Intercept related information forms the metadata backbone of every intercettazione lecita operation. In lawful interception, two categories of data are fundamental to every interception operation: intercept-related information (IRI) and content of communication (CC). These two data types form the core of what an operator delivers to law enforcement when executing an interception order, and they are carried over separate handover interfaces — HI2 for IRI and HI3 for CC — in the ETSI framework. While most practitioners understand the basic distinction — IRI is metadata, CC is content — the practical implications of this distinction are more nuanced than they first appear.
Questo articolo esamina il significato pratico di IRI e CC, gli elementi di dati che ciascuno di essi comprende, le modalità di generazione e consegna e i motivi per cui la distinzione è importante per gli operatori, le forze dell'ordine e il più ampio ecosistema delle intercettazioni legali.
Cosa significano le informazioni relative alle intercettazioni
Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself — that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.
Gli elementi di dati specifici inclusi nell'IRI variano a seconda del tipo di comunicazione e della tecnologia di rete coinvolta. Per una chiamata vocale tradizionale, l'IRI include tipicamente il numero chiamante (numero A), il numero chiamato (numero B), l'IMSI e l'IMEI del dispositivo del destinatario, l'ora di inizio della chiamata, l'ora di risposta, la durata della chiamata, gli identificatori di cella all'inizio e durante la chiamata (che forniscono informazioni sulla posizione) e la disposizione della chiamata (risposta, occupato, non risposta, inoltrata). Per una sessione di dati IP, l'IRI può includere l'indirizzo IP del destinatario, l'APN (Access Point Name) assegnato, i parametri del portatore, gli orari di inizio e fine della sessione e il volume di dati trasferiti.
IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication — for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the funzione di mediazione, which turns them into standard IRI records in ETSI format.
Una delle caratteristiche più importanti dell'IRI è la sua natura strutturata. Poiché l'IRI è codificato in formato ASN.1 secondo strutture di dati ben definite, può essere automaticamente analizzato, elaborato e analizzato dai sistemi di applicazione della legge. Questo formato strutturato consente correlazioni automatiche, analisi di modelli e operazioni di data mining che sarebbero molto più difficili con dati non strutturati. Il valore investigativo dell'IRI non deve essere sottovalutato: in molti casi, i metadati forniti dall'IRI hanno lo stesso valore del contenuto stesso, se non addirittura di più.
Definizione di CC: il livello di contenuto
Content of communication is the actual substance of the intercepted communication — the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.
The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.
L'intercettazione dei dati produce un volume di CC significativamente maggiore rispetto all'intercettazione vocale. Una singola chiamata vocale genera un flusso audio continuo ma con una larghezza di banda relativamente bassa, mentre una sessione di dati può generare gigabyte di traffico a seconda dell'attività dell'obiettivo. Questa disparità ha importanti implicazioni per il dimensionamento dei sistemi LI, per la larghezza di banda dei canali di trasmissione HI3 e per la capacità di archiviazione richiesta al LEMF.
The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.
Perché la distinzione è importante
The distinction between IRI and CC is not merely technical — it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.
Da un punto di vista operativo, l'IRI e il CC presentano caratteristiche diverse in termini di volume, formato, requisiti di elaborazione e meccanismi di consegna. L'IRI è relativamente compatto e strutturato e si presta bene all'elaborazione e all'analisi automatizzata. Il CC è potenzialmente voluminoso e varia ampiamente nel formato, richiedendo approcci diversi per la gestione, l'archiviazione e l'analisi. Gli operatori devono progettare i loro sistemi LI per gestire entrambi i tipi di dati in modo efficiente, con buffering appropriato, controllo del flusso e meccanismi di qualità del servizio.
From a strategic and investigative perspective, IRI and CC provide different types of intelligence. IRI enables pattern analysis, network mapping, location tracking, and the identification of communication patterns over time. CC provides direct insight into the substance of specific communications but may require significant effort to process and analyse — particularly for data interceptions that produce large volumes of mixed-media content. Forze dell'ordine increasingly recognise the strategic value of metadata, and in some investigations, IRI may be the primary focus of the interception effort.
L'IRI nelle reti moderne
La transizione dalle reti a commutazione di circuito a quelle a commutazione di pacchetto ha ampliato in modo significativo la portata e la complessità dell'IRI. Nelle reti telefoniche tradizionali, l'IRI era relativamente semplice: la segnalazione dell'impostazione della chiamata forniva un insieme ben definito di elementi di metadati. Nelle moderne reti IP, il panorama delle segnalazioni è molto più vario e complesso e coinvolge protocolli come SIP, Diameter, GTP-C e vari protocolli di livello applicativo.
VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.
In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.
L'impatto della crittografia sul CC
Una delle sfide più significative per la distribuzione di CC nelle reti moderne è la crescente diffusione della crittografia. Le comunicazioni crittografate end-to-end, come quelle fornite dalle applicazioni di messaggistica con E2EE, non possono essere intercettate in modo significativo a livello di rete. L'operatore può catturare i pacchetti crittografati, ma senza le chiavi di crittografia il contenuto è incomprensibile. Ciò crea una situazione in cui l'operatore può fornire l'IRI (che è generato dalla segnalazione di rete e non dipende dall'accesso al contenuto) ma non può fornire CC utilizzabile.
This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate — if one is reached — will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.
Considerazioni pratiche per gli operatori
Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.
I test sono essenziali per verificare che l'IRI e il CC siano generati correttamente. Gli operatori devono condurre test completi rispetto alle definizioni della struttura dei dati IRI dell'ETSI, assicurandosi che tutti gli elementi di dati richiesti siano presenti e popolati correttamente per ogni tipo di evento. L'invio di CC deve essere testato per verificarne la fedeltà, la tempistica e la completezza su tutti i tipi di media supportati.
Infine, gli operatori devono mantenere i loro sistemi LI in funzione dell'evoluzione delle loro reti. Nuovi servizi, nuovi protocolli e nuove tecnologie di rete richiederanno aggiornamenti alla generazione di IRI e alle capacità di acquisizione di CC. Un sistema di intercettazione legale che era pienamente conforme al momento dell'implementazione può diventare non conforme quando la rete cambia, rendendo la manutenzione e lo sviluppo continui una parte fondamentale del programma di conformità.
Conclusione
IRI e CC sono i due pilastri della fornitura di dati di intercettazione legali. L'IRI fornisce i metadati strutturati che consentono l'analisi dei modelli, la localizzazione e la mappatura delle comunicazioni. Il CC fornisce il contenuto effettivo delle comunicazioni intercettate, offrendo una visione diretta delle comunicazioni degli obiettivi. Insieme, formano un quadro completo che supporta le indagini delle forze dell'ordine. Per gli operatori, la comprensione delle implicazioni tecniche, legali e operative dell'IRI e del CC, e la creazione di sistemi LI che gestiscano entrambi in modo efficace, è essenziale per soddisfare gli obblighi di intercettazione legale nelle moderne reti di telecomunicazione.
La raccolta accurata di informazioni sulle intercettazioni è fondamentale per le operazioni di intercettazione legali. Gli operatori devono assicurarsi che i loro sistemi acquisiscano tutti i campi di informazioni sulle intercettazioni richiesti.
Articoli correlati
Per ulteriori letture su argomenti correlati, esplorate questi articoli:
- HI1 vs HI2 vs HI3: capire le tre interfacce di intercettazione legale
- Come funziona una funzione di mediazione: Il ponte tra la rete e le forze dell'ordine
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
Risorse esterne
Le seguenti risorse esterne forniscono ulteriore contesto e documentazione ufficiale:
