O que a interceptação legal exige de uma operadora
A interceptação legal obriga operadoras de telecomunicações e provedores de internet a dar aos órgãos de segurança pública acesso ao tráfego de pessoas ou organizações, para apoiar a segurança do Estado e combater o crime organizado. Os mecanismos de acesso variam de país para país e até entre regiões. Dois princípios valem na maioria dos lugares:
- a interceptação afeta apenas o alvo específico indicado na ordem judicial;
- o alvo não deve saber que a interceptação está sendo realizada.
Os marcos nacionais são diferentes. Na Europa, os padrões de interceptação legal do ETSI são amplamente usados como base para os requisitos nacionais. Nos Estados Unidos, ela é regulada pela lei CALEA, que se aplica a operadoras móveis, a provedores de acesso à internet banda larga com infraestrutura própria e a provedores de VoIP. Outros países têm suas próprias leis e práticas. Nada disso constitui aconselhamento jurídico: quais serviços devem ser passíveis de interceptação, por quanto tempo os dados são guardados e como deve ser uma solicitação válida dependem da sua jurisdição.
Os componentes comuns da LI
Os órgãos de padronização descrevem a LI como um conjunto de funções, e não como um único equipamento. O ETSI e o 3GPP usam nomes um pouco diferentes, mas os papéis são semelhantes:
- Administração. Função que recebe da autoridade os dados do mandado e configura a interceptação dentro da rede da operadora. Na terminologia do 3GPP, é a função de administração (ADMF); a arquitetura do 3GPP também separa as funções de provisionamento e de acionamento.
- Ponto de interceptação. Elemento de rede que detecta a comunicação do alvo e copia dois tipos de dados: as informações relacionadas à interceptação (quem se comunicou com quem, quando e de onde) e o conteúdo da própria comunicação.
- Mediação. Função que formata os dados copiados no padrão exigido pela autoridade (no 3GPP, a função de mediação e entrega, MDF).
- Entrega. Envio dos dados formatados à central de monitoramento dos órgãos de segurança pública. O ETSI descreve três interfaces de entrega: HI1 para informações administrativas, HI2 para informações relacionadas à interceptação e HI3 para o conteúdo da comunicação. O ETSI TS 102 232 (Parte 1 e suas partes específicas por serviço) especifica como HI2 e HI3 são transportadas em redes IP; a HI1 (atribuição de tarefas e gerenciamento) está fora do seu escopo e é coberta por outros documentos do ETSI.
Para redes móveis, o 3GPP mantém suas próprias especificações de LI. A TS 33.126 define os requisitos, a TS 33.127 define a arquitetura e as funções (incluindo a função de administração, os pontos de interceptação e a função de mediação e entrega) e a TS 33.128 define os protocolos e procedimentos. Antes de projetar qualquer coisa, verifique qual release e qual perfil nacional o seu regulador exige.
Redes móveis: onde a interceptação acontece
Em uma rede móvel, a identidade do assinante, a sessão e o plano de usuário são tratados por elementos diferentes do núcleo. Isso define o projeto da LI:
- O alvo geralmente é identificado por um identificador de assinante, então a função de interceptação precisa associar cada ordem ao assinante correto e manter essa associação atualizada à medida que as sessões começam e terminam.
- Os pontos de interceptação ficam em elementos do núcleo que veem a sinalização e o tráfego de usuário do alvo. A arquitetura de LI do 3GPP descreve funções de acionamento que podem instruir os pontos de interceptação quando ocorre um evento correspondente; quais gerações e releases se aplicam depende do regulador.
- Voz e mensagens trazem requisitos próprios. Chamadas por VoLTE ou Wi-Fi Calling passam pelo IMS e pelos gateways de acesso, e o registro interceptado precisa se manter coerente entre eles.
- O roaming e os diferentes tipos de acesso (LTE, Wi-Fi) fazem com que o mesmo assinante possa aparecer em elementos de rede diferentes ao longo do tempo.
Se o seu núcleo inclui um gateway de pacotes ou um ePDG, a sessão de dados ou a sessão de Wi-Fi Calling do alvo passa por eles. Se e como esses elementos atuam como pontos de interceptação é uma decisão de projeto que depende do padrão aplicável e do perfil do regulador.
Redes fixas: interceptação na camada de tráfego
Na banda larga fixa, o alvo normalmente é uma linha de assinante, um endereço IP, um login ou um endereço MAC, e o tráfego passa por um ponto de agregação, como um BRAS/BNG ou um gateway CG-NAT. Duas questões práticas predominam:
- Identidade. Com endereçamento dinâmico e NAT em nível de operadora, um endereço IP sozinho não identifica uma pessoa. O sistema de interceptação precisa do vínculo entre a conta do assinante, a sessão e o endereço traduzido.
- Posicionamento. A cópia do tráfego precisa ser feita onde todo o fluxo do alvo é visível, sem alterar a rede de produção da operadora.
A inspeção profunda de pacotes (DPI) no caminho do tráfego é uma forma de fazer isso. Ela reconhece protocolos e serviços, então pode selecionar os fluxos do alvo e extrair metadados deles.
Interceptação legal no nosso Stingray Service Gateway
O Lawful Interception faz parte da nossa plataforma Stingray Service Gateway (SSG). A interceptação em si é realizada pela operadora; nós fornecemos a solução para interceptar, armazenar e analisar o tráfego especificado.
A plataforma usa DPI para interceptar o tráfego e realizar análise comportamental. Os dados coletados podem ser visualizados e preparados para análises posteriores, e os metadados necessários podem ser extraídos do tráfego interceptado.
O equipamento não faz alterações na rede da operadora. O tráfego é processado em servidores x86, e os dados são armazenados em sistemas com suporte a escalabilidade e backup.
Agentes autorizados, com os direitos de acesso necessários, acessam o equipamento e os dados coletados por meio de um painel de controle dedicado, usando canais de comunicação seguros.
Nossa solução oferece suporte a VoIP e gravação de voz em implantações fora do padrão ETSI e funciona em redes de telefonia fixa e na internet. Análise de vínculos, alertas em tempo real e dashboards estão incluídos.
A mesma plataforma DPI também oferece CG-NAT, BNG e proteção contra DDoS como opções adicionais. Em redes fixas, as traduções NAT e as sessões de assinantes são tratadas no CG-NAT e no BNG, que é o contexto de que a interceptação precisa para vincular um endereço a um assinante.
A legislação e os procedimentos variam de país para país, por isso, em cada caso, analisamos os requisitos e adaptamos a implantação a eles.
Redes móveis e fixas: como os requisitos diferem
| Aspecto | Rede móvel | Rede fixa |
|---|---|---|
| Identificador típico do alvo | Identidade do assinante vinculada a uma sessão móvel | Linha de assinante, login, endereço IP ou MAC |
| Onde o tráfego é visível | Elementos do núcleo que tratam a sinalização e o plano de usuário | Agregação e borda: BRAS/BNG, CG-NAT, DPI no caminho do tráfego |
| Complicação de identidade | Mobilidade, roaming, mudanças de sessão | Endereços dinâmicos e tradução NAT |
| Serviços abrangidos | Dados, voz e mensagens, incluindo VoLTE e Wi-Fi Calling | Acesso à internet, VoIP, telefonia fixa |
| Padrões de referência | Série de LI do ETSI e 3GPP TS 33.126/33.127/33.128 | Série de LI do ETSI; normas nacionais como a CALEA nos EUA |
| Principal questão de projeto | Quais elementos do núcleo atuam como pontos de interceptação | Onde copiar o tráfego sem alterar a rede |
Interceptação legal e filtragem de conteúdo são tarefas diferentes
As operadoras costumam cuidar de duas tarefas regulatórias na mesma plataforma. Elas são distintas:
- A interceptação legal copia o tráfego de um alvo determinado para as autoridades, sem que o alvo saiba.
- A filtragem de conteúdo bloqueia o acesso a recursos que constam em listas negras regulatórias ou nas listas próprias da operadora. Na nossa plataforma, essa é a opção URL Filtering, que funciona em conjunto com o DPI e oferece download automatizado dos cadastros do regulador e atualização automática das listas de bloqueio.
Ambas dependem da visibilidade do tráfego, por isso costumam ser implantadas em uma única plataforma. Elas têm bases legais e resultados diferentes: a LI entrega dados a uma autoridade, a filtragem muda o que um assinante pode acessar. As obrigações de cada uma dependem da jurisdição. Sobre filtragem, veja nossas páginas de filtragem de tráfego para operadoras e conformidade regulatória.
Checklist antes de escolher uma abordagem de LI
- Obtenha o texto legal e a especificação técnica do regulador do seu país. Pergunte qual padrão e qual versão se aplicam.
- Liste os serviços abrangidos: dados, voz, mensagens, VoIP.
- Defina onde o tráfego do alvo é totalmente visível na sua rede e se a interceptação exige alterações nos equipamentos de produção.
- Defina como os alvos são identificados e como o identificador continua válido com endereçamento dinâmico, NAT e mobilidade.
- Defina quem pode acessar o sistema e como esse acesso é protegido e registrado.
- Planeje o armazenamento, a escalabilidade e o backup dos dados interceptados.
- Confirme o formato de entrega e teste-o com a autoridade antes da entrada em operação.
Perguntas frequentes
Qual é a diferença entre HI1, HI2 e HI3?
No modelo do ETSI, a HI1 transporta informações administrativas, como a ordem de interceptação, a HI2 transporta informações relacionadas à interceptação (metadados da comunicação) e a HI3 transporta o conteúdo da comunicação. Quais delas a sua rede deve suportar é definido pelos requisitos nacionais.
A interceptação legal se aplica tanto a operadoras móveis quanto fixas?
Em geral, sim. Por exemplo, a lei CALEA, nos Estados Unidos, se aplica a operadoras móveis, a provedores de acesso à internet banda larga com infraestrutura própria e a provedores de VoIP. Outras jurisdições definem seu próprio escopo, então verifique a legislação local.
O DPI pode ser usado para interceptação legal?
Sim. No Lawful Interception do nosso Stingray Service Gateway, o DPI é usado para interceptar o tráfego e realizar análise comportamental. Os detalhes dependem da legislação e dos procedimentos de cada país.
Interceptação legal é o mesmo que bloquear conteúdo ilegal?
Não. A interceptação entrega o tráfego de um alvo aos órgãos de segurança pública. O bloqueio impede o acesso a recursos que constam em listas. As duas podem funcionar na mesma plataforma DPI, como acontece no nosso Stingray Service Gateway, mas seguem regras legais diferentes.
Como obter uma consultoria técnica?
Envie uma solicitação pela página de Lawful Interception. Vamos analisar sua situação atual: volume de tráfego, equipamentos disponíveis e as funcionalidades de que você precisa.
