合法的な傍受のためのディープパケットインスペクション これは通常、法執行機関の側面と関連付けられています。つまり、機関は未処理のIPパケットを受信し、監視施設でそれらを分析します。しかし、この作業の一部を代行できないか、と問うネットワーク事業者や機関がますます増えています。 プロバイダーにて, 、トラフィックの近くで。このモデルでは、プロバイダーは傍受地点でメタデータを抽出・補完し、通信の完全なコピーとともにそれを引き渡します。.
Whether a provider may do any of this depends on national law: in Germany, analysis stays with the agency. Where it is allowed and done right, provider-side DPI speeds up investigations, can reduce data volumes where an order limits the scope, and gives agencies context they could not reconstruct themselves. Done wrong, it breaks evidence rules or exceeds the legal mandate. This article explains the architecture, what can be extracted, how enriched data is delivered, and where the boundaries are.
主なポイント
- プロバイダ側のDPI 補完 当該通達の全文。ただし、命令および国内規則において適用範囲の縮小が明示的に認められている場合を除き、これをもって当該通達の代わりとなることはない。.
- このプロバイダーには network context the agency lacks: line identity, NAT mappings, cell and location data, device identifiers and precise session timing. Subscriber details such as name and address need a separate request.
- 一般的に抽出されるメタデータには、次のようなものがあります。 フローレコード、DNS、SNI、TLSフィンガープリント（JA4）、アプリケーション分類、VoIPシグナリング、およびアクティビティの種類.
- 拡張データは、以下の形式で提供されなければなりません。 合意済み、文書化された形式, for example as additional IRI records where the national specification allows it. Whether a provider may deliver any of it is jurisdiction-dependent: in Germany the provider hands over only the copy and the § 7 TKÜV event data, and analysis belongs to the agency.
- Where national law allows it, everything must be target-specific, reproducible, documented and strictly separated from commercial DPI. An acceptance concept documents it but cannot make it lawful.
なぜプロバイダ側でディープパケットインスペクションを行うのか？
| ドライバー | 代理店にとってのメリット | プロバイダーにとってのメリット |
|---|---|---|
| 帯域幅の拡大（マルチギガビットFTTH、5G） | 完全なコピーの処理に時間がかかったとしても、メタデータはすぐに利用可能です | 適用範囲の制限がある場合、引き継ぎリンクにかかる負担が軽減される |
| 暗号化されたトラフィック | 事前分類されたセッションとフィンガープリント | 既存のDPIに関する専門知識の再活用 |
| ネットワークのコンテキスト | Line, NAT, cell and device data attached to each flow | Fewer follow-up requests for basic context, where national rules list the data for the copy (subscriber name and address always need a separate request) |
| 緊急を要する症例 | 行動パターンに関するほぼリアルタイムの通知 | 明確に定義された自動化されたプロセス |
| 複雑なアクセスモデル | CGNATの背後および卸売環境における正しい帰属 | 不完全な傍受に関する紛争が減少 |
法律がどこに一線を引くか
何かを設計する前に、プロバイダーは自らの法的立場を把握しておく必要があります：
- まずは全文を掲載します。. In most European jurisdictions the provider must deliver a 完全かつ改変のない写し of the target’s telecommunications. Where national law allows enrichment, it is an addition; in Germany it is not allowed (see below). Filtering is allowed only where the order limits the scope.
- 注文内容以外の分析は行わない。. プロバイダ側のDPIは、以下のトラフィックのみを処理できる。 順序付きターゲット かつ、その目的は傍受に限られる。一括分析や対象を特定しない分析は許可されない。.
- 商用DPIとの分離。. EUの「オープン・インターネット規則」（EU）2015/2120は、トラフィック管理を目的としたDPIを制限しているが、EU法または国内法に準拠するために必要な措置は認めている。したがって、LI処理は、アクセス制御が施された独立した環境で行われなければならず、いかなる場合も商用システムにデータを提供してはならない。.
- 守秘義務。. 職員およびシステムは通信秘密の義務に拘束されており、加入者はこの措置に気づいてはならない。.
- Germany is stricter. The obliged provider must enable the measure (§ 100a(4) StPO) and hand over a complete copy plus the event data listed in § 7 TKÜV, and nothing else at the handover point (§ 8(2) No. 2 TKÜV). Analysis of the content, including DPI classification, belongs to the agency. A BNetzA acceptance cannot create a legal basis for extra processing. Provider-side enrichment is only an option where national law expressly provides for it.
リファレンス・アーキテクチャ
- 交通アクセス: BNG/BRAS for PPPoE and IPoE access, and PE or core routers for fixed-IP lines, copy the target’s traffic with their built-in LI function, using ETSI TS 103 221 (X1 tasking, X2/X3 delivery) where supported or the vendor’s LI interface. The ADMF handles the tasking, and the mediation layer converts the delivered streams into the ETSI handover format. Optical TAPs or virtual mirror ports are only a fallback where no native LI function is available.
- ターゲットのトリガー: LIMS/ADMFがターゲットをアクティブ化し、RADIUS/Diameter、DHCP、またはパケットゲートウェイからのセッションイベントによって、DPIノードに、現在そのターゲットにどのIPアドレスおよびプレフィックスが割り当てられているかが通知される。.
- ターゲット特化型ディープパケットインスペクションノード: ノードは、順序付けられたターゲットのX3ストリームのみを処理します。10/40/100 Gbit/sの高速パケット処理（DPDKやFPGAベースのNICなど）を用いて、フローの再構築、プロトコルの識別、およびメタデータの抽出が行われます。.
- エンリッチメント: each flow is tagged with the LIID, the target identifier, the NAT mapping (public IP and port block), cell ID or location, and the IMEI where available. Enrichment is limited to data the national rules list for the copy; subscriber details such as name and address still require a separate information request.
- 調停と履行: the full copy is delivered as CC via HI3, according to ETSI TS 102 232-3 or -4 for fixed access, or 3GPP TS 33.108/33.128 over TS 102 232-7 for mobile, and any enriched metadata permitted by national law is delivered via HI2.
- 監査および保存: DPI出力データは、配信に必要な期間のみ保持され、すべての設定および署名バージョンがログに記録されます。.
参照 X1/X2/X3 インターフェース そして 調停関数の仕組み 基となるインターフェースについては。.
何を抽出して濃縮することができるか？
| メタデータ | 出典 | 調査における意義 |
|---|---|---|
| フローレコード（5タプル、開始／終了、バイト数、パケット数） | パケットヘッダー | アクティビティの全概要 |
| DNSクエリと応答 | 暗号化されていないDNS | 利用されたサービスおよびドメイン |
| TLS SNI、ALPN、JA4／JA4Sのフィンガープリント（JA4SについてはFoxIOのライセンス条項に注意してください） | TLS / QUIC ハンドシェイク | アプリケーションおよびデバイスの識別 |
| アプリケーションの分類 | DPIの特性と動作 | メッセンジャー、VoIP、ストリーミング、VPN、Tor |
| アクティビティの種類 | パケットサイズとタイミングパターン | メッセージ・通話・ファイル転送 |
| VoIPシグナリング（SIP、RTPパラメータ） | 暗号化されていないVoIP | 参加者および通話時間を含む、サードパーティのVoIP通話 |
| HTTPのホスト名とユーザーエージェント | 暗号化されていないHTTP | サービスおよびクライアントソフトウェア |
| NATマッピング | CGNATのログ | パブリックIPとポート、およびターゲットとの関連付け |
| 場所とデバイス | セルID、IMEI、アクセス回線 | アクティビティがどこで、どのデバイスを使って行われたか |
Which of these an access provider may deliver depends on national law. In Germany, classification and service-level reconstruction of third-party services are done by the agency, not the access provider. The encryption rule applies here as well: the provider removes only the encryption it applied itself. End-to-end encrypted content remains encrypted, and the metadata above is extracted without decrypting it.
エンリッチメントデータの引き渡し
There is no single, universal ETSI record type for “DPI results”. Flow summaries are standardised in ETSI TS 102 232-3 (Packet Data Summary Reporting); application classification is not. In practice, three models are used:
- 追加のIRIレコード: extracted events (for example a detected VoIP call or an application session) are sent via HI2, using standard fields where possible, and national extensions only where the national specification provides for them.
- Flow-level IRI: where flow-level IRI is required by the warrant, ETSI TS 102 232-3 already defines it (Packet Data Summary Reporting, IPIRIOnly). Proprietary analytics streams outside the national handover specification are not permitted in Germany and need an explicit legal basis elsewhere.
- サービスレベルの記録: 一部の法域において、かつ明示的に要求される場合に限り、プロバイダーは、メッセージングおよびマルチメディアプロバイダーが自社のサービスに利用しているETSI TS 102 232のサービス固有の部分と同様に、サービスレベルでイベントを提供する。.
どのモデルであっても、フォーマットは 文書化され、バージョン管理され、合意が得られている 受領機関および規制当局と連携し、当該機関は常に、補完されたデータを完全なコピーと照合して検証できる状態にしておかなければならない。.
エビデンスの質：エンリッチメントの再現性を確保する
- を記録する DPIエンジンおよびシグネチャのバージョン すべての結果に対して使用されます。.
- 使用方法 同期された高精度なタイムスタンプ メタデータがCCおよびHI2のレコードと整合するようにするため。.
- 提供 信頼度指標 行動の分類のために。.
- ～を 完全な監査証跡 ターゲットの起動、設定変更、および配信について。.
- 定期的に以下の方法でテストを行ってください 参照トラフィック シグネチャの更新後に発生した回帰を検出するため。.
サービス提供者向け実施チェックリスト
- 法的評価：国の枠組みで認められていること、および命令が通常どのような内容を対象としているか
- Where national law provides for enrichment: scope and delivery format agreed with the agencies and documented in the acceptance concept
- LIMS/ADMFによって駆動される、標的特異的な活性化のみ
- ピーク時の加入者数に合わせて調整された、ハードウェアアクセラレーション対応のDPI
- AAA、DHCP、CGNATログ、パケットコア、および位置情報データとの連携
- 商用DPIおよびトラフィック管理との厳格な分離
- バージョン管理、参照テスト、および監査ログ
- バッファリングと監視による堅牢な配信
ICSがプロバイダー側のディープパケットインスペクションをどのように支援するか
ICS International Carrier Services builds on more than 20 years of team experience in telecommunications, lawful interception and compliance and on BNetzA-accepted LI implementations. We integrate network elements via their vendor LI interfaces or ETSI TS 103 221 X1/X2/X3 and operate mediation for providers today, so we know both the network and the receiving side.
- 建築および法技術的な設計 プロバイダ側のDPI（参照： ネットワーク事業者向けDPI) 貴国の枠組みおよび受入方針に合致するもの。.
- ターゲット駆動型のDPIおよび濃縮パイプライン RADIUS/Diameter、CGNATのロギング、およびパケットコアのイベントと統合されています。.
- Network element integration with BNG/BRAS and core routers via their vendor LI interfaces or ETSI TS 103 221 X1/X3, plus passive probes or cloud mirroring where no native LI function is available.
- 調停およびETSIへの引き継ぎ 当社の LI メディエーション・プラットフォーム そして リムス.
- 運用管理 24時間体制。参照 マネージドLIオペレーション.
- カスタム開発 抽出装置、分類装置、および供給形態について。詳細は 統合とカスタム開発.
ICSまでご連絡ください 御社のネットワークにおいて、プロバイダー側のデータ強化が適切かどうかについて検討するため。.
よくある質問
合法的な傍受において、ディープパケットインスペクションは認められているか？
Only where national law expressly provides for it. In Germany the provider must hand over a complete copy plus the event data listed in § 7 TKÜV and nothing else at the handover point (§ 8(2) No. 2 TKÜV); analysis of the content, including DPI classification, belongs to the agency, and a BNetzA acceptance cannot create a legal basis for extra processing. Untargeted or commercial use of LI data is never allowed.
プロバイダ側のDPIは、通信データの完全なコピーに取って代わるものなのでしょうか？
いいえ。ほとんどの管轄区域では、プロバイダーは対象者の通信内容の完全かつ改変されていないコピーを提供しなければなりません。DPIに基づくメタデータは、命令でその範囲が明示的に限定されていない限り、それに加えて提供されます。.
ISPは、対象者のHTTPSやメッセンジャーの通信を復号化できるのでしょうか？
いいえ。プロバイダーが解除するのは、自社のネットワーク内で自ら適用した暗号化のみです。エンドツーエンドの暗号化やアプリケーションレベルの暗号化はそのまま維持されます。DPIは、暗号化されていないヘッダー、ハンドシェイク、およびトラフィックパターンを対象としています。.
DPIメタデータは、どのように法執行機関に提供されるのでしょうか？
Where national law allows it, as additional IRI records via HI2, using standard records such as the Packet Data Summary Reporting of ETSI TS 102 232-3 where possible. Separate analytics streams outside the national handover specification are not permitted in Germany. The format must be documented and agreed with the agencies and the regulator.
プロバイダ側とLEA側のDPIの違いは何ですか？
LEA-side DPI analyses the delivered traffic in the monitoring facility. Provider-side DPI runs at the point of interception, where, if national law allows it, it can add network context such as the line identifier, NAT mappings and location, and deliver results in near real time.
関連記事
- 調停機能の仕組みネットワークと法執行機関との架け橋
- 暗号化DNS（DoH/DoT）と合法的傍受能力への影響
- 5G SAにおけるネットワークスライシング：LIターゲティングをいかに複雑にするか（そしていかに簡素化できるか）
- AIを活用したLI：自動化がオペレーターや法執行機関の業務プロセスに与える影響
