Czyje to IP i co naprawdę da się o nim ustalić

Publicznie dostępne są dwie warstwy informacji: wpisy rejestrowe, czyli to, komu formalnie przydzielono pulę adresów, oraz szacunki geolokalizacyjne. Pierwsza jest wiarygodna z definicji, druga tylko orientacyjna.

Kraj, region i miasto (orientacyjnie)

Kraj bazy wskazują trafnie w 95-99% przypadków, miasto już tylko w 50-80%, zależnie od operatora. Przy adresach mobilnych i przy współdzielonych adresach publicznych miasto bywa czystym zgadywaniem. Dlaczego tak jest i jak to czytać, tłumaczy przewodnik po geolokalizacji IP.

Operator, organizacja i numer ASN

To najmocniejsza informacja, jaką w ogóle da się wyciągnąć z adresu IP. Każda pula należy do konkretnego podmiotu: operatora telekomunikacyjnego, firmy hostingowej, uczelni albo dużego przedsiębiorstwa. Numer ASN (Autonomous System Number) identyfikuje sieć, która ogłasza ten adres w internecie. Nazwa operatora i ASN są jawne, podawane wprost przez rejestr i nie da się ich sfałszować bez zgody rejestru.

Typ adresu: domowy, mobilny, firmowy, hostingowy, VPN, Tor

Po nazwie puli i operatorze zwykle widać, z jakim rodzajem łącza masz do czynienia. Adres z puli firmy hostingowej oznacza serwer, a nie osobę przy komputerze. Adres należący do znanego dostawcy VPN albo wpisany na publiczne listy węzłów wyjściowych sieci Tor oznacza, że widzisz pośrednika, a prawdziwy adres jest za nim ukryty. To rozróżnienie bywa ważniejsze niż sama lokalizacja: inaczej traktuje się ruch z domowego łącza, a inaczej ze skryptu działającego w centrum danych.

To ważniejsza połowa tematu, bo wokół niej narosło najwięcej nieporozumień i najwięcej oszustw.

Imię, nazwisko i adres zamieszkania

Nie istnieje publiczna baza wiążąca adres IP z osobą. Taki rejestr musiałby być prowadzony przez operatora i udostępniony wszystkim, co jest wykluczone zarówno technicznie, jak i prawnie. Każda strona i każda aplikacja obiecująca „ustalenie właściciela adresu IP" po podaniu numeru albo zwraca zwykłą geolokalizację pod inną nazwą, albo jest próbą wyłudzenia opłaty lub danych. Traktuj to jako regułę bez wyjątków.

Numer telefonu i historia przeglądania

Numeru telefonu nie ma w żadnej warstwie danych o adresie IP. Historii przeglądania również: ruch między przeglądarką a stronami jest dziś niemal w całości szyfrowany, a to, co kto odwiedzał, widzi w ograniczonym zakresie wyłącznie jego operator, i na pewno nie postronna osoba znająca sam numer adresu.

Dlaczego operator nie wyda danych abonenta osobie prywatnej

Powiązanie „adres IP w danym momencie to ten abonent" operator ma, ale są to dane objęte tajemnicą telekomunikacyjną i chronione jako dane osobowe. Operator udostępnia je uprawnionym organom na potrzeby prowadzonych postępowań, a nie na prośbę osoby prywatnej, choćby najlepiej uzasadnioną. Droga dla osoby prywatnej prowadzi więc zawsze przez zawiadomienie organów albo przez sąd, nigdy bezpośrednio do operatora.

Dodatkowa trudność: przy współdzielonych adresach publicznych (mechanizm CGNAT) jeden adres w tej samej chwili obsługuje wielu abonentów naraz. Wtedy nawet operator potrzebuje numeru portu źródłowego, a nie tylko adresu, żeby wskazać konkretne łącze. Więcej o tym mechanizmie w przewodniku po adresach IP.

Trzy kroki, od najszybszego do najbardziej szczegółowego. Wszystkie korzystają z danych jawnych.

Krok 1: sprawdź adres w wyszukiwarce IP

Najprostsza droga: wpisz adres w wyszukiwarce dowolnego adresu IP. Od ręki dostaniesz operatora, organizację, numer ASN, kraj, przybliżone miasto i strefę czasową. W większości sytuacji to wystarcza, żeby wiedzieć, z czym masz do czynienia.

Krok 2: odczytaj wpis whois w rejestrze regionalnym

Jeśli potrzebujesz źródła, a nie streszczenia, sięgnij po wpis whois wprost w rejestrze. Dla Polski i całej Europy prowadzi go RIPE NCC, dla Ameryki Północnej ARIN, dla Azji i Pacyfiku APNIC, dla Ameryki Łacińskiej LACNIC, dla Afryki AFRINIC. Wyszukiwarka rejestru przyjmuje adres IP i zwraca pełny wpis dotyczący puli, do której ten adres należy.

Krok 3: ustal operatora po numerze ASN

Numer ASN wskazuje sieć ogłaszającą dany adres w globalnych tablicach routingu. Przydaje się, gdy wpis puli jest ogólnikowy albo gdy pula została odsprzedana: ASN pokazuje, kto faktycznie obsługuje ruch dziś, a nie kto figuruje w historycznym wpisie. To również najpewniejszy sposób, żeby odróżnić łącze detaliczne od infrastruktury hostingowej.

Jak czytać wpis whois

Wpis wygląda na gęsty, ale w praktyce liczy się kilka pól:

• inetnum - zakres adresów, którego dotyczy wpis.
• netname - krótka nazwa puli, często zawierająca skrót nazwy operatora.
• descr - opis słowny, zwykle pełna nazwa firmy.
• country - kraj deklarowany przez posiadacza puli.
• org - odnośnik do obiektu z danymi organizacji.
• abuse-c - kontakt do zgłaszania nadużyć, najważniejsze pole, gdy adres sprawia problemy.

Pole country bywa mylące: opisuje kraj podmiotu, który pulę zarejestrował, a nie miejsce, w którym adres jest akurat używany. Duży operator działający w kilku krajach potrafi mieć cały zakres opisany jednym krajem siedziby.

Zanim sprawdzisz adres, musisz go skądś mieć. Źródła, które realnie działają:

Z nagłówka wiadomości e-mail

Każda wiadomość niesie łańcuch nagłówków Received opisujący serwery, przez które przeszła. W większości programów pocztowych dotrzesz do niego przez opcję pokazania źródła lub oryginału wiadomości. Czytaj od dołu do góry: najniższy wpis jest najwcześniejszy. Uwaga praktyczna: duzi dostawcy poczty internetowej od lat nie umieszczają w nagłówkach adresu IP nadawcy, więc zobaczysz adres ich serwera, a nie komputera nadawcy. Nagłówki da się też sfałszować, poza tymi dodanymi przez Twój własny serwer.

Z logów serwera lub panelu strony

Jeśli problem dotyczy Twojej strony, adresy masz u siebie: w logach dostępowych serwera, w panelu hostingu albo w systemie zarządzania treścią, który odnotowuje adresy przy komentarzach i próbach logowania. To źródło najbardziej wiarygodne, bo zapisał je Twój własny serwer.

Z adresu domeny

Żeby poznać adres IP serwera strony internetowej, wystarczy polecenie ping nazwa-domeny.pl w wierszu poleceń. Zwrócony adres to adres serwera obsługującego domenę, często serwera pośredniczącego sieci CDN, a nie maszyny, na której fizycznie leżą pliki.

Czego nie da się zrobić

Komunikatory i platformy gier celowo nie pokazują adresów IP innych użytkowników: ruch idzie przez ich serwery, więc widzisz infrastrukturę platformy, nie rozmówcę. Narzędzia reklamujące się jako sposób na „wyciągnięcie IP" z komunikatora to w najlepszym razie naciągactwo, a zwykle złośliwe oprogramowanie albo wyłudzanie danych.

Dane rejestrowe są publiczne

Odczytanie wpisu whois ani sprawdzenie adresu w wyszukiwarce IP niczego nie narusza. To dane publikowane celowo, żeby administratorzy sieci mogli się wzajemnie kontaktować w sprawach technicznych i zgłaszać nadużycia. Rejestry udostępniają je każdemu bez logowania.

Adres IP a dane osobowe w świetle RODO

Adres IP bywa traktowany jako dana osobowa wtedy, gdy da się go powiązać z konkretną osobą, a realną możliwość ma tu przede wszystkim operator. Dla osoby postronnej sam numer takiej możliwości nie daje. Granica przebiega przy przetwarzaniu: jednorazowe sprawdzenie adresu to co innego niż budowanie zbioru adresów i wiązanie ich z osobami, co już wymaga podstawy prawnej i spełnienia obowiązków administratora danych. Więcej o samym statusie adresu w przewodniku po adresach IP.

Kto może uzyskać dane abonenta od operatora

Dane wiążące adres z abonentem operator udostępnia uprawnionym organom w związku z prowadzonymi postępowaniami: policji, prokuraturze, sądowi. Osoba prywatna, która chce ustalić sprawcę, składa zawiadomienie i to organ występuje do operatora. W sprawach cywilnych analogiczną drogą jest wniosek do sądu. Bezpośrednie pytanie do operatora nie zadziała i nie jest to kwestia dobrej woli obsługi klienta, tylko obowiązku ustawowego ciążącego na operatorze.

To omówienie ogólne, nie porada prawna. W konkretnej sprawie warto skonsultować się z prawnikiem.

Najczęstszy realny powód, dla którego ktoś w ogóle sprawdza cudzy adres IP. Droga jest prostsza, niż się wydaje, i prowadzi do operatora, nie do osoby.

Gdzie znaleźć kontakt abuse operatora

We wpisie whois odszukaj pole abuse-c albo adres abuse-mailbox. To skrzynka przeznaczona dokładnie do takich zgłoszeń i obsługiwana przez zespół techniczny operatora, który może zablokować lub odciąć problematycznego klienta. Dobre zgłoszenie zawiera: adres IP, datę i godzinę ze strefą czasową, krótki opis zdarzenia oraz surowe fragmenty logów. Bez znacznika czasu ze strefą zgłoszenie jest zwykle bezużyteczne, bo adres dynamiczny zdążył już zmienić właściciela.

Jeśli adres należy do firmy hostingowej, zgłoszenie idzie do niej, a nie do operatora detalicznego: to ona ma umowę z właścicielem serwera, z którego idzie ruch.

Kiedy warto zgłosić sprawę organom

Gdy chodzi o groźby, nękanie, oszustwo, włamanie na konto albo kradzież danych, zgłoszenie do operatora nie wystarczy i trzeba iść na policję lub do prokuratury. Zabezpiecz wcześniej dowody: zrzuty ekranu z widoczną datą, pełne nagłówki wiadomości, fragmenty logów z adresami IP i znacznikami czasu. Warto działać szybko, bo dane o tym, komu przydzielono adres w danej chwili, operatorzy przechowują przez ograniczony czas.

Równolegle warto zabezpieczyć własną stronę: blokada adresu lub całej puli w zaporze, ograniczenie liczby prób logowania i sprawdzenie, czy przypadkiem nie wyciekły dane dostępowe. Blokowanie pojedynczych adresów rzadko jest skuteczne na dłuższą metę, bo atakujący zmienia adres szybciej, niż zdążysz dopisać regułę.

Osobny, zupełnie niekontrowersyjny przypadek: chcesz wiedzieć, gdzie stoi serwer danej domeny, u kogo jest hostowana albo czy dwie domeny dzielą tę samą maszynę.

1. W wierszu poleceń wykonaj ping nazwa-domeny.pl i odczytaj adres IP w nawiasie.
2. Wpisz ten adres w wyszukiwarce adresów IP, żeby poznać firmę hostingową, numer ASN i kraj centrum danych.
3. Jeśli wynik wskazuje znanego dostawcę sieci CDN, widzisz węzeł pośredniczący, a nie serwer źródłowy. To normalne i zwykle oznacza, że właściciel strony celowo ukrył adres serwera.

Dane rejestrowe domeny, czyli kto ją zarejestrował, to osobny rejestr niż dane o adresach IP. Przy domenach .pl prowadzi go NASK, a dane osób prywatnych są tam domyślnie ukryte.