La randomizzazione MAC ha silenziosamente rotto metà dei controlli della vostra rete

Gli indirizzi MAC randomizzati hanno smesso di essere una novità da tempo. Sono il comportamento predefinito sulle versioni attuali di iOS, Android e Windows, applicato per SSID, e in alcune configurazioni ruotato periodicamente in seguito.

Il beneficio sulla privacy è reale. La conseguenza operativa è che un indirizzo MAC non è più un identificatore.

Cosa si rompe

• MAC authentication bypass. Mai forte, ora vicino all'insignificanza come meccanismo di identità. Trattatelo come inventario, non come autenticazione.
• Liste di autorizzazione MAC, incluse quelle sulle reti ospiti e nei router per piccole imprese.
• Assegnazione di banda o policy per dispositivo basata sul MAC.
• Tracciamento dispositivi nell'analytics, inclusi i prodotti di footfall e dwell-time venduti sul presupposto di un identificatore stabile.
• Comportamento "ricordami" del captive portal — un visitatore che ritorna è un nuovo visitatore, ripetutamente.
• Riservazioni DHCP per i dispositivi client, che smettono di applicarsi silenziosamente.

Cosa usare al posto

Per qualsiasi cosa richieda identità genuina: certificati tramite 802.1X per i dispositivi che li supportano, e chiavi pre-condivise per dispositivo per il parco IoT che non può usarli. Una PSK per dispositivo sopravvive alla randomizzazione MAC perché l'identità è portata dalla chiave, non dall'indirizzo hardware.

Per le reti ospiti, passate a OWE invece di provare a tracciare i visitatori.

L'audit che vale la pena condurre

Elencate ogni controllo nel vostro ambiente che prende un indirizzo MAC come input. Controllo di accesso alla rete, policy wireless, switching, DHCP, analytics, impianti dell'edificio, stampa. Per ciascuno, stabilite cosa succede quando l'indirizzo cambia. Nella maggior parte delle organizzazioni quella lista è più lunga del previsto e almeno una voce è critica.