Ce que l’interception légale exige d’un opérateur
L’interception légale oblige les opérateurs télécom et les fournisseurs d’accès à internet à donner aux services chargés de l’application de la loi l’accès au trafic de personnes ou d’organisations, afin de contribuer à la sécurité de l’État et de lutter contre la criminalité organisée. Les mécanismes d’accès varient d’un pays à l’autre, et même d’une région à l’autre. Deux principes s’appliquent presque partout :
- l’interception ne concerne que la cible précise désignée dans la décision judiciaire ;
- la cible ne doit pas savoir qu’elle fait l’objet d’une interception.
Les cadres nationaux diffèrent. En Europe, les normes d’interception légale de l’ETSI servent largement de base aux exigences nationales. Aux États-Unis, l’interception est encadrée par la loi CALEA, qui s’applique aux opérateurs mobiles, aux fournisseurs d’accès internet haut débit disposant de leur propre infrastructure et aux fournisseurs de VoIP. D’autres pays ont leurs propres lois et pratiques. Rien de ceci ne constitue un conseil juridique : les services qui doivent pouvoir être interceptés, la durée de conservation des données et la forme d’une demande valable dépendent tous de votre juridiction.
Les composantes communes de la LI
Les organismes de normalisation décrivent la LI comme un ensemble de fonctions plutôt que comme un équipement unique. L’ETSI et le 3GPP emploient des noms légèrement différents, mais les rôles sont similaires :
- Administration. Fonction qui reçoit de l’autorité les éléments du mandat et configure l’interception dans le réseau de l’opérateur. Dans la terminologie du 3GPP, il s’agit de la fonction d’administration (ADMF) ; l’architecture 3GPP distingue aussi les fonctions de provisionnement et de déclenchement.
- Point d’interception. Élément de réseau qui détecte la communication de la cible et copie deux types de données : les informations relatives à l’interception (qui a communiqué avec qui, quand et d’où) et le contenu de la communication elle-même.
- Médiation. Fonction qui met les données copiées au format exigé par l’autorité (dans le 3GPP, la fonction de médiation et de remise, MDF).
- Remise. Transmission des données formatées au centre de surveillance des services chargés de l’application de la loi. L’ETSI décrit trois interfaces de remise : HI1 pour les informations administratives, HI2 pour les informations relatives à l’interception et HI3 pour le contenu de la communication. La norme ETSI TS 102 232 (Partie 1 et ses parties propres à chaque service) précise comment HI2 et HI3 sont transportées sur les réseaux IP ; HI1 (attribution des tâches et gestion) n’entre pas dans son champ et relève d’autres documents ETSI.
Pour les réseaux mobiles, le 3GPP tient à jour ses propres spécifications de LI. La TS 33.126 fixe les exigences, la TS 33.127 définit l’architecture et les fonctions (dont la fonction d’administration, les points d’interception et la fonction de médiation et de remise) et la TS 33.128 définit les protocoles et procédures. Avant toute conception, vérifiez quelle release et quel profil national votre régulateur exige.
Réseaux mobiles : où se fait l’interception
Dans un réseau mobile, l’identité de l’abonné, la session et le plan utilisateur sont gérés par des éléments différents du cœur de réseau. Cela détermine la conception de la LI :
- La cible est généralement identifiée par un identifiant d’abonné : la fonction d’interception doit donc associer chaque décision au bon abonné et tenir cette association à jour à mesure que les sessions s’ouvrent et se ferment.
- Les points d’interception se trouvent sur les éléments du cœur de réseau qui voient la signalisation et le trafic utilisateur de la cible. L’architecture LI du 3GPP décrit des fonctions de déclenchement capables de donner des instructions aux points d’interception lorsqu’un événement correspondant se produit ; les générations et releases applicables dépendent du régulateur.
- La voix et la messagerie ajoutent leurs propres exigences. Les appels en VoLTE ou en Wi-Fi Calling transitent par l’IMS et les passerelles d’accès, et l’enregistrement intercepté doit rester cohérent de bout en bout.
- L’itinérance et la multiplicité des types d’accès (LTE, Wi-Fi) font qu’un même abonné peut apparaître sur différents éléments du réseau au fil du temps.
Si votre cœur de réseau comprend une passerelle de paquets ou un ePDG, la session de données ou la session Wi-Fi Calling de la cible y transite. Le fait que ces éléments servent ou non de points d’interception, et de quelle manière, est un choix de conception qui dépend de la norme applicable et du profil du régulateur.
Réseaux fixes : interception au niveau du trafic
Dans le haut débit fixe, la cible est généralement une ligne d’abonné, une adresse IP, un identifiant de connexion ou une adresse MAC, et le trafic passe par un point d’agrégation tel qu’un BRAS/BNG ou une passerelle CG-NAT. Deux questions pratiques dominent :
- Identité. Avec l’adressage dynamique et le NAT au niveau opérateur, une adresse IP ne suffit pas à identifier une personne. Le système d’interception a besoin du lien entre le compte de l’abonné, la session et l’adresse traduite.
- Emplacement. La copie du trafic doit être prélevée là où l’ensemble du flux de la cible est visible, sans modifier le réseau de production de l’opérateur.
L’inspection approfondie des paquets (DPI) sur le chemin du trafic est l’un des moyens d’y parvenir. Elle reconnaît les protocoles et les services : elle peut donc isoler les flux de la cible et en extraire des métadonnées.
L’interception légale dans notre Stingray Service Gateway
Lawful Interception fait partie de notre plateforme Stingray Service Gateway (SSG). L’interception elle-même est réalisée par l’opérateur ; nous fournissons la solution permettant d’intercepter, de stocker et d’analyser le trafic désigné.
La plateforme utilise le DPI pour intercepter le trafic et effectuer une analyse comportementale. Les données collectées peuvent être visualisées et préparées pour une analyse ultérieure, et les métadonnées nécessaires peuvent être extraites du trafic intercepté.
L’équipement n’apporte aucune modification au réseau de l’opérateur. Le trafic est traité sur des serveurs x86 et les données sont stockées dans des systèmes prenant en charge la montée en charge et la sauvegarde.
Les agents habilités disposant des droits d’accès requis accèdent à l’équipement et aux données collectées via un panneau de contrôle dédié, par des canaux de communication sécurisés.
Notre solution prend en charge la VoIP et l’enregistrement vocal pour les déploiements hors ETSI, et fonctionne sur les réseaux de téléphonie fixe comme sur internet. L’analyse des liens, les alertes en temps réel et les tableaux de bord sont inclus.
La même plateforme DPI propose aussi le CG-NAT, le BNG et la protection contre les attaques DDoS en options supplémentaires. Dans les réseaux fixes, les traductions NAT et les sessions d’abonnés sont gérées au niveau du CG-NAT et du BNG : c’est le contexte dont l’interception a besoin pour rattacher une adresse à un abonné.
La législation et les procédures varient d’un pays à l’autre : pour chaque projet, nous examinons donc les exigences et adaptons le déploiement en conséquence.
Réseaux mobiles et fixes : en quoi les exigences diffèrent
| Aspect | Réseau mobile | Réseau fixe |
|---|---|---|
| Identifiant type de la cible | Identité de l’abonné liée à une session mobile | Ligne d’abonné, identifiant de connexion, adresse IP ou MAC |
| Où le trafic est visible | Éléments du cœur de réseau gérant la signalisation et le plan utilisateur | Agrégation et périphérie : BRAS/BNG, CG-NAT, DPI sur le chemin du trafic |
| Difficulté liée à l’identité | Mobilité, itinérance, changements de session | Adresses dynamiques et traduction NAT |
| Services concernés | Données, voix et messagerie, y compris VoLTE et Wi-Fi Calling | Accès internet, VoIP, téléphonie fixe |
| Normes de référence | Série LI de l’ETSI et 3GPP TS 33.126/33.127/33.128 | Série LI de l’ETSI ; règles nationales telles que CALEA aux États-Unis |
| Question principale de conception | Quels éléments du cœur de réseau servent de points d’interception | Où copier le trafic sans modifier le réseau |
Interception légale et filtrage de contenu : deux missions différentes
Les opérateurs traitent souvent deux obligations réglementaires sur la même plateforme. Elles sont distinctes :
- L’interception légale copie le trafic d’une cible désignée à l’intention des autorités, à l’insu de la cible.
- Le filtrage de contenu bloque l’accès aux ressources figurant sur des listes noires réglementaires ou sur les listes propres de l’opérateur. Dans notre plateforme, il s’agit de l’option URL Filtering, qui fonctionne avec le DPI et prend en charge le téléchargement automatisé des registres du régulateur et la mise à jour automatique des listes de blocage.
Toutes deux reposent sur la visibilité du trafic, c’est pourquoi elles sont souvent déployées sur une seule plateforme. Leurs fondements juridiques et leurs résultats diffèrent : la LI remet des données à une autorité, le filtrage modifie ce à quoi un abonné peut accéder. Les obligations propres à chacune dépendent de la juridiction. Pour le filtrage, consultez nos pages sur le filtrage du trafic pour les opérateurs et la conformité réglementaire.
Liste de contrôle avant de choisir une approche de LI
- Procurez-vous le texte de loi et la spécification technique du régulateur de votre pays. Demandez quelle norme et quelle version s’appliquent.
- Dressez la liste des services concernés : données, voix, messagerie, VoIP.
- Déterminez où le trafic de la cible est entièrement visible dans votre réseau et si l’interception nécessite des modifications de l’équipement de production.
- Définissez comment les cibles sont identifiées et comment l’identifiant reste valable malgré l’adressage dynamique, le NAT et la mobilité.
- Définissez qui peut accéder au système et comment cet accès est protégé et journalisé.
- Planifiez le stockage, la montée en charge et la sauvegarde des données interceptées.
- Validez le format de remise et testez-le avec l’autorité avant la mise en service.
FAQ
Quelle est la différence entre HI1, HI2 et HI3 ?
Dans le modèle de l’ETSI, HI1 transporte les informations administratives, comme la décision d’interception, HI2 les informations relatives à l’interception (métadonnées de la communication) et HI3 le contenu de la communication. Les interfaces que votre réseau doit prendre en charge sont fixées par les exigences nationales.
L’interception légale s’applique-t-elle aux opérateurs mobiles comme aux opérateurs fixes ?
En général, oui. Par exemple, la loi CALEA aux États-Unis s’applique aux opérateurs mobiles, aux fournisseurs d’accès internet haut débit disposant de leur propre infrastructure et aux fournisseurs de VoIP. D’autres juridictions définissent leur propre champ d’application : vérifiez la législation locale.
Le DPI peut-il servir à l’interception légale ?
Oui. Dans Lawful Interception de notre Stingray Service Gateway, le DPI sert à intercepter le trafic et à effectuer une analyse comportementale. Les modalités dépendent de la législation et des procédures de chaque pays.
L’interception légale revient-elle à bloquer les contenus illicites ?
Non. L’interception remet le trafic d’une cible aux services chargés de l’application de la loi. Le blocage empêche l’accès aux ressources répertoriées. Les deux peuvent fonctionner sur la même plateforme DPI, comme dans notre Stingray Service Gateway, mais obéissent à des règles juridiques différentes.
Comment obtenir une consultation technique ?
Envoyez-nous une demande depuis la page Lawful Interception. Nous étudierons votre situation actuelle : volume de trafic, équipement disponible et fonctionnalités dont vous avez besoin.
