Bases du SS7 et de la signalisation

Le SS7 — Signalling System No. 7 — est le réseau de signalisation hors bande que les opérateurs mobiles et fixes utilisent pour établir les appels, livrer les SMS et prendre en charge l'itinérance. « Hors bande » signifie que la signalisation voyage sur un canal de contrôle distinct de la voix ou de la charge utile du message.

Le SS7 a été conçu à une époque où seul un petit groupe restreint et de confiance d'opérateurs nationaux pouvait atteindre le réseau. Cette hypothèse de confiance — chaque pair est légitime — est à l'origine de nombreux problèmes de sécurité apparus une fois le réseau devenu interconnecté à l'échelle mondiale.

Bien que vieux de plusieurs décennies, le SS7 porte toujours des fonctions d'interfonctionnement essentielles. Le comprendre est un prérequis pour comprendre la livraison des SMS, l'itinérance, et les pare-feux construits pour défendre la couche de signalisation.

Le SS7 est en couches. Le MTP (Message Transfer Part) fournit les couches de transport inférieures. Le SCCP (Signalling Connection Control Part) ajoute l'adressage par global title et le routage, si bien qu'un message peut être adressé à un élément réseau logique plutôt qu'à un point fixe.

Le TCAP (Transaction Capabilities Application Part) transporte des dialogues transactionnels au-dessus du SCCP, et le MAP (Mobile Application Part) est le protocole applicatif qui exprime les opérations propres au mobile — localiser les abonnés, les authentifier, et acheminer les SMS.

Deux concepts d'adressage reviennent constamment : les point codes (OPC / DPC — codes de point d'origine et de destination) identifient les nœuds au niveau du réseau, tandis que les global titles (typiquement une adresse de style E.164) permettent au SCCP de router vers des éléments comme un HLR sans connaître leur point code.

La livraison des SMS s'appuie sur un petit ensemble d'opérations MAP. Pour terminer un message, le SMSC émetteur envoie un SRI-SM (Send Routing Info for Short Message) vers le HLR (Home Location Register) du destinataire afin de découvrir à quel nœud de service l'abonné est actuellement rattaché.

Le HLR renvoie l'adresse du MSC/VLR desservant l'abonné, et le SMSC y livre le message avec un MT-ForwardSM. Si l'abonné est injoignable, le réseau pose un indicateur et notifie le SMSC lorsque le téléphone redevient disponible.

Ce flux est exactement ce que manipulent le home-routing et les pare-feux de signalisation : en interceptant le SRI-SM, un opérateur peut forcer le trafic terminant à passer par un point de contrôle maîtrisé, ce qui est le mécanisme derrière la protection contre le MT-bypass.

Les réseaux modernes font rarement transiter le SS7 de bout en bout sur des liaisons TDM héritées. SIGTRAN est la famille de protocoles qui transporte la signalisation SS7 sur IP, en utilisant SCTP (Stream Control Transmission Protocol) comme transport fiable avec des couches d'adaptation telles que M3UA pour porter le trafic de niveau MTP.

SIGTRAN préserve les protocoles applicatifs SS7 — MAP et TCAP restent inchangés — tout en modernisant le transport sous-jacent. C'est ce qui permet à un opérateur d'interconnecter la signalisation sur des réseaux IP plutôt que sur des liaisons dédiées.

Pour une plateforme de messagerie, SIGTRAN est la couche à laquelle de nombreuses interconnexions opérateurs directes sont aujourd'hui effectivement mises en œuvre, ce qui fait de la sécurité de la signalisation autant un enjeu de réseau IP que télécom.

Comme le SS7 suppose que chaque pair est de confiance, un attaquant disposant d'un accès à la signalisation peut abuser d'opérations légitimes. Le SRI-SM peut être utilisé pour sonder la localisation ou l'existence d'un abonné ; d'autres messages MAP peuvent être détournés pour intercepter des SMS (y compris des OTP) ou suivre des déplacements.

La réponse de l'industrie consiste en des pare-feux de signalisation qui appliquent un filtrage par catégorie — comme décrit dans la GSMA FS.11 — distinguant les messages qui ne devraient jamais provenir que du réseau nominal, uniquement d'un partenaire en itinérance, ou légitimement de n'importe où. Les messages arrivant depuis la mauvaise direction sont bloqués.

Le Diameter, le protocole de signalisation pour la LTE/4G et au-delà, hérite d'enjeux similaires et dispose de ses propres recommandations de sécurité (GSMA FS.19). La leçon est durable : les réseaux de signalisation ont besoin d'un filtrage explicite car leur modèle de confiance d'origine ne tient plus.