Информация, связанная с перехватом, составляет основу метаданных каждого законный перехват операция. При законном перехвате для каждой операции перехвата основополагающее значение имеют две категории данных: информация, связанная с перехватом (IRI), и содержание связи (CC). Эти два типа данных составляют основу того, что оператор предоставляет правоохранительным органам при исполнении постановления о прослушивании, и в рамках структуры ETSI они передаются через отдельные интерфейсы передачи данных — HI2 для IRI и HI3 для CC. Хотя большинство специалистов понимают основное различие — IRI представляет собой метаданные, а CC — содержание — практические последствия этого различия более многогранны, чем кажется на первый взгляд.
В этой статье рассматривается, что на самом деле означают IRI и CC на практике, какие элементы данных включает каждый из них, как они генерируются и передаются, и почему это различие имеет значение для операторов, правоохранительных органов и более широкой экосистемы законного перехвата.
Что означает информация, связанная с перехватом
Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself — that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.
Конкретные элементы данных, включенные в IRI, зависят от типа связи и сетевой технологии. Для традиционного голосового вызова IRI обычно включает вызывающий номер (A-номер), вызываемый номер (B-номер), IMSI и IMEI целевого устройства, время начала вызова, время ответа на вызов, продолжительность вызова, идентификаторы соты в начале и во время вызова (обеспечивающие информацию о местоположении) и расположение вызова (принят, занят, нет ответа, переадресован). Для IP-сессии передачи данных IRI может включать IP-адрес цели, выделенное имя точки доступа (APN), параметры несущей, время начала и окончания сессии и объем переданных данных.
IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication — for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the функция посредничества, which turns them into standard IRI records in ETSI format.
Одной из важнейших характеристик IRI является его структурированность. Поскольку ИРИ закодирован в формате ASN.1 в соответствии с четко определенными структурами данных, он может быть автоматически разобран, обработан и проанализирован правоохранительными системами. Этот структурированный формат позволяет проводить автоматическую корреляцию, анализ шаблонов и добычу данных, что было бы гораздо сложнее при работе с неструктурированными данными. Не стоит недооценивать следственную ценность IRI - во многих случаях метаданные, предоставляемые IRI, имеют такую же или даже большую ценность, чем сам контент.
Определение CC: слой содержимого
Content of communication is the actual substance of the intercepted communication — the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.
The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.
Перехват данных создает значительно больший объем КС, чем перехват голоса. Один голосовой вызов генерирует непрерывный, но относительно низкоскоростной аудиопоток, в то время как сеанс передачи данных может генерировать гигабайты трафика в зависимости от активности цели. Это различие имеет важные последствия для размеров систем LI, пропускной способности каналов доставки HI3 и емкости, необходимой для хранения данных на LEMF.
The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.
Почему различие имеет значение
The distinction between IRI and CC is not merely technical — it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.
С операционной точки зрения IRI и CC имеют разные характеристики с точки зрения объема, формата, требований к обработке и механизмов доставки. IRI относительно компактен и структурирован, что делает его хорошо подходящим для автоматизированной обработки и анализа. СС потенциально объемны и сильно различаются по формату, что требует различных подходов к обработке, хранению и анализу. Операторы должны разрабатывать свои системы LI для эффективной обработки обоих типов данных, используя соответствующие механизмы буферизации, контроля потока и качества обслуживания.
С точки зрения стратегии и расследований IRI и CC предоставляют разные виды оперативной информации. IRI позволяет проводить анализ закономерностей, создавать схемы сетей, отслеживать местоположение и выявлять особенности коммуникации в динамике. CC дает непосредственное представление о содержании конкретных сообщений, однако его обработка и анализ могут потребовать значительных усилий — особенно в случае перехвата данных, при котором получаются большие объемы контента, содержащего различные типы медиа. Правоохранительные органы все чаще признают стратегическую ценность метаданных, и в ходе некоторых расследований IRI может стать основным объектом мероприятий по перехвату информации.
ИРИ в современных сетях
Переход от сетей с коммутацией каналов к сетям с пакетной коммутацией значительно расширил сферу применения и сложность IRI. В традиционных сетях телефонии IRI был относительно прост - сигнализация установления вызова предоставляла четко определенный набор элементов метаданных. В современных IP-сетях ландшафт сигнализации гораздо более разнообразен и сложен, в него входят такие протоколы, как SIP, Diameter, GTP-C, а также различные протоколы прикладного уровня.
VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.
In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.
Влияние шифрования на КК
Одной из наиболее серьезных проблем, связанных с доставкой КС в современных сетях, является все более широкое распространение шифрования. Конечные зашифрованные коммуникации - такие, как те, что обеспечиваются приложениями обмена сообщениями с E2EE, - невозможно полноценно перехватить на сетевом уровне. Оператор может перехватить зашифрованные пакеты, но без ключей шифрования их содержимое будет неразборчивым. Это создает ситуацию, когда оператор может предоставить IRI (который генерируется на основе сетевой сигнализации и не зависит от доступа к содержимому), но не может предоставить пригодный для использования CC.
This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate — if one is reached — will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.
Практические соображения для операторов
Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.
Тестирование необходимо для проверки правильности генерации IRI и CC. Операторы должны проводить всестороннее тестирование на соответствие определениям структуры данных ETSI IRI, обеспечивая наличие и правильное заполнение всех требуемых элементов данных для каждого типа события. Передача СС должна быть проверена на достоверность, своевременность и полноту на всех поддерживаемых типах носителей.
Наконец, операторы должны поддерживать свои системы LI по мере развития сетей. Новые услуги, новые протоколы и новые сетевые технологии потребуют обновления возможностей генерации IRI и захвата CC. Система законного перехвата, которая полностью соответствовала требованиям на момент развертывания, может стать несоответствующей требованиям по мере изменения сети, что делает постоянное обслуживание и развитие критически важной частью программы обеспечения соответствия.
Заключение
IRI и CC - это две основы доставки данных о законном перехвате. IRI предоставляет структурированные метаданные, которые позволяют проводить анализ шаблонов, отслеживать местоположение и составлять карты коммуникаций. CC предоставляет фактическое содержание перехваченных сообщений, давая возможность непосредственно понять, что именно передают цели. Вместе они формируют полную картину, которая помогает правоохранительным органам проводить расследования. Для операторов понимание технических, юридических и операционных последствий IRI и CC, а также создание систем LI, которые эффективно работают с ними, является необходимым условием выполнения обязательств по законному перехвату в современных телекоммуникационных сетях.
Точный сбор информации, связанной с перехватом, является основой законных операций по перехвату. Операторы должны обеспечить, чтобы их системы фиксировали все необходимые поля информации о перехвате.
Похожие статьи
Чтобы узнать больше о смежных темах, ознакомьтесь с этими статьями:
- HI1 vs HI2 vs HI3: понимание трех интерфейсов законного перехвата
- Как работает функция посредничества: Мост между вашей сетью и правоохранительными органами
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
Внешние ресурсы
Следующие внешние ресурсы предоставляют дополнительный контекст и официальную документацию:
