O que é um OUI e como os endereços MAC são atribuídos

Como é a estrutura de um endereço MAC, o que é o OUI (o prefixo do fabricante) e quem distribui esses prefixos, a diferença entre endereços de administração universal e local, e por que um MAC aleatório de Wi-Fi não tem fabricante nenhum.

Todo frame (quadro) leva dois endereços de hardware, e metade de cada um deles é um nome que alguém comprou. A outra metade é um número de série que o dono desse nome gravou num dispositivo ou, cada vez mais, um número que um celular inventou agora há pouco para ninguém conseguir rastrear o aparelho. Para saber que tipo de endereço você tem na frente, bastam dois bits e um lookup.

O formato de um endereço MAC

Um endereço MAC (media access control) tem 48 bits, ou seis octetos, e normalmente é escrito em hexadecimal, com os octetos separados por dois-pontos ou hífens (00:1b:54:11:22:33), ou, na convenção da Cisco, em três grupos separados por ponto (001b.5411.2233). O nome que o próprio usa é -48, e as diretrizes de registro dele aposentam o nome antigo: "the term EUI-48 is now used for both uses, and the term MAC-48 identifier is now obsolete" (diretrizes da IEEE RA). No caso mais comum, o endereço se divide certinho ao meio: os três primeiros octetos são o (organizationally unique identifier), e os três últimos são atribuídos pelo fabricante a cada dispositivo.

Quem distribui os prefixos

Quem vende os prefixos é a IEEE Registration Authority, em três tamanhos. As diretrizes dela definem o OUI como "a 24-bit (three octet) sequence" e dizem quantos identificadores EUI-48 cada produto rende (diretrizes da IEEE RA):

Produto	Prefixo	Identificadores EUI-48
(grande)	um OUI, 24 bits	2^24, cerca de 16,8 milhões
MA-M (médio)	28 bits, sem OUI próprio	2^20, cerca de 1 milhão
MA-S (pequeno)	um OUI-36, 36 bits	2^12, 4.096

O quarto produto nem chega a ser um bloco de endereços: o CID (company ID) é "a unique 24-bit identifier that cannot be used to generate EUI-48 or EUI-64 values" (IEEE Registration Authority); ele serve para marcar endereços no espaço local, explicado mais abaixo. As atribuições são públicas e podem ser pesquisadas na Registration Authority, e é por isso que um lookup consegue transformar 00:1b:54 no nome da empresa que registrou esse prefixo. Isso também explica uma armadilha: um bloco MA-M ou MA-S divide os seus primeiros 24 bits com outros compradores, então um lookup que lê só esses 24 bits não consegue dizer quem é o dono.

Dois bits escondidos no primeiro octeto

Antes de tratar o OUI como o nome de um fabricante, olhe dois bits do primeiro octeto: eles dizem se essa leitura faz sentido. O bit I/G, o menos significativo do primeiro octeto, "indicates either an individual address (I/G=0) or group address (I/G=1)"; o bit U/L, logo acima dele, "indicates universal (U/L=0) or local (U/L=1) administration of the address" (diretrizes da IEEE RA). A Ethernet transmite cada octeto começando pelo bit de menor ordem, "the reverse of the 's ordering" (RFC 9542); por isso, num endereço de destino, o bit I/G é o primeiro a ir para o fio.

No hexadecimal, os dois bits aparecem no segundo dígito. Se ali estiver um 2, 6, A ou E, o endereço é unicast e administrado localmente; com 3, 7, B ou F, é um endereço de grupo local; qualquer dígito ímpar indica um endereço de grupo.

Os endereços de grupo, na maioria, são calculados, e não atribuídos. O endereço com todos os bits ligados, ff:ff:ff:ff:ff:ff, é o broadcast. O multicast IPv4 é mapeado no bloco da : "An IP host group address is mapped to an Ethernet multicast address by placing the low-order 23-bits of the IP address into the low-order 23 bits of the Ethernet multicast address 01-00-5E-00-00-00" (RFC 1112); assim, 224.0.0.251 vai para 01:00:5e:00:00:fb. O multicast IPv6 vai para um endereço "whose first two octets are the value 3333 hexadecimal and whose last four octets are the last four octets" do destino IPv6 (RFC 2464); assim, ff02::1 vira 33:33:00:00:00:01. A IANA tem um OUI próprio, 00-00-5E, e é dele que sai o endereço do roteador virtual do VRRP, 00-00-5E-00-01-xx ( 9542): num par de roteadores em redundância de first hop, é o único MAC que não pertence a nenhum fabricante e, mesmo assim, é universal.

A metade local do espaço de endereços

Um endereço administrado localmente foi gerado por um software ou definido por um administrador, e não veio de um bloco: "local network administrators can assign any addresses with the X bit a one", e o bit X, no caso, é o bit U/L (RFC 9542). Desde o IEEE 802c-2017, esse espaço tem um plano, o SLAP (Structured Local Address Plan), que o divide em quatro quadrantes pelos dois bits seguintes, Y e Z: atribuído pelo administrador (Y=0, Z=0), local estendido (Y=0, Z=1), reservado (Y=1, Z=0) e standard assigned, atribuído por uma norma (Y=1, Z=1) (RFC 9542). O CID fica no quadrante local estendido: num CID, "the M, X, Y, and Z bits have the values 0, 1, 0, and 1, respectively" (diretrizes da IEEE RA). Qualquer coisa que precise de endereços sem comprar um bloco pode tirá-los do espaço local, desde que eles continuem únicos na rede em que aparecem.

Por que tantos MACs hoje não têm fabricante

Foi a privacidade que mudou o default. Um endereço universal acompanha o dispositivo aonde ele for: "Since universally administered MAC addresses are by definition globally unique, when a device uses this MAC address over a shared medium to transmit data", principalmente pelo ar, "it is relatively easy to track this device by simple medium observation" (RFC 9724, março de 2025). A resposta veio do bit local: endereços aleatórios "decouple the globally unique identifier from the device" (RFC 9724).

Os sistemas operacionais foram adotando a ideia um a um. Os dispositivos da Apple usam "a different address for each network" desde o iOS 14, o iPadOS 14 e o watchOS 7; a partir do iOS 18, do iPadOS 18, do macOS Sequoia 15, do watchOS 11 e do visionOS 2, a opção pode ficar desligada, fixa ou rotativa, e no modo rotativo o endereço muda a cada duas semanas (Apple). No Android, "For devices running Android 10 or higher, the framework uses a randomized MAC address by default", gerado para cada rede e mantido até um reset de fábrica, e, a partir do Android 12, ele pode ser sorteado de novo em novas conexões, nas condições que o Android documenta (Android Open Source Project).

Faça o lookup de um desses endereços e a resposta honesta é que não existe fabricante: os bits onde estaria um OUI são aleatórios, não uma atribuição. Uma ferramenta que devolvesse um fabricante para um MAC aleatório estaria inventando esse fabricante. Por isso a consulta de OUI mostra os dois bits em toda resposta e chama um endereço administrado localmente pelo que ele é: sem fabricante.

Onde isso ajuda na prática

Descobrir o fabricante de um MAC faz parte do trabalho de rede do dia a dia: identificar, pelo endereço, o que está ligado numa porta do switch, achar um dispositivo que não deveria estar ali, reconhecer uma máquina virtual pelo prefixo do hypervisor ou conferir se o equipamento com que você está falando é mesmo da marca que você espera. Olhar os dois bits antes evita que você fique caçando o fabricante de um endereço que, de propósito, não tem nenhum; o frame Ethernet mostra onde ficam os dois endereços, e o ARP mostra como um host descobre o endereço de que precisa.

Fontes