Inspection approfondie des paquets à des fins d'interception légale est généralement associé aux services chargés de l'application de la loi : l'agence reçoit des paquets IP bruts et les analyse dans son centre de surveillance. De plus en plus d'opérateurs de réseau et d'agences se demandent toutefois si une partie de ce travail pourrait être effectuée chez le prestataire, à proximité du trafic. Dans ce modèle, le fournisseur extrait et enrichit les métadonnées au point d'interception, puis les transmet avec la copie intégrale de la communication.
Whether a provider may do any of this depends on national law: in Germany, analysis stays with the agency. Where it is allowed and done right, provider-side DPI speeds up investigations, can reduce data volumes where an order limits the scope, and gives agencies context they could not reconstruct themselves. Done wrong, it breaks evidence rules or exceeds the legal mandate. This article explains the architecture, what can be extracted, how enriched data is delivered, and where the boundaries are.
Points clés à retenir
- DPI côté fournisseur compléments la version intégrale de la communication. Elle ne la remplace en aucun cas, sauf si le règlement et les règles nationales autorisent explicitement une portée réduite.
- Le prestataire dispose de network context the agency lacks: line identity, NAT mappings, cell and location data, device identifiers and precise session timing. Subscriber details such as name and address need a separate request.
- Les métadonnées généralement extraites comprennent notamment enregistrements de flux, DNS, SNI, empreintes TLS (JA4), classification des applications, signalisation VoIP et types d'activité.
- Les données enrichies doivent être fournies dans un format convenu et documenté, for example as additional IRI records where the national specification allows it. Whether a provider may deliver any of it is jurisdiction-dependent: in Germany the provider hands over only the copy and the § 7 TKÜV event data, and analysis belongs to the agency.
- Where national law allows it, everything must be target-specific, reproducible, documented and strictly separated from commercial DPI. An acceptance concept documents it but cannot make it lawful.
Pourquoi procéder à une inspection approfondie des paquets du côté du fournisseur d'accès ?
| Conducteur | Avantage pour l'agence | Avantage pour le prestataire |
|---|---|---|
| Augmentation de la bande passante (FTTH multi-gigabits, 5G) | Les métadonnées sont disponibles immédiatement, même si le traitement de la copie complète prend du temps. | Moins de pression sur les liaisons de transfert lorsque des limites de périmètre s'appliquent |
| Trafic chiffré | Sessions préclassifiées et empreintes digitales | Réutilisation de l'expertise existante en matière de DPI |
| Contexte réseau | Line, NAT, cell and device data attached to each flow | Fewer follow-up requests for basic context, where national rules list the data for the copy (subscriber name and address always need a separate request) |
| Cas urgents | Alertes en temps quasi réel sur les schémas d'activité | Un processus automatisé et clairement défini |
| Modèles d'accès complexes | Attribution correcte derrière le CGNAT et dans les configurations de gros | Moins de litiges concernant les interceptions incomplètes |
Où la loi fixe-t-elle la limite ?
Avant de concevoir quoi que ce soit, les prestataires doivent bien comprendre leur situation juridique :
- On commence par la version intégrale. In most European jurisdictions the provider must deliver a copie intégrale et non modifiée of the target’s telecommunications. Where national law allows enrichment, it is an addition; in Germany it is not allowed (see below). Filtering is allowed only where the order limits the scope.
- Aucune analyse au-delà de la commande. Le DPI côté fournisseur ne peut traiter que le trafic provenant de la cible ordonnée et uniquement aux fins de cette interception. L'analyse en masse ou non ciblée n'est pas autorisée.
- Distinction par rapport aux DPI commerciaux. Le règlement (UE) 2015/2120 relatif à l'Internet ouvert limite l'utilisation de l'analyse des données de trafic (DPI) à des fins de gestion du trafic, mais autorise les mesures nécessaires pour se conformer au droit de l'Union ou au droit national. Le traitement des données d'identification (LI) doit donc s'effectuer dans un environnement distinct, dont l'accès est contrôlé, et ne doit en aucun cas alimenter des systèmes commerciaux.
- Confidentialité. Le personnel et les systèmes sont soumis au secret des télécommunications, et l'abonné ne doit pas se rendre compte de cette mesure.
- Germany is stricter. The obliged provider must enable the measure (§ 100a(4) StPO) and hand over a complete copy plus the event data listed in § 7 TKÜV, and nothing else at the handover point (§ 8(2) No. 2 TKÜV). Analysis of the content, including DPI classification, belongs to the agency. A BNetzA acceptance cannot create a legal basis for extra processing. Provider-side enrichment is only an option where national law expressly provides for it.
Architecture de référence
- Accès routier: BNG/BRAS for PPPoE and IPoE access, and PE or core routers for fixed-IP lines, copy the target’s traffic with their built-in LI function, using ETSI TS 103 221 (X1 tasking, X2/X3 delivery) where supported or the vendor’s LI interface. The ADMF handles the tasking, and the mediation layer converts the delivered streams into the ETSI handover format. Optical TAPs or virtual mirror ports are only a fallback where no native LI function is available.
- Déclenchement de la cible: le LIMS/ADMF active la cible, et les événements de session provenant de RADIUS/Diameter, du DHCP ou de la passerelle de paquets indiquent au nœud DPI quelles adresses IP et quels préfixes appartiennent actuellement à la cible.
- Nœud d'inspection approfondie des paquets ciblée: le nœud traite uniquement le flux X3 de la cible ordonnée. Les flux sont réassemblés, les protocoles identifiés et les métadonnées extraites, grâce à un traitement des paquets haute performance (par exemple, DPDK ou des cartes réseau basées sur des FPGA) à des débits de 10, 40 ou 100 Gbit/s.
- Enrichissement: each flow is tagged with the LIID, the target identifier, the NAT mapping (public IP and port block), cell ID or location, and the IMEI where available. Enrichment is limited to data the national rules list for the copy; subscriber details such as name and address still require a separate information request.
- Médiation et exécution: the full copy is delivered as CC via HI3, according to ETSI TS 102 232-3 or -4 for fixed access, or 3GPP TS 33.108/33.128 over TS 102 232-7 for mobile, and any enriched metadata permitted by national law is delivered via HI2.
- Audit et conservation: Les données de sortie DPI ne sont conservées que le temps nécessaire à la transmission, et chaque configuration ainsi que chaque version de signature sont consignées.
Voir Interfaces X1/X2/X3 et le fonctionnement d'une fonction de médiation pour les interfaces sous-jacentes.
Qu'est-ce qui peut être extrait et enrichi ?
| Métadonnées | Source | Intérêt pour l'enquête |
|---|---|---|
| Enregistrements de flux (quintuple, début/fin, octets, paquets) | En-têtes de paquets | Aperçu complet des activités |
| Requêtes et réponses DNS | DNS non chiffré | Services et domaines utilisés |
| Empreintes TLS SNI, ALPN, JA4 / JA4S (voir les conditions de licence de FoxIO pour JA4S) | Procédures d'établissement de connexion TLS / QUIC | Identification des applications et des appareils |
| Classification des applications | Signatures et comportement du DPI | Messagerie instantanée, VoIP, streaming, VPN, Tor |
| Type d'activité | Taille des paquets et schémas de synchronisation | Message, appel ou transfert de fichiers |
| Signalisation VoIP (paramètres SIP et RTP) | VoIP non chiffrée | Appels VoIP vers des tiers : participants et durée |
| Hôte HTTP et agent utilisateur | HTTP non chiffré | Services et logiciels clients |
| Mappage NAT | Fichiers journaux CGNAT | Lien entre l'adresse IP publique, le port et la cible |
| Emplacement et appareil | Identifiant de la cellule, IMEI, ligne d'accès | Où et sur quel appareil une activité a eu lieu |
Which of these an access provider may deliver depends on national law. In Germany, classification and service-level reconstruction of third-party services are done by the agency, not the access provider. The encryption rule applies here as well: the provider removes only the encryption it applied itself. End-to-end encrypted content remains encrypted, and the metadata above is extracted without decrypting it.
Transmission de données enrichies
There is no single, universal ETSI record type for “DPI results”. Flow summaries are standardised in ETSI TS 102 232-3 (Packet Data Summary Reporting); application classification is not. In practice, three models are used:
- Enregistrements IRI supplémentaires: extracted events (for example a detected VoIP call or an application session) are sent via HI2, using standard fields where possible, and national extensions only where the national specification provides for them.
- Flow-level IRI: where flow-level IRI is required by the warrant, ETSI TS 102 232-3 already defines it (Packet Data Summary Reporting, IPIRIOnly). Proprietary analytics streams outside the national handover specification are not permitted in Germany and need an explicit legal basis elsewhere.
- Enregistrements relatifs aux niveaux de service: dans certaines juridictions, et uniquement lorsque cela est explicitement requis, le fournisseur propose des événements au niveau du service, à l'instar des parties spécifiques aux services de la norme ETSI TS 102 232 que les fournisseurs de messagerie et de services multimédia utilisent pour leurs propres services.
Quel que soit le modèle, le format doit être documenté, versionné et validé avec les organismes destinataires et l'autorité de régulation, et l'organisme doit toujours être en mesure de vérifier la cohérence des données enrichies par rapport à la version intégrale.
Qualité des données : garantir la reproductibilité de l'enrichissement
- Enregistrez le Moteur DPI et version de la signature utilisé pour chaque résultat.
- Utilisation horodatages synchronisés et de haute précision afin que les métadonnées correspondent aux notices CC et HI2.
- Fournir indicateurs de confiance pour les classifications comportementales.
- Conservez un piste d'audit complète de l'activation des cibles, des modifications de configuration et des livraisons.
- Effectuez régulièrement des tests avec trafic de référence pour détecter les régressions après les mises à jour des signatures.
Liste de contrôle pour la mise en œuvre à l'intention des prestataires
- Analyse juridique : ce que permet le cadre national et ce que couvrent généralement les ordonnances
- Where national law provides for enrichment: scope and delivery format agreed with the agencies and documented in the acceptance concept
- Activation spécifique à la cible uniquement, pilotée par le LIMS/ADMF
- DPI avec accélération matérielle, dimensionné pour les pics de trafic des abonnés
- Intégration avec les journaux AAA, DHCP et CGNAT, le cœur de réseau de paquets et les données de localisation
- Séparation stricte entre le DPI commercial et la gestion du trafic
- Gestion des versions, tests de référence et journalisation des audits
- Diffusion résiliente avec mise en mémoire tampon et surveillance
Comment ICS facilite l'inspection approfondie des paquets côté fournisseur
ICS International Carrier Services builds on more than 20 years of team experience in telecommunications, lawful interception and compliance and on BNetzA-accepted LI implementations. We integrate network elements via their vendor LI interfaces or ETSI TS 103 221 X1/X2/X3 and operate mediation for providers today, so we know both the network and the receiving side.
- Architecture et conception technico-juridique de l'analyse de la pakette (DPI) côté fournisseur (voir DPI pour les opérateurs de réseau) qui s'adapte à votre cadre national et à votre conception de l'acceptation.
- DPI déclenché par cible et pipelines d'enrichissement intégré aux événements RADIUS/Diameter, à la journalisation CGNAT et aux événements du cœur de réseau de paquets.
- Network element integration with BNG/BRAS and core routers via their vendor LI interfaces or ETSI TS 103 221 X1/X3, plus passive probes or cloud mirroring where no native LI function is available.
- Médiation et transfert à l'ETSI par le biais de notre Plate-forme de médiation LI et LIMS.
- Opérations gérées 24 heures sur 24. Voir Gestion des opérations LI.
- Développement sur mesure d'extracteurs, de classificateurs et de formats de diffusion. Voir Intégration et développement sur mesure.
Contactez ICS pour déterminer si l'enrichissement côté fournisseur est pertinent pour votre réseau.
Questions fréquemment posées
L'inspection approfondie des paquets est-elle autorisée dans le cadre d'une interception légale ?
Only where national law expressly provides for it. In Germany the provider must hand over a complete copy plus the event data listed in § 7 TKÜV and nothing else at the handover point (§ 8(2) No. 2 TKÜV); analysis of the content, including DPI classification, belongs to the agency, and a BNetzA acceptance cannot create a legal basis for extra processing. Untargeted or commercial use of LI data is never allowed.
Le DPI côté fournisseur remplace-t-il la copie intégrale de la communication ?
Non. Dans la plupart des juridictions, le fournisseur doit transmettre une copie complète et inaltérée des communications de la personne visée. Les métadonnées issues de l'analyse des données de trafic (DPI) sont transmises en complément, sauf si l'ordonnance en limite explicitement la portée.
Un FAI peut-il déchiffrer le trafic HTTPS ou de messagerie instantanée d'une cible ?
Non. Le fournisseur ne supprime que le chiffrement qu'il a lui-même appliqué au sein de son propre réseau. Le chiffrement de bout en bout ou au niveau de l'application reste intact. L'analyse DPI porte sur les en-têtes, les procédures d'établissement de connexion et les schémas de trafic non chiffrés.
Comment les métadonnées DPI sont-elles transmises aux forces de l'ordre ?
Where national law allows it, as additional IRI records via HI2, using standard records such as the Packet Data Summary Reporting of ETSI TS 102 232-3 where possible. Separate analytics streams outside the national handover specification are not permitted in Germany. The format must be documented and agreed with the agencies and the regulator.
Quelle est la différence entre l'analyse DPI côté fournisseur et celle côté autorité locale chargée de l'éducation (LEA) ?
LEA-side DPI analyses the delivered traffic in the monitoring facility. Provider-side DPI runs at the point of interception, where, if national law allows it, it can add network context such as the line identifier, NAT mappings and location, and deliver results in near real time.
Articles connexes
- Comment fonctionne une fonction de médiation : Le pont entre votre réseau et les forces de l'ordre
- DNS crypté (DoH/DoT) et son impact sur les capacités d'interception légale
- Le « network slicing » dans la 5G en mode autonome : en quoi cela complique (et peut simplifier) le ciblage LI
- Enquête criminelle assistée par l'IA : ce que l'automatisation implique pour les opérateurs et les processus opérationnels des forces de l'ordre
