Wat je elke dag op het internet verraadt

Begin jaren 2010 was een van de meest gehoorde dreigementen op fora kort en krachtig: ‘ik ga je IP-adres vinden’. Het klonk geloofwaardig omdat het IP-adres toen bijna het enige soort digitaal spoor was dat het grote publiek kende. In werkelijkheid is de informatie waarmee een persoon kan worden geïdentificeerd veel uitgebreider, en de hoeveelheid ervan is blijven groeien.

Een groot deel van die sporen ontstaat bij volkomen gewone handelingen. Een app openen, een pagina bekijken, een abonnement betalen, een foto nemen, je met een telefoon verplaatsen of een document opslaan volstaat om gegevens te produceren. Dit artikel wil geen recept geven om te verdwijnen, maar tonen hoe breed het geheel aan informatie is waarmee iemand herkenbaar wordt: van de meest voor de hand liggende identificatoren tot signalen die we bijna nooit zien.

Een digitaal spoor is meer dan wat je publiceert

Een digitaal spoor is alle informatie die achterblijft na een handeling in een digitale omgeving en die iets over een persoon kan onthullen. Het omvat vrijwillige publicaties — berichten, foto's, reacties, formulieren en profielen — maar ook gegevens die automatisch worden geregistreerd door websites, apps, telecomoperatoren, banken, leveringsdiensten, betaalsystemen, camera's en de telefoon die we op zak hebben.

Bijna elke interactie met een digitaal systeem laat dus ergens een registratie achter. Sommige gegevens leiden rechtstreeks naar een persoon: een identiteitsdocument, een telefoonnummer, een betaalmiddel of biometrische gegevens. Andere onthullen niet meteen een naam, maar beperken het aantal mogelijke personen sterk.

Het model van een telefoon, de technische instellingen ervan of de metadata van een bestand zeggen niet noodzakelijk wie achter het scherm zit. Ze maken het wel mogelijk niet langer naar een abstracte gebruiker te zoeken, maar naar een persoon met een bepaald toestel, op een bepaalde plaats en op een bepaald tijdstip. Wanneer meerdere aanwijzingen van dat type met elkaar worden verbonden, kunnen ze volstaan om een identiteit te onthullen.

Meerdere zwakke aanwijzingen kunnen een sterk bewijs vormen

Een aanwijzing op zich is vaak banaal. Haarkleur, een snor, een pak, een publieke functie of een taalgewoonte kunnen op veel mensen van toepassing zijn. Samengebracht en aan één persoon toegeschreven, wijzen die elementen soms meteen één bepaald individu aan.

Digitale sporen volgen hetzelfde principe. Eén gegeven lijkt onbeduidend. Een reeks overeenstemmende gegevens vormt een profiel. Anonimiteit verdwijnt niet altijd door een spectaculaire onthulling: ze kan geleidelijk oplossen wanneer fragmenten van verschillende diensten met elkaar in verband worden gebracht.

Directe identificatoren

De eerste categorie omvat gegevens die rechtstreeks naar een persoon verwijzen: gegevens van een paspoort of identiteitskaart, rijksregisternummer, woonadres, telefoonnummer, bankgegevens en betaalgegevens.

Biometrische gegevens vormen een groep apart. Het gezicht, de stem, vingerafdrukken, handschrift en andere fysieke kenmerken kunnen dienen om een persoon te herkennen. Wanneer een dienst ze gebruikt bij registratie of verificatie, ontstaat er een rechtstreekse band tussen de account en de burgerlijke identiteit.

Een geverifieerde account, een geregistreerde simkaart, een bankrekening of een persoonlijke overheidsomgeving zijn zo duurzaam aan hun houder gekoppeld. Die band kan zich vervolgens verspreiden. Een account die als anoniem wordt voorgesteld, is dat niet meer zodra een abonnement wordt betaald met een persoonlijke bankkaart: de account leidt naar de betaling, de betaling naar de bankrekening en de bankrekening naar de houder.

De gebruikte dienst ziet niet noodzakelijk elke schakel. De keten kan toch worden gereconstrueerd na een wettelijk gefundeerd verzoek van de overheid, een onderzoek of een datalek. Hetzelfde gebeurt met een e-mailadres dat zowel voor een officiële procedure als voor andere inschrijvingen wordt gebruikt, met een berichtenapp die aan een persoonlijk nummer is gekoppeld of met een winkelaccount die aan een betaalkaart is verbonden.

Die informatie hoort bij de actieve kant van het digitale spoor: ze komt voort uit gegevens die de gebruiker zelf kiest door te geven. Een tweede, passief deel ontstaat automatisch en vaak zonder afzonderlijke handeling van zijn kant.

Het IP-adres: nuttig, maar zelden voldoende op zichzelf

Het IP-adres is het adres van waaruit een toestel of netwerk toegang heeft tot het internet. De gecontacteerde website of dienst ontvangt het noodzakelijkerwijs op het moment van de verbinding, tenzij een technische tussenschakel het oorspronkelijke adres verbergt.

Voor een buitenstaander geeft een IP-adres doorgaans een land, een benaderende regio en een internetprovider aan. Het geeft niet systematisch een naam of de precieze locatie van een woning. De operator kan daarentegen de informatie bewaren waarmee een toegewezen adres gedurende een bepaalde periode aan een abonnement kan worden gekoppeld. Binnen het toepasselijke juridische kader kunnen de bevoegde autoriteiten die koppeling opvragen.

Het IP-adres is dus geen toverstaf, maar ook geen waardeloos gegeven. De waarde ervan hangt af van wie het waarneemt, tot welke logs die persoon toegang heeft en of die het met andere elementen kan verbinden.

Ook de telefoon heeft eigen identificatoren

Een toestel met een mobiele module heeft onder meer een IMEI, een nummer dat het toestel op het mobiele netwerk identificeert. Wanneer de telefoon verbinding maakt, kan de operator die identificator zien en koppelen aan de gebruikte simkaart.

Van simkaart veranderen maar dezelfde telefoon houden, volstaat dus niet om eerdere banden te verbreken: het toestel blijft herkenbaar aan zijn IMEI. Het omgekeerde geldt ook. Een oude simkaart in een nieuw toestel legt een verband tussen de abonnee en dat nieuwe toestel. Wat een willekeurige telefoon leek, wordt geleidelijk ‘die telefoon, gebruikt door die persoon’.

Verplaatsingen tekenen een gedragsprofiel

Geolocatie kan afkomstig zijn van gps wanneer de gebruiker een app daarvoor toestemming heeft gegeven. Ze kan ook worden geschat op basis van wifinetwerken, bluetooth of de zendmasten waarmee een telefoon verbinding maakt. Om de mobiele dienst te leveren, kent de operator noodzakelijkerwijs de netwerkcellen die het toestel gebruikt.

Locatie lijkt vooral nuttig wanneer de persoon al geïdentificeerd is. Toch hebben verplaatsingen hun eigen regelmaat. Als een telefoon elke nacht meerdere uren op dezelfde plek blijft, is dat punt waarschijnlijk de woning. Als hij bijna elke werkdag naar een ander adres gaat, kan dat de werk- of studieplek zijn. Cafés, winkels, sportzalen en woningen die regelmatig worden bezocht, vervolledigen het patroon.

Elk punt bevat weinig informatie. Samen vormen ze een kenmerkend traject. Zelfs na een nieuwe telefoon of simkaart maakt het feit dat je op dezelfde plek blijft slapen, dezelfde routes neemt en dezelfde plaatsen bezoekt het makkelijker om het oude profiel aan het nieuwe te koppelen.

Door tijdstippen, plaatsen en gewoonten te combineren, kan zo met grote waarschijnlijkheid worden ingeschat dat twee schijnbaar ongerelateerde toestellen aan dezelfde persoon toebehoren. Dat soort correlatie is allesbehalve theoretisch: het wordt gebruikt in reclame, mobiliteitsanalyse, fraudepreventie en bepaalde onderzoeken.

Trackers volgen je handelingen van pagina tot pagina

Veel websites bevatten meetscripts van externe bedrijven. Die registreren op welke knoppen wordt geklikt, hoelang een bezoek duurt, welke pagina's worden bekeken, waar een klik vandaan komt of welke stappen worden afgebroken. Die tools kunnen dienen voor interne analyse en voor de strijd tegen bots. Heel vaak voeden ze ook gerichte reclame.

Eenzelfde tracker die op meerdere websites is geïnstalleerd, kan een browser van het ene domein naar het andere volgen. Hij plaatst bijvoorbeeld een identificator in een cookie en leest die opnieuw wanneer de gebruiker op een andere pagina met hetzelfde component belandt. Een bedrijf dat niets met de bezochte site te maken heeft, kan zo een overkoepelende surfgeschiedenis opbouwen.

Cookies van derden blokkeren beperkt een deel van die verzameling, maar laat niet alle herkenningsmiddelen verdwijnen. Andere technieken steunen op de technische kenmerken van de browser en het toestel.

De vingerafdruk van de browser

Een website kan veel informatie verkrijgen of berekenen die nodig is om haar pagina's weer te geven en te laten werken: versie van het besturingssysteem en de browser, taal, tijdzone, schermafmetingen, beschikbare lettertypen, extensies of mogelijkheden van de browser, aantal processorkernen, grafische informatie, ondersteunde codecs en nog veel andere parameters.

Afzonderlijk lijken die elementen onschuldig. Hun combinatie verschilt echter van toestel tot toestel, zelfs tussen twee sterk gelijkende machines. De browser van een computer, telefoon, tablet of televisie vertoont zo een configuratie die zeldzaam genoeg kan worden om als vingerafdruk te dienen.

Die vingerafdruk bevat niet noodzakelijk een naam of adres. Hij maakt het in de eerste plaats mogelijk een browser van andere te onderscheiden, zonder aangemelde account en soms zonder cookie. Als dezelfde actor daarna een rechtstreeks identificerend gegeven verkrijgt, kan hij proberen de technische vingerafdruk aan een echte persoon te koppelen.

Met Cover Your Tracks van de Electronic Frontier Foundation en AmIUnique kun je zien welke kenmerken een browser prijsgeeft en inschatten hoe zeldzaam ze zijn. De test zelf houdt in dat die parameters worden doorgegeven aan de dienst die ze analyseert; het privacybeleid ervan verdient dus net zo goed een lezing als dat van elk ander meetinstrument.

Metadata die in bestanden verborgen zitten

Metadata zijn technische gegevens die in een bestand worden bewaard om het te beschrijven of om software in staat te stellen het te verwerken. Ze blijven bij dagelijks gebruik vaak onzichtbaar en vereisen soms een specifiek hulpmiddel om ze te bekijken.

Een foto kan EXIF-gegevens bevatten: merk en model van het toestel, datum en tijdstip van de opname, lensinstellingen en, als die optie actief is, geografische coördinaten. Sommige toestellen of programma's kunnen ook de naam van de auteur in het copyrightveld zetten. Een eenvoudige foto die naar iemand wordt gestuurd, kan dus tegelijk het gebruikte materiaal, het tijdstip, een locatie en soms een naam onthullen.

Kantoordocumenten, pdf-bestanden, presentaties en video's bevatten ook technische informatie: naam van de auteur, organisatie, gebruikte software, aanmaakdatum, wijzigingsgeschiedenis of het lokale pad van het bestand. Dergelijke details hebben al aangetoond dat beelden die als recent werden voorgesteld enkele dagen eerder waren voorbereid, of hebben de interne naam van een project onthuld via de map waarin het werd gemonteerd.

Een zwarte rechthoek wist niet altijd de inhoud van een pdf

Pdf-bestanden verdienen bijzondere aandacht. Ze kunnen opmerkingen, bijlagen, verborgen lagen, tussenversies, sporen van wijzigingen of tekst bevatten waarvan men dacht dat die was weggewerkt.

Een zin bedekken met een zwarte vorm garandeert niet dat hij verwijderd is. Als de oorspronkelijke tekst nog onder de rechthoek bestaat, kan hij soms worden geselecteerd, gekopieerd of geëxtraheerd. De lezer ziet een schijnbaar opgeschoonde versie, terwijl de informatie nog in de structuur van het document aanwezig is.

Ook je omgeving laat sporen over jou na

Niet alle sporen worden door de betrokkene zelf gemaakt. De sociale graaf — familie, vrienden, collega's, leden van een chatgroep en occasionele contacten — creëert verbanden die een nummer, een pseudoniem of een lidmaatschap kunnen onthullen.

Een telefoonnummer is misschien nooit door de eigenaar gepubliceerd en staat toch in het adresboek van tientallen mensen. Die adresboeken worden regelmatig gesynchroniseerd met berichtenapps, sociale netwerken en onlinediensten. Een lek, een slechte configuratie of een app voor nummerherkenning kan laten zien hoe andere gebruikers dat nummer hebben opgeslagen.

Relaties worden zo aanwijzingen. Een onbekende account deelt dezelfde contacten als een geïdentificeerd profiel, sluit zich aan bij dezelfde groepen en communiceert op dezelfde tijdstippen: elke koppeling verkleint de ruimte voor anonimiteit. Dat mechanisme kan dienen om een fraudeur of een verborgen account te identificeren, maar het kan evengoed iemand blootstellen die zelf niets openbaar had gemaakt.

Begrijpen in plaats van proberen te verdwijnen

Deze lijst blijft onvolledig. Digitalisering breidt sporen uit naar nieuwe ruimtes: een slimme speaker kan woorden verwerken die in een keuken worden uitgesproken; een voertuig registreert ritten; een badge houdt doorgangen bij; een camera legt een gezicht op straat vast; een huishoudtoestel noteert een gebruikstijdstip.

Volledig uit digitale systemen verdwijnen is uiterst moeilijk geworden, en de meeste mensen hebben dat ook niet nodig. Het blijft wel essentieel te begrijpen hoeveel informatie wordt verzameld en hoe ze met elkaar kan worden verbonden.

Het beslissende punt is niet altijd hoe gevoelig één gegeven op zich is. Het is het vermogen van een actor om fragmenten te verzamelen, ze lang genoeg te bewaren en ze samen te brengen. Een IP-adres, een tijdstip, een telefoon, een traject, een foto en enkele contacten lijken gewoon. Samen kunnen ze een leven vertellen met een precisie die de eigenaar nooit had willen publiceren.