Intercepció legal

La intercepció legal (LI) fa referència a les instal·lacions de les xarxes de telecomunicacions i telefonia que permeten a les forces de l'ordre, amb ordres judicials o altres autoritzacions legals, escoltar selectivament subscriptors individuals. La majoria dels països exigeixen que els operadors de telecomunicacions amb llicència proporcionin a les seves xarxes passarel·les i nodes d'intercepció legal per a la intercepció de comunicacions. Les interfícies d'aquestes passarel·les han estat estandarditzades per organitzacions d'estandardització de telecomunicacions. Com passa amb moltes eines d'aplicació de la llei, els sistemes LI poden ser subvertits amb finalitats il·lícites.

Amb la xarxa telefònica pública commutada (PSTN), els sistemes sense fil i per cable tradicionals, la intercepció legal (LI) generalment es duia a terme accedint als commutadors mecànics o digitals que donaven suport a les trucades dels objectius. La introducció de xarxes de commutació de paquets, tecnologia de commutació suau i aplicacions basades en servidor durant les dues últimes dècades ha alterat fonamentalment la manera com es duu a terme la LI.

La intercepció legal difereix de la vigilància massiva de tipus xarxa de vigilància que de vegades duen a terme les agències d'intel·ligència, on totes les dades que passen per un empalme de fibra òptica o un altre punt de recollida s'extreuen per emmagatzemar-les o filtrar-les. També és independent de la retenció de dades de metadades que s'ha convertit en un requisit legal en algunes jurisdiccions.

La intercepció legal és l'obtenció de dades de la xarxa de comunicacions d'acord amb una autoritat legal amb finalitats d'anàlisi o evidència. Aquestes dades generalment consisteixen en informació de senyalització o de gestió de xarxa o, en menys casos, en el contingut de les comunicacions. Si les dades no s'obtenen en temps real, l'activitat es coneix com a accés a dades conservades (RD)^[1]

Hi ha moltes bases per a aquesta activitat que inclouen la protecció de la infraestructura i la ciberseguretat. En general, l'operador d'infraestructures de xarxa pública pot dur a terme activitats de ciberseguretat per a aquests propòsits. Els operadors d'infraestructures de xarxa privades als Estats Units tenen el dret inherent de mantenir les capacitats de ciberseguretat dins de les seves pròpies xarxes, tret que es prohibeixi el contrari.^[2]

Una de les bases de la intercepció de telecomunicacions per part dels organismes encarregats de fer complir la llei (LEA), els organismes reguladors o administratius i els serveis d'intel·ligència, d'acord amb la legislació local. En alguns sistemes legals, les implementacions, en particular l'accés en temps real al contingut, poden requerir el degut procés i la deguda autorització de les autoritats competents, una activitat que abans es coneixia com a "escoltes telefòniques" i que ha existit des dels inicis de les comunicacions electròniques. El material següent tracta principalment aquest segment reduït de la intercepció de les telecomunicacions.^[3]

Gairebé tots els països tenen requisits de capacitat d'intercepció legal i els han implementat utilitzant requisits i estàndards globals d'intercepció desenvolupats per l'Institut Europeu d'Estàndards de Telecomunicacions (ETSI), el Projecte de Associació de Tercera Generació (3GPP) o les organitzacions CableLabs, per a sistemes de línia fixa/Internet, sense fil i per cable, respectivament. Als EUA, els requisits comparables estan habilitats per la Llei d'Assistència en les Comunicacions per a l'Aplicació de la Llei (CALEA), amb les capacitats específiques promulgades conjuntament per la Comissió Federal de Comunicacions i el Departament de Justícia. Als EUA, la tecnologia d'intercepció legal està actualment patentada per una empresa anomenada Voip-pal.com amb la publicació USPTO núm. 20100150138.^[4]

Els governs exigeixen als proveïdors de serveis telefònics que instal·lin una passarel·la d'intercepció legal (LIG), juntament amb nodes d'intercepció legal (LIN), que els permeti interceptar en temps real les trucades telefòniques, els missatges SMS, els correus electrònics i algunes transferències de fitxers o missatges instantanis.^[5] Aquestes mesures de LI per a la vigilància governamental han estat implementades des de l'inici de la telefonia digital.^[6]

Per evitar que les investigacions es vegin compromeses, els sistemes d'intercepció es poden dissenyar de manera que s'amagui la intercepció a l'operador de telecomunicacions en qüestió. Això és un requisit en algunes jurisdiccions. Alternativament, els sistemes d'intercepció es poden dissenyar utilitzant tecnologia com el desxifratge transparent, que garanteix que l'accés o la intercepció sigui necessàriament evident per tal de dissuadir l'abús d'autoritat.

Per garantir procediments sistemàtics per dur a terme la intercepció, alhora que es redueixen els costos de les solucions d'intercepció, grups industrials i agències governamentals d'arreu del món han intentat estandarditzar els processos tècnics que hi ha darrere de la intercepció legal. Una organització, l'ETSI, ha estat una impulsora important en els estàndards d'intercepció legal no només per a Europa, sinó també per a tot el món.

Aquesta arquitectura intenta definir un mitjà sistemàtic i extensible pel qual els operadors de xarxa i els agents de les forces de l'ordre (LEA) puguin interactuar, especialment a mesura que les xarxes creixen en sofisticació i abast de serveis. Cal tenir en compte que aquesta arquitectura s'aplica no només a les trucades de veu "tradicionals" amb fil i sense fil, sinó també a serveis basats en IP com ara veu sobre IP, correu electrònic, missatgeria instantània, etc. L'arquitectura s'aplica actualment a tot el món (en alguns casos amb lleugeres variacions en la terminologia), inclosos els Estats Units en el context de la conformitat amb CALEA. L'arquitectura requereix tres etapes:

1. col·lecció on s'extreuen de la xarxa dades i contingut de "trucades" relacionades amb l'objectiu
2. mediació on les dades es formaten per complir amb estàndards específics
3. lliurament de les dades i el contingut a l'agència encarregada de l'aplicació de la llei (LEA).

Les dades de trucades (conegudes com a informació relacionada amb la intercepció (IRI) a Europa i dades de trucades (CD) als EUA) consisteixen en informació sobre les comunicacions objectiu, inclosa la destinació d'una trucada de veu (per exemple, el número de telèfon de la persona que truca), l'origen d'una trucada (el número de telèfon de la persona que truca), l'hora de la trucada, la durada, etc. El contingut de la trucada és, concretament, el flux de dades que transporta la trucada. L'arquitectura inclou la funció de gestió de la intercepció legal, que cobreix l'establiment i el desmantellament de la sessió d'intercepció, la programació, la identificació de l'objectiu, etc. Les comunicacions entre l'operador de xarxa i l'autoritat competent (LEA) es fan a través de les interfícies de traspàs (HI). Les dades i el contingut de les comunicacions normalment es lliuren des de l'operador de xarxa a l'autoritat competent en un format xifrat a través d'una VPN basada en IP. La intercepció de trucades de veu tradicionals encara sovint es basa en l'establiment d'un canal RDSI que es configura en el moment de la intercepció.

Com s'ha esmentat anteriorment, l'arquitectura ETSI és igualment aplicable als serveis basats en IP on l'IRI/CD depèn dels paràmetres associats al trànsit d'una aplicació determinada que s'ha d'interceptar. Per exemple, en el cas del correu electrònic, l'IRI seria similar a la informació de la capçalera d'un missatge de correu electrònic (per exemple, l'adreça de correu electrònic de destinació, l'adreça de correu electrònic d'origen, l'hora de transmissió del correu electrònic), així com a la informació de la capçalera pertinent dins dels paquets IP que transmeten el missatge (per exemple, l'adreça IP d'origen del servidor de correu electrònic que origina el missatge de correu electrònic). Per descomptat, el sistema d'intercepció obtindria informació més detallada per evitar la suplantació d'adreça de correu electrònic habitual que sovint té lloc (per exemple, la suplantació de l'adreça d'origen). La veu sobre IP també té el seu propi IRI, incloses les dades derivades dels missatges del Protocol d'inici de sessió (SIP) que s'utilitzen per configurar i desactivar una trucada VOIP.

La feina actual del Comitè Tècnic de l'ETSI LI se centra principalment en el desenvolupament de les noves especificacions de Retained Data Handover i de xarxa de nova generació, així com en el perfeccionament de l'innovador conjunt d'estàndards TS102232 que s'apliquen a la majoria dels usos de xarxa contemporanis.

Els estàndards d'intercepció dels EUA que ajuden els operadors de xarxa i els proveïdors de serveis a complir amb la CALEA són principalment els especificats per la Comissió Federal de Comunicacions (que té autoritat legislativa i de revisió plenària en virtut de la CALEA), CableLabs i l' Alliance for Telecommunications Industry Solutions (ATIS). Els estàndards d'ATIS inclouen nous estàndards per a l'accés a Internet de banda ampla i els serveis VoIP, així com el J-STD-025B antic, que actualitza l'anterior J-STD-025A per incloure la veu per paquets i la intercepció sense fil CDMA.

Per garantir la qualitat de les proves, la Comissió d'Acreditació per a les Agències d'Aplicació de la Llei (CALEA) ha establert els estàndards per a la vigilància electrònica un cop aprovada una sol·licitud de vigilància del Títol III:

1. Garantir un accés clar a totes les dades sense cap pèrdua d'informació ni impacte en la xarxa que es monitoritza
2. Crea un filtre per complir els paràmetres de la garantia: període de temps, tipus de comunicacions que es poden monitorar, proves que es poden recopilar, etc.
3. Configura el dispositiu d'intercepció legal per capturar i/o emmagatzemar dades d'acord amb els paràmetres de l'ordre judicial.
4. Lliurar dades directament des de l'origen al dispositiu de mediació sense cap intervenció humana ni pèrdua de paquets

Cisco també ha desenvolupat estàndards globals genèrics a través de l'Internet Engineering Task Force (IETF) que proporcionen un mitjà front-end per donar suport a la majoria dels estàndards de traspàs en temps real de LI. Tots aquests estàndards han estat qüestionats com a "deficients" pel Departament de Justícia dels Estats Units d'acord amb la CALEA.

El principal instrument jurídic basat en tractats globals relacionats amb la ciberdelinqüència (incloses les dades conservades) és el Conveni de Budapest sobre la ciberdelinqüència (Budapest, 23 de novembre de 2001). La secretaria del Conveni és el Consell d'Europa. Tanmateix, el tractat en si té signataris a tot el món i té un abast global.

Cada país té requisits legals diferents relacionats amb la intercepció legal. El Fòrum Global de la Indústria de la Intercepció Legal enumera molts d'aquests, així com la secretaria del Consell d'Europa. Per exemple, al Regne Unit la llei es coneix com a RIPA (Regulation of Investigatory Powers Act), als Estats Units hi ha una sèrie de lleis penals federals i estatals, i als països de la Comunitat d'Estats Independents com a SORM.

Com passa amb moltes eines d'aplicació de la llei, els sistemes d'accés il·lícit poden ser subvertits amb finalitats il·lícites, produint una violació dels drets humans, tal com va declarar el Tribunal Europeu de Drets Humans en el cas Bettino Craxi III contra Itàlia. També va passar a Grècia durant els Jocs Olímpics de 2004: l'operador telefònic Vodafone Grècia va ser multat amb 100.000.000 de dòlars el 2006 (o 76.000.000 d'euros^[7]) per no protegir els seus sistemes contra l'accés il·legal. Segons Monshizadeh et al., l'esdeveniment és representatiu de la vulnerabilitat de les xarxes mòbils i els proveïdors de serveis d'Internet als ciberatacs perquè utilitzen un mecanisme d'accés il·lícit obsolet.^[8]