Interception légale dans le cadre de l'IoT : obligations relatives aux réseaux LPWAN et M2M

Les obligations en matière d’interception légale dans le cadre de l’Internet des objets (IoT) se multiplient rapidement à mesure que les appareils connectés se généralisent sur les réseaux. L’Internet des objets (IoT) transforme les secteurs, de la logistique à l’agriculture en passant par la santé et les villes intelligentes. Des milliards d’appareils connectés communiquent désormais via des réseaux cellulaires et non cellulaires, générant d’énormes quantités de données de type « machine à machine » (M2M). Pour les opérateurs de télécommunications — en particulier ceux qui fournissent une connectivité LPWAN (Low Power Wide Area Network) et des services M2M —, cette croissance s'accompagne non seulement d'opportunités commerciales, mais aussi d'obligations réglementaires croissantes, notamment en matière d'interception légale.

L'application des obligations en matière d'interception légale aux communications IoT et M2M constitue un domaine réglementaire en pleine évolution, mais la tendance est claire : à mesure que le trafic IoT augmente et prend de l'importance dans le cadre des enquêtes criminelles, les régulateurs et les forces de l'ordre attendent de plus en plus des opérateurs qu'ils soient en mesure d'intercepter ces communications. Cet article examine l'état actuel des obligations d'interception légale pour les opérateurs de l'IoT, les défis techniques que cela implique, ainsi que les mesures que les opérateurs devraient prendre pour s'y préparer.

Pourquoi l'interception légale dans le cadre de l'IoT est-elle importante ?

La question de savoir si les communications IoT et M2M relèvent du champ d’application des obligations en matière d’interception légale est avant tout d’ordre juridique, et la réponse varie selon les juridictions. Au sein de l’Union européenne, l’obligation de faciliter l’interception légale s’applique généralement aux fournisseurs de services de communications électroniques accessibles au public. La qualification de la connectivité IoT en tant que service de communications électroniques accessible au public dépend de la nature du service, de la relation avec l’utilisateur final et de la mise en œuvre nationale spécifique du cadre réglementaire de l’UE.

En Allemagne, le TKÜV (Telekommunikations-Überwachungsverordnung) s'applique à tous les fournisseurs de services de télécommunications accessibles au public, et la BNetzA a indiqué que les opérateurs proposant des services de connectivité IoT pourraient entrer dans son champ d'application en fonction de la nature de leur offre. Dans d'autres États membres de l'UE, la position est moins clairement définie, mais la tendance générale est à une application plus large des obligations en matière de conservation des données à mesure que les services IoT se généralisent et que les forces de l'ordre identifient de nouveaux cas d'utilisation des données IoT.

Même lorsque la situation réglementaire est ambiguë, les opérateurs doivent tenir compte de la réalité pratique : si les forces de l'ordre présentent un mandat d'interception valide concernant un appareil IoT présent sur votre réseau, vous serez tenu de vous y conformer. Un opérateur qui ne peut démontrer aucune capacité à prendre en charge l'interception des communications IoT s'expose à un risque réglementaire, que l'obligation légale soit ou non explicitement définie pour les services IoT dans la juridiction concernée.

Pourquoi les données de l'Internet des objets (IoT) sont-elles importantes pour les forces de l'ordre ?

Les appareils connectés à l'Internet des objets (IoT) génèrent des données pouvant s'avérer très pertinentes pour les enquêtes criminelles. Les véhicules connectés fournissent des données de localisation, des habitudes de conduite et des journaux de communication. Les appareils domotiques enregistrent des données environnementales, des habitudes d'utilisation et, dans certains cas, des enregistrements audio ou vidéo. Les appareils de santé portables capturent des données biométriques et des habitudes de mouvement. Les capteurs IoT industriels peuvent révéler des activités opérationnelles, les mouvements au sein de la chaîne d’approvisionnement et les conditions environnementales. Même de simples appareils M2M, tels que les distributeurs automatiques ou les compteurs de services publics, génèrent des données de localisation et d’utilisation qui peuvent s’avérer pertinentes dans certaines enquêtes.

À mesure que les forces de l'ordre prennent conscience du potentiel des données de l'Internet des objets (IoT) en matière d'enquêtes, elles sont de plus en plus susceptibles de demander aux opérateurs IoT de procéder à des interceptions ou de divulguer des données. Les opérateurs qui ne sont pas en mesure de répondre à ces demandes s'exposent non seulement à des sanctions réglementaires, mais aussi au risque d'être considérés comme peu coopératifs par les forces de l'ordre, ce qui peut avoir des répercussions plus larges sur leurs relations avec les autorités de régulation.

Défis techniques liés à l'IoT LI

La mise en œuvre de l'interception légale des communications IoT et M2M pose plusieurs défis techniques qui diffèrent considérablement de ceux liés à l'interception traditionnelle des communications vocales et de données. Le premier réside dans la diversité des protocoles de communication. Les appareils IoT communiquent à l’aide d’un large éventail de protocoles — MQTT, CoAP, LwM2M, HTTP et des protocoles propriétaires — sur diverses technologies réseau, notamment LTE-M, NB-IoT, LoRaWAN, Sigfox et les réseaux satellitaires. Chaque protocole et chaque technologie réseau présente des caractéristiques différentes qui influent sur la manière dont l’interception peut être effectuée.

Le deuxième défi concerne le volume et le profil des communications. Contrairement aux appels vocaux ou aux sessions de navigation sur le Web, les communications IoT sont généralement courtes, peu fréquentes et nécessitent une faible bande passante. Un capteur peut transmettre quelques octets de données toutes les heures. Ce profil rend les approches traditionnelles d’interception basées sur les sessions moins pertinentes et nécessite des systèmes de LI capables de capturer des transmissions de données individuelles plutôt que des sessions continues.

Le troisième défi concerne l’identification des cibles. Les appareils IoT peuvent être identifiés par leur IMSI, leur IMEI, leur adresse IP ou des identifiants propres à l’appareil qui ne correspondent pas aux identités d’abonnés traditionnelles. Le mappage de ces identifiants à une cible spécifique — en particulier lorsque l’appareil appartient à une organisation plutôt qu’à un particulier — peut s’avérer complexe. Le système LI doit prendre en charge un éventail plus large de types d’identifiants et doit être capable de faire correspondre ces identifiants à des appareils et à des flux de données spécifiques au sein du réseau.

Le quatrième défi concerne le chiffrement et la sécurité. De nombreux protocoles IoT mettent en œuvre un chiffrement au niveau de la couche application, ce qui signifie que l’opérateur peut être en mesure de capturer le trafic chiffré sans toutefois pouvoir accéder à son contenu. Les implémentations DTLS et TLS utilisées par CoAP et MQTT, par exemple, peuvent chiffrer la charge utile de l'application d'une manière que l'opérateur ne peut pas déchiffrer. Cette limitation doit être communiquée en toute transparence aux forces de l'ordre lors de la réponse à des demandes d'interception.

Un cinquième défi réside dans l'ampleur même des déploiements de l'IoT. Un opérateur peut compter des millions d'appareils IoT sur son réseau, et le système d'interception en ligne (LI) doit être capable d'identifier et d'intercepter efficacement des appareils spécifiques au sein de cette vaste population. Les systèmes utilisés pour gérer les interceptions traditionnelles basées sur les abonnés risquent de ne pas s'adapter efficacement à des populations d'appareils de l'ordre de grandeur de l'IoT sans être modifiés.

Considérations spécifiques aux réseaux LPWAN

Les technologies LPWAN — notamment NB-IoT, LTE-M, LoRaWAN et Sigfox — présentent des caractéristiques spécifiques qui ont une incidence sur la mise en œuvre de la LI. Les technologies NB-IoT et LTE-M fonctionnent au sein de l’écosystème 3GPP et sont desservies par le réseau central cellulaire. En principe, les mêmes mécanismes de LI que ceux utilisés pour les autres services cellulaires peuvent s’appliquer au trafic NB-IoT et LTE-M. Cependant, la faible bande passante et la nature intermittente de ce trafic nécessitent des systèmes de LI capables de capturer des transmissions de données individuelles plutôt que des sessions continues.

LoRaWAN et Sigfox fonctionnent en dehors de l'écosystème 3GPP et utilisent des architectures réseau propriétaires ou basées sur des normes ouvertes. L'application de la LI à ces technologies est moins bien définie en termes de normes, et les opérateurs peuvent être amenés à développer des solutions d'interception sur mesure. L’architecture réseau de LoRaWAN, par exemple, comprend des passerelles, des serveurs réseau et des serveurs d’applications ; le point d’interception devra peut-être être situé au niveau du serveur réseau afin de capturer le trafic avant qu’il ne soit transmis à la couche application.

IRI et CC pour les communications IoT

Les structures de données IRI de l’ETSI, conçues principalement pour les communications vocales et de données, peuvent ne pas rendre compte intégralement des métadonnées pertinentes pour les communications IoT. Les métadonnées spécifiques à l’IoT — telles que le type d’appareil, les relevés des capteurs, la version du micrologiciel, les paramètres opérationnels et l’appartenance à des groupes d’appareils — peuvent s’avérer importantes pour les enquêtes des forces de l’ordre, mais ne sont pas couvertes par les définitions standard de l’IRI. Les opérateurs pourraient devoir étendre leurs capacités de génération d’IRI afin d’inclure des éléments de données spécifiques à l’IoT, éventuellement en coordination avec l’autorité nationale chargée de l’infrastructure de référence (LI).

Le contenu des communications IoT est généralement beaucoup moins volumineux que celui des sessions vocales ou de données, mais peut présenter une plus grande diversité de formats. Le contenu d’une transmission IoT peut être une charge utile JSON, une lecture binaire d’un capteur, un message Protocol Buffer ou un format de données propriétaire. Le système LI doit être capable de capturer et de transmettre ce contenu dans un format que les forces de l'ordre puissent traiter et analyser. Dans de nombreux cas, la solution la plus pratique consistera à fournir la charge utile brute du protocole en même temps que les métadonnées IRI.

Se préparer aux obligations liées à l'IoT LI

Les opérateurs proposant des services IoT et M2M doivent prendre des mesures proactives pour se préparer aux obligations en matière de LI, même lorsque les exigences réglementaires ne sont pas encore pleinement définies. Tout d’abord, évaluez le cadre réglementaire sur chaque marché où vous opérez, en consultant un conseiller juridique et l’autorité de régulation nationale compétente. Ensuite, évaluez vos capacités actuelles en matière de LI au regard des exigences spécifiques relatives à l’interception des données IoT, en identifiant les lacunes en matière d’identification des cibles, de capture du trafic, de génération d’IRI et de transmission des CC.

Troisièmement, élaborez une feuille de route technique visant à renforcer vos capacités de LI afin de prendre en charge l’interception des données de l’IoT. Cette feuille de route doit aborder l’intégration des éléments du réseau IoT à la fonction de médiation LI, l’extension de l’identification des cibles pour prendre en charge les identifiants des appareils IoT, ainsi que la capture des métadonnées et du contenu spécifiques à l’IoT. Quatrièmement, collaborez avec votre fournisseur de solution LI afin de comprendre sa feuille de route concernant la prise en charge de la LI pour l’IoT et d’influencer ses priorités de développement en fonction de vos besoins.

Enfin, documentez votre approche en matière de conformité aux exigences de l'IoT LI, en précisant notamment les éventuelles limites de vos capacités actuelles et les mesures que vous mettez en œuvre pour y remédier. Cette documentation s'avérera précieuse pour démontrer aux autorités de régulation votre volonté de vous conformer en toute bonne foi, même si vos capacités ne sont pas encore pleinement au point.

Conclusion

Le développement de l’IoT et des communications M2M engendre de nouvelles obligations en matière d’interception légale pour les opérateurs, sous l’effet à la fois de l’évolution de la réglementation et de l’importance croissante des données IoT dans le cadre des enquêtes. Bien que les défis techniques liés à l’interception légale dans le cadre de l’IoT soient considérables — qu’il s’agisse de la diversité des protocoles, des modèles de trafic, de l’identification des cibles, du chiffrement ou de l’échelle —, ils ne sont pas insurmontables. Les opérateurs qui analysent leurs risques réglementaires, évaluent leurs capacités techniques et investissent dans des solutions d’interception adaptées à l’IoT seront bien placés pour répondre à ces nouvelles obligations et maintenir leur conformité à mesure que l’écosystème de l’IoT continue de se développer.

L'intersection entre l'Internet des objets (IoT) et l'interception légale soulève également des questions plus larges concernant la portée de la surveillance dans un monde de plus en plus connecté. À mesure que les objets du quotidien sont connectés et génèrent des flux de données, la frontière entre l’interception des communications et la collecte de données au sens large devient de moins en moins nette. Les opérateurs devraient collaborer de manière proactive avec les régulateurs et les organismes sectoriels afin de contribuer à l’élaboration du cadre émergent régissant l’interception légale dans le cadre de l’IoT, en apportant leur expertise technique pratique pour garantir que les exigences qui en résulteront soient à la fois efficaces pour les forces de l’ordre et applicables par les opérateurs.

La portée des obligations en matière d'interception légale dans le cadre de l'IoT varie selon les juridictions et les types de services. Les opérateurs doivent recenser leurs obligations en matière d'interception légale dans le cadre de l'IoT dès les premières étapes de la planification de leur déploiement.

Articles connexes

Pour en savoir plus sur des sujets connexes, consultez les articles suivants :

Ressources externes

Les ressources externes suivantes fournissent un contexte supplémentaire et une documentation officielle :