Routerens log og IP‑tildeling: hvem var på netværket?

I mange civile sager ender sporet ved en internetforbindelse. Et opslag, et login eller en upload kan føres tilbage til en IP-adresse, og adressen kan føres tilbage til et abonnement hos en internetudbyder. Men bag én forbindelse kan der være mange mennesker: en familie, et kontor, et kollegium eller gæster på et trådløst netværk. Spørgsmålet bliver derfor, hvilken enhed på netværket der stod bag. Svaret ligger ofte i routeren, hvis den bliver sikret i tide.

Hvordan en IP-adresse kobles til et abonnement, er beskrevet i Anonym modpart: hvem står bag profilen eller mailen?. Denne artikel handler om næste trin: netværket bag abonnementet.

Én offentlig adresse, mange enheder

En almindelig router giver alle enheder på netværket en intern adresse. Udadtil deler de én offentlig IP-adresse. Det kaldes NAT. Derfor kan en hjemmeside, en platform eller en internetudbyder normalt kun se forbindelsen, ikke hvilken telefon eller computer bag routeren der var aktiv.

Det betyder, at et svar fra internetudbyderen typisk kun viser, hvilket abonnement adressen var tildelt på et bestemt tidspunkt. Det siger ikke, hvem i husstanden eller virksomheden der brugte den.

Hvad routeren kan registrere

Routere er meget forskellige. Nogle registrerer næsten intet. Andre logger meget. Typiske oplysninger er:

Liste over tildelte adresser (DHCP) · Hvilken intern adresse en enhed fik, og hvornår
MAC-adresse · Enhedens netværksidentitet
Værtsnavn · Det navn, enheden selv oplyste, fx “Jens-iPhone”
Tilsluttede enheder · Hvilke enheder der var på netværket på et tidspunkt
Trådløse til- og frakoblinger · Hvornår en enhed koblede på og af
Systemlog · Genstarter, ændringer i opsætningen, logins på routeren

Nogle routere styres via en app eller en skyportal hos producenten eller internetudbyderen. Så kan historikken ligge der i stedet for i selve routeren.

Hvad loggen kan vise

Hvis routerens log dækker det relevante tidspunkt, kan den ofte vise, hvilke enheder der var koblet på netværket, og hvilken intern adresse hver enhed havde. Kombineret med andre spor kan det indsnævre kredsen. Var der kun én enhed aktiv på det tidspunkt, eller var der ti? Var en bestemt telefon på netværket, eller var dens ejer hjemmefra?

Det kan også være relevant for en part, der vil vise, at andre havde adgang. Et åbent gæstenetværk eller en adgangskode, som mange kender, svækker en påstand om, at netop den person stod bag.

Hvad loggen ikke viser

En enhed er ikke en person. En computer kan bruges af flere. En telefon kan lånes ud. → Hvem skrev beskeden?
Værtsnavnet kan ændres. Det er oplyst af enheden selv og kan være hvad som helst.
MAC-adresser kan skifte. Mange telefoner og computere bruger i dag en tilfældig MAC-adresse pr. netværk, og nogle skifter den jævnligt. En adresse i loggen kan derfor være svær at koble til en bestemt enhed uden at undersøge enheden.
Hvad enheden lavede. Routeren registrerer typisk forbindelser, ikke indholdet af dem.
Routerens ur kan gå forkert. Uret skal sammenholdes med en korrekt tid, før tider bruges. → Sådan læser du en logfil

Data forsvinder hurtigt

Routerens log er en af de mest flygtige kilder i en sag. Mange routere gemmer kun loggen i hukommelsen, så den forsvinder ved genstart eller strømafbrydelse. Andre har en fast størrelse og overskriver de ældste linjer. I et travlt netværk kan det være et spørgsmål om dage eller timer.

Derfor er det første råd til en klient, der ejer routeren: Lad være med at genstarte den, og lad være med at nulstille den. Sikr loggen først.

Sikring i praksis

Den bedste sikring er en eksport af loggen fra routeren eller portalen i dens eget format, suppleret med fotos eller skærmbilleder af administrationssiden, der viser model, firmwareversion og tidspunkt. Notér, hvem der har gjort det, og hvordan. Skærmbilleder alene er bedre end ingenting, men de kan være svære at efterprøve. → Klienten har selv sikret beviserne

Hvis routeren tilhører modparten eller en tredjemand, som en udlejer, en arbejdsgiver eller en internetudbyder, der administrerer routeren, er det tid, der tæller. En hurtig henvendelse om bevarelse kan være nødvendig, før det kommer til en begæring om edition. → Edition fra tredjemand

Virksomhedsnetværk

I virksomheder er billedet ofte bedre. Firewalls, trådløse styringssystemer og netværksadgangskontrol kan logge, hvilken bruger der var logget på med hvilken enhed, og gemme det i længere tid. Men logningen afhænger af opsætningen, og den er ofte ikke sat op med en tvist for øje. Spørg den IT-ansvarlige, hvad der logges, og hvor længe.

Når klienten er abonnenten

Ofte er det klientens egen forbindelse, der peges på. Klienten får måske et brev eller en stævning, fordi en IP-adresse er knyttet til klientens abonnement. Her er routeren en kilde, der kan tale for klienten. Den kan vise, at andre enheder var aktive, at et gæstenetværk var åbent, eller at klientens egne enheder ikke var på netværket på det tidspunkt.

Det kræver, at klienten sikrer loggen, før den overskrives, og at klienten ikke selv begynder at ændre opsætningen. En ny adgangskode eller et lukket gæstenetværk kan være fornuftigt af sikkerhedshensyn. Men det bør ske, efter at den eksisterende opsætning er dokumenteret, så det kan vises, hvordan netværket så ud på det relevante tidspunkt.

Kombination med andre spor

Routerens log står sjældent alene. Den bliver stærkest, når den kan sammenholdes med andre kilder. Det kan være en telefons egen historik over trådløse netværk, et login i en tjeneste fra en bestemt enhed eller en tidslinje over, hvor husstandens medlemmer var. Peger flere uafhængige kilder på samme enhed, bliver alternative forklaringer sværere. Peger de i forskellige retninger, er det et tegn på, at konklusionen bør holdes forsigtig.