Résumé

  • La RFC 8981 renouvelle des identifiants d’interface IPv6 aléatoires afin de raccourcir la période pendant laquelle une même adresse permet une corrélation triviale.
  • Le mécanisme ne dissimule ni le préfixe réseau ni les indices que constituent la taille et le rythme des paquets, le DNS, les cookies ou les comptes.
  • Un observateur présent sur le lien, notamment le routeur par défaut, peut toujours suivre les adresses successives d’un hôte.
  • Toute promesse de confidentialité doit donc couvrir l’adresse, le préfixe, la position de l’observateur, le transport et l’application.

Un ordinateur portable reçoit une nouvelle adresse IPv6 temporaire pendant la nuit. L’inventaire confirme que les extensions de confidentialité sont actives. Pourtant, les deux adresses appartiennent au même /64 peu peuplé, contactent les mêmes services aux mêmes heures et reprennent les mêmes sessions. L’adresse a tourné, pas l’ensemble des indices.

Ce scénario est hypothétique. Il illustre une distinction essentielle : la rotation d’adresse est un contrôle de confidentialité au périmètre précis, pas un certificat d’anonymat.

Le bénéfice réel de la rotation

La RFC 8981 complète l’autoconfiguration sans état afin qu’un hôte puisse produire, pour chaque préfixe éligible, des adresses temporaires dotées d’identifiants d’interface aléatoires. Leur renouvellement limite la durée pendant laquelle la réutilisation exacte d’une adresse relie facilement plusieurs transactions.

Cette réduction est utile. Une adresse durable devient un identifiant dans les journaux de correspondants et reste une cible après avoir été révélée par une connexion sortante. La rotation raccourcit ces deux fenêtres.

Mais un hôte peut conserver simultanément des adresses stables et temporaires. Le choix de l’adresse source peut aussi dépendre de l’application. Une option activée ne prouve donc ni le choix réellement effectué, ni l’arrêt du trafic sur l’ancienne adresse, ni l’expiration des traces associées.

Les indices qui survivent

La norme énonce ses limites. Une adresse temporaire n’empêche pas un acteur sur le chemin de rapprocher un contenu en clair, la taille des paquets ou leur chronologie. Elle n’empêche pas non plus un observateur du lien — par exemple la passerelle par défaut — d’associer les différentes adresses au même équipement.

Le préfixe reste souvent stable. Dans un foyer ou un petit site où un /64 ne contient qu’un ou deux hôtes actifs, changer seulement l’identifiant d’interface crée un ensemble d’anonymat très réduit.

Un nom DNS, un cookie, un compte connecté, un jeton de reprise de transport ou une cadence particulière peuvent franchir la rotation. La RFC 7721 analyse les mécanismes de génération d’adresse face à des menaces distinctes : elle ne présente aucun d’eux comme une protection universelle contre le suivi.

Mesurer la promesse étroite

Il faut observer le trajet réellement utilisé : adresses stables et temporaires configurées, durées préférée et valide, sélection de la source par chaque application, persistance du préfixe et arrêt effectif de l’ancienne adresse. Le même test doit être regardé depuis chaque position d’observation pertinente.

La conclusion défendable est limitée : après un délai mesuré, la corrélation directe par réemploi d’une même adresse est devenue plus difficile. Le mot « anonyme » exige une preuve séparée sur tous les autres canaux.