Kad neko prvi put čuje da se pomoću IP adrese može saznati grad, država, pa čak i tip uređaja koji osoba koristi, reakcija je obično neka vrsta iznenađenja pomiješanog s nelagodom. Navikli smo misliti da je naša IP adresa nešto apstraktno, nešto što dodijeli provajder i o čemu ne moramo razmišljati. Ona je tu negdje u pozadini, mi je ne vidimo, ne osjećamo je, i zato nam se čini beznačajnom.
Problem nastaje kada shvatimo da ta ista IP adresa, u kombinaciji s bazama podataka koje konstantno rastu, može otkriti mnogo više nego što bismo željeli. Ne govorim o naučnoj fantastici i ne govorim o teorijama zavjere. Govorim o alatima koji slobodno postoje na internetu, koji svako može otvoriti u pretraživaču i za par sekundi dobiti informacije koje su donedavno bile rezervisane za internet provajdere, sigurnosne stručnjake i policijske agencije.
Jedan od takvih alata je i IPQualityScore, servis koji na prvi pogled djeluje kao još jedan tehnički alat za programere i sistemske administratore. Međutim, kad se malo dublje zagrebe ispod površine, postaje jasno da ovdje nije riječ samo o provjeri da li je neka IP adresa dio nekog botneta ili poznate liste spamera. Ovdje je riječ o industriji koja živi od prikupljanja, analize i prodaje podataka o ponašanju korisnika interneta.
Šta zapravo radi jedan IP lookup alat
Osnovna funkcija ovakvih alata je geolokacija. Uneseš IP adresu i dobiješ podatke o državi, regiji, gradu, pa čak i poštanskom broju u nekim slučajevima. Zvuči bezazleno dok ne pomislite na sve one situacije u kojima se takvi podaci koriste. E-trgovine na taj način odlučuju da li će vam ponuditi dostavu. Banke na taj način procjenjuju rizik transakcije. Streaming servisi na taj način provjeravaju da li imate pravo pristupa određenom sadržaju. Anti-fraud sistemi na taj način blokiraju sumnjive uplate.
Međutim, ono što ove alate čini zanimljivim, a istovremeno zabrinjavajućim, jesu dodatni slojevi podataka. IPQualityScore, na primjer, pored standardne geolokacije nudi i podatke o tome da li je IP adresa povezana s VPN-om, proxyjem, Tor mrežom, mobilnom mrežom ili data centrom. Nudi i procjenu rizika, odnosno “fraud score”, koji na skali od 0 do 100 pokušava procijeniti koliko je određeni zahtjev sumnjiv. U obzir se uzimaju različiti faktori, od anonimnosti konekcije do historije ponašanja s te IP adrese.
Tu nastaje moj problem s ovakvim alatima. Ne zato što su tehnički loši. Naprotiv, većina njih je prilično precizna u onome što radi. Moj problem je u tome što prosječni čovjek nema pojma koliko se podataka iz jednog takvog upita može izvući, a istovremeno nema nikakvu kontrolu nad tim podacima.
Zašto ovo nije samo pitanje za IT stručnjake
Dugo se vjerovalo da su ovakve stvari rezervisane za tehničku zajednicu. Programeri su se brinuli o sigurnosti, admini su konfigurisali servere, a obični korisnici su kliktali i pretpostavljali da je sve u redu. Ta podjela je davno prestala biti relevantna.
Svaki put kad neko otvori web stranicu, njihova IP adresa se bilježi. Svaki put kad neko klikne na oglas, njihova IP adresa se povezuje s profilom ponašanja. Svaki put kad neko ostavi komentar na nekom portalu, njihova IP adresa se provjerava kroz sisteme za moderaciju. Čak i kad samo pročitate članak na nekom portalu, vaša IP adresa se zapisuje i analizira.
Ono što većina ljudi ne shvata jeste da njihova IP adresa nije samo broj. To je ulazna tačka za cijelu jednu mrežu podataka. Iz IP adrese se može zaključiti koji provajder koristite. Iz provajdera se može zaključiti u kojoj ste državi, a ponekad i u kojem gradu. Iz grada se ponekad može zaključiti i vaša približna lokacija s tačnošću od nekoliko kilometara. A onda se ti podaci ukrštaju s drugim bazama, recimo onima koje povezuju IP opsege s kompanijama, pa se dobije informacija da neko koristi poslovnu mrežu, što automatski mijenja profil te osobe.
Industrija koja živi od naših podataka
Ovo je mjesto gdje priča postaje ozbiljnija. Kompanije koje razvijaju alate za IP analizu ne zarađuju novac od samog alata. Alat je obično besplatan ili jeftin za osnovnu upotrebu, a novac leži u velikim količinama podataka koje te kompanije prikupljaju i obrađuju. Što više upita prođe kroz njihov sistem, to su im baze podataka bogatije, a samim tim i vrijednije.
Te baze podataka se koriste u reklamnoj industriji za preciznije targetiranje oglasa. Koriste se u finansijskom sektoru za odluke o odobravanju kredita. Koriste se u osiguravajućim društvima za procjenu rizika. Koriste se u online trgovini za odluke o tome kome će se prikazati koja cijena. Da, dobro ste pročitali, ista roba može imati različitu cijenu u zavisnosti od toga kakav profil vaše IP adrese sistem procijeni.
Kad se to sve sabere, postaje jasno da je IP adresa mnogo više od tehničkog detalja. To je komercijalni resurs. To je podatak koji ima tržišnu vrijednost, iako mi za njega ne dobijamo nikakvu naknadu, niti nam je u većini slučajeva objašnjeno šta se s njim radi.
Preciznost nije jednaka istini
Jedna od stvari koja me posebno zanima kod ovakvih alata jeste koliko su zapravo precizni. Kada upišete svoju IP adresu i dobijete podatak da se nalazite u Sarajevu, a vi zapravo sjedite u Mostaru, šta to znači za sistem koji donosi odluke na osnovu tog podatka?
Preciznost geolokacije na osnovu IP adrese zavisi od mnogo faktora. U urbanim sredinama i kod velikih provajdera, preciznost može biti zadovoljavajuća. U ruralnim sredinama, kod manjih provajdera, kod mobilnih mreža, ta preciznost drastično opada. Ponekad se greška mjeri u stotinama kilometara, a ponekad sistem pogrešno identificira čitavu državu.
Ono što zabrinjava jeste što mnogi sistemi koji koriste ove podatke nemaju ugrađenu nikakvu provjeru tačnosti. Oni pretpostavljaju da je podatak koji dobiju od IP lookup alata tačan i na osnovu njega donose odluke koje mogu imati stvarne posljedice po ljude. Blokiranje pristupa nekom servisu, odbijanje transakcije, uskraćivanje prava na određeni sadržaj, sve su to odluke koje se donose na osnovu podataka koji ponekad nisu tačni.
Pitanje koje se rijetko postavlja
Ono što me najviše smeta kod čitave priče oko IP analize jeste pitanje odgovornosti. Ko je odgovoran ako sistem donese pogrešnu odluku na osnovu netačnih podataka o IP adresi? Ko je odgovoran ako neko bude pogrešno optužen za prevaru jer mu je IP adresa pogrešno klasificirana? Ko je odgovoran ako neko bude blokiran na nekom servisu jer mu je IP adresa greškom povezana s nekim drugim korisnikom?
Odgovor je, u većini slučajeva, niko. Kompanije koje nude alate za analizu IP adresa obično u svojim uslovima korištenja jasno navode da ne garantuju tačnost podataka. Kompanije koje koriste te alate isto tako prebacuju odgovornost na dobavljača podataka. A korisnik, onaj čija se IP adresa analizira, ostaje bez ikakve mogućnosti da ospori podatke koji se o njemu prikupljaju.
U svijetu u kojem se sve više odluka donosi automatski, na osnovu algoritama i podataka koje ti algoritmi obrađuju, ovo je ozbiljan problem. Ne radi se samo o tome da li vas algoritam pogrešno identifikuje. Radi se o tome da vi, kao pojedinac, nemate nikakvu kontrolu nad tim procesom i nemate načina da ispravite grešku ako do nje dođe.
Gdje prestaje korisna informacija, a počinje zloupotreba
Postoji legitimna upotreba alata za IP analizu. Sistemi za zaštitu od prevara su nešto što većina nas podržava. Ne želimo da naši kartični podaci završe u rukama kriminalaca i znamo da anti-fraud sistemi igraju važnu ulogu u sprječavanju takvih situacija. Međutim, postoji jasna granica između zaštite korisnika i narušavanja privatnosti, i ta granica se konstantno pomjera.
Kada sistem prikuplja podatke o vašoj IP adresi da bi utvrdio da li ste stvarni korisnik ili bot, to je legitimna upotreba. Kada sistem prikuplja podatke o vašoj IP adresi da bi kreirao profil vašeg ponašanja i na osnovu toga odlučio koliku će vam cijenu prikazati za isti proizvod, to je manipulacija. Kada sistem koristi podatke o vašoj IP adresi da bi procijenio vaš kreditni rizik, to je diskriminacija koja se teško može opravdati.
Problem je u tome što se sve te radnje odvijaju u pozadini, bez našeg znanja i bez naše saglasnosti. Mi ne dajemo dozvolu da se naša IP adresa analizira na taj način. Mi ne znamo da se to dešava. A kad bismo i znali, većina nas nema mogućnost ni znanje da se tome suprotstavi.
VPN kao odgovor, ali ne i rješenje
Mnogi ljudi, kad čuju za sve ovo, odmah pomisle na VPN kao rješenje. VPN sakriva vašu stvarnu IP adresu i dodjeljuje vam novu, često iz neke druge države. Na taj način postajete anonimniji i teže vas je pratiti.
Međutim, VPN nije savršeno rješenje. Prvo, mnogi VPN servisi sami prikupljaju podatke o svojim korisnicima i prodaju ih trećim stranama. Drugo, napredni sistemi za detekciju mogu prepoznati da koristite VPN, što samo po sebi postaje signal za sumnju. Treće, koristeći VPN za pristup servisima koji nisu dostupni u vašoj državi, kršite uslove korištenja tih servisa, što može dovesti do blokiranja vašeg naloga.
Postoji i širi problem s VPN-ovima. Kako sve više ljudi koristi VPN-ove, tako raste i sumnja prema korisnicima koji ih koriste. To znači da oni koji imaju legitimne razloge za korištenje VPN-a, na primjer novinari koji istražuju osjetljive teme, postaju nerazlučivi od onih koji pokušavaju izbjeći sigurnosne mjere na nekom servisu. Na taj način VPN, koji bi trebao biti alat zaštite privatnosti, postaje još jedan razlog za sumnju.
Šta običan čovjek može uraditi
Reći ću vam šta ja mislim o ovome, i biću potpuno iskren. Ne postoji jednostavno rješenje. Ne možete se u potpunosti zaštititi od prikupljanja podataka o vašoj IP adresi sve dok koristite internet. Ali možete razumjeti šta se dešava i donositi svjesnije odluke.
Prvo, koristite HTTPS gdje god je to moguće. HTTPS šifruje vašu komunikaciju sa serverom, ali ne skriva vašu IP adresu od samog servera. Ipak, HTTPS je osnova digitalne higijene i ne bi trebalo da bude opcija.
Drugo, koristite DNS preko HTTPS-a. Ovo je postavka u modernim pretraživačima koja šifruje vaše DNS upite, čime se smanjuje količina informacija koje vaš provajder može prikupiti o vašim aktivnostima na internetu.
Treće, budite svjesni kako funkcionišu alati za IP analizu. Ne morate biti stručnjak, ali osnovno razumijevanje pomaže. Kada se negdje registrujete i vidite da se traži vaša IP adresa, zapitajte se zašto. Kada vam neka web stranica odbije pristup i kaže da je vaša IP adresa sumnjiva, znajte da postoji mogućnost da je greška u pitanju.
Četvrto, ako imate mogućnost, koristite servise koji su transparentni o tome šta prikupljaju. To je teže nego što zvuči, jer većina servisa nije transparentna. Ali postoje razlike između kompanija koje barem pokušavaju biti otvorene o svojim praksama i onih koje prikupljaju sve što mogu bez ikakvog objašnjenja.
Zašto je važno da pričamo o ovome
Većina tekstova o IP analizi i alatima poput IPQualityScore-a namijenjena je tehničkoj publici. Pišu ih programeri, za programere, i koriste terminologiju koja je prosječnom korisniku nerazumljiva. To je problem, jer upravo prosječni korisnici su oni koji najviše gube u ovom sistemu.
Oni koji razvijaju ove alate razumiju kako funkcionišu. Oni koji ih koriste u komercijalne svrhe razumiju kako da iz njih izvuku profit. Jedini koji ne razumiju šta se dešava su oni čiji se podaci prikupljaju, a to je većina nas. Ta asimetrija informacija je osnova na kojoj čitava ova industrija funkcioniše, i ona se neće promijeniti sama od sebe.
Potrebno je više razgovora o tome šta se dešava s našim digitalnim otiscima. Potrebno je više tekstova koji objašnjavaju tehničke koncepte na razumljiv način. Potrebno je više kritičkog razmišljanja o tome gdje prestaje legitimna upotreba podataka, a počinje njihova zloupotreba.
Šta dalje
Ne očekujem da će se ova industrija značajno promijeniti u bliskoj budućnosti. Ekonomski interesi su preveliki, a regulatorni okviri u većini država su nedovoljni da bi zaštitili korisnike na odgovarajući način. U Bosni i Hercegovini je situacija posebno izazovna, jer nemamo ni zakone ni institucije koje bi se mogle nositi s ovakvim pitanjima na ozbiljan način.
Ali to ne znači da trebamo odustati. Svaki put kad neko razumije malo više o tome kako internet funkcioniše, svaki put kad neko postavi pitanje o tome zašto se njihovi podaci prikupljaju i na šta se koriste, mi smo korak bliže situaciji u kojoj privatnost nije privilegija, nego standard.
Ako ništa drugo, zapamtite sljedeće. Vaša IP adresa nije samo broj. Ona je ključ za cijeli niz informacija o vama, informacija koje se prikupljaju svaki put kad otvorite pretraživač, svaki put kad posjetite bilo koju web stranicu, svaki put kad kliknete bilo šta. Te informacije imaju vrijednost za nekoga, a taj neko nije vi.
To nije razlog za paniku, ali jeste razlog za pažnju. A pažnja je prvi korak prema bilo kakvoj promjeni.