IP-адреса і порт: що вони доводять і чого не доводять
IP-адреса — найчастіший і найгірше зрозумілий ідентифікатор у справах з інтернет-складовою. Заняття про те, за яких умов вона доводить хоч що-небудь.
- сказати, яких трьох елементів логу бракує, щоб запит до провайдера не був марним;
- відрізнити ситуацію, де IP вказує на абонента, від ситуації, де вона вказує лише на зону;
- самостійно встановити, якому провайдеру належить адреса, до будь-якого запиту;
- сформулювати в документі те, що встановлено, не перетворивши зону на особу.
Дві половини адреси: куди і в які двері
Щоб два комп'ютери обмінялися даними, кожному потрібні дві речі: адреса вузла й номер порту на цьому вузлі. IP-адреса каже, до якої машини йде трафік. Порт каже, до якої програми на цій машині. Без порту адреса — це вулиця без номера дверей.
Адреси бувають двох поколінь. IPv4 — чотири числа від 0 до 255 через точку,
178.137.16.42; таких адрес близько 4,3 мільярда, і вони скінчилися ще
в 2010-х. IPv6 — вісім груп шістнадцяткових цифр, 2a02:2378:12ab::7f10;
запас практично невичерпний, але впровадження нерівномірне, і в українських справах ви
частіше побачите IPv4. Це має практичний наслідок: саме дефіцит IPv4 породив механізм,
який ламає ідентифікацію, — про нього розділ 2.
Окремо запам'ятайте три діапазони, які ніколи не бувають адресою в інтернеті:
10.0.0.0/8, 172.16.0.0/12 і 192.168.0.0/16. Це приватні
адреси всередині локальної мережі (стандарт RFC 1918). Якщо в матеріалах справи
фігурує 192.168.1.7 як «IP-адреса злочинця» — це адреса всередині чиєїсь
локальної мережі, вона повторюється в мільйонах квартир і сама по собі не веде нікуди.
Робочий мінімум для будь-якого запиту до провайдера. Порт і точний час із зазначенням зони — не «додаткові реквізити», а умова, без якої відповідь буде «встановити неможливо». Стандарт RFC 6302 прямо рекомендує серверам логувати адресу джерела, порт джерела і точний час з'єднання.
NAT і CGNAT: чому одну адресу ділять тисячі людей
NAT — трансляція адрес. У квартирі один публічний IP від провайдера, а телефон, ноутбук і телевізор мають приватні адреси; роутер підміняє їх на публічну й запам'ятовує, кому яку відповідь віддати. Розрізняє він їх саме портами. Тому вже на цьому рівні IP-адреса вказує на домогосподарство, а не на людину.
CGNAT (carrier-grade NAT) — те саме, але на рівні провайдера: одна публічна адреса роздається сотням і тисячам абонентів одночасно. Це стало нормою через дефіцит IPv4 і особливо поширене в мобільному інтернеті. Європол ще у 2017 році заявив, що ця технологія створила serious capability gap — і що осіб, які виходять в інтернет із телефона, часто неможливо ідентифікувати, бо близько 90 % провайдерів мобільного доступу її застосували. Проблема не зникла: вона стала фоном.
Практичний висновок жорсткий. За наявності CGNAT відповідь на запит «хто мав адресу
91.202.x.x 14 липня о 21:08» — це список абонентів. Відповідь на запит,
де вказано ще й порт джерела 49512 і час із точністю до секунди, — це
один абонент. Різниця між марним запитом і результативним — три поля в логу.
Реєстри: що можна встановити до будь-якого запиту
Належність IP-адреси провайдеру — публічна інформація. Її веде регіональний реєстр: для Європи та Близького Сходу це RIPE NCC. Запит до бази RIPE (той самий whois) показує діапазон, назву організації-власника, країну, номер автономної системи (ASN) і контакти для звернень зі скарг. Це безкоштовно, не потребує жодного дозволу і робиться за хвилину — і саме з цього починається робота з адресою, а не із запиту «в усі оператори».
Далі стане в пригоді реєстр постачальників електронних комунікаційних послуг, який веде НКЕК — національний регуляторний орган у сферах електронних комунікацій, радіочастотного спектра та поштового зв'язку. За назвою з RIPE ви знаходите в цьому реєстрі юридичну особу, її ЄДРПОУ й адресу — тобто точного адресата запиту.
| Джерело | Що дає | Рівень | Обмеження |
|---|---|---|---|
| RIPE NCC (whois по IP) | діапазон, власник діапазону, країна, ASN | зона | власник діапазону ≠ абонент |
| RIPE (об'єкт inetnum) | кому провайдер передав підмережу | зона | для малих підмереж часто не заповнено |
| Реєстр постачальників ЕКП (НКЕК) | юридична особа провайдера, ЄДРПОУ | — | не містить даних про абонентів |
| Реверсний DNS (PTR) | технічне ім'я вузла, іноді місто й тип каналу | зона | заповнюється провайдером довільно |
| Бази геолокації IP | орієнтовне місто | хиба | комерційна оцінка, не доказ; помилки в десятки кілометрів |
| Публічні списки VPN і Tor | ознака, що адреса — вихідний вузол сервісу | зона | списки неповні; відсутність у списку нічого не означає |
| ЄДР юридичних осіб | керівник, засновники, адреса провайдера чи хостера | особа | щодо посадовця компанії, не щодо користувача |
| Заголовки електронного листа | ланцюг серверів і адреса відправника | зона | частина заголовків підробляється |
| Лог самого потерпілого | IP, порт, час, дії в системі | зона | потребує вилучення й фіксації, інакше оспорюють |
| Абузні контакти в RIPE | адреса для термінового звернення до провайдера | — | реагування добровільне, без процесуальної сили |
| Реєстр судових рішень | чи є вже практика щодо цього провайдера й обсягу даних | — | — |
| Архівні сервіси вебсторінок | стан ресурсу в минулому | — | дата індексації ≠ дата розміщення контенту |
Що і на якій підставі просити в провайдера
Інформація, яка є в оператора чи провайдера, — про зв'язок, про абонента, про надання послуг, їх тривалість і маршрути передавання — прямо віднесена до охоронюваної законом таємниці (п. 7 ч. 1 ст. 162 КПК). Тому шлях один: тимчасовий доступ до речей і документів за главою 15 КПК, тобто клопотання й ухвала слідчого судді. Ані запит на публічну інформацію, ані «лист за підписом керівника» тут не працюють: отримані так дані сторона захисту оспорить як здобуті неналежним чином.
Межа проходить по змісту. Дані про з'єднання — хто, з ким, коли, як довго, через яку станцію — це глава 15. Зміст самого спілкування — це вже негласна слідча дія, зняття інформації з електронних комунікаційних мереж (ст. 263 КПК, назву статті змінено Законом № 2137-IX від 15.03.2022). Клопотання, у якому під виглядом тимчасового доступу просять фактично зміст, слідчі суддя або поверне, або задовольнить — і другий варіант гірший, бо доказ упаде в суді.
- У чому питання
- Скільки місяців провайдер зобов'язаний зберігати дані про з'єднання, які ви запитуєте. Уніфікованого строку, порівнянного з колишньою директивою ЄС про retention, у чинному регулюванні немає; оператори керуються власними політиками й вимогами тарифікації, а строки різняться між компаніями й типами даних.
- Чому це важливо
- Від цього залежить, чи взагалі є сенс просити дані за подію дворічної давності, — і чи не втратите ви час на ухвалу, за якою прийде «дані відсутні».
- Що перевірити
- Чинну редакцію Закону «Про електронні комунікації» № 1089-IX (zakon.rada.gov.ua; редакція від 30.05.2026 на дату підготовки матеріалу) щодо обов'язків постачальників; підзаконні акти НКЕК; і найшвидше — надіслати конкретному оператору запит про строки зберігання ще до підготовки клопотання, щоб не просити неможливе.
Кейс: розрив ідентифікації як визнана проблема
CGNAT і «розрив атрибуції»: позиція Європолу і заперечення правозахисників
- 31.01.2017У штаб-квартирі Європолу в Гаазі створено європейську мережу фахівців правоохоронних органів із проблеми CGNAT.
- 13.10.2017Спільний воркшоп Європолу й естонського голування в Раді ЄС: 35 представників правоохоронних органів і політиків. Виконавчий директор Європолу заявив, що технологія створила серйозний розрив у спроможності встановлювати осіб, і що близько 90 % провайдерів мобільного доступу її впровадили.
- 2017–2018Робота в IETF над рекомендаціями щодо логування; підтверджено, що близько 90 % опитаних фахівців регулярно стикаються з неможливістю атрибуції через CGNAT.
- даліПроблема не вирішена нормативно; вона перетворилася на робочу умову, з якою працює кожен слідчий.
Правозахисні організації (зокрема European Digital Rights і Hermes Center) заперечили сам підхід: відмова від CGNAT означала б ширше й довше збирання даних про всіх абонентів заради ідентифікації окремих. Вони звернулися до наглядового органу з захисту даних із вимогою перевірити, які саме поля насправді логують операторі. Тобто «зробіть так, щоб адреса вказувала на одну людину» — це не технічна дрібниця, а спірне політичне рішення.
Він знімає ілюзію, що неможливість ідентифікувати особу за IP — наслідок вашої помилки або поганої роботи оператора. Це структурна властивість мережі, визнана на рівні Європолу. Практичний наслідок: не будуйте обвинувачення на одній IP-адресі й не описуйте її в документі як встановлення особи. Збирайте порт і час — і паралельно шукайте другий незалежний ідентифікатор.
Формулювання: одна фраза, яка руйнує документ
Найпоширеніша помилка — описати рівень «зона» словами рівня «особа». Порівняйте:
Неприйнятне формулювання і чому саме
❌ «Встановлено, що правопорушення вчинено з IP-адреси 91.202.x.x, яка належить Іванову І. І.»
- IP-адреса не «належить» фізичній особі — вона надана провайдеру й на момент з'єднання використовувалася в межах договору;
- «вчинено з адреси» приховує, що адресою могли користуватися кілька осіб;
- «встановлено» щодо особи, коли встановлено лише абонента, — це підміна рівня.
Коректне формулювання того самого факту
✅ «Згідно з відповіддю [оператора] на ухвалу слідчого судді від [дата], адресу 91.202.x.x із портом джерела 49512 станом на 21:08:33 14.07.2026 (UTC+03:00) використано в межах договору № […], абонентом за яким є Іванов І. І. Питання про те, хто фактично здійснив з'єднання, підлягає встановленню.»
- названо джерело й підставу отримання;
- зафіксовано всі три технічні реквізити;
- розділено «абонент за договором» і «особа, яка діяла»;
- прямо позначено, що залишилося встановити.
Як провести це заняття з групою
- Вправа 1 (10 хв). Дайте групі три рядки логу: один повний, один без порту, один без часової зони. Питання: за яким із них ухвала має сенс і що напишете в клопотанні щодо двох інших.
- Вправа 2 (10 хв). Кожен приносить одну IP-адресу зі своєї справи; спільно проходите RIPE → реєстр НКЕК → адресат запиту. Мета — щоб цей шлях став рефлексом.
- Вправа 3 (15 хв, дискусія). Витягніть із реальних документів підрозділу формулювання про IP-адреси й перепишіть їх за схемою розділу 6. Найкорисніша частина: майже завжди знаходиться щось на кшталт «адреса належить особі».
Що робити з IP-адресою завтра
- Перевірте повноту. Є адреса, порт джерела, час із точністю до секунди й часовою зоною? Якщо чогось немає — спершу дозапитайте потерпілого чи сервіс, а не оператора.
- Відсійте очевидне. Приватний діапазон (10./172.16./192.168.) — глухо. Адреса у списку вихідних вузлів VPN або Tor — глухо на цьому напрямі, працюйте по сервісу.
- Встановіть адресата безкоштовно. RIPE → назва організації → реєстр постачальників НКЕК → ЄДРПОУ і юридична адреса.
- Готуйте клопотання за главою 15 КПК на дані про з'єднання, з посиланням на п. 7 ч. 1 ст. 162 КПК. Зміст спілкування — окремий шлях, ст. 263 КПК.
- Заздалегідь спитайте про строки зберігання в конкретного оператора, якщо подія не свіжа.
- У документі тримайте рівень. Отримали абонента — пишіть «абонент за договором», а не «особа, яка вчинила». Далі шукайте другий ідентифікатор: заняття 3 — мобільний апарат і SIM, заняття 5 — акаунти в месенджерах.
Чотири питання на розрізнення
1. Провайдер відповів: адресу 91.202.x.x о 21:08 14.07.2026 використовували 340 абонентів. У лозі потерпілого є адреса й час, порту немає. Що це означає для справи?
Ні. Провайдер відповів правдиво. При CGNAT одна публічна адреса роздається багатьом абонентам одночасно, і без порту джерела зіставлення однозначним бути не може.
Так. Це і є практичний зміст CGNAT. Розрив закривається не тиском на оператора, а якістю вихідних даних. Якщо порт не логувався взагалі — цей напрям вичерпаний, потрібен інший ідентифікатор.
Ні. Це непропорційне втручання щодо 339 людей і практично нездійсненно. Такий обсяг слідчий суддя обґрунтовано не задовольнить.
Ні. Перша частина правильна, висновок — ні. Мережа провайдера — це рівень зона. Підозра щодо конкретної особи на цьому не будується.
2. Ви маєте повний лог: IP, порт, час із зоною. Провайдер назвав абонента за договором. Чи можна писати, що особу встановлено?
Ні. Ланцюг замкнений до абонента, не до особи. Договором можуть користуватися члени родини, працівники, гості; доступ буває викраденим.
Так. Це другий розрив зі схеми. Він не закривається якістю логу — тільки додатковими доказами. Формулювання з розділу 6 саме про це.
Ні. Тип абонента не змінює природи розриву. Домашній інтернет ділить родина, а Wi-Fi часто відкритий чи зі слабким паролем.
Ні, хоч і ближче. Визнання — це доказ, який ще треба перевірити, а не підстава підняти рівень ідентифікації автоматично. І будувати висновок на самому визнанні небезпечно.
3. Потрібні дані про те, з якими абонентами підозрюваний з'єднувався протягом місяця. Який шлях правильний?
Ні. Інформація про зв'язок і абонента прямо віднесена до охоронюваної законом таємниці (п. 7 ч. 1 ст. 162 КПК). Отримане листом оспорять.
Так. І зверніть увагу на другу частину: надмірний період — типова причина відмови. Просити «за три роки», коли подія в одному місяці, означає отримати відмову.
Ні, це надмірно. Ст. 263 — про зміст спілкування, негласна слідча дія з іншими підставами й обмеженнями. Для даних про з'єднання достатньо глави 15.
Ні. Якщо оператор із доброї волі надасть таємницю без ухвали, проблема виникне не в нього, а у вас: доказ буде під питанням допустимості.
4. База геолокації показує, що IP-адреса розташована в Одесі. Як це використати?
Ні. Це найтиповіша підміна рівня. Геолокація IP — комерційна оцінка з похибкою в десятки кілометрів, а часто вказує на місто реєстрації провайдера, а не абонента.
Занадто категорично. Як робоча версія для планування — цілком корисно: з чого починати, у який підрозділ звертатися. Недопустимо лише переносити це у висновки як факт.
Так. Робоча версія і встановлений факт — різні речі, і вони живуть у різних документах. Провайдер знає адресу підключення; база геолокації її вгадує.
Ні. Збіг трьох комерційних баз часто означає лише, що вони беруть дані з одного джерела. Кількість оцінок не перетворює оцінку на факт.
Далі — заняття 2: домен, DNS і хостинг. Там та сама логіка рівнів застосовується до вебресурсу, а фіксація доказу розглядається окремо через практику Верховного Суду.