Direcciones MAC

Una dirección MAC son 48 bits, que se escriben como seis pares hexadecimales. Los tres primeros octetos identifican al fabricante de la interfaz: son un bloque que reparte el IEEE, así que a partir de una MAC se puede saber quién hizo la tarjeta antes de haber tocado el equipo. Los tres siguientes los asigna el propio fabricante.

Vive en la capa de enlace, que es la que mueve tramas dentro de un mismo segmento de red. Ahí está la diferencia práctica con una dirección IP: la IP es la que permite salir del segmento y atravesar routers, y la MAC no cruza ninguno. Un conmutador aprende qué MAC ha visto en cada puerto y usa esa tabla para no repetir el tráfico a todo el mundo; ARP es el protocolo que traduce una IP a la MAC que le responde dentro de la red local.

De ahí salen sus dos usos habituales en seguridad: como etiqueta de inventario, para saber qué aparato es cada cual, y como criterio de admisión, para dejar entrar solo a una lista de direcciones conocidas. El primero es razonable. El segundo es el que hay que mirar con cuidado.

Una MAC no es un secreto ni una credencial: es un nombre, y lo elige el propio equipo. Cambiarla es una orden del sistema operativo, sin privilegios especiales en la mayoría de portátiles, así que una lista de MAC autorizadas es una lista de nombres que cualquiera puede escribir en su propia puerta.

Y esos nombres están a la vista. En wifi el cifrado protege el contenido de las tramas, pero las cabeceras 802.11 viajan en claro, y ahí va la MAC de cada equipo que habla. O sea que saltarse un filtro por MAC no exige adivinar nada: se escucha un rato, se apunta una dirección que ya está autorizada, se la pone uno y entra. Es la razón por la que el control de admisión serio se hace con 802.1X y no con una lista, y por la que un punto de acceso gemelo puede clonar también la MAC del legítimo, no solo su nombre de red.

El otro efecto es más reciente, más silencioso y va en sentido contrario. Los móviles y portátiles modernos aleatorizan su MAC por red, precisamente para que no se pueda seguir a una persona de un sitio a otro. Eso rompe el inventario: la dirección que aparece en los registros deja de identificar a un aparato, y una lista de autorizados mantenida a mano empieza a bloquear equipos legítimos cada vez que uno se reconecta.

En un pentesting wifi el filtrado por MAC aparece casi siempre presentado como una capa de seguridad, y lo primero que se comprueba es si es la única. Se escucha el tráfico del entorno, se recoge una dirección ya admitida y se intenta entrar con ella: si funciona, el hallazgo no es que una MAC se pueda falsificar, que es de dominio público, sino que la red se apoya en algo que no se diseñó para autenticar a nadie.

La segunda pregunta es de inventario. Se cruza la lista de direcciones autorizadas con el inventario de activos y suelen aparecer entradas que ya no corresponden a ningún equipo de la empresa, porque nadie las retira cuando un portátil se da de baja. Y la tercera es de segmentación de red: qué alcanza de verdad quien ya está dentro de ese segmento, que es lo que decide si el fallo cuesta una impresora o cuesta el dominio.