IP 위치 추정은 실제로 얼마나 정확한가?

IP 위치 추적은 얼마나 정확한가요?

솔직히 말하면, 답은 어느 정도의 정밀도를 요구하느냐에 전적으로 달려 있습니다. 국가 수준에서 IP 위치 추적은 네트워크 포렌식에서 가장 신뢰할 수 있는 추론 중 하나입니다. 도시 수준에서는 다소 유리하게 기운 동전 던지기에 가깝습니다. 그리고 특정 유형의 연결 — 이동통신 사업자, VPN 출구, 위성 링크 — 에서는 보고된 위치가 확신에 차 있으면서도 체계적으로 틀릴 수 있습니다. 그렇기 때문에 Uplink Trace 추적기가 생성하는 모든 조사 자료에는 하나의 권위 있어 보이는 위치 핀 대신 명시적인 신뢰도 등급이 함께 표기됩니다.

포장을 걷어낸 수치

국가 수준이 거의 항상 정확한 이유

IP 주소 블록은 지역 인터넷 등록 기관 — RIPE NCC, ARIN 및 이에 상응하는 기관들 — 이 특정 국가의 특정 사업자에게 배분하며, 그 기록의 흔적은 공개되어 있습니다. 독일 ISP에 할당된 주소 블록은 압도적으로 독일 고객에게 서비스를 제공하며, 국경을 넘는 재할당은 드물고 더디게 이루어집니다. DB-IP와 같은 위치 추적 데이터베이스는 이 등록 기관 데이터에서 출발하여 이를 정교하게 다듬습니다. 그렇기 때문에 조사 자료의 국가 항목은 높은 신뢰를 받을 만하지만 그 아래의 모든 항목은 의심을 받아 마땅합니다.

지역과 도시가 훨씬 불확실한 이유

어떤 등록 기관도 주소가 어느 도시에 서비스되는지 기록하지 않습니다. 지역 및 도시 수준 항목은 추론된 것입니다. 운영 ISP가 인프라를 집중시키는 위치, 지연 시간 측정값, 라우팅 구조, 그리고 사업자가 과거에 블록을 배치해 온 방식의 패턴으로부터 추론됩니다. 이러한 추론은 시간이 지나면 낡아집니다. ISP는 네트워크 재편 과정에서 블록을 리옹에서 마르세유로 조용히 옮길 수 있으며, 새로운 증거가 축적되기 전까지 데이터베이스는 계속 리옹으로 보고합니다. 유선 광대역에서 도시는 대략 절반에서 4분의 3 정도의 확률로 맞습니다. 초기 분류에는 유용하지만 결론을 내리기에는 결코 충분하지 않습니다. 그 작동 원리는 IP 위치 추적의 작동 원리에서 더 자세히 다룹니다.

이동통신망과 캐리어급 NAT

이동통신 사업자는 모든 단말기에 각각의 주소를 부여할 만큼 충분한 IPv4 주소를 보유하고 있지 않습니다. 대신 이들은 캐리어급 NAT(RFC 6598에 정의된 공유 주소 공간)를 사용하여 수천 명의 가입자를 지역 게이트웨이의 소규모 공용 주소 풀을 통해 몰아넣습니다. 여러분이 관측하는 IP는 그 게이트웨이의 것이며, 이는 개별 가입자로부터 수백 킬로미터 떨어져 있을 수 있습니다. 소도시에 있는 휴대전화는 흔히 가장 가까운 대도시에 있는 사업자의 게이트웨이로 위치가 추적됩니다. 추적 결과가 이동통신 사업자의 AS에 도달하면, 도시 항목을 사용자의 소재지가 아니라 사업자의 배관망으로 취급하십시오.

VPN, 프록시 및 데이터센터 대역

VPN은 약속한 그대로 작동합니다. 드러나는 IP는 출구 서버의 것이므로 위치 추적은 출구 서버의 데이터센터를 — 정확하게 — 보고합니다. 데이터베이스가 실패한 것이 아니라, 여러분이 관심을 두는 대상이 아닌 기계를 올바르게 위치시킨 것입니다. Uplink Trace는 AS 사업자의 이름을 근거로 데이터센터와 VPN 대역을 휴리스틱하게 표시하며, 사업자 이름은 증거이지 확실성은 아니므로 이를 증명으로 단정하는 대신 LIKELY로 표시합니다. ASN이 무엇인지 이해하면 여기서 도움이 됩니다. 자율 시스템은 누가 네트워크를 운영하는지 알려주며, 이는 흔히 좌표보다 더 유용한 정보입니다.

기업 네트워크와 위성 링크

대규모 조직은 흔히 지사 트래픽을 중앙 인터넷 브레이크아웃을 통해 라우팅하므로, 캘거리에 있는 직원이 토론토 본사에 등록된 IP로 나타날 수 있습니다. 위성 인터넷은 극단적인 사례입니다. 트래픽은 지상국에서 지상 인터넷에 도달하는데, 이 지상국은 접시 안테나와 다른 국가 — 때로는 다른 대륙 — 에 있을 수 있습니다. 두 패턴 모두 내부적으로는 일관되지만 운영상으로는 오해를 부르는 위치 추적 결과를 만들어 냅니다.

국가별로 정확도가 다른 이유

정확도는 지도 전체에 걸쳐 균일하지 않습니다. 작은 국가는 틀릴 수 있는 영토 자체가 적기 때문에 국가 수준에서, 그리고 흔히 도시 수준에서도 손쉽게 정확합니다. 조밀하고 경쟁이 치열한 ISP 시장과 지역 단위로 구조화된 할당을 갖춘 국가 — 서유럽 대부분, 북미의 도시 지역 — 는 상대적으로 위치 추적이 잘 됩니다. 국가 통신 사업자가 전국 단위의 단일 주소 풀에서 주소를 끌어오는 국가는 국가 수준 아래로는 위치 추적이 제대로 되지 않는데, 주소 체계의 어떤 것도 한 도시와 다른 도시를 구별해 주지 않기 때문입니다. 동일한 데이터베이스가 네덜란드에서는 뛰어나면서 다른 곳에서는 도시 수준에서 거의 쓸모없을 수 있습니다.

신뢰 반경을 읽는 법

정직한 위치 추적 결과는 점이 아니라 원입니다. 지도 위의 핀은 기초 데이터가 뒷받침할 수 없는 정밀도를 주장하지만, 원은 네트워크 증거가 이 주소를 이 개연성 있는 영역 어딘가에 위치시킨다고 말합니다. 반경을 오차 막대로 읽으십시오. 유선 광대역 ISP의 도시 위에 놓인 촘촘한 원은 상당히 강한 신호이며, 이동통신 게이트웨이나 데이터센터를 중심으로 한 넓은 원은 그 중심점이 거의 임의적이라고 도구가 여러분에게 알려주는 것입니다. Uplink Trace가 넓은 반경을 그릴 때, 그것이 바로 밝혀진 결과입니다. 그것을 더 좁히는 것은 지어내는 일이 될 것입니다. 이것이 잘 문서화된 주소에서 어떻게 표시되는지는 8.8.8.8의 예시 추적에서 확인할 수 있습니다.

이것이 실무에서 의미하는 바

국가 수준 결과는 규정 준수 심사, 로그 초기 분류, 악용 분석에 사용하기에 충분히 신뢰할 만합니다. 지역 및 도시 결과는 인용할 사실이 아니라 확증해야 할 단서입니다. 그리고 그중 어느 것도 개인을 식별하지 못합니다. IP 위치 추적은 네트워크가 인터넷에 접속하는 지점을 근사할 뿐, 누가 그것을 사용하는지 또는 어디에 거주하는지는 알려주지 않습니다. 이 구분은 누군가 내 IP로 내 주소를 알아낼 수 있는가에서 자세히 풀어 설명합니다. 신뢰도 등급 없이 정밀한 핀을 보여주는 도구는 데이터가 허용하는 것보다 더 정확한 것이 아니라, 단지 마땅히 그래야 하는 것보다 더 확신에 차 있을 뿐입니다.