Qué exige la interceptación legal a un operador
La interceptación legal obliga a los operadores de telecomunicaciones y a los proveedores de internet a dar a las fuerzas del orden acceso al tráfico de personas u organizaciones, para apoyar la seguridad del Estado y combatir el crimen organizado. Los mecanismos de acceso varían de un país a otro e incluso entre regiones. Dos principios se cumplen en la mayoría de los lugares:
- la interceptación afecta solo al objetivo específico indicado en la orden judicial;
- el objetivo no debe saber que se está realizando la interceptación.
Los marcos nacionales difieren. En Europa, los estándares de interceptación legal de ETSI se usan ampliamente como base de los requisitos nacionales. En Estados Unidos, la regula la ley CALEA, que se aplica a los operadores móviles, a los proveedores de acceso a internet de banda ancha con infraestructura propia y a los proveedores de VoIP. Otros países tienen sus propias leyes y prácticas. Nada de esto constituye asesoría legal: qué servicios deben poder interceptarse, cuánto tiempo se conservan los datos y qué requisitos debe cumplir una solicitud válida dependen de su jurisdicción.
Los componentes comunes de la LI
Los organismos de normalización describen la LI como un conjunto de funciones y no como un único equipo. ETSI y 3GPP usan nombres algo distintos, pero los roles son similares:
- Administración. Función que recibe de la autoridad los datos de la orden y configura la interceptación dentro de la red del operador. En la terminología de 3GPP es la función de administración (ADMF); la arquitectura de 3GPP también separa las funciones de aprovisionamiento y de activación.
- Punto de interceptación. Elemento de red que detecta la comunicación del objetivo y copia dos tipos de datos: la información relacionada con la interceptación (quién se comunicó con quién, cuándo y desde dónde) y el contenido de la propia comunicación.
- Mediación. Función que da a los datos copiados el formato exigido por la autoridad (en 3GPP, la función de mediación y entrega, MDF).
- Entrega. Envío de los datos formateados al centro de monitoreo de las fuerzas del orden. ETSI describe tres interfaces de entrega: HI1 para la información administrativa, HI2 para la información relacionada con la interceptación y HI3 para el contenido de la comunicación. ETSI TS 102 232 (la Parte 1 y sus partes específicas por servicio) especifica cómo se transportan HI2 y HI3 en redes IP; HI1 (asignación de tareas y gestión) queda fuera de su alcance y la cubren otros documentos de ETSI.
Para las redes móviles, 3GPP mantiene sus propias especificaciones de LI. TS 33.126 establece los requisitos, TS 33.127 define la arquitectura y las funciones (incluidas la función de administración, los puntos de interceptación y la función de mediación y entrega) y TS 33.128 define los protocolos y procedimientos. Antes de diseñar nada, verifique qué release y qué perfil nacional exige su regulador.
Redes móviles: dónde se realiza la interceptación
En una red móvil, la identidad del suscriptor, la sesión y el plano de usuario los gestionan distintos elementos del núcleo. Eso determina el diseño de la LI:
- Normalmente el objetivo se identifica por un identificador de suscriptor, así que la función de interceptación debe asociar cada orden con el suscriptor correcto y mantener esa asociación actualizada a medida que las sesiones empiezan y terminan.
- Los puntos de interceptación se ubican en elementos del núcleo que ven la señalización y el tráfico de usuario del objetivo. La arquitectura de LI de 3GPP describe funciones de activación que pueden dar instrucciones a los puntos de interceptación cuando ocurre un evento que coincide con la orden; qué generaciones y releases se aplican depende del regulador.
- La voz y la mensajería añaden sus propios requisitos. Las llamadas por VoLTE o Wi-Fi Calling atraviesan el IMS y las pasarelas de acceso, y el registro interceptado debe mantenerse coherente entre ellos.
- El roaming y los distintos tipos de acceso (LTE, Wi-Fi) hacen que un mismo suscriptor pueda aparecer en diferentes elementos de red a lo largo del tiempo.
Si su núcleo incluye una pasarela de paquetes o un ePDG, la sesión de datos o la sesión de Wi-Fi Calling del objetivo pasa por ellos. Si estos elementos actúan como puntos de interceptación, y de qué manera, es una decisión de diseño que depende del estándar aplicable y del perfil del regulador.
Redes fijas: interceptación en la capa de tráfico
En la banda ancha fija, el objetivo suele ser una línea de suscriptor, una dirección IP, un login o una dirección MAC, y el tráfico pasa por un punto de agregación como un BRAS/BNG o una pasarela CG-NAT. Predominan dos cuestiones prácticas:
- Identidad. Con direccionamiento dinámico y NAT a nivel de operador, una dirección IP por sí sola no identifica a una persona. El sistema de interceptación necesita el vínculo entre la cuenta del suscriptor, la sesión y la dirección traducida.
- Ubicación. La copia del tráfico debe tomarse donde el flujo completo del objetivo sea visible, sin modificar la red de producción del operador.
La inspección profunda de paquetes (DPI) en la ruta del tráfico es una forma de lograrlo. Puede reconocer protocolos y servicios, de modo que puede seleccionar los flujos del objetivo y extraer metadatos de ellos.
Interceptación legal en nuestro Stingray Service Gateway
Lawful Interception forma parte de nuestra plataforma Stingray Service Gateway (SSG). La interceptación en sí la realiza el operador; nosotros suministramos la solución para interceptar, almacenar y analizar el tráfico especificado.
La plataforma usa DPI para interceptar el tráfico y realizar análisis de comportamiento. Los datos recopilados pueden visualizarse y prepararse para un análisis posterior, y los metadatos necesarios pueden extraerse del tráfico interceptado.
El equipo no realiza cambios en la red del operador. El tráfico se procesa en servidores x86 y los datos se almacenan en sistemas con soporte de escalabilidad y respaldo.
Los funcionarios autorizados con los derechos de acceso necesarios acceden al equipo y a los datos recopilados mediante un panel de control dedicado, a través de canales de comunicación seguros.
Nuestra solución admite VoIP y grabación de voz en implementaciones que no siguen ETSI, y funciona en redes de telefonía fija y en internet. Incluye análisis de vínculos, alertas en tiempo real y dashboards.
La misma plataforma DPI ofrece además CG-NAT, BNG y protección contra DDoS como opciones adicionales. En las redes fijas, las traducciones NAT y las sesiones de suscriptor se gestionan en CG-NAT y BNG, que es el contexto que necesita la interceptación para vincular una dirección con un suscriptor.
La legislación y los procedimientos varían de un país a otro, por eso en cada caso analizamos los requisitos y adaptamos la implementación a ellos.
Redes móviles y fijas: en qué difieren los requisitos
| Aspecto | Red móvil | Red fija |
|---|---|---|
| Identificador típico del objetivo | Identidad del suscriptor vinculada a una sesión móvil | Línea de suscriptor, login, dirección IP o MAC |
| Dónde es visible el tráfico | Elementos del núcleo que gestionan la señalización y el plano de usuario | Agregación y borde: BRAS/BNG, CG-NAT, DPI en la ruta del tráfico |
| Complicación de identidad | Movilidad, roaming, cambios de sesión | Direcciones dinámicas y traducción NAT |
| Servicios incluidos | Datos, voz y mensajería, incluidos VoLTE y Wi-Fi Calling | Acceso a internet, VoIP, telefonía fija |
| Estándares de referencia | Serie de LI de ETSI y 3GPP TS 33.126/33.127/33.128 | Serie de LI de ETSI; normas nacionales como CALEA en EE. UU. |
| Pregunta principal de diseño | Qué elementos del núcleo actúan como puntos de interceptación | Dónde copiar el tráfico sin modificar la red |
La interceptación legal y el filtrado de contenido son tareas distintas
Los operadores suelen resolver dos tareas regulatorias en la misma plataforma. Son distintas:
- La interceptación legal copia el tráfico de un objetivo determinado para las autoridades, sin que el objetivo lo sepa.
- El filtrado de contenido bloquea el acceso a recursos incluidos en listas negras regulatorias o en las listas propias del operador. En nuestra plataforma es la opción URL Filtering, que funciona junto con DPI y admite la descarga automatizada de los registros del regulador y la actualización automática de las listas de bloqueo.
Ambas dependen de la visibilidad del tráfico, por eso suelen implementarse en una sola plataforma. Tienen bases legales y resultados distintos: la LI entrega datos a una autoridad, el filtrado cambia a qué puede acceder un suscriptor. Las obligaciones de cada una dependen de la jurisdicción. Sobre el filtrado, consulte nuestras páginas de filtrado de tráfico para operadores y cumplimiento regulatorio.
Lista de verificación antes de elegir un enfoque de LI
- Obtenga el texto legal y la especificación técnica del regulador de su país. Pregunte qué estándar y qué versión se aplican.
- Enumere los servicios incluidos: datos, voz, mensajería, VoIP.
- Determine dónde es completamente visible el tráfico del objetivo en su red y si la interceptación requiere cambios en el equipamiento de producción.
- Defina cómo se identifican los objetivos y cómo el identificador sigue siendo válido con direccionamiento dinámico, NAT y movilidad.
- Defina quién puede acceder al sistema y cómo se protege y registra ese acceso.
- Planifique el almacenamiento, la escalabilidad y el respaldo de los datos interceptados.
- Confirme el formato de entrega y pruébelo con la autoridad antes de la puesta en marcha.
Preguntas frecuentes
¿Cuál es la diferencia entre HI1, HI2 y HI3?
En el modelo de ETSI, HI1 transporta información administrativa, como la orden de interceptación; HI2, la información relacionada con la interceptación (metadatos de la comunicación), y HI3, el contenido de la comunicación. Cuáles de ellas debe admitir su red lo establecen los requisitos nacionales.
¿La interceptación legal se aplica tanto a operadores móviles como fijos?
En general, sí. Por ejemplo, la ley CALEA en Estados Unidos se aplica a los operadores móviles, a los proveedores de acceso a internet de banda ancha con infraestructura propia y a los proveedores de VoIP. Otras jurisdicciones definen su propio alcance, así que consulte la legislación local.
¿Se puede usar DPI para la interceptación legal?
Sí. En Lawful Interception de nuestro Stingray Service Gateway, DPI se usa para interceptar el tráfico y realizar análisis de comportamiento. Los detalles dependen de la legislación y los procedimientos de cada país.
¿La interceptación legal es lo mismo que bloquear contenido ilegal?
No. La interceptación entrega el tráfico de un objetivo a las fuerzas del orden. El bloqueo impide el acceso a los recursos incluidos en listas. Pueden funcionar en la misma plataforma DPI, como ocurre en nuestro Stingray Service Gateway, pero se rigen por normas legales distintas.
¿Cómo puedo obtener una consulta técnica?
Envíenos una solicitud desde la página de Lawful Interception. Analizaremos su situación actual: volumen de tráfico, equipamiento disponible y la funcionalidad que necesita.
