Intercept related information forms the metadata backbone of every יירוט חוקי operation. In lawful interception, two categories of data are fundamental to every interception operation: intercept-related information (IRI) and content of communication (CC). These two data types form the core of what an operator delivers to law enforcement when executing an interception order, and they are carried over separate handover interfaces — HI2 for IRI and HI3 for CC — in the ETSI framework. While most practitioners understand the basic distinction — IRI is metadata, CC is content — the practical implications of this distinction are more nuanced than they first appear.
מאמר זה בוחן מה המשמעות המעשית של IRI ו-CC, אילו רכיבי נתונים כל אחד מהם כולל, כיצד הם נוצרים ומועברים, ומדוע ההבחנה ביניהם חשובה למפעילים, לגורמי אכיפת החוק ולמערכת היירוט החוקי בכללותה.
מהי משמעות המידע הקשור ל-Intercept
Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself — that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.
הפרטים הספציפיים הכלולים ב-IRI משתנים בהתאם לסוג התקשורת ולטכנולוגיית הרשת הרלוונטית. בשיחת קול מסורתית, ה-IRI כולל בדרך כלל את מספר המתקשר (מספר A), את מספר הנמען (מספר B), ה-IMSI וה-IMEI של המכשיר של היעד, השעה שבה החלה השיחה, השעה שבה נענתה, משך השיחה, מזהי התאים בתחילת השיחה ובמהלכה (המספקים מידע על המיקום) ותוצאת השיחה (נענתה, תפוס, ללא מענה, הועברה). במקרה של הפעלת נתונים ב-IP, ה-IRI עשוי לכלול את כתובת ה-IP של היעד, ה-APN (Access Point Name) שהוקצה, פרמטרי הנשא, זמני התחלת וסיום ההפעלה, ונפח הנתונים שהועברו.
IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication — for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the פונקציית תיווך, which turns them into standard IRI records in ETSI format.
אחת התכונות החשובות ביותר של IRI היא האופי המובנה שלו. מכיוון ש-IRI מקודד בפורמט ASN.1 בהתאם למבני נתונים מוגדרים היטב, מערכות אכיפת החוק יכולות לנתח, לעבד ולבחון אותו באופן אוטומטי. פורמט מובנה זה מאפשר ביצוע פעולות של קורלציה אוטומטית, ניתוח תבניות וכריית נתונים, שהיו קשות הרבה יותר עם נתונים לא מובנים. אין להמעיט בערכו החקירתי של ה-IRI — במקרים רבים, המטא-נתונים שמספק ה-IRI הם בעלי ערך זהה, או אף רב יותר, מהתוכן עצמו.
הגדרת CC: שכבת התוכן
Content of communication is the actual substance of the intercepted communication — the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.
The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.
יירוט נתונים מייצר נפח CC גדול משמעותית בהשוואה ליירוט שיחות קוליות. שיחת קול אחת מייצרת זרם אודיו רציף אך בעל רוחב פס נמוך יחסית, בעוד שמפגש נתונים יכול לייצר גיגה-בייטים של תעבורה, בהתאם לפעילותו של היעד. לפער זה יש השלכות חשובות על תכנון מערכות ה-LI, על רוחב הפס של ערוצי השידור של ה-HI3 ועל נפח האחסון הנדרש ב-LEMF.
The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.
מדוע ההבחנה הזו חשובה
The distinction between IRI and CC is not merely technical — it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.
מנקודת מבט תפעולית, ל-IRI ול-CC מאפיינים שונים מבחינת נפח, פורמט, דרישות עיבוד ומנגנוני העברה. ה-IRI הוא קומפקטי ומובנה יחסית, מה שהופך אותו למתאים במיוחד לעיבוד וניתוח אוטומטיים. ה-CC עלול להיות נרחב ומגוון מאוד מבחינת הפורמט, ולכן דורש גישות שונות לטיפול, אחסון וניתוח. על המפעילים לתכנן את מערכות ה-LI שלהם כך שיוכלו לטפל ביעילות בשני סוגי הנתונים, תוך שימוש במנגנונים מתאימים לאגירה, בקרת זרימה ואיכות שירות.
From a strategic and investigative perspective, IRI and CC provide different types of intelligence. IRI enables pattern analysis, network mapping, location tracking, and the identification of communication patterns over time. CC provides direct insight into the substance of specific communications but may require significant effort to process and analyse — particularly for data interceptions that produce large volumes of mixed-media content. רשויות אכיפת החוק increasingly recognise the strategic value of metadata, and in some investigations, IRI may be the primary focus of the interception effort.
IRI ברשתות מודרניות
המעבר מרשתות מנותבות-מעגלים לרשתות מנותבות-חבילות הרחיב באופן משמעותי את היקף ומורכבות ה-IRI. ברשתות טלפוניה מסורתיות, ה-IRI היה פשוט יחסית — איתותי הקמת השיחה סיפקו מערך מוגדר היטב של רכיבי מטא-נתונים. ברשתות IP מודרניות, תמונת האיתותים מגוונת ומורכבת הרבה יותר, וכוללת פרוטוקולים כגון SIP, Diameter, GTP-C ופרוטוקולים שונים בשכבת היישום.
VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.
In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.
השפעת ההצפנה על CC
אחד האתגרים המשמעותיים ביותר בהעברת CC ברשתות מודרניות הוא השימוש הגובר בהצפנה. לא ניתן ליירט תקשורת מוצפנת מקצה לקצה — כגון זו שמספקות אפליקציות מסרים עם E2EE — באופן משמעותי בשכבת הרשת. המפעיל יכול ללכוד את החבילות המוצפנות, אך ללא מפתחות ההצפנה, התוכן אינו מובן. מצב זה יוצר מצב שבו המפעיל יכול לספק IRI (הנוצר מאיתות הרשת ואינו תלוי בגישה לתוכן) אך אינו יכול לספק CC שמיש.
This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate — if one is reached — will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.
שיקולים מעשיים למפעילים
Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.
ביצוע בדיקות הוא חיוני כדי לוודא ש-IRI ו-CC נוצרים כהלכה. על המפעילים לבצע בדיקות מקיפות בהתאם להגדרות מבנה הנתונים של ETSI IRI, כדי להבטיח שכל רכיבי הנתונים הנדרשים קיימים ומולאו כהלכה עבור כל סוג אירוע. יש לבדוק את העברת ה-CC מבחינת דיוק, תזמון ושלמות בכל סוגי המדיה הנתמכים.
לבסוף, על המפעילים לתחזק את מערכות ה-LI שלהם בהתאם להתפתחות הרשתות שלהם. שירותים חדשים, פרוטוקולים חדשים וטכנולוגיות רשת חדשות ידרשו עדכונים ביכולות יצירת ה-IRI ולכידת ה-CC. מערכת יירוט חוקית שהייתה תואמת לחלוטין בעת פריסתה עלולה להפוך ללא תואמת עם שינויים ברשת, מה שהופך את התחזוקה והפיתוח השוטפים לחלק חיוני בתוכנית התאימות.
סיכום
IRI ו-CC הם שני עמודי התווך של העברת נתוני יירוט חוקי. IRI מספק את המטא-נתונים המובנים המאפשרים ניתוח תבניות, מעקב אחר מיקום ומיפוי תקשורת. CC מספק את התוכן הממשי של התקשורת שיורטה, ומציע תובנה ישירה לגבי תוכן התקשורת של היעדים. יחד, הם יוצרים תמונה מלאה התומכת בחקירות אכיפת החוק. עבור המפעילים, הבנת ההשלכות הטכניות, המשפטיות והתפעוליות של IRI ו-CC — ובניית מערכות LI המטפלות בשניהם ביעילות — היא חיונית לעמידה בחובות היירוט החוקי ברשתות תקשורת מודרניות.
איסוף מדויק של מידע הקשור ליירוט הוא מרכיב בסיסי בפעולות יירוט חוקיות. על המפעילים להבטיח שהמערכות שלהם אוספות את כל שדות המידע הנדרשים הקשורים ליירוט.
מאמרים קשורים
לקריאה נוספת בנושאים קשורים, עיין במאמרים הבאים:
- HI1 לעומת HI2 לעומת HI3: הבנת שלושת ממשקי היירוט החוקיים
- כיצד פועלת פונקציית הגישור: הגשר בין הרשת שלכם לבין רשויות אכיפת החוק
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
משאבים חיצוניים
המשאבים החיצוניים הבאים מספקים מידע רקע נוסף ומסמכים רשמיים:
