Les réseaux 5G privés sont passés d'une curiosité commerciale d'entreprise à une option sérieuse pour la connectivité de défense. Un réseau 5G privé donne à une organisation militaire un réseau cellulaire dédié et à haute capacité qu'elle possède et contrôle de bout en bout — les radios, le cœur, le spectre et la base de données des abonnés. Cet article explique comment concevoir et sécuriser la 5G privée pour les installations militaires : l'architecture du cœur, le découpage de réseau pour la ségrégation des missions, la planification du spectre et de la radio, le modèle de sécurité 5G, l'intégration de l'informatique en périphérie et le fonctionnement isolé.
Le schéma de déploiement pertinent n'est pas une couverture mobile nationale. C'est une connectivité délimitée et dense au sein d'une installation — une base opérationnelle avancée, un port, un aérodrome, une plateforme logistique, un champ de tir — où un grand nombre de capteurs, véhicules, combinés et appareils IoT ont besoin de liaisons fiables, à faible latence et à haut débit que les opérateurs commerciaux ne peuvent pas fournir de manière sécurisée. La 5G privée comble cette lacune en tant que couche d'infrastructure fixe ou semi-fixe qui s'intègre à l'architecture zero-trust de l'installation et au cloud en périphérie.
Pourquoi la 5G privée pour la défense
L'argument en faveur de la 5G privée dans la défense repose sur le contrôle et le déterminisme. Un réseau d'opérateur commercial est une infrastructure partagée : sa capacité est disputée par les abonnés civils, sa couverture est optimisée pour la densité de population plutôt que pour la géographie de mission, et son cœur est exploité par un tiers dont les priorités, les obligations d'interception légale et la résilience échappent au contrôle militaire. En situation de crise, les réseaux commerciaux peuvent être congestionnés, brouillés, dégradés ou simplement coupés. Un réseau privé supprime entièrement cette dépendance.
Le contrôle d'un spectre dédié signifie que l'organisation sait exactement ce qui émet dans sa bande et peut gérer les interférences, la déconfliction et le contrôle des émissions selon ses propres termes. La latence déterministe est le deuxième moteur : les configurations ultra-fiables à faible latence offrent des allers-retours inférieurs à 10 millisecondes, ce qui compte pour la signalisation C2, le contrôle à distance des plateformes et les boucles capteur-tireur où la gigue et la latence de queue sont inacceptables.
Comparée à la radio tactique, la 5G privée offre un débit et une densité d'appareils bien supérieurs — des centaines de flux ISR haute définition et des milliers de capteurs IoT sur un seul réseau — mais c'est une infrastructure fixe, pas une forme d'onde de manœuvre. Comparée au Wi-Fi, la 5G offre une mobilité de qualité opérateur, un accès planifié (et non disputé) à l'interface air, une QoS native, une authentification basée sur SIM et une empreinte de couverture que le Wi-Fi ne peut égaler. Pour une installation fixe nécessitant à la fois capacité et accès garanti, la 5G privée est le bon outil.
Architecture du cœur 5G pour le déploiement militaire
La première décision architecturale est autonome (SA) contre non autonome (NSA). NSA réutilise un cœur 4G LTE (l'EPC) et ancre la radio 5G sur un plan de contrôle LTE existant — rapide à déployer mais il hérite des limites de sécurité de LTE et ne peut fournir l'ensemble complet des fonctionnalités 5G. SA utilise un cœur 5G natif (le 5GC) avec une architecture orientée services. Pour la défense, SA est la bonne cible : seul SA prend en charge le découpage de réseau, l'URLLC, le modèle d'authentification 5G amélioré et la dissimulation de l'identité d'abonné. NSA est au mieux une étape transitoire.
Le 5GC sépare le plan de contrôle du plan utilisateur (CUPS — Control and User Plane Separation). Les fonctions du plan de contrôle (AMF pour l'accès et la mobilité, SMF pour les sessions, AUSF pour l'authentification, UDM pour les données d'abonnés, NRF pour la découverte de services) décident de la politique ; la fonction de plan utilisateur (UPF) achemine le trafic réel. Cette séparation permet à l'opérateur de placer l'UPF près de l'endroit où le trafic est consommé — en périphérie, à côté des radios — tout en gardant les fonctions de contrôle centralisées, ce qui est exactement ce que requiert le traitement en périphérie à faible latence.
Un cœur 5G privé de défense doit être conteneurisé et fonctionner sur site. Des projets de cœur 5G open source comme Open5GS et Magma montrent qu'un 5GC complet peut fonctionner sous forme de conteneurs dans un cluster Kubernetes dans le centre de données de l'installation ou sur un serveur de périphérie durci sur le terrain. L'hébergement sur site conserve l'ensemble du cœur — et chaque octet de données d'abonnés et de trafic — sur une infrastructure physiquement contrôlée par l'organisation, ce qui est l'exigence fondamentale des déploiements classifiés.
Découpage de réseau pour la ségrégation des missions
Le découpage de réseau partitionne un réseau 5G physique en plusieurs réseaux logiques, chacun avec une performance et une isolation indépendantes. La norme 5G définit trois types de services de tranches. Le haut débit mobile amélioré (eMBB) maximise le débit pour le trafic à haut débit. La communication ultra-fiable à faible latence (URLLC) garantit une faible latence et une haute fiabilité pour le contrôle critique en temps. La communication massive de type machine (mMTC) prend en charge un très grand nombre d'appareils à faible débit. Ils correspondent proprement aux classes de trafic de défense.
Dans une installation militaire, le découpage isole le trafic par mission et sensibilité. La vidéo ISR fonctionne sur une tranche eMBB dédiée dimensionnée pour un débit élevé soutenu. La signalisation C2 fonctionne sur une tranche URLLC avec un budget de latence garanti afin que le trafic de commandement ne soit jamais affamé par la vidéo en masse. L'IoT logistique et d'infrastructure de base — capteurs environnementaux, traceurs d'actifs, contrôle d'accès — fonctionne sur une tranche mMTC réglée pour la densité d'appareils plutôt que pour le débit par appareil.
Chaque tranche porte son propre profil QoS et, surtout, sa propre frontière de sécurité. Le chiffrement par tranche et l'isolation signifient qu'une compromission ou une saturation dans une tranche ne déborde pas sur les autres : une tranche ISR surchargée ne peut retarder le trafic C2, et un appareil IoT compromis sur la tranche mMTC n'a aucun chemin vers la tranche C2. L'isolation des tranches est appliquée à la fois dans l'ordonnanceur du RAN et dans le cœur, et la politique de sélection de tranche est liée aux identifiants d'abonné, de sorte qu'un appareil n'est admis qu'aux tranches que son rôle de mission autorise.
Considérations sur le spectre et le RAN
Le spectre est la contrainte limitante. Aux États-Unis, le Citizens Broadband Radio Service (CBRS) à 3,5 GHz offre un accès partagé géré par un Spectrum Access System et est largement utilisé pour les réseaux privés. Au niveau mondial, la bande 5G n78 (3,3–3,8 GHz) est la bande moyenne dominante, équilibrant couverture et capacité, et plusieurs pays octroient des licences de spectre local dédié aux réseaux privés en son sein — le schéma d'octroi de licences locales de l'Allemagne à 3,7–3,8 GHz en est un exemple bien connu. Chaque déploiement doit coordonner avec l'autorité nationale du spectre et déconflicter avec les utilisateurs militaires et civils existants.
Le réseau d'accès radio est planifié autour de la zone de couverture et de la tranche la plus exigeante. Le placement des gNodeB est déterminé par la modélisation de propagation RF qui tient compte des bâtiments, du terrain et du bilan de liaison nécessaire pour atteindre l'objectif de latence et de fiabilité URLLC en bordure de cellule. Les zones intérieures et denses privilégient les petites cellules ; les vastes espaces ouverts privilégient les macrocellules. La bande moyenne offre un compromis pratique entre la portée de la bande basse et la capacité des ondes millimétriques.
Pour l'usage sur le terrain et expéditionnaire, l'infrastructure radio doit être déployable. Les cellules sur roues et les stations de base conteneurisées permettent à une installation de mettre rapidement en place une couverture sur un nouveau site. Une station de base 5G privée est aussi un émetteur RF avec une signature électromagnétique détectable, donc la planification du RAN ne concerne pas seulement la couverture — elle doit s'inscrire dans la posture de contrôle des émissions (EMCON) de l'installation, avec la capacité de réduire la puissance, de façonner la couverture ou d'éteindre les émetteurs lorsque l'environnement de menace l'exige.
Architecture de sécurité
Le modèle de sécurité de la 5G est une amélioration majeure par rapport aux générations antérieures, et un déploiement privé permet à l'opérateur de tout en posséder. L'identité permanente d'abonné (SUPI — Subscription Permanent Identifier) n'est jamais envoyée en clair par voie hertzienne. L'appareil la chiffre plutôt en SUCI (Subscription Concealed Identifier) à l'aide de la clé publique du réseau domestique, déjouant les attaques de traçage IMSI-catcher qui affligeaient la 2G/3G/4G.
L'authentification mutuelle utilise 5G-AKA (Authentication and Key Agreement) : l'appareil et le réseau s'authentifient mutuellement, et la hiérarchie de clés résultante protège la signalisation et le trafic utilisateur. Les identifiants résident dans une carte SIM ou eSIM et dans les fonctions Unified Data Management (UDM) et d'authentification (AUSF) du cœur. Dans un réseau privé, l'opérateur gère toute la chaîne de fourniture des clés — générant les clés d'abonnés, fournissant les SIM et eSIM et exploitant l'UDM — de sorte qu'il n'y a aucune dépendance de confiance envers la gestion des clés d'un opérateur commercial.
L'authentification 5G est le premier facteur, pas toute l'histoire. Elle devrait s'intégrer à l'architecture zero-trust de l'installation, où l'authentification d'appareil 5G-AKA est complétée par l'identité au niveau applicatif, l'état de l'appareil et l'autorisation continue. Si le réseau doit un jour s'interconnecter avec un autre réseau 5G, le Security Edge Protection Proxy (SEPP) protège la signalisation inter-réseau à la frontière d'itinérance ; pour une installation totalement isolée, aucun chemin d'itinérance SEPP n'est exposé.
Intégration de l'informatique en périphérie (MEC)
L'informatique en périphérie multi-accès (MEC) est là où la 5G privée rentabilise son investissement pour la défense. Le MEC place le calcul — serveurs, GPU, accélérateurs — à la périphérie du réseau, colocalisé avec le RAN, de sorte que les applications s'exécutent à côté des radios plutôt que dans un centre de données distant. Comme le CUPS permet à l'UPF de se situer en périphérie, le trafic d'une tranche peut être dirigé directement vers une application MEC locale sans jamais traverser une liaison de raccordement.
La charge de travail à plus forte valeur est l'inférence IA en périphérie. La vidéo ISR des drones et capteurs au sol peut être traitée là où elle arrive — détection, suivi et classification d'objets s'exécutant sur des GPU de périphérie colocalisés avec le gNodeB — de sorte que seuls les détections et alertes, et non les flux bruts multi-gigabits, doivent être déplacés plus loin. Cela réduit la chronologie du capteur à la décision et supprime la dépendance à la connectivité cloud pour l'analytique critique en temps.
L'avantage de latence est décisif pour les applications capteur-tireur. Le temps d'aller-retour vers un cloud distant peut être de dizaines à centaines de millisecondes ; un nœud MEC de périphérie colocalisé avec la radio maintient la boucle complète capteur-traiter-décider dans des millisecondes à un chiffre sur la tranche URLLC. Héberger l'inférence, le prétraitement et la fusion à la périphérie 5G est ce qui transforme un réseau 5G privé d'un tuyau de transport en un tissu de calcul tactique. Ce modèle s'aligne directement sur le cloud tactique en périphérie pour opérations déconnectées.
Fonctionnement isolé et déconnecté
Un cœur 5G autonome n'a pas besoin d'Internet pour fonctionner. Chaque fonction réseau requise — AMF, SMF, UPF, UDM, AUSF, NRF — peut fonctionner sur une infrastructure locale, et l'authentification d'abonné se résout entièrement contre la base de données UDM locale. Les appareils s'authentifient, s'attachent et échangent du trafic sans aucune dépendance externe. C'est précisément ce qui rend la 5G privée viable pour les enclaves classifiées et les déploiements avancés déconnectés où l'accès Internet est indisponible ou interdit.
Le fonctionnement isolé impose toutefois de la discipline. La base de données des abonnés et une autorité de certification locale doivent être maintenues sur place. Les mises à jour logicielles du cœur et du RAN doivent être gérées via un processus hors ligne contrôlé plutôt que tirées d'un cloud fournisseur. La synchronisation temporelle est une exigence souvent négligée : la 5G dépend d'une synchronisation précise, normalement à partir d'un oscillateur local discipliné par GPS ou d'une horloge atomique plutôt que du NTP Internet, et cette source temporelle doit elle-même être résiliente au déni de GPS.
La résilience et le basculement complètent la conception. Les fonctions du cœur de réseau devraient fonctionner avec redondance afin que la perte d'un nœud ne fasse pas tomber le réseau, et l'architecture devrait se dégrader gracieusement — la défaillance d'une tranche ou d'un nœud MEC ne devrait pas faire chuter l'authentification ou la connectivité C2. Tout au long, le déploiement doit respecter l'EMCON : la capacité à étrangler, façonner ou faire taire les émissions fait partie de l'exploitation d'un réseau dont les propres radios constituent une signature détectable.
Point clé : L'idée fausse la plus répandue sur la 5G privée dans la défense est qu'elle remplace la radio tactique. Ce n'est pas le cas. La 5G privée offre une connectivité à haut débit et à faible latence au sein d'une zone de couverture délimitée — une base opérationnelle avancée, un port, un aérodrome, un champ de tir. C'est une couche d'infrastructure fixe ou semi-fixe, et non un système de communication de manœuvre. L'architecture correcte traite la 5G privée comme l'épine dorsale à haute capacité au sein des installations et la radio tactique (MANET) comme l'extension mobile au-delà de la couverture 5G, avec un transfert de données transparent entre les deux domaines à la frontière.