La randomisation MAC a discrètement cassé la moitié de vos contrôles réseau

Les adresses MAC aléatoires ont cessé d'être une nouveauté depuis un certain temps. Elles constituent le comportement par défaut sur les versions actuelles d'iOS, d'Android et de Windows, appliquées par SSID, et dans certaines configurations, changées périodiquement par la suite.

Le bénéfice de confidentialité est réel. La conséquence opérationnelle est qu'une adresse MAC n'est plus un identifiant.

Ce que cela casse

• Le contournement d'authentification MAC. Jamais robuste, désormais proche de l'insignifiance comme mécanisme d'identité. Traitez-le comme un inventaire, pas comme une authentification.
• Les listes d'autorisation MAC, y compris celles des réseaux invités et des routeurs de petites entreprises.
• L'attribution de bande passante ou de politique par appareil indexée sur l'adresse MAC.
• Le suivi des appareils dans les analyses, y compris les produits de fréquentation et de durée de présence vendus en supposant un identifiant stable.
• Le comportement « se souvenir de moi » des portails captifs — un visiteur qui revient est un nouveau visiteur, à répétition.
• Les réservations DHCP pour les appareils clients, qui cessent silencieusement de s'appliquer.

Ce qu'il faut utiliser à la place

Pour tout ce qui nécessite une identité réelle : des certificats via 802.1X pour les appareils qui le prennent en charge, et des clés pré-partagées par appareil pour le parc IoT qui ne le peut pas. Une PSK par appareil survit à la randomisation MAC parce que l'identité est portée par la clé, pas par l'adresse matérielle.

Pour les réseaux invités, passez à OWE plutôt que d'essayer de suivre les visiteurs.

L'audit à mener

Listez chaque contrôle de votre environnement qui prend une adresse MAC en entrée. Contrôle d'accès réseau, politique sans fil, commutation, DHCP, analyses, systèmes du bâtiment, impression. Pour chacun, établissez ce qui se passe quand l'adresse change. Dans la plupart des organisations, cette liste est plus longue que prévu et au moins un élément est critique.