"IP adresi ile adres bulma" diye aratanların çoğu bir hakaret mesajının, bir dolandırıcılık ilanının ya da izinsiz bir hesap girişinin arkasındaki kişiyi arıyor. Kısa cevap: bir IP sorgusu sizi o kişinin kapısına götürmez. Aşağıda sorgunun neyi gösterdiğini, neyi göstermediğini ve abone bilgisinin nerede durduğunu sırayla anlatıyoruz. Bir IP'nin mahkemede ne kadar ağırlık taşıdığı ayrı bir konu; onu IP adresi tek başına delil mi yazısında ele aldık.
IP konum sitesinde görünen şehir nereden geliyor?
Bir veritabanından. IP konum hizmetleri bir adres bloğunun nerede kullanıldığını tahmin eder; ortada GPS gibi bir ölçüm yoktur. Bu veritabanlarının en bilineni MaxMind, sonucu bir nokta olarak değil bir doğruluk yarıçapıyla verir; yarıçap birkaç kilometreden yüzlerce kilometreye kadar çıkabiliyor. Şirketin kendi destek sayfası, IP konumunun tek tek haneleri ya da sokak adreslerini bulmak için kullanılamayacağını açıkça yazıyor.
Türkiye'de iki şey daha sonucu bozar. Mobil hatlarda trafik operatörün birkaç büyük çıkış noktasından internete çıkar; telefon Van'dayken sorgu İstanbul ya da Ankara gösterebilir. Ev bağlantılarında da aynı adres bloğu bir ilde kullanılırken veritabanında başka bir ilde kayıtlı kalabilir. Haritada bir iğne görünüyorsa bu iğne çoğu zaman şehrin ya da ilçenin ortasına konmuş varsayılan bir noktadır.
RIPE kaydı neyi gösterir?
Avrupa, Orta Doğu ve Orta Asya'daki IP bloklarını RIPE NCC dağıtır ve bloğun kime tahsis edildiğini herkese açık veri tabanında gösterir. Bir adresi RIPE sorgu sayfasına yazınca göreceğiniz alanlar şunlar: adres aralığı (inetnum), ağ adı (netname), bloğun sahibi olan kuruluş ve kötüye kullanım bildirimi için bir e-posta adresi. Sahip, Türkiye'de çoğu zaman bir internet servis sağlayıcısı ya da mobil operatördür. Blok bir bulut sağlayıcısına, bir VPN şirketine ya da bir üniversiteye aitse bu da burada görünür ve aslında en işe yarar bilgi budur: VPN'e ait bir adresin abonesini sormak sizi kullanıcıya değil VPN şirketine götürür.
Kayıttaki kötüye kullanım (abuse) adresine yazmak serbest. Ama oradan size bir isim gelmez; operatör abonesinin kim olduğunu bildirmez, en fazla kendi tarafında bir inceleme başlatır. Saldırı, spam ya da tarama gibi sürüp giden bir sorunda işe yarayabilir. Geçmişteki bir olayın failini bulmanın yolu bu değil.
Abone bilgisi kimde, nasıl istenir?
Adresin belli bir anda hangi aboneliğe verildiği, operatörün oturum ve NAT kayıtlarındadır. Elektronik haberleşmenin ve trafik verisinin gizliliği esas olduğu için (5809 m.51/2) operatör bu bilgiyi başvuran kişiye vermez. Kayıt, bir şikâyet ya da dava üzerine Cumhuriyet savcılığının veya mahkemenin yazısıyla istenir. Biz de bu kayıtları temin etmiyoruz; dosyaya gelmiş cevapları inceliyoruz.
Sorgunun doğru aboneyi göstermesi için operatöre sorulan sorunun eksiksiz olması gerekir:
- IP adresi.
- Saniye düzeyinde zaman ve bu zamanın hangi saat diliminde yazıldığı. Platform logları çoğu zaman UTC'dir; Türkiye saati sanılırsa sorgu üç saat önceki başka bir aboneyi gösterebilir.
- Kaynak port. Operatör bir genel adresi port aralıklarına bölüp aynı anda onlarca aboneye kullandırıyorsa (CGNAT) port olmadan tek bir abone bulunamaz. Nasıl çalıştığını CGNAT nedir yazısında örnekle gösterdik.
5651 sayılı Kanun'daki trafik bilgisi tanımı da bu üçünü sayar: IP adresi, kaynak ve hedef port, hizmetin başlama ve bitiş zamanı, hizmet türü, aktarılan veri miktarı ve varsa abone kimlik bilgileri (m.2/1-j).
Eşleştirme eksiksiz kurulsa bile varılan yer bir aboneliktir. Faturası annenizin adına olan ev internetini ailedeki herkes, misafirler ve parolayı bilen komşu kullanabilir. Abone ile kullanıcıyı ayıran teknik sorunlar IP ve CGNAT analizi sayfasında.
IP kayıtları ne kadar saklanır?
Süreler kayıt türüne göre değişiyor:
| Kim saklar | Ne | Süre | Dayanak |
|---|---|---|---|
| İnternet erişimi ya da telefon hizmeti veren işletmeci | IP adresi, port aralığı, hizmetin başlama ve bitiş zamanı, aktarılan veri miktarı, abone kimlik bilgileri | 2 yıl | Yetkilendirme Yönetmeliği m.19/1-f |
| Erişim sağlayıcı (5651) | Trafik bilgisi | Kanun: 6 ay ile 2 yıl arası. 2007 tarihli faaliyet belgesi yönetmeliği: 1 yıl | 5651 m.6/1-b; Faaliyet Belgesi Yönetmeliği m.15/1-b |
| Yer sağlayıcı (site, sunucu barındıran) | Trafik bilgisi | Kanun: 1 yıl ile 2 yıl arası. 2007 tarihli yönetmelikler hâlâ 6 ay yazıyor | 5651 m.5/3; Usul ve Esaslar Yönetmeliği m.7/1-c |
5651'in yönetmelikleri 2007'den kalma ve kanunla tam uyuşmuyor. Usul ve Esaslar Yönetmeliği'nde erişim sağlayıcının süresini koyan bent Danıştay kararıyla iptal edildi (13. D., E.2013/239, K.2019/4266; İDDK, E.2020/1851, K.2022/649 ile kesinleşti); yer sağlayıcı için yazan altı ay ise 2014'te kanuna giren bir yıllık alt sınırın altında kalıyor. Hangi sürenin uygulandığı bu yüzden tartışmalı. Pratik sonuç aynı: olaydan aylar sonra yapılan bir şikâyette, sitenin ya da platformun kendi logu silinmiş olabilir. Hesabınıza izinsiz girildiyse ya da bir mesaj aldıysanız giriş geçmişini ve mesajı hemen kaydedin; nasıl yapılacağı dijital delil nasıl korunur yazısında.
Bir adresin türünü kendiniz görebilirsiniz
Elinizdeki adresin 192.168 ya da 10 ile başlayan özel bir adres mi, 100.64 bloğundan bir CGNAT adresi mi, yoksa internette görünen genel bir adres mi olduğunu IP adresi kontrol aracımız söyler. Özel ya da CGNAT adresi bir platform logunda görünmez; ekran görüntüsünde böyle bir adres varsa, o ekran görüntüsü büyük olasılıkla modemden ya da telefonun ayarlarından alınmıştır ve operatöre sorulacak adres değildir.