Un indirizzo IP statico può essere un identificatore utente fidato in un ambiente sicuro?

Ci sono diversi problemi con l'autenticazione solo IP.

1. Non è, di per sé, sicuro. Un attaccante di tipo "man-in-the-middle" può fingere di essere l'host atteso a qualsiasi indirizzo IP e falsare chiunque desideri. Se vuoi impedirlo, avrai comunque bisogno di un canale autenticato e protetto, come IPSec o TLS.
2. Un utente malintenzionato che non ha bisogno di vedere i messaggi di risposta può ancora inviare richieste al server, se il server supporta UDP o protocolli che non richiedono un handshake bidirezionale prima di inviare dati.
3. È fragile. Se l'indirizzo IP dovesse cambiare, per qualsiasi motivo, l'host autorizzato non solo perderà l'accesso, ma chi riceverà il vecchio IP (per fortuna o per malizia) verrà considerato come autenticato.

Raccomando caldamente un altro approccio. Mutual TLS / DTLS è una buona opzione per le connessioni basate su Internet in cui si controlla, o almeno può coordinare, entrambi gli endpoint. TLS standard (che autentica solo il server) funziona anche se si dispone di un altro modo per autenticare il client, ad esempio una password o altre credenziali pre-condivise, sebbene sia necessario proteggersi da tutti gli attacchi standard sui sistemi di autenticazione. L'aggiunta del filtro IP su [D] TLS generalmente va bene, a parte il rischio di fragilità

Suppongo che registrerai l'indirizzo MAC di un dispositivo con un IP statico.

Questo è non sicuro. L'indirizzo MAC di forging è molto semplice. Non hai bisogno di strumenti complicati, può essere fatto con ifconfig.