Telecombedrijf KPN blijkt de technische uitvoering van deep packet inspection op zijn netwerk te hebben uitbesteed. De dienst wordt geleverd door het Franse netwerkbedrijf Alcatel-Lucent, dat ook de rapportages aan KPN aanlevert.
Anonieme bronnen bevestigen tegenover Tweakers.net dat KPN na een netwerkupgrade vorig jaar op zoek is gegaan naar een manier om het verkeer over zijn mobiele netwerk in kaart te brengen. De oplossing werd gevonden in een dienst van Alcatel-Lucent; deze Franse netwerkgigant is in staat gesteld om traffic te volgen op alle core routers van KPN die mobiel dataverkeer afhandelen.
"KPN geeft aan dat ze niets kunnen zien en dat klopt, want dat onderdeel besteden ze uit", aldus een anonieme bron tegenover Tweakers.net. "Het enige dat KPN krijgt, is een rapport met de gebruikte applicaties en een percentage van het gebruiksverkeer." De rapportages worden vanuit Alcatel-Lucent aan KPN aangeleverd.
Eerder deze week ontstond er ophef toen KPN toegaf deep packet inspection op zijn mobiele netwerk toe te passen, om zo inzicht te krijgen in het gebruik van populaire applicaties als WhatsApp. Ook zal deze technologie volgens KPN worden ingezet om internettelefonie apart in rekening te kunnen brengen.
In reactie op alle ophef die daarop ontstond, kwam KPN met een verklaring waarin werd gesteld dat de telco dpi gebruikt om het netwerkverkeer te analyseren, maar dat er daarbij niet naar de inhoud van het verkeer wordt gekeken. Hoewel het technisch mogelijk is om vast te stellen welke data wordt vervoerd zonder naar de inhoud te kijken, is het volgens door Tweakers.net geraadpleegde bronnen erg onwaarschijnlijk dat voor de analyses alleen naar de headerinformatie van verkeerspakketjes is gekeken.
Rogier Beckers, die voor Tweakers.net WhatsApp-verkeer analyseerde, stelt dat al het verkeer van WhatsApp over poort 5222 gaat. Hoewel WhatsApp-verkeer kan worden herkend aan de combinatie van de ip-adressen van WhatsApp-servers en het gebruik van deze poort, is het niet waarschijnlijk dat KPN daarmee voldoende informatie heeft om het gebruik van de dienst te kunnen factureren.
Ten eerste maakt WhatsApp gebruik van de diensten van Softlayer, een bedrijf dat meer dan honderdduizend servers beheert. Hierdoor is de kans groot dat WhatsApp-data via diverse servers wordt afgehandeld en er dus een uitgebreide en mogelijk steeds wisselende lijst met ip-adressen moet worden bijgehouden. Bovendien maakt WhatsApp gebruik van xmpp, een veelgebruikt protocol voor berichtenverkeer dat vroeger Jabber heette. Aan de headers van datapakketjes is echter niet te zien dat dit protocol wordt gebruikt. Dit zou wel kunnen worden gedaan door naar de gebruikte poort te kijken, maar daarmee zou ál het xmpp-verkeer worden aangemerkt als WhatsApp-traffic.
"Als je met zekerheid wilt weten dat het Jabber is, dan moet je dpi toepassen en wellicht zover gaan dat je gehele tcp-streams moet bijhouden en onthouden om er zeker van te zijn dat het WhatsApp-packets zijn", zegt één bron. Een andere expert bevestigt dit beeld. "Dpi werkt op basis van het controleren van een patroon in de verzonden informatie. Normaliter zal voor dpi dus niet de gehele content worden gelezen, maar een klein gedeelte om te controleren of het pakketje wel een WhatsApp-bericht is. Het probleem van tcp/ip is dat het meerdere packets moet versturen om een bericht te verzenden. Alleen op basis van de Application Layer is niet met 100 procent zekerheid te bepalen dat iets een WhatsApp-bericht is. Ze hebben dus meerdere packets nodig - 2 tot 3 bij unencrypted en 3 tot 20 bij encrypted informatie - om een bepaald patroon te ontdekken en het risico van false positives te beperken."
Overigens is het nog maar de vraag of KPN daadwerkelijk deep packet inspection gebruikt. Hoewel een topman deze woorden in de mond nam en KPN in een latere verklaring dit ook deed, stelt een technisch werknemer van KPN dat het bedrijf shallow packet inspection gebruikt. Bij spi wordt alleen naar de source, destination en tcp/udp-poort gekeken. Tweakers.net heeft hierover donderdag al vragen gesteld aan KPN, maar nog geen officiële reactie gehad.
Update 13.00 uur - Informatie over spi toegevoegd