Analyseur d’adresse MAC : ce que disent les bits, et ce qu’une recherche ne peut pas dire

Qu’est-ce qu’une adresse MAC ?

Une adresse MAC est le nom sur quarante-huit bits auquel répond une interface réseau sur son segment local. Chaque trame Ethernet et chaque trame Wi-Fi en porte une à chaque extrémité, et les commutateurs n’utilisent rien d’autre pour décider où aiguiller une trame. Elle s’écrit avec douze chiffres hexadécimaux, généralement par paires séparées de deux-points — même si les tirets, les groupes de quatre pointés de Cisco et les douze chiffres à la suite circulent tout autant et veulent dire la même chose.

L’adresse n’est pas une suite sans structure. Deux bits du premier octet portent du sens, et le reste se partage entre un bloc que l’IEEE a attribué à une organisation et un numéro de série que cette organisation a choisi. C’est cette structure qui permet de dire quelque chose d’une adresse et, plus utile encore, de dire quand on ne peut rien en dire.

Cet analyseur lit l’adresse au lieu de la chercher dans une table. Il affiche toutes les notations, décode les deux bits d’indicateur, dérive l’identifiant d’interface IPv6 que l’adresse produirait, et vous dit si une recherche de fabricant sur cette adresse précise pourrait seulement donner une réponse unique.

Comment l’utiliser

1. Collez l’adresse dans la notation dont vous disposez. Les deux-points, les tirets, les points de Cisco et les chiffres bruts sont tous acceptés, et l’outil signale si le découpage ne correspond pas au séparateur. Les boutons d’exemple chargent cinq adresses, chacune choisie pour montrer une chose différente que disent les bits.
2. Lisez les deux bits d’indicateur. L’un dit si l’adresse a jamais été enregistrée auprès de l’IEEE ; l’autre, si elle désigne une interface ou un groupe. Ils sont indépendants, et à eux deux ils expliquent l’essentiel de ce qui paraît mystérieux dans une adresse.
3. Regardez le panneau fabricant avant de faire confiance à une recherche. Il nomme les vingt-quatre premiers bits et indique si ce préfixe fait partie de ceux que l’IEEE a découpés en blocs plus petits — car si c’est le cas, aucune recherche sur trois octets ne peut nommer une seule entreprise.

Pourquoi cette page ne nomme pas le fabricant

Presque tous les outils d’adresse MAC lisent les trois premiers octets, les cherchent dans une table et affichent un nom d’entreprise. Cela fonctionne pour la plupart des adresses et se trompe plus souvent que l’assurance du résultat ne le laisse croire, pour une raison visible dans les fichiers de l’IEEE eux-mêmes.

L’IEEE ne tient pas un registre. Il en tient trois, qui distribuent des blocs de tailles différentes : les attributions MA-L font vingt-quatre bits, les MA-M vingt-huit et les MA-S trente-six. Chacune des 39 898 lignes MA-L fait exactement six chiffres hexadécimaux, chacune des 6 528 lignes MA-M en fait sept et chacune des 7 119 lignes MA-S en fait neuf — de sorte que « les trois premiers octets identifient le fabricant » est une affirmation sur le plus grand registre, répétée comme si elle valait pour les trois.

La conséquence se compte. Sur les 53 545 attributions, 14 080 — vingt-six pour cent — se trouvent sous un préfixe de vingt-quatre bits que plusieurs organisations détiennent. Il existe 439 préfixes de ce genre, et l’un d’eux, 70:B3:D5, est partagé par 3 324 organisations, parce que c’est là que l’IEEE distribue ses plus petits blocs. Un outil qui lit trois octets et affiche un nom choisit, pour toute adresse de ce préfixe, entre trois mille réponses possibles et vous en montre une.

Les deux bits, et l’adresse IPv6

Le bit de poids faible du premier octet est le bit individuel/de groupe. À 1, la trame s’adresse à toutes les interfaces à l’écoute de cette adresse et non à une seule ; l’adresse de diffusion, dont les quarante-huit bits valent 1, en est le cas extrême. Le bit suivant est le bit universel/local, et il dit si l’adresse provient d’une attribution de l’IEEE. À 1, elle est administrée localement — choisie par l’administrateur du réseau ou par l’appareil lui-même.

Ce second bit explique pourquoi l’adresse Wi-Fi de votre téléphone change. Les adresses aléatoires mettent le bit local à 1, si bien qu’un seul bit sépare une adresse de confidentialité d’une adresse gravée en usine, et aucun registre ne peut rien dire de la première, si bonne que soit la recherche. Cet outil le dit explicitement plutôt que de vous montrer un champ fabricant vide.

Le même bit revient en IPv6. La RFC 4291 transforme une adresse MAC en identifiant d’interface en insérant les octets FF et FE au milieu et en inversant le bit universel/local — l’annexe le dit deux fois et se termine par « le seul changement est l’inversion de la valeur du bit universel/local ». C’est cette inversion que les implémentations oublient : une adresse mondialement unique, dont le bit vaut zéro, produit un identifiant dont le bit vaut un. L’outil affiche l’identifiant et l’adresse lien-local qui en découle.

Limites assumées

Il n’y a aucune recherche de fabricant ici, et c’est autant une décision de taille qu’une décision d’exactitude. Réduits à l’attribution et au nom de l’organisation, les trois registres pèsent 1,66 mégaoctet, soit 589 kilooctets compressés — plusieurs fois ce que ce site accepte de vous faire télécharger pour une page. Ce qui est embarqué à la place, c’est la liste des 439 préfixes ambigus, environ trois kilooctets, de sorte que l’outil peut dire quand une recherche devinerait, même s’il ne peut pas faire la recherche.

Cette liste est un instantané, et elle ne peut être qu’incomplète, jamais fausse : les registres gagnent des lignes en continu, donc un préfixe devenu partagé après la date de récupération ne sera pas signalé, tandis que rien de ce qui est signalé ne cessera de l’être. La page affiche la date de récupération. Les trois totaux de registres viennent du même instantané.

Enfin, une adresse en dit moins qu’on ne l’espère. Elle identifie une interface sur un segment de réseau, ne franchit pas le premier routeur et peut être modifiée logiciellement sur pratiquement tous les systèmes d’exploitation — c’est donc une indication sur une trame, pas sur un appareil ni sur une personne. L’outil ne porte aucun jugement sur l’adresse que vous collez et, tout se passant dans votre navigateur, il ne la voit jamais.

Pourquoi est-ce gratuit ?

Ce sont des opérations sur les bits de six octets, plus un ensemble de 439 chaînes, et votre navigateur fait le tout au fil de la frappe. Aucun serveur n’intervient : il n’y a donc rien à facturer ni de compte à créer.

Rien n’est envoyé. L’adresse que vous collez reste dans cet onglet.