💻 computer science

StateFi: Effectively Identifying Wi-Fi Devices through State Transitions

StateFi is een nieuw fingerprinting-framework dat effectief Wi-Fi-apparaten identificeert en MAC-adresrandomisatie verslaat door hun management frame-gedragingen te modelleren als eindige toestandsautomaten, waarbij een re-identificatienauwkeurigheid van tot 97% wordt bereikt in diverse omgevingen.

Oorspronkelijke auteurs: Abhishek K. Mishra, Mathieu Cunche

Gepubliceerd 2026-01-15

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Abhishek K. Mishra, Mathieu Cunche

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je door een drukke luchthavenhal loopt. Iedereen draagt een naamkaartje dat elke paar seconden verandert. Het ene moment zie je "John Smith", het volgende moment "Jane Doe", en dan weer "Alex Johnson". Als je probeert een specifiek persoon te volgen, maken deze veranderende naamkaartjes het bijna onmogelijk.

Dit is precies hoe moderne Wi-Fi-apparaten vandaag de dag werken. Om je privacy te beschermen, veranderen je telefoon en laptop constant hun digitale "naamkaartjes" (MAC-adressen) wanneer ze naar Wi-Fi-netwerken zoeken. Dit wordt MAC-randomisatie genoemd.

Echter, de onderzoekers achter dit artikel, StateFi, ontdekten dat hoewel de naamkaartjes veranderen, de manier waarop de apparaten handelen hetzelfde blijft. Ze ontdekten een nieuwe, krachtige manier om apparaten te identificeren, niet door naar te kijken naar wat ze zeggen, maar naar hoe ze zich gedragen.

Hier is een eenvoudige uitleg van hun ontdekking:

1. Het Probleem: Het "Kameleon-effect"

Beschouw een Wi-Fi-apparaat als een kameleon. Wanneer het probeert verbinding te maken met een netwerk, stuurt het een reeks digitale "kreten" uit (management frames) om te zeggen: "Hallo, is daar iemand?"

Oude methode: Eerdere pogingen om deze apparaten te volgen, keken naar de inhoud van de kreet. Ze controleerden de specifieke woorden die werden gebruikt (zoals de lijst met functies die de telefoon ondersteunt) of de exacte timing van de kreet.
De tekortkoming: Net zoals een kameleon zijn kleuren kan veranderen, kunnen deze "woorden" en "timings" gemakkelijk worden vervalst, rommelig worden in drukke omgevingen, of veranderen wanneer de software van de telefoon wordt bijgewerkt. Als de omgeving luidruchtig is (zoals in een druk café), falen deze oude methoden vaak.

2. De Oplossing: De "Dansroutine" (StateFi)

Het StateFi-team realiseerde zich dat zelfs als een apparaat zijn naamkaartje en zijn specifieke woorden verandert, het nog steeds dezelfde dansroutine uitvoert.

Ze modelleerden het gedrag van het apparaat als een Finite State Machine (FSM).

De analogie: Stel je een danser voor. Ze kunnen verschillende kostuums dragen (gerandomiseerde MAC-adressen) en tegen verschillende liedjes dansen (verschillende Wi-Fi-netwerken), maar hun choreografie is uniek.
- Draaien ze twee keer voordat ze springen?
- Pauzeren ze een fractie van een seconde tussen de bewegingen?
- Herhalen ze een beweging als de muziek stopt?
- Springen ze onmiddellijk of wachten ze op een signaal?

StateFi geeft niet om het kostuum of het liedje. Het observeert de volgorde van de bewegingen en de timing tussen hen. Het bouwt een kaart van de "danspassen" van het apparaat.

3. Hoe het werkt

De onderzoekers bouwden een systeem dat:

De dans observeert: Het registreert elke keer dat een apparaat een signaal uitzendt.
De stappen in kaart brengt: Het maakt een flowchart die laat zien hoe het apparaat van de ene staat naar de andere beweegt (bijv. "Ik ben aan het scannen" $\to$ "Ik ben aan het vragen" $\to$ "Ik ben aan het wachten" $\to$ "Ik ben opnieuw aan het vragen").
Een vingerafdruk creëert: Het zet deze complexe dansroutine om in een eenvoudige, compacte lijst met getallen (een vector).
De danser herkent: Zelfs als het apparaat zijn naamkaartje verandert, vergelijkt het systeem de nieuwe dansroutine met de oude. Als de stappen en de timing overeenkomen, weet het systeem: "Dat is hetzelfde apparaat!"

4. De Resultaten: Een Meesterdetective

Het team testte dit op vijf verschillende locaties in de echte wereld (een café, een lab, een klaslokaal, een huis en een restaurant) en tegen enorme publieke datasets die miljoenen signalen bevatten.

In het netwerk: Wanneer apparaten al verbonden waren met Wi-Fi, kon StateFi ze identificeren met een nauwkeurigheid van 94% tot 97%. Het kon detecteren of een apparaat probeerde zich voor te doen als iemand anders.
Tegen randomisatie: Zelfs toen apparaten hun "kameleon"-modus gebruikten (veranderende MAC-adressen) en alleen "Hallo"-signalen uitzonden, kon StateFi hen nog steeds met een nauwkeurigheid van 92% tot 97% opnieuw identificeren.
De beste verslaan: Ze vergeleken hun methode met de huidige "gouden standaard" van tracking (die kijkt naar naamkaartjes, woordlijsten en signaalsterkte). StateFi versloeg de beste bestaande methode met wel eens 17%.

5. Waarom dit belangrijk is

Het artikel concludeert dat hoewel het veranderen van je digitale naamkaartje goed is, het niet genoeg is. De "persoonlijkheid" van je apparaat — de diepgewortelde, hardgecodeerde manier waarop de hardware en software verbindingen afhandelen — is als een vingerafdruk die erg moeilijk te verbergen is.

De onderzoekers suggereren dat we, om de privacy in de toekomst echt te beschermen, misschien de manier waarop apparaten zich gedragen moeten veranderen, niet alleen wat ze zeggen. Maar voor nu bewijst StateFi dat gedrag een krachtig zijkanaal is dat apparaten kan identificeren, zelfs wanneer ze proberen zich te verbergen.

Technische Samenvatting: StateFi – Effectieve identificatie van Wi-Fi-apparaten via toestands-transities

1. Probleemstelling

Wi-Fi-apparaten zenden continu ongeëncrypteerde managementframes uit voor discovery, authenticatie en associatie. Hoewel deze frames essentieel zijn voor connectiviteit, lekken ze gestructureerde gedragspatronen die device fingerprinting en tracking mogelijk maken. Om dit te beperken, passen moderne besturingssystemen MAC-adresrandomisatie toe, waarbij lokaal beheerde MAC-adressen frequent worden geroteerd tijdens probe-gebaseerde discovery.

Echter, bestaande literatuur geeft aan dat randomisatie slechts identifiers maskeert, maar niet de onderliggende gedragslogica die is gecodeerd in de sequenties van managementframes, timing en retry-dynamiek. Eerdere pogingen om MAC-randomisatie te verslaan, vertrouwden op syntactische kenmerken afgeleid van Information Elements (IEs), sequentienummers (SEQ) of RSSI-correlaties. Deze methoden lijden aan significante beperkingen:

Broosheid: Hun onderscheidend vermogen neemt scherp af in realistische omgevingen die gekenmerkt worden door hoge congestie, mobiliteit en heterogene Access Point (AP) implementaties.
Sparsity (Schaarsheid): Probe-activiteit is inherent schaars en zeer variabel, wat de stabiliteit van syntactische signatures beperkt.
Obfuscatie (Obfuscatie): Veld-specifieke identifiers (zoals IEs) kunnen gemakkelijk worden geobfusceerd of gewijzigd door OS-updates.

Gevolgelijk bieden gerandomiseerde identifiers onvolledige bescherming tegen gedragsmatige re-identificatie, wat een verschuiving noodzakelijk maakt van inhoud-gebaseerde kenmerken naar gedragsdynamiek.

2. Methodologie: StateFi Framework

StateFi introduceert een fingerprinting-framework dat device-gedrag modelleert als Finite-State Machines (FSMs). In plaats van individuele frame-types of metadata-velden in isolatie te analyseren, legt StateFi de volledige structuur en timing van management-plane interacties vast.

2.1 Gedragsmodellering via FSMs

De kerninzicht is dat management-plane gedrag voortkomt uit diepe firmware- en chipset-ontwerpkwesties (bijv. scanstrategieën, associatie-sequenties, backoff-timing) die stabiel blijven over MAC-randomisatie-events heen.

Toestandsdefinitie: De verzameling toestanden ( $Q$ ) komt overeen met management-frame subtypes (bijv. ProbeReq, Auth, AssocReq).
Transities: De transitiefunctie ( $\delta$ ) legt de geobserveerde transities vast tussen opeenvolgende subtypes binnen een "burst" (een sequentie van pakketten uitgezonden door dezelfde MAC waarbij de intervallen tussen pakketten één seconde niet overschrijden).
Temporele Logica: Het model legt niet alleen structurele transities vast (bijv. retries, zelf-transities), maar ook de temporele executielogica, zoals inter-state vertragingen en scan-pacing.

2.2 Twee Operationele Regimes

StateFi opereert in twee verschillende modi, afhankelijk van het dreigingsmodel:

Full-Management FSMs: Gebruikt in netwerk-interne settings waar apparaten geassocieerd kunnen blijven. Deze FSMs leggen het volledige spectrum van interacties vast, inclusioneel probe-verkeer, authenticatie/associatie uitwisselingen, reassociatie-pogingen en deauthentication-logica.
Probe-Only FSMs: Gebruikt in adversariële pre-associatie settings waar apparaten gerandomiseerde MACs uitzenden. Deze FSMs worden uitsluitend geconstrueerd uit probe requests en responses. Ondanks het gereduceerde alfabet behouden zij een rijke gedragsstructuur met betrekking tot IE-ordening, scanpatronen en chipset-specifieke retry-dynamiek.

2.3 Feature Embedding en Classificatie

Het direct vergelijken van FSM-grafen is computationeel duur vanwege de vereisten voor graaf-isomorfisme. Om schaalbare analyse mogelijk te maken, embedt StateFi elke FSM in een compacte, reële feature-vector.

Feature Vector: Bevat structurele kenmerken (aantal unieke toestanden, totaal aantal transities, zelf-transities), temporele kenmerken (transitieratent, inter-burst tijdgaps, sequentienummer-gaps) en een binaire codering van Probe Request IEs.
Classificatie: Het framework maakt gebruik van een supervised learning pipeline om te voorspellen of twee bursts afkomstig zijn van hetzelfde fysieke device. Het maakt gebruik van pairwise similarity features (Euclidean afstand, cosine similarity, L1 afstand en IE overlap) die worden ingevoerd in standaard classifiers: Random Forest (RF), Support Vector Machine (SVM) en Logistic Regression (LR).

3. Evaluatie en Resultaten

De auteurs evalueerden StateFi over acht datasets, waaronder vijf heterogene campusomgevingen (Café, Laboratorium, Klaslokaal, Residentie, Restaurant) en drie grote publieke datasets (Infocom'21, Cagliari, MITIK).

3.1 In-Network Fingerprinting

In een netwerk-interne setting (post-associatie) bereikte StateFi een nauwkeurigheid van 94–97% over vijf campusomgevingen met behulp van full-management FSMs. Random Forest presteerde consistent beter dan SVM en Logistic Regression. Dit demonstreert dat full-management FSMs stabiele, hoog onderscheidende signatures bieden voor gedragsintegriteitsmonitoring en intrusiedetectie, zelfs wanneer MAC-adressen slechts sessie-stabiel zijn.

3.2 Het Verslaan van MAC-randomisatie

In de adversariële pre-associatie setting (gerandomiseerde MACs) gebruikte StateFi probe-only FSMs om devices te re-identificeren.

Over drie grote publieke datasets met meer dan een miljoen frames bereikte StateFi een nauwkeurigheid van 92–97%.
Gebruikmakend van de discriminatie-nauwkeurigheidsmetriek van de state-of-the-art Infocom'21 framework, bereikte StateFi 93–98%.
Dit vertegenwoordigt een verbetering van tot wel 17 procentpunten ten opzichte van de sterkste eerdere signature (IE+SEQ+RSSI), die op 86% stagneerde.
De prestatiekloof werd groter bij langere tijdvensters, wat de gevoeligheid van syntactische signatures voor burst-grenzen en kanaalcongestie benadrukt, terwijl de FSM-gebaseerde gedragsmodellering robuust bleef.

4. Belangrijkste Bijdragen

Het artikel levert de volgende specifieke bijdragen:

Gedragsmodellering via FSMs: De introductie van het eerste fingerprinting-framework dat zowel structurele als temporele management-frame dynamiek vastlegt middels finite-state machine modellering.
Compacte en Schaalbare Embeddings: De afleiding van een efficiënte vectorrepresentatie van FSMs die schaalbare afstand-gebaseerde matching en supervised classificatie ondersteunt, waardoor de computationele kosten van directe graafvergelijking worden vermeden.
Uitgebreide Real-World Evaluatie: Demonstratie van hoge nauwkeurigheid voor zowel in-network fingerprinting als re-identificatie onder MAC-randomisatie in diverse omgevingen, waarbij de state-of-the-art met tot wel 17% wordt verbeterd.
Onthulling van een Gedragsmatig Zijkanaal: De identificatie dat MAC-randomisatie niet in staat is om implementatie-niveau gedrags-fingerprints te verbergen, wat de noodzaak voor gedragsmatige obfuscatie in toekomstige wireless standaarden motiveert.

5. Betekenis en Claims

Het artikel stelt dat FSM-niveau gedragsdynamiek een krachtig en grotendeels onbeheerd zijkanaal vormt. In tegen tegenstelling tot syntactische kenmerken die gemakkelijk gerandomiseerd of geobfusceerd kunnen worden, is de gedragslogica die is gecodeerd in toestands-transities en timing diep geworteld in firmware- en chipset-ontwerp, wat het moeilijk maakt om te maskeren zonder de netwerkprestaties (bijv. latentie of energieverbruik verhogen) te schaden.

StateFi demonstreert dat device-identificatie kan worden bereikt met hoge precisie en robuustheid, zelfs in aanwezigheid van agressieve MAC-randomisatie. De auteurs concluderen dat hoewel huidige privacy-verdedigingen zich richten op identifier-randomisatie, deze onvoldoende zijn tegen gedragsmatige re-identificatie. Toekomstige privacy-verdedigingen moeten de lekkage van FSM-niveau gedrags-signatures adresseren om de anonimiteit van gebruikers in Wi-Fi-netwerken effectief te beschermen.