Understanding HI1 HI2 HI3 interfaces is fundamental to implementing lawful interception correctly. At the heart of every lawful interception system lies a set of standardised interfaces that govern how intercepted communications are managed, processed, and delivered to law enforcement. In the ETSI framework — the dominant standard for LI in Europe and much of the world — these interfaces are designated HI1, HI2, and HI3. Together, they form the complete handover architecture that connects an operator’s network to the 법 집행 감시 시설 (LEMF). Despite their fundamental importance, the distinctions between these three interfaces are frequently misunderstood, even by professionals working in the telecommunications and law enforcement sectors.
이 문서에서는 각 인터페이스가 무엇을 전달하고, 어떻게 작동하며, 왜 중요한지에 대해 명확하고 자세한 설명을 제공합니다. HI1, HI2, HI3에 대한 이해는 단순한 학문적 연습이 아니라 합법적인 감청 시스템을 설계, 조달, 배포 또는 운영하는 데 관여하는 모든 사람에게 필수적입니다.
HI1 HI2 HI3 인터페이스 이해
Before examining each interface individually, it is important to understand where they sit within the broader LI architecture. The ETSI model divides the interception process into several functional components. In the classic ETSI model (TS 101 671), the key components on the operator’s side are the internal interception function (IIF), which performs the actual interception within the network, and the 중재 기능 (MF), which translates the intercepted data into the standardised formats required by the handover interfaces. Current ETSI and 3GPP architectures (TS 104 007, TS 103 221, 3GPP TS 33.127) call them the point of interception (POI) and the mediation and delivery function (MDF). On the law enforcement side, the LEMF receives the intercepted data and provides tools for analysis and investigation.
세 개의 HI 인터페이스는 운영자의 도메인과 법 집행 도메인의 경계를 넘나듭니다. HI1은 관리 교환을 처리하고, HI2는 감청 관련 정보를 전달하며, HI3은 통신 내용을 전달합니다. 각 인터페이스는 독립적으로 작동하지만, 완전한 감청 작업을 지원하려면 세 인터페이스가 모두 함께 작동해야 합니다. 이러한 기능을 별도의 인터페이스로 분리하면 감청의 관리, 메타데이터 및 콘텐츠 측면을 각기 다른 요구사항에 따라 관리, 보안 및 처리할 수 있습니다.
HI1: 관리 인터페이스
HI1은 법 집행 기관과 운영자 간의 관리 인터페이스입니다. 주요 목적은 법 집행 기관의 감청 명령을 운영자에게 전달하고 활성화부터 수정, 비활성화에 이르기까지 감청의 수명 주기를 관리하는 것입니다. HI1은 감청 프로세스의 명령 및 제어 채널입니다.
법 집행 기관은 HI1을 통해 대상의 신원(전화번호, IMSI, IMEI, IP 주소, 이메일 주소 또는 기타 식별자로 지정될 수 있음), 감청 범위(콘텐츠만, 메타데이터만 또는 둘 다), 승인된 기간, 특정 매개 변수 또는 제한 사항을 포함한 감청 명령의 세부 정보를 전달합니다. 운영자는 주문 수신을 승인하고 활성화를 확인한 후 차단 상태를 다시 보고합니다.
또한 HI1은 기존 감청에 대한 수정(예: 기간 연장, 대상 식별자 변경 또는 범위 조정)과 승인 만료 또는 취소 시 감청의 비활성화도 처리합니다. 일부 구현에서 HI1은 영장 번호, 사건 참조 및 운영자 응답 코드와 같은 관리 메타데이터의 교환도 지원합니다.
The implementation of HI1 varies significantly between jurisdictions and operators. In some countries, HI1 is a fully automated, machine-to-machine interface using defined protocols and message formats. In others, it remains a largely manual process, with interception orders delivered by fax, secure email, or physical document and acknowledged through similar channels. ETSI TS 103 120 now defines a complete electronic HI1 protocol, and 3GPP requires 5G networks to support it, but national legal and institutional arrangements still vary widely.
HI1은 현재 진행 중인 감청 작업에 대한 민감한 정보를 담고 있기 때문에 보안은 매우 중요한 문제입니다. HI1에 대한 무단 액세스는 대상에 대한 감청의 존재를 드러내거나 무단 감청의 활성화를 허용할 수 있습니다. 따라서 구현 시 강력한 인증, 암호화, 액세스 제어 및 감사 로깅을 포함해야 합니다.
HI2: 인터셉트 관련 정보 인터페이스
HI2는 감청 관련 정보(IRI)를 LEMF에 전달하기 위한 인터페이스입니다. IRI는 감청된 통신과 관련된 메타데이터로, 실제 콘텐츠 없이 누가, 언제, 어디서, 어떻게 통신을 했는지에 대한 정보입니다. HI2는 종종 메타데이터 인터페이스로 설명되며, 이 인터페이스가 전달하는 정보는 법 집행 기관의 수사에 매우 중요하며, 종종 콘텐츠 자체만큼 또는 그 이상의 수사적 가치를 제공합니다.
The IRI delivered over HI2 typically includes the identities of the communicating parties (calling and called numbers, IMSI, IMEI), the time and duration of the communication, the type of service (voice, SMS, data), the network elements involved, cell identifiers and location information, IP addresses and port numbers, and signalling information such as SIP headers or Diameter messages. The specific data elements included in the IRI vary depending on the type of communication and the network technology, and are defined in the applicable handover standard: ETSI TS 102 232-2 to -7 for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 5G.
HI2 data is encoded using ASN.1 (Abstract Syntax Notation One), which provides a formal, structured format for representing the IRI data elements. The use of ASN.1 ensures that the data can be unambiguously encoded and decoded across different implementations, supporting interoperability between operators and 법 집행 기관. HI2 and HI3 are protected either by a private managed network, by a VPN (for example the IPsec crypto boxes mandated in Germany), or by TLS 1.2/1.3 with certificate-based mutual authentication, depending on the national framework; delivery uses TCP to ensure reliable, in-order delivery.
One of the complexities of HI2 is the need to generate IRI events in real time as the intercepted communication progresses. For a voice call, this means generating events for call setup, ringing, answer, call modification (such as hold or conference), and call release. For a data session, it means generating events for session establishment, address allocation, bearer activation, and session termination. The interception points in the network detect the call or session events, and the mediation function turns them into standard IRI records with accurate timestamps.
HI2는 위치 추적, 네트워크 분석, 생활 패턴 평가와 관련된 수사에 특히 중요합니다. HI2를 통해 전달되는 메타데이터는 여러 유형의 범죄 수사에 핵심이 되는 통신 패턴, 지리적 이동, 네트워크 사용 패턴을 밝혀낼 수 있습니다. 운영자에게 있어 HI2 데이터의 완전성과 정확성을 보장하는 것은 LI 시스템의 핵심 품질 지표입니다.
HI3: 커뮤니케이션 인터페이스의 내용
HI3 is the interface for delivering the content of communications (CC) to the LEMF. CC is the actual substance of the intercepted communication — the voice audio, the web pages viewed, the emails sent and received, the files transferred. (SMS is the classic exception: in 3GPP networks its text is delivered as IRI over HI2.) HI3 is the interface that carries the material that law enforcement needs to understand what the target is communicating, as opposed to the metadata about how and when the communication occurs.
CC 데이터의 형식과 용량은 가로채는 통신 유형에 따라 매우 다양합니다. 음성 통화의 경우, CC는 실시간 오디오 스트림으로, 일반적으로 AMR(Adaptive Multi-Rate) 또는 G.711과 같은 표준 코덱을 사용하여 인코딩됩니다. 데이터 세션의 경우, CC는 웹 트래픽, 이메일 메시지, 파일 전송, 스트리밍 미디어 및 기타 모든 유형의 IP 기반 통신을 포함하여 대상에서 교환하는 IP 패킷으로 구성됩니다. 단일 데이터 차단으로 생성되는 데이터의 양은 음성 차단으로 생성되는 데이터의 양보다 훨씬 더 클 수 있습니다.
HI3 delivery must be real-time for voice and near-real-time for data. The intercepted content must be delivered to the LEMF with minimal latency to support time-critical investigations. For IP-based handover (ETSI TS 102 232), all content, including voice, is wrapped in PS-PDUs and sent over TCP (protected by a VPN or TLS). Captured RTP media becomes the payload of these PDUs rather than being sent as RTP. Legacy circuit-switched handover uses ISDN bearer channels instead.
The handling of encrypted content on HI3 is one of the most challenging aspects of modern LI. If the target’s communications are encrypted at the application layer (for example, using end-to-end encryption in a messaging application), the operator may only be able to deliver the encrypted content on HI3, which is of limited value to law enforcement. Operators must remove any encryption they apply or manage themselves, or supply the keys (3GPP TS 33.126). End-to-end encryption applied by an over-the-top application is outside the operator’s control, so the operator can only deliver that content as it sees it — and the growing prevalence of such encryption is creating a widening gap between what law enforcement expects and what operators can deliver.
세 가지 인터페이스가 함께 작동하는 방식
In a typical interception operation, the three interfaces work together as follows. First, the law enforcement agency transmits an interception order to the operator via HI1, specifying the target, the scope, and the duration. The operator’s LI 관리 시스템 processes the order, validates the warrant, and provisions the points of interception (POIs) and the mediation function over X1 to begin intercepting the target’s communications.
When the target initiates or receives a communication, the POIs capture the relevant signalling and content and pass them to the mediation function over X2 and X3. The mediation function processes this data, turning the detected events into IRI records encoded in ASN.1 format for delivery over HI2, and encapsulating the CC for delivery over HI3. Both streams are transmitted securely to the LEMF, where they are correlated and presented to investigators.
법 집행 기관은 HI1을 사용하여 상태 업데이트를 요청하거나, 차단 매개변수를 수정하거나, 비활성화 명령을 내리는 등 감청이 진행되는 동안 관리 목적으로 활성 상태를 유지할 수 있습니다. 감청이 종료되면 운영자는 HI1을 통해 비활성화를 확인하고 HI2 및 HI3을 통해 IRI 및 CC의 전송을 중단합니다.
운영자를 위한 실무적 고려 사항
세 가지 HI 인터페이스를 구현하는 운영자는 몇 가지 실질적인 고려 사항을 해결해야 합니다. 첫 번째는 시스템 크기 조정입니다. HI2 및 HI3 인터페이스는 데이터 손실이나 과도한 지연 시간 없이 예상되는 동시 인터셉트 양을 처리할 수 있도록 크기를 조정해야 합니다. 데이터가 많은 인터셉트의 경우 HI3의 대역폭 요구 사항이 상당할 수 있으므로 운영자는 전송 인프라가 적절하게 프로비저닝되어 있는지 확인해야 합니다.
The second consideration is security. All three interfaces carry sensitive information and must be protected against unauthorised access, eavesdropping, and tampering. This requires a protected delivery path (a private network, VPN or TLS with mutual authentication, as the national framework prescribes) and comprehensive audit logging. Security failures on any of the three interfaces can compromise the integrity of the interception process and potentially expose sensitive law enforcement operations.
세 번째 고려 사항은 상호 운용성입니다. 운영자는 HI 구현이 관할 지역의 법 집행 기관에서 사용하는 시스템과 호환되는지 확인해야 합니다. 이를 위해서는 일반적으로 공식적인 상호운용성 테스트가 필요하며, 이는 시간이 많이 소요될 수 있는 프로세스입니다. 운영자는 개발 프로세스 초기에 해당 국가의 법 집행 기관 기술 담당자와 협력하여 호환성 문제를 파악하고 해결해야 합니다.
결론
HI1, HI2, HI3 인터페이스는 ETSI 합법적 감청 핸드오버 아키텍처의 중추를 형성합니다. HI1은 관리 제어 채널을 제공하고, HI2는 조사에 필수적인 풍부한 메타데이터를 제공하며, HI3는 감청된 통신의 실제 콘텐츠를 전달합니다. 이러한 기능을 함께 사용하면 통신 사업자와 법 집행 기관의 요구를 모두 지원하는 완벽한 표준 기반 감청 기능을 구현할 수 있습니다. 최신 통신 네트워크에서 합법적인 감청 시스템의 설계, 배포 또는 운영에 관여하는 모든 사람은 각 인터페이스의 고유한 역할, 기술 요구 사항 및 실질적인 과제를 이해하는 것이 필수적입니다.
Proper implementation of HI1 HI2 HI3 interfaces is essential for 합법적 감청 규정 준수. Operators must test their HI1 HI2 HI3 implementations thoroughly before going live.
관련 기사
관련 주제에 대한 자세한 내용은 다음 문서를 참조하세요:
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
- IRI와 CC: 실제로 가로채기 관련 정보가 실제로 의미하는 것
- 5G의 X1/X2/X3 인터페이스: 3GPP LI 아키텍처 설명
외부 리소스
다음 외부 리소스에서 추가 컨텍스트와 공식 문서를 확인할 수 있습니다:
