Verschleierte IP Adresse?

[DeadDog]

Hallo zusammen,

hier im Forum gibt es ja einige Beiträge dazu, wie man die Herkunft einer Mail (bzw. Spam) über die IP aus dem Header identifizieren kann. Nun ist es so, dass in den meisten Fällen in denen ich das überprüft habe, es kein Ergebnis gibt. Also meistens steht dann da "unkown country" oder "actually we have no clue".

Könnte das daran liegen, dass der Absender ein Programm zur Verschleierung der IP verwendet? Es gibt doch Programme um verschlüsselt im Internet zu surfen um die IP Adresse zu verschleiern und auch um die echte IP der Mails zu tarnen?

Wenn das bei einigen Spams der Fall ist, gibt es Möglichkeiten die verschleierten IPs zu enttarnen und evtl. doch noch auf die richtige IP und letztlich den ungefären Standort des Absenders zu kommen?

Gruß

Dead Dog

[tankwart]

Hallo DeadDog,

absolut jede (!) IP-Adresse lässt sich nicht nur einem bestimmten Land, sondern sogar einem bestimmten Provider zuordnen. Wäre das nicht so, könnten die IP-Pakete ja nicht den Weg zurück finden, und dann wäre diese IP-Adresse unbrauchbar.

Die kostenlosen Geo-Location-Systeme haben aber nur unvollständige IP-Datenbanken, deshalb ist ihre Treffer-Rate auch nur etwa 80-95%.

Wenn hier jemand beim Surfen einen Proxy-Server aus Australien verwendet, scheint die Anfrage natürlich von dort zu kommen, aber zumindest den Standort dieses Proxy-Servers kann man identifizieren. Problematisch sind nur die (wenigen) überregionalen Provider, die ein eigenes, weltumspannendes IP-Netz besitzen. Z.B. verwendete AOL (früher?) Einwahl-Adressen aus den USA, obwohl sich der Einwählende in Europa befindet. Aber auch in diesem Fall lässt sich ganz eindeutig nachweisen, dass die verwendete IP-Adresse AOL gehört.

[DeadDog]

Hi Tankwart,

thx für die Antwort. Welches Geo-IP System bzw. welche Methode wäre zu empfehlen, um in solchen Fällen den Ursprungsort des Urhebers zu ermitteln?

Gruß

Dead Dog

[tankwart]

Der erste Schritt sollte immer das Aufsuchen der IP-Adresse in der RIPE-Datenbank sein, z.B. über den IP-Checker ('Network Whois Record' auswählen). Damit hast Du schon mal definitiv den Provider ermittelt, dem diese IP-Adresse zugeordnet ist. Anhand der Merkmale (Host-Name, Range etc. kann man dann mit großer Wahrscheinlichkeit beurteilen, ob es sich um eine Dialin-Adresse, einen Firmenanschluss usw. handelt. Ob sich dahinter ein Proxy-Server verbirgt, ist schon schwieriger zu beurteilen.

Erst wenn Du weißt, was genau hinter dieser IP-Adresse steht, macht es einen Sinn, diese Adresse mit einem Geo-Tool zu lokalisieren. Bei einem Proxy-Server oder einem Root-Server im Rechenzentrum kannst Du davon ausgehen, dass der Standort des Servers nicht mit dem Standort des Urhebers übereinstimmt, der kann überall auf der Welt sitzen.

[Tobias Claren]

Das ist nicht ganz richtig.
"Verschleiern" ist natürlich möglich. Am beliebtesten scheint wohl TOR (The Onion Router), speziell als Vidalia-Sorglos-Paket inkl. Torbutton für den Firefox.

Den Absender kann dann nicht mal ein LKA, BKA, BND oder alle US-Geheimdienste und die Nasa ermitteln.

Man ist nicht mit dem Zielrechner verbunden, sondern über eine Kette von drei PCs die als Router bzw. "Proxy-Server" funktionieren.
Man selbst "A" hat eine verschlüsselte Verbindung über "B", "C" und "D" zum Ziel "E".
Erst D entschlüsselt die Daten um sie an E zu senden. Auch wenn D die Daten lesen würde, wüsste D nicht woher es kommt. Es sind ja noch zwei Rechner davor die nur weiterleiten.

[Caschy]

Genau. Mit Tor kannst du in Deutschland eine IP absenden, die mit einer IP aus China deinem Nachbarn zugestellt wird. Der Proxy in China hat nur eine IP aus den USA, und der Proxy in den USA hat nur eine IP aus Holland. Nur wenn alle drei Proxys erstens heimlich loggen und zweitens kooperieren, wäre es möglich, deine Iidentität zu enttarnen - und selbst das wäre nur für die Zukunft möglich.