Mon blog

Ce RFC normalise un nouvel espace de nommage dans la famille des URN. Cet espace sera géré par l'association des fabriquants de matériel GSM, GSMA. Il permettra notamment d'écrire les IMEI, ces identifiants des téléphones mobiles, sous forme d'un URN, par exemple urn:gsma:imei:35465101-163629-9.

L'utilité de ces URN ne s'arrêtera pas au GSM puisque les mêmes identificateurs sont utilisés pour UMTS ou la 3G. Outre l'IMEI (identifié par la chaîne de caractères imei), ils pourront dans le futur exprimer d'autres identificateurs. Le mécanisme pour définir des espaces de noms dans les URN est spécifié dans le RFC 8141. Un URN est un URI qui commence par urn: suivi d'un espace de noms (ou NID pour Namespace IDentifier), ici gsma. Donc, le début des URN de ce RFC sera toujours urn:gsma:.

Ensuite, l'IMEI. Ce numéro de série unique à chaque téléphone figure en général sur l'appareil, ou son emballage, ou bien peut être lu via le logiciel du téléphone. Ici, sous la batterie d'un téléphone

L'usage le plus connu de l'IMEI est en cas de perte ou de vol du téléphone : on indique l'IMEI à la police ou au service des objets trouvés, et ils pourront ainsi savoir si le téléphone récupéré est le bon. L'IMEI comporte 15 chiffres, organisés en trois groupes qu'on sépare parfois par un trait d'union : 8 chiffres pour le TAC (Type Allocation Code), 6 chiffres pour le SNR (Serial NumbeR) et le Spare, un chiffre de contrôle. Le TAC identifie le modèle chez le constructeur et le SNR indique une machine particulière de ce modèle. Tous les deux sont câblés en dur dans le matériel du téléphone. L'IMEISV (SV pour Software Version) inclut en plus un numéro de version du logiciel du téléphone. Si vous voulez plus de détails, il faudra lire le standard TS 23.003.

Les IMEI sont alloués hiérarchiquement (de GSMA au constructeur). GSMA est une association privée d'opérateurs de la téléphonie et ses politiques d'allocation sont documentées sur son site Web.

Donc, place aux nouveaux URN, leur structure est définie en section 3. Ils ne comptent que des caractères ASCII (dans une communication GSM, l'IMEI est transmis en binaire - section 4.2.4 de notre RFC, l'URN est une représentation texte) et, pour l'instant, qu'un seul sous-espace, imei. Après l'IMEI lui-même, il y a des paramètres optionnels. Par exemple, cet URN :

urn:gsma:imei:90420156-025763-0;svn=42

a le paramètre indiquant le numéro de version du logiciel (IMEISV), ici 42. Le NID gsma est désormais dans le registre des NID.

Normalement, les URN ont une obligation de persistence (section 1 du RFC 8141). Ici, elle est garantie par l'engagement de GSMA à maintenir les IMEI.

À noter que les URN ne sont pas, dans le cas général, résolvables automatiquement (pas de service équivalent au DNS) et que rien ne garantit donc qu'on puisse utiliser ces URN gsma: pour autre chose que des comparaisons entre eux. Leur utilité (alors que les IMEI existent et sont utilisés depuis longtemps) est de pouvoir être mis là où un protocole ou un format attend des URI (section 5 du RFC).

La section 8, sur la sécurité, est plus détaillé que ce n'est le cas habituellement pour les URN. Mais c'est parce qu'il y a parfois des erreurs sur la sémantique des IMEI. Comme ils sont souvent écrits sur le téléphone lui-même, ou facilement consultables une fois le téléphone allumé, ils ne sont pas confidentiels. Il ne faut donc pas s'en servir comme capacité (un identifiant dont la seule connaissance fournit un accès à une ressource). Par exemple, certains help desks d'opérateurs utilisent la connaissance de l'IMEI comme une preuve que la personne qui appelle est le titulaire légitime du téléphone. C'est une sérieuse erreur de sécurité.

L'IMEI est un identifiant personnel, puisqu'il est attaché à un téléphone mobile individuel que le propriétaire trimballera partout avec lui. Il soulève donc des problèmes de protection de la vie privée. Les IMEI (et les URN urn:gsma:imei:...) ne doivent donc pas être transmis aveuglément, ce qui risquerait de permettre de suivre l'utilisateur à la trace. Il est recommandé de chiffrer les communications où un IMEI est échangé.

Mais il n'est pas remis à zéro lorsque le téléphone change de propriétaire, et il ne faut donc pas l'utiliser pour router des appels vers une personne, ces appels pourraient en effet être envoyés au mauvais endroit. (L'IMEI est dans le matériel, réinstaller complètement le logiciel ne le change pas.)