ДПИ ДЛЯ ЗАКОННОГО ПЕРЕХВАТА
Глубокий анализ пакетов для законного перехвата
Даже зашифрованный трафик может многое рассказать. ICS применяет технологию DPI там, где она приносит наибольшую пользу: в центре мониторинга ведомства и в точке перехвата оператора.
Глубокий анализ пакетов (DPI) — это анализ сетевого трафика, выходящий за рамки базовой адресации и включающий заголовки протоколов, процедуры установления соединения, полезные данные и характер трафика. При законном перехвате с использованием DPI эта технология применяется исключительно к трафику указанной цели. Она работает либо в центре мониторинга ведомства, либо в точке перехвата оператора связи.
Основные факты
- Два места: DPI на стороне агентства в системе LEMF и DPI на стороне провайдера в точке перехвата.
- Отсутствие возможности дешифрования сквозного шифрования: DPI классифицирует то, что не может прочитать.
- Только для целевой аудитории: Система законного перехвата DPI обрабатывает трафик только того объекта, на который направлен запрос, и ничего больше.
- Сначала полный текст: Результаты со стороны провайдера предоставляются в дополнение к полной, неизменённой копии.
- Документально подтверждено: Для каждого результата фиксируются версии движка, сигнатуры и классификатора.
Почему шифрование изменило принципы глубокого анализа пакетов?
Десять лет назад перехваченный IP-трафик часто удавалось восстановить в виде веб-страниц, электронных писем и чатов. Сегодня TLS 1.3, QUIC, мессенджеры со сквозным шифрованием, VPN и зашифрованный DNS скрывают большую часть контента. См. нашу статью о зашифрованный DNS и законный перехват.
Одного только декодирования контента уже недостаточно для достижения результатов. Эту пробел восполняет глубокий анализ пакетов. Он позволяет идентифицировать приложение, определять «отпечатки» клиента, распознавать типы активности, такие как сообщения или звонки, а также соотносить трафик с сетевым контекстом.
Две стороны законного перехвата данных DPI
ICS поддерживает DPI с обеих сторон интерфейса передачи соединения.
01
ДПИ для правоохранительных органов
Агентства расшифровывают открытый трафик и классифицируют зашифрованный трафик с помощью анализа отпечатков TLS, распознавания шаблонов и корреляции IP-адресов. Узнать больше
02
DPI для сетевых операторов
Операторы извлекают и дополняют метаданные для заказанного объекта и предоставляют их вместе с полной копией. Узнать больше
03
Встроено в ICS LEMF
DPI, временные шкалы, карты и графики входят в состав рабочей среды аналитика ICS LEMF. Узнать больше
04
Достигнуто посредством медиации
Результаты, полученные на стороне поставщика, поступают в агентства через цепочку посредничества и передачи данных ICS. Узнать больше
Глубокий анализ пакетов со стороны правоохранительных органов (LEA) и со стороны поставщиков услуг связи (CSP)
| Аспект | DPI со стороны LEA | DPI со стороны CSP |
|---|---|---|
| Где он проходит | В документе LEMF агентства | В точке перехвата оператором |
| Ввод | Предоставлены данные HI2 и HI3 | Данные о трафике заказанного объекта в режиме реального времени |
| Вывод | Расшифрованные данные о продуктах, классификации, временные рамки, графики | Извлеченные метаданные и дополненный IRI, а также полная копия |
| Контекст доступен | Предоставлены данные IRI, данные по делам и другие показатели | Абонент, сопоставление NAT, ячейка, идентификаторы устройств |
| Правовые основания и ограничения | Постановление о прослушивании, уголовно-процессуальное право, Директива (ЕС) 2016/680 | Постановление о прослушивании, национальные правила прослушивания (в Германии — § 170 TKG, TKÜV), Регламент (ЕС) 2015/2120 |
| Типичные пользователи | Аналитики и следователи | Операторы мобильной связи (MNO), виртуальные операторы мобильной связи (MVNO), интернет-провайдеры (ISP) и их команды по работе с клиентами (LI) |
Где проходят правовые границы?
Использование средств цифровой обработки сигналов (DPI) при законном перехвате является законным только в четко оговоренных пределах. Эти ограничения действуют для обеих сторон:
- Обработка осуществляется в пределах объем заказа и охватывает только указанную цель.
- Операторы доставляют полная, неизменённая копия Во-первых. Обогащение — это добавление.
- Обработка LI — это строго разделенные из сферы коммерческого DPI и управления трафиком в рамках Регламент (ЕС) № 2015/2120.
- Органы обрабатывают данные в соответствии с национальным уголовно-процессуальным законодательством и Директива (ЕС) 2016/680.
- В Германии поставки со стороны провайдеров должны входить в концепцию, утвержденную BNetzA в соответствии с TKÜV и TR TKÜV.
- Классификации: показатели с известными уровнями ошибок, а не доказательствами.
Почему ICS
01
Обе стороны процесса передачи
Мы осуществляем перехват трафика для провайдеров и разрабатываем решение ICS LEMF для государственных органов, поэтому знаем, какие возможности предоставляет технология DPI для каждой из сторон.
02
Опыт в сфере регулирования
Более 20 лет опыта в области законного прослушивания и многочисленные разрешения BNetzA на использование решений для прослушивания.
03
Практический опыт в области интеллектуальной собственности
Наша команда работает с трассировками VoLTE, IMS и IP, а также разрабатывает специализированные декодеры и классификаторы.
Часто задаваемые вопросы
Что такое глубокий анализ пакетов в рамках законного перехвата?
Глубокий анализ пакетов в рамках законного перехвата представляет собой анализ перехваченного трафика целевого объекта, выходящий за рамки адресов и портов. Он декодирует читаемые протоколы и классифицирует зашифрованный трафик по приложениям, отпечаткам и типам активности. Он осуществляется в центре мониторинга ведомства или в точке перехвата оператора связи, всегда в рамках полномочий, предусмотренных ордером на перехват.
Может ли DPI расшифровать зашифрованный трафик мессенджеров?
Нет. DPI не нарушает сквозное шифрование. С его помощью можно установить, что использовался мессенджер, когда, как долго и какой объем данных был передан, а также зачастую определить, была ли эта активность связана с отправкой сообщения или звонком. Операторы снимают шифрование только в тех случаях, когда они сами его применили в своей сети.
Заменяет ли DPI на стороне провайдера полную копию?
Нет. В Германии и во многих других странах оператор связи обязан предоставить полную, неизмененную копию сообщений целевого лица, если в постановлении прямо не ограничен объем предоставляемой информации. Результаты анализа данных на уровне протокола (DPI) предоставляются лишь в дополнение к этому. Таким образом, спецслужбы могут в любой момент сверить дополненные данные с исходными данными трафика.
Совместим ли показатель DPI, используемый для законного перехвата данных, с правилами сетевого нейтралитета?
Да, если это настроено правильно. Регламент (ЕС) 2015/2120 ограничивает применение DPI для управления трафиком, но допускает меры, необходимые для соблюдения законодательства Союза или национального законодательства. Поэтому обработка LI должна осуществляться отдельно от коммерческого DPI и ни в коем случае не должна передаваться в коммерческие системы.
Какая сторона должна осуществлять DPI?
Часто и то, и другое. DPI на стороне спецслужб предоставляет аналитикам гибкие возможности классификации и корреляции данных в рамках всего дела. DPI на стороне провайдера добавляет сетевой контекст, доступный только оператору, например данные об абонентах, NAT и сотовых ячейках. Оптимальное соотношение зависит от национальных правил, концепции оператора в отношении сбора данных и требований спецслужб.
Спланируйте свой подход к DPI с помощью метода «ICS»
Независимо от того, занимаетесь ли вы анализом перехваченных данных или их передачей, мы поможем вам разработать систему DPI, которая будет полезной, законной и должным образом задокументированной.