Vous êtes assis dans une pièce sourde et isolée d'une maison de campagne. Les fenêtres sont occultées par des rideaux épais, un tunnel VLESS pur camouflé en banque suisse tourne sur le routeur, et le trafic est chiffré à un point tel qu'aucun DPI ne peut en décortiquer les en-têtes. Vous êtes convaincu d'avoir disparu des ondes. Mais juste de l'autre côté de la fenêtre, fixé sur un mât, se trouve un modem 4G/5G fourni par l'opérateur. Ce n'est pas seulement un boîtier doté d'une antenne qui capte Internet. C'est un indicateur attitré disposant d'un canal de communication direct avec la station de base.
Alors que vous chiffrez chaque octet au sein de votre système d'exploitation, le modem lui-même envoie, toutes les quelques millisecondes, un rapport radio-physique ultra-détaillé vers l'antenne-relais de l'opérateur : puissance de la porteuse, niveau de bruit, décalage de phase, gigue de phase et liste des secteurs voisins qu'il perçoit à l'horizon.
Nul besoin d'ouvrir un navigateur ou d'envoyer des messages. Il suffit qu'un camion passe devant votre clôture en modifiant la réflexion des ondes radio, ou qu'une forte averse éclate à l'extérieur : le contrôleur de l'opérateur enregistre instantanément la signature numérique la plus précise de votre position géographique physique. Et si l'antenne-relais reçoit l'ordre d'isoler un nœud particulier, elle ne cherchera pas à attaquer votre VPN. Elle se contentera d'ajuster les paramètres du canal radio et de vous faire basculer discrètement au fond d'un bridage artificiel.
Stop. Si vous pensez que la sécurité d'un modem se résume à remplacer le mot de passe admin/admin inscrit sur l'autocollant en dessous, fermez cet onglet. Continuez de croire aux vertus magiques des « barres de réseau » sur l'écran de votre téléphone.Mais si vous avez déjà eu un terminal AT entre les mains, que vous comprenez la différence entre la fréquence porteuse et le rapport signal sur bruit, et que vous voulez savoir comment les opérateurs manipulent la couche physique (Layer 1) pour dégrader les tunnels, enfilez vos gants diélectriques. La dissection des ondes radio commence maintenant.
Sous le capot de l'interface radio : ce que transmet réellement le modem
Dans n'importe quelle catégorie de modems (des modestes Cat.4 aux monstrueux Cat.20 avec agrégation de cinq porteuses), c'est un processeur de bande de base (Baseband Processor) fermé qui gère la pile sans fil. Son micrologiciel est une boîte noire propriétaire signée Qualcomm, MediaTek ou ASR, qui fonctionne sous sa propre RTOS.
Chaque seconde, via le canal de contrôle PUCCH (Physical Uplink Control Channel), le modem envoie à l'opérateur des paquets RRC (Radio Resource Control) contenant les métriques suivantes :
- RSRP (Reference Signal Received Power).
- La puissance absolue des signaux pilotes provenant de la station de base, exprimée en dBm. La plage s'étend de
-50 dBm(antenne-relais située directement dans la cour) à-120 dBm(aux limites de la rupture). En observant la variation de cette valeur au dixième de décibel près, les algorithmes de triangulation de l'opérateur suivent l'évolution de la géométrie de l'espace autour de l'antenne. - RSRQ (Reference Signal Received Quality).
- La qualité du signal reçu, tenant compte de la charge du secteur. Indique la proportion de ressources radio occupées par d'autres abonnés.
- SINR (Signal to Interference plus Noise Ratio).
- L'indicateur clé de la pureté du spectre : le rapport entre la puissance du signal utile et la somme du bruit et des interférences parasites. Si le SINR chute sous
0 dB, le modem bascule vers des schémas de modulation primitifs (QPSK au lieu de 256-QAM), transformant un débit gigabit en un mince filet d'eau. - CGI (Cell Global Identifier) et liste des cellules voisines (Neighbor Cells).
- Le modem ne se contente pas de s'accrocher à une seule cellule. Il analyse constamment le spectre et fait rapport au contrôleur eNodeB/gNodeB : « Je vois la cellule A à -85 dBm, la cellule B à -102 dBm et la cellule C à -110 dBm ». Trois vecteurs, un problème mathématique de première année d'université, et les coordonnées du domicile sont calculées à la dizaine de mètres près, sans aucun GPS.
Dégradation sélective : comment briser les tunnels sans intervention du DPI
Lorsqu'un filtre de censure ou d'entreprise ne parvient pas à décoder le trafic chiffré VLESS/REALITY, il transmet le relais au sous-système radio de l'opérateur. Pourquoi s'échiner à casser la cryptographie au niveau du noyau réseau alors qu'il est possible de saboter la stabilité de la couche physique ?
- Handover forcé vers un secteur surchargé.
- La station de base envoie au modem une commande
RRCConnectionReconfiguration. Le modem se déconnecte sagement de la bande haut débit B3 (1800 MHz) ou B7 (2600 MHz) pour être basculé de force sur la bande basse fréquence B20 (800 MHz), où la largeur de bande n'est que de 5 MHz et où le secteur sature sous le trafic de centaines d'abonnés. Les pings s'envolent, la gigue détruit le multiplexage du tunnel. - Injection artificielle de gigue de phase (BSR Throttling).
- L'opérateur pilote le planificateur de liaison montante (Uplink Scheduler). Lorsque le modem demande une ressource via un rapport BSR (Buffer Status Report), le contrôleur octroie des droits de transmission assortis de micro-retards irréguliers de plusieurs dizaines de millisecondes. Pour de la navigation web classique, cela reste imperceptible, mais les protocoles d'obfuscation du trafic sensibles aux minutages s'asphyxient sous l'effet des retransmissions.
- TR-069 / USP dissimulé de l'opérateur.
- La plupart des modems du commerce intègrent une porte dérobée de gestion à distance via le protocole CWMP (TR-069). Par le biais d'un APN fermé, l'opérateur peut à tout moment injecter un micrologiciel, désactiver l'agrégation de fréquences, imposer des limites de taille de paquets (MTU Clamping) ou aspirer la liste des adresses MAC connectées au réseau local.
Protocole d'ingénierie pour la sécurisation du dernier kilomètre
Pour forcer le canal radio à se comporter strictement comme un câble physique brut et retirer à l'opérateur toute possibilité de manipuler votre équipement, le périmètre doit être basculé sous un contrôle matériel strict.
- Passage du modem en mode pont pur (Pure IP-Passthrough / Bridge).
- Le modem doit être dépouillé de ses attributions de routeur. Aucun NAT, DHCP ou DNS intégré. L'ensemble de la partie radio transmet une adresse IP publique brute directement sur le port WAN externe de votre routeur isolé sous RouterOS ou OpenWrt.
- Verrouillage matériel des bandes (Band Locking) et de la cellule (Cell Locking).
- Un accès direct aux ports AT des modems sur chipsets Qualcomm (via les utilitaires
atinoutouminicom) permet d'interdire définitivement la sélection automatique des fréquences et l'itinérance inter-secteurs : - Plaintext
# Exemple de verrouillage LTE Band 3 (1800MHz) et Band 7 (2600MHz) sur les modems Quectel : AT+QCFG="band",0,44,0 # Association forcée à un secteur physique précis (Cell Lock) : # Paramètres : EARFCN (canal de fréquence) et PCI (Physical Cell ID) AT+QNWLOCK="common/4g",1,1650,284
- Cette mesure élimine toute possibilité pour l'opérateur de basculer sournoisement votre modem vers une station de base lente ou compromise.
- Mise en quarantaine de l'interface de gestion (Kill TR-069).
- Au niveau du micrologiciel du modem, les démons
cwmp,tr069etdmclientsont intégralement désinstallés ou bloqués. Si le firmware est verrouillé par l'opérateur, le modem doit impérativement être basculé en mode EDL (Emergency Download Mode) pour y flasher une version de micrologiciel d'ingénierie indépendante. - Surveillance automatisée (watchdog) des indicateurs radio.
- Un script est déployé sur le routeur de périphérie pour récupérer les métriques
RSRP,RSRQetSINRvia le port série du modem toutes les trente secondes. En cas de chute brutale du SINR supérieure à 8 dB sans explication météorologique manifeste (symptôme d'un brouillage radio sélectif ou d'une modification de configuration de la cellule), le routeur bascule automatiquement le trafic critique vers une liaison radio de secours d'un autre opérateur ou vers une passerelle filaire.
La sécurité d'un réseau domestique est illusoire si vous ne maîtrisez pas le support de transmission physique. Vous pouvez édifier des barrières cryptographiques impénétrables dans votre système d'exploitation, mais si le modem radio situé derrière votre mur obéit aveuglément aux ordres d'une station de base externe, votre verrou numérique repose sur des fondations étrangères. La véritable autonomie commence là où le spectre hertzien obéit à vos règles, et non aux protocoles de contrôle de l'opérateur.