Ну, дык ПИН-код.
Если подделать МАС-адрес доверенного устройства - это тебя не спасёт: по спецификации спаренное устройство может затребовать перегенерацию линк-кея (если оно его "забыло"). При чём, как я понял, совершенно прозрачно для пользователя: не надо повторно вводить пин-кодов