Résumé

  • Le dépôt WIDE a rendu certaines traces du backbone réutilisables en intégrant la protection des données et une publication répétable au dispositif de mesure lui-même.
  • Akira Kato a cosigné avec ses collègues des travaux fondateurs sur le dépôt et un outil de profilage du trafic ; ces textes décrivent une réalisation collective, pas son contrôle individuel de MAWI aujourd’hui.
  • Une trace renseigne sur un lien, une période, un dispositif de capture et une méthode d’anonymisation déterminés. Elle ne constitue ni une vue complète du réseau ni une autorisation d’accès sans restriction.

Une interruption documentée vaut mieux qu’une continuité supposée

La panne de 2022 est une donnée sur la donnée. Un lecteur qui compare les années doit savoir qu’il manque six semaines après une défaillance survenue pendant une migration de point de présence. L’index MAWI signale également des paquets dupliqués pendant une partie de 2015, à cause d’une mauvaise configuration VLAN. Ces notes évitent de transformer une lacune en baisse de trafic ou une duplication en hausse soudaine.

Les limites ne concernent pas seulement l’archive historique. La FAQ actuelle de MAWI indique qu’un miroir de port, un serveur ordinaire et une carte réseau peuvent ne pas capturer tous les paquets. Les horodatages sont généralement précis à moins d’une milliseconde, mais peuvent l’être moins en période de congestion. L’équipe privilégie un système durable avec un budget limité plutôt que la précision maximale.

Une trace est donc l’observation d’un point de mesure pendant une fenêtre donnée, après le passage de cette observation par un appareil de capture. Elle n’est pas le réseau entier. Des universités reliées à la fois à WIDE et à SINET peuvent emprunter l’un ou l’autre chemin. Le routage asymétrique peut aussi conduire une seule direction d’un flux à travers le lien observé. Cette nuance décide si l’on analyse un comportement réel ou seulement une portion de sa route.

La confidentialité est devenue une étape de publication

Le 14 octobre 1999, le WIDE Project et son groupe MAWI ont publié des règles pour faciliter la diffusion de traces. Ils distinguaient deux risques : la charge utile d’un protocole peut contenir des informations privées, et une adresse IP peut identifier un utilisateur ou une organisation. Les règles proposaient de retirer les données sensibles de la charge utile TCP ou UDP et de brouiller les adresses avant la diffusion publique. L’usage des traces était réservé à la recherche, avec interdiction de porter atteinte à la vie privée.

L’anonymisation qui préserve les préfixes montre le compromis. Elle conserve une partie de la structure utile à l’étude du routage, mais une adresse de serveur bien connue peut servir d’indice pour reconstituer certaines correspondances. Garder une correspondance stable entre plusieurs fichiers peut aider l’analyse tout en facilitant le rapprochement des traces. La transformation réduit un risque ; elle ne prouve pas que toute réidentification est impossible.

En 2000, Akira Kato a cosigné avec Kenjiro Cho et Koushirou Mitsuya l’article décrivant le dépôt de trafic de WIDE. Les auteurs lient explicitement la confidentialité à l’automatisation. Le processus qu’ils décrivent transfère les fichiers depuis les points de mesure, applique tcpdpriv, crée un résumé et une page Web, met à jour l’index puis prépare l’archive. Une règle de confidentialité devenait ainsi une procédure de publication reproductible, plutôt qu’une vérification improvisée au moment du partage.

Cette automatisation répondait aussi à un problème d’endurance. Une collection utile sur plusieurs années ne peut dépendre de personnes qui répètent manuellement chaque opération. L’acquisition, la synthèse et la visualisation devaient être largement automatisées pour que le dépôt continue à fournir du retour aux chercheurs. Cela ne signifie pas que le système détecte à lui seul une mauvaise configuration ; cela signifie que le travail courant peut suivre un chemin visible et contrôlable.

Un résumé utile abandonne une partie du détail

Kato a également cosigné avec Kenjiro Cho et Ryo Kaizaki l’article sur Aguri, un profileur adaptatif du trafic. Aguri agrège des préfixes d’adresses afin de rendre lisibles des tendances sans conserver partout le même niveau de détail. Pour produire des résumés quasi en temps réel avec une mémoire bornée, l’outil accepte un compromis de résolution.

Ce compromis aide l’opérateur à repérer une évolution, mais ne remplace pas une capture paquet par paquet lorsqu’une enquête dépend des détails qui ont été agrégés. Aguri n’est pas une garantie de confidentialité et son résumé ne décrit pas chaque événement ayant contribué au total. C’est une couche analytique : sa simplification doit rester distincte de la trace qui lui sert d’entrée.

La même règle vaut pour les graphiques, les fichiers compressés et les captures. Chaque représentation conserve certaines distinctions et en élimine d’autres. Une recherche est plus solide lorsque le lecteur sait ce qui a été supprimé ou regroupé, au lieu de voir seulement un graphique apparemment net.

Le point de mesure se déplace avec le réseau

MAWI est aujourd’hui maintenu par le groupe de travail MAWI du WIDE Project. L’index indique qu’un nouvel échange BBIX a été ajouté à samplepoint-F en août 2023 après une baisse du trafic de transit. La population observée a donc changé. Le dossier précise aussi que la méthode d’anonymisation a migré de tcpdpriv vers Crypto-PAn en août 2015.

La FAQ actuelle décrit la cohérence des adresses brouillées à l’intérieur d’une trace quotidienne, ou d’un jeu Day in the Life of the Internet correspondant, pas d’un registre universel stable d’un jour à l’autre. Un identifiant anonymisé n’est donc pas automatiquement un moyen de suivre la même entité à travers toutes les années. Un changement de méthode peut modifier les conclusions possibles même si le titre de la série reste identique.

WIDE explique par ailleurs que le trafic de son backbone mêle trafic ordinaire et expériences de recherche. L’archive signale, par exemple, l’effet de sondes ICMP expérimentales. Une anomalie apparente peut donc refléter une expérience, une route asymétrique ou un changement de point de mesure. La vérification du contexte précède l’interprétation.

Accès public et accès brut n’ont pas le même statut

L’ouverture des traces anonymisées permet à d’autres chercheurs de vérifier une analyse et d’en proposer une autre. Les règles de 1999 expliquaient que des données partagées pouvaient éviter à chaque équipe de négocier l’accès au trafic brut. Elles n’accordaient pas pour autant un accès général aux adresses réelles. Les demandes particulières devaient être traitées au cas par cas. La FAQ actuelle limite elle aussi les traces non anonymisées à la recherche et demande une justification ; les étudiants doivent obtenir l’appui de leur directeur ou directrice.

Cette frontière fait partie du contrat de preuve. Une trace publique a subi des transformations destinées à diminuer le risque pour les utilisateurs tout en préservant certaines propriétés utiles. Une demande portant sur des données brutes a une finalité et un niveau de risque différents. Tout regrouper sous le mot « ouvert » ferait disparaître la décision humaine qui protège encore les personnes concernées.

Le profil officiel de Keio situe Kato dans les réseaux informatiques, l’infrastructure Internet, la mesure, WIDE et l’exploitation de M-Root. Son rôle dans les travaux de dépôt reste collectif : les documents de 1999 et 2000 montrent une équipe qui a traité confidentialité et continuité comme des éléments de l’architecture. Rien dans ces sources n’autorise à lui attribuer le contrôle actuel de MAWI.

La valeur de l’archive tient aussi à ses limites

Le dépôt offre une base de mesure réutilisable et un moyen de confronter des analyses. Son utilité tient à une suite d’opérations identifiables : choisir un lien, capturer pendant une période, transformer les champs sensibles, publier une représentation et en documenter les limites.

Un nom d’archive ne transforme pas un lien en Internet entier. Un outil d’anonymisation ne supprime pas tout risque d’inférence. Une horloge et une carte réseau ne deviennent pas exactes par décret. Une agrégation ne conserve pas les détails qu’elle est conçue pour regrouper. Ce ne sont pas des raisons d’abandonner les mesures partagées ; ce sont des raisons d’embarquer leur provenance et leurs incertitudes avec les résultats.

Les notes de Heng Lu servent ici uniquement de grille d’analyse : partir du mécanisme opérationnel et de ses preuves plutôt que d’une étiquette. Pour une trace, il faut demander où se trouvait le capteur, comment le fichier a été produit, quelles données ont changé, ce que le résumé a retiré et qui a autorisé l’accès au reste. La coordination devient plus fiable quand le prochain chercheur peut retrouver ces choix.

Sources