💻 computer science

StateFi: Effectively Identifying Wi-Fi Devices through State Transitions

StateFi es un novedoso marco de huellas digitales que identifica eficazmente los dispositivos Wi-Fi y derrota la aleatorización de direcciones MAC al modelar sus comportamientos de tramas de gestión como máquinas de estados finitos, logrando hasta un 97% de precisión en la reidentificación en diversos entornos.

Autores originales: Abhishek K. Mishra, Mathieu Cunche

Publicado 2026-01-15

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Abhishek K. Mishra, Mathieu Cunche

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás caminando por una terminal de un aeropuerto concurrida. Todo el mundo lleva una etiqueta de nombre que cambia cada pocos segundos. En un momento ves a "John Smith", al siguiente a "Jane Doe", y luego a "Alex Johnson". Si estuvieras intentando rastrear a una persona específica, estas etiquetas de nombre cambiantes harían que fuera casi imposible.

Así es exactamente como funcionan los dispositivos Wi-Fi modernos hoy en día. Para proteger tu privacidad, tu teléfono y tu computadora cambian constantemente sus "etiquetas de nombre" digitales (llamadas direcciones MAC) cuando buscan redes Wi-Fi. Esto se llama aleatorización de MAC.

Sin embargo, los investigadores detrás de este artículo, StateFi, descubrieron que, aunque las etiquetas de nombre cambian, la forma en que los dispositivos actúan sigue siendo la misma. Encontraron una nueva y poderosa forma de identificar dispositivos, no por lo que dicen, sino por cómo se comportan.

Aquí hay un desgque sencillo de su descubrimiento:

1. El Problema: El Efecto "Camaleón"

Piensa en un dispositivo Wi-Fi como un camaleón. Cuando intenta conectarse a una red, envía una serie de "gritos" digitales (llamados tramas de gestión) para decir: "Hola, ¿hay alguien ahí?".

Método Antiguo: Los intentos previos de rastrear estos dispositivos analizaban el contenido del grito. Revisaban las palabras específicas utilizadas (como la lista de características que soporta el teléfono) o el tiempo exacto del grito.
La Falla: Al igual que un camaleón puede cambiar sus colores, estas "palabras" y "tiempos" pueden ser fácilmente falsificados, volverse desordenados en lugares concurridos o cambiar cuando el teléfono actualiza su software. Si el entorno es ruidoso (como una cafetería concurrida), estos métodos antiguos suelen fallar.

2. La Solución: La "Rutina de Baile" (StateFi)

El equipo de StateFi se dio cuenta de que incluso si un dispositivo cambia su etiqueta de nombre y sus palabras específicas, sigue realizando la misma rutina de baile.

Modelaron el comportamiento del dispositivo como una Máquina de Estados Finitos (FSM).

La Analogía: Imagina a un bailarín. Puede usar diferentes disfraces (direcciones MAC aleatorias) y bailar diferentes canciones (diferentes redes Wi-Fi), pero su coreografía es única.
- ¿Gira dos veces antes de saltar?
- ¿Hace una pausa de una fracción de segundo entre movimientos?
- ¿Repite un movimiento si la música se detiene?
- ¿Salta inmediatamente o espera una señal?

A StateFi no le importa el disfraz ni la canción. Observa la secuencia de movimientos y el tiempo entre ellos. Construye un mapa de los "pasos de baile" del dispositivo.

3. Cómo Funciona

Los investigadores construyeron un sistema que:

Observa el Baile: Registra cada vez que un dispositivo envía una señal.
Mapea los Pasos: Crea un diagrama de flujo que muestra cómo el dispositivo pasa de un estado a otro (por ejemplo, "Estoy escaneando" $\to$ "Estoy preguntando" $\to$ "Estoy esperando" $\to$ "Estoy preguntando de nuevo").
Crea una Huella Digital: Convierte esta compleja rutina de baile en una lista de números simple y compacta (un vector).
Identifica al Bailarín: Incluso si el dispositivo cambia su etiqueta de nombre, el sistema compara la nueva rutina de baile con la anterior. Si los pasos y el tiempo coinciden, sabe: "¡Ese es el mismo dispositivo!".

4. Los Resultados: Un Detective Maestro

El equipo probó esto en cinco ubicaciones del mundo real (una cafetería, un laboratorio, un salón de clases, un hogar y un restaurante) y contra bases de datos públicas masivas que contienen millones de señales.

En la Red: Cuando los dispositivos ya estaban conectados a Wi-Fi, StateFi podía identificarlos con una precisión del 94% al 97%. Podía detectar si un dispositivo estaba pretendiendo ser otro.
Contra la Aleatorización: Incluso cuando los dispositivos estaban usando su modo "camaleón" (cambiando las direcciones MAC) y solo enviaban señales de "Hola", StateFi aún podía reidentificarlos con una precisión del 92% al 97%.
Superando a los Mejores: Compararon su método con el "estándar de oro" actual de rastreo (que analiza etiquetas de nombre, listas de palabras y fuerza de la señal). StateFi superó al mejor método existente hasta en un 17%.

5. Por qué esto Importa

El artículo concluye que, si bien cambiar tu etiqueta de nombre digital es bueno, no es suficiente. La "personalidad" de tu dispositivo —la forma profunda y codificada en el hardware y software con la que maneja las conexiones— es como una huella digital que es muy difícil de ocultar.

Los investigadores sugieren que, para proteger verdaderamente la privacidad en el futuro, es posible que necesitemos cambiar cómo se comportan los dispositivos, no solo lo que dicen. Pero por ahora, StateFi demuestra que el comportamiento es un canal lateral poderoso que puede identificar dispositivos incluso cuando intentan esconderse.

Resumen Técnico: StateFi – Identificación Efectiva de Dispositivos Wi-Fi a través de Transiciones de Estado

1. Planteamiento del Problema

Los dispositivos Wi-Fi emiten continuamente tramas de gestión no cifradas para descubrimiento, autenticación y asociación. Si bien estas tramas son esenciales para la conectividad, filtran patrones de comportamiento estructurados que permiten la huella digital (fingerprinting) y el rastreo de dispositivos. Para mitigar esto, los sistemas operativos modernos emplean la aleatorización de direcciones MAC, rotando frecuentemente las MAC administradas localmente durante el descubrimiento basado en sondeo (probe).

Sin embargo, la literatura existente indica que la aleatorización solo oscurece los identificadores, no la lógica de comportamiento subyacente codificada en las secuencias de tramas de gestión, el tiempo y la dinámica de reintentos. Los intentos previos para derrotar la aleatorización de MAC se han basado en características sintácticas derivadas de Elementos de Información (IE), números de secuencia (SEQ) o correlaciones de RSSI. Estos métodos sufren limitaciones significativas:

Fragilidad: Su poder discriminativo se degrada bruscamente en entornos realistas caracterizados por alta contención, movilidad y despliegues heterogéneos de Puntos de Acceso (AP).
Esparcidad: La actividad de sondeo es inherentemente dispersa y altamente variable, lo que limita la estabilidad de las firmas sintácticas.
Ofuscación: Los identificadores a nivel de campo (como los IEs) pueden ser fácilmente ofuscados o alterados por actualizaciones del sistema operativo.

Consecuentemente, los identificadores aleatorios proporcionan una protección incompleta contra la reidentificación conductual, lo que requiere un cambio de las características basadas en el contenido hacia las dinámicas de comportamiento.

2. Metodología: Marco de Trabajo StateFi

StateFi introduce un marco de trabajo de huella digital que modela el comportamiento del dispositivo como Máquinas de Estados Finitos (FSM). En lugar de analizar tipos de tramas o campos de metadatos de forma aislada, StateFi captura la estructura completa y el tiempo de las interacciones del plano de gestión.

2.1 Modelado de Comportamiento mediante FSMs

La idea central es que el comportamiento del plano de gestión surge de decisiones profundas de diseño de firmware y chipset (por ejemplo, estrategias de escaneo, secuencias de asociación, tiempos de retroceso) que permanecen estables a través de los eventos de aleatorización de MAC.

Definición de Estado: El conjunto de estados ( $Q$ ) corresponde a los subtipos de tramas de gestión (por ejemplo, ProbeReq, Auth, AssocReq).
Transiciones: La función de transición ( $\delta$ ) registra las transiciones observadas entre subtipos sucesivos dentro de un "burst" (una secuencia de paquetes emitidos por la misma MAC donde los intervalos entre paquetes no exceden un segundo).
Lógica Temporal: El modelo captura no solo las transiciones estructurales (por ejemplo, reintentos, autotransiciones) sino también la lógica de ejecución temporal, como los retrasos entre estados y el ritmo de escaneo.

2.2 Dos Regímenes Operativos

StateFi opera en dos modos distintos dependiendo del modelo de amenaza:

FSMs de Gestión Completa: Utilizados en entornos internos de red donde los dispositivos pueden permanecer asociados. Estos FSMs capturan todo el espectro de interacciones, incluyendo el tráfico de sondeo, los intercambios de autenticación/asociación, los intentos de reasociación y la lógica de desautenticación.
FSMs de Solo Sondeo (Probe-Only): Utilizados en entornos adversarios de pre-asociación donde los dispositivos emiten MACs aleatorias. Estos FSMs se construyen únicamente a partir de solicitudes y respuestas de sondeo. A pesar de la reducción del alfabeto, retienen una rica estructura de comportamiento respecto al orden de los IEs, patrones de escaneo y la dinámica de reintento específica del chipset.

2.3 Incrustación de Características y Clasificación

La comparación directa de grafos FSM es computacionalmente costosa debido a los requisitos de isomorfismo de grafos. Para permitir un análisis escalable, StateFi incrusta cada FSM en un vector de características compacto de valores reales.

Vector de Características: Incluye características estructurales (número de estados únicos, transiciones totales, autotransiciones), características temporales (tasas de transición, brechas de tiempo entre bursts, brechas de número de secuencia) y una codificación binaria de los IEs de la Solicitud de Sondeo (Probe Request).
Clasificación: El marco emplea un pipeline de aprendizaje supervisado para predecir si dos bursts se originan del mismo dispositivo físico. Utiliza características de similitud por pares (distancia euclidiana, similitud de coseno, distancia L1 y superposición de IE) alimentadas a clasificadores estándar: Bosque Aleatorio (RF), Máquina de Vectores de Soporte (SVM) y Regresión Logística (LR).

3. Evaluación y Resultados

Los autores evaluaron StateFi en ocho conjuntos de datos, incluyendo cinco entornos de campus heterogéneos (Cafetería, Laboratorio, Aula, Residencia, Restaurante) y tres grandes conjuntos de datos públicos (Infocom'21, Cagliari, MITIK).

3.1 Huella Digital Intra-Red

En un entorno interno de red (post-asociación), StateFi logró una precisión del 94–97% en cinco entornos de campus utilizando FSMs de gestión completa. El Bosque Aleatorio superó consistentemente a SVM y la Regresión Logística. Esto demuestra que los FSMs de gestión completa proporcionan firmas estables y altamente discriminativas para el monitoreo de integridad conductual y la detección de intrusiones, incluso cuando las direcciones MAC son solo estables durante la sesión.

3.2 Derrotando la Aleatorización de MAC

En el entorno adversario de pre-asociación (MAC aleatorias), StateFi utilizó FSMs de solo sondeo para reidentificar dispositivos.

A través de tres grandes conjuntos de datos públicos que contienen más de un millón de tramas, StateFi logró una precisión del 92–97%.
Utilizando la métrica de precisión de discriminación del estado del arte de la estructura Infocom'21, StateFi alcanzó un 93–98%.
Esto representa una mejora de hasta 17 puntos porcentuales sobre la firma previa más fuerte (IE+SEQ+RSSI), que se estancó en el 86%.
La brecha de rendimiento se amplió en ventanas de tiempo más largas, resaltando la sensibilidad de las firmas sintácticas a los límites de los bursts y la contención del canal, mientras que el modelado de comportamiento basado en FSM se mantuvo robusto.

4. Contribuciones Clave

El artículo realiza las siguientes contribcciones específicas:

Modelado de Comportamiento mediante FSMs: La introducción del primer marco de trabajo de huella digital que captura tanto la dinámica estructural como la temporal de las tramas de gestión utilizando el modelado de máquinas de estados finitos.
Incrustaciones Compactas y Escalables: La derivación de una representación vectorial eficiente de los FSM que soporta el emparejamiento basado en distancia y la clasificación supervisada, evitando el costo computacional de la comparación directa de grafos.
Evaluación Exhaustiva en el Mundo Real: Demostración de alta precisión tanto para la huella digital intra-red como para la reidentificación bajo aleatorización de MAC en diversos entornos, superando al estado del arte hasta en un 17%.
Revelación de un Canal Lateral de Comportamiento: La identificación de que la aleatorización de MAC no logra ocultar las huellas digitales de comportamiento a nivel de implementación, lo que motiva la necesidad de una ofuscación de comportamiento en los futuros estándares inalámbricos.

5. Significado y Reivindicaciones

El artículo postula que las dinámicas de comportamiento a nivel de FSM forman un canal lateral poderoso y en gran medida no mitigado. A diferencia de las características sintácticas que son fácilmente aleatorizables u ofuscables, la lógica de comportamiento codificada en las transiciones de estado y el tiempo está profundamente arraigada en el diseño de firmware y chipset, lo que la hace difícil de enmascarar sin perjudicar el rendimiento de la red (por ejemplo, aumentando la latencia o el consumo de energía).

StateFi demuestra que la identificación de dispositivos puede lograrse con alta precisión y robustez incluso en presencia de una agresiva aleatorización de MAC. Los autores concluyen que, si bien las defensas de privacidad actuales se centran en la aleatorización de identificadores, estas son insuficientes contra la reidentificación conductual. Las futuras defensas de privacidad deben abordar la filtración de las firmas de comportamiento a nivel de FSM para proteger eficazmente el anonimato del usuario en las redes Wi-Fi.