A LEMF (מתקן לניטור אכיפת החוק) זוהי המערכת בצד אכיפת החוק של יירוט חוקי. היא מקבלת, מקליטה, מפענחת ומנתחת את הנתונים שמספקים ספקי שירותי תקשורת (CSP) בהתאם לצו בית משפט. במשך שנים, מערכת LEMF הייתה למעשה מקליט שיחות מאובטח ביותר. כיום עליה לנהל מאות ספקים מחויבים ואלפי מחזורי חיים של צווים, ומעל הכל עליה להפוך תעבורת IP מוצפנת למידע מודיעיני שמיש.
מדריך זה מסביר מה עושה מערכת LEMF מודרנית, על אילו ממשקי ETSI היא מסתמכת, מדוע הפקס עדיין מהווה חלק מהתמונה, ומדוע ניתוח נתוני IP באמצעות בדיקה מעמיקה של מנות (DPI) זה מה שמבדיל כיום בין LEMF אחד למשנהו.
נקודות עיקריות
- A LEMF is the agency-side counterpart to the operator’s mediation function: it receives intercept-related information (IRI) via HI2 ותוכן התקשורת (CC) באמצעות HI3. Warrants travel over HI1 between the agency’s administration function and the operator’s ADMF. Modern LEMF products usually include that agency-side warrant management as well.
- הנהלת CSP (תהליך קליטת ספקים, נקודות קצה להעברת שיחות, תעודות, איכות השידור) חשובים לא פחות מההקלטה עצמה.
- ניהול צווים מכסה את מחזור החיים המלא, החל מצו בית משפט והקצאת LIID ועד להפעלה, הארכה והשבתה. ממשקים אלקטרוניים כגון ETSI TS 103 120 להזמנות וגרמניה ETSI-ESB בקשות למידע מחליפות את הפקס, אך עדיין נדרשים תהליכי עבודה חלופיים למקרה שהפקס לא יפעל.
- האזנה לקבצי אודיו נותרה משימה מרכזית. עם זאת, עיקר הערך החקירתי טמון כיום ב- ניתוח נתוני IP: שחזור הפעלה, סיווג אפליקציות מוצפנות על בסיס DPI, צירים זמן, מפות וגרפי יחסים.
- שלמות הראיות (נתונים גולמיים חתומים, תיעוד ביקורת, פענוח בגרסאות שונות) היא הקובעת אם התוצאות יחזיקו מעמד בבית המשפט.
מהו LEMF?
במודל הייחוס ליירוט חוקי של ETSI ו-3GPP, ספק שירותי התקשורת (CSP) מפעיל את פונקציית הניהול (ADMF), את נקודות היירוט ואת פונקציית התיווך/העברה. רשות אכיפת החוק (LEA) מפעילה את ה-LEMF. בין השניים נמצא ה- ממשקי העברה:
- HI1 מכיל מידע ניהולי: הפעלה, שינוי וביטול של צווים. למידע בסיסי, ראו את המאמר שלנו בנושא HI1, HI2 ו-HI3.
- HI2 מכיל את נתוני ה-IRI: מי יצר קשר עם מי, מתי, מאיזה מיקום ובאמצעות אילו מזהים.
- HI3 מעביר את התוכן: קול, וידאו, הודעות או מנות IP גולמיות.
The LEMF is where the HI2 and HI3 streams come together, are matched to a case and are made available to authorised investigators, analysts and interpreters.
אבני היסוד של LEMF מודרני
| מודול | מטרה | תקנים / ממשקים נפוצים |
|---|---|---|
| הנהלת CSP | רישום ספקים מחויבים, נקודות קצה, תעודות, יירוטי בדיקה, ניטור מסירה | ETSI TS 102 232-1, TLS/IPsec, שערי הצפנה לאומיים |
| ניהול צווים | תיקי מקרה, מספרי זיהוי ייחודי (LIID), מועדי יעד, הפעלה, הארכה, השבתה | ETSI TS 103 120 (HI1), מעבר לגיבוי פקס; לבקשות מידע: ETSI-ESB / E-Mail-ESB (גרמניה) |
| קבלת נתונים (צד השרת) | קבלת ואחסון HI2/HI3 24 שעות ביממה, איזון, בדיקת תקינות | ETSI TS 101 671 / ES 201 671, ETSI TS 102 232-1 עד -7, 3GPP TS 33.108 / 33.128 |
| פענוח | שחזור שיחות, הודעות, פעילויות גלישה באינטרנט, הודעות דוא"ל וקבצים | מפענחי פרוטוקולים, זיהוי תווים אופטי (OCR), חילוץ מטא-נתונים |
| ניתוח IP ו-DPI | סיווג תעבורה מוצפנת, זיהוי טביעות אצבע, יצירת מתאם, הדמיה | חתימות DPI, טביעות אצבע TLS (JA4), ניתוח זרימה |
| ספסל עבודה לאודיו | השמעה, תמלול, זיהוי דוברים, ניטור בזמן אמת | SIP/RTP, המרת דיבור לטקסט, זיהוי ביומטרי קולי |
| ראיות וייצוא | שרשרת האחריות, יצוא חתום, דוחות מוכנים להגשה לבית המשפט | השימוש באלגוריתמי חשיש, חתימות דיגיטליות, יומני ביקורת |
| חילופי מידע בין-LEMF | שיתוף נתוני יירוט בין סוכנויות | ETSI TS 103 462 (ILHI) |
ניהול CSP: החלק שאף אחד לא מדבר עליו
סוכנות אינה מקבלת נתונים ממפעיל אחד, אלא מעשרות ואף ממאות: מפעילי רשתות סלולריות, מפעילי רשתות וירטואליות (MVNO), ספקי אינטרנט קווי, ספקי VoIP, ובמידה הולכת וגדלה – שירותי OTT ושירותי תקשורת בענן. לכל אחד מהם יש נקודות קצה להעברה, כתובות IP, תעודות, גרסאות תקן נתמכות ומאפיינים ייחודיים משלו.
לפיכך, מערכת LEMF בוגרת כוללת רכיב ייעודי הנהלת CSP מודול:
- מרשם הספקים: ישות משפטית, נקודות קשר, מוקד טלפוני הפועל 24 שעות ביממה, 7 ימים בשבוע, שירותים נתמכים וגרסאות ETSI, וכן מיפוי סוגי מזהים יעד (MSISDN, IMSI, IMEI, SIP URI, שם משתמש, כתובת IP) לספק שאליו יש לפנות.
- ניהול נקודות קצה וניהול הצפנה: כתובות ה-IP של פונקציות האספקה של ספק שירותי הענן (CSP) (רצוי עם כינויים הניתנים לקריאה על ידי בני אדם בתצוגת הניטור), מחזורי החיים של האישורים ושערי ההצפנה הלאומיים המגנים על העברת השליטה.
- תהליך קליטה ונתוני ניטור מבחנים: בדיקות קבלה מובנות לפני העלאת ספק חדש לאוויר, לרבות אימות הפורמט של רשומות HI2 ו-HI3. אותו נוהל חל גם בכיוון ההפוך, כאשר מפעיל מחבר סוכנות חדשה.
- פיקוח על איכות האספקה: בדיקות אוטומטיות לאיתור מספרי רצף חסרים, רשומות פגומות, כשלים בתהליכי שמירת החיבור (keep-alive) ו-IRI שאינם ניתנים להתאמה לתוכן.
איכות מודול זה קובעת את מהירות העלאתו של צו חדש לאוויר, וכן אם האנליסטים יוכלו בסופו של דבר לעבוד עם נתונים מלאים.
ניהול צווי מעצר: מהצו השיפוטי ועד לביטולו
כל יירוט מתחיל בצו חוקי. מערכת ניהול הצווים של ה-LEMF מתרגמת צו זה לאמצעי טכני:
- יצירת תיק: הרשות החוקרת, מספר התיק בפרקליטות, הבסיס המשפטי והחוקרים האחראים.
- הגדרת המידה: מזהי יעד, שירותים (שיחות, SMS, נתונים, העברת הודעות), תאריכי התחלה וסיום, וספק שירותי התקשורת (CSP) שאליו מופנה השירות.
- משימת LIID: מזהה ייחודי של "יירוט חוקי" מקשר כל רשומת IRI ו-CC ישירות לאמצעי זה בדיוק.
- העברה אל ה-CSP: באופן אלקטרוני באמצעות HI1, ככל שהדבר אפשרי.
- בקרת מועדים: תזכורות אוטומטיות לפני תום התוקף, תהליכי הארכה והשבתה מיידית עם סיום ההזמנה.
- עקרון "ארבע העיניים" ו"נתיב הביקורת" בכל שלב.
HI1 ו-ETSI TS 103 120
ETSI TS 103 120 defines a structured interface for warrant information, encoded in XML or JSON and exchanged over HTTPS. It can carry authorisations, tasking objects and delivery instructions between agencies and providers. It replaces paper and fax, cuts activation times and removes typing errors from target identifiers. For a deeper look, read הסבר על תקן ETSI TS 103 120.
ETSI-ESB ו-E-Mail-ESB בגרמניה
בגרמניה, ההנחיה הטכנית TR TKÜV מתארת את ETSI-ESB נוהל (Elektronische Schnittstelle Behörden) לבקשות מידע ותשובות, כגון בקשות לנתוני תנועה. הוא מבוסס על תקן ETSI TS 102 657. מסמך ה-TR TKÜV מתאר גם את הגרסה הפשוטה יותר E-Mail-ESB procedure, and it allows ETSI TS 103 120 (with TS 103 707), the ETSI interface for warrant information, as an alternative electronic channel, by agreement with the Bundesnetzagentur. A LEMF operated by a German agency, or one that works with German CSPs, must be able to handle both. The upcoming rules on quick freeze and שמירת כתובות IP תוסיף סוגי בקשות חדשים לערוצים אלה.
מדוע הפקס עדיין משחק תפקיד
הפקס הוא אמצעי מיושן, אך הוא עדיין לא נעלם. ספקים קטנים רבים וכמה תהליכים חוצי גבולות עדיין מקבלים הזמנות אך ורק בפקס. לפיכך, הסוכנויות עדיין מצפות ל:
- תבניות פקס לצורך הפעלה, הארכה וביטול, המתמלאים באופן אוטומטי על סמך נתוני התיק (רשות, מספר תיק, מזהה היעד, LIID, תקופה, איש קשר).
- קבלת פקסים עם זיהוי תווים אופטי (OCR), כך שהאישורים שהוחזרו יופיעו באינדקס ויהיו ניתנים לחיפוש.
- A תוכנה לצפייה בפקסים ביישום הניתוח, מכיוון שגם פקס הוא שירות תקשורת שניתן ליירט.
המטרה היא להפעיל את שירות הפקס כפתרון גיבוי מבוקר, תוך מעבר של כל ספק שיכול לתמוך בו ל-HI1 או ל-ESB.
קבלת הנתונים: HI2 ו-HI3 בקנה מידה נרחב
מערכת ה-LEMF האחורית חייבת לקבל נתונים 24 שעות ביממה ולא לאבד נתונים בשום פנים ואופן, גם כאשר אתר מסוים מתקלקל או שהאחסון במורד הזרם אינו זמין. הדרישות האופייניות הן:
- קיבוץ פעיל/פעיל ב שני אתרים המרוחקים זה מזה מבחינה גיאוגרפית, כאשר כל אתר מסוגל לשאת את עיקר העומס בכוחות עצמו.
- קליטה של Legacy ו-IP במקביל where needed: some countries still deliver circuit-switched content over ISDN (ETSI TS 101 671), while others, such as Germany since 2022, require IP-based delivery (ETSI TS 102 232-5/-6) for PSTN/ISDN services too; plus Gigabit or 10-Gigabit IP inputs for ETSI TS 102 232 deliveries.
- אחסון מקומי בשרתים המקבלים, כך שנתוני הגלם של מספר ימים יישמרו גם במקרה של הפסקת פעילות במערכת האחסון.
- חתימה דיגיטלית על נתונים גולמיים מיד לאחר אחסונו, כך שניתן יהיה להוכיח את תקינותו בכל עת.
- המתאם בין IRI ל-CC: התאמה לפי מספר הקורלציה, והקצאה מבוססת-כללים של רשומות IRI-CONTINUE ו-IRI-REPORT המגיעות ללא תוכן תואם. לפרטים נוספים, ראו IRI לעומת CC.
- תמיכה סטנדרטית: ETSI TS 101 671 / ES 201 671 for circuit-switched services where national rules still use it, ETSI TS 102 232 parts 1 to 7 for IP-based services, 3GPP TS 33.108 and TS 33.128 for mobile networks up to 5G, and ETSI TS 103 462 for handover between LEMFs.
האזנה: "The Audio Workbench"
יירוט שיחות רחוק מלהיות מיושן. החוקרים מצפים לסביבת עבודה מקצועית לעיבוד אודיו:
- השמעה עם סימונים, לולאות, ערוצים מופרדים לפי כיוון (נכנס/יוצא), בקרת מהירות עם תיקון גובה הצליל ומסנני אודיו, מבלי לשנות את ההקלטה המקורית בשום שלב.
- ניטור בזמן אמת של אמצעים בעלי עדיפות, לרבות שיחות למספר טלפון מורשה עם אימות באמצעות קוד PIN.
- המרת דיבור לטקסט ו- זיהוי הדובר כדי לחפש בקבצי אודיו שאורכם שעות בתוך דקות.
- חלונות תמלול עם תבניות, קישורים בין מוצרים קשורים וחיפוש טקסט מלא בכל התיק.
- גישה מבוססת תפקידים עבור מתורגמנים, בהיקף המצומצם של ההקלטות שהוקצו להם.
הגורם המבדיל האמיתי: ניתוח נתוני IP ובדיקת מנות נתונים מעמיקה
במקרה של מרבית היעדים כיום, עיקר הנתונים שנלכדו הוא תעבורת IP, ורובם מוצפנים. מערכת LEMF שמסוגלת להציג רק “10 GB של TLS” אינה מועילה במיוחד. כאן נכנס לתמונה בדיקת חבילות מעמיקה וכאן נכנסים לתמונה הניתוחים:
- שחזור ופענוח של הפעלה: דפי אינטרנט, דואר אלקטרוני (POP3, IMAP, SMTP), העברת קבצים, שיחות VoIP ופרוטוקולי צ'אט לא מוצפנים משוחזרים כ“מוצרים” הניתנים לקריאה, כולל מטא-נתונים וקבצים מצורפים הנפתחים בסביבת בדיקה מאובטחת.
- סיווג שירותים מוצפנים: גם כאשר לא ניתן לשחזר את התוכן, ה-DPI מזהה את האפליקציה (למשל WhatsApp, Signal, Threema או Telegram) ומציג את כמות הנתונים שהוחלפה ואת מועד ההחלפה. הגופים מצפים יותר ויותר שהמסווגים יעודכנו באופן רציף ושהצוות שלהם יוכל להתאים אותם.
- סיווג תוכן: התוכן המפוענח מוקצה באופן אוטומטי לקטגוריות כגון הודעות, קניות, פיננסים או אלימות.
- OCR וחילוץ מטא-נתונים מתמונות, מסמכים ופקסים (EXIF, IPTC), שכולם ממוינים לצורך חיפוש טקסט מלא.
- תצוגת ציר זמן: כל הפרוטוקולים והמוצרים מוצגים על ציר זמן אחד הניתן להגדלה, ברמת דיוק של שניות, המסונכרן עם רשימת המוצרים.
- ניתוח תעבורה מפורט, בדומה לכלי לניטור רשתות, המוגבל למדדים שהאנליסט מורשה לגשת אליהם.
- ניתוח גיאוגרפי: נתוני מיקום מ-IRI ומאפליקציות על גבי מפה, מסלולי תנועה, ייבוא נתוני Cell-ID לנקודות קואורדינטות והתראות גיאוגרפיות כאשר יעדים נכנסים לאזור, עוזבים אותו או נפגשים זה עם זה.
- גרפי ישויות ויחסים שמקשרים מספרי טלפון, חשבונות, מכשירים ומיקומים לאנשים ולקבוצות.
- התראות מבוססות כללים על פי מספרי טלפון, מזהי IP, מילות מפתח, טווחי זמן ואזורים גיאוגרפיים, הנמסרים באפליקציה, בדוא"ל או בהודעת SMS.
- העברת PCAP לכלים כגון Wireshark, ו- ממשק ה-API של המפענח המאפשרת לסוכנות להוסיף מודולי פרוטוקול משלה מבלי לשנות את הליבה.
במאמר הבא בסדרה זו נבחן כיצד פועלים זיהוי טביעות אצבע של TLS, זיהוי דפוסי תעבורה וקורלציה של כתובות IP. לגבי ההשפעה של DNS מוצפן, ראו DNS מוצפן (DoH/DoT) ויירוט חוקי.
שלמות הראיות, פרטיות ותפקידים
מסמך LEMF מהווה ראיה, ולכן עליו לעמוד בסטנדרטים של בית משפט:
- שרשרת האחריות: נתונים גולמיים חתומים, ייצוא נתונים עם חתימת hash ויומן ביקורת מקיף המפרט מי ניגש לאיזה מידע ומתי.
- פענוח לפי גרסאות: אם המפענח מתעדכן והנתונים מפוענחים מחדש, התוצאות וההערות הקודמות נותרות זמינות, והשינויים מוצגים בהיסטוריית השינויים.
- הגנה על תוכן מוגן בזכויות יוצרים: הקלטות הנכללות תחת כלל החרגה (למשל, התחום המרכזי של החיים הפרטיים) ניתן לסמן ולנעול, בכפוף לאישור המנהל.
- מודל לחיקוי: מנהלי מערכות, מנהלי LI, מנהלי תיקים, אנליסטים ומתורגמנים, כאשר לכל אחד מהם יש את ההרשאות המינימליות הדרושות לו, עד לרמת התיק.
- תהליכי עבודה למחיקה המתעדים את מחיקת הנתונים ברגע שהשמירתם כבר אינה חוקית.
רשימת הבדיקה של הקונה של LEMF
- Supports ETSI TS 102 232-1 to -7, 3GPP TS 33.108 / 33.128, ETSI TS 101 671 where national rules still use it, and has a roadmap for TS 103 120 and TS 103 462
- מציע ניהול CSP מובנה, הכולל בדיקות קליטה וניטור איכות האספקה
- מספק ניהול צווים הכולל מועדי יעד, עקרון "ארבע העיניים", תמיכה ב-ESB ופתרון גיבוי באמצעות פקס
- מסווגת אפליקציות מוצפנות באמצעות DPI, עם עדכונים רציפים וכללים הניתנים להתאמה על ידי הארגון
- כולל ממשק API לתוסף מפענח וייצוא PCAP
- מספק ציר זמן, מפה, גרף והתראות ביישום אחד
- מזהה נתונים בעת הייבוא, שומר תיעוד ביקורת מלא ומנהל גרסאות של פענוח הנתונים
- פועל במצב "פעיל/פעיל" עם אגירה מקומית ומאפשר הרחבה אופקית
כיצד ICS מסייע לגופי אכיפת החוק ולמפעילים
ל-ICS International Carrier Services יש long-standing experience in telecommunications, lawful interception and compliance, has taken solutions through BNetzA acceptance and works with security-cleared staff. Because we operate LI on the provider side every day, we know exactly what arrives at a LEMF, and what goes wrong on the way.
- דרישות ותמיכה במכרזים: אנו מסייעים לסוכנויות להגדיר דרישות LEMF מציאותיות ומבוססות על תקנים, החל מממשקי ETSI ועד ל-DPI וניתוח נתונים.
- הטמעת CSP ובדיקת ממשקים: תצורת העברה, ניהול אישורים, אימות פורמט ובדיקות מסירה עבור ספקים חדשים.
- שילוב בין HI1 ל-ESB: חיבור ניהול הצווים לתקן ETSI TS 103 120 ולתהליכי העבודה של ESB הגרמני, כולל מעבר מבוקר לשיטת גיבוי באמצעות פקס.
- הבטחת איכות האספקה: אימות אוטומטי של זרמי HI2/HI3 וניטור השלמות.
- ICS LEMF: our law enforcement monitoring facility, combining CSP and warrant management with recording and analysis. Ask us about the current feature set and roadmap. Operators can use our Test LEMF to verify their HI2/HI3 delivery. See ICS LEMF.
- מפענחים מותאמים אישית ושילובים נוצר כדי להתאים לסביבתך. ראה אינטגרציה ופיתוח מותאם אישית.
- הכשרה לצוותים טכניים בנושא תקני ETSI, ממשקים ופתרון תקלות.
למידע נוסף על פתרון לניטור כוחות אכיפת החוק, העבודה שלנו עם רשויות הפיקוח ואכיפת החוק, או לבקש הדגמה של ICS LEMF.
שאלות נפוצות
מה פירוש ראשי התיבות LEMF?
LEMF הוא ראשי התיבות של "Law Enforcement Monitoring Facility" (מתקן מעקב של רשויות אכיפת החוק). זוהי מערכת המופעלת על ידי רשות אכיפת חוק לצורך קבלת, הקלטה וניתוח תקשורת שנקלטו באופן חוקי מספקי שירותים.
מה ההבדל בין LEMF ל-LIMS?
מערכת LIMS (מערכת לניהול יירוט חוקי) runs on the operator side. It administers interception targets and controls the network’s points of interception and the mediation function. The LEMF runs on the agency side and receives the results. The LIMS exchanges warrants with the agency over HI1; the operator’s mediation function delivers the results to the LEMF over HI2 and HI3.
אילו תקני ETSI חייב LEMF לתמוך בהם?
At a minimum, ETSI TS 102 232 parts 1 to 7 for IP services, ETSI TS 101 671 / ES 201 671 for circuit-switched services where national rules still use it, plus 3GPP TS 33.108 and TS 33.128 for mobile networks. ETSI TS 103 120 (warrant interface) and ETSI TS 103 462 (inter-LEMF handover) are increasingly required.
האם LEMF יכול לנתח תעבורה מוצפנת?
LEMF אינו יכול לפצח הצפנה מקצה לקצה. עם זאת, באמצעות בדיקת חבילות נתונים מעמיקה, זיהוי טביעות אצבע של TLS וניתוח זרימת נתונים, הוא יכול לזהות איזו יישום שימש, מתי ובאיזו תדירות, ולקשר את הפעילות הזו לנתונים אחרים בתיק.
מדוע מכשירי LEMF עדיין תומכים בפקס?
ישנם ספקים והליכים חוצי גבולות שעדיין מקבלים הזמנות רק באמצעות פקס. מערכת LEMF מודרנית מייצרת הזמנות פקס מתוך נתוני התיק, ומאינדקסת פקסים שהתקבלו באמצעות זיהוי תווים אופטי (OCR), בעוד שהספקים עוברים בהדרגה לממשקים אלקטרוניים כגון ETSI TS 103 120 או ESB.
מאמרים קשורים
- HI1 לעומת HI2 לעומת HI3: הבנת שלושת ממשקי היירוט החוקיים
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
- כיצד פועלת פונקציית הגישור: הגשר בין הרשת שלכם לבין רשויות אכיפת החוק
- מהו יירוט חוקי? מדריך מקיף
- ICS LEMF: מתקן לניטור אכיפת החוק
