الاعتراض القانوني لمزودي خدمات الإنترنت: ما يجب على مزودي خدمات الوصول عبر بروتوكول الإنترنت تنفيذه

بواسطة /
الاعتراض القانوني لمزودي خدمات الإنترنت: BNG/BRAS مع نقطة اعتراض مدمجة تُرسل X1 وX2 وX3 إلى وحدة الوساطة قبل CGNAT، وتسليم HI2 وHI3 إلى سلطات إنفاذ القانون

الاعتراض القانوني من قبل مزودي خدمات الإنترنت وهو التزام قانوني يقع على عاتق كل مزود يقدم خدمة الوصول العام إلى الإنترنت، سواء كان ذلك عبر خطوط DSL أو الكابلات أو الألياف الضوئية أو الشبكات اللاسلكية الثابتة أو بيانات الهاتف المحمول. وعندما تصدر محكمة أمرًا باعتراض اتصال أحد المشتركين، يتعين على مزود الخدمة تسليم نسخة كاملة من حركة مرور عنوان IP الخاص بذلك المشترك، إلى جانب البيانات الوصفية ذات الصلة، إلى وكالة إنفاذ القانون. ويجب عليه القيام بذلك دون تأخير وبأمان ودون أن يلاحظ المشترك ذلك.

بالنسبة لمزودي خدمات الوصول عبر بروتوكول الإنترنت، يبدو «التنصت القانوني» أبسط مما هو عليه في الواقع. فالعناوين الديناميكية لبروتوكول الإنترنت، وتقنية NAT على مستوى مزودي الخدمة، وتفويض بادئات IPv6، ونماذج الوصول بالجملة، والوصلات ذات السعة 10 أو 100 جيجابت، كلها عوامل تجعل من الصعب التقاط حركة المرور الصحيحة بشكل كامل ودون أي خسارة. يشرح هذا الدليل ما يتعين على مزودي خدمات الإنترنت تنفيذه، مع التركيز على ألمانيا ومعايير ETSI المستخدمة في جميع أنحاء أوروبا.

النقاط الرئيسية

  • يندرج كل مزود لخدمات الإنترنت العامة ضمن نطاق هذا القانون. وفي ألمانيا، يتمثل الأساس القانوني في المادة 170 من قانون الاتصالات (TKG), ، إلى جانب TKÜV والتوجيه الفني TR TKÜV. يمكن إعفاء الشبكات الصغيرة جدًّا من الالتزام بتوفير مرافق دائمة، لكن عليها مع ذلك تنفيذ الأوامر.
  • The target is usually identified by معرّفات المشتركين أو الخطوط (user name, line ID, MAC address, installation address, IMSI/MSISDN). A fixed IP address can also be ordered, but for dynamic addressing the interception system must follow the IP address the target currently holds.
  • إن نقطة الاعتراض يجب أن يكون موجودًا في مكان يمكن فيه تحديد هوية حركة مرور المشترك، وهو ما يعني عادةً قبل CGNAT، أو على جهاز BNG أو بوابة الحزم أو بجوارهما.
  • ويلي ذلك تسليم المهام ETSI TS 102 232-1 و-3 (الوصول إلى الإنترنت) أو -7 (الجوال)، مع ETSI TS 103 221 (X1/X2/X3) or a vendor LI interface between the network elements, the ADMF and the mediation function.
  • يتم استخدام البنية التحتية نفسها للرد على طلبات الحصول على بيانات المشتركين وحركة المرور (المادة 174 من قانون الاتصالات (TKG) وأحكام بيانات حركة المرور)، وستتأثر بالإجراء المخطط التجميد السريع و الاحتفاظ بعناوين IP القواعد.

من يتعين عليه توفير خدمة التنصت القانوني لمزودي خدمات الإنترنت؟

In Germany, § 170 TKG obliges anyone who operates a telecommunications system used for publicly available telecommunications services to keep interception facilities and organisational measures in place at their own cost. The duty to implement each order follows from § 100a(4) StPO and the corresponding provisions in other laws. Providers that do not operate their own facilities must use an operator that can implement orders on their behalf, and must notify the BNetzA. For internet access, this includes:

تُعفي TKÜV الأنظمة التي تحتوي على ما لا يزيد عن 10,000 مستخدم متصل من الاحتفاظ بمرافق اعتراض دائمة. ومع ذلك، لا يزال يتعين على مزودي الخدمة هؤلاء تنفيذ أي أمر يصدر إليهم، وعادةً ما يكون ذلك من خلال حل مؤقت مثل صندوق LI مؤقت. For public Wi-Fi access without user identifiers the threshold is 100,000 users (§ 3(2) No. 6 TKÜV). The 10,000-user exemption does not apply to network nodes that switch public voice traffic abroad (§ 3(2) sentence 2 TKÜV). Providers above the threshold must have their facilities in place when they start operations, submit their technical documentation to the الوكالة الفيدرالية للشبكات (BNetzA) وإثبات الامتثال في موافقة هيئة الاتصالات الألمانية (BNetzA) العملية.

البنية المرجعية: التنصت القانوني لمزودي خدمات الإنترنت

المكون الدور في شبكة مزود خدمة الإنترنت قياسي
ADMF / LIMS يتلقى الأوامر، ويدير الأهداف، ويتحكم في نقاط الاهتمام ETSI TS 103 221-1 (X1), or the router’s vendor tasking interface
IRI-POI يكتشف الجلسات المستهدفة: تسجيل الدخول، تخصيص عنوان IP، تسجيل الخروج أحداث AAA/RADIUS وDHCP وBNG
CC-POI ينسخ حزم البيانات الخاصة بالهدف Integrated in the BNG/BRAS or router (vendor LI function, e.g. SNMPv3 tasking and a UDP/GRE mirror stream, or ETSI TS 103 221-2 X3 where supported); optical TAP only as fallback
وظيفة الوساطة / التسليم تقوم بإعداد وتقديم ملفات IRI وCC ETSI TS 103 221-2 (X2/X3)، ETSI TS 102 232
تسليم الملف إلى هيئة إنفاذ القانون المحلية تم تسليم HI2 وHI3 بأمان ETSI TS 102 232-1 / -3 / -4 / -7، التشفير الوطني

لمعرفة كيف تترابط الأجزاء مع بعضها، انظر كيف تعمل وظيفة الوساطة و... منصة LI للوساطة.

الخطوة 1: تحديد الهدف بدقة

An internet access order usually names a subscriber or a line; a fixed IP address can also be ordered. The interception system must therefore:

  • اربط المعرّف المُرتب (رقم العميل، اسم المستخدم، معرّف الخط، MSISDN/IMSI) بـ معرّفات الشبكة يُستخدم في شبكة BNG أو بوابة الحزم.
  • شاهد أحداث الجلسة من سجلات المحاسبة الخاصة ببروتوكولي RADIUS أو Diameter (Acct-Start، Interim-Update، Acct-Stop)، وسجلات DHCP وBNG.
  • تتبع التغييرات في عناوين IP في الوقت الفعلي: عمليات إعادة الاتصال القسرية، وتغييرات مدة تأجير عناوين IPv4، وتفويض بادئات IPv6، وجلسات المكدس المزدوج.
  • ابدأ التسجيل عند اتصال الهدف، حتى لو تم تنشيط الأمر بينما كان الهدف غير متصل بالإنترنت.

يصبح كل واحد من هذه الأحداث سجل IRI (البداية، الاستمرار، النهاية) يتم تقديمها عبر HI2. للاطلاع على المعلومات الأساسية، انظر IRI مقابل CC.

الخطوة 2: جذب الزوار المناسبين في المكان المناسب

  • Native copy first: carrier-grade BNG/BRAS and routers can copy the target’s traffic themselves. Newer platforms support ETSI TS 103 221 (X1 tasking, X2/X3 delivery); many routers and BNGs still use a vendor LI interface, which the ADMF tasks and whose mirror stream the mediation function converts. Passive probes are only a fallback where this is not possible.
  • قبل CGNAT: عندما يتشارك العديد من المشتركين عنوان IP عامًا واحدًا، يصبح من غير الممكن فصل حركة مرورهم بشكل موثوق. يمكن إما تسجيل البيانات من جانب المشترك، أو إرسال تخطيط NAT (عنوان IP العام ومجموعة المنافذ) مع CC.
  • كل حركة المرور الواردة إلى الهدف: بروتوكولات IPv4 و IPv6 و TCP و UDP وغيرها، في كلا الاتجاهين، دون أي تصفية ما لم يحدد الأمر نطاقًا محددًا صراحةً.
  • لا تحدث أي خسارة عند السرعات العالية: يمكن لمشتركي خدمة FTTH توليد دفعات بيانات تصل إلى عدة جيجابت. ويجب تحديد سعة تدفقات X3 ومخازن التخزين المؤقتة للوساطة ووحدات الختم الزمني بناءً على معدلات الذروة، وليس على المتوسطات.
  • إلغاء التشفير الذي قمت بتعيينه بنفسك: إذا قام المزود نفسه بتطبيق التشفير أو الضغط في شبكة الوصول، فيجب أن تكون النسخة المُرسلة غير مشفرة. ولا يتأثر التشفير من طرف إلى طرف الذي يقوم به المستخدم.
  • التزامن الدقيق للوقت (NTP أو PTP) عبر نقاط الاهتمام (POIs) وAAA والوساطة، بحيث تتطابق IRI وCC.

الخطوة 3: التسليم الآمن إلى الوكالة

بالنسبة لخدمات الوصول إلى الإنترنت، يتم التسليم إلى الوكالة على النحو التالي: ETSI TS 102 232-3, ، بالإضافة إلى الإطار العام الوارد في ETSI TS 102 232-1. تستخدم خدمات الطبقة الثانية -4, and mobile packet data uses 3GPP TS 33.108 or TS 33.128, carried over ETSI TS 102 232-1 and -7. In Germany, the TR TKÜV specifies the national options, and the connection to the agencies is protected by approved cryptographic gateways. Delivery must be resilient: buffering during outages, retransmission and monitoring of every handover link.

البيع بالجملة، وخدمات تدفق البيانات، والشبكات المستضافة

لا تمتلك العديد من مزودي خدمات الإنترنت سلسلة الوصول بأكملها:

  • مع الوصول إلى دفق البتات في الطبقة الثانية, ، وعادةً ما يدير الموزع شبكة BNG خاصة به ويمكنه اعتراض البيانات هناك.
  • مع دفق البتات من الطبقة الثالثة أما في نماذج «العلامة البيضاء»، فيتم تخصيص عناوين IP والتوجيه داخل شبكة الشريك بالجملة. ويجب الاتفاق على المسؤوليات وتدفقات البيانات ودعم الاعتراض في عقد البيع بالجملة.
  • مع النوى المستضافة على السحابة أو المُعهدة إلى جهات خارجية, ، فقد تكون نقطة الاعتراض موجودة في مركز بيانات لا تخضع لسيطرتك. وقد تشكل أدوات الفحص السلبية، على سبيل المثال عبر منافذ المرآة الافتراضية، حلاً عمليًّا. انظر LI مع نظام أساسي مُعهد إلى جهة خارجية أو مُستضاف.

ما وراء الاعتراض: طلبات الحصول على المعلومات

وتدعم هذه الأنظمة والعمليات نفسها التزامات قانونية أخرى:

  • طلبات الحصول على بيانات المشتركين (المادة 174 من قانون الاتصالات), ، بما في ذلك تحديد هوية المشترك الذي يستخدم عنوان IP ديناميكي في وقت معين.
  • Traffic data requests (today § 100g StPO with TKÜV Part 4) and, if the pending bill BT-Drs. 21/6581 is passed, the التجميد السريع (Sicherungsanordnung under § 100g(7) StPO-E, with the provider duties in § 176 TKG-E).
  • الاحتفاظ بعناوين IP: if the bill is passed, § 177 TKG-E will require access providers to store IP address assignments (IP address, ports behind CGNAT, line and user ID) for three months.
  • الواجهات الإلكترونية: يجب على مقدمي الخدمات الذين لديهم 100,000 شريك تعاقدي أو أكثر توفير إجراء ETSI-ESB (بالإضافة إلى E-Mail-ESB)، بينما يمكن لمقدمي الخدمات الأصغر حجمًا الاعتماد على E-Mail-ESB.

المزالق الشائعة في عملية التنصت القانوني بالنسبة لمزودي خدمات الإنترنت

مأزق النتيجة العلاج
نقطة التقاط خلف CGNAT تم التقاط حركة مرور مشتركين آخرين، أو لم يتم التقاط حركة مرور المستهدف انقل نقطة الاهتمام (POI) قبل NAT، أو قم بمقارنتها بسجلات NAT
لا يشمل بروتوكول IPv6 اعتراض غير مكتمل تتبع البادئات المفوضة وجلسات المكدس المزدوج
لا توجد حسابات مؤقتة تغيرات عناوين IP تمر دون أن يلاحظها أحد تمكين التحديثات المؤقتة وموجزات أحداث BNG
التصوير بأبعاد أصغر من المطلوب معدلات فقدان الحزم في أوقات الذروة ضبط الحجم لعمليات الإرسال المتتالية، وإضافة الطابع الزمني للأجهزة
مسؤوليات غير واضحة على مستوى البيع بالجملة لا يمكن تنفيذ الطلبات بنود المسؤولية القانونية التعاقدية ومصادر البيانات
وثائق غير كاملة تأخر موافقة هيئة الاتصالات الألمانية (BNetzA) مفهوم تقني منظم يستند إلى معيار TR TKÜV

كيف تدعم منصة ICS عملية التنصت القانوني لمزودي خدمات الإنترنت

ICS International Carrier Services builds on more than 20 years of team experience in telecommunications, lawful interception and compliance and on BNetzA-accepted LI implementations. نحن نقدم الدعم لمزودي خدمات الإنترنت بدءًا من مرحلة التصور الأولي وحتى التشغيل على مدار الساعة طوال أيام الأسبوع:

  • عمليات LI المُدارة بشأن اعتراض عناوين بروتوكول الإنترنت (IP)، واعتراض الاتصالات عبر بروتوكول الإنترنت (VoIP)، وطلبات الحصول على بيانات المشتركين (المادة 174 من قانون الاتصالات الألماني (TKG))، وطلبات الحصول على بيانات حركة المرور، كنموذج خدمة متكاملة. انظر عمليات LI المدارة.
  • المفهوم التقني وموافقة هيئة الاتصالات الألمانية (BNetzA): الوثائق المستندة إلى معيار TR TKÜV، وخطط الاختبار، وتقديم الدعم أثناء عملية التسليم.
  • الوساطة وتسليم المهام: لدينا منصة LI للوساطة و LIMS تقديم تدفقات ETSI TS 102 232 إلى الوكالات.
  • اختبار LEMF للتحقق من تسليم جهاز HI2/HI3 قبل وأثناء عملية الاستلام من قبل هيئة BNetzA. انظر ICS LEMF.
  • Network element integration with BNG/BRAS and core routers via their vendor LI interfaces or ETSI TS 103 221 X1/X3, with passive probes or cloud mirroring only where direct integration is not possible.
  • حلول مؤقتة بالنسبة لمقدمي الخدمات الصغار الذين لا يتجاوز حجم أعمالهم الحد الأدنى المحدد من قبل TKÜV.
  • الاستشارات بشأن تسجيل CGNAT، وIPv6، وعقود البيع بالجملة، والاحتفاظ بعناوين IP المقرر تطبيقه قريبًا.

اتصل بفريقنا لإجراء تقييم لشبكة الوصول الخاصة بك، أو اقرأ المزيد عن خدماتنا حلول التنصت القانوني.

الأسئلة الشائعة

هل يعتبر التنصت القانوني الذي يُفرض على مزودي خدمات الإنترنت إلزامياً أيضاً بالنسبة للمزودين الصغار؟

Yes. In Germany, systems with no more than 10,000 connected users do not have to keep permanent interception facilities, but they must still implement interception orders when they receive them, for example with a temporary solution. For public Wi-Fi access without user identifiers the threshold is 100,000 users (§ 3(2) No. 6 TKÜV); the 10,000-user exemption does not apply to network nodes that switch public voice traffic abroad (§ 3(2) sentence 2 TKÜV).

ما هو معيار ETSI الذي ينطبق على اعتراض الوصول إلى الإنترنت؟

ETSI TS 102 232-3 defines the handover for internet access services, based on the generic ETSI TS 102 232-1. Mobile packet data uses 3GPP TS 33.108 or TS 33.128, carried over ETSI TS 102 232-1 and -7. Internal interfaces can follow ETSI TS 103 221 (X1/X2/X3); many routers still use vendor-specific LI interfaces.

أين ينبغي لمزود خدمة الإنترنت أن يعترض حركة المرور عند استخدام تقنية CGNAT؟

من الناحية المثالية، قبل وظيفة NAT، حيث لا يزال لكل مشترك عنوان خاص فريد أو جلسة فريدة. وإذا تعذر ذلك، يجب على المزود ربط البيانات الملتقطة بسجلات CGNAT (عنوان IP العام، ومجموعة المنافذ، والوقت).

كيف يتم تحديد الهدف في حالة تغير عنوان IP؟

يقوم نظام الاعتراض بتتبع أحداث الجلسة من سجلات المحاسبة الخاصة ببروتوكولي RADIUS أو Diameter، وسجلات DHCP وBNG. ويقوم بربط معرّف المشترك المرتب بعنوان IP أو البادئة المخصصة حاليًا، كما يقوم بتحديث مرشحات الالتقاط تلقائيًّا.

هل يجوز لمزود خدمة الإنترنت أن يعهد إلى جهة خارجية بمهمة التنصت القانوني؟

نعم. يظل الالتزام القانوني على عاتق المزود، ولكن يمكن تفويض التشغيل إلى مزود خدمات متخصص يعمل نيابة عنه، شريطة الامتثال لمتطلبات الأمن والسرية ومتطلبات الهيئة الاتحادية الألمانية للاتصالات (BNetzA).

الموارد الخارجية

%P3TP3T %

انتقل إلى الأعلى
ICS
مدعوم من  الامتثال للائحة العامة لحماية البيانات العامة (GDPR)
نظرة عامة على الخصوصية

يستخدم هذا الموقع الإلكتروني ملفات تعريف الارتباط حتى نتمكن من تزويدك بأفضل تجربة مستخدم ممكنة. يتم تخزين معلومات ملفات تعريف الارتباط في متصفحك وتؤدي وظائف مثل التعرف عليك عند عودتك إلى موقعنا الإلكتروني ومساعدة فريقنا على فهم أقسام الموقع التي تجدها أكثر إثارة للاهتمام وفائدة.