💻 computer science

StateFi: Effectively Identifying Wi-Fi Devices through State Transitions

StateFi è un nuovo framework di fingerprinting che identifica efficacemente i dispositivi Wi-Fi e sconfigge la randomizzazione dell'indirizzo MAC modellando i loro comportamenti dei frame di gestione come macchine a stati finiti, raggiungendo un'accuratezza di ri-identificazione fino al 97% in diversi ambienti.

Autori originali: Abhishek K. Mishra, Mathieu Cunche

Pubblicato 2026-01-15

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Abhishek K. Mishra, Mathieu Cunche

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate di camminare attraverso un terminal di un aeroporto affollato. Tutti indossano un cartellino identificativo che cambia ogni pochi secondi. Un momento vedete "John Smith", il momento dopo "Jane Doe", e poi "Alex Johnson". Se cercaste di seguire una persona specifica, questi cartellini che cambiano renderebbero l'operazione quasi impossibile.

Questo è esattamente il modo in cui i moderni dispositivi Wi-Fi funzionano oggi. Per proteggere la vostra privacy, il vostro telefono e il vostro laptop cambiano costantemente i loro "cartellini identificativi digitali" (chiamati indirizzi MAC) quando cercano reti Wi-Fi. Questo è chiamato randomizzazione del MAC.

Tuttavia, i ricercatori dietro questo articolo, StateFi, hanno scoperto che, sebbene i cartellini identificativi cambino, il modo in cui i dispositivi agiscono rimane lo stesso. Hanno scoperto un nuovo, potente modo per identificare i dispositivi non per ciò che dicono, ma per come si comportano.

Ecco una semplice analisi della loro scoperta:

1. Il Problema: L'effetto "Camaleonte"

Pensate a un dispositivo Wi-Fi come a un camaleonte. Quando tenta di connettersi a una rete, invia una serie di "grida" digitali (chiamate frame di gestione) per dire: "Ehi, c'è qualcuno?".

Vecchio Metodo: I tentativi precedenti di tracciare questi dispositivi esaminavano il contenuto della grida. Controllavano le parole specifiche usate (come la lista di funzionalità supportate dal telefono) o il tempo esatto della grida.
Il Difetto: Proprio come un camaleonte può cambiare i suoi colori, queste "parole" e questi "tempi" possono essere facilmente falsificati, diventare disordinati in luoghi affollati o cambiare quando il telefono aggiorna il suo software. Se l'ambiente è rumoroso (come un caffè affollato), questi vecchi metodi spesso falliscono.

2. La Soluzione: La "Coreografia" (StateFi)

Il team di StateFi ha capito che anche se un dispositivo cambia il suo cartellino identificativo e le sue parole specifiche, esegue comunque la stessa coreografia.

Hanno modellato il comportamento del dispositivo come una Macchina a Stati Finiti (FSM).

L'Analogia: Immaginate un ballerino. Potrebbe indossare costumi diversi (indirizzi MAC randomizzati) e ballare su canzoni diverse (diverse reti Wi-Fi), ma la sua coreografia è unica.
- Fa due giri su se stesso prima di saltare?
- Fa una pausa di una frazione di secondo tra una mossa e l'altra?
- Ripete una mossa se la musica si ferma?
- Salta immediatamente o aspetta un segnale?

StateFi non si cura del costume o della canzone. Osserva la sequenza di movimenti e il tempo tra di essi. Costruisce una mappa dei "passi di danza" del dispositivo.

3. Come Funziona

I ricercatori hanno costruito un sistema che:

Osserva la Danza: Registra ogni volta che un dispositivo invia un segnale.
Mappa i Passi: Crea un diagramma di flusso che mostra come il dispositivo si muove da uno stato all'altro (ad esempio, "Sto scansionando" $\to$ "Sto chiedendo" $\to$ "Sto aspettando" $\to$ "Sto chiedendo di nuovo").
Crea un'Impronta Digitale: Trasforma questa complessa coreografia in una lista semplice e compatta di numeri (un vettore).
Trova il Ballerino: Anche se il dispositivo cambia il suo cartellino identificativo, il sistema confronta la nuova coreografia con la vecchia. Se i passi e il tempo corrispondono, sa che: "Questo è lo stesso dispositivo!".

4. I Risultati: Un Detective Maestro

Il team ha testato questo sistema in cinque diverse località reali (un caffè, un laboratorio, un'aula, una casa e un ristorante) e contro enormi dataset pubblici contenenti milioni di segnali.

Nella Rete: Quando i dispositivi erano già connessi al Wi-Fi, StateFi poteva identificarli con una precisione dal 94% al 97%. Poteva capire se un dispositivo stava fingendo di essere qualcun altro.
Contro la Randomizzazione: Anche quando i dispositivi utilizzavano la loro modalità "camaleonte" (cambiando indirizzi MAC) e inviavano solo segnali di "Ehi", StateFi riusciva comunque a ri-identificarli con una precisione dal 92% al 97%.
Sconfiggere i Migliori: Hanno confrontato il loro metodo con l'attuale "standard di riferimento" per il tracciamento (che analizza cartellini identificativi, liste di parole e forza del segnale). StateFi ha superato il miglior metodo esistente fino al 17%.

5. Perché Questo è Importante

L'articolo conclude che, sebbene cambiare il proprio cartellino identificativo digitale sia utile, non è sufficiente. La "personalità" del vostro dispositivo — il modo profondo e codificato a livello hardware e software con cui gestisce le connessioni — è come un'impronta digitale molto difficile da nascondere.

I ricercatori suggeriscono che, per proteggere davvero la privacy in futuro, potremmo dover cambiare il modo in cui i dispositivi si comportano, non solo ciò che dicono. Ma per ora, StateFi dimostra che il comportamento è un potente canale laterale che può identificare i dispositivi anche quando cercano di nascondersi.

Riepilogo Tecnico: StateFi – Identificazione Efficace dei Dispositivi Wi-Fi attraverso le Transizioni di Stato

1. Definizione del Problema

I dispositivi Wi-Fi emettono continuamente frame di gestione non criptati per scopi di scoperta, autenticazione e associazione. Sebbene questi frame siano essenziali per la connettività, essi rivelano schemi comportamentali strutturati che consentono il fingerprinting e il tracciamento dei dispositivi. Per mitigare questo problema, i moderni sistemi operativi impiegano la randomizzazione dell'indirizzo MAC, ruotando frequentemente indirizzi MAC amministrati localmente durante la scoperta basata su probe.

Tuttavia, la letteratura esistente indica che la randomizzazione oscura solo gli identificatori, non la logica comportamentale sottostante codificata nelle sequenze di management-frame, nei tempi e nella dinamica dei tentativi di trasmissione (retry). I precedenti tentativi di contrastare la randomizzazione del MAC si sono basati su caratteristiche sintattiche derivate da Elementi Informativi (IE), numeri di sequenza (SEQ) o correlazioni RSSI. Tali metodi presentano limitazioni significative:

Fragilità: Il loro potere discriminante degrada drasticamente in ambienti realistici caratterizzati da alta contesa, mobilità e deployment eterogenei di Access Point (AP).
Scarsità: L'attività di probe è intrinsecamente sparsa e altamente variabile, limitando la stabilità delle firme sintattiche.
Offuscamento: Gli identificatori a livello di campo (come gli IE) possono essere facilmente offuscati o alterati dagli aggiornamenti del sistema operativo.

Di conseguenza, gli identificatori randomizzati forniscono una protezione incompleta contro la re-identificazione comportamentale, rendendo necessaria una transizione dalle caratteristiche basate sul contenuto a quelle basate sulla dinamica comportamentale.

2. Metodologia: Framework StateFi

StateFi introduce un framework di fingerprinting che modella il comportamento del dispositivo come Macchine a Stati Finiti (FSM). Invece di analizzare isolatamente i singoli tipi di frame o i campi di metadati, StateFi cattura la struttura completa e la temporizzazione delle interazioni nel piano di gestione.

2.1 Modellazione Comportamentale tramite FSM

L'intuizione fondamentale è che il comportamento nel piano di gestione deriva da scelte progettuali profonde del firmware e del chipset (ad esempio, strategie di scansione, sequenze di associazione, timing del backoff) che rimangono stabili attraverso gli eventi di randomizzazione del MAC.

Definizione degli Stati: L'insieme degli stati ( $Q$ ) corrisponde ai sottotipi di management-frame (ad esempio, ProbeReq, Auth, AssocReq).
Transizioni: La funzione di transizione ( $\delta$ ) registra le transizioni osservate tra sottotipi successivi all'interno di un "burst" (una sequenza di pacchetti emessi dallo stesso MAC dove gli intervalli tra i pacchetti non superano un secondo).
Logica Temporale: Il modello cattura non solo le transizioni strutturali (ad esempio, retry, auto-transizioni) ma anche la logica di esecuzione temporale, come i ritardi tra gli stati e il ritmo di scansione (scan pacing).

2.2 Due Regimi Operativi

StateFi opera in due modalità distinte a seconda del modello di minaccia:

FSM a Gestione Completa (Full-Management FSMs): Utilizzate in contesti di rete interna dove i dispositivi possono rimanere associati. Queste FSM catturano l'intero spettro delle interazioni, inclusi il traffico di probe, le sequenze di scambio autenticazione/associazione, i tentativi di reassociazione e la logica di deautenticazione.
FSM Solo-Probe (Probe-Only FSMs): Utilizzate in contesti avversari di pre-associazione dove i dispositivi emettono MAC randomizzati. Queste FSM sono costruite esclusivamente a partire da probe request e response. Nonostante l'alfabeto ridotto, esse mantengono una ricca struttura comportamentale riguardante l'ordinamento degli IE, i pattern di scansione e le dinamiche di retry specifiche del chipset.

2.3 Embedding delle Caratteristiche e Classificazione

Il confronto diretto tra grafi FSM è computazionalmente costoso a causa dei requisiti di isomorfismo dei grafi. Per consentire un'analisi scalabile, StateFi inserisce ogni FSM in un vettore di caratteristiche compatto a valori reali.

Vettore di Caratteristiche: Include caratteristiche strutturali (numero di stati unici, transizioni totali, auto-transizioni), caratteristiche temporali (tassi di transizione, intervalli di tempo tra i burst, gap nei numeri di sequenza) e una codifica binaria degli IE delle Probe Request.
Classificazione: Il framework impiega una pipeline di apprendimento supervisionato per predire se due burst originano dallo stesso dispositivo fisico. Utilizza caratteristiche di similarità a coppie (distanza euclidea, similarità del coseno, distanza L1 e sovrapposenza IE) fornite a classificatori standard: Random Forest (RF), Support Vector Machine (SVM) e Regressione Logistica (LR).

3. Valutazione e Risultati

Gli autori hanno valutato StateFi su otto dataset, inclusi cinque ambienti campus eterogenei (Café, Laboratorio, Aula, Residenza, Ristorante) e tre grandi dataset pubblici (Infocom'21, Cagliari, MITIK).

3.1 Fingerprinting In-Network

In un contesto di rete interna (post-associazione), StateFi ha raggiunto un'accuratezza del 94–97% in cinque ambienti campus utilizzando le FSM a gestione completa. Random Forest ha superato costantemente SVM e la Regressione Logistica. Ciò dimostra che le FSM a gestione completa forniscono firme stabili e altamente discriminanti per il monitoraggio dell'integrità comportamentale e il rilevamento delle intrusioni, anche quando gli indirizzi MAC sono stabili solo per la durata della sessione.

3.2 Contrastare la Randomizzazione del MAC

Nel contesto avversario di pre-associazione (MAC randomizzati), StateFi ha utilizzato le FSM solo-probe per re-identificare i dispositivi.

Attraverso tre grandi dataset pubblici contenenti oltre un milione di frame, StateFi ha raggiunto un'accuratezza del 92–97%.
Utilizzando la metrica di accuratezza di discriminazione del framework allo stato dell'arte Infocom'21, StateFi ha raggiunto il 93–98%.
Ciò rappresenta un miglioramento fino a 17 punti percentuali rispetto alla precedente firma più forte (IE+SEQ+RSSI), che si era stabilizzata all'86%.
Il divario di prestazioni si è ampliato con finestre temporali più lunghe, evidenziando la sensibilità delle firme sintattiche ai confini dei burst e alla contesa del canale, mentre la modellazione comportamentale basata su FSM è rimasta robusta.

4. Contributi Chiave

Il documento apporta i seguenti contributi specifici:

Modellazione Comportamentale tramite FSM: L'introduzione del primo framework di fingerprinting che cattura sia la dinamica strutturale che quella temporale dei management-frame utilizzando la modellazione di macchine a stati finiti.
Embedding Compatti e Scalabili: La derivazione di una rappresentazione vettoriale efficiente delle FSM che supporta il matching basato sulla distanza e la classificazione supervisionata, evitando il costo computazionale del confronto diretto tra grafi.
Valutazione Completa nel Mondo Reale: Dimostrazione di un'alta accuratezza sia per il fingerprinting in rete che per la re-identificazione sotto randomizzazione del MAC in diversi ambienti, superando lo stato dell'arte fino al 17%.
Rivelazione di un Canale Collaterale Comportamentale: L'identificazione del fatto che la randomizzazione del MAC non riesce a nascondere i fingerprint comportamentali a livello di implementazione, motivando la necessità di un offuscamento comportamentale nei futuri standard wireless.

5. Significato e Rivendicazioni

Il documento sostiene che le dinamiche comportamentali a livello FSM costituiscono un canale collaterale potente e in gran parte non mitigato. A differenza delle caratteristiche sintattiche, che possono essere facilmente randomizzate o offuscate, la logica comportamentale codificata nelle transizioni di stato e nei tempi è profondamente radicata nel design del firmware e del chipset, rendendo difficile la mascheratura senza compromettere le prestazioni della rete (ad esempio, aumentando la latenza o il consumo energetico).

StateFi dimostra che l'identificazione del dispositivo può essere ottenuta con alta precisione e robustezza anche in presenza di una aggressiva randomizzazione del MAC. Gli autori concludono che, sebbene le attuali difese della privacy si concentrino sulla randomizzazione degli identificatori, queste sono insufficienti contro la re-identificazione comportamentale. Le future difese della privacy devono affrontare la fuga delle firme comportamentali a livello FSM per proteggere efficacemente l'anonimato dell'utente nelle reti Wi-Fi.