Résumé

  • RFC 9970, cosigné par Chris Wendt, autorise certaines réponses SIP à contenir un PASSporT rsp qui signe la destination atteinte dans dest. Sans justificatif approprié pour cette destination, le côté terminal ne doit pas l’émettre.
  • Ce PASSporT renseigne sur une réponse de signalisation. Il ne prouve ni l’origine du média, ni la permanence de l’interlocuteur, ni la livraison du signal, ni la décision à prendre par l’appelant.

Les systèmes de communication ont un défaut de présentation récurrent : ils transforment une information additionnelle en promesse globale. Une identité connectée peut facilement devenir, dans une interface, le raccourci visuel de « bon interlocuteur, bon appel, aucun risque ». RFC 9970 ne mérite pas d’être lu ainsi. Son apport est plus solide et plus limité : rendre vérifiable une affirmation faite dans le sens retour d’un dialogue SIP.

Jon Peterson et Chris Wendt permettent à des réponses provisoires ou finales — notamment 100, 180, 183 et 200 — de porter un en-tête Identity. Le PASSporT de type rsp n’est pas une copie de l’identité placée dans une requête. Il signe dest, l’adresse d’enregistrement de la partie rejointe, là où l’identité de requête se concentre sur orig. L’appelant dispose ainsi d’une donnée qu’il n’avait pas nécessairement : une affirmation cryptographiquement liée au destinataire auquel le réseau dit avoir abouti.

Cette donnée devient particulièrement utile lorsqu’un appel a été redirigé. Une réponse peut aussi inclure un ou plusieurs PASSporT div, afin de rendre visible une dérivation autorisée. Le client peut alors distinguer la destination demandée, la destination effectivement atteinte et le chemin de dérivation. Un dialogue établi cesse d’être l’unique indice que la route a donné le résultat attendu.

La signature ne ferme pourtant aucune de ces questions de confiance. Le côté terminal qui ne possède pas le justificatif adéquat pour signer dest ne doit pas envoyer de rsp. De son côté, la partie qui s’y fie doit faire confiance au certificat et avoir une assurance raisonnable qu’il est éligible à signer pour le numéro dans dest. La vérification cryptographique relie une déclaration à une clé. Elle ne produit pas la gouvernance du certificat, la raison de son éligibilité, ni la politique qui rend cette déclaration acceptable dans le contexte précis de l’appel.

Le texte réserve aussi explicitement la décision au participant qui supporte la conséquence. Quand le dest de rsp diffère de celui de la requête initiale, au moins un div doit accompagner la réponse. Mais la confiance dans rsp et div relève toujours de la politique locale. Une organisation peut exiger qu’un contact financier ne soit atteint que sans détour ou par une chaîne connue. Une autre peut accepter un transfert vers une permanence. Le protocole apporte les faits nécessaires au choix ; il ne transforme pas ce choix en décret universel.

La mécanique SIP empêche de toute façon de réduire ce sujet à « rejeter si la signature échoue ». Une réponse SIP ne se rejette pas comme une requête. Face à un PASSporT problématique, l’appelant peut annuler un dialogue provisoire avec CANCEL ou rompre un dialogue établi avec BYE. Les réponses provisoires ne sont en outre pas garanties sans le mécanisme de fiabilité pertinent et peuvent être absorbées par des intermédiaires. L’absence d’un signal est donc un élément à interpréter, non une conclusion automatisable sans contexte.

La frontière la plus importante reste celle du média. RFC 9970 traite de signalisation. Après la réponse, un appel peut être transféré, mis en attente ou repris par une autre partie ; le demandeur peut ne pas le savoir. Le RFC ne prétend pas authentifier le son, la vidéo ou les données qui circulent ensuite. Il peut réduire certaines usurpations de réponses, de BYE ou de re-INVITE pendant le dialogue. Une réponse signée valide ne devient pas pour autant une attestation d’origine du flux média.

Cette rigueur rejoint la Running-Code Primacy de Lu Heng : la couche commune doit dire ce que la validation permet réellement d’établir et laisser les décisions qui dépassent ce résultat à ceux qui en portent le coût. rsp rend une affirmation de destination contrôlable. La gouvernance des certificats fixe l’éligibilité, la partie utilisatrice fixe l’acceptation, et une architecture média porte sa propre assurance. Une icône qui confond ces couches ne simplifie pas la sécurité ; elle cache le détenteur de la décision.

Sources