التفتيش العميق للحزم من أجل الاعتراض القانوني وعادةً ما يرتبط هذا الجانب بجهود إنفاذ القانون: حيث تتلقى الوكالة حزم بروتوكول الإنترنت الأولية وتقوم بتحليلها في مرفق المراقبة التابع لها. غير أن عددًا متزايدًا من مشغلي الشبكات والوكالات يتساءلون عما إذا كان من الممكن إنجاز جزء من هذا العمل عند المزود, ، بالقرب من حركة البيانات. في هذا النموذج، يقوم المزود باستخراج البيانات الوصفية وإثرائها عند نقطة الاعتراض، ثم يسلمها مع النسخة الكاملة للاتصال.
Whether a provider may do any of this depends on national law: in Germany, analysis stays with the agency. Where it is allowed and done right, provider-side DPI speeds up investigations, can reduce data volumes where an order limits the scope, and gives agencies context they could not reconstruct themselves. Done wrong, it breaks evidence rules or exceeds the legal mandate. This article explains the architecture, what can be extracted, how enriched data is delivered, and where the boundaries are.
النقاط الرئيسية
- DPI من جانب المزود المكملات النسخة الكاملة من الرسالة. ولا تحل هذه النسخة محلها أبدًا، ما لم يسمح الأمر والقواعد الوطنية صراحةً بتحديد نطاق أضيق.
- لدى المزود network context the agency lacks: line identity, NAT mappings, cell and location data, device identifiers and precise session timing. Subscriber details such as name and address need a separate request.
- تشمل البيانات الوصفية المستخرجة النموذجية ما يلي: سجلات التدفق، ونظام أسماء النطاقات (DNS)، و SNI، وبصمات TLS (JA4)، وتصنيف التطبيقات، وإشارات VoIP، وأنواع الأنشطة.
- يجب تقديم البيانات المُثريّة في صيغة صيغة متفق عليها وموثقة, for example as additional IRI records where the national specification allows it. Whether a provider may deliver any of it is jurisdiction-dependent: in Germany the provider hands over only the copy and the § 7 TKÜV event data, and analysis belongs to the agency.
- Where national law allows it, everything must be target-specific, reproducible, documented and strictly separated from commercial DPI. An acceptance concept documents it but cannot make it lawful.
لماذا يتم إجراء الفحص العميق للحزم من جانب مزود الخدمة؟
| السائق | الفوائد التي تعود على الوكالة | المزايا التي تعود على المُقدِّم |
|---|---|---|
| نمو سعة النطاق الترددي (شبكات FTTH متعددة الجيجابت، شبكات الجيل الخامس) | تتوفر البيانات الوصفية على الفور، حتى لو استغرقت معالجة النسخة الكاملة بعض الوقت | تقليل الضغط على روابط التسليم التي تنطبق عليها قيود النطاق |
| حركة المرور المشفرة | الجلسات المصنفة مسبقًا وبصمات الأصابع | إعادة الاستفادة من الخبرات المتوفرة في مجال تكنولوجيا المعلومات والاتصالات |
| سياق الشبكة | Line, NAT, cell and device data attached to each flow | Fewer follow-up requests for basic context, where national rules list the data for the copy (subscriber name and address always need a separate request) |
| الحالات التي تتطلب سرعة في التعامل معها | تنبيهات شبه فورية بشأن أنماط النشاط | عملية آلية محددة بوضوح |
| نماذج الوصول المعقدة | الإسناد الصحيح خلف CGNAT وفي إعدادات البيع بالجملة | انخفاض عدد النزاعات المتعلقة بالتسجيلات غير المكتملة |
أين يضع القانون الحدود
قبل تصميم أي شيء، يجب على مقدمي الخدمات فهم وضعهم القانوني:
- تأتي النسخة الكاملة أولاً. In most European jurisdictions the provider must deliver a نسخة كاملة لم يتم التعديل عليها of the target’s telecommunications. Where national law allows enrichment, it is an addition; in Germany it is not allowed (see below). Filtering is allowed only where the order limits the scope.
- لا يوجد تحليل يتجاوز نطاق الأمر. قد تقتصر معالجة DPI من جانب المزود على حركة مرور الهدف المحدد وذلك لغرض الاعتراض فقط. ولا يُسمح بإجراء تحليلات جماعية أو غير موجهة.
- الفصل عن DPI التجاري. تفرض لائحة الاتحاد الأوروبي بشأن الإنترنت المفتوح (EU) 2015/2120 قيودًا على تقنية تحديد محتوى البيانات (DPI) لأغراض إدارة حركة المرور، لكنها تسمح باتخاذ التدابير اللازمة للامتثال لقوانين الاتحاد الأوروبي أو القوانين الوطنية. ولذلك، يجب أن تتم معالجة LI في بيئة منفصلة خاضعة للتحكم في الوصول، ويجب ألا تُغذي أبدًا الأنظمة التجارية.
- السرية. يخضع الموظفون والأنظمة لسرية الاتصالات، ويجب ألا يلاحظ المشترك هذا الإجراء.
- Germany is stricter. The obliged provider must enable the measure (§ 100a(4) StPO) and hand over a complete copy plus the event data listed in § 7 TKÜV, and nothing else at the handover point (§ 8(2) No. 2 TKÜV). Analysis of the content, including DPI classification, belongs to the agency. A BNetzA acceptance cannot create a legal basis for extra processing. Provider-side enrichment is only an option where national law expressly provides for it.
البنية المرجعية
- الوصول عبر الطرق: BNG/BRAS for PPPoE and IPoE access, and PE or core routers for fixed-IP lines, copy the target’s traffic with their built-in LI function, using ETSI TS 103 221 (X1 tasking, X2/X3 delivery) where supported or the vendor’s LI interface. The ADMF handles the tasking, and the mediation layer converts the delivered streams into the ETSI handover format. Optical TAPs or virtual mirror ports are only a fallback where no native LI function is available.
- تشغيل الهدف: يقوم نظام LIMS/ADMF بتنشيط الهدف، وتُبلغ أحداث الجلسة الواردة من RADIUS/Diameter أو DHCP أو بوابة الحزم عقدة DPI بعناوين IP والبادئات التي تنتمي حاليًا إلى الهدف.
- عقدة فحص الحزم العميق المخصصة لهدف معين: تقوم العقدة بمعالجة تيار X3 الخاص بالهدف المطلوب فقط. ويتم إعادة تجميع التدفقات، وتحديد البروتوكولات، واستخراج البيانات الوصفية، وذلك باستخدام معالجة الحزم عالية الأداء (مثل DPDK أو بطاقات الشبكة القائمة على FPGA) بسرعة 10/40/100 جيجابت في الثانية.
- التنمية: each flow is tagged with the LIID, the target identifier, the NAT mapping (public IP and port block), cell ID or location, and the IMEI where available. Enrichment is limited to data the national rules list for the copy; subscriber details such as name and address still require a separate information request.
- الوساطة والتسليم: the full copy is delivered as CC via HI3, according to ETSI TS 102 232-3 or -4 for fixed access, or 3GPP TS 33.108/33.128 over TS 102 232-7 for mobile, and any enriched metadata permitted by national law is delivered via HI2.
- التدقيق والاحتفاظ: لا يتم الاحتفاظ بمخرجات DPI إلا للفترة التي يتطلبها التسليم، ويتم تسجيل كل إصدار من التكوينات والتوقيعات.
انظر واجهات X1/X2/X3 و كيف تعمل وظيفة الوساطة بالنسبة للواجهات الأساسية.
ما الذي يمكن استخراجه وتخصيبه؟
| البيانات الوصفية | المصدر | أهمية التحقيق |
|---|---|---|
| سجلات التدفق (خماسيات، البداية/النهاية، البايتات، الحزم) | رؤوس الحزم | نظرة عامة شاملة على الأنشطة |
| استفسارات وإجابات نظام أسماء النطاقات (DNS) | نظام أسماء النطاقات (DNS) غير المشفر | الخدمات والمجالات المستخدمة |
| بصمات TLS SNI و ALPN و JA4 / JA4S (يرجى ملاحظة شروط ترخيص FoxIO الخاصة بـ JA4S) | عمليات المصافحة بين TLS و QUIC | تحديد التطبيق والجهاز |
| تصنيف التطبيقات | توقيعات DPI وسلوكها | برامج المراسلة، خدمة الاتصال الصوتي عبر بروتوكول الإنترنت (VoIP)، البث المباشر، الشبكات الافتراضية الخاصة (VPN)، شبكة تور (Tor) |
| نوع النشاط | حجم الحزمة وأنماط التوقيت | الرسائل مقابل المكالمات مقابل نقل الملفات |
| إشارات VoIP (معلمات SIP و RTP) | اتصالات الصوت عبر بروتوكول الإنترنت (VoIP) غير المشفرة | مكالمات VoIP مع أطراف خارجية: المشاركون ومدة المكالمات |
| مضيف HTTP ووكيل المستخدم | HTTP غير المشفر | الخدمات وبرامج العملاء |
| تعيين NAT | سجلات CGNAT | العلاقة بين عنوان IP العام والمنفذ والهدف |
| الموقع والجهاز | معرّف الخلية، رقم IMEI، خط الاتصال | أين وأي جهاز تم من خلاله إجراء نشاط ما |
Which of these an access provider may deliver depends on national law. In Germany, classification and service-level reconstruction of third-party services are done by the agency, not the access provider. The encryption rule applies here as well: the provider removes only the encryption it applied itself. End-to-end encrypted content remains encrypted, and the metadata above is extracted without decrypting it.
تسليم البيانات المُثريّة
There is no single, universal ETSI record type for “DPI results”. Flow summaries are standardised in ETSI TS 102 232-3 (Packet Data Summary Reporting); application classification is not. In practice, three models are used:
- سجلات إضافية من معهد البحوث الدولية (IRI): extracted events (for example a detected VoIP call or an application session) are sent via HI2, using standard fields where possible, and national extensions only where the national specification provides for them.
- Flow-level IRI: where flow-level IRI is required by the warrant, ETSI TS 102 232-3 already defines it (Packet Data Summary Reporting, IPIRIOnly). Proprietary analytics streams outside the national handover specification are not permitted in Germany and need an explicit legal basis elsewhere.
- سجلات مستوى الخدمة: في بعض الولايات القضائية، وفقط عندما يُشترط ذلك صراحةً، يقدم المزود الأحداث على مستوى الخدمة، على غرار الأجزاء الخاصة بالخدمة في معيار ETSI TS 102 232 التي يستخدمها مزودو خدمات الرسائل والوسائط المتعددة لخدماتهم الخاصة.
بغض النظر عن النموذج، يجب أن يكون الشكل موثقة، ومُصنَّفة حسب الإصدارات، ومُتفق عليها مع الوكالات المستلمة والجهة التنظيمية، ويجب أن تكون الوكالة قادرة دائمًا على مطابقة البيانات المُثريّة مع النسخة الكاملة.
جودة الأدلة: جعل عملية الإثراء قابلة للتكرار
- تسجيل إصدار محرك DPI وإصدار التوقيع يُستخدم مع كل نتيجة.
- الاستخدام طوابع زمنية متزامنة وعالية الدقة بحيث تتوافق البيانات الوصفية مع سجلات CC و HI2.
- توفير مؤشرات الثقة لتصنيفات السلوك.
- احتفظ بـ سجل تدقيق كامل تفعيل الأهداف، وتغييرات التكوين، وعمليات التسليم.
- قم بإجراء الاختبار بانتظام باستخدام حركة المرور المرجعية للكشف عن حالات التراجع بعد تحديثات التوقيعات.
قائمة مراجعة التنفيذ للمزودين
- التقييم القانوني: ما يسمح به الإطار الوطني، وما تشمله الأوامر عادةً
- Where national law provides for enrichment: scope and delivery format agreed with the agencies and documented in the acceptance concept
- التنشيط المحدَّد الهدف فقط، مدفوعًا بنظام LIMS/ADMF
- معدل DPI معزز بالأجهزة ومُصمم لاستيعاب أعداد المشتركين في أوقات الذروة
- التكامل مع أنظمة AAA وDHCP وسجلات CGNAT و"باكيت كور" وبيانات الموقع
- الفصل التام عن أنظمة DPI التجارية وإدارة حركة المرور
- إدارة الإصدارات، واختبار المراجع، وتسجيل عمليات التدقيق
- توصيل مرن مع التخزين المؤقت والمراقبة
كيف تساعد تقنية ICS في إجراء الفحص العميق للحزم من جانب المزود
ICS International Carrier Services builds on more than 20 years of team experience in telecommunications, lawful interception and compliance and on BNetzA-accepted LI implementations. We integrate network elements via their vendor LI interfaces or ETSI TS 103 221 X1/X2/X3 and operate mediation for providers today, so we know both the network and the receiving side.
- الهندسة المعمارية والتصميم القانوني-التقني من تقنية DPI من جانب المزود (انظر DPI لمشغلي الشبكات) التي تتناسب مع إطاركم الوطني ومفهومكم الخاص بالقبول.
- مسارات معالجة DPI والتخصيب التي يتم تشغيلها استجابةً لهدف معين متكامل مع RADIUS/Diameter، وتسجيل CGNAT، وأحداث قلب شبكة الحزم.
- Network element integration with BNG/BRAS and core routers via their vendor LI interfaces or ETSI TS 103 221 X1/X3, plus passive probes or cloud mirroring where no native LI function is available.
- الوساطة وتسليم المهام إلى المعهد الأوروبي لمعايير الاتصالات (ETSI) من خلال منصة LI للوساطة و LIMS.
- العمليات المُدارة على مدار الساعة. انظر عمليات LI المدارة.
- التطوير حسب الطلب من أجهزة الاستخراج وأجهزة الفرز وأشكال التوزيع. انظر التكامل والتطوير المخصص.
تواصل مع ICS لمناقشة ما إذا كان الإثراء من جانب المزود خيارًا مناسبًا لشبكتك.
الأسئلة الشائعة
هل يُسمح بإجراء الفحص العميق للحزم في إطار عمليات التنصت القانونية؟
Only where national law expressly provides for it. In Germany the provider must hand over a complete copy plus the event data listed in § 7 TKÜV and nothing else at the handover point (§ 8(2) No. 2 TKÜV); analysis of the content, including DPI classification, belongs to the agency, and a BNetzA acceptance cannot create a legal basis for extra processing. Untargeted or commercial use of LI data is never allowed.
هل يحل تحليل البيانات (DPI) من جانب المزود محل النسخة الكاملة للاتصال؟
لا. في معظم الولايات القضائية، يتعين على المزود تقديم نسخة كاملة وغير معدلة من مراسلات الشخص المستهدف. وتُقدم البيانات الوصفية المستمدة من تقنية DPI بالإضافة إلى ذلك، ما لم يحدد الأمر نطاقها صراحةً.
هل يمكن لمزود خدمة الإنترنت فك تشفير حركة مرور HTTPS أو حركة مرور تطبيقات المراسلة الخاصة بشخص ما؟
لا. لا يقوم المزود إلا بإزالة التشفير الذي طبقه هو نفسه داخل شبكته الخاصة. أما التشفير من طرف إلى طرف أو على مستوى التطبيق فيظل ساريًا. تعمل تقنية تحليل البيانات (DPI) على الرؤوس غير المشفرة وعمليات المصافحة وأنماط حركة المرور.
كيف يتم تسليم البيانات الوصفية الخاصة بـ DPI إلى سلطات إنفاذ القانون؟
Where national law allows it, as additional IRI records via HI2, using standard records such as the Packet Data Summary Reporting of ETSI TS 102 232-3 where possible. Separate analytics streams outside the national handover specification are not permitted in Germany. The format must be documented and agreed with the agencies and the regulator.
ما الفرق بين تحليل محتوى البيانات (DPI) من جانب المزود ومن جانب هيئة التعليم المحلية (LEA)؟
LEA-side DPI analyses the delivered traffic in the monitoring facility. Provider-side DPI runs at the point of interception, where, if national law allows it, it can add network context such as the line identifier, NAT mappings and location, and deliver results in near real time.
مقالات ذات صلة
- كيف تعمل وظيفة الوساطة: الجسر الذي يربط بين شبكتك وجهات إنفاذ القانون
- خوادم أسماء النطاقات المشفرة (وزارة الصحة/وزارة الاتصالات) وتأثيرها على قدرات الاعتراض القانوني
- تقسيم الشبكة في شبكات الجيل الخامس المستقلة (5G SA): كيف يزيد الأمر تعقيدًا (وكيف يمكن أن يبسط) استهداف LI
- التحقيقات الجنائية المدعومة بالذكاء الاصطناعي: ماذا تعني الأتمتة للمشغلين وسير عمل أجهزة إنفاذ القانون
