Intercepção legal por parte dos ISP é uma obrigação legal para todos os prestadores que oferecem acesso público à Internet, seja através de DSL, cabo, fibra, rede sem fios fixa ou dados móveis. Quando um tribunal ordena a interceção da ligação de um assinante, o prestador de serviços deve entregar à autoridade responsável pela aplicação da lei uma cópia completa do tráfego IP desse assinante, juntamente com os metadados relacionados. Deve fazê-lo sem demora, de forma segura e sem que o assinante se aperceba.
Para os fornecedores de acesso IP, a interceção legal parece mais simples do que realmente é. Os endereços IP dinâmicos, o NAT de nível de operadora, a delegação de prefixos IPv6, os modelos de acesso grossista e as ligações de 10 ou 100 Gigabits tornam mais difícil capturar o tráfego certo, de forma completa e sem perdas. Este guia explica o que os ISP precisam de implementar, com foco na Alemanha e nas normas ETSI utilizadas em toda a Europa.
Pontos-chave
- Todos os prestadores de acesso público à Internet estão abrangidos. Na Alemanha, a base jurídica é § 170 da Lei das Comunicações (TKG), juntamente com o TKÜV e a Diretiva Técnica TR TKÜV. As redes de muito pequena dimensão podem estar isentas da obrigação de dispor de instalações permanentes, mas têm, ainda assim, de cumprir as ordens.
- O alvo é identificado por identificadores de assinante ou de linha (nome de utilizador, ID da linha, endereço MAC, IMSI/MSISDN), e não por um endereço IP fixo. O sistema de interceção deve seguir o endereço IP que o alvo possui nesse momento.
- O ponto de interceção deve estar localizado num ponto em que o tráfego do assinante ainda seja identificável, o que normalmente significa antes do CGNAT, no próprio BNG ou no gateway de pacotes, ou junto a estes.
- Segue-se a entrega ETSI TS 102 232-1 e -3 (acesso à Internet) ou -7 (telemóvel), com ETSI TS 103 221 para as interfaces internas X1/X2/X3.
- A mesma infraestrutura é utilizada para responder pedidos de dados relativos a assinantes e ao tráfego (§ 174 da TKG e as disposições relativas aos dados de tráfego), e será afetado pela medida prevista congelamento rápido e Retenção de endereços IP regras.
Quem deve assegurar a interceção legal para os prestadores de serviços de Internet?
Na Alemanha, o § 170 da TKG obriga qualquer entidade que explore um sistema de telecomunicações utilizado para prestar serviços de telecomunicações acessíveis ao público a executar ordens de interceção e a manter em vigor as medidas técnicas e organizacionais necessárias, a expensas próprias. Os prestadores que não operem as suas próprias infraestruturas devem recorrer a um operador capaz de executar as ordens em seu nome e devem notificar a BNetzA. No que diz respeito ao acesso à Internet, isto inclui:
- Operadores de Internet de linha fixa (DSL, cabo, FTTH), incluindo revendedores com a sua própria carteira de clientes (normalmente através do seu parceiro grossista)
- Operadoras de redes móveis e MVNOs completas que oferecem dados móveis. Para saber mais sobre a repartição de responsabilidades, consulte MVNO vs. MNO: quem é responsável pela LI?
- Operadores de serviços fixos sem fios, por satélite e de Wi-Fi público, nos casos em que o serviço está disponível ao público
A TKÜV isenta os sistemas com não mais de 10 000 utilizadores ligados de manter instalações de interceção permanentes. No entanto, estes prestadores continuam a ter de cumprir uma ordem quando esta lhes é transmitida, normalmente através de uma solução temporária, tal como um caixa LI temporária. Os prestadores que excedam o limiar devem dispor das instalações necessárias no momento em que iniciarem as suas atividades e apresentar a sua documentação técnica à Agência Federal de Redes (BNetzA) e demonstrar a conformidade no Aprovação da BNetzA processo.
A Arquitetura de Referência: Intercepção Legal para Provedores de Serviços de Internet
| Componente | Função numa rede de ISP | Padrão |
|---|---|---|
| ADMF / LIMS | Recebe encomendas, gere metas e controla os pontos de interesse | ETSI TS 103 221-1 (X1) |
| IRI-POI | Deteta sessões do alvo: início de sessão, atribuição de IP, fim de sessão | Eventos AAA/RADIUS, DHCP e BNG |
| CC-POI | Copia os pacotes do alvo | Integrado no BNG/BRAS ou no router, fornecido através do X3 (ETSI TS 103 221-2); TAP ótico apenas como solução alternativa |
| Função de mediação/entrega | Elabora e entrega IRI e CC | ETSI TS 103 221-2 (X2/X3), ETSI TS 102 232 |
| Entrega à Autoridade Local de Educação (LEA) | Entrega garantida do HI2 e do HI3 | ETSI TS 102 232-1 / -3 / -4 / -7, criptografia nacional |
Para saber como as peças se encaixam, consulte como funciona uma função de mediação e o nosso Plataforma de mediação LI.
Passo 1: Identificar o alvo com precisão
Uma ordem de acesso à Internet identifica um assinante ou uma linha, e não um endereço IP. Por conseguinte, o sistema de interceção deve:
- Associar o identificador solicitado (número de cliente, nome de utilizador, ID de linha, MSISDN/IMSI) ao identificadores de rede utilizado no BNG ou no gateway de pacotes.
- Ver eventos da sessão dos registos de contabilidade RADIUS ou Diameter (Acct-Start, Interim-Update, Acct-Stop), DHCP e BNG.
- Acompanhar as alterações de IP em tempo real: reconexões forçadas, alterações de aluguer de IPv4, delegação de prefixos IPv6 e sessões dual-stack.
- Iniciar a captura quando o alvo se ligar, mesmo que a ordem tenha sido ativada enquanto o alvo estava offline.
Cada um destes acontecimentos torna-se um Registo IRI (início, continuação, fim) transmitido através do HI2. Para mais informações, consulte IRI vs CC.
Passo 2: Atrair o tráfego certo no local certo
- Primeiro o Native X3: Os dispositivos BNG/BRAS de nível de operadora e os routers da Huawei, Cisco, Juniper e outros fornecedores copiam eles próprios o tráfego do alvo e transmitem-no através do X3. As sondas passivas são apenas uma alternativa quando isso não é possível.
- Antes do CGNAT: quando vários assinantes partilham um único endereço IP público, já não é possível separar o tráfego de cada um de forma fiável. Efetue a captura do lado do assinante ou forneça o mapeamento NAT (endereço IP público e bloco de portas) juntamente com o CC.
- Todo o tráfego do alvo: IPv4 e IPv6, TCP, UDP e outros protocolos, em ambos os sentidos, sem filtragem, a menos que a ordem limite explicitamente o âmbito.
- Sem perdas a alta velocidade: Os assinantes de FTTH podem gerar picos de tráfego na ordem dos vários gigabits. As transmissões X3, os buffers de mediação e a marcação temporal devem ser dimensionados para as taxas de pico, e não para as médias.
- Remova a sua própria encriptação: se for o próprio fornecedor a aplicar encriptação ou compressão na rede de acesso, a cópia entregue deve estar desencriptada. A encriptação de ponta a ponta efetuada pelo utilizador permanece inalterada.
- Sincronização temporal precisa (NTP ou PTP) entre os POI, AAA e a mediação, para que o IRI e o CC coincidam.
Passo 3: Entregar de forma segura à agência
No que diz respeito aos serviços de acesso à Internet, segue-se a transferência para a agência ETSI TS 102 232-3, para além da estrutura genérica em ETSI TS 102 232-1. Os serviços de camada 2 utilizam -4, e as utilizações de dados em pacotes móveis -7 ou os equivalentes do 3GPP (TS 33.108 / TS 33.128). Na Alemanha, a norma TR TKÜV especifica as opções nacionais, e a ligação às agências é protegida por gateways criptográficos aprovados. A transmissão deve ser resiliente: armazenamento em buffer durante interrupções, retransmissão e monitorização de cada ligação de transferência.
Venda por grosso, redes de fluxo de dados e redes alojadas
Muitos ISP não são proprietários de toda a cadeia de acesso:
- Com Acesso ao fluxo de bits da Camada 2, o revendedor costuma operar a sua própria rede BNG e pode efetuar a interceção nessa rede.
- Com Fluxo de bits de Camada 3 No caso dos modelos de marca branca, a atribuição de IP e o encaminhamento ocorrem na rede do parceiro grossista. As responsabilidades, os fluxos de dados e o apoio à interceção devem ser acordados no contrato grossista.
- Com núcleos alojados na nuvem ou externalizados, o ponto de interceção pode estar localizado num centro de dados que não controla. As sondas passivas, por exemplo, através de portas espelho virtuais, podem ser uma solução prática. Ver LI com um núcleo externalizado ou alojado.
Para além da interceção: pedidos de informação
Os mesmos sistemas e processos servem de base a outras obrigações legais:
- Pedidos de dados de assinantes (§ 174 da TKG), incluindo a identificação de um assinante por trás de um endereço IP dinâmico num determinado momento.
- Pedidos de dados de tráfego (§ 175 da TKG-E), e, no futuro, a conservação dos dados de tráfego ao abrigo do previsto congelamento rápido (Medida cautelar, § 176 da Proposta de Lei das Telecomunicações (TKG-E)).
- Retenção de endereços IP: o artigo 177.º da TKG, ainda em fase de elaboração, exigirá que os fornecedores de acesso armazenem os registos de atribuição de endereços IP, incluindo as portas por trás do CGNAT, durante três meses.
- Interfaces eletrónicas: os prestadores com 100 000 ou mais parceiros contratuais devem disponibilizar o procedimento ETSI-ESB (para além do E-Mail-ESB), enquanto os prestadores de menor dimensão podem recorrer ao E-Mail-ESB.
Armadilhas comuns na interceção legal para os ISP
| Armadilha | Consequência | Solução |
|---|---|---|
| Ponto de captura atrás do CGNAT | Tráfego de outros assinantes capturado ou tráfego-alvo não detetado | Mova o POI antes do NAT ou cruze os dados com os registos do NAT |
| IPv6 não abrangido | Interceção incompleta | Acompanhar prefixos delegados e sessões de pilha dupla |
| Sem contabilidade intercalar | As alterações de IP passam despercebidas | Ativar atualizações intercalares e feeds de eventos da BNG |
| Captura de peixes abaixo do tamanho mínimo | Taxas de perda de pacotes em picos de tráfego | Dimensionar para sequências de dados, adicionar marcação temporal por hardware |
| Responsabilidades pouco claras no comércio grossista | As ordens não podem ser executadas | Cláusulas contratuais relativas à responsabilidade civil (LI) e fluxos de dados |
| Documentação incompleta | Atraso na aprovação pela BNetzA | Conceito técnico estruturado com base na norma TR TKÜV |
Como o ICS apoia a interceção legal para os ISP
A ICS International Carrier Services tem mais de 20 anos de experiência em telecomunicações, interceção legal e conformidade e contém várias aprovações da BNetzA. Apoiamos os ISP desde a fase inicial de conceção até à operação 24 horas por dia, 7 dias por semana:
- Operações de LI geridas para a interceção de IP, a interceção de VoIP, os pedidos de dados de assinantes (§ 174 da TKG) e os pedidos de dados de tráfego, no âmbito de um modelo de serviço completo. Ver Operações de LI geridas.
- Conceito técnico e aprovação pela BNetzA: documentação baseada na TR TKÜV, planos de ensaio e apoio durante a aceitação.
- Mediação e transferência de responsabilidades: o nosso Plataforma de mediação LI e LIMS enviar fluxos ETSI TS 102 232 às agências.
- Teste LEMF para verificar a entrega do seu HI2/HI3 antes e durante a aceitação pela BNetzA. Consulte ICS LEMF.
- Integração com o X3 com BNG/BRAS e routers centrais da Huawei, Cisco, Juniper e outros fornecedores líderes, recorrendo a sondas passivas ou espelhamento na nuvem apenas nos casos em que a integração direta não seja possível.
- Soluções temporárias para pequenos prestadores de serviços que se situem abaixo do limiar da TKÜV.
- Consultoria sobre o registo CGNAT, o IPv6, os contratos grossistas e a futura retenção de endereços IP.
Contacte a nossa equipa para uma avaliação da sua rede de acesso, ou saiba mais sobre os nossos Soluções de interceção legal.
Perguntas mais frequentes
A interceção legal por parte dos ISP é também obrigatória para os pequenos prestadores de serviços?
Sim. Na Alemanha, os sistemas com um máximo de 10 000 utilizadores ligados não são obrigados a dispor de meios de intercepção permanentes, mas têm, ainda assim, de executar as ordens de intercepção quando estas lhes forem comunicadas, por exemplo, através de uma solução temporária.
Qual é a norma do ETSI aplicável à interceção do acesso à Internet?
A norma ETSI TS 102 232-3 define a transferência de chamada para serviços de acesso à Internet, com base na norma genérica ETSI TS 102 232-1. Os dados móveis em pacotes utilizam a norma ETSI TS 102 232-7 ou as normas 3GPP TS 33.108 / TS 33.128. As interfaces internas seguem a norma ETSI TS 103 221 (X1/X2/X3).
Onde deve um ISP interceptar o tráfego quando se utiliza o CGNAT?
Idealmente, antes da função NAT, em que cada assinante ainda possui um endereço privado único ou uma sessão. Se tal não for possível, o fornecedor deve correlacionar a captura com os registos do CGNAT (IP público, bloco de portas e hora).
Como é que se identifica um alvo se o endereço IP mudar?
O sistema de interceção acompanha os eventos de sessão provenientes da contabilidade RADIUS ou Diameter, do DHCP e dos registos do BNG. Este sistema associa o identificador ordenado do assinante ao endereço IP ou prefixo atualmente atribuído e atualiza automaticamente os filtros de captura.
Um ISP pode subcontratar a interceção legal?
Sim. A obrigação legal recai sobre o prestador, mas a exploração pode ser delegada a um prestador de serviços especializado que atue em seu nome, desde que sejam cumpridos os requisitos de segurança, confidencialidade e da BNetzA.
Artigos relacionados
- Como gerir o LI quando a sua rede principal é subcontratada ou alojada
- Como avaliar uma plataforma de mediação de LI: 7 perguntas a fazer a um fornecedor
- Interfaces X1/X2/X3 em 5G: a arquitetura 3GPP LI explicada
- Conformidade LI como um serviço: Que SLAs devem ser exigidos?
