Un réseau cellulaire a longtemps eu la réputation d'être plus sûr qu'un WiFi public. Cette réputation ne résiste pas à l'examen technique : l'opérateur mobile voit passer l'intégralité du trafic non chiffré, et des failles connues de longue date dans la signalisation mobile restent exploitables sur une partie du parc actuel. Le guide général sur le meilleur VPN pour mobile effleure le sujet ; cette page détaille ce qu'un opérateur peut observer, ce que change réellement la 5G, et ce qu'un VPN protège ou ne protège pas dans ce contexte.
Ce qu'un opérateur mobile peut observer sans VPN
Sur une connexion cellulaire classique, l'intégralité du trafic non chiffré au niveau applicatif transite par l'infrastructure de l'opérateur avant d'atteindre sa destination. Cela inclut les requêtes DNS, qui révèlent les domaines visités même lorsque le contenu de la page est chiffré en HTTPS, ainsi que des métadonnées de connexion (horodatage, volume de données, destination). Un opérateur mobile dispose donc d'une visibilité comparable à celle d'un fournisseur d'accès à domicile, avec en plus la capacité de localiser approximativement l'appareil via les antennes relais utilisées.
Les vulnérabilités connues de la signalisation mobile
Les réseaux mobiles reposent historiquement sur le protocole de signalisation SS7 (Signaling System No. 7), conçu dans les années 1970 sans hypothèse de sécurité forte, puisque seul un nombre restreint d'opérateurs de confiance y avait accès à l'origine. L'interconnexion mondiale des réseaux a depuis exposé ce protocole à des abus documentés : interception de SMS, localisation d'un appareil, voire interception d'appels, via un accès compromis au réseau de signalisation. Par ailleurs, l'usage de simulateurs de station de base (couramment appelés IMSI catchers) permet à un tiers équipé du matériel adéquat de forcer des appareils à proximité à se connecter à une fausse antenne. Sur les réseaux 2G, dépourvus d'authentification mutuelle entre l'appareil et l'antenne, cela suffit à exposer l'identifiant unique de l'abonné (IMSI) et peut permettre l'interception des communications. Les réseaux 3G et 4G intègrent une authentification mutuelle qui complique cette attaque directe, mais restent exposés à des attaques de rétrogradation forçant temporairement l'appareil à basculer vers le 2G pour contourner cette protection.
Ce que change le passage à la 5G
La norme 5G Standalone introduit une amélioration notable : l'identifiant permanent de l'abonné (SUPI) n'est plus transmis en clair lors de l'attachement au réseau, mais sous une forme chiffrée appelée SUCI (Subscription Concealed Identifier), telle que définie par les spécifications 3GPP. Cette évolution réduit significativement le risque de traçage par IMSI catcher sur les réseaux pleinement compatibles 5G Standalone. En pratique cependant, une large partie des déploiements 5G actuels fonctionnent encore en mode non autonome (Non-Standalone), c'est-à-dire qu'ils s'appuient sur le cœur de réseau 4G existant pour la signalisation — ce qui signifie que les vulnérabilités historiques restent pertinentes tant que la bascule complète vers la 5G Standalone n'est pas généralisée.
Ce qu'un VPN protège réellement sur réseau cellulaire
Un VPN correctement configuré chiffre le trafic entre l'appareil et le serveur VPN, ce qui empêche l'opérateur mobile de lire le contenu des échanges ou les requêtes DNS associées. Il ne protège en revanche pas contre les attaques qui interviennent au niveau de la signalisation réseau elle-même (SS7, IMSI catcher), puisque ces attaques ciblent la couche de communication du modem avant même l'établissement du tunnel VPN. Le VPN déplace également le point de confiance : c'est désormais le fournisseur VPN, et non plus l'opérateur mobile, qui peut techniquement observer la destination du trafic si sa politique de journalisation ne l'en empêche pas.
Le chiffrement radio natif et ses limites
Les réseaux mobiles chiffrent déjà la liaison radio entre l'appareil et l'antenne relais, via des algorithmes propres à chaque génération (par exemple SNOW 3G ou ZUC sur les réseaux 4G/LTE). Ce chiffrement protège contre une écoute directe des ondes radio par un tiers situé à proximité, mais il s'arrête à l'antenne : une fois le trafic entré dans le réseau cœur de l'opérateur, il n'est plus protégé par ce chiffrement radio et devient lisible par l'infrastructure de l'opérateur lui-même, ainsi que par toute entité disposant d'un accès légal ou compromis à cette infrastructure. Un VPN fonctionne différemment : il chiffre le trafic de bout en bout jusqu'à un serveur extérieur au réseau de l'opérateur, ce qui déplace la protection au-delà du seul segment radio.
VoLTE : des risques spécifiques à la voix sur IP mobile
La voix sur LTE (VoLTE) achemine les appels téléphoniques sous forme de trafic IP à travers l'infrastructure IMS (IP Multimedia Subsystem) de l'opérateur, plutôt que par les circuits voix traditionnels des générations précédentes. Des travaux de recherche en sécurité ont documenté, sur certaines implémentations opérateur de VoLTE, des défauts de configuration permettant dans certains cas l'interception d'appels ou des fraudes de facturation. Un VPN classique, qui chiffre le trafic de données, ne couvre généralement pas les appels VoLTE eux-mêmes, gérés séparément par la puce modem au niveau du système ; cette distinction est utile à connaître pour ne pas surestimer la portée de la protection apportée par un VPN sur mobile.
Le network slicing en 5G : une infrastructure partagée aux implications nouvelles
La 5G introduit le concept de network slicing, qui permet à un opérateur de découper son infrastructure physique en plusieurs réseaux virtuels isolés, chacun dédié à un usage spécifique (grand public, véhicules connectés, objets industriels). Cette isolation logique, définie par les spécifications 3GPP, vise à garantir qu'un usage ne dégrade pas les performances ou la sécurité d'un autre sur la même infrastructure physique. En pratique, la sécurité effective d'une slice dépend entièrement de la qualité de son implémentation par l'opérateur : une isolation mal configurée entre slices reste un vecteur de risque théorique identifié par la recherche en sécurité télécom, même si aucune exploitation à grande échelle n'a été documentée publiquement à ce jour. Pour l'utilisateur final, cela ne change rien à l'usage d'un VPN, qui continue de chiffrer le trafic indépendamment de la slice réseau empruntée.
Ce qu'un VPN ne masque pas : l'analyse de trafic par métadonnées
Même lorsque le contenu du trafic est intégralement chiffré par un VPN, l'opérateur mobile continue d'observer certaines métadonnées de bas niveau : le volume de données échangées, leur répartition dans le temps, et l'adresse du serveur VPN utilisé comme point de sortie. Une analyse de trafic suffisamment fine peut, dans certains cas documentés par la recherche académique, corréler des motifs de trafic chiffré avec des activités probables (visionnage vidéo, appel VoIP, navigation web) sans avoir besoin de déchiffrer le contenu lui-même. Ce type d'analyse reste coûteux et ciblé plutôt que systématique, mais illustre qu'un VPN déplace le niveau de confidentialité sans le rendre absolu : il protège le contenu, pas nécessairement l'existence ou le volume de l'activité.
Cas d'usage où la vigilance doit être renforcée
L'itinérance à l'étranger, en particulier dans des pays où la réglementation sur les télécommunications est peu contraignante ou où l'infrastructure réseau est vieillissante, constitue un contexte où l'écart de sécurité entre un trafic chiffré par VPN et un trafic laissé en clair est le plus significatif. En roaming, le trafic transite en outre par un accord technique entre l'opérateur d'origine et l'opérateur local du pays visité, ce qui ajoute une infrastructure intermédiaire supplémentaire par laquelle les données non chiffrées peuvent transiter avant d'atteindre leur destination finale. Dans ces situations, vérifier que le VPN reste actif en permanence (fonction souvent appelée kill switch) évite qu'une coupure temporaire du tunnel n'expose le trafic sans protection le temps d'une reconnexion.