MAC-Randomisierung hat still die Hälfte Ihrer Netzwerkkontrollen zerstört

Randomisierte MAC-Adressen sind schon eine Weile keine Neuheit mehr. Sie sind das Standardverhalten bei aktuellem iOS, Android und Windows, pro SSID angewandt, und in manchen Konfigurationen danach periodisch rotiert.

Der Datenschutznutzen ist real. Die operative Konsequenz ist, dass eine MAC-Adresse kein Identifikator mehr ist.

Was das zerstört

• MAC-Authentifizierungs-Bypass. Nie stark, jetzt fast bedeutungslos als Identitätsmechanismus. Als Inventar behandeln, nicht als Authentifizierung.
• MAC-Positivlisten, einschließlich der auf Gastnetzwerken und in Kleinunternehmens-Routern.
• Pro-Gerät-Bandbreiten- oder Policy-Zuweisung, die auf MAC basiert.
• Geräte-Tracking in Analytics, einschließlich Besucherzahlen- und Verweildauerprodukten, die auf der Annahme eines stabilen Identifikators verkauft werden.
• „Remember me“-Verhalten von Captive Portals – ein wiederkehrender Besucher ist wiederholt ein neuer Besucher.
• DHCP-Reservierungen für Clientgeräte, die still aufhören zu greifen.

Was stattdessen zu nutzen ist

Für alles, was echte Identität erfordert: Zertifikate via 802.1X für Geräte, die das unterstützen, und Pre-Shared Keys pro Gerät für den IoT-Bestand, der das nicht kann. Ein PSK pro Gerät übersteht MAC-Randomisierung, weil Identität durch den Schlüssel getragen wird, nicht durch die Hardwareadresse.

Für Gastnetzwerke auf OWE umsteigen, statt zu versuchen, Besucher zu verfolgen.

Das Audit, das sich lohnt

Listen Sie jede Kontrolle in Ihrer Umgebung auf, die eine MAC-Adresse als Eingabe nimmt. Network Access Control, WLAN-Policy, Switching, DHCP, Analytics, Gebäudesysteme, Druck. Stellen Sie für jede fest, was passiert, wenn sich die Adresse ändert. In den meisten Organisationen ist diese Liste länger als erwartet, und mindestens ein Eintrag darauf ist geschäftskritisch.