La dirección MAC es el identificador de hardware de una interfaz de red: tu placa Ethernet, tu chip WiFi, tu adaptador Bluetooth. Es única a nivel mundial (en teoría) y está grabada en la ROM del dispositivo en fábrica.
Son 48 bits (6 bytes) representados en hexadecimal, típicamente separados por dos puntos o guiones: 00:1A:2B:3C:4D:5E o 00-1A-2B-3C-4D-5E. Algunos sistemas usan puntos cada 4 dígitos: 001A.2B3C.4D5E (estilo Cisco).
Opera en la capa 2 del modelo OSI (enlace de datos). Mientras IPv4/IPv6 trabajan a nivel de red (capa 3) y rutean entre redes, las direcciones MAC funcionan solo dentro de la misma red local (LAN). Cuando tu PC envía un paquete al router, usa la IP del router pero la MAC del router para entregarlo físicamente.
El protocolo ARP (Address Resolution Protocol) traduce IPs a MACs: tu PC hace broadcast "¿quién tiene 192.168.1.1?" y el router responde "soy yo, mi MAC es XX:XX:XX:XX:XX:XX". Tu PC cachea eso y envía el frame Ethernet con esa MAC de destino.
Los 48 bits se dividen en dos partes:
OUI (Organizationally Unique Identifier): los primeros 24 bits (3 bytes). Identifica al fabricante. IEEE asigna estos bloques a empresas que fabrican hardware de red. Ejemplo: 00:1A:2B podría pertenecer a Cisco, 3C:22:FB a Apple.
Podés buscar el fabricante de cualquier MAC en bases como maclookup.app. Es útil para identificar dispositivos desconocidos en tu red: esa MAC que empieza con B8:27:EB es una Raspberry Pi.
NIC (Network Interface Controller): los últimos 24 bits (3 bytes). Es el identificador único dentro del bloque del fabricante. El fabricante asigna estos números secuencialmente a medida que produce dispositivos.
Ejemplo completo: 3C:22:FB:1A:2B:3C. Los primeros 3 bytes (3C:22:FB) son el OUI de Apple, los últimos 3 (1A:2B:3C) identifican este iPhone específico entre millones de dispositivos Apple.
Dentro del OUI, el bit menos significativo del primer byte indica unicast vs multicast: si es 0, es unicast (un solo destinatario), si es 1, es multicast. El segundo bit indica global vs local: 0 = globalmente única (asignada por IEEE), 1 = administrada localmente (puede ser customizada).
Capa OSI: MAC trabaja en capa 2 (enlace), IP en capa 3 (red). MAC entrega frames dentro de un segmento, IP rutea paquetes entre redes.
Ámbito: MAC solo importa en la LAN local. Cuando un paquete cruza un router hacia otra red, la MAC cambia (se reescribe con la MAC del siguiente salto), pero la IP origen/destino permanece igual todo el viaje.
Asignación: MAC es fija (grabada en hardware, aunque modificable por software), IP es dinámica (asignada por DHCP o configurada manualmente).
Legibilidad: IP está diseñada para ser leída y memorizada por humanos (8.8.8.8), MAC no (salvo techs que las ven todo el día).
Analogía postal: la IP es tu dirección completa (calle, ciudad, país), la MAC es el nombre de la persona en esa dirección. El correo usa la dirección para llegar a la ciudad, pero necesita el nombre para entregarlo a la persona correcta dentro del edificio.
MAC spoofing es cambiar tu dirección MAC por software. Es trivial en cualquier sistema operativo: ifconfig eth0 hw ether XX:XX:XX:XX:XX:XX en Linux, apps gráficas en Windows/Mac.
Usos legítimos:
- Privacidad: evitar tracking por MAC en WiFis públicas (Android 10+ randomiza MACs automáticamente en redes nuevas).
- Testing: simular múltiples dispositivos desde una máquina.
- Reparación: reemplazás una placa de red rota, copiás la MAC vieja para que el ISP no te pida reautorización.
Usos maliciosos:
- Bypassear filtros MAC en routers (mecanismo de seguridad débil de todas formas).
- Ataques man-in-the-middle: spoofear la MAC del gateway para interceptar tráfico.
- Evadir sistemas de licencias o control de acceso basados en MAC.
Filtrado MAC como seguridad: tu router permite "solo conectar estos MACs". Inútil: cualquiera con acceso WiFi puede ver las MACs autorizadas (están en broadcast) y spoofearse. Mejor: WPA3, contraseñas fuertes, VLANs para segmentar.
802.1X (EAP) es autenticación real a nivel de red: el dispositivo debe presentar credenciales (certificado o usuario/password) antes de que el switch/AP le asigne una IP. Común en empresas, ignora la MAC.
Ejemplos
00:1A:2B:3C:4D:5E — formato estándar con dos puntos3C-22-FB-1A-2B-3C — formato con guiones (Windows)001A.2B3C.4D5E — formato Cisco (puntos cada 4 hex)B8:27:EB:XX:XX:XX — OUI de Raspberry Pi FoundationFF:FF:FF:FF:FF:FF — dirección de broadcast (todos los dispositivos en LAN)
Preguntas frecuentes
¿Puede haber dos dispositivos con la misma MAC?
En teoría no: los fabricantes deben asignar MACs únicas. En práctica: colisiones ocurren por errores de fabricación, clonación barata, o spoofing. En la misma LAN causa caos (conflicto ARP). En LANs distintas, no hay problema.
¿Es seguro filtrar por MAC en mi WiFi?
No. Es trivial spoofear una MAC. Cualquiera que capture tráfico WiFi ve las MACs autorizadas. Solo da falsa sensación de seguridad. Usá WPA3, contraseña fuerte, y si necesitás segregación, VLANs + 802.1X.
¿Por qué mi teléfono muestra MACs diferentes en distintas redes WiFi?
Android 10+, iOS 14+ usan MAC randomization por privacidad. Cada red WiFi ve una MAC distinta (pero consistente para esa red). Evita tracking entre ubicaciones. Podés desactivarlo por red en configuración avanzada.