인터셉트 관련 정보는 모든 [... ]의 메타데이터 기반을 형성합니다. 합법적인 감청 작전. 합법적 감청에서 모든 감청 작전의 핵심이 되는 데이터는 두 가지 범주로 나뉩니다: 감청 관련 정보(IRI)와 통신 내용(CC)입니다. 이 두 가지 데이터 유형은 통신 사업자가 감청 명령을 집행할 때 법 집행 기관에 제공하는 정보의 핵심을 이루며, ETSI 프레임워크에서는 IRI의 경우 HI2, CC의 경우 HI3와 같은 별도의 인계 인터페이스를 통해 전달됩니다. 대부분의 실무자들은 IRI가 메타데이터이고 CC가 콘텐츠라는 기본적인 구분을 이해하고 있지만, 이 구분이 가져오는 실질적인 의미는 겉으로 보이는 것보다 훨씬 더 미묘합니다.
이 문서에서는 IRI와 CC가 실제로 무엇을 의미하는지, 각각 어떤 데이터 요소를 포함하고 있는지, 어떻게 생성 및 전달되는지, 그리고 이 구분이 운영자, 법 집행 기관 및 더 광범위한 합법적 감청 생태계에 중요한 이유를 살펴봅니다.
인터셉트 관련 정보의 의미
Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself — that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.
IRI에 포함되는 구체적인 데이터 요소는 통신 유형과 관련된 네트워크 기술에 따라 다릅니다. 기존 음성 통화의 경우 IRI에는 일반적으로 발신 번호(A 번호), 수신 번호(B 번호), 대상 디바이스의 IMSI 및 IMEI, 통화가 시작된 시간, 응답된 시간, 통화 지속 시간, 통화 시작 및 통화 중 셀 식별자(위치 정보 제공), 통화 처리(수신, 통화 중, 응답 없음, 착신 전환) 등이 포함됩니다. IP 데이터 세션의 경우 IRI에는 대상의 IP 주소, 할당된 APN(액세스 포인트 이름), 베어러 매개변수, 세션 시작 및 종료 시간, 전송된 데이터 양이 포함될 수 있습니다.
IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication — for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the 중재 기능, which turns them into standard IRI records in ETSI format.
IRI의 가장 중요한 특징 중 하나는 구조화된 특성입니다. IRI는 잘 정의된 데이터 구조에 따라 ASN.1 형식으로 인코딩되기 때문에 법 집행 시스템에서 자동으로 구문 분석, 처리 및 분석할 수 있습니다. 이 구조화된 형식은 비정형 데이터에서는 훨씬 더 어려운 자동화된 상관관계, 패턴 분석, 데이터 마이닝 작업을 가능하게 합니다. IRI의 수사적 가치를 과소평가해서는 안 됩니다. 많은 경우 IRI가 제공하는 메타데이터는 콘텐츠 자체만큼, 또는 그보다 더 중요한 가치를 지니고 있습니다.
CC 정의: 콘텐츠 레이어
Content of communication is the actual substance of the intercepted communication — the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.
The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.
데이터 차단은 음성 차단보다 훨씬 더 많은 CC 볼륨을 생성합니다. 단일 음성 통화는 연속적이지만 상대적으로 낮은 대역폭의 오디오 스트림을 생성하는 반면, 데이터 세션은 대상의 활동에 따라 기가바이트의 트래픽을 생성할 수 있습니다. 이러한 차이는 LI 시스템의 크기, HI3 전송 채널의 대역폭, LEMF에 필요한 스토리지 용량에 중요한 영향을 미칩니다.
The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.
구분이 중요한 이유
The distinction between IRI and CC is not merely technical — it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.
운영 관점에서 IRI와 CC는 볼륨, 형식, 처리 요구 사항 및 전달 메커니즘 측면에서 서로 다른 특성을 가지고 있습니다. IRI는 비교적 압축적이고 구조화되어 있어 자동화된 처리 및 분석에 적합합니다. CC는 잠재적으로 방대하고 형식이 매우 다양하기 때문에 다른 처리, 저장, 분석 접근 방식이 필요합니다. 운영자는 적절한 버퍼링, 흐름 제어, 서비스 품질 메커니즘을 통해 두 가지 데이터 유형을 효율적으로 처리할 수 있도록 LI 시스템을 설계해야 합니다.
전략적 및 수사적 관점에서 볼 때, IRI와 CC는 서로 다른 유형의 정보를 제공합니다. IRI는 패턴 분석, 네트워크 매핑, 위치 추적, 그리고 시간 경과에 따른 통신 패턴 파악을 가능하게 합니다. CC는 특정 통신 내용의 본질을 직접 파악할 수 있게 해주지만, 특히 대량의 혼합 미디어 콘텐츠가 생성되는 데이터 감청의 경우, 이를 처리하고 분석하는 데 상당한 노력이 필요할 수 있습니다. 법 집행 기관 메타데이터의 전략적 가치를 점점 더 인식하고 있으며, 일부 조사에서는 IRI가 감청 활동의 주요 대상이 될 수도 있다.
최신 네트워크의 IRI
서킷 스위치 네트워크에서 패킷 스위치 네트워크로의 전환은 IRI의 범위와 복잡성을 크게 확장시켰습니다. 기존 전화 통신 네트워크에서 IRI는 비교적 간단했습니다. 통화 설정 시그널링은 잘 정의된 메타데이터 요소 세트를 제공했습니다. 최신 IP 네트워크에서는 시그널링 환경이 훨씬 더 다양하고 복잡해져 SIP, Diameter, GTP-C 및 다양한 애플리케이션 계층 프로토콜과 같은 프로토콜이 포함됩니다.
VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.
In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.
암호화가 CC에 미치는 영향
최신 네트워크에서 CC 전송의 가장 중요한 과제 중 하나는 암호화 보급률의 증가입니다. E2EE를 사용하는 메시징 애플리케이션에서 제공하는 것과 같은 엔드투엔드 암호화 통신은 네트워크 계층에서 의미 있는 방식으로 가로챌 수 없습니다. 운영자는 암호화된 패킷을 캡처할 수 있지만 암호화 키가 없으면 내용을 이해할 수 없습니다. 이로 인해 운영자는 네트워크 시그널링에서 생성되고 콘텐츠 액세스에 의존하지 않는 IRI는 제공할 수 있지만 사용 가능한 CC는 제공할 수 없는 상황이 발생하게 됩니다.
This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate — if one is reached — will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.
운영자를 위한 실무적 고려 사항
Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.
테스트는 IRI와 CC가 올바르게 생성되었는지 확인하는 데 필수적입니다. 운영자는 각 이벤트 유형에 필요한 모든 데이터 요소가 존재하고 올바르게 채워졌는지 확인하기 위해 ETSI IRI 데이터 구조 정의에 대한 포괄적인 테스트를 수행해야 합니다. CC 전송은 지원되는 모든 미디어 유형에 대해 충실도, 타이밍 및 완전성을 테스트해야 합니다.
마지막으로, 운영자는 네트워크가 진화함에 따라 LI 시스템을 유지 관리해야 합니다. 새로운 서비스, 새로운 프로토콜, 새로운 네트워크 기술로 인해 IRI 생성 및 CC 캡처 기능에 대한 업데이트가 필요합니다. 배포 당시에는 규정을 완벽하게 준수하던 합법적인 차단 시스템도 네트워크가 변화함에 따라 규정을 준수하지 않을 수 있으므로 지속적인 유지 관리 및 개발은 규정 준수 프로그램의 중요한 부분입니다.
결론
IRI와 CC는 합법적인 감청 데이터 제공의 두 축입니다. IRI는 패턴 분석, 위치 추적, 통신 매핑을 가능하게 하는 구조화된 메타데이터를 제공합니다. CC는 감청된 통신의 실제 콘텐츠를 제공하여 대상의 통신 내용에 대한 직접적인 인사이트를 제공합니다. 이 두 가지를 함께 사용하면 법 집행 기관의 수사를 지원하는 완전한 그림을 그릴 수 있습니다. 통신 사업자가 최신 통신 네트워크에서 합법적인 감청 의무를 이행하려면 IRI와 CC의 기술적, 법적, 운영적 의미를 이해하고 이 두 가지를 효과적으로 처리하는 LI 시스템을 구축하는 것이 필수적입니다.
정확한 감청 관련 정보 수집은 합법적인 감청 작전의 기본입니다. 운영자는 시스템이 모든 필수 감청 관련 정보 필드를 캡처하도록 해야 합니다.
관련 기사
관련 주제에 대한 자세한 내용은 다음 문서를 참조하세요:
- HI1 대 HI2 대 HI3: 세 가지 합법적 감청 인터페이스에 대한 이해
- 중재 기능의 작동 방식 네트워크와 법 집행 기관 사이의 가교 역할
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
외부 리소스
다음 외부 리소스에서 추가 컨텍스트와 공식 문서를 확인할 수 있습니다:
