Tout ce qui mérite d'être su, rien qui ne le mérite pas.
Comment fonctionne la sécurité de la signalisation Diameter
Diameter est le protocole de signalisation AAA qui a remplacé SS7 MAP sur le cœur de réseau 4G. Le MME et le HSS échangent des messages S6a/S6d pour connecter les abonnés, autoriser les services et acheminer les SMS. Un agent Diameter Edge est positionné à l'interconnexion d'itinérance (à la frontière S6a/S9/S6d) et chaque message entrant est vérifié par rapport aux règles GSMA FS.19, à la réputation du domaine d'origine et à sa plausibilité (ce message Update-Location provient-il d'un domaine dans lequel l'abonné pourrait effectivement se trouver en itinérance ?). Le message est ensuite autorisé, limité en débit ou rejeté, et chaque décision est consignée. Voir /answers/diameter-s6a-explained et /answers/what-is-hss.
Les menaces qu'il stoppe
Les messages ULR (Update-Location-Request) falsifiés détournent le routage d'un abonné pour intercepter les appels et les SMS ; les abus des fonctions Insert-Subscriber-Data et Cancel-Location altèrent un profil ou provoquent un déni de service ; et la divulgation de la localisation via les interfaces SLh/SLg sont les équivalents Diameter des attaques SS7 MAP décrites dans la section FS.11 de la GSMA. Voir /answers/ss7-signaling-security et /answers/ss7-map-send-routing-info-for-sm.
GSMA FS.19 et l'agent de bord Diameter
La norme GSMA FS.19 (Sécurité des interconnexions Diameter) est le document de référence : elle définit un modèle de catégories pour les messages Diameter inter-opérateurs et indique aux opérateurs quels messages bloquer, limiter en débit ou autoriser par domaine. L’agent de périphérie Diameter est l’élément frontalier qui applique ces règles ; il s’agit du point de contrôle masquant la topologie et effectuant un filtrage à la périphérie du réseau LTE, l’équivalent exact du pare-feu STP côté SS7. Voir /answers/gsma-fs07-fs11-signaling-firewall.
Sécurité de la signalisation Diameter vs SS7
La sécurité SS7/MAP protège le plan de contrôle 2G/3G ; la sécurité Diameter protège le plan de contrôle 4G/LTE. La plupart des réseaux fonctionnant avec un cœur hybride 2G/3G/4G et les SMS utilisant encore le protocole SS7 pour de nombreux téléphones, un attaquant bloqué sur un plan tente simplement d'attaquer l'autre. Les deux pare-feu doivent donc fonctionner selon une seule politique, avec une réputation d'abonné partagée. Sur les réseaux 5G autonomes, cette tâche est dévolue au SEPP via HTTP/2. Voir /answers/what-is-ss7 et /answers/what-is-sigtran.
Avantages pour l'opérateur
Protection des abonnés contre le suivi et l'interception, conformité aux normes GSMA et réglementaires, journal d'audit Diameter inviolable et possibilité de corréler le trafic Diameter avec le trafic SS7 et A2P pour détecter les fraudes impliquant plusieurs appareils. BroadNet associe le pare-feu de signalisation Diameter et SS7 au pare-feu SMS et à l'analyse des CDR pour une vision unifiée des politiques de sécurité sur l'ensemble du réseau. Voir /operators/ss7-firewall et /platforms/signaling-cdr.
Limites et réalités opérationnelles
L'efficacité d'un pare-feu Diameter dépend de ses règles de catégorie et de sa réputation de domaine : un blocage excessif compromet les partenaires d'itinérance légitimes, tandis qu'un blocage insuffisant expose le réseau aux attaques. Il ne peut pas accéder à la signalisation chiffrée d'un cœur de réseau 5G autonome, qui nécessite ses propres contrôles SEPP et TLS, et doit être synchronisé avec le pare-feu SS7 afin d'éviter l'apparition de failles de sécurité au niveau du cœur hybride. Voir /answers/ss7-signaling-security.
Le diamètre est-il plus sûr que l'acier inoxydable SS7 ?
De façon marginale seulement, et non intentionnelle. Diameter prend en charge IPsec/TLS et le filtrage par domaine, contrairement à SS7. Cependant, les premières versions de l'itinérance LTE en étaient dépourvues, si bien que les interconnexions Diameter réelles ont hérité de la même faiblesse de confiance entre pairs que SS7 – d'où l'existence de la norme GSMA FS.19. En pratique, aucun des deux protocoles n'est totalement infaillible : tous deux nécessitent un pare-feu de signalisation. BroadNet sécurise les deux sur plus de 60 réseaux d'opérateurs. Voir /operators/ss7-firewall.