💻 computer science

AirCatch: Effectively tracing advanced tag-based trackers

AirCatch è un sistema di rilevamento passivo che identifica i tracker malevoli attraverso l'impronta analogica della frequenza (CFO), superando le tecniche di evasione basate sulla rotazione degli identificatori grazie a un algoritmo di densità persistente e a un ricevitore a basso costo chiamato BlePhasyr.

Autori originali: Abhishek Kumar Mishra, Swadeep, Guevara Noubir, Mathieu Cunche

Pubblicato 2026-02-10

📖 3 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Abhishek Kumar Mishra, Swadeep, Guevara Noubir, Mathieu Cunche

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il Problema: Lo "Stalker Invisibile"

Immagina di camminare in una città affollata. Di solito, per seguirti, qualcuno dovrebbe indossare un cappello rosso, poi uno blu, poi una sciarpa verde, cambiando continuamente aspetto per non farsi riconoscere dalle telecamere.

I moderni localizzatori (come gli AirTag di Apple o i Samsung SmartTag) funzionano un po' così: per proteggere la tua privacy, cambiano continuamente il loro "nome digitale" (l'indirizzo MAC). Se un malintenzionato usa un dispositivo modificato, può cambiare nome ogni pochi secondi. Per i sistemi di sicurezza attuali, è come se vedessero mille persone diverse passare, quando in realtà è sempre la stessa persona che ti segue. Questo rende quasi impossibile accorgersi di uno stalking digitale.

La Soluzione di AirCatch: "L'Impronta Digitale del Motore"

Gli autori di AirCatch hanno pensato: "Ok, il ladro può cambiare vestiti e maschere, ma non può cambiare il modo in cui il suo corpo funziona."

Invece di guardare il "nome" del dispositivo (che cambia continuamente), AirCatch guarda la sua "impronta fisica".

L'analogia del motore:
Immagina di essere un poliziotto che deve identificare un criminale che usa continuamente auto diverse con targhe false. Se guardi solo la targa, non lo prenderai mai. Ma se invece ascolti il rumore del motore, potresti accorgerti che, nonostante l'auto cambi modello e colore, il "ticchettio" del motore ha sempre lo stesso identico ritmo e la stessa leggera imperfezione.

In termini tecnici, AirCatch non guarda il software, ma guarda le piccole imperfezioni hardware (chiamate Carrier Frequency Offset o CFO). Ogni chip radio ha un "ticchettio" unico dovuto a minuscole variazioni nella fabbricazione. Anche se il tracker cambia nome mille volte, il suo "ticchettio" radio rimane lo stesso.

Come funziona AirCatch (in 3 passi)

L'Ascolto Attento (Il Microfono): Hanno creato un piccolo dispositivo economico (chiamato BlePhasyr) che agisce come un orecchio elettronico super sensibile. Non legge solo i messaggi, ma "ascolta" la frequenza pura del segnale.
Il Raggruppamento (Il Puzzle): Il sistema prende tutti i segnali che sente. Se vede un sacco di "nomi diversi" che però hanno tutti lo stesso identico "ticchettio" e che si muovono insieme a te per molto tempo, capisce che non è un caso: è un unico stalker che sta cambiando maschera.
L'Allarme (La Protezione): Quando il sistema è sicuro che quel "ritmo" è persistente e sospetto, invia un avviso sul tuo smartphone: "Attenzione, c'è un dispositivo che ti sta seguendo!"

Perché è una rivoluzione?

È quasi impossibile da ingannare: Per fregare AirCatch, lo stalker non dovrebbe solo cambiare il software, ma dovrebbe cambiare fisicamente i componenti elettronici del suo dispositivo ogni volta che cambia nome. Sarebbe troppo costoso e complicato.
È economico: Non serve un laboratorio della NASA; hanno dimostrato che si può fare con componenti che costano circa 10 euro.
Funziona ovunque: Lo hanno testato in situazioni reali: in auto, sui mezzi pubblici, in aeroporto e in ufficio. Anche in mezzo a migliaia di altri segnali (come le cuffie Bluetooth di tutti gli altri), AirCatch riesce a isolare il "rumore" dello stalker.

In sintesi

Se i sistemi attuali cercano di riconoscere una persona guardando la sua faccia (che lo stalker maschera continuamente), AirCatch la riconosce ascoltando il suo battito cardiaco. E il battito cardiaco, a differenza della maschera, non si può cambiare facilmente.

Riassunto Tecnico: AirCatch

1. Il Problema: L'evasione dei sistemi di difesa attuali

Gli ecosistemi di tracciamento basati su tag BLE (come Apple AirTag, Samsung SmartTag, Google Find My Device e Tile) sono stati ampiamente utilizzati per scopi malevoli, come lo stalking. Le attuali difese (sia a livello di protocollo che di sistema operativo) si basano sulla continuità degli identificatori (MAC address o payload).

Tuttavia, un attaccante avanzato può eludere queste difese utilizzando tracker modificati che:

Ruotano rapidamente gli identificatori (pseudonimi) a ogni trasmissione.
Utilizzano il "duty-cycling", ovvero trasmettono a intervalli irregolari o molto lunghi per apparire come traffico transitorio.
Questo rende i rilevatori basati su ID inefficaci, poiché non riescono a correlare i diversi pacchetti allo stesso dispositivo fisico.

2. Metodologia: Sfruttare l'impronta analogica (Physical-Layer)

Il cuore della proposta di AirCatch è spostare il rilevamento dal livello logico (identificatori) al livello fisico (RF fingerprinting). Mentre gli ID possono cambiare istantaneamente, le imperfezioni hardware dell'oscillatore del trasmettitore rimangono stabili.

A. Fingerprinting consapevole della modulazione (Modulation-aware CFO):
AirCatch non utilizza solo il semplice Carrier Frequency Offset (CFO) globale, ma introduce un vettore di fingerprint a 5 dimensioni che include:

Il CFO del pacchetto (offset globale).
CFO condizionati alle transizioni di bit: Il sistema analizza come la frequenza varia durante le transizioni di bit specifiche (es. $0 \to 0$ , $1 \to 1$ , $0 \to 1$ , $1 \to 0$ ). Queste asimmetrie nelle transizioni sono causate da dinamiche hardware (filtri Gaussiani, risposta del PLL, limiti del DAC/PA) e sono altamente distintive per ogni dispositivo.

B. Algoritmo di rilevamento (Core Density & Persistence):
Invece di cercare un singolo ID persistente, AirCatch cerca una regione densa e persistente nello spazio delle caratteristiche CFO.

Segmentazione: I pacchetti vengono raggruppati in segmenti basati su finestra temporale, ecosistema e ID.
Clustering: I segmenti vengono raggruppati in base alla somiglianza del fingerprint CFO.
Core Density: Viene calcolata la densità di un "nucleo" (core) di segmenti che occupano una regione molto compatta nello spazio CFO. Un attaccante che ruota gli ID genererà molti segmenti diversi, ma tutti concentrati nello stesso punto del grafico CFO.
Persistenza: Un allarme viene attivato solo se tale nucleo denso persiste per un tempo minimo ( $T_{min} = 40$ minuti), distinguendo lo stalker dai passanti casuali.

C. Hardware: BlePhasyr:
Per rendere il sistema praticabile, gli autori hanno progettato BlePhasyr, un micro-SDR da circa 10$ basato su chip commodity (Seeed XIAO MG24 e ESP32-S3), capace di catturare campioni IQ ad alta velocità per l'estrazione delle caratteristiche fisiche.

3. Contributi Chiave

Nuovo Fingerprint RF: Un vettore a 5 dimensioni che combina CFO globale e CFO basato sulle transizioni di bit, garantendo stabilità e discriminazione.
Algoritmo di rilevamento passivo: Un metodo robusto contro la rotazione degli ID e il duty-cycling, basato sulla densità del nucleo nel dominio fisico.
Hardware Low-Cost: Il dispositivo BlePhasyr, che democratizza l'accesso al monitoraggio RF di precisione.
Validazione End-to-End: Un'applicazione Android che fornisce avvisi immediati all'utente.

4. Risultati

Efficacia contro l'evasione: AirCatch è riuscito a rilevare tracker avanzati (ESP32 modificati) che ruotavano l'ID a ogni trasmissione e variavano l'intervallo di trasmissione da 2 a 60 secondi.
Zero Falsi Positivi: Nei test condotti in ambienti densi (come un aeroporto) e durante spostamenti reali (auto, mezzi pubblici), il sistema non ha generato falsi allarmi, grazie alla combinazione di soglia di densità e test di persistenza.
Confronto con sistemi esistenti: AirCatch ha dimostrato di essere più rapido e versatile rispetto alle protezioni integrate di Apple e Google, che spesso falliscono quando l'attaccante manipola i tempi di trasmissione o la rotazione degli ID.
Stabilità: I fingerprint CFO si sono dimostrati stabili nel tempo e consistenti tra diversi hardware (SDR professionali vs BlePhasyr).

5. Significatività

AirCatch rappresenta un cambio di paradigma nella sicurezza dei dispositivi IoT. Dimostra che le costrizioni fisiche dell'hardware possono essere utilizzate come una "ancora di verità" per contrastare attacchi che manipolano il software e i protocolli. Il lavoro fornisce una soluzione pratica, economica e scalabile per proteggere gli utenti dallo stalking digitale, colmando il divario tra le attuali difese basate su ID e le capacità di un attaccante moderno.