ディープパケットインスペクション

ディープ パケット インスペクション( DPI ) は、コンピュータ ネットワーク経由で送信されるデータを詳細に検査し、それに応じて警告、ブロック、再ルーティング、ログ記録などのアクションを実行するデータ処理の一種です。ディープ パケット インスペクションは、アプリケーションの動作のベースライン設定、ネットワーク使用状況の分析、ネットワーク パフォーマンスのトラブルシューティング、データの形式が正しいことの確認、悪意のあるコード、盗聴、インターネット検閲のチェックなど、^[1]さまざまな目的でよく使用されます。^[2] IP パケットには複数のヘッダーがあります。ネットワーク機器は通常の操作に最初のヘッダー ( IP ヘッダー) のみを使用する必要がありますが、2 番目のヘッダー ( TCP や UDPなど) の使用は、この定義にもかかわらず、通常はシャロー パケット インスペクション (通常はステートフル パケット インスペクションと呼ばれる) と見なされます。^[3]

ディープ パケット インスペクション用のパケットを取得する方法は複数あります。ポート ミラーリング( Span Portと呼ばれることもあります) を使用するのは非常に一般的な方法です。また、ネットワーク タップを物理的に挿入してデータ ストリームを複製し、検査のためにアナライザー ツールに送信する方法もあります。

ディープパケットインスペクション（DPI）（およびフィルタリング）は、高度なネットワーク管理、ユーザーサービス、セキュリティ機能、インターネットデータマイニング、盗聴、インターネット検閲を可能にします。DPIは長年インターネット管理に使用されてきましたが、ネット中立性の支持者の中には、この技術が反競争的に使用されたり、インターネットの開放性を低下させたりするのではないかと懸念する人もいます。^[4]

DPIは、いわゆる「エンタープライズ」レベル（企業や大規模機関）、通信サービスプロバイダー、政府など、幅広いアプリケーションで使用されています。^[5]

DPI テクノロジは、今日一般的に普及している主流の導入に入る前の 1990 年代から、長く技術的に進歩した歴史を誇っています。このテクノロジのルーツは 30 年以上前にさかのぼり、多くの先駆者が、次のような共通標準や初期のイノベーションを通じて、業界関係者間での使用のために発明を提供しました。

• RMON
• スニファー
• ワイヤーシャーク

基本的な DPI 機能には、パケット ヘッダーとプロトコル フィールドの分析が含まれます。たとえば、Wireshark は、フィールド名とコンテンツを表示し、場合によってはフィールド値の解釈も提供する多数の解析ツールを通じて、基本的な DPI 機能を提供します。

DPI を提供するセキュリティ ソリューションの中には、侵入検知システム(IDS) と侵入防止システム(IPS) の機能を従来のステートフル ファイアウォールと組み合わせたものがあります。^[6]この組み合わせにより、IDS/IPS もステートフル ファイアウォールも単独では捕捉できない特定の攻撃を検知できます。ステートフル ファイアウォールはパケット フローの開始と終了は確認できますが、特定のアプリケーションの範囲外となるイベントを単独で捕捉することはできません。IDS は侵入を検知できますが、そのような攻撃をブロックする能力はほとんどありません。DPI は、ワイヤ スピードでのウイルスやワームによる攻撃を防ぐために使用されます。より具体的には、DPI は、バッファー オーバーフロー攻撃、サービス拒否攻撃(DoS)、高度な侵入、および 1 つのパケットに収まる少数のワームに対して有効です。^[7]

DPI 対応デバイスは、OSI モデルのレイヤー 2 およびレイヤー 3 を超えて確認することができます。場合によっては、DPI を呼び出して OSI モデルのレイヤー 2 ～ 7 を確認することができます。これには、ヘッダーとデータ プロトコル構造、およびメッセージのペイロードが含まれます。DPI 機能は、デバイスが OSI モデルのレイヤー 3 を超える情報を確認したり、それに基づいて他のアクションを実行したりするときに呼び出されます。DPI は、パケットのデータ部分から抽出された情報を含むシグネチャ データベースに基づいてトラフィックを識別および分類できるため、ヘッダー情報のみに基づく分類よりもきめ細かな制御が可能です。エンドポイントは、多くの場合、暗号化および難読化技術を利用して DPI アクションを回避できます。

分類されたパケットは、リダイレクト、マーク/タグ付け（サービス品質を参照）、ブロック、レート制限され、もちろんネットワーク内のレポートエージェントに報告される可能性があります。このようにして、さまざまな分類のHTTPエラーを識別し、分析のために転送することができます。多くのDPIデバイスは、パケットフローを識別し（パケットごとの分析ではなく）、蓄積されたフロー情報に基づいて制御アクションを実行できます。^[8]

当初、企業レベルのセキュリティは境界領域のみを対象としており、権限のないユーザーを締め出し、権限のあるユーザーを外部から遮断するという考え方が主流でした。これを実現するために最も頻繁に使用されるツールは、ステートフル ファイアウォールです。これにより、内部ネットワーク上の事前定義された宛先への外部からのアクセスをきめ細かく制御できるほか、外部へのリクエストが事前に行われた場合にのみ、他のホストへのアクセスを許可できます。^[9]

しかし、ネットワーク層には脆弱性が存在し、ステートフル ファイアウォールでは見えません。また、企業でのラップトップの使用が増えると、多くのユーザーが自宅のブロードバンド接続や公共の場のワイヤレスネットワークなど、安全性の低いネットワークにラップトップを接続するため、ウイルス、ワーム、スパイウェアなどの脅威が企業ネットワークに侵入するのを防ぐことが難しくなります。ファイアウォールでは、合法的にアクセスされたアプリケーションの許可された使用と禁止された使用を区別しません。DPI を使用すると、IT 管理者とセキュリティ担当者は、アプリケーション層とユーザー層を含むすべての層でポリシーを設定し、それらを適用して、これらの脅威に対抗できます。^{[10] [11]}

ディープ パケット インスペクションは、いくつかの種類のバッファ オーバーフロー攻撃を検出できます。

DPI は、企業によるデータ漏洩防止(DLP)に利用されることがあります。電子メール ユーザーが保護されたファイルを送信しようとすると、そのファイルを送信するための適切な許可を得る方法に関する情報がユーザーに提供されることがあります。^{[12] [例が必要] [説明が必要]}

インターネット サービス プロバイダーは、内部ネットワークのセキュリティ保護に DPI を使用するだけでなく、顧客に提供するパブリック ネットワークにも DPI を適用します。ISP による DPI の一般的な用途は、合法的な傍受、ポリシーの定義と適用、ターゲット広告、サービス品質、階層型サービスの提供、著作権の施行などです。

世界中のほぼすべての政府によって、サービス プロバイダーは合法的な傍受機能を有効にすることが義務付けられています。数十年前^{[いつ? ]}の従来の電話環境では、政府の監視機器に接続する傍受プロキシ サーバーを使用してトラフィック アクセス ポイント(TAP)を作成することでこの要件を満たしていました。この機能の取得コンポーネントは、DPI を含むさまざまな方法で提供できます。DPI 対応の「LI またはCALEA準拠」製品は、裁判所の命令により、ユーザーのデータ ストリームにアクセスするために使用できます。^[13]

顧客とのサービスレベル契約により、一定レベルのサービスを提供すると同時に、許容される使用ポリシーを実施する義務があるサービスプロバイダーは、著作権侵害、違法な素材、帯域幅の不正使用をカバーする特定のポリシーを実装するためにDPIを使用することができます。一部の国では、国の法律に応じてISPにフィルタリングを実行することが義務付けられています。DPIを使用すると、サービスプロバイダーは「電子メールからWebサイト、音楽、ビデオ、ソフトウェアのダウンロードの共有まで、オンラインで受信する情報のパケットを簡単に把握できます」。^[14] IPアドレス、特定のプロトコル、または特定のアプリケーションや動作を識別する ヒューリスティックへの接続を許可または拒否するポリシーを定義できます。

ISPはすべての顧客のトラフィックをルーティングするため、Web閲覧習慣を非常に詳細に監視して顧客の興味に関する情報を入手することができ、ターゲット広告を専門とする企業がそれを利用できます。少なくとも10万人の米国の顧客がこのように追跡されており、米国の顧客の10％がこの方法で追跡されています。^[15]テクノロジープロバイダーには、NebuAd、Front Porch、Phormなどがあります。顧客を監視している米国のISPには、 Knology ^[16]とWide Open Westがあります。さらに、英国のISPであるBritish Telecomは、顧客に知らせたり同意を得たりせずにPhormのソリューションをテストしたことを認めました。^[15]

DPI はネット中立性に反して使用される可能性があります。

ピアツーピア(P2P) トラフィックなどのアプリケーションは、ブロードバンド サービス プロバイダーにとってますます大きな問題となっています。通常、P2P トラフィックはファイル共有を行うアプリケーションによって使用されます。これらはあらゆる種類のファイル (ドキュメント、音楽、ビデオ、アプリケーションなど) です。転送されるメディア ファイルはサイズが大きいことが多いため、P2P ではトラフィック負荷が増加し、追加のネットワーク容量が必要になります。サービス プロバイダーによると、少数のユーザーが大量の P2P トラフィックを生成し、電子メールや Web ブラウジングなどの帯域幅をあまり使用しないアプリケーションを使用する大多数のブロードバンド加入者のパフォーマンスを低下させています。^[17]ネットワーク パフォーマンスの低下は顧客の不満を高め、サービス収益の低下につながります。

DPIにより、事業者は利用可能な帯域幅を過剰に販売しながら、ネットワークの混雑を防ぎ、すべてのユーザーに公平な帯域幅の分配を確保できます。さらに、低遅延を必要とするVoIPやビデオ会議通話に、それほど必要としないWebブラウジングよりも高い優先度を割り当てることができます。^[18]これは、サービスプロバイダーがネットワークを通過するトラフィックに応じて帯域幅を動的に割り当てるために使用するアプローチです。

モバイルおよびブロードバンド サービス プロバイダーは、DPI を階層型サービス プランの実装手段として使用し、「ウォールド ガーデン」サービスを「付加価値」、「食べ放題」、「ワンサイズ フィット オール」データ サービスと区別します。^[19]「ウォールド ガーデン」、アプリケーションごと、サービスごと、または「ワンサイズ フィット オール」パッケージではなく「食べ放題」ごとに課金できるため、オペレーターは個々の加入者に合わせてサービスを調整し、ユーザーあたりの平均収益(ARPU) を増やすことができます。ユーザーまたはユーザー グループごとにポリシーが作成され、DPI システムによってそのポリシーが強制され、ユーザーはさまざまなサービスやアプリケーションにアクセスできるようになります。

ISPは著作権所有者から要請を受けたり、裁判所や公的政策により著作権の執行に協力するよう義務付けられることがある。2006年、デンマーク最大のISPの1つであるTele2は裁判所から差し止め命令を受け、 BitTorrentの発信地であるThe Pirate Bayへの顧客によるアクセスをブロックするよう命じられた。^[20]

ファイル共有者を一人ずつ起訴する代わりに、^[21]国際レコード産業連盟（IFPI）と4大レコード会社であるEMI、ソニーBMG、ユニバーサルミュージック、ワーナーミュージックは、著作権保護が不十分であるとしてEircomなどのISPを訴えた。 ^[22] IFPIは、ISPがトラフィックをフィルタリングして、違法にアップロードおよびダウンロードされた著作権で保護された素材をネットワークから削除することを望んでいるが、欧州指令2000/31/ECはISPに送信する情報を監視する一般的な義務を負わせてはならないと明確に規定し、指令2002/58/ECは欧州市民に通信のプライバシーの権利を与えている。

映画の著作権を執行する全米映画協会（ MPAA）は、連邦通信委員会（FCC）とともに、ネットワーク中立性がディープ・パケット・インスペクションやその他のフィルタリングなどの著作権侵害対策技術に悪影響を及ぼす可能性があるという立場をとっている。^[23]

DPI を使用すると、ISP はユーザー グループ別の使用パターンに関する統計情報を収集できます。たとえば、2 Mbit 接続のユーザーと 5 Mbit 接続のユーザーがネットワークを異なる方法で使用しているかどうかが興味深い場合があります。傾向データへのアクセスは、ネットワーク計画にも役立ちます。^{[説明が必要]}

北米、ヨーロッパ、アジアの政府は、自国のネットワークのセキュリティのためにDPIを使用するだけでなく、監視や検閲などのさまざまな目的でDPIを使用しています。これらのプログラムの多くは機密扱いです。^[24]

中国政府はディープ・パケット・インスペクションを使用して、中国国民や国家の利益に有害であると主張するネットワークトラフィックとコンテンツを監視および検閲しています。これらの資料には、ポルノ、宗教に関する情報、政治的反対意見が含まれます。^[25]中国のネットワークISPはDPIを使用して、ネットワークにセンシティブなキーワードが流れていないかどうかを確認します。もしそうであれば、接続は切断されます。中国国内の人々は、台湾とチベットの独立、法輪功、ダライ・ラマ、1989年の天安門広場の抗議と虐殺、与党共産党に反対する政党、またはさまざまな反共産主義運動に関連するコンテンツを含むWebサイトにアクセスしているときにブロックされることがよくあります^[26]。これらの資料はすでにDPIのセンシティブなキーワードとして署名されているためです。中国は以前、自国に出入りするすべてのVoIPトラフィックをブロックしていましたが^[27]、現在、利用可能な多くのVoIPアプリケーションは中国で機能します。Skypeの音声通信は影響を受けませんが、テキストメッセージはフィルタリングの対象となり、罵り言葉などの機密情報を含むメッセージは配信されず、会話の参加者には通知されません。中国では、YouTube.comなどのビジュアルメディアサイトや、さまざまな写真サイトやブログサイトもブロックされています。^[28]

2015年以降、エジプトはリストに加わり始めたと報じられているが、エジプト国家電気通信規制局（NTRA）当局はこれを常に否定している。しかし、アプリ開発者の発表通り、エジプトが暗号化メッセージングアプリ「Signal」をブロックすることを決定したことで、ニュースになった。 ^[29]

2017年4月、FaceTime、Facebook Messenger、Viber、WhatsApp通話、Skypeを含むすべてのVoIPアプリケーションが国内でブロックされました。^[30]

2022年現在、FaceTime、Facebook Messengerはブロック解除されています。

インド最大のネットワーク事業者でもあるインドのISP Jioは、検閲を強化するためにSNIベースのフィルタリングなどの高度なDPI技術を採用していることが知られています。^{[31] [32]}

インドネシア政府は、シスコのMeraki DPIテクノロジーの支援を受けたTelkom Indonesia ^[33]を通じて、ディープパケットインスペクションによる全国的な監視を実施し、^[34]国営ISPに登録している国民のSSN/NIK（Nomor Induk Kependudukan）にマッピングしています。ディープパケットインスペクションの目的には、ポルノやヘイトスピーチのフィルタリング、西パプアの緊張緩和などが含まれています。^[35]インドネシア政府は、2030年までに監視を次のレベルに拡大することを計画しています。^[36]

イラン政府は2008年にノキア・シーメンス・ネットワークス（NSN）（ドイツのコングロマリットであるシーメンスAGとフィンランドの携帯電話会社ノキア社の合弁会社）からディープ・パケット・インスペクション用とされるシステムを購入したと、2009年6月のウォール・ストリート・ジャーナル紙はNSNのスポークスマン、ベン・ルーム氏の言葉を引用して報じた。^[37]記事で引用された匿名の専門家によると、このシステムは「当局が通信をブロックするだけでなく、それを監視して個人に関する情報を収集したり、偽情報目的で改ざんしたりすることを可能にする」という。

このシステムは、イラン政府の通信独占企業の一部であるテレコミュニケーション・インフラストラクチャー社が購入した。ウォール・ストリート・ジャーナルによると、NSN は「昨年、国際的に認められた「合法的傍受」の概念に基づいてイランに機器を提供した」とルーム氏は述べた。^[要出典]これは、テロ、児童ポルノ、麻薬密売、およびオンラインで行われるその他の犯罪行為と戦う目的でデータを傍受することに関するもので、ほとんどの通信会社が持っている能力だと同氏は述べた。ノキア・シーメンス・ネットワークスがイランに販売した監視センターは、会社のパンフレットで「すべてのネットワーク上のあらゆる種類の音声およびデータ通信の監視と傍受」が可能であると説明されていた。ルーム氏によると、合弁会社は3月末に、監視機器を含む事業（いわゆる「インテリジェンスソリューション」）をミュンヘンに拠点を置く投資会社であるペルーサ^[38]パートナーズファンド1 LPに売却して撤退した。同氏は、同社はそれがもはや中核事業の一部ではないと判断したと述べた。^[要出典]

NSNシステムは、10年前のイランによるセキュア・コンピューティング社からの購入に続くものである。 ^[39]

ワシントンDCを拠点とする独立アナリストでケイトー研究所の客員研究員でもあるデイビッド・アイゼンバーグ氏は、ウォールストリート・ジャーナルの記事の信頼性について疑問を呈しており、ルーム氏は自分の発言を否定しており、アイゼンバーグ氏も以前の記事でウォールストリート・ジャーナルの同じ記者の一人に同様の苦情を申し立てていたと述べている。 ^[40] NSNは次のように否定している。NSNは「イランにディープ・パケット・インスペクション、ウェブ検閲、インターネット・フィルタリング機能を提供していない」。^[41]ニューヨーク・タイムズ紙の同時掲載記事では、NSNの売却は「ワシントン・タイムズ紙を含む[2009年]4月の一連の報道」で取り上げられており、イランのインターネットやその他のメディアの検閲については論じたが、DPIについては触れなかった。^[42]

インターネット検閲回避ツール「アルカシル」の開発者ワリド・アル・サカフ氏によると、イランでは2012年2月にディープ・パケット・インスペクションが導入され、国全体のインターネット速度がほぼ停止した。これにより、 Torやアルカシルなどのツールへのアクセスが一時的に不可能になった。 ^[43]

マレーシアの現政権は、国民戦線（Barisan Nasional）が率いており、2013年5月5日に行われた第13回総選挙の選挙期間中、DPIを政敵に対して利用していると言われていた。

この場合のDPIの目的は、Facebookアカウント、ブログ、ニュースポータルなどの特定のウェブサイトへのアクセスをブロックしたり妨害したりすることであった。^{[44] [45]}

パキスタン電気通信庁（PTA）は、DPIシステムは電子犯罪防止法（PECA）2016を施行するために設置されたと述べており、特に冒涜的なコンテンツやパキスタンの統一性や安全に反すると考えられるあらゆる資料をフィルタリングしてブロックする。^[46]カナダの企業Sandvineがパキスタンでの機器の提供と設置を請け負った。^[47]

DPIはロシアではまだ義務化されていない。連邦法第139号は、 IPフィルタリングを使用してロシアのインターネットブラックリストにあるウェブサイトをブロックすることを義務付けているが、ISPにパケットのデータ部分の分析を強制していない。しかし、一部のISPは依然としてブラックリストを実装するために異なるDPIソリューションを使用している。2019年には、政府機関であるロスコムナドゾルが、国内の1つの地域でのパイロットプロジェクトに続いて、推定200億ルーブル（3億ドル）の費用でDPIを全国展開することを計画している。^[48]

一部の人権活動家^{[誰? ]は、}ディープパケットインスペクションはロシア連邦憲法第23条に違反していると考えているが、それを証明または反論する法的手続きは一度も行われていない。^{[要出典] [49]}

伝えられるところによると、この都市国家はインターネットトラフィックのディープパケットインスペクションを採用している。^[50]

同州は、禁止された通信を分析してブロックするために、インターネットトラフィックのディープパケットインスペクションを採用していると伝えられている。

FCC がインターネットCALEA要件を採用: FCC は、米国議会の命令に従い、世界中のほとんどの国の方針に沿って、インターネット サービスを含むすべての通信プロバイダーが、特定のユーザーのリアルタイム通信フォレンジックを提供するための裁判所命令の執行をサポートできることを要求しました。2006 年に、FCC は、インターネット アクセス プロバイダーにこれらの要件を満たすことを要求する新しい Title 47、Subpart Z 規則を採用しました。DPI はこの要件を満たすために不可欠なプラットフォームの 1 つであり、この目的で米国全土に導入されています。

国家安全保障局(NSA) は、AT&T 社の協力を得て、インターネット トラフィックの監視、仕分け、転送をよりインテリジェントにするためにディープ パケット インスペクションを使用しています。DPI は、どのパケットが電子メールまたはVoice over Internet Protocol (VoIP) 電話通話を運んでいるかを見つけるために使用されます。^[51] AT&T の共通バックボーンに関連するトラフィックは、2 つのファイバーに「分割」され、信号強度の 50 パーセントが各出力ファイバーに送られるように信号が分割されました。出力ファイバーの 1 つはセキュリティ ルームに迂回され、もう 1 つは通信を AT&T のスイッチング機器に送りました。セキュリティ ルームには、Narus のトラフィック アナライザーとロジック サーバーが設置されていました。Narus によると、このようなデバイスは、10 ギガビット/秒でリアルタイムのデータ収集 (検討用にデータを記録) とキャプチャが可能です。特定のトラフィックが選択され、分析のために専用回線を介して「中央の場所」に送信されました。米国連邦通信委員会の元インターネット技術上級顧問である専門家証人 J. スコット マーカスの宣誓供述書によると、迂回されたトラフィックは「サンフランシスコ湾岸地域の AT&T のピアリング トラフィックのすべて、または実質的にすべて」であり、「…構成の設計者は、ファイバー分岐の位置や位置に関して、主に国内データで構成されるデータ ソースを除外する試みを一切行いませんでした」。^[52] Narus のセマンティック トラフィック アナライザー ソフトウェアは、 DPI を使用してIBMまたはDell Linux サーバーで実行され、10 Gbit/s で IP トラフィックを分類し、対象の電子メール アドレス、IP アドレス、または VoIP の場合は電話番号に基づいて特定のメッセージを選択します。^[53]ジョージ W. ブッシュ大統領とアルベルト R. ゴンザレス司法長官は、大統領には FISA令状を取得せずに米国内の人々と海外の連絡先との間の電話と電子メールのやり取りを秘密裏に傍受するよう命じる権限があると主張しています。^[54]

国防情報システム局はディープパケットインスペクションを使用するセンサープラットフォームを開発した。^[55]

ベトナムはネットワークセキュリティセンターを立ち上げ、インターネットトラフィックをブロックするためにディープパケットインスペクションを使用するためにISPにハードウェアシステムをアップグレードすることを義務付けた。^[56]

プライバシーやネットワーク中立性に関心のある人々や組織は、インターネットプロトコルのコンテンツ層の検査を不快に感じており、^[13]たとえば、「インターネットは、パケットのオープンアクセスと無差別に基づいて構築された」と述べています。 ^{[57]一方、ネットワーク中立性ルールの批評家は、それを「問題を探す解決策」と呼び、ネット中立性ルールは、ネットワークをアップグレードして}次世代ネットワークサービスを開始するインセンティブを減らすだろうと述べています。^[58]

ディープパケットインスペクションは、インターネットのインフラを弱体化させると多くの人に考えられています。^[59]

HTTPSの使用やVPNを使用したプライバシートンネリングの増加に伴い、DPIの有効性が疑問視されるようになっています。^[60]これに対応して、多くのWebアプリケーションファイアウォールがHTTPSインスペクションを提供し、HTTPSトラフィックを復号化して分析します。^[61] WAFは暗号化を終了してWAFとクライアントブラウザ間の接続にプレーンHTTPを使用するか、事前にクライアントに配布する必要がある独自のHTTPS証明書を使用してデータを再暗号化することができます。^[62] HTTPS/SSLインスペクション（HTTPS/SSLインターセプションとも呼ばれる）で使用される手法は、中間者（MiTM）攻撃で使用される手法と同じです。^[63]

それは次のように機能します: ^[64]

1. クライアントは https://www.targetwebsite.com に接続したいと考えています
2. トラフィックはファイアウォールまたはセキュリティ製品を通過する
3. ファイアウォールは透過プロキシとして機能する
4. ファイアウォールは独自の「CompanyFirewall CA」によって署名されたSSL 証明書を作成します。
5. ファイアウォールは、この「CompanyFirewall CA」署名証明書をクライアントに提示します（targetwebsite.com 証明書ではありません）。
6. 同時にファイアウォールは独自にhttps://www.targetwebsite.comに接続します。
7. targetwebsite.com は、公式に署名された証明書（信頼できるCAによって署名されたもの）を提示します。
8. ファイアウォールは証明書信頼チェーンを独自にチェックします
9. ファイアウォールは中間者として機能するようになりました。
10. クライアントからのトラフィックは、（クライアントからのキー交換情報を使用して）復号化され、（有害なトラフィック、ポリシー違反、またはウイルスについて）分析され、（targetwebsite.comからのキー交換情報を使用して）暗号化され、targetwebsite.comに送信されます。
11. targetwebsite.com からのトラフィックも、(targetwebsite.com からのキー交換情報を使用して) 復号化され、(上記と同様に) 分析され、(クライアントからのキー交換情報を使用して) 暗号化されて、クライアントに送信されます。
12. ファイアウォール製品は、SSL クライアントと SSL サーバー (targetwebsite.com) 間で交換されるすべての情報を読み取ることができます。

ファイアウォール製品が SSL クライアントの TrustStore を変更できる限り、これは任意の TLS 終了接続 (HTTPS だけでなく) で実行できます。

nDPI（ ntopの開発者によってEoLとなったOpenDPI ^[65]からのフォーク）^{[66] [67]は、}難読化されていないプロトコルのオープンソースバージョンです。別の同様のエンジンであるPACEには、 Skypeや暗号化されたBitTorrentに関連付けられている種類の難読化および暗号化されたプロトコルが含まれています。^{[68] OpenDPIはメンテナンスされなくなったため、nDPI [66]}という名前のOpenDPIフォークが作成され、積極的にメンテナンスされ、Skype、Webex、Citrixなどの新しいプロトコルで拡張されました。

L7-FilterはLinuxのNetfilterの分類器で、アプリケーション層のデータに基づいてパケットを識別します。^[69] Kazaa、HTTP、Jabber、Citrix、Bittorrent、FTP、Gnucleus 、eDonkey2000などのパケットを分類できます。ストリーミング、メール、P2P、 VoIP 、プロトコル、ゲームアプリケーションを分類します。このソフトウェアは廃止され、オープンソースのNetify DPI Engineに置き換えられました。^[70]

Hippie (Hi-Performance Protocol Identification Engine) は、Linuxカーネルモジュールとして開発されたオープンソースプロジェクトです。^[71] Josh Ballardによって開発されました。DPIとファイアウォール機能の両方をサポートしています。^[72]

SPID（統計プロトコル識別）プロジェクトは、ネットワークフローの統計分析に基づいてアプリケーショントラフィックを識別します。^[73] SPIDアルゴリズムは、シグネチャ（ハンドシェイク内の特定のオフセットでのバイトシーケンス）によって、pcapファイルからのフロー情報（パケットサイズなど）とペイロード統計（エントロピーを測定するためにバイト値が発生する頻度）を分析することで、アプリケーション層プロトコル（レイヤー7）を検出できます。これは概念実証アプリケーションにすぎず、現在、eDonkey 難読化トラフィック、Skype UDPおよびTCP、BitTorrent、IMAP、IRC、MSNなど、約15のアプリケーション/プロトコルをサポートしています。

Tstat（TCP統計および分析ツール）は、トラフィックパターンに関する洞察を提供し、多数のアプリケーションとプロトコルの詳細と統計を提供します。^[74]

Libprotoident は、各方向のペイロードの最初の 4 バイトのみを検査する軽量パケット検査 (LPI) を導入しています。これにより、プライバシーの懸念を最小限に抑えながら、分類に必要なパケット トレースを保存するために必要なディスク領域を削減できます。Libprotoident は 200 を超えるさまざまなプロトコルをサポートしており、分類はペイロード パターン マッチング、ペイロード サイズ、ポート番号、および IP マッチングを使用した複合アプローチに基づいています。^[75]

フランスの会社アメシスは、侵入型の大規模インターネット監視システムイーグルを設計し、ムアンマル・カダフィに販売した。^[76]

ディープパケットインスペクション（PACE、OpenDPI、4つの異なる構成のL7フィルター、NDPI、Libprotoident、およびCisco NBAR）に依存するさまざまなネットワークトラフィック分類子の包括的な比較は、「トラフィック分類のための一般的なDPIツールの独立した比較」に示されています。^[77]

ディープ パケット インスペクションに重点が置かれるようになっています。これは、SOPA法案とPIPA法案の両方が否決された後に明らかになりました^{[説明が必要]}。現在の DPI 方法の多くは、特に高帯域幅アプリケーションでは、遅くてコストがかかります。より効率的な DPI 方法が開発されています。特殊なルーターは、現在 DPI を実行できます。プログラム ディクショナリを備えたルーターは、ルーティングしている LAN およびインターネット トラフィックの目的を識別するのに役立ちます。シスコ システムズは現在、CISCO ISR G2 ルーターを発表し、DPI 対応ルーターの 2 番目のイテレーションを行っています。^[78]

• 「ディープ・インスペクション」とは何か？Marcus J. Ranum著。2018 年 12 月 10 日閲覧。
• 業界の専門家によるエッセイ集
• ディープパケットインスペクションとは何か、そしてなぜ論争が起こっているのか
• ホワイト ペーパー「ディープ パケット インスペクション - テクノロジー、アプリケーション、ネット中立性」
• エジプトのサイバー取り締まりは米国企業の支援を受けている - エジプト政府は最近のインターネット取り締まりでDPIを利用している
• ディープパケットインスペクションは進化するインターネットに新たな価値をもたらす
• 商フィルタを使用したディープ パケット インスペクション