O que é um Probe Request? Entendendo como os dispositivos descobrem redes

O que é um Probe Request? Entendendo como os dispositivos descobrem redes. Um briefing técnico da Purple. Introdução e Contexto. Bem-vindo a este briefing técnico da Purple. Vou guiar você por um dos mecanismos mais fundamentais - e frequentemente mais incompreendidos - no WiFi corporativo: o probe request. Se você é responsável por uma implantação de WiFi para convidados, uma rede de varejo multi-site ou um programa de análise de locais, entender os probe requests não é opcional. É a base sobre a qual tudo o mais se apoia - desde análises de fluxo de pessoas e medição de tempo de permanência até os desafios de randomização de MAC e conformidade com a GDPR. Então, vamos começar. Toda vez que um dispositivo - um smartphone, um laptop, um tablet - não está conectado a uma rede, ele está constantemente procurando por uma. Esse processo de varredura começa com um probe request. É um frame de gerenciamento, definido sob o padrão IEEE 802.11, e é transmitido pelo dispositivo cliente, não pelo ponto de acesso. Pense nisso como o dispositivo gritando na sala: "Tem alguém aqui que eu conheça?" O ponto de acesso escuta e, se reconhecer a solicitação, responde. Isso acontece centenas de vezes por dia, muitas vezes sem que o proprietário do dispositivo saiba. E para arquitetos de rede e operadores de locais, esses probe requests são uma mina de ouro de dados operacionais - se você souber como capturá-los e interpretá-los corretamente. Análise Técnica Detalhada. Vamos nos aprofundar na mecânica. Um probe request é um frame de gerenciamento de Camada 2 transmitido nas bandas de rádio de 2.4 GHz ou 5 GHz. Sob o padrão IEEE 802.11, ele é classificado como um frame de gerenciamento de subtipo 4. O frame contém vários elementos de informação importantes: o campo SSID, o elemento de taxas suportadas, o elemento de taxas suportadas estendidas e informações de capacidade, incluindo capacidades HT - que representam alta taxa de transferência - e capacidades VHT para dispositivos 802.11ac. Existem dois tipos de probe requests. O primeiro é um probe request de transmissão (broadcast), às vezes chamado de probe curinga (wildcard). Aqui o campo SSID está vazio - o dispositivo está essencialmente pedindo a qualquer ponto de acesso dentro do alcance para se identificar. O segundo é um probe request direcionado, onde o campo SSID contém um nome de rede específico. Isso acontece quando o dispositivo está procurando ativamente por uma rede à qual já se conectou anteriormente e que armazenou em sua lista de redes preferenciais. A resposta do ponto de acesso - o frame probe response - espelha grande parte do conteúdo do frame beacon. Ele inclui o SSID, o BSSID, o intervalo do beacon, o carimbo de data/hora e o conjunto completo de recursos. Essa troca é o que permite que um dispositivo crie sua lista de redes disponíveis antes mesmo que o usuário abra suas configurações de WiFi. Agora, há uma distinção importante entre escaneamento ativo e escaneamento passivo. O escaneamento ativo é o ciclo de requisição e resposta de probe que acabei de descrever. O escaneamento passivo é diferente - o dispositivo simplesmente escuta os beacon frames que os pontos de acesso transmitem periodicamente, normalmente a cada 100 milissegundos. O escaneamento passivo é mais lento, mas consome menos energia. A maioria dos dispositivos modernos usa uma combinação de ambos, dependendo de seu estado de energia e do domínio regulatório em que estão operando. É aqui que isso se torna operacionalmente significativo. Em um local de alta densidade - um estádio, um centro de conferências, uma grande área de varejo - você pode ter milhares de dispositivos enviando simultaneamente requisições de probe em vários canais. Isso cria o que é conhecido como condições de tempestade de probe. Cada requisição de probe consome tempo de transmissão de rádio. Em uma rede mal projetada, essa sobrecarga de frames de gerenciamento pode degradar de forma mensurável a taxa de transferência para clientes conectados. É por isso que os pontos de acesso de classe empresarial implementam filtragem de requisições de probe e limitação de taxa como padrão. Agora vamos falar sobre endereços MAC e por que isso importa enormemente para analytics. Historicamente, cada requisição de probe carregava o endereço MAC físico real do dispositivo - um identificador exclusivo global de 48 bits gravado na placa de interface de rede. Isso tornava as análises baseadas em probe extremamente confiáveis. Você podia rastrear um dispositivo em seu local, medir o tempo de permanência, identificar visitantes recorrentes e criar mapas de calor de fluxo de pessoas com alta confiança. Isso mudou significativamente com o iOS 14 em 2020 e o Android 10 antes dele. A Apple e o Google introduziram a randomização de endereços MAC para requisições de probe. Em vez de transmitir o MAC físico real, os dispositivos agora geram um endereço MAC randomizado para o escaneamento. No iOS, essa randomização é por SSID - o que significa que o dispositivo usa um MAC randomizado consistente ao se conectar a uma rede específica, mas um diferente ao realizar o probe. No Android, a implementação varia de acordo com o fabricante. O impacto prático para os operadores de locais é significativo. As análises de fluxo de pessoas baseadas em probe que dependiam de endereços MAC persistentes agora não são confiáveis para dispositivos não conectados. As contagens de dispositivos exclusivos são infladas. A identificação de visitantes recorrentes apenas a partir de dados de probe não é mais viável. A solução - e é aqui que o WiFi de visitantes autenticado se torna crítico - é mover sua camada de identidade do endereço MAC para o usuário autenticado. Quando um visitante se conecta por meio de um Captive Portal ou de um login social, você captura uma identidade persistente e consentida que sobrevive à randomização de MAC. A plataforma de WiFi para visitantes do Purple faz exatamente isso - ela vincula as análises à sessão autenticada, não ao endereço físico, fornecendo dados de fluxo de pessoas precisos e em conformidade com o GDPR, independentemente do comportamento do MAC do dispositivo. Há também uma dimensão de segurança nas requisições de sonda que os analistas de segurança de rede precisam entender. Como as requisições de sonda são frames de gerenciamento não criptografados, elas são visíveis para qualquer pessoa com uma ferramenta de captura de pacotes em modo monitor. Uma requisição de sonda direcionada revela os SSIDs de redes às quais um dispositivo se conectou anteriormente - o que é conhecido como lista de redes preferenciais, ou PNL. Esta é uma exposição real de privacidade. Um dispositivo caminhando pelo seu espaço está transmitindo os nomes de todas as redes às quais já se conectou. Este é um dos motivos pelos quais a randomização de MAC foi introduzida em primeiro lugar. Do ponto de vista da superfície de ataque, as requisições de sonda permitem ataques de evil twin. Um invasor que captura uma requisição de sonda direcionada para um SSID específico pode levantar um ponto de acesso malicioso com esse SSID e esperar que o dispositivo se conecte automaticamente. Os protocolos de open aprimorado do WPA3 e de autenticação simultânea de iguais - SAE - mitigam significativamente esse risco, mas apenas se sua infraestrutura os suportar e aplicar. Recomendações de Implementação e Armadilhas. Certo, vamos passar para o que você realmente faz com isso em uma implantação real. Primeiro, se você estiver implantando ou atualizando uma rede WiFi de convidados em um local de alta densidade, o posicionamento dos seus pontos de acesso e o planejamento de canais devem levar em conta o overhead das requisições de sonda. Use uma estratégia de largura de canal mínima - 20 MHz em 2.4 GHz - e implemente limites mínimos de RSSI para evitar que dispositivos distantes se associem. A maioria dos controladores corporativos permite configurar a filtragem de respostas de sonda para que os APs respondam apenas a dispositivos acima de uma determinada intensidade de sinal. Isso reduz significativamente o ruído dos frames de gerenciamento. Segundo, se você estiver executando análises de fluxo de pessoas ou tempo de permanência, aceite que os dados baseados apenas em sondas não são mais suficientes. Sua estratégia de analytics precisa ser construída em torno de sessões autenticadas. Isso significa que seu Captive Portal ou fluxo de integração precisa ser fluido o suficiente para que os visitantes realmente se conectem. Os dados da Purple mostram que locais com uma experiência de integração bem projetada - login social, captura de e-mail ou um fluxo sem senha - veem taxas de conexão de 60 a 80 por cento dos dispositivos no local. Essa é a sua população de análise. Terceiro, para conformidade com o GDPR no Reino Unido e na UE, a coleta de dados de requisições de sonda - mesmo de forma anonimizada - exige uma avaliação cuidadosa da base legal. Se você estiver capturando e armazenando frames de sonda para análise, precisa documentar sua base de interesse legítimo e garantir a minimização de dados. As diretrizes do ICO sobre rastreamento de WiFi são claras: se você puder identificar um indivíduo a partir dos dados, mesmo que indiretamente, trata-se de dados pessoais. Trabalhe com seu DPO antes de implantar qualquer sistema de análise baseado em sondas. Em quarto lugar, fique atento a tempestades de sondagem (probe storms) em ambientes densos. Se você estiver observando uma degradação inexplicável de throughput em um local com alto fluxo de pessoas, extraia os logs dos seus APs e analise as taxas de quadros de gerenciamento. Uma tempestade de sondagem costuma ser a culpada. A correção é uma combinação de filtragem de RSSI mínimo, limitação de taxa de resposta de sondagem e garantia de que sua banda de 5 GHz seja anunciada corretamente para que os dispositivos compatíveis a prefiram em relação a 2.4 GHz. Perguntas e Respostas Rápidas. Deixe-me passar rapidamente por algumas perguntas que surgem regularmente. Posso usar probe requests para contar o fluxo de pessoas sem um Captive Portal? Tecnicamente sim, mas pós-iOS 14 a precisão é baixa. Você verá contagens exclusivas infladas e nenhum dado de visitante recorrente. Para qualquer coisa além de estimativas brutas de ordem de magnitude, você precisa de sessões autenticadas. Os probe requests funcionam em redes WiFi 6E de 6 GHz? Sim, mas com diferenças. A banda de 6 GHz usa um mecanismo de descoberta chamado FILS - Fast Initial Link Setup - e descoberta fora de banda, o que altera a dinâmica de sondagem. Se você estiver implantando WiFi 6E, verifique a documentação do seu fornecedor sobre o comportamento de varredura em 6 GHz. Qual é a diferença entre um probe request e um association request? Um probe request é uma pré-associação - o dispositivo está descobrindo redes. Um association request ocorre após a autenticação, quando o dispositivo está solicitando formalmente a adesão a uma rede específica. São etapas diferentes da máquina de estados de conexão 802.11. A randomização de MAC é consistente após a conexão? No iOS, sim - o dispositivo usa um MAC randomizado estável para um determinado SSID. No Android, isso varia. Algumas implementações re-randomizam a cada conexão. É por isso que a identidade baseada em sessão, e não a identidade baseada em MAC, é a arquitetura correta. Resumo e Próximos Passos. Para resumir: os probe requests são o batimento cardíaco da descoberta de WiFi. Cada dispositivo em seu local os gera constantemente. Compreender sua estrutura, suas limitações e suas implicações de segurança é fundamental para projetar implantações de guest WiFi confiáveis, capazes de gerar análises e em conformidade. Os principais pontos a reter são estes. Um: análises baseadas em sondagem sem autenticação não são confiáveis em um mundo pós-randomização de MAC. Dois: o guest WiFi autenticado é a sua camada de identidade - é o que torna suas análises precisas e seus dados em conformidade com o GDPR. Três: o gerenciamento de tempestades de sondagem é uma preocupação operacional real em locais de alta densidade e precisa ser abordado na fase de projeto da infraestrutura. Quatro: probe requests direcionados expõem a lista de redes preferenciais do seu dispositivo - um risco de segurança real que o WPA3 e as práticas de higiene de rede podem mitigar. Se você quiser se aprofundar, a documentação técnica da Purple aborda como nossa plataforma agnóstica de hardware captura e processa dados de sondagem juntamente com dados de sessão autenticada para fornecer análises precisas do local. Você também pode explorar nossos guias sobre wayfinding e trilateração em WiFi, que se baseiam diretamente nos fundamentos de probe requests que cobrimos hoje. Obrigado por ouvir. Este foi um boletim técnico da Purple.