Resumo Técnico: StateFi – Identificação Eficaz de Dispositivos Wi-Fi através de Transições de Estado

1. Definição do Problema

Dispositivos Wi-Fi emitem continuamente quadros de gerenciamento não criptografados para descoberta, autenticação e associação. Embora esses quadros sejam essenciais para a conectividade, eles vazam padrões comportamentais estruturados que permitem a identificação (fingerprinting) e o rastreamento de dispositivos. Para mitigar isso, os sistemas operacionais modernos empregam a randomização de endereços MAC, rotacionando frequentemente MACs administrados localmente durante a descoberta baseada em sondagem (probe).

No entanto, a literatura existente indica que a randomização apenas obscurece identificadores, não a lógica comportamental subjacente codificada nas sequências de quadros de gerenciamento, no tempo e na dinâmica de tentativas (retries). Tentativas anteriores de derrotar a randomização de MAC basearam-se em características sintáticas derivadas de Elementos de Informação (IEs), números de sequência (SEQ) ou correlações de RSSI. Esses métodos sofrem de limitações significativas:

• Fragilidade: Seu poder discriminativo degrada-se acentuadamente em ambientes realistas caracterizados por alta contenção, mobilidade e implementações heterogêneas de Pontos de Acesso (AP).
• Esparsidade: A atividade de sondagem é inerentemente esparsa e altamente variável, limitando a estabilidade das assinaturas sintáticas.
• Obscurecimento: Identificadores de nível de campo (como IEs) podem ser facilmente obscurecidos ou alterados por atualizações de SO.

Consequentemente, identificadores randomizados fornecem uma proteção incompleta contra a reidentificação comportamental, necessitando de uma mudança das características baseadas em conteúdo para as dinâmicas comportamentais.

2. Metodologia: Estrutura StateFi

O StateFi introduz uma estrutura de fingerprinting que modela o comportamento do dispositivo como Máquinas de Estados Finitos (FSMs). Em vez de analisar tipos de quadros individuais ou campos de metadados isoladamente, o StateFi captura a estrutura completa e o tempo das interações do plano de gerenciamento.

2.1 Modelagem Comportamental via FSMs

A percepção central é que o comportamento do plano de gerenciamento surge de escolhas de design de firmware e chipset (ex: estratégias de varredura, sequências de associação, tempo de backoff) que permanecem estáveis através de eventos de randomização de MAC.

• Definição de Estado: O conjunto de estados ($Q$) corresponde aos subtipos de quadros de gerenciamento (ex: ProbeReq, Auth, AssocReq).
• Transições: A função de transição ($\delta$) registra as transições observadas entre subtipos sucessivos dentro de um "burst" (uma sequência de pacotes emitidos pelo mesmo MAC onde os intervalos entre pacotes não excedem um segundo).
• Lógica Temporal: O modelo captura não apenas transições estruturais (ex: retentativas, autotransições), mas também a lógica de execução temporal, como atrasos entre estados e o ritmo de varredura (scan pacing).

2.2 Dois Regimes Operacionais

O StateFi opera em dois modos distintos dependendo do modelo de ameaça:

1. FSMs de Gerenciamento Completo: Usados em configurações internas de rede onde os dispositivos podem permanecer associados. Estas FSMs capturam todo o espectro de interações, incluindo tráfego de probe, trocas de autenticação/associação, tentativas de reassociação e lógica de desautenticação.
2. FSMs Apenas de Probe: Usados em configurações adversariais de pré-associação onde os dispositivos emitem MACs randomizados. Estas FSMs são construídas exclusivamente a partir de requisições e respostas de probe. Apesar da redução do alfabeto, elas retêm uma estrutura comportamental rica em relação à ordenação de IEs, padrões de varredura e dinâmicas de retentativa específicas de cada chipset.

2.3 Embedding de Características e Classificação

Comparar grafos FSM diretamente é computacionalmente caro devido aos requisitos de isomorfismo de grafos. Para permitir uma análise escalável, o StateFi incorpora cada FSM em um vetor de características real e compacto.

• Vetor de Características: Inclui características estruturais (número de estados únicos, total de transições, autotransições), características temporais (taxas de transição, intervalos de tempo entre bursts, lacunas de número de sequência) e uma codificação binária de IEs de Probe Request.
• Classificação: A estrutura utiliza um pipeline de aprendizado supervisionado para prever se dois bursts originam-se do mesmo dispositivo físico. Utiliza características de similaridade de pares (distância Euclidiana, similaridade de cosseno, distância L1 e sobreposição de IE) alimentando classificadores padrão: Floresta Aleatória (RF), Máquina de Vetores de Suporte (SVM) e Regressão Logística (LR).

3. Avaliação e Resultados

Os autores avaliaram o StateFi em oito conjuntos de dados, incluindo cinco ambientes de campus heterogêneos (Café, Laboratório, Sala de Aula, Residência, Restaurante) e três grandes conjuntos de dados públicos (Infocom'21, Cagliari, MITIK).

3.1 Fingerprinting Intra-Rede

Em uma configuração interna de rede (pós-associação), o StateFi alcançou 94–97% de precisão em cinco ambientes de campus usando FSMs de gerenciamento completo. A Floresta Aleatória superou consistentemente o SVM e a Regressão Logística. Isso demonstra que as FSMs de gerenciamento completo fornecem assinaturas estáveis e altamente discriminativas para monitoramento de integridade comportamental e detecção de intrusão, mesmo quando os endereços MAC são apenas estáveis por sessão.

3.2 Derrotando a Randomização de MAC

Na configuração adversarial de pré-associação (MACs randomizados), o StateFi utilizou FSMs apenas de probe para reidentificar dispositivos.

• Através de três grandes conjuntos de dados públicos contendo mais de um milhão de quadros, o StateFi alcançou 92–97% de precisão.
• Usando a métrica de precisão de discriminação do framework de ponta Infocom'21, o StateFi atingiu 93–98%.
• Isso representa uma melhoria de até 17 pontos percentuais sobre a assinatura anterior mais forte (IE+SEQ+RSSI), que estagnou em 86%.
• A lacuna de desempenho aumentou em janelas de tempo mais longas, destacando a sensibilidade das assinaturas sintáticas a limites de burst e contenção de canal, enquanto a modelagem comportamental baseada em FSM permaneceu robusta.

4. Principais Contribuições

O artigo apresenta as seguintes contribuições específicas:

• Modelagem Comportamental via FSMs: A introdução da primeira estrutura de fingerprinting que captura tanto a dinâmica estrutural quanto a temporal dos quadros de gerenciamento usando modelagem de máquina de estados finitos.
• Embeddings Compactos e Escaláveis: A derivação de uma representação vetorial eficiente de FSMs que suporta correspondência baseada em distância e classificação supervisionada escalável, evitando o custo computacional da comparação direta de grafos.
• Avaliação Abrangente no Mundo Real: Demonstração de alta precisão tanto para fingerprinting intra-rede quanto para reidentificação sob randomização de MAC em diversos ambientes, superando o estado da arte em até 17%.
• Revelação de um Canal Lateral Comportamental: A identificação de que a randomização de MAC falha em ocultar os fingerprints comportamentais de nível de implementação, motivando a necessidade de obscurecimento comportamental em futuros padrões sem fio.

5. Significância e Alegações

O artigo postula que as dinâmicas comportamentais em nível de FSM formam um canal lateral poderoso e amplamente não mitigado. Ao contrário das características sintáticas que são facilmente randomizadas ou obscurecidas, a lógica comportamental codificada em transições de estado e tempo é profundamente enraizada no design de firmware e chipset, tornando difícil mascará-la sem prejudicar o desempenho da rede (ex: aumentar latência ou consumo de energia).

O StateFi demonstra que a identificação de dispositivos pode ser alcançada com alta precisão e robustez, mesmo na presença de agressiva randomização de MAC. Os autores concluem que, embora as defesas atuais de privacidade foem no foco na randomização de identificadores, elas são insuficientes contra a reidentificação comportamental. As futuras defesas de privacidade devem abordar o vazamento de assinaturas comportamentais de nível de FSM para proteger efetivamente o anonimato do usuário em redes Wi-Fi.