Intercept related information forms the metadata backbone of every interceção legal operation. In lawful interception, two categories of data are fundamental to every interception operation: intercept-related information (IRI) and content of communication (CC). These two data types form the core of what an operator delivers to law enforcement when executing an interception order, and they are carried over separate handover interfaces — HI2 for IRI and HI3 for CC — in the ETSI framework. While most practitioners understand the basic distinction — IRI is metadata, CC is content — the practical implications of this distinction are more nuanced than they first appear.
Este artigo analisa o significado prático de IRI e CC, os elementos de dados que cada um engloba, a forma como são gerados e entregues e a razão pela qual a distinção é importante para os operadores, para as autoridades responsáveis pela aplicação da lei e para o ecossistema mais vasto da interceção legal.
O que significam as informações relacionadas com a interceção
Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself — that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.
Os elementos de dados específicos incluídos no IRI variam consoante o tipo de comunicação e a tecnologia de rede envolvida. Para uma chamada de voz tradicional, o IRI inclui normalmente o número chamador (número A), o número chamado (número B), o IMSI e o IMEI do dispositivo do destinatário, a hora a que a chamada foi iniciada, a hora a que foi atendida, a duração da chamada, os identificadores de célula no início e durante a chamada (fornecendo informações de localização) e a disposição da chamada (atendida, ocupada, sem resposta, reencaminhada). Para uma sessão de dados IP, o IRI pode incluir o endereço IP do alvo, o APN (Access Point Name) atribuído, os parâmetros do portador, as horas de início e fim da sessão e o volume de dados transferidos.
IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication — for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the função de mediação, which turns them into standard IRI records in ETSI format.
Uma das caraterísticas mais importantes das IRI é o seu carácter estruturado. Como as IRI são codificadas no formato ASN.1 de acordo com estruturas de dados bem definidas, podem ser automaticamente analisadas, processadas e analisadas pelos sistemas de aplicação da lei. Este formato estruturado permite operações automatizadas de correlação, análise de padrões e extração de dados que seriam muito mais difíceis com dados não estruturados. O valor investigativo das IRI não deve ser subestimado - em muitos casos, os metadados fornecidos pelas IRI são tão ou mais valiosos do que o próprio conteúdo.
Definição de CC: A camada de conteúdo
Content of communication is the actual substance of the intercepted communication — the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.
The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.
A interceção de dados produz um volume de CC significativamente maior do que a interceção de voz. Uma única chamada de voz gera um fluxo de áudio contínuo, mas com uma largura de banda relativamente baixa, enquanto uma sessão de dados pode gerar gigabytes de tráfego, dependendo da atividade do alvo. Esta disparidade tem implicações importantes para o dimensionamento dos sistemas de LI, para a largura de banda dos canais de transmissão HI3 e para a capacidade de armazenamento necessária na LEMF.
The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.
Porque é que a distinção é importante
The distinction between IRI and CC is not merely technical — it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.
De um ponto de vista operacional, o IRI e o CC têm caraterísticas diferentes em termos de volume, formato, requisitos de processamento e mecanismos de entrega. O IRI é relativamente compacto e estruturado, o que o torna adequado para o processamento e análise automatizados. O CC é potencialmente volumoso e varia muito em termos de formato, exigindo diferentes abordagens de tratamento, armazenamento e análise. Os operadores devem conceber os seus sistemas de LI para tratar ambos os tipos de dados de forma eficiente, com mecanismos adequados de buffering, controlo de fluxo e qualidade de serviço.
From a strategic and investigative perspective, IRI and CC provide different types of intelligence. IRI enables pattern analysis, network mapping, location tracking, and the identification of communication patterns over time. CC provides direct insight into the substance of specific communications but may require significant effort to process and analyse — particularly for data interceptions that produce large volumes of mixed-media content. Autoridades responsáveis pela aplicação da lei increasingly recognise the strategic value of metadata, and in some investigations, IRI may be the primary focus of the interception effort.
IRI em redes modernas
A transição das redes comutadas por circuitos para as redes comutadas por pacotes alargou significativamente o âmbito e a complexidade da IRI. Nas redes de telefonia tradicionais, a IRI era relativamente simples - a sinalização da configuração da chamada fornecia um conjunto bem definido de elementos de metadados. Nas redes IP modernas, o panorama da sinalização é muito mais diversificado e complexo, envolvendo protocolos como o SIP, Diameter, GTP-C e vários protocolos da camada de aplicação.
VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.
In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.
O impacto da encriptação na CC
Um dos desafios mais significativos para a entrega de CC nas redes modernas é a crescente prevalência da encriptação. As comunicações encriptadas de ponta a ponta - como as fornecidas por aplicações de mensagens com E2EE - não podem ser interceptadas na camada de rede de forma significativa. O operador pode capturar os pacotes encriptados, mas sem as chaves de encriptação, o conteúdo é ininteligível. Isto cria uma situação em que o operador pode fornecer IRI (que é gerado a partir da sinalização da rede e não depende do acesso ao conteúdo), mas não pode fornecer CC utilizável.
This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate — if one is reached — will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.
Considerações práticas para os operadores
Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.
Os testes são essenciais para verificar se o IRI e o CC são gerados corretamente. Os operadores devem efetuar testes exaustivos em relação às definições da estrutura de dados ETSI IRI, assegurando que todos os elementos de dados necessários estão presentes e corretamente preenchidos para cada tipo de evento. A entrega de CC deve ser testada quanto à fidelidade, ao tempo e à exaustividade em todos os tipos de suportes suportados.
Por último, os operadores devem manter os seus sistemas de LI à medida que as suas redes evoluem. Novos serviços, novos protocolos e novas tecnologias de rede exigirão actualizações das capacidades de geração de IRI e de captura de CC. Um sistema de interceção legal que estava totalmente em conformidade no momento da implantação pode tornar-se não conforme à medida que a rede muda, tornando a manutenção e o desenvolvimento contínuos uma parte essencial do programa de conformidade.
Conclusão
O IRI e o CC são os dois pilares do fornecimento de dados de interceção legal. O IRI fornece os metadados estruturados que permitem a análise de padrões, a localização e o mapeamento de comunicações. O CC fornece o conteúdo real das comunicações interceptadas, oferecendo uma visão direta do que os alvos estão a comunicar. Em conjunto, formam um quadro completo que apoia as investigações policiais. Para os operadores, compreender as implicações técnicas, legais e operacionais da IRI e da CC - e criar sistemas de LI que tratem ambas de forma eficaz - é essencial para cumprir as suas obrigações de interceção legal nas redes de telecomunicações modernas.
A recolha exacta de informações relacionadas com a interceção é fundamental para a legalidade das operações de interceção. Os operadores devem garantir que os seus sistemas recolhem todos os campos de informações relacionadas com a interceção.
Artigos relacionados
Para mais informações sobre temas relacionados, consulte estes artigos:
- HI1 vs HI2 vs HI3: Compreender as três interfaces de interceção legal
- Como funciona uma função de mediação: A ponte entre a sua rede e a aplicação da lei
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
Recursos externos
Os seguintes recursos externos fornecem contexto adicional e documentação oficial:
