Per anni l'indirizzo MAC è stato considerato l'identità fissa di un dispositivo di rete: un codice assegnato in fabbrica e mai cambiato. Su questa idea si basano molte funzioni dei router domestici, dalle prenotazioni di indirizzo ai filtri per il controllo parentale. Oggi però telefoni, tablet e computer usano sempre più spesso indirizzi MAC casuali, e chi gestisce una rete di casa se ne accorge quando qualcosa smette di funzionare.
Perché esistono i MAC casuali
Quando il Wi-Fi è acceso, un telefono cerca continuamente le reti disponibili e, collegandosi, si presenta con il proprio MAC. Un indirizzo fisso permette a chiunque gestisca reti Wi-Fi in negozi, stazioni o centri commerciali di riconoscere lo stesso telefono nel tempo e in luoghi diversi, ricostruendo spostamenti e abitudini.
Per questo i sistemi operativi hanno introdotto gli indirizzi privati. iOS lo fa dalla versione 14, Android dalla versione 10 per impostazione predefinita, e anche Windows e macOS offrono opzioni simili. Il comportamento più comune è un indirizzo diverso per ogni rete, ma stabile su quella rete. Alcune versioni recenti prevedono anche indirizzi che cambiano periodicamente sulla stessa rete.
Come riconoscerli
Un MAC casuale è marcato come "amministrato localmente". In pratica il secondo carattere dell'indirizzo è sempre 2, 6, A oppure E:
| Esempio | Tipo |
|---|---|
3C:22:FB:... |
Indirizzo di fabbrica |
DA:4F:91:... |
Indirizzo casuale (secondo carattere A) |
F6:10:2B:... |
Indirizzo casuale (secondo carattere 6) |
Il prefisso di un indirizzo casuale non corrisponde a nessun produttore, quindi le app di scansione mostrano il dispositivo come sconosciuto.
Cosa smette di funzionare
Prenotazioni DHCP
Se hai assegnato al tablet un indirizzo IP fisso tramite il suo MAC, la prenotazione funziona finché il MAC resta lo stesso. Con un indirizzo che ruota, o dopo un ripristino delle impostazioni di rete, il tablet riceve un IP nuovo e la regola non si applica più.
Filtri MAC e liste di accesso
Il filtro MAC, che consente l'accesso al Wi-Fi solo a indirizzi noti, era già una protezione debole, perché un MAC si legge e si imita facilmente. Con gli indirizzi casuali diventa anche scomodo: ogni volta che l'indirizzo cambia, il dispositivo resta fuori.
Controllo parentale e regole per dispositivo
Molti router applicano orari, limiti e filtri per dispositivo, identificandolo con il MAC. Se il telefono di un ragazzo cambia indirizzo, il router lo vede come nuovo e le regole non si applicano. A volte basta che l'utente "dimentichi" la rete e si ricolleghi.
Statistiche e inventario
Nel registro del router compaiono dispositivi duplicati o sconosciuti, che rendono difficile capire chi è collegato.
Come gestirli in casa
Disattivare l'indirizzo privato su tutti i dispositivi non è necessario, e toglierebbe una protezione utile fuori casa. Le strade più equilibrate sono altre.
- Disattivalo solo per la rete di casa: tutti i sistemi principali permettono di scegliere l'indirizzo privato rete per rete. Si lascia attivo ovunque e lo si spegne solo sul Wi-Fi domestico, dove il dispositivo è comunque noto.
- Usa la modalità fissa per rete: se il sistema offre la scelta tra indirizzo privato fisso e a rotazione, quello fisso per rete mantiene la privacy verso l'esterno e funziona bene con le prenotazioni.
- Identifica i dispositivi in altro modo: alcuni sistemi di gestione riconoscono i dispositivi dal nome che comunicano o li associano a un profilo utente, invece che al MAC.
- Applica le regole alla rete, non al dispositivo: per i figli, una rete o una VLAN dedicata con i suoi orari e il suo filtro DNS non dipende dal MAC.
- Rinuncia al filtro MAC come misura di sicurezza: una password robusta con WPA2 o WPA3 protegge molto di più.
Un esempio pratico
In una casa con controllo parentale sui tablet dei bambini, la configurazione più stabile è questa: indirizzo privato disattivato solo sulla rete domestica nelle impostazioni Wi-Fi di ogni tablet, prenotazione DHCP sul router, regole di orario associate a quei MAC. In alternativa, i tablet si collegano a un SSID dedicato, con filtro DNS e orari propri. Nel mio lavoro preferisco la seconda soluzione quando i dispositivi sono molti: resiste anche ai ripristini e ai cambi di telefono.
In sintesi
- I MAC casuali proteggono la privacy impedendo di tracciare un dispositivo tra reti diverse.
- Si riconoscono dal secondo carattere dell'indirizzo: 2, 6, A oppure E.
- Possono rompere prenotazioni DHCP, filtri MAC e controllo parentale per dispositivo.
- Conviene disattivarli solo sulla rete di casa, lasciandoli attivi altrove.
- Regole legate a una rete dedicata resistono meglio di quelle legate al MAC.
