Résumé

  • Les enregistrements de l'ARIN désignent toujours le United States Department of Defense comme titulaire en allocation directe des huit grands blocs apparus dans le routage mondial sous AS8003 en 2021, et aucun document lu ici ne montre un déplacement de l'enregistrement.
  • La leçon ne porte pas sur l'identité d'un détourneur de routes. Elle porte sur ce qu'un préfixe prouve — l'exploitation à un instant donné — et sur ce que détenait réellement quiconque a bâti un filtre, une liste de réputation ou un inventaire d'actifs sur cette annonce.

Le 20 janvier 2021 à 16 h 57 min 35 s UTC, une mise à jour BGP annonce 11.0.0.0/8 avec un chemin terminé par 6939 8003. La mise à jour décodée de Stéphane Bortzmeyer donne l'horodatage à la microseconde près. Doug Madory, alors chez Kentik, reproduit la même minute avec un chemin un peu plus long, 1299 6939 6939 8003, et la présente comme l'un des premiers messages observés — pas comme le premier jamais émis.

Derrière cette annonce, un bloc figure au registre depuis le 19 janvier 1984, sous le nom de réseau DODIIS et le handle NET-11-0-0-0-1, en allocation directe. Le record actuel de l'ARIN nomme United States Department of Defense (DoD), handle d'organisation USDDD, dernière mise à jour le 27 août 2025 (ARIN).

Sept autres grands blocs ont suivi le même chemin, et chaque record actuel nomme le même titulaire : 7.0.0.0/8 DISANET7, enregistré le 24 novembre 1997 (ARIN) ; 22.0.0.0/8 DNIC-SNET-022, le 26 juin 1989 (ARIN) ; 21.0.0.0/8 DNIC-SNET-021, le 1er juillet 1991 (ARIN) ; 26.0.0.0/8 DISANET26, le 1er mai 1995 (ARIN) ; 28.0.0.0/8 DNIC-NET-028, le 11 mars 1996 (ARIN) ; 30.0.0.0/8 DNIC-NET-030, le 1er juillet 1991 (ARIN) ; et 33.0.0.0/8 DISN-IP-LEGACY, le 1er janvier 1991 (ARIN).

L'inquiétude est arrivée avant l'explication. Le 11 mars 2021, Siyuan Miao écrit sur la liste NANOG que 7.0.0.0/8, 11.0.0.0/8, 22.0.0.0/8 et des préfixes plus petits « sont désormais annoncés sous AS8003 (GRSCORP) », et demande si ces annonces sont autorisées (archives NANOG). C'est un observateur extérieur qui consigne une inquiétude. Ce n'est pas la preuve d'un détournement, et cela n'établit pas qui a vu le premier.

Quatre jours plus tard, le patron du registre répond sur la même liste. John Curran, identifié dans le message comme président-directeur général de l'ARIN, écrit : « The number resources remain assigned to the DoD. » Le même message expose le mécanisme : annoncer des routes pour un bloc ne transfère pas les ressources numériques, et cela peut être un service ordinaire qu'un opérateur réseau rend à un client (archives NANOG).

L'échelle, dans les chiffres de leurs auteurs. Kentik évalue à environ 56 millions le nombre d'adresses IPv4 annoncées fin janvier 2021, et à 175 millions les adresses uniques à la mi-avril (Kentik). La revue annuelle de Geoff Huston enregistre 11.0.0.0/8 et 22.0.0.0/8 le 20 janvier 2021, 33.0.0.0/8 le 7 avril, puis 21.0.0.0/8, 26.0.0.0/8, 28.0.0.0/8 et 30.0.0.0/8 les 19 et 20 avril ; elle identifie AS8003 comme enregistré au nom de Global Resource Systems (APNIC). La fiche de notre répertoire consigne la société avec trois références publiques et aucun rôle d'opérateur confirmé : c'est une observation de répertoire, pas une conclusion sur la détention.

Puis septembre. Le 7 septembre 2021 à 17 h 05 UTC, tous les préfixes annoncés par AS8003 sauf un, soit 765, passent à AS749, que Madory rattache au Department of Defense. Les chemins observés passent d'une terminaison 6939 8003 à 6939 749 ; Hurricane Electric reste l'unique transitaire de ces chemins, et les traceroutes aboutissent toujours au même routeur d'Ashburn (Kentik). Huston date le même basculement et associe AS749 au Defence Data Network (APNIC). Il s'agit d'un remplacement d'origine, non de la disparition de ces blocs du routage mondial.

Cette séquence est le résultat. Sur neuf mois de visibilité dans le routage puis de sortie de cette visibilité, les documents lus ici ne contiennent aucun changement de titulaire enregistré. Le titulaire du registre AS nommé par Huston et celui que nomme l'ARIN n'ont jamais été la même partie, et aucun document examiné ici ne dit qu'ils le sont devenus.

Prenez le problème par l'autre bout et l'écart devient difficile à manquer. Si le tableau de routage faisait foi en matière de détention, le déplacement de 765 préfixes le 7 septembre 2021 serait un transfert massif de ressources numériques. Aucun changement d'enregistrement ne l'accompagne. L'événement de routage mesurait un réaménagement d'exploitation ; le registre mesurait une détention, et cette détention n'a pas bougé. Ce n'est pas un détail juridique. C'est la distance entre une signature et une tonalité de ligne.

Alors, que détenait chacun ? Un filtre construit sur l'annonce détenait une affirmation sur celui qui exploitait un préfixe au début de 2021. Une liste de réputation détenait une attribution à un système autonome nommé. Un inventaire d'actifs qui y a consigné le bloc comme nouvellement détenu par la partie annonçante détenait une inférence que le registre n'a jamais faite. Chacun de ces éléments est une observation d'exploitation défendable et une prétention de titre indéfendable — et une seule des deux était réellement disponible.

La photographie du registre en 2021 demande de la prudence. Bortzmeyer reproduit une réponse WHOIS nommant DoD Network Information Center (DNIC) comme organisation, en allocation directe, enregistrement du 19 janvier 1984, dernière mise à jour du 22 août 2007 (Bortzmeyer). C'est une observation distincte du record USDDD d'aujourd'hui. Les deux libellés appartiennent à des dates différentes et ne doivent pas être lus comme un seul document.

Les limites, posées là où elles comptent. L'horodatage du 7 septembre décrit une transition d'origine en masse qui exclut explicitement un préfixe ; ce n'est pas l'heure de retrait de chaque route AS8003. Aucune archive MRT brute n'a été décodée pour ce récit, de sorte que la chronologie repose sur des analyses de mesure publiées. Les points d'accès RDAP JSON de l'ARIN ont été rejetés ou indisponibles pendant la recherche, et les records Whois-RWS ont été lus à la place ; le document de registre au niveau ASN pour AS8003 n'a pas été obtenu sous sa forme originale.

Aucun dépôt, site ou communiqué de Global Resource Systems, LLC n'a été lu. Rien de tout cela n'atteint le centre de l'épisode — deux équipes de mesure indépendantes et le patron du registre s'accordent sur sa forme — et rien de tout cela ne transforme un document non lu en conclusion.

La question de responsabilité se règle donc quelque part d'assez peu spectaculaire. Elle se règle sur le document qui porte la prétention de détention, et sur quiconque énonce publiquement ce que ce document dit. Curran l'a fait, sur une liste publique, quatre jours après la question d'un inconnu. Le registre tient la même réponse depuis quatre décennies. L'annonce est venue, a été mesurée, a fait débat, puis s'en est allée. Les blocs d'adresses n'ont jamais bougé dans le seul document qui pouvait les faire bouger.