Deixe-me começar dizendo que trabalho para uma empresa que identifica dispositivos com base em coisas que podem ser observadas no navegador.
Ninguém (além de explorar uma vulnerabilidade de segurança) pode obter seu endereço MAC (EDITAR: A menos que você execute código nativo a partir deles, por exemplo, como um plugin).
Para uma boa visão geral do que pode ser visto, dê uma olhada no Panopticlick da EFF: