# Sécurité de l'itinérance 5G en 2026 : le SEPP, le PRINS et l'après-confiance SS7/Diameter

> La 5G remplace la confiance implicite des interconnexions SS7 et Diameter par une interface d'itinérance authentifiée et chiffrée. Voici comment les protocoles SEPP et PRINS sécurisent la liaison N32 et pourquoi les pare-feu SS7/Diameter restent essentiels en 2026.

- URL canonique: https://www.broadnet.me/fr/blog/5g-roaming-security-sepp-prins-2026
- Langue: fr
- Dernière mise à jour: 2026-08-08
- Éditeur: BroadNet (https://www.broadnet.me)

- Publié le: 2026-07-05
- Auteur: BroadNet Operator Solutions

En 5G, la signalisation d'itinérance transite par l'interface N32 entre deux SEPP (Security Edge Protection Proxies), un par réseau. Le SEPP authentifie le partenaire, et PRINS (Protection of Inter-Network Signalling) chiffre et protège l'intégrité des messages. Ceci remplace la confiance ouverte qui rendait les protocoles SS7 et Diameter vulnérables, mais uniquement lorsque les deux réseaux sont autonomes en 5G.

## Pourquoi SS7 et Diameter étaient exploitables

Les protocoles d'interconnexion SS7 et Diameter ont été conçus pour un petit nombre d'opérateurs de confiance, qui supposaient donc que l'expéditeur d'un message de signalisation était bien celui qu'il prétendait être. Il n'y avait ni authentification à chaque saut, ni confidentialité sur l'interconnexion. Avec l'explosion du nombre d'acteurs interconnectés, cette confiance implicite est devenue la porte d'entrée des attaques permettant le suivi de la localisation des abonnés, l'interception des SMS et la fraude à l'itinérance. Les pare-feu de signalisation et les ensembles de règles GSMA, tels que FS.11 et FS.19, ont constitué la solution de repli du secteur, filtrant les messages que les protocoles eux-mêmes ne pouvaient authentifier.

## Comment le SEPP sécurise l'itinérance 5G

La 5G a été conçue avec une sécurité d'itinérance intégrée, et non ajoutée a posteriori. Chaque réseau expose un proxy de protection de périphérie (SEPP) à la périphérie de son cœur de réseau 5G, et toute la signalisation inter-réseau transite par ce proxy via l'interface N32 définie dans l'architecture de sécurité 3GPP (TS 33.501). Les deux SEPP effectuent d'abord une négociation de contrôle N32-c pour s'authentifier mutuellement et négocier la protection, puis échangent la signalisation proprement dite via N32-f.

La protection sur N32-f s'effectue selon deux modes. Lorsque les opérateurs s'interconnectent directement, TLS assure le chiffrement et l'authentification du transport. Lorsque les intermédiaires IPX doivent lire ou modifier des champs spécifiques (pour le routage ou la médiation), PRINS (Protection of Inter-Network Signalling) applique une sécurité au niveau application : il chiffre les éléments d'information sensibles tout en n'autorisant que les modifications explicitement autorisées. Ainsi, un intermédiaire peut accomplir sa tâche sans pouvoir falsifier ou lire des données confidentielles. Il en résulte une authentification du partenaire et une protection de l'intégrité du message, ce qui faisait précisément défaut à SS7 et Diameter.

## Sécurité d'itinérance SS7/Diameter vs 5G SEPP

| Propriété | Interconnexion SS7 / Diameter | Itinérance 5G via SEPP |
|---|---|---|
| Authentification par les pairs | Implicite, largement absent | Mutuel, via une poignée de main N32-c |
| Confidentialité | Aucun sur l'interconnexion par défaut | TLS ou PRINS sur N32-f |
| Protection de l'intégrité | Aucun inhérent | Cryptographique de bout en bout sur IPX |
| Gestion des intermédiaires | visibilité et modification complètes | Seules les modifications de champs explicitement autorisées (PRINS) |
| Défense primaire | Pare-feu de signalisation (FS.11 / FS.19) | Sécurité du protocole intégrée + politique SEPP |

Le changement consiste à passer d'un simple filtre ajouté à un protocole non fiable à un protocole qui authentifie et protège dès sa conception. Mais cela n'est valable que si les deux parties l'utilisent réellement.

## Pourquoi avez-vous encore besoin de pare-feu SS7 et Diameter en 2026 ?

Le SEPP sécurise l'itinérance autonome 5G-à-5G. Il ne résout en rien le problème de l'énorme volume de trafic qui emprunte encore les anciennes architectures, et ce trafic est loin de disparaître.

- La 5G non autonome et l'immense base installée de 4G, 3G et 2G dépendent toujours de Diameter et SS7 pour l'itinérance et la messagerie.
- L'interfonctionnement entre les cœurs 5G et les cœurs existants signifie que la signalisation est retraduite vers Diameter/MAP à la frontière, rouvrant ainsi l'ancienne exposition.
- Les partenaires d'itinérance migrent selon des calendriers différents ; un réseau moderne continue donc de communiquer avec les anciens partenaires qui n'ont pas effectué la mise à niveau.
- Les recommandations de la GSMA continuent de considérer le pare-feu SS7 et Diameter comme essentiel pendant une transition qui s'étend sur des années, et non sur des mois.

> Durant la transition, vous devez défendre deux mondes simultanément. Les pare-feu SS7 et SMS de BroadNet protègent l'interconnexion existante qui transporte encore la majeure partie du trafic d'itinérance et de messagerie, de sorte que la vulnérabilité que le SEPP élimine sur la 5G ne réapparaît pas simplement sur le réseau 4G adjacent.

## Planifier la transition

Considérez la sécurité de l'itinérance 5G et la sécurité de la signalisation existante comme un seul et même programme. Mettez en place des SEPP et une protection N32 pour l'itinérance autonome tout en maintenant les pare-feu SS7 et Diameter pleinement opérationnels pour le reste. Portez une attention particulière à la limite d'interfonctionnement où les messages 5G sont traduits vers Diameter et MAP. Pour plus de détails sur le protocole, consultez nos références sur [Sécurité de l'itinérance Diameter (DRA/DEA)](https://www.broadnet.me/reference/diameter-roaming-security-dra-dea), [Menaces de sécurité SS7 et FS.11](https://www.broadnet.me/reference/ss7-security-threats-fs11) et [SS7 vs SIGTRAN](https://www.broadnet.me/reference/ss7-vs-sigtran), ainsi que les réponses en langage clair sur [Sécurité de la signalisation Diameter](https://www.broadnet.me/answers/diameter-signaling-security) et [Sécurité de la signalisation SS7](https://www.broadnet.me/answers/ss7-signaling-security).

## Foire aux questions

### Qu'est-ce que le SEPP en 5G ?

Le proxy de protection de périphérie de sécurité (SEPP) est la fonction réseau située à la périphérie d'un cœur de réseau 5G et qui gère toute la signalisation d'itinérance avec les autres réseaux. Chaque message inter-réseau transite par lui via l'interface N32. Il authentifie mutuellement le partenaire d'itinérance et applique le chiffrement et la protection de l'intégrité, remplaçant ainsi la confiance implicite et non authentifiée qui caractérisait l'interconnexion SS7 et Diameter.

### Quelle est la différence entre TLS et PRINS sur N32 ?

Les deux protocoles protègent l'échange de signalisation N32-f, mais pour des topologies différentes. TLS convient à une interconnexion directe entre deux SEPP, assurant le chiffrement et l'authentification au niveau transport. PRINS (Protection of Inter-Network Signalling) assure la sécurité au niveau application pour les chemins traversant des intermédiaires IPX : il chiffre les champs sensibles et n'autorise que les modifications explicitement autorisées, permettant ainsi à un courtier d'assurer la médiation sans pouvoir falsifier ni lire le contenu protégé.

### La 5G rend-elle obsolètes les pare-feu SS7 et Diameter ?

Non, pas avant des années. Le SEPP ne sécurise que l'itinérance 5G autonome, tandis que la majeure partie du trafic d'itinérance et de messagerie continue d'utiliser les protocoles 4G Diameter et SS7. L'interfonctionnement assure la conversion de la signalisation 5G vers ces protocoles à la frontière du réseau. Les recommandations de la GSMA considèrent toujours le pare-feu SS7 et Diameter comme essentiel pendant toute la transition ; les opérateurs déploient donc les deux systèmes de défense en parallèle.

### Qu'est-ce qu'une attaque par signalisation inter-réseaux ?

Il s'agit d'une attaque qui exploite la signalisation d'interconnexion (SS7, Diameter ou messages d'itinérance 5G) pour réaliser des actions non autorisées par le réseau, comme le suivi de la localisation d'un abonné, l'interception de SMS ou d'appels, ou la fraude à l'itinérance. Ces attaques exploitaient les hypothèses de confiance inhérentes à SS7 et Diameter ; le modèle SEPP de la 5G vise à supprimer ces hypothèses sur les voies d'itinérance autonomes.

## Références

- 3GPP — TS 33.501, Architecture et procédures de sécurité pour le système 5G : [3gpp.org](https://www.3gpp.org/DynaReport/33501.htm)
- 3GPP — TS 29.573, Système 5G ; Interconnexion du réseau mobile terrestre public (PLMN) (N32) : [3gpp.org](https://www.3gpp.org/DynaReport/29573.htm)
- GSMA — Ressources sur la sécurité de la 5G et de l'interconnexion : [gsma.com](https://www.gsma.com/solutions-and-impact/technologies/security/)
- GSMA — Directives de surveillance de la sécurité des interconnexions FS.11 SS7 et FS.19 Diameter : [gsma.com](https://www.gsma.com/solutions-and-impact/technologies/security/)