💻 computer science

StateFi: Effectively Identifying Wi-Fi Devices through State Transitions

StateFi est un nouveau cadre d'empreinte numérique qui identifie efficacement les appareils Wi-Fi et déjoue la randomisation des adresses MAC en modélisant leurs comportements de trames de gestion comme des machines à états finis, atteignant jusqu'à 97 % de précision de réidentification à travers divers environnements.

Auteurs originaux : Abhishek K. Mishra, Mathieu Cunche

Publié 2026-01-15

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Abhishek K. Mishra, Mathieu Cunche

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous marchiez dans un terminal d'aéroport bondé. Tout le monde porte un badge nominatif qui change toutes les quelques secondes. Un instant, vous voyez « John Smith », l'instant d'après « Jane Doe », puis « Alex Johnson ». Si vous essayiez de suivre une personne spécifique, ces badges changeants rendraient la tâche presque impossible.

C'est exactement ainsi que fonctionnent les appareils Wi-Fi modernes aujourd'hui. Pour protéger votre vie privée, votre téléphone et votre ordinateur changent constamment leurs « badges nominatifs » numériques (appelés adresses MAC) lorsqu'ils cherchent des réseaux Wi-Fi. C'est ce qu'on appelle la randomisation de l'adresse MAC.

Cependant, les chercheurs derrière cet article, StateFi, ont découvert que même si les badges changent, la manière dont les appareils agissent reste la même. Ils ont trouvé un nouveau moyen puissant d'identifier les appareils, non pas par ce qu'ils disent, mais par la façon dont ils se comportent.

Voici une décomposition simple de leur découverte :

1. Le problème : L'effet « Caméléon »

Considérez un appareil Wi-Fi comme un caméléon. Lorsqu'il tente de se connecter à un réseau, il envoie une série de « cris » numériques (appelés trames de gestion) pour dire : « Bonjour, y a-t-il quelqu'un ? ».

L'ancienne méthode : Les tentatives précédentes pour suivre ces appareils examinaient le contenu du cri. Elles vérifiaient les mots spécifiques utilisés (comme la liste des fonctionnalités que le téléphone prend en charge) ou le timing exact du cri.
La faille : Tout comme un caméléon peut changer de couleur, ces « mots » et ces « timings » peuvent être facilement falsifiés, devenir désordonnés dans des endroits bondés, ou changer lorsque le téléphone met à jour son logiciel. Si l'environnement est bruyant (comme un café animé), ces anciennes méthodes échouent souvent.

2. La solution : La « Routine de danse » (StateFi)

L'équipe StateFi a réalisé que même si un appareil change son badge nominatif et ses mots spécifiques, il exécute toujours la même routine de danse.

Ils ont modélisé le comportement de l'appareil comme une machine à états finis (FSM).

L'analogie : Imaginez un danseur. Il peut porter différents costumes (adresses MAC randomisées) et danser sur différentes chansons (différents réseaux Wi-Fi), mais sa chorégraphie est unique.
- Est-ce qu'il tourne deux fois avant de sauter ?
- Est-ce qu'il fait une pause d'une fraction de seconde entre les mouvements ?
- Répète-t-il un mouvement si la musique s'arrête ?
- Saute-t-il immédiatement ou attend-il un signal ?

StateFi ne se soucie pas du costume ou de la chanson. Il observe la séquence de mouvements et le timing entre eux. Il construit une carte des « pas de danse » de l'appareil.

3. Comment cela fonctionne

Les chercheurs ont construit un système qui :

Observe la danse : Il enregistre chaque fois qu'un appareil envoie un signal.
Cartographie les étapes : Il crée un organigramme montrant comment l'appareil passe d'un état à un autre (ex : « Je scanne » $\to$ « Je demande » $\to$ « J'attends » $\to$ « Je demande à nouveau »).
Crée une empreinte : Il transforme cette routine de danse complexe en une liste de chiffres simple et compacte (un vecteur).
Identifie le danseur : Même si l'appareil change son badge, le système compare la nouvelle routine de danse à l'ancienne. Si les étapes et le timing correspondent, il sait : « C'est le même appareil ! ».

4. Les résultats : Un maître détective

L'équipe a testé cela dans cinq lieux réels différents (un café, un laboratoire, une salle de classe, une maison et un restaurant) et contre de vastes ensembles de données publiques contenant des millions de signaux.

Dans le réseau : Lorsque les appareils étaient déjà connectés au Wi-Fi, StateFi pouvait les identifier avec une précision de 94 % à 97 %. Il pouvait dire si un appareil prétendait être un autre.
Contre la randomisation : Même lorsque les appareils utilisaient leur mode « caméléon » (changeant d'adresses MAC) et n'envoyaient que des signaux de type « Bonjour », StateFi pouvait toujours les ré-identifier avec une précision de 92 % à 97 %.
Battre les meilleurs : Ils ont comparé leur méthode à la « norme d'excellence » actuelle du suivi (qui examine les badges, les listes de mots et la force du signal). StateFi a battu la meilleure méthode existante de près de 17 %.

5. Pourquoi cela importe

L'article conclut que bien que changer votre badge numérique soit une bonne chose, cela ne suffit pas. La « personnalité » de votre appareil — la manière profonde, codée en dur, dont son matériel et son logiciel gèrent les connexions — est comme une empreinte digitale très difficile à cacher.

Les chercheurs suggèrent que pour réellement protéger la vie privée à l'avenir, nous devrons peut-être changer la façon dont les appareils se comportent, et pas seulement ce qu'ils disent. Mais pour l'instant, StateFi prouve que le comportement est un canal auxiliaire puissant capable d'identifier les appareils même lorsqu'ils tentent de se cacher.

Résumé Technique : StateFi – Identifier efficacement les appareils Wi-Fi via les transitions d'état

1. Énoncé du problème

Les appareils Wi-Fi émettent en continu des trames de gestion non chiffrées pour la découverte, l'authentification et l'association. Bien que ces trames soient essentielles à la connectivité, elles laissent fuiter des modèles comportementaux structurés qui permettent l'empreinte numérique (fingerprinting) et le traçage des appareils. Pour atténuer cela, les systèmes d'exploitation modernes emploient la randomisation d'adresses MAC, faisant pivoter fréquemment des adresses MAC administrées localement lors de la découverte par sondage (probe).

Cependant, la littérature existante indique que la randomisation obscurcit seulement les identifiants, et non la logique comportementale sous-jacente encodée dans les séquences de trames de gestion, le minutage et la dynamique de tentatives (retry). Les tentatives antérieures pour vaincre la randomisation MAC reposent sur des caractéristiques syntaxiques dérivées des éléments d'information (IE), des numéros de séquence (SEQ) ou des corrélations RSSI. Ces méthodes souffrent de limitations significatives :

Fragilité : Leur pouvoir discriminatif se dégrade brusquement dans des environnements réalistes caractérisés par une contention élevée, de la mobilité et des déploiements d'Access Points (AP) hétérogènes.
Rareté : L'activité de sondage est intrinsèquement parcimonieuse et hautement variable, ce qui limite la stabilité des signatures syntaxiques.
Obscurcissement : Les identifiants au niveau des champs (comme les IE) peuvent être facilement obscurcis ou modifiés par des mises à jour de systèmes d'exploitation.

Par conséquent, les identifiants randomisés offrent une protection incomplète contre la ré-identification comportementale, nécessitant un passage des caractéristiques basées sur le contenu vers les dynamiques comportementales.

2. Méthodologie : Le cadre StateFi

StateFi introduit un cadre d'empreinte numérique qui modélise le comportement des appareils sous forme d'automates à états finis (FSM). Plutôt que d'analyser les types de trames ou les champs de métadonnées isolément, StateFi capture la structure complète et le minutage des interactions du plan de gestion.

2.1 Modélisation comportementale via les FSM

L'idée centrale est que le comportement du plan de gestion découle de choix de conception profonds du firmware et du chipset (ex: stratégies de scan, séquences d'association, temporisation de backoff) qui restent stables à travers les événements de randomisation MAC.

Définition des états : L'ensemble des états ( $Q$ ) correspond aux sous-types de trames de gestion (ex: ProbeReq, Auth, AssocReq).
Transitions : La fonction de transition ( $\delta$ ) enregistre les transitions observées entre les sous-types successifs au sein d'un « burst » (une séquence de paquets émis par la même adresse MAC où les intervalles entre les paquets n'excèdent pas une seconde).
Logique temporelle : Le modèle capture non seulement les transitions structurelles (ex: tentatives de réémission, auto-transitions) mais aussi la logique d'exécution temporelle, telle que les délais inter-états et le rythme de scan.

2.2 Deux régimes opérationnels

StateFi opère dans deux modes distincts selon le modèle de menace :

FSM de gestion complète : Utilisé dans les contextes internes au réseau où les appareils peuvent rester associés. Ces FSM capturent tout le spectre des interactions, y compris le trafic de sondage, les échanges d'authentification/association, les tentatives de réassociation et la logique de désauthentification.
FSM de sondage uniquement (Probe-Only) : Utilisé dans les contextes adverses de pré-association où les appareils émettent des adresses MAC randomisées. Ces FSM sont construits uniquement à partir des requêtes et réponses de sondage. Malgré un alphabet réduit, ils conservent une structure comportementale riche concernant l'ordre des IE, les modèles de scan et les dynamiques de réémission spécifiques au chipset.

2.3 Plongement de caractéristiques (Embedding) et classification

La comparaison directe de graphes FSM est coûteuse en raison des exigences d'isomorphisme de graphe. Pour permettre une analyse évolutive, StateFi plonge chaque FSM dans un vecteur de caractéristiques compact à valeurs réelles.

Vecteur de caractéristiques : Comprend des caractéristiques structurelles (nombre d'états uniques, nombre total de transitions, auto-transitions), des caractéristiques temporelles (taux de transition, intervalles de temps inter-burst, écarts de numéros de séquence) et un codage binaire des IE de Probe Request.
Classification : Le cadre utilise un pipeline d'apprentissage supervisé pour prédire si deux bursts proviennent du même appareil physique. Il utilise des caractéristiques de similitude par paires (distance euclidienne, similitude cosinus, distance L1 et chevauchement IE) injectées dans des classifieurs standards : Forêt Aléatoire (RF), Machine à Vecteurs de Support (SVM) et Régression Logistique (LR).

3. Évaluation et résultats

Les auteurs ont évalué StateFi à travers huit ensembles de données, incluant cinq environnements de campus hétérogènes (Café, Laboratoire, Salle de classe, Résidence, Restaurant) et trois grands ensembles de données publics (Infocom'21, Cagliari, MITIK).

3.1 Empreinte numérique intra-réseau

Dans un contexte interne au réseau (post-association), StateFi a atteint une précision de 94–97 % à travers cinq environnements de campus en utilisant des FSM de gestion complète. La Forêt Aléatoire a systématiquement surpassé le SVM et la Régression Logistique. Cela démontre que les FSM de gestion complète fournissent des signatures stables et hautement discriminantes pour la surveillance de l'intégrité comportementale et la détection d'intrusion, même lorsque les adresses MAC ne sont stables que durant une session.

3.2 Déjouer la randomisation MAC

Dans le contexte adverse de pré-association (MAC randomisées), StateFi a utilisé des FSM de sondage uniquement pour ré-identifier les appareils.

À travers trois grands ensembles de données publics contenant plus d'un million de trames, StateFi a atteint une précision de 92–97 %.
En utilisant la métrique de précision de discrimination de l'état de l'art (cadre Infocom'21), StateFi a atteint 93–98 %.
Cela représente une amélioration allant jusqu'à 17 points de pourcentage par rapport à la signature la plus forte précédente (IE+SEQ+RSSI), qui plafonnait à 86 %.
L'écart de performance s'est creusé avec des fenêtres temporelles plus longues, soulignant la sensibilité des signatures syntaxiques aux limites de bursts et à la contention de canal, tandis que la modélisation comportementale par FSM est restée robuste.

4. Contributions clés

Le document présente les contributions spécifiques suivantes :

Modélisation comportementale via les FSM : L'introduction du premier cadre d'empreinte numérique capturant à la fois la dynamique structurelle et temporelle des trames de gestion via la modélisation par automates à états finis.
Plongements compacts et évolutifs : La dérivation d'une représentation vectorielle efficace des FSM permettant une mise en correspondance basée sur la distance et une classification supervisée évolutive, évitant le coût computationnel de la comparaison directe de graphes.
Évaluation complète en conditions réelles : Démonstration d'une haute précision pour l'empreinte intra-réseau et la ré-identification sous randomisation MAC dans divers environnements, surpassant l'état de l'art jusqu'à 17 %.
Révélation d'un canal auxiliaire comportemental : L'identification du fait que la randomisation MAC ne parvient pas à dissimuler les empreintes comportementales au niveau de l'implémentation, motivant la nécessité d'une obfuscation comportementale dans les futurs standards sans fil.

5. Signification et affirmations

Le papier pose comme postulat que les dynamiques comportementales au niveau FSM constituent un canal auxiliaire puissant et largement non atténué. Contrairement aux caractéristiques syntaxiques qui sont facilement randomisables ou obscurcissables, la logique comportementale encodée dans les transitions d'état et le minutage est profondément ancrée dans la conception du firmware et du chipset, ce qui la rend difficile à masquer sans nuire aux performances du réseau (ex: augmenter la latence ou la consommation d'énergie).

StateFi démontre que l'identification d'appareils peut être réalisée avec une précision et une robustesse élevées, même en présence d'une randomisation MAC agressive. Les auteurs concluent que si les défenses actuelles de confidentialité se concentrent sur la randomisation des identifiants, elles sont insuffisantes face à la ré-identification comportementale. Les futures défenses de confidentialité doivent traiter la fuite des signatures comportementales de niveau FSM pour protéger efficacement l'anonymat des utilisateurs dans les réseaux Wi-Fi.