Usurpation MAC.

L'usurpation MAC remplace par logiciel l'adresse MAC gravée d'une carte réseau par une adresse choisie par l'attaquant. Sur les réseaux reposant sur le filtrage MAC, des allowlists de portails captifs ou des licences liées à une adresse matérielle, cela suffit à obtenir un accès non autorisé. Elle est aussi utilisée pour contourner les quotas par appareil sur le Wi-Fi public, neutraliser des défenses de désauthentification, ou voler des baux IP sur des réseaux mal segmentés. Les défenses comprennent 802.1X, NAC, Dynamic ARP Inspection avec DHCP snooping, et le fait de ne jamais traiter une MAC comme un facteur d'authentification.

Techniquement, la modification est triviale : une adresse MAC n'est jamais vérifiée par les pairs, si bien que ip link set dev eth0 address, macchanger ou une clé de registre du pilote réécrit la valeur que la carte annonce dans chaque trame Ethernet ou 802.11. Comme les 24 premiers bits constituent l'OUI (identifiant unique d'organisation) attribué par l'IEEE, les attaquants clonent souvent le préfixe d'un véritable fabricant pour se fondre dans le trafic. Le paysage défensif a basculé lorsque des fonctions de confidentialité ont banalisé l'usurpation MAC : iOS 14 (2020) et Android 10 se sont mis à diffuser des MAC aléatoires par SSID pour empêcher le pistage passif de localisation, et Windows 10 propose la même chose. Cela a brisé les listes d'appareils autorisés fondées sur la MAC dans toute l'industrie et poussé les entreprises vers 802.1X/EAP-TLS à base de certificats et MACsec (IEEE 802.1AE) pour l'identité au niveau de la liaison. À elle seule, une MAC usurpée ne l'emporte que là où le réseau accorde à tort sa confiance à la couche 2 ; elle ne peut rien contre une authentification cryptographique.

flowchart TD
  A[Appareil de l'attaquant] --> B[Lire la MAC d'un appareil de confiance]
  B --> C[Définir l'adresse de la carte : macchanger / ip link]
  C --> D[La carte annonce la MAC clonée dans les trames]
  D --> E{Le réseau fait-il confiance à la couche 2 ?}
  E -- Filtrage MAC / portail captif --> F[Accès accordé - contournement]
  E -- 802.1X / EAP-TLS / MACsec --> G[Rejeté - certificat requis]