Che cos'è una Probe Request? Capire come i dispositivi scoprono le reti

Che cos'è una Probe Request? Capire come i dispositivi rilevano le reti. Una sessione tecnica informativa Purple. Introduzione e contesto. Benvenuti in questa sessione tecnica informativa di Purple. Vi guiderò attraverso uno dei meccanismi più fondamentali - e più frequentemente fraintesi - nel WiFi aziendale: la probe request. Se siete responsabili di un'installazione di guest WiFi, di una rete retail multi-sito o di un programma di analisi per sedi fisiche, la comprensione delle probe request non è facoltativa. È la base su cui si poggia tutto il resto - dall'analisi del flusso di visitatori e la misurazione del tempo di sosta, fino alle sfide della randomizzazione dei MAC e alla conformità GDPR. Quindi, entriamo nel dettaglio. Ogni volta che un dispositivo - uno smartphone, un computer portatile, un tablet - non è connesso a una rete, esegue costantemente una scansione per cercarne una. Questo processo di scansione inizia con una probe request. Si tratta di un frame di gestione, definito dallo standard IEEE 802.11, ed è trasmesso dal dispositivo client, non dall'access point. Immaginatelo come il dispositivo che grida nella stanza: "C'è qualcuno qui che conosco?" L'access point ascolta e, se riconosce la richiesta, risponde. Questo accade centinaia di volte al giorno, spesso senza che il proprietario del dispositivo lo sappia. E per i progettisti di reti e i gestori di sedi fisiche, queste probe request sono una miniera d'oro di dati operativi - a patto di sapere come acquisirle e interpretarle correttamente. Approfondimento tecnico. Andiamo più a fondo nei meccanismi. Una probe request è un frame di gestione di Livello 2 trasmesso sulle bande radio a 2.4 GHz o 5 GHz. Secondo lo standard IEEE 802.11, è classificata come un frame di gestione di sottotipo 4. Il frame contiene diversi elementi informativi chiave: il campo SSID, l'elemento delle velocità supportate, l'elemento delle velocità supportate estese e le informazioni sulle funzionalità, comprese le funzionalità HT - ovvero high-throughput - e VHT per i dispositivi 802.11ac. Esistono due tipi di probe request. Il primo è una probe request di tipo broadcast, a volte chiamata probe wildcard. In questo caso il campo SSID è vuoto - il dispositivo sta essenzialmente chiedendo a qualsiasi access point nel raggio di copertura di identificarsi. Il secondo è una probe request diretta, in cui il campo SSID contiene un nome di rete specifico. Questo accade quando il dispositivo sta cercando attivamente una rete a cui si è connesso in precedenza e che ha memorizzato nell'elenco delle sue reti preferite. La risposta dell'access point - il frame di risposta del probe - rispecchia gran parte del contenuto del frame beacon. Include lo SSID, il BSSID, l'intervallo del beacon, il timestamp e l'insieme completo delle funzionalità. Questo scambio è ciò che consente a un dispositivo di creare l'elenco delle reti disponibili prima ancora che l'utente apra le impostazioni WiFi.Ora, c'è un'importante distinzione da fare tra scansione attiva e scansione passiva. La scansione attiva è il ciclo di richiesta e risposta di probe che ho appena descritto. La scansione passiva è diversa: il dispositivo si limita ad ascoltare i frame beacon che gli access point trasmettono periodicamente, in genere ogni 100 millisecondi. La scansione passiva è più lenta ma consuma meno energia. La maggior parte dei dispositivi moderni utilizza una combinazione di entrambe, a seconda del loro stato energetico e del dominio normativo in cui operano. Ecco dove la questione diventa operativamente significativa. In una sede ad alta densità - uno stadio, un centro congressi, una grande area retail - si possono avere migliaia di dispositivi che inviano simultaneamente richieste di probe su più canali. Questo crea le cosiddette condizioni di probe storm. Ogni richiesta di probe consuma tempo di trasmissione radio. In una rete progettata male, questo sovraccarico di frame di gestione può ridurre sensibilmente la velocità di trasmissione per i client connessi. Questo è il motivo per cui gli access point di livello enterprise implementano di serie il filtraggio delle richieste di probe e la limitazione della larghezza di banda. Parliamo ora degli indirizzi MAC e del perché questo sia estremamente importante per la network analytics. In passato, ogni richiesta di probe conteneva il vero indirizzo MAC hardware del dispositivo - un identificatore univoco a 48 bit a livello globale integrato nella scheda di interfaccia di rete. Ciò rendeva l'analisi basata sui probe estremamente affidabile. Era possibile tracciare un dispositivo all'interno della propria struttura, misurare il tempo di permanenza, identificare i visitatori ricorrenti e creare mappe termiche delle presenze con un elevato livello di affidabilità. La situazione è cambiata in modo significativo con iOS 14 nel 2020 e, in precedenza, con Android 10. Apple e Google hanno introdotto la randomizzazione degli indirizzi MAC per le richieste di probe. Invece di trasmettere il vero MAC hardware, i dispositivi ora generano un indirizzo MAC randomizzato per la scansione. Su iOS, questa randomizzazione è per singolo SSID - il che significa che il dispositivo utilizza un MAC randomizzato coerente quando si connette a una rete specifica, ma uno diverso quando esegue il probe. Su Android, l'implementazione varia a seconda del produttore. L'impatto pratico per i gestori delle strutture è notevole. Le analisi dei flussi di visitatori basate sui probe che si affidavano a indirizzi MAC persistenti non sono più attendibili per i dispositivi non connessi. Il conteggio dei dispositivi univoci risulta gonfiato. L'identificazione dei visitatori ricorrenti basata esclusivamente sui dati dei probe non è più praticabile. La soluzione - ed è qui che il WiFi per ospiti autenticato diventa fondamentale - consiste nello spostare il livello di identità dall'indirizzo MAC all'utente autenticato. Quando un visitatore si connette tramite un Captive Portal o un login social, si acquisisce un'identità persistente e autorizzata che sopravvive alla randomizzazione del MAC. La piattaforma per WiFi per ospiti di Purple fa esattamente questo: collega la network analytics alla sessione autenticata e non all'indirizzo hardware, fornendo dati accurati e conformi al GDPR sui flussi di visitatori, indipendentemente dal comportamento del MAC del dispositivo. C'è anche una dimensione di sicurezza legata alle probe request che gli analisti di sicurezza di rete devono comprendere. Poiché le probe request sono frame di gestione non crittografati, sono visibili a chiunque disponga di uno strumento di packet capture in modalità monitor. Una probe request diretta rivela gli SSID delle reti a cui un dispositivo si è connesso in precedenza - ovvero la cosiddetta preferred network list, o PNL. Si tratta di una reale esposizione della privacy. Un dispositivo che attraversa la tua struttura sta trasmettendo i nomi di ogni singola rete a cui si è mai connesso. Questo è uno dei motivi principali per cui è stata introdotta la randomizzazione MAC. Dal punto di vista della superficie di attacco, le probe request consentono gli attacchi di tipo evil twin. Un utente malintenzionato che acquisisce una probe request diretta per uno specifico SSID può attivare un rogue access point con quell'SSID e attendere che il dispositivo si connetta automaticamente. I protocolli enhanced open e simultaneous authentication of equals - SAE - di WPA3 riducono significativamente questo rischio, ma solo se la tua infrastruttura li supporta e li applica. Raccomandazioni di implementazione e insidie. Bene, passiamo a cosa fare concretamente in un deployment reale. In primo luogo, se stai implementando o aggiornando una rete WiFi per ospiti in una struttura ad alta densità, il posizionamento degli access point e la pianificazione dei canali devono tenere conto del sovraccarico delle probe request. Utilizza una strategia di larghezza di banda del canale minima - 20 MHz su 2.4 GHz - e implementa soglie RSSI minime per impedire l'associazione di dispositivi distanti. La maggior parte dei controller enterprise consente di impostare il filtraggio delle probe response in modo che gli AP rispondano solo ai dispositivi che superano una determinata potenza del segnale. Questo riduce significativamente il rumore dei frame di gestione. In secondo luogo, se esegui analisi del flusso di visitatori o dei tempi di permanenza, tieni presente che i dati basati esclusivamente sulle probe non sono più sufficienti. La tua strategia di analytics deve essere costruita attorno a sessioni autenticate. Ciò significa che il tuo captive portal o il flusso di onboarding deve essere abbastanza fluido da spingere i visitatori a connettersi effettivamente. I dati di Purple mostrano che le strutture con un'esperienza di onboarding ben progettata - social login, acquisizione di e-mail o un flusso senza password - registrano tassi di connessione compresi tra il 60 e l'80 percento dei dispositivi presenti nella struttura. Questo è il tuo campione di analisi. In terzo luogo, per la conformità al GDPR nel Regno Unito e nell'UE, la raccolta dei dati delle probe request - anche se anonimizzati - richiede un'attenta valutazione della base giuridica. Se acquisisci e memorizzi i frame delle probe per scopi di analisi, devi documentare la tua base di legittimo interesse e garantire la minimizzazione dei dati. Le linee guida dell'ICO sul tracciamento WiFi sono chiare: se è possibile identificare un individuo dai dati, anche indirettamente, si tratta di dati personali. Consulta il tuo DPO prima di implementare qualsiasi sistema di analytics basato su probe.In quarto luogo, fai attenzione alle tempeste di probe negli ambienti ad alta densità. Se riscontri un degrado inspiegabile della larghezza di banda in un luogo con un elevato afflusso di persone, estrai i log dei tuoi AP e analizza i tassi di frame di gestione. Spesso la colpa è di una tempesta di probe. La soluzione è una combinazione di filtraggio RSSI minimo, limitazione della frequenza di risposta dei probe e garanzia che la banda a 5 GHz sia pubblicizzata correttamente in modo che i dispositivi compatibili la preferiscano a quella a 2.4 GHz. Domande e risposte rapide. Lasciami passare in rassegna alcune domande che sorgono regolarmente. Posso usare le richieste di probe per contare i visitatori senza un Captive Portal? Tecnicamente sì, ma dopo iOS 14 la precisione è scarsa. Vedrai conteggi univoci gonfiati e nessun dato sui visitatori ricorrenti. Per qualsiasi stima che vada oltre un ordine di grandezza approssimativo, hai bisogno di sessioni autenticate. Le richieste di probe funzionano sulle reti WiFi 6E a 6 GHz? Sì, ma con delle differenze. La banda a 6 GHz utilizza un meccanismo di rilevamento chiamato FILS - Fast Initial Link Setup - e il rilevamento fuori banda, che cambia la dinamica dei probe. Se stai distribuendo il WiFi 6E, verifica la documentazione del tuo fornitore sul comportamento di scansione a 6 GHz. Qual è la differenza tra una richiesta di probe e una richiesta di associazione? Una richiesta di probe è una fase di pre-associazione - il dispositivo sta rilevando le reti. Una richiesta di associazione arriva dopo l'autenticazione, quando il dispositivo richiede formalmente di accedere a una rete specifica. Sono fasi diverse della macchina a stati di connessione 802.1X. La randomizzazione del MAC è coerente una volta connessi? Su iOS sì - il dispositivo utilizza un MAC randomizzato stabile per un determinato SSID. Su Android varia. Alcune implementazioni eseguono una nuova randomizzazione a ogni connessione. Questo è il motivo per cui l'identità basata sulla sessione, e non quella basata sul MAC, è l'architettura corretta. Riepilogo e prossimi passi. Per concludere: le richieste di probe sono il battito cardiaco del rilevamento WiFi. Ogni dispositivo nella tua struttura le genera costantemente. Comprendere la loro struttura, i loro limiti e le loro implicazioni in termini di sicurezza è fondamentale per progettare installazioni di WiFi guest affidabili, conformi alle normative e predisposte per la reportistica. I punti chiave sono questi. Uno: le analisi basate sui probe senza autenticazione non sono affidabili in un mondo post-randomizzazione del MAC. Due: il WiFi guest autenticato è il tuo livello di identità - è ciò che rende accurati i tuoi dati analitici e garantisce che i tuoi dati siano conformi al GDPR. Tre: la gestione delle tempeste di probe è una reale preoccupazione operativa nei luoghi ad alta densità e deve essere affrontata in fase di progettazione dell'infrastruttura. Quattro: le richieste di probe dirette espongono l'elenco delle reti preferite del tuo dispositivo - un reale rischio per la sicurezza che il WPA3 e le pratiche di igiene della rete possono mitigare. Se desideri approfondire, la documentazione tecnica di Purple spiega come la nostra piattaforma indipendente dall'hardware acquisisca ed elabori i dati dei probe insieme ai dati delle sessioni autenticate per fornirti analisi accurate sulla struttura. Puoi anche esplorare le nostre guide sulla geolocalizzazione WiFi e sulla trilaterazione, che si basano direttamente sui concetti fondamentali delle richieste di probe che abbiamo trattato oggi. Grazie per l'attenzione. Questo è stato un briefing tecnico di Purple.