La información relacionada con las interceptaciones constituye la columna vertebral de los metadatos de cada interceptación legal operación. En la interceptación lícita, hay dos categorías de datos fundamentales para toda operación de interceptación: la información relacionada con la interceptación (IRI) y el contenido de la comunicación (CC). Estos dos tipos de datos constituyen el núcleo de lo que un operador entrega a las fuerzas del orden al ejecutar una orden de interceptación, y se transmiten a través de interfaces de entrega separadas —HI2 para la IRI y HI3 para el CC— en el marco del ETSI. Aunque la mayoría de los profesionales comprenden la distinción básica —la IRI son metadatos, el CC es el contenido—, las implicaciones prácticas de esta distinción son más matizadas de lo que parecen a primera vista.
Este artículo examina lo que IRI y CC significan realmente en la práctica, qué elementos de datos abarca cada uno, cómo se generan y entregan, y por qué la distinción es importante para los operadores, las fuerzas de seguridad y el ecosistema de interceptación legal en general.
Qué significa la información relacionada con la interceptación
Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself — that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.
Los elementos de datos específicos incluidos en el IRI varían en función del tipo de comunicación y de la tecnología de red implicada. Para una llamada de voz tradicional, el IRI suele incluir el número llamante (número A), el número llamado (número B), el IMSI y el IMEI del dispositivo de destino, la hora a la que se inició la llamada, la hora a la que se respondió, la duración de la llamada, los identificadores de celda al inicio y durante la llamada (que proporcionan información sobre la ubicación) y la disposición de la llamada (respondida, ocupada, sin respuesta, desviada). Para una sesión de datos IP, el IRI puede incluir la dirección IP del objetivo, el APN (Access Point Name) asignado, los parámetros del portador, las horas de inicio y fin de la sesión y el volumen de datos transferidos.
IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication — for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the función de mediación, which turns them into standard IRI records in ETSI format.
Una de las características más importantes del IRI es su naturaleza estructurada. Dado que el IRI está codificado en formato ASN.1 de acuerdo con estructuras de datos bien definidas, puede ser analizado, procesado y analizado automáticamente por los sistemas policiales. Este formato estructurado permite operaciones automatizadas de correlación, análisis de patrones y extracción de datos que serían mucho más difíciles con datos no estructurados. No hay que subestimar el valor de la IRI para la investigación: en muchos casos, los metadatos que proporciona la IRI son tan valiosos o más que el propio contenido.
Definición de CC: la capa de contenidos
Content of communication is the actual substance of the intercepted communication — the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.
The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.
La interceptación de datos produce un volumen de CC significativamente mayor que la interceptación de voz. Una sola llamada de voz genera un flujo de audio continuo pero con un ancho de banda relativamente bajo, mientras que una sesión de datos puede generar gigabytes de tráfico en función de la actividad del objetivo. Esta disparidad tiene importantes implicaciones para el dimensionamiento de los sistemas LI, el ancho de banda de los canales de entrega HI3 y la capacidad de almacenamiento necesaria en el LEMF.
The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.
Por qué es importante la distinción
The distinction between IRI and CC is not merely technical — it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.
Desde un punto de vista operativo, IRI y CC tienen características diferentes en cuanto a volumen, formato, requisitos de procesamiento y mecanismos de entrega. El IRI es relativamente compacto y estructurado, por lo que es adecuado para el procesamiento y el análisis automatizados. El CC es potencialmente voluminoso y su formato varía mucho, por lo que requiere distintos enfoques de manipulación, almacenamiento y análisis. Los operadores deben diseñar sus sistemas de LI para manejar ambos tipos de datos de forma eficiente, con los mecanismos adecuados de almacenamiento en búfer, control de flujo y calidad del servicio.
Desde una perspectiva estratégica y de investigación, el IRI y el CC proporcionan diferentes tipos de información. El IRI permite el análisis de patrones, la cartografía de redes, el seguimiento de la ubicación y la identificación de patrones de comunicación a lo largo del tiempo. El CC ofrece una visión directa del contenido de comunicaciones específicas, pero puede requerir un esfuerzo considerable para su procesamiento y análisis, especialmente en el caso de las interceptaciones de datos que generan grandes volúmenes de contenido multimedia. Fuerzas de seguridad cada vez reconocen más el valor estratégico de los metadatos y, en algunas investigaciones, los IRI pueden ser el objetivo principal de la operación de interceptación.
IRI en las redes modernas
La transición de las redes con conmutación de circuitos a las redes con conmutación de paquetes ha ampliado considerablemente el alcance y la complejidad de la IRI. En las redes de telefonía tradicionales, el IRI era relativamente sencillo: la señalización de establecimiento de llamada proporcionaba un conjunto bien definido de elementos de metadatos. En las redes IP modernas, el panorama de la señalización es mucho más diverso y complejo, e incluye protocolos como SIP, Diameter, GTP-C y varios protocolos de capa de aplicación.
VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.
In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.
El impacto de la encriptación en la CC
Uno de los retos más importantes para la entrega de CC en las redes modernas es la creciente prevalencia del cifrado. Las comunicaciones cifradas de extremo a extremo -como las que proporcionan las aplicaciones de mensajería con E2EE- no pueden interceptarse en la capa de red de forma significativa. El operador puede capturar los paquetes cifrados, pero sin las claves de cifrado, el contenido es ininteligible. Esto crea una situación en la que el operador puede proporcionar IRI (que se genera a partir de la señalización de la red y no depende del acceso al contenido) pero no puede proporcionar CC utilizable.
This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate — if one is reached — will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.
Consideraciones prácticas para los operadores
Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.
Las pruebas son esenciales para verificar que el IRI y el CC se generan correctamente. Los operadores deben realizar pruebas exhaustivas con respecto a las definiciones de la estructura de datos IRI del ETSI, garantizando que todos los elementos de datos requeridos estén presentes y rellenados correctamente para cada tipo de evento. Deberá comprobarse la fidelidad, sincronización e integridad de la entrega de CC en todos los tipos de medios compatibles.
Por último, los operadores deben mantener sus sistemas de LI a medida que evolucionan sus redes. Los nuevos servicios, los nuevos protocolos y las nuevas tecnologías de red requerirán actualizaciones de las capacidades de generación de IRI y captura de CC. Un sistema de interceptación legal que era totalmente conforme en el momento de su implantación puede dejar de serlo a medida que cambia la red, por lo que el mantenimiento y el desarrollo continuos son una parte fundamental del programa de conformidad.
Conclusión
IRI y CC son los dos pilares de la entrega de datos de interceptación legal. IRI proporciona los metadatos estructurados que permiten el análisis de patrones, el seguimiento de ubicaciones y el mapeo de comunicaciones. CC proporciona el contenido real de las comunicaciones interceptadas, ofreciendo una visión directa de lo que los objetivos están comunicando. Juntos, forman una imagen completa que sirve de apoyo a las investigaciones policiales. Para los operadores, comprender las implicaciones técnicas, jurídicas y operativas de la IRI y la CC -y crear sistemas de LI que gestionen ambas con eficacia- es esencial para cumplir sus obligaciones de interceptación legal en las redes de telecomunicaciones modernas.
La recopilación precisa de información relacionada con la interceptación es fundamental para las operaciones de interceptación legales. Los operadores deben asegurarse de que sus sistemas capturan todos los campos de información de interceptación requeridos.
Artículos relacionados
Si desea leer más sobre temas relacionados, consulte estos artículos:
- HI1 vs HI2 vs HI3: Conocimiento de las tres interfaces de interceptación legal
- Cómo funciona una función de mediación: El puente entre su red y las fuerzas de seguridad
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
Recursos externos
Los siguientes recursos externos proporcionan contexto adicional y documentación oficial:
