APN privé et sécurité : les limites, et comment les compléter (pare-feu, chiffrement)

Par Aurélie, M2M Network.

En bref : un APN privé (le point d’accès du réseau mobile réservé à un seul client) renforce nettement la sécurité d’un parc d’objets connectés : les cartes SIM reçoivent des adresses du réseau du client et ne joignent que ses serveurs, sans être exposées à Internet. Mais un APN privé n’est ni un pare-feu, ni un chiffrement de bout en bout, ni une séparation entre les objets d’un même client : la norme 3GPP TS 29.061 laisse le filtrage des flux hors de son champ et renvoie la protection du lien entre l’opérateur et le client à un accord entre eux. Pour un parc sensible, on le complète par un pare-feu entre l’APN et vos réseaux, administré par vous, par un chiffrement (VPN IPsec ou TLS), par l’isolement des cartes entre elles et par une journalisation exploitée.

Cet article ne revient ni sur la définition de l’APN (voir notre guide de l’APN) ni sur les avantages de l’APN privé dédié. Il détaille ce que l’APN privé laisse ouvert, comment le compléter, et comment vérifier un APN déjà en service.

Ce qu’un APN privé apporte à la sécurité

La norme 3GPP TS 29.061 distingue l’accès « transparent » à Internet, celui de l’APN public, où l’objet reçoit une adresse de l’opérateur, et l’accès « non transparent » à un intranet, celui de l’APN privé : l’objet y reçoit une adresse du réseau du client, et la passerelle 4G (P-GW) peut faire authentifier la session par un serveur AAA du client, en RADIUS ou en Diameter (clause 11.2.1.2.2). Trois apports en découlent :

  • pas d’exposition directe à Internet : tant que l’APN n’a pas de sortie Internet, une carte n’est joignable que depuis le réseau du client ;
  • un adressage maîtrisé : les adresses des objets appartiennent à votre plan d’adressage, ce qui permet d’écrire des règles de filtrage précises par objet ou par groupe ;
  • un contrôle d’accès supplémentaire : votre serveur AAA peut refuser l’ouverture d’une session, en plus de l’authentification de la carte SIM par l’opérateur.

C’est la bonne base. Elle ne couvre pas tout.

Les trois limites d’un APN privé

Ce n’est pas un pare-feu

La norme TS 29.061 précise que la façon dont l’opérateur filtre le trafic (« screening ») est hors de son champ, et que ce filtrage peut se faire par exemple dans un pare-feu (clause 11.6). Un APN privé définit qui entre dans le réseau et quelle adresse il reçoit, pas quels flux sont permis à l’intérieur. Sans filtrage, un objet compromis atteint tout ce que l’APN atteint : vos serveurs, et parfois les autres réseaux de l’entreprise reliés à l’APN.

Ce n’est pas un chiffrement de bout en bout

Le chiffrement radio existe, mais il est court. Selon la norme de sécurité 4G, 3GPP TS 33.401, le chiffrement des données sur l’interface radio (couche PDCP) est une option de l’opérateur, recommandée, et c’est la station de base (eNodeB) qui déchiffre les paquets avant de les transmettre au cœur de réseau ; la protection cryptographique des liaisons entre stations de base et cœur de réseau est aussi une décision de l’opérateur.

Après la passerelle, la norme TS 29.061 indique que la communication entre le réseau mobile et l’intranet du client peut emprunter n’importe quel réseau, même non sûr, Internet par exemple ; un protocole de sécurité peut alors être ajouté, défini d’un commun accord entre l’opérateur et le client. Vodafone, dans ses conditions de service IoT, raccorde ainsi le même APN dédié (« Private Corporate APN ») soit par un tunnel IPsec chiffré à travers Internet, soit par un VPN IP privé. Et un VPN MPLS sépare sans chiffrer : la RFC 4364, qui définit les VPN IP BGP/MPLS, précise que ces méthodes ne chiffrent pas les données par elles-mêmes et ne détectent pas leur modification en route ; des mesures cryptographiques doivent être ajoutées si c’est nécessaire.

Ce n’est pas une séparation entre vos objets

Toutes les cartes d’un APN privé partagent le même réseau. Qu’elles puissent ou non se joindre est un choix de configuration. Vodafone précise, pour son APN Internet partagé entre clients, que le trafic d’une carte ne peut pas atteindre une autre carte ; Soracom indique que les objets d’une même passerelle virtuelle ne communiquent pas entre eux par défaut, et que cette communication s’active par une option. Sur votre APN, c’est donc un paramètre à demander et à tester. Or l’ANSSI, dans son guide sur les systèmes industriels (ANSSI-PA-108, version 2.0 du 27 novembre 2025), recommande des zones cloisonnées entre elles (R101) et l’isolement des périphériques sans fil, 4G et 5G comprises, dans un réseau physique ou logique séparé (R147).

Menaces et parades : ce que fait l’APN privé, ce qu’il faut ajouter

MenaceCe que fait l’APN privéCe qu’il faut ajouter
Balayage et attaque depuis InternetAdresses de votre réseau, pas d’exposition tant que l’APN n’a pas de sortie InternetVérifier l’absence de sortie Internet, ou la filtrer en liste blanche
Écoute sur la liaison radioRien en propre : le chiffrement radio 4G est une option de l’opérateur et s’arrête à la station de baseChiffrement depuis l’objet (TLS ou IPsec)
Écoute ou modification entre l’opérateur et votre réseauRien en propre : la protection de ce lien relève d’un accord (TS 29.061)Tunnel IPsec sur ce lien, ou chiffrement de bout en bout (ANSSI-PA-087, R23)
Objet compromis qui rebondit vers votre système d’informationRien : les flux entre l’APN et vos réseaux sont routésPare-feu entre l’APN et vos réseaux, en liste blanche, administré par vous (ANSSI DAT-NT-006)
Objet compromis qui attaque les autres objetsDépend de la configuration de l’APNIsolement entre cartes, zones séparées par usage (ANSSI-PA-108, R101 et R147)
Commande illégitime ou rejouée vers les objetsRienAuthentification de l’infrastructure, intégrité et anti-rejeu des commandes (ANSSI-PA-087, R5)
Carte SIM retirée et insérée dans un autre appareilL’accès est accordé à la carte autorisée, quel que soit l’appareilAuthentification par votre serveur AAA, verrouillage de la carte sur l’appareil
Intrusion non détectéeRienJournalisation des sessions et des refus, journaux protégés et déportés (ANSSI-PA-087, R41 à R43)

Le vol de carte est traité dans notre article sur le vol de carte SIM M2M et le verrouillage IMEI.

Un pare-feu entre l’APN et vos réseaux, administré par vous

Le filtrage appliqué dans le cœur de réseau sur les flux de chaque carte SIM est décrit dans notre article sur la carte SIM avec pare-feu. Il s’agit ici d’autre chose : un pare-feu placé à la sortie de l’APN, entre le réseau des cartes et chacun de vos réseaux (sites, centre de données, cloud), pour faire de l’APN une zone à part et non un prolongement de votre réseau interne. La note technique de l’ANSSI DAT-NT-006 (30 mars 2013) en donne la méthode :

  • un modèle de sécurité positif, où « tout ce qui n’est pas explicitement autorisé est interdit » ;
  • des règles de flux métier définies précisément par leurs adresses sources, leurs adresses de destination et leurs services (R4) ;
  • une règle explicite d’interdiction finale journalisée, qui « permet de conserver la trace des flux non légitimes » (R6) ;
  • une administration idéalement par une interface dédiée, reliée à un réseau d’administration (R1) ;
  • une politique testée une fois mise en place (R14) et revue au moins une fois par an (R15).

Pourquoi une administration par le client ? Parce que les flux autorisés sont des décisions métier : quel automate parle à quel serveur, sur quel port, quand ouvrir puis refermer l’accès d’un prestataire. Le guide industriel de l’ANSSI le rappelle pour les échanges entre zones : flux refusés par défaut, seuls ceux nécessaires au fonctionnement autorisés, flux refusés journalisés et analysés (R102). Celui qui connaît ces besoins doit pouvoir modifier les règles, avec des comptes nominatifs et une trace de chaque changement.

Chiffrer les flux : VPN IPsec ou chiffrement applicatif

L’ANSSI le pose dans son guide sur les objets connectés (ANSSI-PA-087, 27 août 2021), R23 : « Les flux de données sensibles échangées entre les constituants d’un système connecté, et entre ce système et des réseaux externes, doivent être protégées en confidentialité et en intégrité par des moyens cryptographiques à l’état de l’art. » Un APN privé ne remplit pas cette exigence à lui seul. Deux outils la remplissent :

  • TLS, au niveau de l’application : la version 1.3 (RFC 8446) est conçue pour empêcher l’écoute, la modification et la falsification des messages entre un client et un serveur ;
  • IPsec (RFC 4301), au niveau IP : contrôle d’accès, intégrité, authentification de l’origine des données, détection des rejeux et confidentialité par chiffrement, pour tous les protocoles transportés sur IP.

Tout dépend de l’endroit où commence le chiffrement. Monté sur l’objet ou sur son routeur 4G, il protège le flux sur tout le trajet, liaison radio et cœur de l’opérateur compris ; monté entre la sortie de l’APN et votre réseau, il ne protège que ce dernier tronçon. Il se combine avec l’APN privé sans le remplacer : selon KORE, l’APN privé restreint la façon dont les objets accèdent au réseau, le VPN ajoute un tunnel chiffré. Le montage d’un tunnel depuis un routeur est détaillé dans notre guide du VPN 4G pour site distant. Dans l’autre sens, pour les commandes envoyées aux objets, l’ANSSI demande que l’infrastructure s’authentifie et que l’intégrité du flux de commandes soit assurée, rejeu compris (R5).

Isoler les cartes SIM entre elles

Les objets d’un parc ont rarement besoin de se parler : une caméra envoie ses images à un enregistreur, un automate répond à une supervision. Isoler les cartes limite la propagation d’une compromission :

  • demander à l’opérateur si deux cartes du même APN peuvent se joindre, et le vérifier par un essai ;
  • séparer les usages de sensibilité différente (vidéo, automates, bornes) dans des APN ou des zones distinctes, filtrées entre elles (ANSSI-PA-108, R101 et R102) ;
  • prévoir l’exclusion d’un objet compromis : lorsque le niveau de sécurité le justifie, l’ANSSI demande de pouvoir exclure un dispositif compromis sans affecter le reste du système (ANSSI-PA-087, R17), ce qui passe ici par la suspension de la carte.

Journaliser, et lire les journaux

Pour les objets connectés, l’ANSSI demande d’enregistrer les événements pertinents pour la sécurité (connexions réussies ou en échec, redémarrages, erreurs) avec une durée de rétention et des droits d’accès qui permettent une analyse après coup (R41), des journaux ni modifiables ni effaçables (R42), et leur remontée vers des équipements déportés, de type syslog, lorsque cela les protège mieux (R43). Pour un parc de cartes SIM, trois sources comptent : les ouvertures et les refus de session sur l’APN, les flux refusés par le pare-feu, et les changements de règles. Exportez-les vers votre propre outil de supervision : un journal que personne ne lit ne protège rien.

Vérifier la sécurité d’un APN privé existant

Pour un APN déjà en service, posez ces dix questions à votre opérateur et à votre équipe, et gardez les réponses par écrit :

  1. Adressage : les cartes reçoivent-elles des adresses de votre plan d’adressage, sans adresse publique ?
  2. Sortie Internet : l’APN en a-t-il une ? Si oui, quels flux y sont permis, et qui les a décidés ?
  3. Lien de livraison : par quel transport le trafic arrive-t-il (IPsec sur Internet, MPLS, VPLS, interconnexion privée), et ce lien est-il chiffré ?
  4. Chiffrement : vos flux sensibles sont-ils chiffrés depuis l’objet (TLS ou IPsec) ?
  5. Pare-feu : un pare-feu filtre-t-il les flux entre l’APN et chacun de vos réseaux, en liste blanche, avec une règle finale d’interdiction journalisée ?
  6. Administration : qui modifie les règles, par quelle interface, avec des comptes nominatifs et une trace de chaque modification ?
  7. Isolement : deux cartes du même APN peuvent-elles se joindre ? Faites l’essai.
  8. Authentification : votre serveur AAA contrôle-t-il l’ouverture des sessions, et les cartes sont-elles liées à leurs appareils ?
  9. Journaux : où sont-ils conservés, combien de temps, et qui peut les modifier ?
  10. Revue et exclusion : quand la politique de filtrage a-t-elle été revue, et combien de temps faut-il pour suspendre une carte compromise ?

Ce que propose M2M Network

M2M Network propose l’APN privé classique, et va au-delà : les cartes SIM de chaque client sont séparées dans des APN dédiés, et leurs flux passent par des pare-feu que le client administre lui-même. Le trafic est ensuite livré jusqu’à vos sites dans des VPN, des MPLS ou des VPLS, ou directement dans vos environnements AWS, Azure, OVHcloud et autres par une interconnexion cloud privée, sans passer par Internet. Dans le groupe MUONA, Guardis héberge aussi des serveurs en France, sur une infrastructure certifiée ISO 27001 et HDS, joignables depuis l’APN privé sans passer par l’Internet public. Le chiffrement de vos flux sensibles reste à prévoir dans vos objets et vos applications ; pour l’étude du raccordement de votre parc, décrivez votre besoin.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

Questions fréquentes

Un APN privé est-il sécurisé ?

Il est plus sûr qu’un APN public : les cartes reçoivent des adresses de votre réseau et ne sont pas exposées à Internet. Mais il ne filtre pas les flux, ne chiffre pas les données de bout en bout et ne sépare pas forcément les objets entre eux. Complétez-le par un pare-feu, un chiffrement et une journalisation.

Un APN privé chiffre-t-il les données ?

Pas par lui-même. Le chiffrement radio 4G, option de l’opérateur selon la norme 3GPP TS 33.401, s’arrête à la station de base, et la protection du lien entre l’opérateur et votre réseau dépend du raccordement : un tunnel IPsec chiffre, un VPN MPLS sépare sans chiffrer. Pour des données sensibles, chiffrez depuis l’objet, en TLS ou en IPsec.

Faut-il un pare-feu avec un APN privé ?

Oui, dès que l’APN est relié à votre système d’information. Sans filtrage, un objet compromis atteint tout ce que l’APN atteint. Placez un pare-feu entre l’APN et chacun de vos réseaux, en liste blanche avec une règle finale d’interdiction journalisée, comme le recommande l’ANSSI.

Les objets d’un même APN privé peuvent-ils communiquer entre eux ?

Cela dépend de la configuration : certains opérateurs bloquent ces échanges par défaut, d’autres les permettent sur option. Demandez le comportement de votre APN et vérifiez-le par un essai entre deux cartes. Si vos objets n’ont pas besoin de se parler, l’isolement doit être la règle.

APN privé ou VPN : faut-il choisir ?

Non, ils ne font pas la même chose. L’APN privé décide qui entre dans le réseau et où le trafic est acheminé ; le VPN chiffre et authentifie le trafic dans un tunnel. Pour des flux sensibles, on utilise les deux.

Qui doit administrer le pare-feu d’un APN privé ?

Celui qui connaît les flux métier, en général l’équipe réseau ou sécurité du client. Les règles évoluent avec les objets, les serveurs et les interventions de maintenance. L’administration doit passer par des comptes nominatifs, et chaque changement doit être tracé.

Sources