法執行機関のためのDPI：暗号化された通信傍受データの活用

なぜ今、法執行機関にとってDPIが重要なのでしょうか？

通信事業者が対象者のインターネットトラフィックを配信する際、そのほぼすべてが暗号化されています。HTTPS、QUIC、エンドツーエンド暗号化されたメッセンジャー、VPN、DNS over HTTPSなどにより、復号できるコンテンツはほとんど残されていません。ギガバイト単位のTLSデータしか表示しない監視システムでは、捜査官は手がかりを得ることができません。.

暗号化されたトラフィックの分析によって、その状況は一変します。コンテンツが不明であっても、トラフィックからは、どのアプリケーションが、いつ、どの程度の頻度で、またどのような他の活動と並行して使用されたかがわかります。アナリストたちは、絶えず更新される分類器を期待しており、ルールを自ら調整したいと考えています。.

暗号化されたトラフィックの分析では、依然として何が把握できるのでしょうか？

暗号化DNSの影響については、以下をご覧ください。 保健省（DoH）、運輸省（DoT）、および合法的な通信傍受.

TLSフィンガープリント：JA3 対 JA4

すべてのTLSクライアントは、それぞれ特有の方法でClientHelloを構築します。TLSフィンガープリントは、バージョン、暗号スイート、拡張機能、およびALPNの値を、比較可能な短い文字列に凝縮したものです。これにより、何も復号することなく、アプリ、ブラウザ、ライブラリ、およびツールを識別することができます。.

JA4はJA3の後継として広く採用されています。ベンダーや購入者は、商用製品で他のJA4+方式を使用する前に、ライセンス条項を確認する必要があります。多くのアプリが共通のライブラリを共有しているため、フィンガープリントは強力な指標ではありますが、同一性の証明ではありません。.

交通パターンの認識はどのように機能するのでしょうか？

コンテンツやサーバー名が非表示になっていても、トラフィックの傾向は明らかです：

• テキストメッセージ 小さなパケットの短いバーストとして現れ、その後に受信確認が送られてくる。.
• 音声通話とビデオ通話 STUN/TURNの交換の後などによく、安定した等間隔のUDPストリームを生成する。.
• ファイルおよびメディアの転送 継続的な大容量のアップロードまたはダウンロードが行われている。.
• キープアライブとプッシュ通知 アプリごとのリズムに従う。.

パケット長、到着間隔、バースト統計に基づいて学習された分類器が、これらのアクティビティにラベルを付けます。アナリストにはイベントのタイムラインが表示され、例えば08:14にメッセージが送信され、その直後の08:16に音声通話が行われたといったことが確認できます。.

ICS LEMFにおける法執行機関向けDPIの仕組み

すべての結果は、生のパケットからアナリストのワークベンチに至るまで、文書化された追跡経路に沿って記録されています。.

法的および証拠上の限界はどこにあるのでしょうか？

法執行機関向けのDPIは、厳格な制限の下で運用されています。ICS LEMFは、技術的に可能な限り、これらの制限を徹底して適用しています。.

• 分析は～の範囲内にとどまる 令状の適用範囲 およびアナリストが許可されている措置。.
• すべての処理手順は、各国の刑事訴訟法に従って行われ、 指令（EU）2016/680.
• 分類は以下の通りです。 指標. それらの誤り率は把握され、文書化され、法廷で説明可能でなければならない。.
• バージョン管理 新しい分類器を使ってデータを再分析する際にも、元の分析結果を表示したままにします。.
• 限定コンテンツ 管理者の承認を条件として、フラグが付けられ、ロックされる場合があります。.

ICS LEMFにおけるDPI機能

すべての分析機能は、アナリストの権限の範囲内で動作します。.

なぜICSなのか