💻 computer science

StateFi: Effectively Identifying Wi-Fi Devices through State Transitions

StateFi 是一个新颖的指纹识别框架，它通过将管理帧行为建模为有限状态机，有效地识别 Wi-Fi 设备并破解 MAC 地址随机化，在多种环境下实现了高达 97% 的重识别准确率。

原作者： Abhishek K. Mishra, Mathieu Cunche

发布于 2026-01-15

📖 1 分钟阅读☕ 轻松阅读

原作者： Abhishek K. Mishra, Mathieu Cunche

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正走在拥挤的机场航站楼里。每个人都戴着一个每隔几秒钟就会变换一次的名字牌。前一秒你看到的是“约翰·史密斯”，下一秒变成了“简·多伊”，接着又是“亚历克斯·约翰逊”。如果你试图追踪某个特定的人，这些不断变化的名字牌会让追踪变得几乎不可能。

这正是当今现代 Wi-Fi 设备的工作方式。为了保护你的隐私，你的手机和笔记本电脑在寻找 Wi-Fi 网络时，会不断更改它们的数字“名字牌”（称为 MAC 地址）。这被称为MAC 随机化。

然而，这项论文背后的研究人员发现，虽然名字牌在变，但设备的行为方式保持不变。他们发现了一种新的、强大的方法，不再通过设备“说了什么”来识别设备，而是通过它们“如何表现”来识别。

以下是他们发现的简单分解：

1. 问题：“变色龙”效应

把 Wi-Fi 设备想象成一只变色龙。当它尝试连接网络时，它会发出一系列数字“喊叫”（称为管理帧），以此表达：“喂，有人在吗？”

旧方法： 此前追踪这些设备的尝试侧重于观察喊叫的“内容”。它们检查所使用的具体词汇（例如手机支持的功能列表）或喊叫的确切时机。
缺陷： 正如变色龙可以改变颜色一样，这些“词汇”和“时机”很容易被伪造，或者在拥挤的地方变得混乱，或者在手机更新软件时发生变化。如果环境嘈杂（如繁忙的咖啡馆），这些旧方法往往会失效。

2. 解决方案：“舞蹈舞步”（StateFi）

StateFi 团队意识到，即使一个设备改变了它的名字牌和具体的词汇，它仍然执行着相同的舞蹈舞步。

他们将设备的行为建模为一个有限状态机 (FSM)。

类比： 想象一名舞者。他们可能会穿着不同的服装（随机化的 MAC 地址），并随着不同的歌曲起舞（不同的 Wi-Fi 网络），但他们的编舞是独特的。
- 他们在跳跃前会旋转两次吗？
- 他们会在动作之间停顿一瞬间吗？
- 如果音乐停止了，他们会重复某个动作吗？
- 他们是立即跳跃，还是等待信号？

StateFi 不关心服装或歌曲。它观察动作的序列以及动作之间的时机。它构建了一张设备“舞步”的地图。

3. 工作原理

研究人员构建了一个系统，该系统能够：

观察舞蹈： 它记录设备每次发送信号的情况。
绘制步骤图： 它创建一个流程图，展示设备如何从一个状态转换到另一个状态（例如，“我正在扫描” $\to$ “我正在询问” $\to$ “我正在等待” $\to$ “我再次询问”）。
创建指纹： 它将这种复杂的舞蹈舞步转化为一个简单、紧凑的数字列表（向量）。
匹配舞者： 即使设备更改了名字牌，系统也会将新的舞蹈舞步与旧的进行对比。如果步骤和时机相符，它就知道：“那是同一个设备！”

4. 结果：大师级侦探

团队在五个不同的真实场景（咖啡馆、实验室、教室、家庭和餐厅）中进行了测试，并针对包含数百万个信号的海量公开数据集进行了测试。

在网络中： 当设备已经连接到 Wi-Fi 时，StateFi 识别它们的准确率达到了 94% 至 97%。它能识别出设备是否在伪装成其他人。
对抗随机化： 即使设备处于“变色龙”模式（更改 MAC 地址）并且仅发送“你好”信号，StateFi 仍能以 92% 至 97% 的准确率重新识别它们。
击败最优方案： 他们将自己的方法与目前的追踪“金标准”（观察名字牌、词汇列表和信号强度）进行了对比。StateFi 比现有的最佳方法高出多达 17%。

5. 为什么这很重要

论文得出结论，虽然更改数字名字牌是好事，但还不够。你的设备的“个性”——即其硬件和软件处理连接的深层、硬编码方式——就像一个非常难以隐藏的指纹。

研究人员建议，为了在未来真正保护隐私，我们可能需要改变设备“如何表现”，而不仅仅是它们“说了什么”。但就目前而言，StateFi 证明了行为是一个强大的侧信道，即使设备试图隐藏，也能识别出它们。

技术摘要：StateFi —— 通过状态转移实现对 Wi-Fi 设备的有效识别

1. 问题陈述

Wi-Fi 设备持续发送未加密的管理帧，用于发现、认证和关联。虽然这些帧对于连接至关重要，但它们泄露了结构化的行为模式，从而实现了设备指纹识别与追踪。为了缓解这一问题，现代操作系统采用了 MAC 地址随机化技术，在基于探测（probe-based）的发现过程中频繁更换本地管理 MAC 地址。

然而，现有文献表明，随机化仅掩盖了标识符，并未改变编码在管理帧序列、时序和重试动态中的底层行为逻辑。以往试图破解 MAC 随机化的尝试依赖于源自信息元素（IEs）、序列号（SEQ）或 RSSI 相关性的语法特征。这些方法存在显著局型：

脆弱性： 在具有高竞争、移动性和异构接入点（AP）部署的现实环境中，其判别能力会剧烈下降。
稀疏性： 探测活动本质上是稀疏且高度多变的，限制了语法特征签名的稳定性。
模糊性： 字段级标识符（如 IEs）可以很容易地通过操作系统更新进行模糊化或更改。

因此，随机化标识符无法提供完整的保护，防止行为层面的重新识别，这使得从基于内容的特征转向行为动态的研究变得十分必要。

2. 方法论：StateFi 框架

StateFi 引入了一个将设备行为建模为有限状态机（FSM）的指纹识别框架。StateFi 并非孤立地分析单个帧类型或元数据字段，而是捕捉管理平面交互的完整结构和时序。

2.1 通过 FSM 进行行为建模

核心洞察在于，管理平面的行为源于深层的固件和芯片组设计选择（例如：扫描策略、关联序列、退避时序），这些选择在 MAC 随机化事件中保持稳定。

状态定义： 状态集 ( $Q$ ) 对应于管理帧子类型（例如：ProbeReq、Auth、AssocReq）。
转移： 转移函数 ( $\delta$ ) 记录在“突发”（burst，指同一 MAC 发出的序列中，帧间间隔不超过一秒的连续数据包序列）内观察到的连续子类型之间的转移。
时序逻辑： 该模型不仅捕捉结构化转移（例如：重试、自转移），还捕捉时序执行逻辑，如状态间的延迟和扫描步调。

2.2 两种运行机制

StateFi 根据威胁模型在两种不同模式下运行：

全管理 FSM： 用于网络内部设置，其中设备可能保持关联状态。这些 FSM 捕捉全谱系的交互，包括探测流量、认证/关联交换、重关联尝试以及去认证逻辑。
仅探测 FSM： 用于存在随机化 MAC 的对抗性预关联设置。这些 FSM 仅由探测请求（Probe Requests）和响应（Responses）构建。尽管字母表规模减小，但它们仍保留了关于 IE 排序、扫描模式和特定芯片组重试动态的丰富行为结构。

2.3 特征嵌入与分类

由于图同构问题，直接比较 FSM 图在计算上非常昂贵。为了实现可扩展的分析，StateFi 将每个 FSM 嵌入到一个紧凑的实值特征向量中。

特征向量： 包括结构化特征（唯一状态数、总转移数、自转移）、时序特征（转移速率、突发间隙、序列号间隙）以及探测请求 IEs 的二进制编码。
分类： 该框架采用监督学习流水线来预测两个突发是否源自同一物理设备。它利用成对相似性特征（欧氏距离、余弦相似度、L1 距离和 IE 重叠）输入到标准分类器中：随机森林（RF）、支持向量机（SVM）和逻辑回归（LR）。

3. 评估与结果

作者通过八个数据集对 StateFi 进行了评估，包括五个异构校园环境（咖啡馆、实验室、教室、住宅、餐厅）和三个大型公共数据集（Infocom'21、Cagliari、MITIK）。

3.1 网络内指纹识别

在网络内部设置（关联后）中，使用全管理 FSM，StateFi 在五个校园环境中实现了 94–97% 的准确率。随机森林的表现始终优于 SVM 和逻辑回归。这证明了全管理 FSM 即使在 MAC 地址仅在会话期间稳定的情况下，也能为行为完整性监控和入侵检测提供稳定且具有高度判别力的签名。

3.2 破解 MAC 随机化

在对抗性预关联设置（随机化 MAC）下，StateFi 利用仅探测 FSM 来重新识别设备。

在包含超过一百万帧的三个大型公共数据集中，StateFi 达到了 92–97% 的准确率。
使用最先进的 Infocom'21 框架的判别准确率指标，StateFi 达到了 93–98%。
这比最强的先前签名（IE+SEQ+RSSI）提升了高达 17 个百分点，后者在 86% 处进入平台期。
性能差距在较长的时间窗口下进一步扩大，凸显了语法签名对突发边界和信道竞争的敏感性，而基于 FSM 的行为建模则保持稳健。

4. 核心贡献

本文做出了以下具体贡献：

通过 FSM 进行行为建模： 引入了第一个通过有限状态机建模来捕捉管理帧结构和时序动态的指纹识别框架。
紧凑且可扩展的嵌入： 推导出了高效的 FSM 向量表示，支持可扩展的基于距离的匹配和监督分类，避免了直接进行图比较的计算成本。
全面的现实世界评估： 证明了在多种环境下，针对网络内指纹识别和 MAC 随机化下的重新识别均具有高准确率，性能提升高达 17%。
揭示行为侧信道： 指出 MAC 随机化无法掩盖实现层面的行为指纹，从而强调了未来无线标准中进行行为模糊化的必要性。

5. 重要性与主张

本文认为，FSM 级别的行为动态构成了一个强大且几乎未被防御的侧信道。与容易被随机化或模糊化的语法特征不同，编码在状态转移和时序中的行为逻辑深深植根于固件和芯片组设计中，若要掩盖这些逻辑而不损害网络性能（例如增加延迟或功耗）是非常困难的。

StateFi 表明，即使在存在激进的 MAC 随机化的情况下，仍能实现高精度和高鲁棒性的设备识别。作者得出结论，虽然目前的隐私防御侧重于标识符随机化，但这些手段在应对行为重新识别方面是不充分的。未来的隐私防御必须解决 FSM 级别行为签名的泄露问题，以有效地保护用户在 Wi-Fi 网络中的匿名性。