آیا IP جرم را ثابت می‌کند؟ – بررسی انتساب جرم با IP و ادله دیجیتال

برای درک بهتر مسئلۀ انتساب جرم با IP، فرض کنید در جریان رسیدگی به یک پروندۀ جرایم رایانه‌ای، مشخص شده است که یک فعالیت مجرمانه در ساعت معینی از یک آدرس IP انجام شده و بررسی اطلاعات اشتراک نیز نشان می‌دهد آن IP در آن زمان به نام شخص «الف» بوده است.

آیا از همین اطلاعات می‌توان نتیجه گرفت که شخص «الف» مرتکب جرم شده است؟

پاسخ سؤال، به سادگی یک «بله» یا «خیر» نیست؛

آدرس IP می‌تواند یک دادۀ فنی مهم در تحقیقات سایبری باشد و حتی در کنار سایر اطلاعات، مسیر شناسایی یک کاربر یا مشترک را مشخص کند. اما میان شناسایی یک IP ، شناسایی مشترک، شناسایی کاربر یک اتصال و اثبات اینکه شخص معین رفتار مجرمانه را انجام داده است، تفاوت وجود دارد.

این تفاوت در پرونده‌های سایبری اهمیت ویژه‌ای پیدا می‌کند؛ زیرا یک اتصال اینترنتی ممکن است میان چند دستگاه و چند نفر مشترک باشد، یک IP عمومی ممکن است در ساختارهایی مانند NAT یا CGNAT میان کاربران متعددی به اشتراک گذاشته شود و در برخی موارد نیز شخصی غیر از صاحب اشتراک از شبکه استفاده کرده باشد.

بنابراین، پرسش اصلی در یک پروندۀ تخصصی صرفاً این نیست که «جرم از کدام IP انجام شده است؟»؛ بلکه باید چنین پرسید:

این IP در زمان مورد نظر در اختیار چه کسی بوده، چه کاربری از آن استفاده کرده، چه دستگاهی درگیر بوده و آیا مجموعه داده‌های موجود، رفتار مجرمانه را به شخص معین منتسب می‌کند یا خیر؟

در ادامه، این زنجیرۀ انتساب جرم با IP را از منظر فنی و حقوقی به‌صورت تخصصی بررسی می‌کنیم.

آیا IP به تنهایی می‌تواند هویت مجرم را مشخص کند؟

به‌طور معمول، نباید میان IP  و هویت انسانی علامت مساوی گذاشت.

آدرس IP اساساً یک شناسه در سطح شبکه است. این آدرس می‌تواند اطلاعات مهمی دربارۀ مبدأ یا مسیر یک ارتباط ارائه کند، اما فی‌نفسه نشانگر یک هویت مشخص و «نام شخص» نیست.

برای درک دقیق‌تر موضوع، بهتر است چند مفهوم از یکدیگر تفکیک شوند:

مرحله	پرسش اصلی
شناسایی IP	ارتباط موردنظر از چه IPای مشاهده شده است؟
شناسایی مشترک	آن IP در زمان موردنظر در اختیار چه مشترکی بوده است؟
شناسایی کاربر	چه شخص یا اشخاصی از آن اتصال استفاده می‌کرده‌اند؟
شناسایی دستگاه	کدام دستگاه یا سامانه در ارتباط نقش داشته است؟
انتساب رفتار	چه کسی رفتار مورد ادعا را انجام داده است؟
انتساب کیفری	آیا مجموعه ادله، انتساب جرم به شخص مشخص را اثبات یا برای مرجع قضایی احرازپذیر می‌کند؟

این مراحل ممکن است در یک پرونده به یک نتیجۀ واحد برسند، اما الزاماً یکی نیستند.

برای مثال، اگر یک IP خانگی به نام فردی ثبت شده باشد، این موضوع در وهلۀ اول می‌تواند ارتباط آن IP با اشتراک وی را نشان دهد؛ اما اگر چند عضو خانواده از همان اتصال استفاده کنند، هنوز باید مشخص شود رفتار مورد ادعا توسط کدام کاربر انجام شده است.

به همین دلیل، برای اثبات جرم با IP باید توجه داشت که «انتساب IP» و «انتساب جرم» دو مفهوم متفاوت‌اند.

IP دقیقاً چه چیزی را مشخص می‌کند؟

IP Address یا آدرس پروتکل اینترنت، یک شناسۀ عددی یا در IPv6 یک شناسۀ طولانی‌تر برای شناسایی یک رابط شبکه در ارتباطات IP است.

در مباحث فنی پرونده‌های سایبری، چند نوع IP اهمیت بیشتری دارند که حائز توجه است:

IP عمومی (Public IP)

IP عمومی آدرسی است که در ارتباط با اینترنت عمومی مشاهده می‌شود. یک وب‌سایت، سرویس آنلاین یا سامانۀ مقصد ممکن است این آدرس را به‌عنوان مبدأ اتصال مشاهده کند.

اما مشاهدۀ یک Public IP لزوماً به این معنا نیست که همان IP مستقیماً متعلق به یک دستگاه خاص و منحصربه‌فرد بوده است.

IP خصوصی (Private IP)

در بسیاری از شبکه‌های خانگی و سازمانی، دستگاه‌های داخل شبکه از IPهای خصوصی استفاده می‌کنند. این آدرس‌ها مستقیماً معادل آدرس قابل مشاهده در اینترنت نیستند.

برای نمونه، تلفن همراه، لپ‌تاپ و تلویزیون هوشمند یک خانه می‌توانند هرکدام IP خصوصی جداگانه‌ای داشته باشند، اما هنگام ارتباط با اینترنت از طریق یک روتر، بیرون از شبکه ممکن است یک Public IP مشترک دیده شود.

IP ثابت (Static IP)

در برخی سرویس‌ها نیز، یک IP برای مدت‌زمانی طولانی یا به‌صورت اختصاصی به یک مشترک اختصاص داده می‌شود.

ثابت بودن IP می‌تواند ارتباط فنی را ساده‌تر کند، اما حتی در این حالت نیز باید میان دارنده سرویس و شخص استفاده‌کننده از سرویس تفکیک قائل شد.

IP پویا (Dynamic IP)

در سرویس‌های دارای IP پویا، یک آدرس ممکن است در زمان‌های مختلف به مشترکان متفاوت اختصاص پیدا کند. بنابراین زمان دقیق مشاهدۀ  IP  اهمیت زیادی دارد.

قانون جرایم رایانه‌ای نیز در تعریف داده‌های ترافیک، اطلاعاتی مانند مبدأ، مسیر، تاریخ، زمان، مدت و حجم ارتباط را مورد توجه قرار داده و «IP» را نیز در تعریف اطلاعات کاربر ذکر کرده است.

پس حتی در سطح قانونی نیز IP را نباید بدون توجه به زمان و سایر داده‌های مرتبط به‌صورت یک شناسۀ مستقل و مطلق تفسیر کرد.

چرا صاحب IP الزاماً مرتکب جرم نیست؟

یکی از رایج‌ترین اشتباهات در پرونده‌های سایبری این است که «صاحب اینترنت» با «کاربر مرتکب رفتار» یکی فرض شود.

چنین فرضی ممکن است در بعضی پرونده‌ها با واقعیت منطبق باشد، اما از نظر فنی نتیجه‌ای نیست که صرفاً از روی نام صاحب اشتراک بتوان به آن رسید.

این چند وضعیت را در نظر بگیرید:

۱. چند کاربر در یک خانه

ممکن است یک اشتراک اینترنت به نام یک نفر باشد، اما اعضای مختلف خانواده از همان شبکه استفاده کنند.

اگر فعالیت مورد ادعا از آن اتصال مشاهده شده باشد، IP می‌تواند مسیر تحقیقات را به اشتراک مشخصی برساند؛ اما برای انتساب رفتار به یک فرد خاص، اطلاعات بیشتری مورد نیاز است.

۲. شبکه شرکت یا سازمان

در یک شرکت، ده‌ها یا حتی صدها کاربر ممکن است از طریق زیرساخت مشترک به اینترنت متصل شوند.

در چنین وضعیتی، یک IP عمومی خارجی ممکن است فقط مبدأ کلی سازمان را نشان دهد، نه کارمند یا دستگاه مشخصی را که در لحظۀ وقوع رفتار از اتصال استفاده کرده است.

3. Wi-Fi مشترک

در حالت استفاده از وای فای مشترک، ممکن است در یک خانه، دفتر، خوابگاه یا محیط عمومی، چندین دستگاه از یک Wi-Fi استفاده کنند.

در نتیجه، مشاهدۀ یک IP مشترک در سمت سرویس مقصد، لزوماً مشخص نمی‌کند کدام دستگاه و کدام کاربر مسئول رفتار مورد ادعا بوده است.

۴. استفاده شخص دیگری از اتصال

دارندۀ اشتراک ممکن است رمز Wi-Fi را در اختیار فرد دیگری قرار داده باشد یا شخص دیگری با مجوز یا بدون مجوز به شبکه دسترسی مجاز یا غیرمجاز پیدا کرده باشد.

در این وضعیت نیز صرف ارتباط IP با اشتراک، پاسخی دقیق به پرسش «چه کسی رفتار را انجام داده؟» نخواهد بود.

۵. دستگاه آلوده یا دسترسی غیرمجاز

در برخی پرونده‌ها باید احتمال آلوده شدن دستگاه، سوءاستفاده از حساب کاربری یا هک و دسترسی غیرمجاز را نیز بررسی کرد.

این موارد به‌خودی‌خود بی‌گناهی یا مسئولیت شخص را اثبات نمی‌کنند؛ بلکه نشان می‌دهند چرا تحلیل فنی دستگاه و سایر ادله می‌تواند در کنار اطلاعات IP برای شناسایی مرتکب جرم اهمیت داشته باشد.

NAT و CGNAT چه تأثیری بر شناسایی کاربر دارند؟

NAT (ترجمه آدرس شبکه) روشی است که برای مدیریت محدودیت آدرس‌های IPv4 و امکان استفاده چند دستگاه از یک IP عمومی به وجود آمد؛ در این روش، دستگاه‌های یک شبکه داخلی می‌توانند با آدرس‌های خصوصی به شبکه متصل شوند و روتر، ارتباط آن‌ها را با یک IP عمومی برقرار می‌کند.

با گسترش اینترنت و افزایش تعداد کاربران، همین راهکار در مقیاس اپراتورها توسعه پیدا کرد و CGNAT (ترجمه آدرس شبکه در مقیاس اپراتور) شکل گرفت؛ به این ترتیب، تعداد زیادی از مشترکان یک ارائه‌دهنده اینترنت می‌توانند به‌صورت هم‌زمان از یک IP عمومی مشترک استفاده کنند.

چرا NAT و CGNAT ایجاد شدند؟

دلیل اصلی ایجاد NAT و سپس CGNAT، محدود بودن تعداد آدرس‌های IPv4 بود. با گسترش اینترنت، تعداد دستگاه‌ها و کاربران به‌سرعت افزایش یافت و اختصاص یک IP عمومی مجزا به هر دستگاه یا مشترک، عملاً با محدودیت جدی مواجه شد. NAT این امکان را فراهم کرد که چند دستگاه در یک شبکۀ داخلی با استفاده از آدرس‌های خصوصی، از یک IP عمومی برای دسترسی به اینترنت استفاده کنند.

بعدها، با افزایش بیشتر تعداد مشترکان و کمبود شدید IPv4، اپراتورهای اینترنت از CGNAT استفاده کردند تا چندین مشترک نیز بتوانند یک IP عمومی را به‌صورت مشترک استفاده کنند. بنابراین، هدف اصلی این فناوری‌ها صرفه‌جویی و مدیریت مؤثر آدرس‌های IPv4 بود، نه ایجاد ابزاری برای ناشناس‌سازی کاربران.

بنابراین برای فهم دقیق اعتبار IP، آشنایی با NAT و به‌ویژه CGNAT ضروری است.

NAT چیست؟

NAT یا Network Address Translation سازوکاری است که در آن ترجمه میان آدرس‌های شبکه انجام می‌شود. در شبکه‌های خانگی، دستگاه‌های مختلف می‌توانند IP خصوصی داشته باشند و روتر، ارتباط آن‌ها را از طریق یک IP عمومی به اینترنت منتقل کند.

در نتیجه، چند دستگاه داخل یک شبکه می‌توانند در سمت اینترنت با یک IP عمومی مشاهده شوند.

بنابراین اگر یک سرویس اینترنتی فقط IP عمومی را ببیند، لزوماً نمی‌تواند از روی همان IP تشخیص دهد کدام دستگاه داخلی ارتباط را ایجاد کرده است.

CGNAT چیست؟

CGNAT یا Carrier-Grade NAT شکل گسترده‌تری از NAT است که در شبکۀ اپراتور یا ارائه‌دهندۀ خدمات اینترنتی انجام می‌شود.

در این ساختار، یک Public IPv4 می‌تواند میان چند مشترک به اشتراک گذاشته شود. استاندارد RFC 6888 توضیح می‌دهد که CGN برای اشتراک یک IPv4 عمومی میان چند مشترک طراحی شده است.

این موضوع برای تحقیقات سایبری بسیار مهم است.

فرض کنید یک سرویس آنلاین در ساعت ۱۰:۱۵ یک ارتباط را از IP عمومی مشخصی مشاهده کرده است. اگر آن IP در ساختار CGNAT میان تعداد زیادی مشترک مشترک باشد، صرف دانستن همان IP ممکن است برای تعیین مشترک خاص کافی نباشد.

در چنین شرایطی، اطلاعاتی مانند:

• آدرس IP عمومی؛
• شماره پورت مبدأ؛
• زمان دقیق ارتباط؛
• پروتکل ارتباطی؛
• اطلاعات مربوط به Session؛
• داده‌های نگهداری‌شده توسط اپراتور؛

می‌تواند در تفکیک کاربران نقش داشته باشد.

RFC 6888 نیز برای امکان شناسایی مشترک پشت CGN، به ارتباط میان external IP، external source port و timestamp اشاره می‌کند.

به همین دلیل است که در پرونده‌ای که CGNAT در آن دخیل است، عبارت سادۀ «این جرم از IP فلان انجام شده» ممکن است برای تحلیل فنی کافی نباشد.

چرا Port Number در برخی پرونده‌های IP اهمیت پیدا می‌کند؟

 Port Number یا شماره پورت را می‌توان به‌عنوان یکی از اطلاعات مهم در تفکیک ارتباطات شبکه در نظر گرفت.

وقتی چند مشترک از یک IP عمومی استفاده می‌کنند، سازوکار NAT باید ارتباطات آن‌ها را از یکدیگر تفکیک کند. در CGNAT نیز همین مسئله در مقیاس بزرگ‌تر وجود دارد.

به همین دلیل، در برخی معماری‌های CGN، برای بازسازی اینکه یک ارتباط مشخص متعلق به کدام مشترک بوده، اطلاعاتی مانند IP عمومی، پورت و زمان دقیق باید با لاگ‌های مربوط به ترجمه NAT تطبیق داده شود.

منابع تخصصی حوزۀ ادله الکترونیکی نیز به همین مسئله اشاره کرده‌اند: در محیط‌های CGN، برای تفکیک کاربر پشت یک IP عمومی، زمان دقیق و Source Port می‌تواند اهمیت تعیین‌کننده‌ای داشته باشد.

این البته بدان معنا نیست که در هر پرونده حتماً Port Number وجود دارد یا همیشه تنها راه شناسایی کاربر است. نوع شبکه، معماری سرویس، نحوۀ ثبت لاگ‌ها و داده‌های موجود در پرونده تعیین می‌کند چه اطلاعاتی قابل استفاده و ضروری است.

آیا VPN و Proxy مانع شناسایی مجرم می‌شوند؟

خیر؛ اما برعکس آن نیز نباید دربارۀ وی‌پی‌ان و پروکسی ادعا کرد که استفاده از VPN یا Proxy همیشه بی‌اثر است.

VPN و Proxy می‌توانند باعث شوند سرویسی که در مقصد ارتباط را مشاهده می‌کند، IP واسطه را به جای IP واقعی کاربر ببیند.

در چنین شرایطی، تحلیلگر دیگر صرفاً با یک ارتباط مستقیم میان کاربر و سرویس مقصد مواجه نیست و باید معماری ارتباط و داده‌های موجود را بررسی کند.

اما وجود VPN یا Proxy به‌خودی‌خود:

• جرم را اثبات نمی‌کند؛
• بی‌گناهی شخص را اثبات نمی‌کند؛
• و الزاماً به معنای غیرممکن شدن شناسایی نیست.

در یک پروندۀ واقعی ممکن است داده‌های متعددی در نقاط مختلف زنجیرۀ ارتباط وجود داشته باشد. اینکه چه داده‌هایی قابل دسترسی باشد، به سرویس مورد استفاده، نحوۀ ثبت اطلاعات، زمان وقوع و وضعیت فنی سامانه‌ها بستگی دارد.

از سوی دیگر، نباید از این بحث به سمت ارائۀ روش‌های عملی برای مخفی کردن هویت یا دور زدن تحقیقات کیفری رفت. از منظر حقوقی، مسئلۀ مهم این است که IP مشاهده‌شده دقیقاً متعلق به کدام نقطه از زنجیرۀ ارتباط بوده و آیا سایر ادله می‌توانند رفتار را به شخص معین منتسب کنند یا خیر.

لاگ اینترنت چیست و چه نقشی در انتساب جرم با IP دارد؟

Log یا گزارش ثبت رویداد، داده‌ای است که سامانه‌ها در جریان فعالیت‌های خود تولید و ذخیره می‌کنند.

در پرونده‌های سایبری ممکن است انواع مختلفی از لاگ‌ها اهمیت پیدا کنند؛ برای مثال داده‌های مربوط به اتصال، زمان، IP، Session  یا سایر رویدادهای فنی.

در ماده 32 قانون جرایم رایانه‌ای، «داده ترافیک» نیز به داده‌هایی اطلاق شده که در زنجیرۀ ارتباطات رایانه‌ای و مخابراتی تولید می‌شوند و می‌توانند امکان ردیابی ارتباط را از مبدأ تا مقصد فراهم کنند. قانون نمونه‌هایی مانند مبدأ، مسیر، تاریخ، زمان، مدت و حجم ارتباط را ذکر کرده است.

ماده مذکور بیان می‌کند: «ارائه‌دهندگان خدمات دسترسی موظفند داده‌های ترافیک را حداقل تا شش ماه پس از ایجاد و اطلاعات کاربران را حداقل تا شش ماه پس از خاتمۀ اشتراک نگهداری کنند.»

همچنین در تبصره آمده که: «اطلاعات کاربر هرگونه اطلاعات راجع‌به کاربر خدمات دسترسی از قبیل نوع خدمات، امکانات فنی مورد استفاده و مدت‌زمان آن، هویت، آدرس جغرافیایی یا پستی یا پروتکل اینترنتی (IP)، شماره تلفن و سایر مشخصات فردی اوست.»

بااین‌همه، باید دانست که وجود یک لاگ به معنای اعتبار مطلق آن نیست.

دراین‌باره باید پرسید:

• داده دقیقاً از چه سامانه‌ای تولید شده است؟
• چه زمانی ثبت شده است؟
• آیا ساعت سامانه‌ها با یکدیگر هماهنگ بوده‌اند؟
• آیا داده کامل است یا بخشی از زنجیره ثبت در دسترس نیست؟
• آیا اطلاعات دچار تغییر شده است؟
• آیا می‌توان ارتباط آن را با رویداد مورد بررسی احراز کرد؟
• آیا داده موردنظر با سایر ادله پرونده سازگار است؟

در حوزۀ CGN نیز استانداردهای فنی بر اهمیت ثبت اطلاعاتی مانند پروتکل، شناسۀ مشترک، آدرس خارجی، پورت خارجی و برچسب زمانی یا Timestamp برای امکان بازسازی نگاشت ارتباط تأکید کرده‌اند.

بنابراین، لاگ یک قطعه از پازل انتساب جرم با IP است، نه لزوماً تکمیل پازل.

تفاوت انتساب IP با «انتساب جرم» چیست؟

این تفاوت، مرکز بحث اعتبار IP در پرونده‌های کیفری است.

ممکن است تحقیقات نشان دهد:

ارتباط موردنظر از IP شماره X  انجام شده است.

این یک گزارۀ فنی است.

سپس ممکن است مشخص شود:

IP  شمارۀ X در زمان موردنظر به اشتراک اینترنت شخص «الف» اختصاص داشته است.

این گزاره نیز یک نتیجۀ فنی یا مخابراتی دربارۀ رابطۀ IP و اشتراک است.

اما هنوز یک سؤال مهم باقی می‌ماند:

آیا شخص «الف» همان فردی بوده که رفتار مورد ادعا را انجام داده است؟

و حتی پس از آن باید پرسید:

آیا رفتار انجام‌شده همان رفتار مجرمانه‌ای است که در پرونده به متهم منتسب شده و آیا مجموعه ادله برای انتساب کیفری آن کافی است؟

این همان جایی است که انتساب فنی باید از انتساب کیفری تفکیک شود.

به جدول زیر دقت کنید:

مرحله	آنچه باید مشخص شود:
شناسایی IP	ارتباط از چه IPای مشاهده شده است؟
شناسایی مشترک	IP  در زمان موردنظر در اختیار چه مشترکی بوده است؟
شناسایی کاربر	چه کسی از آن اتصال استفاده می‌کرده است؟
انتساب رفتار	چه کسی رفتار مورد ادعا را انجام داده است؟
انتساب کیفری	آیا مجموعه ادله، انتساب جرم به شخص مشخص را اثبات می‌کند؟

در یک پروندۀ قوی، این زنجیره می‌تواند به هم متصل شود؛ اما نباید بدون بررسی مراحل میانی، مرحلۀ اول را مستقیماً معادل مرحلۀ آخر دانست!

آیا IP در دادگاه دلیل محسوب می‌شود؟

پاسخ صحیح این نیست که «IP هیچ ارزش قانونی‌ای ندارد.»

از طرف دیگر، نمی‌توان گفت که «هر IP شناسایی‌شده به‌تنهایی جرم را ثابت می‌کند.»

قانون آیین دادرسی کیفری در بخش ادله الکترونیکی تصریح کرده است که داده‌های رایانه‌ای، در صورتی که سامانۀ مربوطه به نحو صحیح عمل کند و شرایطی مانند صحت، تمامیت، اعتبار و انکارناپذیری داده خدشه‌دار نشده باشد، قابل استناد هستند. ماده ۶۸۵ قانون آیین دادرسی کیفری در همین چارچوب قرار دارد.

از سوی دیگر، در نظام ادله کیفری ایران، موضوع فقط وجود یک دادۀ منفرد نیست. ماده ۲۱۱ قانون مجازات اسلامی، علم قاضی را یقین حاصل از مستندات بیّن می‌داند و در تبصره، مواردی مانند نظریه کارشناس، تحقیقات محلی، گزارش ضابطان و سایر قرائن و امارات نوعاً علم‌آور را از جمله مستندات ممکن برای آن برمی‌شمارد.

بنابراین در یک پروندۀ سایبری، آدرسIP  ممکن است داده یا قرینه فنی مهمی باشد، اما ارزش آن باید در ارتباط با سایر عناصر پرونده بررسی شود.

برای مثال، اگر IP با زمان وقوع جرم، اطلاعات اشتراک، داده‌های دستگاه، حساب کاربری، محتوای ارتباطات و سایر شواهد فنی و غیرفنی هماهنگ باشد، ارزش انتسابی آن می‌تواند بسیار متفاوت از حالتی باشد که تنها یک IP بدون اطلاعات تکمیلی در پرونده وجود دارد.

پلیس فتا چگونه ممکن است یک IP را در پرونده بررسی کند؟

فرایند بررسی IP در پرونده‌های واقعی بسته به نوع جرم، سرویس مورد استفاده، داده‌های موجود و دستورات قضایی متفاوت است؛ بنابراین نمی‌توان یک فرایند واحد را برای همۀ پرونده‌ها قطعی دانست.

بااین‌حال، در سطح مفهومی می‌توان مسیر بررسی را چنین تصور کرد:

شناسایی IP؛

تعیین زمان ارتباط؛

بررسی داده‌های مربوط به اتصال؛

بررسی اطلاعات مشترک؛

بررسی ساختار شبکه و NAT/CGNAT در صورت وجود؛

تطبیق با سایر ادله؛

کارشناسی فنی؛

ارزیابی انتساب جرم با IP.

قانون نیز سازوکارهای خاصی برای نگهداری، ارائه و بررسی داده‌های رایانه‌ای پیش‌بینی کرده است. برای نمونه، ماده ۳۲ قانون جرایم رایانه‌ای ارائه‌دهندگان خدمات دسترسی را مکلف به نگهداری برخی داده‌های ترافیک و اطلاعات کاربران در مواعد مقرر (حداقل شش ماه) کرده و ماده ۳۵ امکان دستور قضایی برای ارائه داده‌های حفاظت‌شده را پیش‌بینی کرده است.

همچنین تفتیش و توقیف داده‌ها و سامانه‌های رایانه‌ای در چارچوب مقررات قانونی و با شرایط مقرر انجام می‌شود.

بنابراین، ذوشن است که بررسی IP را باید بخشی از یک تحقیق چندلایه دیجیتال دانست، نه یک جست‌وجوی آسان و ساده برای پیدا کردن نام صاحب اتصال و انتساب جرم به او!

IP چه چیزی را به تنهایی ثابت نمی‌کند؟

برای جلوگیری از سوءبرداشت، می‌توان موضوع را بسیار روشن بیان کرد.

IP  به تنهایی الزاماً ثابت نمی‌کند که:

• چه شخصی پشت دستگاه بوده است؛
• چه کسی شخصاً رفتار مورد ادعا را انجام داده است؛
• صاحب اشتراک اینترنت همان کاربر لحظه وقوع جرم بوده است؛
• همۀ فعالیت‌های انجام‌شده از یک شبکه توسط یک شخص انجام شده است؛
• یک IP عمومی حتماً متعلق به یک کاربر منفرد بوده است؛
• هر ارتباطی که از یک IP دیده شده، مستقیماً از دستگاه شخص مورد تحقیق صادر شده است.

در مقابل، این نکته نیز به همان اندازه مهم است:

نباید از این گزاره نتیجه گرفت که IP بی‌ارزش یا غیرقابل استناد است!

اگر IP با زمان دقیق، داده‌های اپراتور، اطلاعات حساب کاربری، داده‌های دستگاه، گزارش کارشناسی و سایر شواهد پرونده هم‌‎خوانی داشته باشد، می‌تواند در شکل‌گیری زنجیرۀ انتساب جرم با IP نقش مؤثر و قابل توجهی پیدا کند.

مسئلۀ اصلی، کیفیت ارتباط میان داده فنی و رفتار منتسب به متهم است.

یک مثال فرضی؛ وقتی IP به نام متهم است اما انتساب جرم با IP محل تردید است!

فرض کنیم یک حساب کاربری در ساعت ۲۱:۱۳ مرتکب رفتار مجرمانه‌ای در یک سامانۀ آنلاین شده است.

سامانۀ مقصد، آدرس IP عمومی مشخصی را برای آن فعالیت ثبت کرده است.

در مرحلۀ بعد مشخص می‌شود IP در آن ساعت به اشتراک اینترنتی شخص «الف» مربوط بوده است.

در نگاه اول، ممکن است چنین نتیجه‌ای شکل بگیرد:

IP متعلق به الف بوده، پس الف مرتکب جرم شده است.

اما تحلیل فنی باید چند سؤال دیگر را بررسی کند:

سؤال اول: آیا IP در آن زمان اختصاصی بوده است؟

اگر IP پویا باشد، زمان دقیق اختصاص آن اهمیت دارد.

اگر IP در ساختار CGNAT استفاده شده باشد، ممکن است چند مشترک از همان IP عمومی استفاده کرده باشند و اطلاعات دقیق‌تر، از جمله Port و Timestamp، برای تفکیک ضروری باشد.

سؤال دوم: چه کسانی به شبکه دسترسی داشته‌اند؟

اگر اشتراک متعلق به «الف» باشد اما اعضای خانواده یا کارکنان یک مجموعه نیز از آن استفاده کنند، رابطۀ میان اشتراک و شخص مرتکب همچنان نیازمند بررسی است.

سؤال سوم: آیا دستگاه مشخصی قابل شناسایی است؟

اگر داده‌های فنی بتوانند ارتباط را با یک دستگاه یا حساب کاربری مشخص مرتبط کنند، زنجیرۀ انتساب جرم با IP یک مرحله جلوتر می‌رود.

سؤال چهارم: آیا داده‌های دیگر با این نتیجه سازگارند؟

برای مثال، اطلاعات حساب کاربری، داده‌های ذخیره‌شده روی دستگاه، زمان فعالیت، گزارش کارشناسی و سایر قرائن ممکن است در ارزیابی نهایی مؤثر باشند.

در نتیجه، در این مثال باید دو ستون از یکدیگر جدا شوند:

چه چیزی ثابت شده؟

• فعالیت موردنظر از یک IP مشخص مشاهده شده است.
• IP در زمان مشخص با یک اتصال یا مشترک مشخص مرتبط بوده است.

چه چیزی هنوز باید بررسی شود؟

• چه شخصی از اتصال استفاده کرده است؟
• چه دستگاهی درگیر بوده است؟
• چه کسی رفتار مورد ادعا را انجام داده است؟
• آیا داده‌های موجود از نظر فنی اصیل و تمام هستند؟
• آیا مجموعه ادله برای انتساب کیفری به شخص معین کفایت دارد؟

این تفاوت، همان فاصله‌ای است که میان ردیابی فنی یک ارتباط و اثبات مسئولیت کیفری یک انسان وجود دارد.

اعتبار IP در پرونده‌های جرایم رایانه‌ای به چه عواملی بستگی دارد؟

برای ارزیابی ارزش انتسابی یک IP، بهتر است به‌جای پرسش‌های ساده‌انگارانه‌ای چون«IP معتبر است یا نه؟»، چند پرسش دقیق‌تر مطرح شود:

۱. منشأ داده مشخص است؟

باید مشخص باشد IP از چه سامانه یا سرویسی استخراج شده است.

۲ .زمان ثبت دقیق است؟

در پرونده‌های مربوط به IP پویا یاCGNAT، زمان می‌تواند اهمیت اساسی داشته باشد.

۳. معماری شبکه مشخص است؟

باید دانست ارتباط مستقیم بوده یا از NAT، CGNAT ،Proxy یا VPN عبور کرده است.

۴. داده‌های لازم برای تفکیک کاربران وجود دارد؟

در برخی ساختارها ممکن است IP عمومی به‌تنهایی کافی نباشد و اطلاعات تکمیلی دیگری برای تفکیک کاربران مختلف مورد نیاز باشد.

۵ .تمامیت و اصالت داده قابل بررسی است؟

قانون آیین دادرسی کیفری برای قابلیت استناد داده‌های رایانه‌ای، شرایطی مانند صحت، تمامیت و اعتبار را مورد توجه قرار داده است.

۶ . داده با سایر ادله سازگار است؟

هرچه ارتباط میان داده‌های فنی مختلف و رفتار مورد ادعا منسجم‌تر باشد، تحلیل انتساب نیز می‌تواند دقیق‌تر شود.

به همین دلیل، اعتبار IP یک سؤال مطلق نیست؛ بلکه بخشی از ارزیابی مجموعه ادله پرونده است.

نقش کارشناسی ادله دیجیتال در تحلیل IP

در پرونده‌هایی که موضوع انتساب فنی پیچیده است، صرف خواندن یک گزارش IP ممکن است کافی نباشد.

کارشناسی ادله دیجیتال می‌تواند به پرسش‌هایی مانند این‌ها بپردازد:

• IP  ثبت‌شده مربوط به چه نوع اتصالی بوده است؟
• در زمان موردنظر چه نوع تخصیصی داشته است؟
• آیا NAT یا CGNAT در مسیر وجود داشته است؟
• آیا اطلاعات زمان و پورت برای تفکیک ارتباط‌ها کافی است؟
• داده‌های به‌دست‌آمده از چه سامانه‌ای استخراج شده‌اند؟
• آیا داده‌ها با یکدیگر سازگاری زمانی دارند؟
• آیا شواهد موجود می‌تواند یک ارتباط فنی را به یک دستگاه یا کاربر مشخص مرتبط کند و صحت آن را اثبات نماید؟
• آیا میان «دارندۀ اتصال» و «کاربر انجام‌دهندۀ رفتار» تفاوتی وجود دارد؟

این مرحله از آن جهت اهمیت دارد که ادله دیجیتال فقط مجموعه‌ای از اعداد و گزارش‌ها نیستند؛ بلکه ارتباط میان این داده‌هاست که می‌تواند ارزش تحلیلی ایجاد کند.

زنجیره ادله؛ چرا IP نباید جدا از سایر داده‌ها بررسی شود؟

در پرونده‌های سایبری معمولاً با یک دادۀ منفرد مواجه نیستیم.

ممکن است مجموعه‌ای پیچیده و چندلایه از داده‌ها وجود داشته باشد:

آدرس IP + زمان + اطلاعات اشتراک + لاگ + حساب کاربری + دستگاه + داده ذخیره‌شده + گزارش کارشناسی + سایر قرائن

ارزش انتسابی پرونده زمانی بهتر قابل ارزیابی است که این داده‌ها در کنار یکدیگر بررسی و تحلیل و سنجیده شوند.

این موضوع با مفهوم زنجیره ادله دیجیتال نیز ارتباط دارد. اگر یک داده بدون بررسی منشأ، نحوه استخراج، تمامیت و ارتباط آن با رویداد موردنظر ارائه شود، تحلیل آن ممکن است ناقص باشد.

از سوی دیگر، قانون آیین دادرسی کیفری در حوزه ادله الکترونیکی، صحت و تمامیت داده و عملکرد صحیح سامانه را مورد توجه قرار داده است.

پس پرسش تخصصی این نیست که:

«آیا IP وجود دارد؟»

بلکه سؤال فنی دقیق‌تر این است:

«این IP در چه شرایطی ثبت شده، به چه چیزی منتسب است و چگونه در کنار سایر ادله می‌تواند یا نمی‌تواند رفتار مجرمانه را به شخص مشخصی منتسب کند؟»

آیا صاحب اینترنت مسئول جرمی است که با IP او انجام شده است؟

صرف اینکه یک اشتراک اینترنت به نام شخصی ثبت شده باشد، پاسخ نهایی به مسئولیت کیفری او نیست.

ممکن است دارندۀ اشتراک همان شخص استفاده‌کننده و مرتکب باشد؛ اما ممکن است افراد دیگری نیز به اتصال دسترسی داشته باشند.

بنابراین در چنین پرونده‌ای، دارندۀ اشتراک باید میان دو موضوع تفکیک قائل شود:

مالکیت یا اشتراک سرویس اینترنت

در برابر

انتساب رفتار مجرمانه به شخص

این دو موضوع ممکن است در یک فرد جمع شوند، اما از نظر تحلیلی یکسان نیستند.

در نتیجه، اگر IP یک اشتراک در یک پرونده کیفری مطرح شده باشد، ارزیابی دقیق شرایط فنی اتصال، کاربران احتمالی، وضعیت دستگاه‌ها، داده‌های اپراتور و سایر ادله می‌تواند اهمیت زیادی داشته باشد.

آیا با IP می‌توان آدرس دقیق شخص را پیدا کرد؟

آدرس IP را نباید با مختصات جغرافیایی دقیق یا آدرس محل سکونت یکسان دانست.

اطلاعات مربوط به IP ممکن است برای شناسایی یک شبکه، ارائه‌دهندۀ خدمات یا مشترک مرتبط با آن در یک زمان مشخص مورد استفاده قرار گیرد؛ اما این موضوع با اینکه یک کاربر عادی بتواند صرفاً با مشاهدۀ IP، آدرس دقیق منزل شخص را به دست آورد، تفاوت اساسی دارد.

در پرونده‌های قضایی، اطلاعات مرتبط با مشترک و داده‌های ارتباطی از مسیرهای قانونی و در چارچوب تحقیقات قابل بررسی هستند.

فلذا اینکه گفته شود «IP قابل بررسی است» با جملۀ «هر فردی می‌تواند از روی IP آدرس دقیق شما را پیدا کند»، دو گزاره کاملاً متفاوت هستند.

جمع‌بندی: آیا انتساب جرم با IP امکان‌پذیر است؟

بله، IP می‌تواند در انتساب فنی یک رفتار سایبری نقش مهمی داشته باشد؛ اما میان شناسایی IP و اثبات ارتکاب جرم توسط یک شخص، چند مرحله فاصله وجود دارد.

یک IP ممکن است یک ارتباط را به یک شبکه یا مشترک مرتبط کند. در برخی موارد، داده‌های دقیق‌تر مانند زمان، Port، اطلاعات NAT یا CGNAT و لاگ‌های مرتبط می‌توانند به شناسایی دقیق‌تر مشترک کمک کنند. استانداردهای فنی نیز در ساختارهای CGN بر اهمیت تطبیق IP، پورت و زمان تأکید دارند.

از منظر حقوقی نیز داده‌های الکترونیکی در صورت برخورداری از شرایط قانونی می‌توانند قابل استناد باشند و در کنار نظریه کارشناسی، گزارش ضابطان و سایر قرائن و امارات، در شکل‌گیری علم قضایی نقش داشته باشند.

بنابراین دو گزاره را باید هم‌زمان در نظر داشت:

آدرس IP نه یک داده بی‌ارزش است و نه به‌تنهایی معادل هویت مجرم است.

اهمیت واقعی IP زمانی مشخص می‌شود که بتوان ارتباط آن را با زمان وقوع رفتار، ساختار شبکه، مشترک، کاربر، دستگاه و سایر ادله پرونده به شکل فنی و قابل دفاع تحلیل کرد.

به بیان دقیق‌تر، شناسایی مبدأ ارتباط با اثبات هویت مرتکب یکسان نیست؛ اما همین مبدأ ارتباط، اگر به‌درستی ثبت، حفظ، تحلیل و با سایر ادله تطبیق داده شود، می‌تواند یکی از اجزای مهم زنجیره انتساب جرم رایانه‌ای باشد.

اگر IP یا لاگ ارتباطی در یک پروندۀ کیفری علیه شخصی مورد استناد قرار گرفته باشد، مسئله فقط «صحت IP» نیست؛ بلکه باید کل زنجیرۀ فنی و حقوقی انتساب بررسی شود. در چنین شرایطی، بررسی موضوع توسط وکیل جرایم سایبری و متخصص ادله دیجیتال و در صورت ضرورت، ارزیابی کارشناسی داده‌های فنی، می‌تواند در تشخیص نقاط قوت و ضعف ادله پرونده مؤثر باشد.

پرسش‌های متداول درباره انتساب جرم با IP

آیا با IP می‌توان صاحب اینترنت را پیدا کرد؟

در بسیاری از موارد، IP  می‌تواند برای ارتباط دادن یک اتصال با ارائه‌دهندۀ خدمات یا مشترک مورد استفاده قرار گیرد؛ اما این موضوع به نوع  IP، زمان اتصال، معماری شبکه و داده‌های موجود بستگی دارد. در شبکه‌های CGNAT نیز ممکن است IP عمومی میان چند کاربر مشترک باشد و برای تفکیک آن‌ها به داده‌های تکمیلی نیاز باشد.

آیا IP برای اثبات جرم کافی است؟

صرف وجود IP را نباید در همۀ پرونده‌ها به معنای اثبات جرم دانست. IP می‌تواند یک داده یا قرینه فنی مهم باشد، اما ارزش اثباتی آن در ارتباط با سایر ادله، شرایط ثبت داده و نحوه انتساب رفتار به شخص ارزیابی می‌شود.

آیا پلیس فتا از روی IP می‌تواند مجرم را شناسایی کند؟

IP  می‌تواند یکی از نقاط آغاز تحقیقات باشد و در شرایط مناسب به شناسایی مشترک یا کاربر کمک کند؛ اما نتیجۀ نهایی به نوع شبکه، داده‌های موجود و سایر ادله پرونده بستگی دارد.

اگر IP به نام من باشد، آیا من مجرم محسوب می‌شوم؟

خیر، صرف تعلق یک اشتراک یا IP به شخص، به‌تنهایی مساوی با اثبات ارتکاب جرم توسط همان شخص نیست. باید مشخص شود چه کسی از اتصال استفاده کرده و مجموعه ادله چه نسبتی میان رفتار مجرمانه و شخص موردنظر برقرار می‌کند.

آیا VPN باعث می‌شود IP قابل شناسایی نباشد؟

VPN می‌تواند IP مشاهده‌شده در مقصد را تغییر دهد، اما این به معنای غیرممکن شدن شناسایی نیست. نحوه ارتباط، داده‌های موجود در سرویس‌های مختلف و سایر ادله باید مورد بررسی قرار گیرد.

CGNAT چیست و چه ارتباطی با شناسایی IP دارد؟

CGNAT سازوکاری در شبکۀ ارائه‌دهندۀ خدمات است که امکان اشتراک یک IPv4 عمومی میان چند مشترک را فراهم می‌کند. در چنین ساختاری، IP عمومی به تنهایی ممکن است برای تفکیک مشترکان کافی نباشد و اطلاعاتی مانند زمان و Source Port اهمیت پیدا کند.

آیا IP در دادگاه قابل استناد است؟

داده‌های رایانه‌ای در صورت رعایت شرایط قانونی مربوط به صحت، تمامیت، اعتبار و انکارناپذیری می‌توانند قابل استناد باشند. بنابراین پاسخ سؤال مطرح‌شده، «بله، در هر شرایطی میسر است» یا «خیر، هیچ‌گاه ممکن نیست»، نخواهد بود و باید وضعیت داده و نحوۀ به دست آوردن و ارتباط آن با پرونده بررسی شود.

آیا می‌توان با IP آدرس دقیق شخص را پیدا کرد؟

IP  به‌خودی‌خود معادل آدرس دقیق جغرافیایی شخص نیست. ممکن است اطلاعات IP در فرایند قانونی تحقیقات برای شناسایی مشترک یا ارتباط موردنظر استفاده شود، اما مشاهدۀ یک IP توسط افراد عادی به معنای دسترسی مستقیم به آدرس دقیق صاحب آن نیست.

آیا صاحب Wi-Fi مسئول جرمی است که از اینترنت او انجام شده است؟

صرف دارنده بودن اشتراک اینترنت، به‌تنهایی پاسخ نهایی دربارۀ مسئولیت کیفری نیست. باید مشخص شود چه شخصی از اتصال استفاده کرده و سایر ادله چه چیزی را دربارۀ انتساب رفتار نشان می‌دهند.

با توجه به آنچه در این مقاله بیان شد، اگر در یک پروندۀ جرایم سایبری و رایانه‌ای، IP، گزارش اپراتور، لاگ اتصال یا سایر داده‌های دیجیتال به عنوان مستند اتهام مطرح شده است، باید بدانید که صرف مشاهدۀ نام یک مشترک یا یک آدرس IP برای تحلیل دقیق پرونده کافی نیست! بلکه نوع اتصال، زمان ارتباط، ساختار شبکه، داده‌های فنی مختلف و ارتباط آن‌ها با سایر ادله باید به‌صورت یکپارچه بررسی شود.

در چنین پرونده‌هایی، مشاوره با وکیل متخصص ادله دیجیتال می‌تواند به ارزیابی دقیق‌تر مبنای فنی انتساب جرم با IP و ابعاد حقوقی انتساب اتهام کمک کند.