ISPに対する適法な通信傍受：IPアクセスプロバイダーが実施すべきこと

による /
ISPに対する合法的な傍受：BNG/BRASに傍受ポイントを統合し、CGNATの前にX1、X2、X3をメディエーションへ送信し、HI2およびHI3を法執行機関へ引き渡す

ISPに対する適法な通信傍受 これは、DSL、ケーブル、光ファイバー、固定無線、モバイルデータなどを通じて、公衆向けインターネットアクセスを提供するすべてのプロバイダーに課せられた法的義務です。 裁判所が加入者の通信の傍受を命じた場合、プロバイダーは、当該加入者のIPトラフィックの完全なコピーと関連するメタデータを、法執行機関に提供しなければなりません。その際、プロバイダーは、遅滞なく、安全に、かつ加入者に気づかれることなくこれを行わなければなりません。.

IPアクセスプロバイダーにとって、合法的な通信傍受は、実際よりも簡単そうに聞こえる。 動的IPアドレス、キャリアグレードNAT、IPv6プレフィックスの委譲、卸売型アクセスモデル、そして10ギガビットや100ギガビットのリンクなど、これらすべてが、適切なトラフィックを完全かつ損失なく捕捉することを困難にしています。本ガイドでは、ドイツおよび欧州全域で採用されているETSI規格に焦点を当て、ISPが実装すべき事項について解説します。.

主なポイント

  • すべての公共インターネットアクセスプロバイダーが対象となります。ドイツにおける法的根拠は、 § 170 TKG, 、および TKÜV および技術指針 TR TKÜV. ごく小規模なネットワークについては、恒久的な施設の維持が免除される場合がありますが、命令の実施は依然として義務付けられます。.
  • The target is usually identified by 加入者識別子または回線識別子 (user name, line ID, MAC address, installation address, IMSI/MSISDN). A fixed IP address can also be ordered, but for dynamic addressing the interception system must follow the IP address the target currently holds.
  • について 迎撃点 加入者のトラフィックがまだ識別可能な場所に配置する必要があり、これは通常、CGNATの前、つまりBNGまたはパケットゲートウェイ上、あるいはその隣を意味します。.
  • 引き継ぎは以下の通りです ETSI TS 102 232-1 および -3 （インターネット接続）または -7 (モバイル)、以下を含む ETSI TS 103 221 (X1/X2/X3) or a vendor LI interface between the network elements, the ADMF and the mediation function.
  • 同じインフラストラクチャを使用して、以下の質問に回答します 加入者およびトラフィックデータに関する照会 （TKG第174条およびトラフィックデータに関する規定）、そしてこれは計画されている 急速冷凍 そして IPアドレスの保存期間 ルール。.

ISPに対して合法的な通信傍受を義務付けられるのは誰か？

In Germany, § 170 TKG obliges anyone who operates a telecommunications system used for publicly available telecommunications services to keep interception facilities and organisational measures in place at their own cost. The duty to implement each order follows from § 100a(4) StPO and the corresponding provisions in other laws. Providers that do not operate their own facilities must use an operator that can implement orders on their behalf, and must notify the BNetzA. For internet access, this includes:

  • 固定回線ISP（DSL、ケーブル、FTTH）。これには、（通常は卸売パートナーを通じて）独自の顧客基盤を持つ再販業者も含まれる。
  • モバイルデータサービスを提供する携帯電話事業者およびフルMVNO。責任分担については、以下を参照してください。 MVNO 対 MNO：LIの責任は誰にあるのか？
  • 固定無線、衛星通信、および公共Wi-Fiのプロバイダー（サービスが一般に利用可能な場合）

TKÜVは、以下の条件を満たすシステムについては免除しています。 同時接続ユーザー数は10,000人以下 恒久的な傍受設備の維持を免除されています。ただし、これらのプロバイダーは、命令が届いた際にはそれに従わなければならず、通常は次のような一時的な措置を講じることになります。 一時的なLIボックス. For public Wi-Fi access without user identifiers the threshold is 100,000 users (§ 3(2) No. 6 TKÜV). The 10,000-user exemption does not apply to network nodes that switch public voice traffic abroad (§ 3(2) sentence 2 TKÜV). Providers above the threshold must have their facilities in place when they start operations, submit their technical documentation to the 連邦ネットワーク庁（BNetzA） そして、以下の点においてコンプライアンスを証明し、 BNetzAによる承認 プロセス。.

参照アーキテクチャ：ISP向けの適法な通信傍受

コンポーネント ISPネットワークにおける役割 標準
ADMF / LIMS 注文を受け付け、目標を管理し、POIを制御する ETSI TS 103 221-1 (X1), or the router’s vendor tasking interface
IRI-POI 対象セッションを検出：ログイン、IP割り当て、ログアウト AAA/RADIUS、DHCP、BNG イベント
CC-POI ターゲットのパケットをコピーします Integrated in the BNG/BRAS or router (vendor LI function, e.g. SNMPv3 tasking and a UDP/GRE mirror stream, or ETSI TS 103 221-2 X3 where supported); optical TAP only as fallback
仲介・配送機能 IRIおよびCCをフォーマット化し、配信する ETSI TS 103 221-2 (X2/X3)、ETSI TS 102 232
地方教育当局への引き渡し HI2およびHI3の確実な納入 ETSI TS 102 232-1 / -3 / -4 / -7、国内暗号規格

各要素がどのように組み合わさっているかについては、以下をご覧ください。 調停関数の仕組み そして、私たちの LI メディエーション・プラットフォーム.

ステップ1：対象を確実に特定する

An internet access order usually names a subscriber or a line; a fixed IP address can also be ordered. The interception system must therefore:

  • 順序付き識別子（顧客番号、ユーザー名、回線ID、MSISDN/IMSI）を ネットワーク識別子 BNGまたはパケットゲートウェイで使用される。.
  • 視聴する セッションイベント RADIUS または Diameter のアカウンティング（Acct-Start、Interim-Update、Acct-Stop）、DHCP、および BNG のログから。.
  • IPアドレスの変更を追跡する リアルタイムで：強制再接続、IPv4リースの変更、IPv6プレフィックスの割り当て、およびデュアルスタックセッション。.
  • ターゲットが接続したらキャプチャを開始します。たとえターゲットがオフラインの状態でコマンドが実行された場合でも同様です。.

これらの出来事のそれぞれが、 IRIレコード (開始、継続、終了) は HI2 を通じて配信されます。背景については、以下を参照してください。 IRI 対 CC.

ステップ2：適切な場所で適切なトラフィックを獲得する

  • Native copy first: carrier-grade BNG/BRAS and routers can copy the target’s traffic themselves. Newer platforms support ETSI TS 103 221 (X1 tasking, X2/X3 delivery); many routers and BNGs still use a vendor LI interface, which the ADMF tasks and whose mirror stream the mediation function converts. Passive probes are only a fallback where this is not possible.
  • CGNAT以前: 多数の加入者が1つのパブリックIPアドレスを共有すると、それらのトラフィックを確実に区別できなくなります。加入者側でキャプチャするか、NATマッピング（パブリックIPとポートブロック）をCCとともに送信してください。.
  • 対象のすべてのトラフィック: IPv4 および IPv6、TCP、UDP、その他のプロトコルについて、双方向で、注文書において適用範囲が明示的に限定されていない限り、フィルタリングを行わない。.
  • 高速走行時でも損失なし: FTTH加入者は、数ギガビット規模のバーストトラフィックを発生させる可能性があります。X3ストリーム、メディエーションバッファ、およびタイムスタンプの容量は、平均値ではなくピークレートに基づいて設定する必要があります。.
  • 自身の暗号化を解除する: プロバイダ側がアクセスネットワーク内で暗号化や圧縮を施している場合、配信されるデータは暗号化されていない状態でなければならない。ユーザーによるエンドツーエンドの暗号化については、変更を加えない。.
  • 正確な時刻同期 （NTP または PTP）を POI、AAA、およびメディエーション全体で同期させ、IRI と CC が一致するようにする。.

ステップ3：代理店へ安全に配送する

インターネット接続サービスについては、以下の通り当該機関への引き継ぎが行われます。 ETSI TS 102 232-3, 、および ETSI TS 102 232-1. レイヤー2サービスでは、 -4, and mobile packet data uses 3GPP TS 33.108 or TS 33.128, carried over ETSI TS 102 232-1 and -7. In Germany, the TR TKÜV specifies the national options, and the connection to the agencies is protected by approved cryptographic gateways. Delivery must be resilient: buffering during outages, retransmission and monitoring of every handover link.

卸売、ビットストリーム、およびホスト型ネットワーク

多くのISPは、アクセスチェーン全体を自社で所有しているわけではありません：

  • ～とともに レイヤー2ビットストリームへのアクセス, 、再販業者は通常、独自のBNGを運用しており、そこで通信を傍受することができます。.
  • ～とともに レイヤー3ビットストリーム ホワイトラベルモデルの場合、IPアドレスの割り当てとルーティングは、ホールセールパートナーのネットワーク内で行われます。責任の所在、データフィード、および通信傍受のサポートについては、ホールセール契約において合意しておく必要があります。.
  • ～とともに クラウド上でホストされるコア、または外部委託されたコア, 、傍受ポイントは、あなたが管理していないデータセンター内にある可能性があります。仮想ミラーポートなどを通じたパッシブプローブは、実用的な解決策となり得ます。詳しくは コア部分を外部委託またはホスティング形式で運用するLI.

傍受を超えて：情報開示請求

これらのシステムやプロセスは、その他の法的義務の履行も支えています：

  • 加入者データの開示請求（TKG第174条）, 、これには、特定の時点における動的IPアドレスの背後にいる加入者の特定も含まれる。.
  • Traffic data requests (today § 100g StPO with TKÜV Part 4) and, if the pending bill BT-Drs. 21/6581 is passed, the 急速冷凍 (Sicherungsanordnung under § 100g(7) StPO-E, with the provider duties in § 176 TKG-E).
  • IPアドレスの保存期間: if the bill is passed, § 177 TKG-E will require access providers to store IP address assignments (IP address, ports behind CGNAT, line and user ID) for three months.
  • 電子インターフェース: 契約パートナー数が10万社以上のプロバイダーは、（E-Mail-ESBに加えて）ETSI-ESBの手順を提供しなければならないが、それより規模の小さいプロバイダーはE-Mail-ESBのみを採用してもよい。.

ISPにおける合法的な通信傍受におけるよくある落とし穴

落とし穴 結果 救済措置
CGNATの後方にあるキャプチャーポイント 他の加入者のトラフィックが捕捉された、または対象のトラフィックが見逃された NATの前にPOIを移動させるか、NATログと照合する
IPv6は対象外です 不完全な切片 委任されたプレフィックスおよびデュアルスタックセッションを追跡する
中間決算なし IPアドレスの変更は気づかれない 中間更新とBNGイベントフィードを有効にする
サイズ不足の捕獲 ピーク時のパケット損失率 バースト処理に対応したサイズ設定、ハードウェアによるタイムスタンプの追加
卸売業務における責任の所在が不明確 注文は実行できません 契約上のLI条項およびデータフィード
不完全な文書 BNetzAによる承認の遅れ TR TKÜVに基づく体系的な技術コンセプト

ICSがISPの合法的な通信傍受をどのように支援するか

ICS International Carrier Services builds on more than 20 years of team experience in telecommunications, lawful interception and compliance and on BNetzA-accepted LI implementations. 当社は、ISPに対し、構想段階から24時間365日の運用に至るまでサポートを提供しています：

  • LI業務の管理 IP通信の傍受、VoIP通信の傍受、加入者データの提供請求（TKG第174条）、およびトラフィックデータの提供請求について、フルサービスモデルとして提供しています。詳細については、以下をご覧ください。 マネージドLIオペレーション.
  • 技術的コンセプトおよびBNetzAによる承認: TR TKÜVに基づく文書、試験計画書、および検収時のサポート。.
  • 調停と引き渡し: 私たちの LI メディエーション・プラットフォーム そして リムス ETSI TS 102 232のストリームを各機関に配信する。.
  • LEMFのテスト BNetzAによる検収の前および検収中に、HI2/HI3の納入状況を確認してください。詳細については、以下をご覧ください。 ICS LEMF.
  • Network element integration with BNG/BRAS and core routers via their vendor LI interfaces or ETSI TS 103 221 X1/X3, with passive probes or cloud mirroring only where direct integration is not possible.
  • 一時的な解決策 TKÜVの基準値を下回る小規模事業者については。.
  • コンサルティング CGNATのロギング、IPv6、卸売契約、および今後導入されるIPアドレスの保持について。.

弊社チームまでお問い合わせください お客様のアクセスネットワークの評価をご希望の方、または当社のサービスについて詳しくお知りになりたい方は、 合法的傍受ソリューション.

よくある質問

ISPに対する合法的な通信傍受は、小規模なプロバイダーに対しても義務付けられているのでしょうか？

Yes. In Germany, systems with no more than 10,000 connected users do not have to keep permanent interception facilities, but they must still implement interception orders when they receive them, for example with a temporary solution. For public Wi-Fi access without user identifiers the threshold is 100,000 users (§ 3(2) No. 6 TKÜV); the 10,000-user exemption does not apply to network nodes that switch public voice traffic abroad (§ 3(2) sentence 2 TKÜV).

インターネットアクセスの傍受には、どのETSI規格が適用されますか？

ETSI TS 102 232-3 defines the handover for internet access services, based on the generic ETSI TS 102 232-1. Mobile packet data uses 3GPP TS 33.108 or TS 33.128, carried over ETSI TS 102 232-1 and -7. Internal interfaces can follow ETSI TS 103 221 (X1/X2/X3); many routers still use vendor-specific LI interfaces.

CGNATを使用する場合、ISPはどこでトラフィックを傍受すべきでしょうか？

理想的には、NAT処理が行われる前、つまり各加入者がまだ一意のプライベートアドレスまたはセッションを保持している段階です。それが不可能な場合は、プロバイダーはキャプチャデータをCGNATログ（パブリックIP、ポートブロック、時刻）と照合する必要があります。.

IPアドレスが変わった場合、ターゲットはどのように特定されるのでしょうか？

この傍受システムは、RADIUS または Diameter アカウンティング、DHCP、および BNG ログからのセッションイベントを追跡します。このシステムは、順序付けられた加入者識別子を現在割り当てられている IP アドレスまたはプレフィックスにマッピングし、キャプチャフィルターを自動的に更新します。.

ISPは、合法的な通信傍受業務を外部委託することができるか？

はい。法的義務はプロバイダーに課されますが、セキュリティ、機密性、およびBNetzAの要件が満たされている限り、その運営をプロバイダーに代わって業務を行う専門のサービスプロバイダーに委託することができます。.

外部リソース

関連記事

上部へスクロール
インターネットせつぞくきょうゆう
搭載  GDPRクッキーへの対応
プライバシー

このウェブサイトでは、お客様に最高のユーザー体験を提供できるよう、クッキーを使用しています。クッキーの情報は、お客様のブラウザに保存され、お客様が当ウェブサイトに再度訪問された際に、お客様を認識したり、お客様が当ウェブサイトのどのセクションを最も興味深く、有用であると感じるかを当チームが理解するのに役立つなどの機能を果たします。.