a sécurité des systèmes de signalisation souffre d'un problème d'image. Elle est perçue comme une préoccupation spécialisée réservée aux ingénieurs en réseaux centraux, et les attaques sont décrites comme exotiques. Or, elles ne le sont pas. Elles sont peu coûteuses, bien documentées et toujours efficaces ; les conséquences se font sentir pour les abonnés sous forme de suivi de localisation, d'interception de mots de passe à usage unique et de comptes bancaires vidés.
Ce guide explique ce qui se passe réellement sur le plan de signalisation, ce que le cadre GSMA demande aux opérateurs de faire à ce sujet et pourquoi le pare-feu SMS que vous possédez déjà ne le couvre pas.
Pourquoi SS7 est-il exploitable ?
SS7 a été conçu pour un monde où quelques centaines d'opérateurs étatiques se connaissaient tous. L'authentification entre les réseaux n'était pas prévue, car sa conception ne l'exigeait pas : tout message arrivant sur le réseau provenait d'un pair, et les pairs étaient, par définition, dignes de confiance.
La déréglementation, les hubs d'itinérance et la revente ont transformé quelques centaines de pairs de confiance en des milliers d'acteurs disposant d'un accès à la signalisation, dont certains le revendent. Le protocole, lui, est resté inchangé. Un attaquant qui obtient un titre global (et ces titres peuvent être loués) peut envoyer les mêmes requêtes qu'un partenaire d'itinérance légitime, et le réseau destinataire est incapable, par chiffrement, de faire la différence.
Les attaques, en termes clairs
La plupart des dommages concrets sont répartis en trois catégories, et aucune ne nécessite de toucher l'appareil de l'abonné.
- Divulgation de la localisation. Une requête destinée à l'itinérance (demandant quel commutateur dessert actuellement un abonné) renvoie un identifiant de cellule qui correspond à une zone physique. En la répétant, on obtient un historique des déplacements. L'abonné, lui, ne voit rien.
- Interception de SMS. Un attaquant modifie la géolocalisation de l'abonné sur le réseau, de sorte que les messages soient acheminés vers son propre nœud plutôt que vers son téléphone. Tout code d'accès à usage unique envoyé par SMS pendant cette période est alors intercepté par l'attaquant. C'est le mécanisme à l'origine des prises de contrôle de comptes qui semblent contourner l'authentification à deux facteurs.
- Divulgation des données des abonnés. Requêtes conçues pour l'interopérabilité légitime des identifiants de retour et des données de profil qui soutiennent une fraude ultérieure, y compris les identifiants nécessaires pour rendre plausible une tentative d'interception.
L'interception des SMS par signalisation explique pourquoi les codes d'accès à usage unique envoyés par SMS constituent un contrôle de possession plutôt qu'un second facteur d'authentification fort : la possession vérifiée peut être déplacée sans l'intervention de l'abonné.
Diameter n'a pas résolu le problème.
Diameter a remplacé SS7 pour la LTE et les générations suivantes, et il prend en charge la sécurité du transport. En pratique, l'interopérabilité Diameter est fréquemment déployée sans cette prise en charge, et les attaques analogues (localisation, interception, divulgation de données) réapparaissent sous des appellations différentes. Les réseaux exécutent également les deux piles de protocoles en parallèle pendant des années lors de la migration, et des fonctions d'interopérabilité assurent la traduction entre elles. Ainsi, une attaque côté SS7 peut être menée vers un cœur de réseau Diameter via une passerelle qui fait confiance à la traduction effectuée.
Un pare-feu de signalisation qui ne comprend qu'un seul des deux protocoles laisse l'autre ouvert, et par conséquent la fonction d'interfonctionnement.
Ce que FS.07 et FS.11 demandent
Le document GSMA publie le cadre de référence auquel se conforme l'industrie. Le document FS.11 définit les catégories de sécurité d'interconnexion SS7 ; le document FS.07 couvre les SMS et la dimension spécifique à la messagerie. C'est cette catégorisation qui rend le problème gérable, car elle distingue le trafic systématiquement illégitime du trafic légitime uniquement dans son contexte.
| Catégorie | Ce qu'il couvre | Traitement |
|---|---|---|
| Catégorie 1 | Messages qui ne devraient jamais provenir de l'extérieur du réseau domestique | Blocage à la frontière. Aucun cas d'interconnexion légitime n'existe. |
| Catégorie 2 | Messages légitimes uniquement depuis un réseau où l'abonné est effectivement en itinérance. | Corréler avec l'état d'itinérance ; rejeter en cas d'incohérence. |
| Catégorie 3 | Messages légitimes provenant d'un partenaire en itinérance, mais susceptibles d'abus en termes de séquence ou de volume. | Analyse du taux, de la vitesse et de la plausibilité au fil du temps. |
La catégorie 1 est la solution de facilité, celle qu'on oublie le plus souvent. La catégorie 3, c'est là que réside le véritable travail d'ingénierie : un message isolé peut être parfaitement légitime, tandis que le schéma auquel il appartient révèle clairement une attaque – par exemple, la même requête envoyée à mille abonnés en une heure par un partenaire disposant de cinquante utilisateurs en itinérance.
Pourquoi les vérifications de vélocité sont plus importantes que les signatures
La vérification des signatures permet de détecter les types de messages malveillants connus. Elle ne détecte pas les types de messages légitimes utilisés de manière illégitime, ce qui représente la majeure partie du problème actuel. Les questions pertinentes sont contextuelles : cet abonné se trouve-t-il vraisemblablement dans ce pays, compte tenu de sa localisation il y a quarante minutes ? Le volume de requêtes de ce partenaire correspond-il à son accord d'itinérance ? Ce service international a-t-il soudainement commencé à interroger des abonnés sur lesquels il ne s'était jamais renseigné auparavant ?
Cette analyse nécessite des données d'état : historiques d'itinérance, données de référence historiques par pair et capacité à corréler une requête avec les informations déjà connues du réseau. Un filtre sans état ne peut pas le faire, ce qui explique concrètement pourquoi les pare-feu de signalisation ne se limitent pas à des listes de contrôle d'accès.
Un pare-feu de signalisation n'est pas un pare-feu SMS.
Ces deux systèmes sont souvent confondus car ils sont tous deux appelés pare-feu et impliquent tous deux la messagerie. Ils fonctionnent à des niveaux différents et protègent contre des menaces différentes.
| Pare-feu SMS | Pare-feu de signalisation | |
|---|---|---|
| Avion | Trafic d'applications/de messagerie | Signalisation SS7 et Diameter |
| Voit | Contenu du message, identifiant de l'expéditeur, routage, volume | Requêtes d'interconnexion et procédures réseau |
| Arrêts | Routes grises, spam, smishing, fuites A2P, pertes de revenus | Suivi de localisation, interception de SMS, vol de données d'abonnés |
| Cadre | Dimension de messagerie GSMA FS.07 | Catégories GSMA FS.11 / FS.07 |
Un opérateur a besoin des deux. Le protocole SMS firewall protège les revenus de messagerie et les abonnés contre les contenus abusifs ; le protocole pare-feu de signalisation protège les abonnés au niveau du réseau sous-jacent. Aucun ne remplace l’autre, et un audit qui constate la présence de l’un ne signifie pas que l’autre est couvert.
Le déploiement implique
- Avant de bloquer quoi que ce soit, établissez un niveau de trafic de référence. Il est impossible de distinguer les anomalies du trafic normal sans connaître le trafic normal pour chaque partenaire d'interconnexion.
- Activez d'abord le blocage de catégorie 1. C'est l'action la plus fiable et la moins risquée qui soit, et elle ne nécessite aucune corrélation.
- Ajouter une corrélation de catégorie 2 par rapport à l'état d'itinérance, qui est l'endroit où la plupart des tentatives d'interception sont détectées.
- Introduisez les règles de vitesse et de plausibilité de catégorie 3 en mode surveillance, ajustez-les, puis appliquez-les.
- Couvrez Diameter et la fonction d'interfonctionnement, et pas seulement SS7 — une attaque qui arrive sur une pile et est traduite dans l'autre contourne un déploiement à pile unique.
- Transmettez les résultats à un endroit où un humain pourra les lire. Un pare-feu qui bloque silencieusement ne vous apprend rien sur qui vous espionne.
Foire aux questions
Qu'est-ce qu'un pare-feu de signalisation SS7 ?
Un élément de réseau à la frontière de signalisation qui inspecte le trafic d'interconnexion SS7 et Diameter et applique les catégories GSMA — bloquant les messages qui ne devraient jamais arriver de l'extérieur du réseau, corrélant ceux qui ne sont légitimes que lorsqu'un abonné est réellement en itinérance, et appliquant une analyse de vitesse au reste.
En quoi est-ce différent d'un pare-feu SMS ?
Ils protègent des plans différents. Un pare-feu SMS inspecte le trafic de messagerie pour détecter les routes grises, le spam et les fuites de revenus A2P. Un pare-feu de signalisation inspecte les procédures SS7 et Diameter sous-jacentes, protégeant ainsi contre le suivi de localisation, l'interception des SMS et la divulgation des données des abonnés. Les opérateurs ont besoin des deux.
Que sont GSMA, FS.07 et FS.11 ?
Les documents de référence GSMA relatifs à la sécurité des interconnexions sont classés en deux catégories : FS.11 et FS.07. Le premier couvre les catégories d'interconnexion SS7, tandis que le second traite des SMS et de la messagerie. Leur contribution majeure réside dans le modèle de catégories qui distingue le trafic illégitime du trafic légitime uniquement dans un contexte d'itinérance spécifique.
Les attaquants pourront-ils encore suivre la localisation au-delà de SS7 en 2026 ?
Là où les réseaux n'ont pas déployé de filtrage catégorisé, oui. Les requêtes concernées sont des procédures d'itinérance ordinaires ; par conséquent, un réseau qui ne les met pas en corrélation avec l'état d'itinérance réel ne peut pas distinguer un attaquant d'un partenaire. C'est précisément ce que les catégories 1 et 2 de gestion visent à empêcher.
Est-ce que Diameter corrige le problème de sécurité SS7 ?
Pas à lui seul. Diameter prend en charge la sécurité du transport, mais les déploiements inter-opérateurs l'omettent fréquemment, et des attaques équivalentes existent avec des noms de messages différents. Les réseaux exécutent également les deux piles en parallèle lors de la migration, de sorte qu'une fonction d'interfonctionnement peut propager une attaque côté SS7 vers un cœur Diameter.
Un pare-feu de signalisation peut-il empêcher la fraude par échange de carte SIM ?
Non, l'échange de carte SIM est une attaque d'ingénierie sociale ciblant le processus d'approvisionnement de l'opérateur, et non une attaque par transposition. Il est donc impératif de s'en prémunir au niveau du service client et des contrôles de portabilité. Un pare-feu de transposition empêche un résultat techniquement similaire obtenu par un autre moyen : le transfert de messages via l'interconnexion plutôt que par une nouvelle carte SIM.
Le blocage du trafic de signalisation interrompra-t-il l'itinérance pour mes abonnés ?
Non, si le déploiement est effectué dans le bon ordre. Les messages de catégorie 1 n'ont pas de cas d'interconnexion légitime ; leur blocage est donc immédiat et sans risque. Les règles de catégories 2 et 3 doivent être exécutées en mode surveillance par rapport à un trafic de référence réel et ajustées avant leur application ; c'est pourquoi l'établissement d'une base de référence est la première étape.
Ce qu'il faut retenir
Les attaques par signalisation persistent car le protocole repose sur une confiance qui n'existe plus et car les requêtes impliquées sont indiscernables de l'itinérance légitime, à moins de les corréler avec les informations déjà connues du réseau. Les catégories GSMA permettent de gérer ce problème. Commencez par la catégorie 1, corrélez la catégorie 2 avec l'état d'itinérance, établissez une base de référence avant d'appliquer la catégorie 3 et concentrez-vous sur Diameter et la fonction d'interfonctionnement plutôt que sur SS7 uniquement.
Liés : pare-feu de signalisation pour les opérateurs, SMS firewall et qu'est-ce que la fraude au SIM swap.