MAC-Adresse

Grundidee und Bedeutung

Die MAC-Adresse (Media-Access-Control-Adresse, auch Media-Access-Code-Adresse) ist die Hardware-Adresse eines Netzwerkadapters. Sie dient auf einer Datenverbindung als Identifikator, damit übertragene Daten dem richtigen Gerät zugeordnet werden können. Andere Bezeichnungen sind physische Adresse oder Geräteadresse; Apple verwendet auch Ethernet-ID, Airport-ID oder Wi-Fi-Adresse.

Typische Übertragungsmedien sind Kupferkabel, Lichtwellenleiter und Funk, etwa WLAN. Auf der Bitübertragungsschicht werden Bitfolgen übertragen, die auf der darüberliegenden Sicherungsschicht zu Frames zusammengefügt werden. Dort ermöglicht die MAC-Adresse die Adressierung. Ethernet-, WLAN- und Bluetooth-Netzwerkkarten besitzen jeweils eine solche Adresse.

MAC-Adressen sind vor allem innerhalb lokaler Netze wichtig. Sie sind üblicherweise weltweit eindeutig, enthalten aber keine für die Wegewahl, also das Routing, geeignete Struktur. Die Adresse wird der Sicherungsschicht, Schicht 2 des OSI-Modells, zugeordnet; im erweiterten IEEE-Modell gehört sie zur Unterschicht Media Access Control, Schicht 2a. Für die Verbindung zur Vermittlungsschicht wird bei Ethernet unter IPv4 beispielsweise das Address Resolution Protocol (ARP) eingesetzt, unter IPv6 das Neighbor Discovery Protocol (NDP).

Adressierung, Übertragung und Zugriff

Ein Datenpaket beginnt auf gemeinsam genutzten Medien mit der MAC-Adresse des Empfängers. Ein Gerät verarbeitet das Paket nur, wenn die Adresse passt. Die fest in die Schaltung eingebaute Adresse steht unmittelbar nach dem Einschalten zur Verfügung. Während Pakete für andere Empfänger übertragen werden, können Teile eines Empfängers abgeschaltet werden, um Strom zu sparen. Bei Ethernet und WLAN regelt die MAC-Adresse jedoch nicht, welches Gerät gerade senden darf.

In einem Ethernet-II-Frame stehen zunächst die MAC-Adressen von Empfänger und Sender, danach folgen Typfeld und Daten. Beide Adressen beziehen sich auf Teilnehmer desselben Local Area Networks (LAN). Soll ein Paket ein anderes Netz erreichen, wird der Ethernet-Frame zunächst an einen Router adressiert. Der Router wertet das Paket aus und erzeugt für ein benachbartes Ethernet einen neuen Frame: Er ersetzt die Quelladresse durch seine eigene MAC-Adresse und die Zieladresse durch die MAC-Adresse des nächsten Routers.

Nur Geräte, die auf Schicht 2 ausdrücklich adressiert werden müssen, benötigen eine MAC-Adresse. Repeater und Hubs leiten Pakete lediglich weiter und sind auf dieser Schicht nicht sichtbar. Auch Bridges und Switches brauchen für ihre reine Weiterleitungsfunktion keine eigene MAC-Adresse. Sie benötigen sie aber für Administration oder Monitoring, etwa über Telnet, SNMP oder HTTP, sowie für den Spanning-Tree-Algorithmus zur Vermeidung von Schleifen.

Die Adresse ff-ff-ff-ff-ff-ff, bei der alle 48 Bits den Wert 1 haben, ist die Broadcast-Adresse. Ein solcher Frame richtet sich an alle Geräte eines LANs und wird ohne besondere Maßnahmen nicht in ein anderes LAN übertragen.

Aufbau und Schreibweise

Eine Ethernet-MAC-Adresse besteht aus 48 Bit beziehungsweise sechs Bytes und wird gewöhnlich hexadezimal geschrieben. Übliche Formen sind 00-80-41-ae-fd-7e, 00:80:41:ae:fd:7e oder 008041-aefd7e. Seltener sind 008041aefd7e und 0080.41ae.fd7e.

Das niederwertigste Bit des ersten Bytes, Bit 0, heißt I/G-Bit für Individual/Group. I/G = 0 kennzeichnet eine Einzeladresse und wird auch bei Quelladressen verwendet. I/G = 1 kennzeichnet eine Gruppenadresse für Multicast oder Broadcast.

Bit 1 heißt U/L-Bit für Universal/Local. U/L = 0 bezeichnet eine global koordinierte Universally Administered Address (UAA); U/L = 1 eine lokal verwaltete Locally Administered Address (LAA), die nur in ihrem Bereich eindeutig sein muss. Lokale Adressen liegen beispielsweise in den Mustern x2:xx:xx:xx:xx:xx, x6:xx:xx:xx:xx:xx, xA:xx:xx:xx:xx:xx und xE:xx:xx:xx:xx:xx. Sie können etwa für virtuelle Maschinen verwendet werden.

In der kanonischen Darstellung, auch canonical form, LSB format oder Ethernet format, wird jedes Oktett mit dem niederwertigsten Bit zuerst übertragen. So arbeiten IEEE 802.3 (Ethernet) und IEEE 802.4 (Token Bus), abgesehen von der Frame Check Sequence. IEEE 802.5 (Token Ring) und IEEE 802.6 übertragen dagegen das höchstwertige Bit zuerst. Diese Form heißt unter anderem Bit-reversed order, Non-canonical form, MSB format, IBM format oder Token Ring format. Ohne Angabe der verwendeten Form kann eine Adresse falsch gelesen werden: 12-34-56-78-9A-BC könnte durch eine inkonsistente Umwandlung fälschlich als 48-2C-6A-1E-59-3D erscheinen.

Vergabe und besondere Adressbereiche

Bei global koordinierten Adressen bilden die Bits 2 bis 23 eine von der IEEE vergebene Herstellerkennung, den Organizationally Unique Identifier (OUI). Die verbleibenden 24 Bits legt der Hersteller für jede Schnittstelle fest. Compaq besitzt beispielsweise die OUI 00-50-8B und kann damit die Adressen 00-50-8B-xx-xx-xx vergeben. Das ergibt 2^24 = 16.777.216, also etwa 16,8 Millionen, individuelle Adressen.

Für kleinere Organisationen gibt es den OUI-28 beziehungsweise MAC Address Block Medium (MA-M) und den OUI-36 beziehungsweise MAC Address Block Small (MA-S). Beim OUI-36 bleiben 12 frei vergebbare Bits, also 2^12 = 4096 Adressen. Beim MA-M bleiben 20 Bits, also 2^20 = 1.048.576 Adressen nach EUI-48. Mit EUI-64 können mehr Geräte adressiert werden.

Theoretisch sollen Geräteschnittstellen weltweit eindeutige Adressen besitzen. Es gab jedoch Fälle identischer MAC-Adressen im selben Netz, die schwer erklärbare Fehler verursachten. Software erlaubt außerdem häufig eine Änderung, beispielsweise damit ein Ersatzgerät in einem Backup-System die Adresse eines ausgefallenen Geräts übernimmt.

Besondere Multicast-Bereiche sind fest reserviert. IPv4-Multicast verwendet 01-00-5e-00-00-00 bis 01-00-5e-7f-ff-ff; die unteren 23 Bits der IP-Multicast-Adresse werden auf die unteren 23 Bits der MAC-Adresse abgebildet. So gehört 224.0.0.1 zur MAC-Adresse 01-00-5e-00-00-01. Weil fünf weitere Bits der IP-Adresse nicht abgebildet werden, kann ein Host Pakete einer nicht abonnierten Gruppe empfangen; die IP-Schicht verwirft sie. IPv6-Multicast nutzt 33-33-xx-xx-xx-xx und übernimmt die untersten 32 Bits der IPv6-Multicast-Adresse. Für virtuelle Router nach VRRP ist 00-00-5E-00-01-ID vorgesehen, wobei ID den virtuellen Router bezeichnet und auch bei einem Wechsel des ausführenden Geräts gleich bleibt.

Der Eintrag „PRIVATE“ in der OUI-Datenbank bezeichnet keine frei lokal nutzbaren Bereiche. Er bedeutet, dass ein registriertes Unternehmen seine Identität nicht veröffentlichen möchte. Für lokale Adressen ist stattdessen das U/L-Bit maßgeblich.

Änderbarkeit, Datenschutz und Sicherheit

Eine MAC-Adresse wird traditionell vom Hersteller fest und unveränderlich in ein Gerät programmiert. Unterstützen Betriebssystem und Hardware eine Änderung, kann der Benutzer jedoch eine andere Adresse einstellen. Seit 2020 verwenden besonders Smartphones auch zufällige, temporäre MAC-Adressen. Dies ist seit Android 10 beziehungsweise iOS 14 voreingestellt und soll verhindern, dass Nutzer anhand ihrer Adresse verfolgt werden.

MAC-Adressen können zur Zugangskontrolle dienen. Im Heimnetz lassen sich etwa Geräte von Kindern nachts sperren; Unternehmen können unbekannte Geräte ablehnen; fremde Geräte können Gastnetzen zugeordnet werden. Dieser Schutz ist begrenzt: Er verhindert nicht den Zugriff auf das Funkmedium, und eine Sperre lässt sich umgehen, wenn ein Gerät seine MAC-Adresse ändern kann und eine zugelassene Adresse bekannt ist. Zufällig erzeugte und regelmäßig wechselnde Adressen verbessern die Anonymität, erschweren aber die Wiedererkennung. In Netzen, die ausschließlich bekannte Geräte zulassen, muss ein Gerät nach einem Adresswechsel erneut registriert werden.

Auch MAC-Filter für LAN und WLAN bieten wegen der leichten Änderbarkeit nur schwachen Schutz und können durch MAC-Spoofing ausgehebelt werden. Ebenso sollte eine MAC-Adresse nicht allein zur Authentifizierung oder Softwarelizenzierung dienen. Manche Programme verwenden dennoch die Adresse der ersten Netzwerkkarte zur Rechneridentifikation; auch UUIDs oder GUIDs können sie als einen Bestandteil einbeziehen.

Die Adresse steht häufig auf dem Gerät oder der Netzwerkkarte, teilweise als Teil der Seriennummer. Sie kann außerdem über Firmware, BIOS, Betriebssystemeinstellungen oder Programme ausgelesen und je nach System verändert werden. Beispiele zum Auslesen sind ip link unter Linux, ipconfig /all oder getmac /v unter Windows sowie ifconfig unter verschiedenen Unix-Systemen. Die Registrierung eines eigenen IEEE-MAC-Adressblocks kostete am 1. August 2023 zwischen 830 und 3275 US-Dollar. Gegen eine zusätzliche jährliche Gebühr konnte der Inhaber verborgen und aus der öffentlichen Datenbank herausgehalten werden.