Recherche d'adresse MAC

Chaque interface réseau est livrée avec une adresse matérielle de 48 bits, dont la première moitié est un préfixe que son fabricant a acheté auprès de l'IEEE. Cet outil recherche ce préfixe dans les quatre registres IEEE (MA-L, MA-M, MA-S et l'ancienne liste IAB), de sorte qu'une adresse complète comme BC:24:11:7A:92:3D mène à l'organisation qui a enregistré le bloc, à son pays et à la plage exacte que le bloc couvre.

Il décode aussi ce que l'adresse dit d'elle-même : unicast ou multicast, attribuée par un fabricant ou administrée localement (la marque des MAC Wi-Fi aléatoires et des cartes réseau virtuelles), adresse de protocole réservée telle qu'une MAC de routeur virtuel VRRP, et comment elle se convertit entre les notations à deux-points, à tirets, à points façon Cisco et en hexadécimal brut. Collez une liste en mode lot pour identifier jusqu'à 50 adresses d'un coup.

Qu'est-ce qu'une adresse MAC ?

Une adresse MAC (Media Access Control) est l'identifiant de couche 2 qu'une interface réseau utilise sur Ethernet et Wi-Fi. Elle fait 48 bits, s'écrit en douze chiffres hexadécimaux (BC:24:11:7A:92:3D) et n'a besoin d'être unique qu'au sein d'un domaine de broadcast, contrairement à une adresse IP, qui identifie l'hôte à travers les réseaux.

L'adresse se divise en deux moitiés. Les 24 premiers bits forment l'OUI (Organizationally Unique Identifier), attribué par l'IEEE Registration Authority à un fabricant donné ; les 24 bits restants sont choisis par ce fabricant, appareil par appareil. Deux bits du premier octet ont un sens particulier :

• Le bit I/G (bit de poids le plus faible du premier octet) : 0 signifie unicast, adressé à une seule interface ; 1 signifie multicast, adressé à un groupe. FF:FF:FF:FF:FF:FF, l'adresse de broadcast, en est le cas extrême.
• Le bit U/L (deuxième bit de poids le plus faible) : 0 signifie administré universellement, gravé sous une OUI de fabricant ; 1 signifie administré localement, attribué par logiciel. Si le deuxième chiffre hexadécimal est 2, 6, A ou E, l'adresse est locale et aucune recherche de fabricant ne peut aboutir.

MA-L, MA-M, MA-S et les registres IEEE

L'IEEE vend de l'espace d'adressage matériel en trois tailles de bloc. MA-L (l'OUI classique) est un préfixe de 24 bits couvrant 16,777,216 adresses ; MA-M est un préfixe de 28 bits couvrant 1,048,576 ; MA-S (anciennement OUI-36) est un préfixe de 36 bits couvrant 4,096, destiné aux fabricants de petites séries. Une quatrième liste, le registre IAB, a été close quand MA-S l'a remplacée en 2014, mais ses attributions restent valables et se rencontrent encore sur du matériel réel, cet outil la fouille donc aussi.

Les blocs plus petits s'imbriquent dans des OUI détenues par l'IEEE Registration Authority elle-même, ce qui impose à toute recherche correcte de faire correspondre d'abord le préfixe le plus long : 70:B3:D5 appartient à la Registration Authority, mais 70:B3:D5:A, résolu sur neuf chiffres, peut appartenir à une entreprise précise. Les titulaires peuvent aussi payer pour garder leur nom et leur adresse confidentiels. Ces blocs apparaissent ici comme des enregistrements privés plutôt que comme un fabricant inconnu.

MAC aléatoires : pourquoi une recherche revient vide

La raison la plus fréquente pour qu'une recherche de MAC ne trouve aucun fabricant, c'est que l'adresse n'a jamais appartenu à un fabricant. iOS 14+, Android 10+ et Windows 10 1903+ activent par défaut la randomisation des MAC en Wi-Fi : l'appareil génère une adresse fraîche, administrée localement, pour chaque réseau (Apple parle d'« adresse Wi-Fi privée ») afin que sa véritable adresse matérielle ne puisse pas être suivie d'un réseau à l'autre. Les adresses aléatoires positionnent le bit U/L, leur deuxième chiffre hexadécimal est donc toujours 2, 6, A ou E.

La virtualisation fait la même chose pour d'autres raisons. Les hyperviseurs et les moteurs de conteneurs fabriquent des adresses MAC pour les cartes réseau virtuelles à la création, certaines sous de véritables OUI enregistrées, d'autres dans l'espace administré localement. Si vous exploitez des réseaux invités, des portails captifs ou des réservations DHCP indexées sur la MAC, la randomisation explique pourquoi le même téléphone réapparaît comme un nouvel appareil. Cet outil signale ces adresses explicitement au lieu de renvoyer un « introuvable » sans intérêt.

Lire les adresses MAC en administrateur de serveurs

Sur un réseau d'hébergement, les préfixes MAC sont un moyen rapide d'identifier ce qu'on voit. Proxmox VE 8.1+ donne aux cartes virtuelles son préfixe enregistré BC:24:11, VMware utilise 00:50:56 et 00:0C:29, Hyper-V utilise 00:15:5D, VirtualBox 08:00:27 et Xen 00:16:3E. KVM/QEMU avec libvirt utilise par convention 52:54:00, et Docker commence ses interfaces de pont par 02:42. Ces deux-là sont administrés localement : ils identifient donc la plateforme par convention plutôt que par enregistrement IEEE. Parcourir une table ARP ou un fichier de baux DHCP avec ces préfixes en tête vous dit immédiatement quelles entrées sont des machines virtuelles, et lesquelles.

Certaines adresses identifient un protocole plutôt qu'un équipement. 00:00:5E:00:01:XX est une MAC de routeur virtuel VRRP (ou CARP) où XX est l'identifiant du routeur ; la voir dans une table de commutation signifie qu'une paire en bascule se trouve là, et non une carte physique. Les équivalents HSRP de Cisco sont sous 00:00:0C, le spanning tree et LLDP utilisent la plage réservée 01:80:C2, et 01:00:5E fait correspondre les groupes multicast IPv4 selon la RFC 1112.

L'outil dérive également l'identifiant d'interface Modified EUI-64 et l'adresse de lien-local fe80:: qu'un hôte autoconfigurerait à partir d'une MAC donnée (RFC 4291), ce qui sert quand vous devez joindre un serveur en IPv6 avant qu'aucun adressage ne soit en place.