Résumé

  • La RFC 6973 propose aux auteurs un questionnaire sur les données, les observateurs, la corrélation, la conservation, le contrôle des personnes, la sécurité et les arbitrages ; elle fournit une base de débat, pas une note universelle.
  • Les propriétés de vie privée changent lorsque le protocole rencontre d’autres systèmes, des données externes, une interface, des réglages, des journaux et des pratiques d’exploitation particulières.
  • Une affirmation crédible doit donc associer à la revue un modèle de menace versionné et des preuves du déploiement : visibilité des acteurs, jointures possibles, durée des données, défauts réellement actifs et propriétaire du risque résiduel.

Un formulaire terminé qui refuse le verdict

Publiée en juillet 2013, la RFC 6973 est un document informatif issu de l’Internet Architecture Board. Cooper en est la première auteure citée, avec Bernard Aboba, John Morris, Rhys Smith, Hannes Tschofenig, Jon Peterson et Marit Hansen. Cette pluralité interdit de transformer un portrait en mythe d’une autorité solitaire. Le texte conserve un consensus et une méthode ; ce n’est pas une spécification sur la voie des standards.

Dès l’introduction, il accepte une difficulté que les labels commerciaux effacent. La vie privée varie selon les personnes, les disciplines et les cadres juridiques. Le document choisit donc des questions d’ingénierie concrètes sans imposer une définition juridique mondiale. Même la forme de l’analyse dépend du texte : section autonome, partie des considérations de sécurité, traitement distribué ou, dans certains cas étroits, absence de développement particulier.

Une certification cherche une sortie binaire. La RFC organise au contraire un raisonnement exposé. Un relecteur peut demander quel intermédiaire voit un champ, pourquoi un identifiant persiste ou pourquoi un mode moins protecteur est sélectionné. Les réponses constituent le point de départ d’une discussion sur l’adéquation. Elles ne fabriquent pas une propriété éternelle appelée « privé ».

Après la publication, la frontière se déplace

Un protocole internet est fait pour être combiné. Un élément banal isolément peut identifier lorsqu’il rejoint un compte, un historique de localisation, un autre protocole ou les journaux d’un opérateur. Des architectures imprévues apparaissent après les premières implémentations, souvent sous la responsabilité d’équipes qui n’ont pas participé au choix initial.

La RFC place donc le résultat dans un système complet : composition des protocoles, produit, code, interface, valeurs par défaut, procédures de sécurité et exploitation. Une spécification peut contraindre un format et recommander un comportement. Elle contrôle rarement la conservation chez l’intermédiaire, les jointures analytiques, la compréhension d’une préférence ou le choix silencieux d’une option moins protectrice.

Reconnaître cette limite n’autorise pas le silence. Cela oblige à tracer le périmètre. Les auteurs doivent étudier les interactions prévisibles hors du protocole sans prétendre prévoir chaque usage. La revue devient fiable lorsqu’elle déclare ses hypothèses, ses acteurs et les décisions laissées à l’implémentation et à l’exploitation.

La confidentialité n’absorbe pas tous les dommages

Le texte distingue les atteintes financières, réputationnelles, à la tranquillité, à l’autonomie et à la sécurité physique. Il sépare ensuite surveillance, compromission de données stockées, attribution erronée, corrélation, identification, usage secondaire, divulgation, exclusion et intrusion.

Ces mots conduisent à des contrôles différents. On peut corréler des activités avant de connaître l’état civil. L’identification peut naître plus tard de cette histoire assemblée. Un pseudonyme masque un nom tout en restant assez stable pour suivre quelqu’un. Le chiffrement protège un contenu tandis que la taille, le rythme, les extrémités ou un jeton durable révèlent encore une forme. Le consentement modifie éventuellement une attente ; il n’efface ni les copies ni la possibilité technique d’un usage nouveau.

L’observateur fait partie de la propriété. Un ensemble d’anonymat dépend de ce qu’un acteur sait et peut diminuer avec le temps. Dire « anonyme » sans préciser observateur, données auxiliaires et période ne termine donc pas l’analyse. Il en va de même pour « non corrélable », « minimal » et « respectueux de la vie privée ».

Trois familles de mesures, trois lieux de décision

La RFC regroupe les mesures en minimisation, participation des personnes et sécurité. Minimiser signifie limiter collecte, usage, divulgation, durée, identifiabilité, sensibilité et accès au nécessaire. Les auteurs peuvent supprimer un champ ou permettre le renouvellement d’un identifiant. Ils ne peuvent souvent que recommander les limites d’usage et de conservation appliquées par l’opérateur.

La participation couvre le contrôle du partage, la distinction entre destinataires, l’exposition aux intermédiaires et l’expression de préférences. Une partie se normalise dans le protocole ; le reste appartient à l’interface, au contrat ou à la procédure. Transporter une préférence ne prouve ni que le défaut la rend visible ni que le destinataire la respecte.

La sécurité agit contre l’écoute, la compromission du stockage, l’intrusion ou la mauvaise attribution. Mais un canal robuste ne résout pas tout. Les extrémités voient légitimement le clair et peuvent le conserver en excès. Une authentification plus forte empêche l’usurpation tout en facilitant parfois la corrélation. Il faut demander quelle menace est réduite et quelles relations de données demeurent.

Un questionnaire qui produit une trace de décision

La section 7 fait inventorier les identifiants et autres informations, puis attribuer leur visibilité aux destinataires, intermédiaires et services auxiliaires. Elle interroge l’empreinte issue de l’ordre des éléments, la persistance, la corrélation avec des données extérieures et la justification de la conservation.

Elle suit ensuite le contrôle chez l’utilisateur et la sécurité. Peut-on différencier les informations selon le destinataire ? Limiter celles confiées à l’intermédiaire ? Exprimer une préférence ? Quels mécanismes restent extérieurs au protocole ? Que révèlent taille et temporalité ? Comment le stockage et l’attribution sont-ils protégés ?

Enfin, elle rend les politiques par défaut visibles. Si le mode initial est moins protecteur, il faut l’expliquer. Les compromis entre vie privée, facilité d’usage, efficacité et faisabilité doivent être nommés. La RFC ne choisit pas une réponse unique ; elle crée la trace de qui a accepté quel compromis sous quelles hypothèses.

La surveillance généralisée agrandit le modèle

La RFC 7258 qualifiera ensuite la surveillance généralisée d’attaque technique à atténuer quand c’est possible. « Atténuer » ne signifie pas empêcher absolument : il peut s’agir de renchérir, révéler ou réduire l’attaque. Le texte rappelle aussi que certaines observations servent l’exploitation, la lutte contre les abus ou la transparence, et que l’IETF ne contrôle ni les déploiements, ni toutes les couches, ni les réponses politiques.

La RFC 7624 élargit encore l’adversaire : contenu et métadonnées peuvent être collectés à travers protocoles, sessions et stockages, puis corrélés. La promesse d’un protocole bien relu peut échouer à ses jointures. Le contrôle architectural doit donc arriver tôt, et la revue doit accompagner les preuves de fonctionnement au lieu de s’arrêter à la publication.

La force institutionnelle de la RFC 6973 est précisément de permettre le refus d’un faux label. Une équipe peut montrer modèle de menace, flux, matrice d’observateurs, choix des défauts, limites de conservation et risques ouverts. L’auditeur peut alors examiner le système réel.

Sources