IP-sporing: hva en IP-adresse røper om besøkende

«IP-sporing» høres ut som overvåking. I virkeligheten røper en IP-adresse mindre enn mange tror. Samtidig røper den mer enn noen nettstedsdriftere vet. Denne artikkelen sorterer hvilke opplysninger som pålitelig lar seg utlede av en adresse, hvilke som bare er anslått og hvilke som ikke kan utledes i det hele tatt.

Hva en IP-adresse er

Hver enhet som henter en nettside på internett, sender forespørselen sin fra en IP-adresse. Nettsiden trenger denne adressen for å sende svaret tilbake. Derfor kjenner hver server adressen til hver besøkende, helt uten informasjonskapsel eller skript.

Adressen tilhører imidlertid sjelden enheten alene. På kontoret deler ofte hundrevis av maskiner én adresse utad. Hjemme deler hele husholdningen én. I mobilnettet deler ofte mange kunder samtidig én adresse.

Hva som pålitelig lar seg lese ut

Nettets innehaver. Hver adresse hører til et adresseområde som i det offentlige registeret er tildelt en organisasjon. Det kan være en internettleverandør, et datasenter, en høyskole eller en bedrift. Hvordan du selv slår det opp, står i Hvem eier IP-adressen? Slik finner du innehaveren.

Typen nett. Av nettets innehaver følger det om besøket kom fra et bedriftsnett, en privattilkobling, et mobilnett eller et datasenter. Datasentre er ofte et hint om roboter, VPN-tjenester eller skytjenester.

Landet i oppføringen. Registeret nevner et land. Som regel stemmer det med plasseringen, men ikke ved internasjonale bedrifter og VPN-tjenester.

Hva som bare anslås

By og region. Tjenester for geolokalisering anslår stedet ut fra databaser, målinger og opplysninger fra leverandørene. På landnivå er de som regel pålitelige. Ved byen bommer de ofte, i mobilnettet ofte med hundrevis av kilometer, fordi adressen der tildeles ved overgangen til internett og ikke ved masten.

Bedriften bak en tilkobling hos en internettleverandør. Små bedrifter har ofte en tilkobling med skiftende adresse. I registeret står da leverandøren. Noen verktøy anslår likevel bedriften, for eksempel via kjøpte databaser eller via maskinnavnet til adressen. Slike koblinger blir raskt utdaterte når leverandøren tildeler adressen på nytt.

Hva en IP-adresse ikke røper

• Ikke noe navn. Hvem som hadde en tilkobling, vet bare leverandøren. Han gir det bare ut til myndigheter eller etter rettslig pålegg.
• Ikke noen bostedsadresse. Selv en nøyaktig geolokalisering viser i beste fall et sted, aldri et hus.
• Ikke noen bestemt enhet. Bak en adresse kan mange enheter stå. Omvendt bytter en enhet adresse så snart den bytter nett.

Den som vil mer, altså gjenkjenne hvilket menneske som besøker en side, trenger andre midler som informasjonskapsler, pålogging eller fingerprinting. Det er i EU uten den besøkendes samtykke som regel utillatt.

IPv4 og IPv6: en viktig forskjell

Ved IPv4 er adresser knappe og blir delt. Ved IPv6 får en tilkobling som regel et eget adresseområde, ofte det samme over lengre tid. Dermed kan en IPv6-adresse avgrense en husholdning nøyaktigere enn en IPv4-adresse. Personvernfunksjoner i operativsystemene bytter derfor den bakre delen av adressen jevnlig. Den som analyserer adresser, bør ved IPv6 bare se på den fremre delen, som hører til nettet.

Hva det betyr for nettstedsdriftere

Hver webserver logger IP-adresser, ofte uten at driveren vet det. For GDPR regnes IP-adressen i mange tilfeller som en personopplysning. Vurderingen står i IP-adresse og GDPR: er den personopplysning?.

Tre enkle regler hjelper:

1. Lagre bare så lenge som nødvendig. For feilsøking og avverging av angrep rekker ofte noen få dager.
2. Forkort der det går. For statistikk er nettandelen som regel nok.
3. Beskriv åpent. I personvernerklæringen står det hvilke tjenester som behandler adresser og til hva.

Besøkergjenkjenning bruker nøyaktig én del av adressen: nettets innehaver. Et eksempel på dette prinsippet, der adressen forkastes etter oppslaget, beskriver Hvordan fungerer bedriftsgjenkjenning? Teknikken i 6 trinn. Hvem som fra hvilke nett i prinsippet forblir usynlig, viser Hjemmekontor, VPN og mobilnett: hvem du ikke ser.

Ofte stilte spørsmål

Kan man lokalisere noen med en IP-adresse? Grovt, på land- og noen ganger regionnivå. En bostedsadresse lar seg ikke utlede.

Hva viser «IP-tracker»-lenker? Slike lenker logger adressen ved klikket. De viser etterpå de samme opplysningene som ovenfor, altså nettets innehaver og anslått sted. Den som bruker dem uten at andre vet det, behandler personopplysninger uten rettslig grunnlag.

Ser nettsiden min hvilken bedrift som besøker meg? Bare hvis besøket kommer fra et nett som i registeret er ført på bedriften. Hvor ofte det er tilfellet, forklarer Hvilke bedrifter besøker nettsiden min? 3 veier i oversikt.