Det skjer noe usynlig i det øyeblikket en nettside lastes, før den rekker å vises. IP-adressen din slås opp mot en kommersiell database for å plassere deg et sted, og derfra tar nettstedet sine avgjørelser. Det avgjør hvilken versjon av siden eller hvilke priser du får se, om en betaling går gjennom, og i noen tilfeller om en tjeneste i det hele tatt vil snakke med deg. Som regel er anslaget godt nok til at ingen merker noe. Det interessante spørsmålet er hva som skjer når det bommer, for systemene som bygger videre på anslaget, oppfører seg sjelden som om det er nettopp det de har fått: en gjetning.

Gjetningen er skjørere enn den ser ut

Det finnes ikke noe offisielt register som knytter IP-adresser til fysiske steder. Systemet er lagdelt: regionale organer tildeler adresseblokker til internettleverandører, som igjen fordeler dem internt. Derfra er det opp til kommersielle aktører å utlede en posisjon ut fra ruteinformasjon, forsinkelsesmålinger og det leverandørene selv oppgir. Resultatet er et anslag satt sammen av private selskaper med egne metoder, og hvor pålitelig det er, avhenger helt av hvor du befinner deg og hvordan du kobler deg til.

Mobilnettet er akilleshælen her. En bruker i Tromsø kan få trafikken sin rutet gjennom en gateway et godt stykke lenger sør, og enhver tjeneste vedkommende bruker, vil registrere en Oslo-adresse på noen som ikke er i nærheten av Oslo. I tillegg kommer carrier-grade NAT, som plasserer tusenvis av abonnenter bak én offentlig adresse, slik at adressen sier mer om nettverksutstyret enn om personen. Databasene henger dessuten etter når adresseblokker skifter eier mellom leverandører, mens bedrifts-VPN, næringsbredbånd og satellittforbindelser innfører ytterligere unøyaktigheter.

Gården i Kansas

Det tydeligste eksempelet på hva som skjer når en gjetning presenteres som et faktum, finner du på en gård utenfor Potwin i Kansas. MaxMind trengte standardkoordinater for adresser selskapet ikke klarte å plassere, og valgte et avrundet punkt nær det geografiske midtpunktet i USA: 38.0000, -97.0000. Det punktet lå midt i hagen til Joyce Taylor. I løpet av snaue fjorten år ble over 600 millioner IP-adresser knyttet til den ene koordinaten.

Dette var ingen abstraksjon. Familien som leide gården, ble beskyldt for alt fra skattesvindel og datakriminalitet til tyveri av Facebook-identiteter og verre ting. Politi og privatpersoner dukket opp på eiendommen døgnet rundt uten at noen kunne forklare hvorfor, helt til en teknologijournalist kom til bunns i saken. En av MaxMinds grunnleggere fortalte at selskapet ikke var klar over problemet før noen tok kontakt. Han pekte på at rundt 5000 virksomheter bruker dataene deres, og at de fleste brukerne ikke er opptatt av hvordan standardverdier fungerer, men handler ut fra det som står på skjermen.

Til slutt ble saken løst gjennom utenrettslig tvisteløsning i 2017, etter at standardpunktet var flyttet ut i et vannmagasin. Den tekniske forsømmelsen i seg selv var liten: databasen ga et presist tall der sannheten var at den ikke visste. Men videre nedover i kjeden ble tallet oppfattet som et funn og ikke som en plassholder, og det var familien som betalte prisen.

Der det koster deg penger

I en helt vanlig hverdag er det avviste betalinger du oftest støter på. Systemene for svindelvurdering måler avstanden mellom kortets utstederland og fakturaadresse på den ene siden, og posisjonen til forbindelsen din på den andre. Når spriket blir stort, går risikoscoren opp. Det er derfor et kort som fungerte utmerket hjemme, blir avvist på dag to av reisen, eller at et enkelt innskudd hos Spacehills Casino blir avvist fordi du brukte en VPN i et annet land. For brukerstedet er dette fornuftig risikohåndtering. For kortholderen ser det ut som om banken rett og slett har sluttet å virke.

Så er det prisene, som er en mer subtil kostnad. Mange tjenester opererer med ulike beløp avhengig av marked, enten det skyldes regional prising, valutahåndtering eller kampanjer som er begrenset til bestemte land. Plasserer databasen deg i feil land, får du feil pris, og det finnes ingen enkel måte å oppdage det på. Det er mindre iøynefallende enn et avvist kort, men til gjengjeld er det et vedvarende og usynlig problem.

Den tredje kategorien er tilgangsbegrensninger, og de betyr mest når begrensningen er juridisk og ikke kommersiell. Strømmekataloger varierer fra land til land rett og slett fordi rettighetene ble solgt slik. Banker og offentlige tjenester avviser ofte forbindelser fra utlandet fullstendig. På regulerte områder som apotek, finanshandel og online casino er konsesjonene trukket opp langs landegrenser, slik at en aktør som opptrer fullt lovlig i én jurisdiksjon, likevel må avvise en bruker som ser ut til å befinne seg i en annen. Utfallet blir dårlig begge veier: en lovlig bruker blir feilaktig utestengt, mens en som ikke skulle hatt tilgang, av og til slipper gjennom.

Der det koster mer enn penger

Nødmeldingstjenesten er tilfellet som betyr mest, og det er lærerikt nettopp fordi bransjen for lenge siden konkluderte med at IP-data ikke holder mål. Ringer du et nødnummer fra mobil i Norge, sender telefonen selv en posisjon til operatøren, beregnet ut fra GNSS og målinger mot nettet rundt. Grunnen til den løsningen er enkel: posisjon på nettverksnivå har aldri vært nøyaktig nok når noen er i reell nød, i hvert fall ikke utenfor tettbygde strøk. Et system som bare kan plassere innringeren i det store og hele, er et system som sender helikopteret til feil dal.

Det samme problemet lå innbakt i Kansas-saken. Blant adressene som havnet på gården, var det noen som tilhørte folk som kontaktet hjelpetelefoner. For en organisasjon som prøver å nå fram til et menneske i krise, er en posisjon som er både presis og fullstendig feil, ingen liten teknisk glipp. Det betyr at noen ikke blir funnet.

Hva du faktisk kan gjøre

Første steg er å finne ut hva internett mener om deg. Flere aktører, deriblant MaxMind og IP2Location, har oppslagssider og skjemaer for retting, og står adressen din oppført i feil by eller feil land, kan du be om å få det korrigert. Det er den eneste måten å rette selve kilden på, i stedet for å omgå problemet, men vent deg ikke raske resultater. Kundene nedover i kjeden oppdaterer sine kopier når det passer dem, så spredningen tar tid.

Er problemet vedvarende og går ut over tjenester du er avhengig av, bør du kontakte internettleverandøren din. Feilen stammer ofte fra måten leverandøren har registrert eller omfordelt en blokk på, og det er bare de som kan rette det opp. Har du egne adresseblokker, er det verdt å sjekke hva de rapporterer. En feilmerket bedriftsblokk kan stille og rolig ødelegge både betalinger og tilgang for alle ansatte bak den.

Til daglig bruk er rådene snevrere enn mange tror. Skru av VPN før du logger inn i nettbanken eller betaler for noe, for et endepunkt i et annet land er nettopp det en svindelmotor er laget for å fange opp. Og når en tjeneste plasserer deg feil, bør du se det som en opplysning om tjenesten heller enn om deg selv.

Dette betyr ikke at IP-geolokasjon er verdiløs. Som grovt signal er den nyttig nok, og systemene som bruker den som ett av flere datapunkter, fungerer som de skal. Problemet ligger i et designvalg som kunne vært unngått: å oppgi et presist svar i stedet for å være ærlig om usikkerheten. En koordinat på en skjerm har en autoritet som "ukjent" aldri vil få, og den falske presisjonen er det som sendte fremmede til et gårdshus i Kansas i årevis.

📍 Sammendrag

IP-basert geolokasjon er en gjetning som ofte presenteres som fakta. Fra avviste betalinger til det berømte Kansas-tilfellet med MaxMind, viser artikkelen hvordan feilplassering kan koste penger og i verste fall liv, samt hva du kan gjøre for å rette opp feilen.

← Tilbake til artikler