MAC-Adresssuche

Sechs Bytes, in der Mitte geteilt

Eine MAC-Adresse ist 48 Bit, geschrieben als sechs Bytes. Die ersten drei Bytes sind der Organisationally Unique Identifier, ein Block, den die IEEE an einen Hersteller verkauft. Die letzten drei wählt dieser Hersteller, um jedes von ihm gebaute Interface einzigartig zu machen. Diese Teilung ist die Basis der Herstellersuche: Sie identifizieren nicht das Gerät, sondern wer den Nummernbereich gekauft hat, aus dem es stammt.

Das hat eine Konsequenz, die oft übersehen wird. Der Hersteller ist, wer den Netzwerk-Chipset gebaut hat, nicht notwendigerweise, wer sein Logo auf die Box gedruckt hat. Ein Laptop meldet oft den Hersteller des WLAN-Chips statt der Laptop-Marke, und eine virtuelle Maschine meldet den Hypervisor, da die Adresse von der Virtualisierungsschicht erzeugt wurde.

Die Notation ist rein kosmetisch. Doppelpunkt-getrennte Paare, bindestrich-getrennte Paare, Ciscos drei Gruppen zu vieren und nacktes Hex beschreiben alle dieselben 48 Bit. Hersteller und Betriebssysteme sind sich schlicht uneinig über die Darstellung, weshalb das Konvertieren zwischen ihnen eine so häufige Aufgabe ist.

Zwei Bits, die die Bedeutung ändern

Das zweitniedrigste Bit des allerersten Bytes ist das Universal/Local-Flag. Ist es gelöscht, stammt die Adresse aus einem IEEE-zugewiesenen Block und die Herstellersuche ist sinnvoll. Ist es gesetzt, wurde die Adresse lokal gewählt und kein Register wird sie je enthalten, sodass ein Suchfehlschlag das erwartete Ergebnis statt einer Lücke in den Daten ist.

Dieses Bit ist der Grund, warum moderne Telefone und Laptops keinen Hersteller zu haben scheinen. Zufällige MAC-Adressen, inzwischen der Standard für WLAN-Scans und oft auch für Verbindungen, setzen das Local-Bit absichtlich, genau damit sie nicht zu einem Hersteller zurückverfolgt oder über Netzwerke hinweg abgeglichen werden können. Wenn Sie eine lokal verwaltete Adresse sehen, ist Datenschutz-Zufälligmachung bei weitem die wahrscheinlichste Erklärung.

Das niedrigste Bit des ersten Bytes ist das Unicast/Multicast-Flag. Gelöscht bedeutet, der Frame ist für ein Interface; gesetzt bedeutet, er adressiert eine Gruppe. Die Broadcast-Adresse, alle achtundvierzig Bits gesetzt, ist einfach der Extremfall. Ein Multicast-Bit auf einer Adresse, die Sie als Geräteadresse erwartet haben, ist meist ein Zeichen, dass Sie eine Protokolladresse und nicht Hardware betrachten.

Von MAC zu IPv6, und warum es aufhörte

Das hier gezeigte modifizierte EUI-64 ist, wie IPv6-Adressen früher aus Hardware gebaut wurden. Das Rezept fügt die Bytes FF und FE in die Mitte der MAC ein und kippt das Universal/Local-Bit, was einen 64-Bit-Interface-Bezeichner erzeugt, der an ein Netzpräfix angehängt wird.

Es funktioniert, und es ist völlig deterministisch, was sich als das Problem herausstellte. Eine so abgeleitete Adresse trägt Ihre Hardware-Identität in jedes Netzwerk, das Sie betreten, und erlaubt jedem, Ihren Datenverkehr über Orte hinweg zu korrelieren. Die Datenschutz-Erweiterungen RFC 8981 und die stabil-aber-undurchsichtigen Bezeichner RFC 7217 ersetzten die Praxis, und moderne Systeme leiten Adressen nicht mehr standardmäßig aus der MAC ab.

Die Konvertierung lohnt sich dennoch zu verstehen, denn sie macht genau eine fe80:: link-lokale Adresse lesbar. Das FF FE-Muster in der Mitte eines Interface-Bezeichners verrät auf einen Blick, dass er aus einer MAC abgeleitet wurde, und erlaubt Ihnen, die ursprüngliche Hardware-Adresse daraus zurückzugewinnen.