n pare-feu de signalisation inspecte le trafic d'interconnexion SS7 et Diameter et bloque les messages sans finalité légitime : requêtes de géolocalisation non autorisées, configurations d'interception de SMS et fraudes à l'itinérance. Il applique un filtrage par catégorie conforme aux normes GSMA FS.11 (SS7) et FS.19 (Diameter). Si les pare-feu bloquent la plupart des attaques externes, les acteurs sophistiqués et étatiques persistent ; une défense en profondeur est donc indispensable.
Pourquoi la signalisation d'interconnexion est un problème de sécurité
SS7 et Diameter sont les protocoles de plan de contrôle qui permettent aux réseaux d'acheminer les appels, de distribuer les SMS et de gérer l'itinérance. Conçus pour un petit nombre d'opérateurs de confiance, ils reposent en grande partie sur l'hypothèse que l'expéditeur est honnête. Or, avec des milliers de partenaires d'interconnexion et des accès revendus, cette hypothèse n'est plus valable. Un attaquant ayant accès à la signalisation peut interroger et manipuler le réseau comme s'il était un partenaire d'itinérance légitime.
Le modèle de menace
- Suivi de localisation — utilisation abusive de requêtes telles que anyTimeInterrogation ou ProvideSubscriberInfo pour savoir où se trouve un abonné, sans justification d'itinérance.
- Interception de SMS — utilisation des opérations SS7 MAP (par exemple, manipulation de l'acheminement des messages) pour détourner les SMS d'un abonné, y compris les OTP, vers un point contrôlé par un attaquant.
- Reconnaissance des abonnés — requêtes SendRoutingInfoForSM (SRI-SM) non autorisées collectant des données IMSI et de réseau de service pour préparer des attaques ciblées.
- Fraude à l'interconnexion en itinérance — Injection MT-ForwardSM et abus connexes qui contournent les contrôles du réseau d'origine et tout accord A2P.
- Déni et perturbation — signalisation malformée ou à haute vélocité utilisée pour dégrader le service pour les abonnés ciblés.
Le point commun est que toutes ces opérations reposent sur des protocoles légitimes. Il n'existe pas de « message d'attaque » unique à bloquer : une même opération est inoffensive lorsqu'elle provient d'un partenaire d'itinérance légitime et malveillante lorsqu'elle provient d'un acteur n'ayant aucune raison de l'envoyer. C'est ce qui fait de la sécurité de la signalisation un problème de filtrage et de contexte plutôt qu'une simple liste d'autorisation/de blocage.
Les ensembles de règles : FS.11, FS.19 et les spécifications associées
Un pare-feu de signalisation performant ne crée pas ses propres catégories ; il applique les recommandations définies par la GSMA. Ces documents précisent les opérations à surveiller, celles à bloquer en fonction de leur origine et la manière de catégoriser les messages d’interconnexion selon leur niveau de risque.
| Document | Portée | Ce que cela définit |
|---|---|---|
| GSMA FS.11 | Interconnexion SS7 | Directives relatives à la surveillance de la sécurité SS7 et aux pare-feu ; catégories et contrôles des messages |
| GSMA FS.19 | Interconnexion de diamètre | Recommandations de sécurité pour l'interconnexion Diameter (4G/LTE) |
| GSMA IR.70 / IR.71 | SMS / interconnexion | Meilleures pratiques d'interfonctionnement et d'interconnexion des SMS |
| 3GPP TS 23.840 | Réseau central | Référence technique sous-tendant le comportement de routage des SMS |
Dans FS.11, les messages SS7 MAP sont regroupés en catégories selon qu'ils doivent provenir d'un partenaire d'interconnexion, qu'ils soient valides uniquement pour le réseau d'origine de l'abonné et qu'ils soient valides uniquement lorsque l'abonné est effectivement en itinérance sur le réseau demandeur. Le pare-feu applique ces catégories, définit des limites de débit par partenaire et effectue des vérifications croisées ; par exemple, il peut rejeter un MT-ForwardSM pour un abonné dont le réseau sait qu'il n'est pas en itinérance sur le réseau visité déclaré.
Ce qu'un pare-feu de signalisation bloque — et ce qu'il ne bloque pas
Une fois déployé et configuré, un pare-feu de signalisation bloque la grande majorité des attaques SS7 et Diameter externes : les requêtes de localisation, la reconnaissance, les configurations d’interception et la fraude à l’itinérance, qui constituent l’essentiel de la menace. Cela représente une réduction substantielle des risques pour les abonnés et les revenus.
Cela ne constitue pas une garantie absolue. Des acteurs sophistiqués et disposant de ressources importantes — y compris des opérations étatiques — continuent de trouver des failles : combinaisons de messages inédites, abus d’états d’itinérance d’apparence légitime ou accès obtenu via le réseau compromis d’un partenaire de confiance. C’est pourquoi la sécurité de la signalisation est envisagée comme une défense en profondeur, et non comme un dispositif unique : pare-feu, surveillance, détection d’anomalies et gouvernance des partenaires, le tout organisé en couches afin qu’une faille à un niveau soit détectée à un autre.
Le pare-feu SS7 de BroadNet implémente les catégories FS.11 et FS.19 avec des limites de vitesse par partenaire et des vérifications croisées d'état d'itinérance, et alimente les événements de signalisation dans l'analyse de signalisation et de CDR afin que les anomalies qui échappent à une règle statique apparaissent toujours dans la surveillance.
Comment les opérateurs le déploient
Un déploiement classique commence par une phase de surveillance afin d'établir une base de référence pour le comportement normal des interconnexions sans interruption de trafic, puis passe en mode de blocage actif une fois les catégories et les seuils de vitesse ajustés à la configuration réelle des partenaires de l'opérateur. Les données de surveillance sont précieuses en elles-mêmes : de nombreux opérateurs découvrent que leurs partenaires d'interconnexion envoient des opérations sans raison légitime. Pour une présentation succincte de ces concepts, consultez nos réponses sur la sécurité de la signalisation SS7 et la sécurité de la signalisation Diameter.
Foire aux questions
Quelle est la différence entre la sécurité SS7 et Diameter ?
Le protocole SS7 est l'ancien protocole de signalisation des réseaux 2G/3G ; Diameter est son équivalent pour la 4G/LTE. Tous deux véhiculent des signaux d'interconnexion et d'itinérance susceptibles d'être détournés à des fins de suivi, d'interception et de fraude. La norme GSMA FS.11 fournit les recommandations de sécurité pour SS7 et la norme FS.19 pour Diameter ; une protection complète nécessite donc un pare-feu sur les deux plans, et non sur un seul.
Un pare-feu de signalisation peut-il bloquer toutes les attaques SS7 ?
Non. Un pare-feu bien configuré bloque la grande majorité des attaques SS7 et Diameter externes : suivi de localisation, reconnaissance, interception et fraude liée à l’itinérance. Cependant, des acteurs sophistiqués et étatiques peuvent toujours trouver de nouvelles failles. C’est pourquoi la sécurité de la signalisation repose sur une défense en profondeur : pare-feu, surveillance, détection d’anomalies et gouvernance des partenaires, le tout étant combiné de manière multicouche.
Que sont les normes GSMA FS.11 et FS.19 ?
Il s'agit des recommandations de sécurité de la GSMA pour la signalisation d'interconnexion. La norme FS.11 couvre la surveillance de la sécurité des interconnexions SS7 et les recommandations relatives aux pare-feu, en définissant les catégories de messages et les contrôles. La norme FS.19 couvre la sécurité des interconnexions Diameter pour la 4G/LTE. Un pare-feu de signalisation met en œuvre ces catégories plutôt que de les recréer, et prend en charge des spécifications telles que IR.70/IR.71 et 3GPP TS 23.840.
Comment la signalisation SS7 permet-elle aux attaquants d'intercepter les SMS ?
En exploitant des opérations MAP légitimes pour influencer l'acheminement des messages d'un abonné, un attaquant ayant accès à la signalisation peut détourner les SMS entrants, y compris les mots de passe à usage unique, vers un point qu'il contrôle. Le pare-feu protège contre cette attaque grâce à un filtrage par catégorie et à des vérifications croisées de l'état d'itinérance qui rejettent les opérations provenant de partenaires sans raison valable de les envoyer.