Les informations relatives aux interceptions constituent la colonne vertébrale des métadonnées de chaque interception légale opération. Dans le cadre d'une interception légale, deux catégories de données sont essentielles à toute opération d'interception : les informations liées à l'interception (IRI) et le contenu des communications (CC). Ces deux types de données constituent le cœur de ce qu’un opérateur transmet aux forces de l’ordre lorsqu’il exécute un mandat d’interception, et elles sont acheminées via des interfaces de transfert distinctes — HI2 pour les IRI et HI3 pour le CC — dans le cadre de l’ETSI. Si la plupart des professionnels comprennent la distinction fondamentale — les IRI sont des métadonnées, le CC est le contenu —, les implications pratiques de cette distinction sont plus nuancées qu’il n’y paraît à première vue.
Cet article examine la signification pratique des termes IRI et CC, les éléments de données qu'ils englobent, la manière dont ils sont générés et fournis, et l'importance de cette distinction pour les opérateurs, les services répressifs et l'écosystème plus large de l'interception légale.
Ce que signifie l'information relative à l'interception
Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself — that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.
Les éléments de données spécifiques inclus dans l'IRI varient en fonction du type de communication et de la technologie de réseau impliquée. Pour un appel vocal traditionnel, l'IRI comprend généralement le numéro appelant (numéro A), le numéro appelé (numéro B), l'IMSI et l'IMEI de l'appareil de la cible, l'heure à laquelle l'appel a été lancé, l'heure à laquelle il a été répondu, la durée de l'appel, les identifiants cellulaires au début et pendant l'appel (fournissant des informations de localisation), et la disposition de l'appel (répondu, occupé, pas de réponse, transféré). Pour une session de données IP, l'IRI peut comprendre l'adresse IP de la cible, le nom du point d'accès (APN) attribué, les paramètres du support, les heures de début et de fin de la session et le volume de données transférées.
IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication — for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the fonction de médiation, which turns them into standard IRI records in ETSI format.
L'une des caractéristiques les plus importantes de l'IRI est sa nature structurée. Comme l'IRI est codée au format ASN.1 selon des structures de données bien définies, elle peut être automatiquement analysée et traitée par les systèmes des services répressifs. Ce format structuré permet d'automatiser la corrélation, l'analyse des schémas et les opérations d'exploration de données, ce qui serait beaucoup plus difficile avec des données non structurées. La valeur d'investigation de l'IRI ne doit pas être sous-estimée - dans de nombreux cas, les métadonnées fournies par l'IRI sont aussi précieuses, voire plus précieuses, que le contenu lui-même.
Définir le CC : la couche de contenu
Content of communication is the actual substance of the intercepted communication — the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.
The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.
L'interception de données produit un volume de CC nettement plus important que l'interception vocale. Un seul appel vocal génère un flux audio continu mais à largeur de bande relativement faible, tandis qu'une session de données peut générer des gigaoctets de trafic en fonction de l'activité de la cible. Cette disparité a des conséquences importantes sur le dimensionnement des systèmes LI, la largeur de bande des canaux de transmission HI3 et la capacité de stockage nécessaire au LEMF.
The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.
L'importance de la distinction
The distinction between IRI and CC is not merely technical — it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.
D'un point de vue opérationnel, l'IRI et le CC présentent des caractéristiques différentes en termes de volume, de format, d'exigences de traitement et de mécanismes de livraison. L'IRI est relativement compacte et structurée, ce qui la rend bien adaptée au traitement et à l'analyse automatisés. Les CC sont potentiellement volumineux et leur format est très variable, ce qui nécessite des approches différentes en matière de traitement, de stockage et d'analyse. Les opérateurs doivent concevoir leurs systèmes LI de manière à traiter efficacement les deux types de données, avec des mécanismes appropriés de mise en mémoire tampon, de contrôle des flux et de qualité de service.
D’un point de vue stratégique et d’enquête, l’IRI et le CC fournissent différents types de renseignements. L’IRI permet l’analyse des tendances, la cartographie des réseaux, le suivi de localisation et l’identification des schémas de communication au fil du temps. Le CC offre un aperçu direct du contenu de communications spécifiques, mais son traitement et son analyse peuvent nécessiter un effort considérable — en particulier pour les interceptions de données générant d’importants volumes de contenus multimédias. Services chargés de l'application de la loi reconnaissent de plus en plus la valeur stratégique des métadonnées, et dans certaines enquêtes, les IRI peuvent constituer l'objectif principal des opérations d'interception.
L'IRI dans les réseaux modernes
Le passage des réseaux à commutation de circuits aux réseaux à commutation de paquets a considérablement élargi la portée et la complexité de l'IRI. Dans les réseaux de téléphonie traditionnels, l'IRI était relativement simple - la signalisation de l'établissement de l'appel fournissait un ensemble bien défini d'éléments de métadonnées. Dans les réseaux IP modernes, le paysage de la signalisation est beaucoup plus diversifié et complexe, impliquant des protocoles tels que SIP, Diameter, GTP-C, et divers protocoles de la couche application.
VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.
In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.
L'impact du cryptage sur le CC
L'un des défis les plus importants pour la fourniture de CC dans les réseaux modernes est la prévalence croissante du cryptage. Les communications cryptées de bout en bout - telles que celles fournies par les applications de messagerie avec E2EE - ne peuvent pas être interceptées de manière significative au niveau de la couche réseau. L'opérateur peut capturer les paquets cryptés, mais sans les clés de cryptage, le contenu est inintelligible. Cela crée une situation dans laquelle l'opérateur peut fournir l'IRI (qui est généré à partir de la signalisation du réseau et ne dépend pas de l'accès au contenu) mais ne peut pas fournir un CC utilisable.
This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate — if one is reached — will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.
Considérations pratiques pour les opérateurs
Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.
Les essais sont essentiels pour vérifier que l'IRI et le CC sont générés correctement. Les opérateurs doivent effectuer des tests complets par rapport aux définitions de la structure des données IRI de l'ETSI, en s'assurant que tous les éléments de données requis sont présents et correctement renseignés pour chaque type d'événement. La livraison des CC doit être testée en termes de fidélité, de synchronisation et d'exhaustivité pour tous les types de médias pris en charge.
Enfin, les opérateurs doivent maintenir leurs systèmes LI au fur et à mesure de l'évolution de leurs réseaux. De nouveaux services, de nouveaux protocoles et de nouvelles technologies de réseau nécessiteront des mises à jour des capacités de génération d'IRI et de capture de CC. Un système d'interception légale qui était totalement conforme au moment de son déploiement peut devenir non conforme au fur et à mesure que le réseau évolue, ce qui fait de la maintenance et du développement continus un élément essentiel du programme de conformité.
Conclusion
L'IRI et le CC sont les deux piliers de la fourniture de données d'interception légale. L'IRI fournit les métadonnées structurées qui permettent l'analyse des schémas, la localisation et la cartographie des communications. CC fournit le contenu réel des communications interceptées, offrant un aperçu direct de ce que les cibles communiquent. Ensemble, ils forment une image complète qui soutient les enquêtes des forces de l'ordre. Pour les opérateurs, il est essentiel de comprendre les implications techniques, juridiques et opérationnelles de l'IRI et du CC - et de mettre en place des systèmes LI qui traitent efficacement les deux - afin de respecter leurs obligations en matière d'interception légale dans les réseaux de télécommunications modernes.
L'exactitude de la collecte des informations relatives à l'interception est fondamentale pour la légalité des opérations d'interception. Les opérateurs doivent veiller à ce que leurs systèmes saisissent tous les champs d'information requis en matière d'interception.
Articles connexes
Pour en savoir plus sur des sujets connexes, consultez les articles suivants :
- HI1 vs HI2 vs HI3 : comprendre les trois interfaces d'interception légale
- Comment fonctionne une fonction de médiation : Le pont entre votre réseau et les forces de l'ordre
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
Ressources externes
Les ressources externes suivantes fournissent un contexte supplémentaire et une documentation officielle :
