt wurde. Aus Sicht der Angriffsfläche ermöglichen Probe Requests sogenannte Evil-Twin-Angriffe. Ein Angreifer, der einen gezielten Probe Request für eine bestimmte SSID abfängt, kann einen gefälschten Access Point mit dieser SSID einrichten und darauf warten, dass sich das Gerät automatisch verbindet. Die Enhanced Open- und SAE-Protokolle (Simultaneous Authentication of Equals) von WPA3 mindern dieses Risiko erheblich, aber nur, wenn Ihre Infrastruktur diese unterstützt und erzwingt. Empfehlungen für die Implementierung und Fallstricke. Kommen wir nun dazu, was Sie in einer realen Bereitstellung konkret tun können. Erstens: Wenn Sie ein Gäste-WiFi-Netzwerk an einem Standort mit hoher Dichte bereitstellen oder aktualisieren, müssen Ihre Access-Point-Platzierung und Ihre Kanalplanung den Overhead durch Probe Requests berücksichtigen. Nutzen Sie eine Strategie mit minimaler Kanalbreite - 20 MHz auf 2.4 GHz - und implementieren Sie minimale RSSI-Schwellenwerte, um zu verhindern, dass sich weit entfernte Geräte verbinden. Die meisten Enterprise-Controller ermöglichen die Einrichtung einer Filterung von Probe Responses, sodass APs nur auf Geräte reagieren, die eine bestimmte Signalstärke überschreiten. Dies reduziert das Rauschen durch Management Frames erheblich. Zweitens: Wenn Sie Analysen zur Besucherfrequenz oder Verweildauer durchführen, müssen Sie akzeptieren, dass reine Probe-Daten nicht mehr ausreichen. Ihre Analysestrategie muss auf authentifizierten Sitzungen aufbauen. Das bedeutet, dass Ihr Captive Portal oder Ihr Onboarding-Prozess so reibungslos wie möglich sein muss, damit sich die Besucher auch tatsächlich verbinden. Die Daten von Purple zeigen, dass Standorte mit einem gut gestalteten Onboarding-Erlebnis - Social Login, E-Mail-Erfassung oder ein passwortloser Ablauf - Verbindungsraten von 60 bis 80 Prozent der Geräte vor Ort erzielen. Das ist Ihre Datenbasis für Analysen. Drittens: Für die DSGVO-Konformität in Großbritannien und der EU erfordert die Erfassung von Probe-Request-Daten - selbst in anonymisierter Form - eine sorgfältige Prüfung der Rechtsgrundlage. Wenn Sie Probe Frames für Analysen erfassen und speichern, müssen Sie Ihr berechtigtes Interesse dokumentieren und die Datenminimierung sicherstellen. Die Richtlinien des ICO zum WiFi-Tracking sind eindeutig: Wenn Sie eine Person anhand der Daten identifizieren können, selbst indirekt, handelt es sich um personenbezogene Daten. Arbeiten Sie mit Ihrem Datenschutzbeauftragten zusammen, bevor Sie ein auf Probe-Daten basierendes Analysesystem bereitstellen. Viertens: Achten Sie auf Probe-Stürme in dichten Umgebungen. Wenn Sie an einem Veranstaltungsort mit hoher Besucherfrequenz einen unerklärlichen Durchsatzeinbruch feststellen, prüfen Sie Ihre AP-Protokolle und achten Sie auf die Management-Frame-Raten. Ein Probe-Sturm ist oft die Ursache. Die Lösung besteht aus einer Kombination aus minimaler RSSI-Filterung, Begrenzung der Probe-Response-Rate und der Sicherstellung, dass Ihr 5 GHz-Band richtig beworben wird, damit fähige Geräte dieses gegenüber 2.4 GHz bevorzugen. Schnelles Q&A. Lassen Sie uns einige Fragen durchgehen, die regelmäßig auftauchen. Kann ich Probe Requests verwenden, um die Besucherzahl ohne ein Captive Portal zu erfassen? Technisch gesehen ja, aber seit iOS 14 ist die Genauigkeit gering. Sie werden überhöhte eindeutige Zahlen und keine Daten zu wiederkehrenden Besuchern sehen. Für alles, was über grobe Schätzungen hinausgeht, benötigen Sie authentifizierte Sitzungen. Funktionieren Probe Requests in 6 GHz WiFi 6E Netzwerken? Ja, aber mit Unterschieden. Das 6 GHz-Band nutzt einen Erkennungsmechanismus namens FILS - Fast Initial Link Setup - und eine Out-of-Band-Erkennung, was die Probe-Dynamik verändert. Wenn Sie WiFi 6E bereitstellen, prüfen Sie die Dokumentation Ihres Anbieters zum 6 GHz-Scanverhalten. Was ist der Unterschied zwischen einem Probe Request und einem Association Request? Ein Probe Request erfolgt vor der Assoziierung - das Gerät sucht nach Netzwerken. Ein Association Request erfolgt nach der Authentifizierung, wenn das Gerät formell den Beitritt zu einem bestimmten Netzwerk anfordert. Es handelt sich um unterschiedliche Phasen der 802.11-Verbindungszustandsmaschine. Bleibt die MAC-Randomisierung nach dem Verbindungsaufbau konsistent? Unter iOS ja - das Gerät verwendet eine stabile, zufällige MAC für eine bestimmte SSID. Unter Android variiert dies. Einige Implementierungen randomisieren bei jeder Verbindung neu. Aus diesem Grund ist eine sitzungsbasierte Identität und nicht eine MAC-basierte Identität die richtige Architektur. Zusammenfassung und nächste Schritte. Zusammenfassend lässt sich sagen: Probe Requests sind der Herzschlag der WiFi-Erkennung. Jedes Gerät an Ihrem Veranstaltungsort erzeugt sie ständig. Ihre Struktur, ihre Grenzen und ihre Sicherheitsauswirkungen zu verstehen, ist von grundlegender Bedeutung für die Entwicklung zuverlässiger, analysefähiger und konformer Gast-WiFi-Bereitstellungen. Die wichtigsten Erkenntnisse sind folgende. Erstens: Probe-basierte Analysen ohne Authentifizierung sind in einer Welt nach der MAC-Randomisierung unzuverlässig. Zweitens: Authentifiziertes Gast-WiFi ist Ihre Identitätsebene - sie macht Ihre Analysen präzise und Ihre Daten GDPR-konform. Drittens: Das Management von Probe-Stürmen ist ein reales betriebliches Problem an Veranstaltungsorten mit hoher Dichte und muss bereits bei der Infrastrukturplanung berücksichtigt werden. Viertens: Gezielte Probe Requests legen die Liste der bevorzugten Netzwerke Ihres Geräts offen - ein echtes Sicherheitsrisiko, das durch WPA3 und bewährte Netzwerkpraktiken gemindert werden kann. Wenn Sie tiefer einsteigen möchten, beschreibt die technische Dokumentation von Purple, wie unsere hardwareunabhängige Plattform Probe-Daten zusammen mit authentifizierten Sitzungsdaten erfasst und verarbeitet, um Ihnen präzise Analysen des Veranstaltungsorts zu liefern. Sie können auch unsere Leitfäden zu WiFi-Wegfindung und Trilateration lesen, die direkt auf den heute behandelten Grundlagen zu Probe Requests aufbauen. Vielen Dank fürs Zuhören. Dies war ein technisches Briefing von Purple.