Résumé

  • La clé physique confiée à Anne-Marie Eklund Löwinder ouvrait un coffre contenant des justificatifs de cérémonie ; elle n’était ni la clé de signature de la racine ni un moyen d’agir seule.
  • La confiance vient d’une impuissance organisée : rôles distincts, présences multiples, scénario public, traces d’audit et succession empêchent le prestige individuel de devenir un pouvoir opérationnel.

Une petite clé de métal se prête admirablement aux légendes. Elle se photographie bien, tient dans une paume et donne une forme familière à une infrastructure abstraite. Celle qu’Anne-Marie Eklund Löwinder conservait entre deux cérémonies n’était pourtant pas une commande d’Internet. Elle permettait d’ouvrir un coffre bancaire où se trouvaient des justificatifs nécessaires à une séquence précise. Sans les autres participants, les équipements protégés et la procédure, elle ne signait rien.

Cette limite est le cœur de l’histoire. Le registre de l’IANA indique qu’Eklund Löwinder fut Cryptographic Officer 2-East de 2010 à 2022. Douze années de continuité pourraient suggérer qu’une personne finit par se confondre avec sa fonction. La cérémonie de la clé racine cherche précisément à produire l’inverse : une personne reconnue, mais une capacité toujours fragmentaire ; un témoin durable, mais jamais un propriétaire.

La compétence sans le commandement

Le choix d’Eklund Löwinder n’avait rien décoratif. L’Internet Hall of Fame attribue à son travail un rôle dans la signature DNSSEC de .SE en 2005, première pour un domaine de premier niveau. Le DNSSEC ajoute une chaîne de preuves cryptographiques à un système de noms qui, à l’origine, n’avait pas été conçu pour authentifier chaque réponse. À son sommet, la composante publique de la KSK de la racine sert d’ancre de confiance aux résolveurs qui valident cette chaîne.

Une telle expérience donnait à la Suédoise une crédibilité indépendante. Le dispositif n’en a pas tiré un droit de décision solitaire. Les Trusted Community Representatives sont choisis hors des affiliés directs de PTI, de l’ICANN et de Verisign, selon des critères qui incluent intégrité, objectivité et diversité. Ils introduisent la communauté dans la salle sécurisée, mais la salle ne leur appartient pas.

Le CO apporte sa clé de coffre, assiste à l’accès aux justificatifs, observe l’exécution du scénario et atteste ensuite ce qu’il a vu. Il garde la clé entre les cérémonies et signale toute perte ou compromission soupçonnée. Lorsqu’il quitte sa fonction, une dernière cérémonie organise la transmission. Le rôle associe donc garde, regard extérieur et continuité, sans fournir la chaîne complète d’exécution.

Ne pas confondre le quotidien et la catastrophe

Une autre confusion nourrit le mythe : celle entre le Cryptographic Officer et le Recovery Key Share Holder. Le premier intervient dans les opérations ordinaires. Le second attend un sinistre assez grave pour rendre inutilisables les installations et les matériels habituels.

La carte à puce d’un RKSH ne contient pas une clé de secours complète. D’après l’IANA, elle n’en porte qu’un petit fragment. Il faut réunir plusieurs parts et suivre le processus de reconstitution. Ces détenteurs ne viennent normalement pas aux cérémonies trimestrielles ; ils attestent régulièrement la garde de leur carte et participent à des tests de fonctionnement. La perte de plus d’une part conduit à préparer un nouveau partage.

Le dessin institutionnel sépare ainsi deux modes de défaillance. Pour l’activité courante, aucun opérateur ne doit disposer seul de l’accès physique nécessaire. Pour la reprise extrême, aucun volontaire ne doit transporter le secret de sauvetage au complet. La redondance n’est pas la concentration déguisée ; elle suit un autre chemin humain.

Une cérémonie qui fabrique des preuves

Le mot «cérémonie» peut faire croire à un rite destiné à rassurer. L’architecture publique lui impose une fonction plus exigeante. Un scénario est diffusé à l’avance. La séance est observable et retransmise. Les écarts doivent être discutés, acceptés, exécutés puis consignés dans les pièces d’audit. Des seuils de présence, des suppléants et des règles d’urgence fixent ce qui reste possible lorsqu’un titulaire manque.

Le scénario dit ce qui devait arriver ; la retransmission montre une partie de ce qui arrive ; les journaux et attestations permettent de revenir sur ce qui est déclaré après coup. Aucun support ne suffit. Une caméra ne lit pas l’état interne d’un module cryptographique, et un dossier d’audit ne s’interprète pas tout seul. Leur combinaison rend cependant un écart clandestin plus difficile et fournit à l’extérieur des affirmations réfutables.

La DNSSEC Practice Statement de 2025 décrit aujourd’hui la séparation des tâches pour la production, l’usage et la destruction des clés, l’accès à plusieurs personnes pour la KSK et l’indépendance de l’audit vis-à-vis de ceux qui exercent ce contrôle. Elle ne permet pas d’affirmer que chaque phrase fut identique entre 2010 et 2022. Elle rend visible le principe à juger : une opération critique n’est légitime que si des fonctions différentes restent effectivement séparées.

Une signature, pas un gouvernement des noms

Dans le fonctionnement habituel, la KSK de la racine authentifie les Zone Signing Keys qui servent à signer la zone racine. Une cérémonie type prépare les signatures pour la période suivante ; d’autres peuvent accueillir un nouveau représentant, modifier le matériel sécurisé ou gérer le cycle de vie de la KSK. Ni la clé du coffre ni la KSK ne confèrent à leur voisin humain le pouvoir éditorial sur les enregistrements de la racine.

Rétablir cette chaîne de distinctions ne rapetisse pas Eklund Löwinder. Cela explique la valeur exacte de son engagement. Une experte reconnue a accepté une fonction où son indépendance comptait, tandis que son incapacité à agir seule était une qualité de sécurité. Elle apportait une présence humaine extérieure, une mémoire de la procédure et une attestation publique. La force du système venait de ce que sa confiance personnelle ne remplaçait jamais la preuve collective.

Sources