Approfondimento tecnico

Dall'IP alla persona: log, RDAP e procedura

Risalire da un indirizzo IP a una persona è una catena di registri: quello del servizio che ha visto l'indirizzo, quello dell'operatore che lo aveva assegnato, a volte quello di un terzo intermediario. Ogni anello deve avere i dati giusti, nel formato giusto, entro i tempi di conservazione.

Che cosa serve per identificare una connessione

Un indirizzo da solo non basta. Una richiesta all'operatore che possa avere risposta contiene:

• L'indirizzo IP — IPv4 o IPv6 completo. Per IPv6 spesso conta il prefisso assegnato al cliente, tipicamente un /56 o un /64, più che il singolo indirizzo
• Data e ora con il fuso — al secondo, meglio in UTC. Un'ora sbagliata per il cambio dell'ora legale basta a indicare un altro cliente
• La porta sorgente — indispensabile quando l'indirizzo è condiviso, come con il CGNAT: l'operatore registra quale intervallo di porte ha assegnato a ciascun cliente, e senza porta non può distinguerli

Il problema pratico è che molti servizi registrano l'indirizzo ma non la porta. Su una rete mobile o su una linea sotto CGNAT, quell'informazione mancante può rendere impossibile l'identificazione anche quando tutti collaborano.

Le informazioni pubbliche: WHOIS, RDAP e numero AS

Chiunque può interrogare i registri degli indirizzi — per l'Europa il RIPE NCC — con un client WHOIS o con il più recente protocollo RDAP, che risponde in JSON:

• whois 203.0.113.7 — blocco di appartenenza (inetnum), organizzazione assegnataria, paese di registrazione
• curl -s https://rdap.db.ripe.net/ip/203.0.113.7 — gli stessi dati in formato strutturato
• curl -s mioip.org/json — per il tuo indirizzo, operatore e numero AS in un colpo solo

Quello che si ottiene è l'organizzazione titolare del blocco — un operatore, un fornitore di hosting, un'azienda con indirizzi propri — e il suo numero di sistema autonomo (AS). Per un indirizzo residenziale, i dati del singolo cliente non sono mai nei registri pubblici: il blocco è registrato a nome dell'operatore.

Il contatto abuse

Nei dati di registrazione compare quasi sempre un indirizzo abuse, il riferimento a cui l'organizzazione accetta segnalazioni di attività illecite dalla propria rete: spam, scansioni, attacchi, phishing ospitato sui propri server.

• Una segnalazione utile contiene indirizzo, data e ora in UTC, porta se nota e un estratto dei registri
• L'operatore non ti dirà chi è il cliente: può avvisarlo, sospendere il servizio o rimuovere un contenuto secondo le proprie condizioni
• Per hosting e server dedicati è spesso il canale più rapido per far chiudere un sito di phishing

La procedura in Italia

I dati di traffico telematico — chi si è collegato, quando, con quale indirizzo, senza i contenuti — sono conservati dagli operatori per dodici mesi dalla comunicazione, secondo l'articolo 132 del Codice in materia di protezione dei dati personali. L'articolo 24 della legge 167/2017 porta il termine a settantadue mesi per un elenco di reati di particolare gravità, come quelli di terrorismo e criminalità organizzata.

Entro questi termini l'acquisizione avviene con autorizzazione del giudice, con decreto motivato, su richiesta del pubblico ministero o delle altre parti previste. Riguarda reati puniti con una pena massima non inferiore a tre anni, oltre a minacce e molestie gravi; nei casi urgenti il pubblico ministero può procedere da solo, con convalida successiva del giudice. Per i dettagli e per i casi concreti la strada è sempre quella della denuncia: un privato non può chiedere questi dati direttamente all'operatore.

Quando il servizio è all'estero

Gran parte delle piattaforme che conservano l'indirizzo di chi ha scritto un messaggio — social network, servizi di posta, hosting — ha sede fuori dall'Italia. Ottenere i loro registri richiede gli strumenti di cooperazione giudiziaria internazionale, che allungano i tempi, e le regole di conservazione sono quelle del paese del servizio. Nel frattempo i dati dell'operatore italiano possono scadere: è uno dei motivi per cui conviene denunciare presto.

I limiti strutturali

• VPN commerciali — l'indirizzo visibile è un server del fornitore, usato da molti clienti insieme. Se il fornitore dichiara di non registrare nulla ed è in una giurisdizione poco collaborativa, la catena si ferma lì (VPN: limiti reali)
• Tor — il nodo di uscita non conosce l'origine del traffico: l'indirizzo porta solo a un volontario che gestisce quel nodo
• Proxy aperti e dispositivi compromessi — l'indirizzo può appartenere a una vittima, non all'autore
• Reti condivise — Wi-Fi pubblici, aziende, scuole: l'operatore identifica il contratto, non la persona davanti allo schermo
• Orologi e fusi — registri con l'ora sbagliata o senza fuso producono identificazioni errate: chi lavora con i log li tiene in UTC e sincronizzati via NTP

Per la spiegazione senza tecnicismi, e per cosa fare se si è vittime di minacce o truffe, torna alla guida di base.