Kõik, mida soovisite teada MAC-aadressist

On teada, et need kuus bait, mis tavaliselt kuvatakse kuuekohalises heksadesimaalses formaadis, omistatakse võrgukaardile tehases ja näivad esmapilgul juhuslikud. Mõned teavad, et aadressi esimesed kolm bait on tootja identifikaator, ja ülejäänud kolm bait omistatakse neile. Samuti on teada, et saate oma mugandatud aadressi. Paljud on kuulnud ka "juhuslikest aadressidest" Wi-Fi-s.

Selgitame, mis see on.

MAC-aadress (media access control address) – ainulaadne identifikaator, mis antakse võrguadapterile, kasutatakse IEEE 802 standardite võrkudes, peamiselt Ethernetis, Wi-Fi-s ja Bluetoothis. Ametlikult nimetatakse seda "EUI-48 tüüpi identifikaatoriks". Nagu nimest tuleneb, on aadress pikkusega 48 bitti ehk 6 bait. Aadressi kirjutamise kohta ei ole üldiselt aktsepteeritud standardit (erinevalt IPv4 aadressist, kus oktetid eraldatakse alati punktidega). Tavalised kirjutamisviisid on kuus kuuekohalist heksadesimaalset numbrit, mis on eraldatud kooloniga: 00:AB:CD:EF:11:22, kuigi mõned seadme tootjad eelistavad kirjutamisvormi 00-AB-CD-EF-11-22 või isegi 00ab.cdef.1122.

Ajalooliselt kirjutati aadressid võrguadapteri kiibi PZUs, mille muutmine ilma välise programmeerija abita ei olnud võimalik, kuid praegu saab aadressi muuta programmidena operatsioonisüsteemist. MAC-aadressi määramine võrguadapterile on võimalik Linuxis ja MacOS-is (alati), Windowsis (peaaegu alati, kui draiver lubab), Androidis (ainult juurdunud); iOS-is (ilma juurimiseta) on selline trikk võimatu.

Aadressi struktuur

Aadress koosneb tootja identifikaatori osast, OUI, ja tootja määratud identifikaatorist. OUI identifikaatorite määramine (Organizationally Unique Identifier) tegeleb IEEE organisatsioon. Tegelikult võib selle pikkus olla mitte ainult 3 bait (24 bitti), vaid ka 28 või 36 bitti, mille alusel moodustatakse blokid (MAC Address Block, MA) aadresside tüüpide jaoks: suur (MA-L), keskmine (MA-M) ja väike (MA-S) vastavalt. Sellisel juhul on välja antava bloki suurus 24, 20, 12 bitti või 16 miljonit, 1 miljon, 4000 aadressi. Praegu on jaotatud umbes 38 tuhat bloki, mida saab vaadata paljude veebitööriistade abil, näiteks IEEE-s või Wireshark.

Kellele aadressid kuuluvad

Lihtne avalike andmete töötlemine IEEE andmebaasi väljundist annab piisavalt teavet. Näiteks on mõned organisatsioonid võtnud endale palju OUI bloke. Siin on meie kangelased:

Tootja
Plokkide/arvude arv
Aadresside arv, miljoneid

Cisco Systems Inc
888
14208

Apple
772
12352

Samsung
636
10144

Huawei Technologies Co.Ltd
606
9696

Intel Corporation
375
5776

ARRIS Group Inc.
319
5104

Nokia Corporation
241
3856

Privaatne
232
2704

Texas Instruments
212
3392

zte corporation
198
3168

IEEE Registratsiooni Amet
194
3072

Hewlett Packard
149
2384

Hon Hai Precision
136
2176

TP-LINK
134
2144

Dell Inc.
123
1968

Juniper Networks
110
1760

Sagemcom Broadband SAS
97
1552

Fiberhome Telecommunication Technologies Co. LTD
97
1552

Xiaomi Communications Co Ltd
88
1408

Guangdong Oppo Mobile Telecommunications Corp.Ltd
82
1312

Google'il on kokku 40, mis ei ole üllatav: nad ise ei tooda palju võrgu seadmeid.

MA blokke ei jagata tasuta, neid saab osta mõistlike hindadega (ilma tellimistasuta) vastavalt $3000, $1800 või $755. Huvi pärast, lisamaksa eest (aastas) saab osta „avaliku teabe varjamise” teenuse eraldi ploki kohta. Praegu on neid, nagu ülaltoodud näitab, 232.

Kui MAC-aadressid otsa saavad

Me kõik oleme juba väsinud lugematutest lugudest, mis räägivad, et „IPv4 aadressid hakkavad kiiresti otsa saama”. Jah, uusi IPv4 blokke on nüüd raske saada. Samas on teada, et IP aadressid on jaotatud äärmiselt ebaühtlaselt; eksisteerivad hiiglaslikud ja vähekasutatud blokkide hulgad, mis kuuluvad suurtele ettevõtetele ja USA riigiasutustele, kuigi loota, et neid jagatakse vajaduse järgi, ei ole eriti reaalne. NAT, CG-NAT ja IPv6 levik on teinud avalike aadresside puuduse probleemi vähem akuutseks.

MAC-aadressis on 48 bitti, millest „kasutatavad” võivad olla 46 (miks? Loe edasi), mis annab 2^46 ehk 1014 aadressi, mis on 2^14 korda suurem IPv4 aadressiruumist.
Praegu on jaotatud umbes pool triljonit aadressi, mis on vaid 0,73% kogu mahust. MAC aadresside lõppemiseni on veel väga, väga pikk tee.

Bitide juhuslikkus

Võib eeldada, et OUI jaotatakse juhuslikult ning tootja määrab seejärel samuti juhuslikult aadresse individuaalsetele võrgu seadmetele. Kas see tõesti nii on? Vaadakem MAC aadresside jaotust, mis on kogutud minu käsutuses olevates 802.11-seadmete andmebaasides, mis on koostatud töötavate autoriseerimissüsteemide järgi traadita võrkudes WNAM. Aadressid kuuluvad tegelikele seadmetele, mis on ühendatud Wi-Fi'ga mitme aasta jooksul kolme riigi ulatuses. Lisaks sisaldub väike andmebaas 802.3-seadmest, mis on ühendatud traadiga LAN-iga.

Jagame iga MAC-aadressi (kuu baidi) igas valimis bite kaupa, ja vaatame, kui sageli ilmub bit '1' igas 48 positsioonis. Kui bitt on määratud täiesti suvaliselt, siis tõenäosus saada '1' peaks olema 50%.

Wi-Fi valim nr 1 (Venemaa)
Wi-Fi valim nr 2 (Valgevene)
Wi-Fi valim nr 3 (Usbekistan)
LAN valim (Venemaa)

Aruannete arv andmebaasis
5929000
1274000
366000
1000

Biti number:
% bit '1'
% bit '1'
% bit '1'
% bit '1'

1
48.6%
49.2%
50.7%
28.7%

2
44.8%
49.1%
47.7%
30.7%

3
46.7%
48.3%
46.8%
35.8%

4
48.0%
48.6%
49.8%
37.1%

5
45.7%
46.9%
47.0%
32.3%

6
46.6%
46.7%
47.8%
27.1%

7
0.3%
0.3%
0.2%
0.7%

8
0.0%
0.0%
0.0%
0.0%

9
48.1%
50.6%
49.4%
38.1%

10
49.1%
50.2%
47.4%
42.7%

11
50.8%
50.0%
50.6%
42.9%

12
49.0%
48.4%
48.2%
53.7%

13
47.6%
47.0%
46.3%
48.5%

14
47.5%
47.4%
51.7%
46.8%

15
48.3%
47.5%
48.7%
46.1%

16
50.6%
50.4%
51.2%
45.3%

17
49.4%
50.4%
54.3%
38.2%

18
49.8%
50.5%
51.5%
51.9%

19
51.6%
53.3%
53.9%
42.6%

20
46.6%
46.1%
45.5%
48.4%

21
51.7%
52.9%
47.7%
48.9%

22
49.2%
49.6%
41.6%
49.8%

23
51.2%
50.9%
47.0%
41.9%

24
49.5%
50.2%
50.1%
47.5%

25
47.1%
47.3%
47.7%
44.2%

26
48.6%
48.6%
49.2%
43.9%

27
49.8%
49.0%
49.7%
48.9%

28
49.3%
49.3%
49.7%
55.1%

29
49.5%
49.4%
49.8%
49.8%

30
49.8%
49.8%
49.7%
52.1%

31
49.5%
49.7%
49.6%
46.6%

32
49.4%
49.7%
49.5%
47.5%

33
49.4%
49.8%
49.7%
48.3%

34
49.7%
50.0%
49.6%
44.9%

35
49.9%
50.0%
50.0%
50.6%

36
49.9%
49.9%
49.8%
49.1%

37
49.8%
50.0%
49.9%
51.4%

38
50.0%
50.0%
49.8%
51.8%

39
49.9%
50.0%
49.9%
55.7%

40
50.0%
50.0%
50.0%
49.5%

41
49.9%
50.0%
49.9%
52.2%

42
50.0%
50.0%
50.0%
53.9%

43
50.1%
50.0%
50.3%
56.1%

44
50.1%
50.0%
50.1%
45.8%

45
50.0%
50.0%
50.1%
50.1%

46
50.0%
50.0%
50.1%
49.5%

47
49.2%
49.4%
49.7%
45.2%

48
49.9%
50.1%
50.7%
54.6%

Kust see ebaõiglus 7. ja 8. bitis tuleb? Seal on peaaegu alati nullid.

Tõepoolest, standard määratleb need bitid erilise (Vikipeedia):

Esimese baidi kaheksas (algusest) bitt MAC-aadressis nimetatakse Unicast/Multicast bitiks ja see määrab, millist tüüpi raami (frame) edastatakse selle aadressiga, tavaline (0) või laialeviine (1) (multicast või broadcast). Tavaülekande, unicast, puhul on see bitt igas saadetavas paketis määratud '0'.

Esimese baidi seitsmes (algusest) bitt MAC-aadressis nimetatakse U/L (Universal/Local) bitiks ja see määrab, kas aadress on globaalne unikaalne (0) või lokaalne unikaalne (1). Vaikimisi on kõik 'tootja poolt kirjutatud' aadressid globaalselt unikaalsed, seega sisaldab enamik kogutud MAC-aadresse seitsmenda biti määratletud '0'. OUI määratud id-de tabelis on ainult umbes 130 kirjet, kus U/L bitt on '1', ja nähtavasti on need MAC-aadresside plokid eriliste vajaduste jaoks.

Esimese baidi bitid 6.–1. ja teise ja kolmanda baidi bitid OUI identifikaatorites, samuti 4.–6. baidi aadressi bitid, mille tootja määrab, on jaotatud enam-vähem ühtlaselt.

Seega, reaalsetes MAC-aadressides on võrguadapteri bitid tegelikult võrdsed ja ei kanna tehnoloogilist tähendust, välja arvatud kaks teenindusbitit kõrgeimas baidis.

Levinud esindajate hulk

Huvitav, millised traadita seadmete tootjad on kõige populaarsemad? Kombineerime OUI andmebaasi otsingu valimise nr 1 andmetega.

Tootja
Seadmete osakaal, %

Apple
26,09

Samsung
19,79

Huawei Technologies Co. Ltd
7,80

Xiaomi Communications Co Ltd
6,83

Sony Mobile Communications Inc
3,29

LG Electronics (Mobile Communications)
2,76

ASUSTek COMPUTER INC.
2,58

TCT mobile ltd
2,13

zte corporation
2,00

andmebaasis ei leitud
1,92

Lenovo Mobile Communication Technology Ltd.
1,71

HTC Corporation
1,68

Murata Manufacturing
1,31

InPro Comm
1,26

Microsoft Corporation
1,11

Shenzhen TINNO Mobile Technology Corp.
1,02

Motorola (Wuhan) Mobility Technologies Communication Co. Ltd.
0,93

Nokia Corporation
0,88

Shanghai Wind Technologies Co. Ltd
0,74

Lenovo Mobile Communication (Wuhan) Company Limited
0,71

Praktika näitab, et mida varakam on mobiilivõrgu kasutajaskond, seda suurem on Apple'i seadmete osakaal.

Ainulaadsus

Kas MAC-aadressid on unikaalsed? Teoorias jah, kuna iga seadme tootja (MA-ploki omanik) peab tagama, et iga välja antud võrguadapteri jaoks on ainulaadne aadress. Kuid mõned kiibitootjad, nimelt:

• 00:0A:F5 Airgo Networks, Inc. (praegu Qualcomm)
• 00:08:22 InPro Comm (praegu MediaTek)

seavad MAC-aadressi viimased kolm baitit juhuslikuks numbriks, mida tõenäoliselt muudetakse pärast iga seadme taaskäivitamist. Selliseid aadresse leidsin oma valimis nr 1 82 tuhat.

Võõra mittetüüpilise aadressi seadmine on muidugi võimalik, kui paigaldada see „nagu naabril”, tuvastades selle snifferiga, või valida see juhuslikult. Samuti on võimalik juhuslikult seada mittetüüpne aadress, näiteks taastades mõne ruuteri, nagu Mikrotik või OpenWrt, konfiguratsiooni varukoopia.

Mis juhtub, kui võrgus on kaks seadet sama MAC-aadressiga? Kõik sõltub võrguseadmest (traadiga ruuter, juhtmeta võrgu kontroller). Tõenäoliselt ei tööta kummagi seade või töötavad need katkestustega. IEEE standardite kohaselt soovitatakse MAC-aadresside võltsimise kaitsmiseks kasutada näiteks MACsec või 802.1X.

Mis juhtub, kui seadistad endale MAC-i, mille seitsmes või kaheksas bitti on seatud „1”, st kohaliku või multicast-aadressi? Tõenäoliselt ei märka teie võrk seda, kuid formaalselt ei vasta selline aadress standardile ja parem on seda mitte teha.

Kuidas toimib randomiseerimine

Teame, et inimeste liikumise jälgimise vältimiseks, skaneerides eeter ja kogudes MAC-e, on nutitelefonide operatsioonisüsteemid juba mitu aastat kasutanud randomiseerimise tehnoloogiat. Teoreetiliselt, kui skaneerida eeter tuntud võrkude otsinguks, saadab nutitelefon paketi (pakettide grupi) tüüpi 802.11 probe request MAC-aadressiga allikana:

Käivitatud randomiseerimine võimaldab määrata mitte „lahendatud”, vaid mingi muu paketi allika aadressi, mis muutub iga skaneerimistsükli ajal, ajas või muul moel. Kas see töötab? Vaadakem statistikat, mille Wi-Fi Radar on kogunud eetrisse MAC-aadresside kohta:

Kogu valik
Valik ainult nullse 7. bitiga

Aruannete arv andmebaasis
3920000
305000

Biti number:
% bit '1'
% bit '1'

1
66.1%
43.3%

2
66.5%
43.4%

3
31.7%
43.8%

4
66.6%
46.4%

5
66.7%
45.7%

6
31.9%
46.4%

7
92.2%
0.0%

8
0.0%
0.0%

9
67.2%
47.5%

10
32.3%
45.6%

11
66.9%
45.3%

12
32.3%
46.8%

13
32.6%
50.1%

14
33.0%
56.1%

15
32.5%
45.0%

16
67.2%
48.3%

17
33.2%
56.9%

18
33.3%
56.8%

19
33.3%
56.3%

20
66.8%
43.2%

21
67.0%
46.4%

22
32.6%
50.1%

23
32.9%
51.2%

24
67.6%
52.2%

25
49.8%
47.8%

26
50.0%
50.0%

27
50.0%
50.2%

28
50.0%
49.8%

29
50.0%
49.4%

30
50.0%
50.0%

31
50.0%
49.7%

32
50.0%
49.9%

33
50.0%
49.7%

34
50.0%
49.6%

35
50.0%
50.1%

36
50.0%
49.5%

37
50.0%
49.9%

38
50.0%
49.8%

39
50.0%
49.9%

40
50.0%
50.1%

41
50.0%
50.2%

42
50.0%
50.2%

43
50.0%
50.1%

44
50.0%
50.1%

45
50.0%
50.0%

46
50.0%
49.8%

47
50.0%
49.8%

48
50.1%
50.9%

Pilt on hoopis teine.

8. bit esimese baidi MAC-aadressis vastab endiselt SRC-aadressi Unicast-iseloomule probe request pakendis.

7. bit on 92,2% juhtudel seadistatud Local, st piisava kindlusega võib väita, et just nii palju kogutud aadresse kuulub randomiseeritud ja vähem kui 8% -le kuuluvad reaalsetele. Samal ajal vastab OUI bitide jaotus nende reaalsete aadresside jaoks rohkem või vähem eeltoodud tabeli andmetele.

Millisele tootjale kuuluvad randomiseeritud aadressid (st 7. bit on „1“)?

Tootja OUI kaudu
Osakaal kõikide aadresside seas

andmebaasis ei leitud
62.45%

Google Inc.
37.54%

teised
0.01%

Kõik Google'ile kuuluvad randomiseeritud aadressid kuuluvad ühele OUI-le, mille prefiks on DA:A1:19. Mis on see prefiks? Vaatame Androidi lähtekoodis.

private static final MacAddress BASE_GOOGLE_MAC = MacAddress.fromString("da:a1:19:0:0:0");

Tavaline Android kasutab traadita võrke otsides spetsiaalset, registreeritud OUI-d, üks väheseid, millel on seitsmes bit seadistatud.

Kalkuleerime reaalset MAC-i juhuslikust

Vaatame seal samas:

private static final long VALID_LONG_MASK = (1L << 48) - 1;
private static final long LOCALLY_ASSIGNED_MASK = MacAddress.fromString("2:0:0:0:0:0").mAddr;
private static final long MULTICAST_MASK = MacAddress.fromString("1:0:0:0:0:0").mAddr;

public static @NonNull MacAddress createRandomUnicastAddress(MacAddress base, Random r) {
        long addr;
        if (base == null) {
            addr = r.nextLong() & VALID_LONG_MASK;
        } else {
            addr = (base.mAddr & OUI_MASK) | (NIC_MASK & r.nextLong());
        }
        addr |= LOCALLY_ASSIGNED_MASK;
        addr &= ~MULTICAST_MASK;
        MacAddress mac = new MacAddress(addr);
        if (mac.equals(DEFAULT_MAC_ADDRESS)) {
            return createRandomUnicastAddress(base, r);
        }
        return mac;
    }

Aadress tervikuna või selle kolm madalamat baidi on puhas Random.nextLong(). „Patenteeritud reaalsete MAC-de taastamine“ on petmine. Suure tõenäosusega võib eeldada, et Android-telefonide tootjad kasutavad teisi, registreerimata OUI-sid. iOS-i lähtekood on meil puudulik, kuid tõenäoliselt kasutatakse seal sarnast algoritmi.

Ülaltoodud ei sea kahtluse alla Wi-Fi abonentide deanonimise teiste mehhanismide toimimist, mis põhinevad muude probe request raami väljade analüüsil või seadme saadetud päringute suhtelise sageduse korrelatsioonil. Siiski on välistest vahenditest abonendi täpne jälgimine äärmiselt keeruline. Kogutud andmed sobivad enamasti asukoha ja aja keskmise/haripunkti koormuse analüüsimiseks, tuginedes suurtele numbritele, ilma seostamata konkreetsete seadmete ja inimestega. Täpsed andmed on ainult neil, kes on "sees", mobiilsete operatsioonisüsteemide tootjatel ning paigaldatud rakendustel.

Mis võiks olla ohtlik selles, et keegi teine teab teie seadme MAC-aadressi? Traadiga ja traadita võrkudes on võimalik korraldada "teenuse keelamise" rünnak. Traadita seadme puhul on tõenäosus, et fikseeritakse hetk, mil see ilmub sensoriga varustatud kohta. Aadressi vale esitamine võib võimaldada "end seadmena esitlemist", kuid see võib toimida vaid siis, kui ei rakendata täiendavaid turvameetmeid (autentimine ja/või krüpteerimine). 99,9% inimestest ei pea siin millegi pärast muretsema.

MAC-aadress on keerulisem, kui näib, kuid lihtsam, kui võiks olla.

Allikas: habr.com