MAC-Adresse

Die MAC-Adresse ist die 48 Bit lange Adresse einer Netzwerkschnittstelle. Sie wird auf der Sicherungsschicht verwendet und gilt nur innerhalb eines Netzabschnitts — über einen Router hinweg wird sie ersetzt.

Aufbau

Sechs Byte, üblicherweise hexadezimal geschrieben. Drei Schreibweisen sind gebräuchlich und bezeichnen dasselbe:

00:1A:2B:3C:4D:5E     Doppelpunkte, verbreitet unter Linux und in Normen
00-1A-2B-3C-4D-5E     Bindestriche, verbreitet unter Windows
001A.2B3C.4D5E        Vierergruppen, verbreitet bei Cisco

Die Adresse zerfällt in zwei Hälften. Die ersten 24 Bit sind die Herstellerkennung, die das IEEE vergibt. Die hinteren 24 Bit vergibt der Hersteller selbst und ist dafür verantwortlich, dass sie innerhalb seines Blocks nur einmal vorkommen.

00:1A:2B    3C:4D:5E
└────┬───┘  └────┬───┘
 IEEE-Block   vom Hersteller vergeben

Die beiden Sonderbits

Im ersten Byte tragen die zwei niederwertigsten Bits eine eigene Bedeutung. Sie entscheiden, wie die Adresse überhaupt zu lesen ist.

I/G-Bit (Wert 0x01). Ist es 0, spricht die Adresse genau eine Schnittstelle an. Ist es 1, handelt es sich um eine Gruppenadresse — Multicast oder Broadcast. Ein Gerät trägt nie eine Adresse mit gesetztem I/G-Bit.

U/L-Bit (Wert 0x02). Ist es 0, stammt die Adresse aus einem vom IEEE vergebenen Block und ist weltweit eindeutig. Ist es 1, wurde sie lokal vergeben und steht in keinem Register.

Daraus ergibt sich eine Faustregel, mit der sich eine lokal vergebene Adresse auf einen Blick erkennen lässt: Die zweite Hexziffer ist 2, 6, A oder E.

00:1A:2B:3C:4D:5E     weltweit eindeutig, Hersteller nachschlagbar
02:1A:2B:3C:4D:5E     lokal vergeben, kein Registereintrag

Zufällige Adressen

Das ist der Punkt, an dem sich die Praxis in den letzten Jahren verschoben hat.

Weil eine unveränderliche Adresse ein Gerät wiedererkennbar macht, erzeugen aktuelle Mobiltelefone, Tablets und Rechner eine zufällige MAC-Adresse — je Funknetz eine eigene, teils in regelmäßigen Abständen neu. Zweck ist, dass ein Gerät beim Betreten mehrerer Funknetze nicht als dasselbe erkannt wird.

Diese Adressen tragen das U/L-Bit und stehen in keinem Register. Wer sie nachschlägt, bekommt keinen Hersteller — und das ist kein Fehler, sondern die beabsichtigte Wirkung.

Für die Praxis folgt daraus, dass die Geräteliste eines Routers weniger aussagt als früher. Ein unbekannter Eintrag im Heimnetz ist heute meist ein Gerät mit zufälliger Adresse, nicht ein fremdes Gerät. Umgekehrt lassen sich Freigaben und Sperren, die an der MAC-Adresse hängen, kaum noch zuverlässig führen: Das Gerät meldet sich beim nächsten Mal unter einer anderen Adresse an, sofern die Zufallsvergabe nicht für dieses Netz abgeschaltet wird.

Die Register

Das IEEE vergibt vier verschiedene Blockgrößen, nicht nur eine:

Die kleineren Blöcke sind aus einzelnen 24-Bit-Blöcken herausgeschnitten, die das IEEE selbst hält. Eine Suche, die nur die ersten 24 Bit vergleicht, liefert bei solchen Adressen deshalb den Blockverwalter statt der tatsächlichen Firma. Korrekt wird vom längsten zum kürzesten Präfix gesucht: erst 36 Bit, dann 28, dann 24.

Hier können Sie online den Hersteller zu einer MAC-Adresse ermitteln.

CID-Blöcke sind ein Sonderfall: Sie tragen das U/L-Bit gesetzt, weil sie ausdrücklich keine weltweit eindeutigen Adressen erzeugen sollen. Ein gesetztes U/L-Bit bedeutet also nicht zwangsläufig „zufällig erzeugt" — es kann auch eine eingetragene CID sein.

Was eine MAC-Adresse nicht leistet

Sie reicht nicht über den Router hinaus. Ein Paket trägt auf jedem Abschnitt seines Weges andere MAC-Adressen; nur die IP-Adressen bleiben. Die MAC-Adresse eines Absenders im Internet ist für den Empfänger nicht sichtbar — was regelmäßig anders angenommen wird, etwa bei der Frage, ob sich ein Angreifer darüber zurückverfolgen lässt.

Sie ist nicht fälschungssicher. Die Adresse lässt sich auf praktisch jedem Betriebssystem mit einem Befehl ändern. Als Zugangsbeschränkung taugt sie deshalb nicht; ein MAC-Filter im WLAN hält niemanden ab, der mitlesen kann, welche Adressen zugelassen sind.

Sie benennt den Hersteller der Schnittstelle, nicht die Marke des Geräts. Steckt in einem Fernseher ein zugekauftes Funkmodul, steht dessen Hersteller im Register — nicht der Name auf dem Gehäuse.

Besondere Adressen

Einige Adressen bezeichnen keine Geräte, sondern Funktionen. Wer sie in einem Mitschnitt findet, sucht keinen Hersteller, sondern eine Erklärung:

Allen gemeinsam ist das gesetzte I/G-Bit — erkennbar an der ungeraden zweiten Hexziffer.

Abgrenzung

Eine IP-Adresse arbeitet eine Schicht höher und bleibt über den gesamten Weg erhalten. Die Zuordnung zwischen beiden stellt im lokalen Netz ARP her, bei IPv6 die Neighbor Discovery.

UAA bezeichnet die weltweit eindeutige, vom IEEE abgeleitete Adresse, LAA die lokal vergebene. Die Unterscheidung ist genau das U/L-Bit.

EUI-64 ist die 64 Bit lange Variante desselben Adressschemas. Bei IPv6 wurde daraus früher der hintere Teil der Adresse gebildet; wegen der Wiedererkennbarkeit ist das inzwischen unüblich.

Quellen

• IEEE Std 802: Overview and Architecture, Abschnitt zu MAC-Adressen
• IEEE Registration Authority: MA-L, MA-M, MA-S und CID