Recherche d'adresse MAC

Identifiez le fabricant derrière une adresse MAC, convertissez entre les notations à deux-points, à tiret et Cisco, et lisez les bits universel, local et multicast. Fonctionne entièrement dans votre navigateur.

Trouvez le vendeur derrière une adresse MAC et décodez ce que l'adresse elle-même vous dit. Saisissez une adresse dans n'importe quelle notation, ou tapez un nom d'entreprise pour rechercher le registre dans l'autre sens.

Adresse MAC ou nom de vendeur

Les notations à deux-points, à tiret, à points et en hexadécimal brut sont toutes acceptées. Au moins les trois premiers octets sont nécessaires pour une recherche de vendeur.

Ce qu'une adresse MAC code réellement

Six octets, coupés en deux

Une adresse MAC fait 48 bits écrits sous forme de six octets. Les trois premiers octets constituent l'identifiant unique d'organisation (OUI), un bloc que l'IEEE vend à un fabricant. Les trois derniers sont choisis par ce fabricant pour rendre unique chaque interface qu'il construit. Cette coupure est toute la base de la recherche de vendeur : vous n'identifiez pas l'appareil, vous identifiez qui a acheté la plage de numéros dont il provient.

Cela a une conséquence que l'on omet souvent. Le vendeur est celui qui a fabriqué la puce réseau, pas nécessairement celui qui a apposé son logo sur le boîtier. Un ordinateur portable signale fréquemment le fabricant de la puce sans fil plutôt que la marque de l'ordinateur, et une machine virtuelle signale l'hyperviseur car l'adresse a été générée par la couche de virtualisation.

La notation est purement cosmétique. Les paires séparées par deux-points, les paires séparées par tirets, les trois groupes de quatre de Cisco et l'hexadécimal brut décrivent tous les mêmes 48 bits. Les fabricants et les systèmes d'exploitation ne sont tout simplement pas d'accord sur la présentation, voilà pourquoi la conversion entre eux est une corvée si fréquente.

Deux bits qui changent le sens

Le deuxième bit le plus bas du tout premier octet est le drapeau universel/local. Lorsqu'il est effacé, l'adresse provient d'un bloc attribué par l'IEEE et la recherche de vendeur est significative. Lorsqu'il est activé, l'adresse a été choisie localement et aucun registre ne la contiendra jamais, si bien qu'un échec de recherche est le résultat attendu plutôt qu'un manque dans les données.

Ce bit explique pourquoi les téléphones et ordinateurs modernes semblent n'avoir aucun vendeur. Les adresses MAC aléatoires, désormais par défaut pour l'analyse Wi-Fi et souvent aussi pour la connexion, activent délibérément le bit local précisément afin de ne pouvoir être retracées à un fabricant ni appariées entre réseaux. Si vous voyez une adresse localement administrée, la randomisation pour la confidentialité est de loin l'explication la plus probable.

Le bit le plus bas du premier octet est le drapeau unicast/multicast. Effacé, la trame est destinée à une interface ; activé, elle s'adresse à un groupe. L'adresse de diffusion, avec ses quarante-huit bits tous activés, n'est simplement que le cas extrême. Un bit multicast sur ce que vous pensiez être une adresse d'appareil est généralement le signe que vous regardez une adresse de protocole plutôt que du matériel.

De la MAC à l'IPv6, et pourquoi cela s'est arrêté

L'EUI-64 modifié présenté ici est la façon dont les adresses IPv6 étaient autrefois construites à partir du matériel. La recette insère les octets FF et FE au milieu de la MAC et bascule le bit universel/local, produisant un identifiant d'interface de 64 bits ajouté à un préfixe de réseau.

Cela fonctionne, et c'est complètement déterministe, ce qui s'est avéré être le problème. Une adresse dérivée ainsi transporte votre identité matérielle dans chaque réseau que vous rejoignez, permettant à quiconque de corréler votre trafic entre les lieux. Les extensions de confidentialité RFC 8981 et les identifiants stables mais opaques RFC 7217 ont remplacé la pratique, et les systèmes modernes ne dérivent plus les adresses à partir de la MAC par défaut.

La conversion vaut encore la peine d'être comprise, car c'est exactement ce qui rend une adresse link-local fe80:: lisible. Voir le motif FF FE au milieu d'un identifiant d'interface vous indique d'un coup d'œil qu'elle a été dérivée d'une MAC, et vous permet d'en récupérer l'adresse matérielle d'origine.

Questions fréquentes

Pourquoi mon ordinateur portable affiche-t-il un fabricant de puce plutôt que la marque que j'ai achetée ?

L'OUI appartient à celui qui a fabriqué l'interface réseau, et non à celui qui a assemblé le produit fini. Des puces sans fil de quelques fabricants se retrouvent dans des machines de dizaines de marques.

Pourquoi l'adresse MAC de mon téléphone n'est-elle pas dans le registre ?

Les téléphones modernes aléatoirisent leur adresse Wi-Fi pour préserver la confidentialité. Les adresses aléatoires activent le bit localement administré et ne sont jamais enregistrées, si bien qu'aucune recherche ne peut les résoudre.

Quelle est la différence entre les notations ?

Rien d'autre que la ponctuation. Les paires à deux-points, les paires à tiret, les quads pointés de Cisco et l'hexadécimal brut encodent tous les mêmes 48 bits ; les différents fabricants ont simplement choisi des conventions différentes.

Que signifie le bit multicast sur une adresse ?

Il marque une trame comme adressée à un groupe d'interfaces plutôt qu'à une seule. Si vous attendiez une adresse d'appareil et voyez du multicast, vous regardez probablement une adresse de protocole ou de diffusion.

Puis-je identifier un appareil précis à partir de son adresse MAC ?

Non. L'adresse vous indique quel vendeur possède le bloc de numéros, rien sur le modèle, le propriétaire ou l'emplacement, et la randomisation signifie qu'elle peut même ne pas être stable dans le temps.

Mon adresse MAC est-elle envoyée quelque part lors de la recherche ?

Non. Le fichier de registre est téléchargé une fois dans votre navigateur et chaque recherche s'exécute localement contre lui. L'adresse que vous saisissez n'est jamais transmise.