Qual É Realmente a Precisão da Geolocalização de IP?

Qual é a Precisão da Geolocalização por IP?

A resposta honesta: depende inteiramente do nível de precisão que exigir. Ao nível do país, a geolocalização por IP é uma das inferências mais fiáveis na análise forense de redes. Ao nível da cidade, aproxima-se de um lançamento de moeda ligeiramente a seu favor. E para certos tipos de ligações — operadoras móveis, saídas de VPN, ligações por satélite — a localização indicada pode estar sistematicamente e com toda a confiança errada. É por isso que cada relatório produzido pelo rastreador Uplink Trace apresenta uma classificação de confiança explícita em vez de um único ponto de aparência autoritária.

Os números, sem verniz

Porque é que o nível de país está quase sempre certo

Os blocos de endereços IP são distribuídos pelos registos regionais da internet — RIPE NCC, ARIN e os seus homólogos — a operadores específicos em países específicos, e esse rasto documental é público. Um bloco de endereços atribuído a um ISP alemão serve, na esmagadora maioria dos casos, clientes alemães, e as reatribuições entre fronteiras são raras e lentas. As bases de dados de geolocalização, como a DB-IP, partem destes dados dos registos e refinam-nos, e é por isso que o campo do país num relatório merece elevada confiança, enquanto tudo o que está abaixo dele merece cepticismo.

Porque é que a região e a cidade são muito mais frágeis

Nenhum registo indica qual a cidade que um endereço serve. As entradas ao nível da região e da cidade são inferidas: a partir de onde o ISP em operação concentra a infraestrutura, de medições de latência, da estrutura de encaminhamento e de padrões na forma como o fornecedor historicamente distribuiu os seus blocos. Essas inferências deterioram-se. Um ISP pode discretamente mover um bloco de Lyon para Marselha durante uma reorganização da rede, e as bases de dados continuarão a indicar Lyon até que se acumulem novas evidências. Na banda larga fixa, a cidade está certa aproximadamente entre metade e três quartos das vezes — útil para triagem, nunca suficiente para uma conclusão. Os mecanismos são abordados com mais profundidade em como funciona a geolocalização por IP.

Redes móveis e NAT à escala da operadora

As operadoras móveis não têm endereços IPv4 suficientes para dar a cada telemóvel o seu próprio. Em vez disso, usam o NAT à escala da operadora (o espaço de endereços partilhado definido no RFC 6598), canalizando milhares de assinantes através de um pequeno conjunto de endereços públicos num gateway regional. O IP que observa pertence a esse gateway, que pode situar-se a centenas de quilómetros de qualquer assinante individual. Um telemóvel numa pequena vila é rotineiramente geolocalizado no gateway da operadora na cidade grande mais próxima. Quando um rastreio acaba no AS de uma operadora móvel, trate o campo da cidade como a canalização da operadora, não como o paradeiro do utilizador.

VPN, proxies e intervalos de datacenter

Uma VPN faz exatamente o que promete: o IP visível é o do servidor de saída, pelo que a geolocalização indica o datacenter do servidor de saída — com precisão. A base de dados não está a falhar; está a localizar corretamente uma máquina que não é aquela que lhe interessa. O Uplink Trace assinala intervalos de datacenter e de VPN de forma heurística, a partir do nome do operador do AS, e rotula-os como PROVÁVEL em vez de afirmar prova, porque o nome de um operador é evidência, não certeza. Compreender o que é um ASN ajuda aqui: o sistema autónomo diz-lhe quem opera a rede, o que é muitas vezes mais informativo do que as coordenadas.

Redes empresariais e ligações por satélite

As grandes organizações encaminham frequentemente o tráfego das filiais através de um ponto de saída central para a internet, pelo que um funcionário em Calgary pode surgir com um IP registado na sede em Toronto. A internet por satélite é o caso extremo: o tráfego chega à internet terrestre numa estação terrestre, que pode estar num país diferente — ocasionalmente num continente diferente — do da antena. Ambos os padrões produzem resultados de geolocalização que são internamente consistentes e operacionalmente enganadores.

Porque é que a precisão varia consoante o país

A precisão não é uniforme em todo o mapa. Os países pequenos são trivialmente precisos ao nível do país e muitas vezes ao nível da cidade, porque há simplesmente menos território em que errar. Os países com mercados de ISP densos e competitivos e com atribuições estruturadas por região — grande parte da Europa Ocidental, a América do Norte urbana — geolocalizam-se comparativamente bem. Os países onde uma operadora nacional recorre a um único conjunto de endereços à escala do país geolocalizam-se mal abaixo da linha do país, porque nada na estrutura de endereçamento distingue uma cidade de outra. A mesma base de dados pode ser excelente nos Países Baixos e quase inútil ao nível da cidade noutro lugar.

Como ler um raio de confiança

Um resultado de geolocalização honesto é um círculo, não um ponto. Um marcador num mapa afirma uma precisão que os dados subjacentes não conseguem sustentar; um círculo diz as evidências de rede situam este endereço algures nesta área provável. Leia o raio como uma barra de erro: um círculo apertado sobre uma cidade num ISP de banda larga fixa é um sinal razoavelmente forte; um círculo largo centrado num gateway móvel ou num datacenter é a ferramenta a dizer-lhe que o ponto central é praticamente arbitrário. Quando o Uplink Trace desenha um raio amplo, essa é a conclusão — estreitá-lo mais seria invenção. Pode ver como isto se apresenta num endereço bem documentado no rastreio de exemplo de 8.8.8.8.

O que isto significa na prática

Os resultados ao nível do país são suficientemente fiáveis para verificação de conformidade, triagem de registos e análise de abusos. Os resultados de região e cidade são pistas a corroborar, não factos a citar. E nada disto identifica uma pessoa: a geolocalização por IP aproxima onde uma rede se liga à internet, não quem a está a usar nem onde vive — uma distinção detalhada em poderá alguém descobrir a minha morada a partir do meu IP. Qualquer ferramenta que lhe mostre um marcador preciso sem uma classificação de confiança não é mais precisa do que os dados permitem; é apenas mais confiante do que deveria ser.