Resumen

  • RFC 9797 muestra que cambiar o aleatorizar la dirección MAC puede romper un vínculo de seguimiento, pero no garantiza anonimato si cuentas, credenciales, patrones u otros identificadores estables vuelven a unir las sesiones.
  • La MAC es un nombre de entrega en el enlace y, a veces, una clave para localizar estado. No demuestra por sí sola la identidad del equipo o usuario, ni autoriza a heredar una decisión anterior.
  • Un recibo local de continuidad privada debería unir solo la época de dirección, el contexto de confianza, la referencia autenticada, la política, la migración de estado, las señales estables relevantes, el resultado y su caducidad. Es una propuesta editorial de Daniel Kade, no un campo de IETF o IEEE.

El error más tentador es contar filas. Ayer había una dirección; hoy aparece otra; por tanto, concluye el sistema, hay dos dispositivos. La conclusión parece objetiva porque las dos cadenas son distintas. Sin embargo, solo describe dos observaciones en la capa de enlace. Nada en esa desigualdad identifica la materia física ni al usuario que opera el equipo.

RFC 9797, publicado como documento informativo del grupo MADINAS, estudia precisamente el efecto de las direcciones MAC aleatorias y cambiantes sobre las operaciones de red. No ordena una cadencia universal ni promete anonimato. Expone la dependencia que muchos servicios han creado alrededor de una estabilidad que nunca fue una credencial.

Para analizarla conviene separar seis preguntas. ¿Qué dirección permite entregar tramas ahora? ¿Puede un observador relacionar esta sesión con otra? ¿Qué principal o dispositivo ha sido autenticado? ¿Qué política concede el acceso? ¿Qué estado debe sobrevivir al cambio? ¿Qué resultado produjo el código en funcionamiento? Una sola columna no puede contestarlas a todas.

El nombre del enlace solo prueba su propia observación

ARP, DHCP, Neighbor Discovery y las tablas de los conmutadores hacen visible la MAC. Durante años, su estabilidad permitió indexar reservas, inventarios, portales cautivos, sesiones contables, reglas de calidad, límites y expedientes de soporte. Ese índice reducía fricción.

Pero una dirección observada no es una identidad autenticada. Puede cambiar por privacidad, virtualización, sustitución de interfaz o configuración. Puede copiarse. Un mismo endpoint puede presentar varias, y una misma cadena puede reaparecer en equipos distintos. La continuidad de la cadena facilita correlación; no produce prueba de posesión ni vincula automáticamente a una persona.

Un sistema puede seguir usando la MAC como puntero inicial siempre que nombre la incertidumbre. Debe decir “observada en este enlace a esta hora”, no “este es definitivamente el mismo usuario”. Después puede consultar una credencial, un registro gestionado o una sesión autenticada y formar una decisión con un nivel de garantía explícito.

La aleatorización no destruye una identidad que antes fuera sólida. Descubre que el servicio había confundido una clave persistente con la identidad. La reparación no consiste en prohibir el cambio, sino en trasladar la continuidad necesaria a una prueba adecuada.

Privacidad significa reducir una relación concreta

Cuando el dispositivo deja de reutilizar una MAC, un observador pierde la unión directa entre registros que compartían ese valor. Si la rotación se limita por red y tiempo de forma coherente, puede reducir el seguimiento entre lugares o visitas. Ese beneficio es importante, pero específico.

Otros datos pueden recomponer la relación: una cuenta, un certificado, un token de aplicación, un nombre de host, opciones de protocolo, un identificador IPv6, características de radio, tiempos o patrones de tráfico. RFC 7217 y RFC 8981 demuestran que también existen decisiones de estabilidad y privacidad en los identificadores IPv6. Cambiar la MAC mientras permanece una etiqueta superior puede producir la apariencia de privacidad sin alterar la vinculabilidad real.

Por eso no basta con preguntar si la aleatorización está “activada”. Hay que definir el observador, el ámbito y el conjunto de señales. Un operador empresarial puede reconocer de nuevo un dispositivo mediante una credencial consentida para aplicar su política. Eso no justifica reconstruir un historial global. Una red pública puede prestar acceso temporal sin una identidad civil. Una investigación de abuso puede conservar una evidencia limitada sin convertir cada dirección en un expediente vitalicio.

Tampoco la estabilidad demuestra autoría. Un atacante puede imitar una MAC; una dirección puede reciclarse; el contexto puede cambiar. La misma cadena aporta vinculabilidad, no certeza.

La confianza cambia con el contexto

RFC 9797 describe entornos con distintos grados de confianza porque el dispositivo no debe exponer la misma continuidad en todas partes. Una red administrada puede recibir más información para un fin definido. Una red seleccionada para una visita breve necesita menos. Durante el escaneo previo a la asociación, la necesidad puede ser casi nula.

“Confianza completa” no debería equivaler a retención infinita. “Confianza cero” no debería justificar la recolección secreta de huellas para recuperar lo que el dispositivo decidió no exponer. La confianza selectiva exige especificar el servicio, la prueba, los destinatarios, el plazo y el mecanismo de retirada.

La unidad de control útil es una época de dirección: MAC observada, red, intervalo y finalidad. Un vínculo con la época anterior es una decisión separada. Este diseño permite distinguir una rotación esperada de una colisión o suplantación y asigna responsabilidad a quien forma el vínculo.

Migrar estado no es copiar confianza

El cambio de dirección puede dejar restos en varias máquinas de estado. DHCP conserva un arrendamiento antiguo y abre otro. El controlador mantiene una estación obsoleta. El portal exige de nuevo el consentimiento. La contabilidad duplica la sesión. Una regla de calidad o una excepción de seguridad queda asociada a la MAC previa. El soporte interpreta dos fichas como dos equipos.

No todo estado merece sobrevivir. La entrada de reenvío local puede caducar. Un derecho de suscripción puede reconstruirse desde una cuenta autenticada. Un rol administrativo necesita una comprobación fuerte. Una limitación de abuso debe seguir al sujeto pertinente, pero no pegarse para siempre a una dirección que otra máquina podría reutilizar.

RFC 3539 aporta una intuición de resiliencia: la pérdida temporal de un identificador de transporte no equivale necesariamente a la pérdida de la autoridad subyacente. DHCP, resolución, autenticación, autorización y contabilidad tienen relojes y fuentes distintas. El indicador único “dispositivo conocido” oculta precisamente la divergencia que importa.

La transferencia también requiere defensa contra una unión falsa. Si la nueva época recibe una excepción, debe existir una credencial o prueba proporcional al riesgo. La coincidencia con el antiguo historial de MAC no puede ser a la vez la pregunta y la respuesta.

Un recibo de continuidad privada

El recibo de continuidad privada propuesto aquí es local, mínimo y temporal. Registra el contexto de red y la época: dirección observada, inicio, fin y causa conocida de rotación. Nombra el grado de confianza aplicable sin convertirlo en una etiqueta universal del dispositivo.

Separa después identidad y autorización. Puede incluir la referencia a un principal o equipo autenticado, el origen de la garantía, la versión de política, la decisión, el ámbito y la expiración. No necesita copiar el secreto. Cuando no hay autenticación, debe conservar ese vacío en lugar de rellenarlo con la MAC.

La parte operativa enumera el estado que caducó, se reconstruyó o se transfirió, y registra el resultado: acceso correcto, desafío repetido, sesión duplicada, pérdida de calidad o recuperación. También declara si otro identificador persistente volvió inútil la rotación, pero evita crear una huella general del comportamiento.

El recibo desaparece cuando termina su propósito. Solo lo ven los responsables de la decisión. Las métricas agregadas pueden orientar mejoras; los enlaces individuales no deben alimentar un registro central de seguimiento.

No es una opción de protocolo, una exigencia de RFC 9797 ni una estructura IEEE. Es una manera de evitar dos inferencias inválidas: MAC distinta significa sujeto distinto; MAC igual significa autoridad igual.

La especificación no sustituye a la observación

RFC 9797 no contiene acciones de IANA ni demuestra que un fabricante u operador haya implantado un comportamiento. IEEE 802.11bh aborda servicios mejorados con direcciones aleatorias y cambiantes dentro de 802.11; la existencia del estándar no confirma un producto, una configuración o un resultado real.

IETF puede describir interacciones y límites. El dispositivo decide y ejecuta su política. La red escoge la continuidad necesaria. El sistema de identidad ofrece una prueba independiente. El software migra o elimina estado. Solo la observación local permite afirmar si el acceso funcionó y si la correlación disminuyó.

La doctrina de Heng Lu impide confundir especificación, elección local, adopción voluntaria y código en marcha. Un texto hace una posibilidad legible; no la convierte en despliegue. Una configuración expresa intención; no prueba el resultado. Una dirección nombra una interfaz en un momento; no se convierte en biografía.

El objetivo no es preservar o destruir toda continuidad. Es conceder la mínima unión necesaria para un servicio concreto, con una prueba proporcionada, una caducidad y una observación del efecto.

Fuentes