Résumé

  • DATAMATIX Datensysteme GmbH, société viennoise immatriculée au registre des sociétés sous le FN 240683x depuis le 18 octobre 2003, opère l'AS210973 (DATAMATIX-AS) dont le numéro lui a été alloué par le RIPE NCC le 30 juillet 2021.
  • Deux ROA, corroborés par deux consoles rpki-client indépendantes, couvrent cinq préfixes — 149.62.35.0/24, 194.0.132.0/24, 212.236.9.0/24, 212.236.10.0/24 et 2a10:fd00::/32 — tous valides en RPKI.
  • Les miroirs commerciaux divergent sur presque tout le reste : qui détient les blocs 212.236.x, quels domaines sont associés au réseau, et même si le préfixe 194.0.132.0/24 est réellement annoncé.
  • La leçon de méthode est l'objet même de cet article : établir une hiérarchie de fiabilité entre registres canoniques, objets de routage IRR signés par des maintainers nommés et étiquettes commerciales non vérifiables.

Une chaîne d'identité qui se referme sans peine

Le point de départ n'a rien de contesté. L'objet aut-num du RIPE décrit AS210973 avec le nom DATAMATIX-AS, l'organisation ORG-DDG16-RIPE, un statut ASSIGNED et une date de création du 30 juillet 2021 ; la dernière modification remonte au 5 juin 2023, et le numéro est maintenu conjointement par RIPE-NCC-END-MNT et un mainteneur de la société elle-même https://bgp.he.net/AS210973. Le même as-name et la même société apparaissent dans RIPEstat, qui indique une allocation RIPE NCC du 2021-07-30 pour la Autriche et liste quatre préfixes IPv4 — 149.62.35.0/24, 194.0.132.0/24, 212.236.9.0/24 et 212.236.10.0/24 — sur un instantané RIS daté du 11 septembre 2026 https://stat.ripe.net/resource/AS210973. Le service public autrichien du registre des sociétés confirme de son côté la DATAMATIX Datensysteme GmbH : FN 240683x, siège à Wien, Märzstraße 1/Top 2.7, 1150 Wien, GmbH, capital social de 36 000 EUR, gérant et actionnaire unique Michael Kastelic depuis le 18 octobre 2003, et Prokurist Ing. Patrick Romberger, BSc depuis le 23 septembre 2021 https://www.evi.gv.at/f/240683x. L'impressum de la société situe la même entité au même endroit https://datamatix.at/impressum.html. Le canal d'enregistrement — LIR at.datamatix — figure aussi sur des miroirs du routage https://bgpthingy.xindi.eu/asn/210973.

BTW avait déjà refermé cette chaîne dans une enquête antérieure : du registre RIPE jusqu'à l'activité commerciale réelle de la société https://btw.media/en/datamatix-as210973-evidence-chain-closed. Ce n'est pas la chaîne d'identité qui pose problème aujourd'hui. Ce qui pose problème, c'est tout ce que les autres couches racontent autour d'elle.

L'autorisation cryptographique : la seule couche unanimement propre

Deux consoles rpki-client — l'une console.rpki-client.org, l'autre son miroir d'Amsterdam — reproduisent exactement le même jeu de deux ROA pour AS210973. L'un couvre 212.236.9.0/24 et 212.236.10.0/24 avec une longueur maximale de 24 ; l'autre couvre 149.62.35.0/24, 194.0.132.0/24 et 2a10:fd00::/32, toutes avec l'asID AS210973 https://console.rpki-client.org/AS210973.html https://console-ams.rpki-client.org/AS210973.html. Hurricane Electric résume l'état RPKI du réseau en « Originated Valid » pour les quatre préfixes qu'il liste, sans ROA invalide https://bgp.he.net/AS210973. Qrator Radar, sur une fenêtre que son extrait date du 20 mai au 20 août 2026, marque chaque préfixe qu'il observe — 2a10:fd00::/32, 149.62.35.0/24, 212.236.9.0/24, 212.236.10.0/24 — comme ROA « Valid » et objet de route « Valid » avec une propagation à 100 % https://radar.qrator.net/as/210973/connectivity/prefixes.

C'est le seul plan de contrôle où toutes les sources s'accordent : la DATAMATIX Datensysteme GmbH a, par des signatures RPKI, autorisé explicitement l'AS210973 à annoncer cinq préfixes précis. Une signature cryptographique ne prouve pas la propriété d'un bloc — elle prouve seulement qui a signé l'autorisation d'annonce — mais elle est du moins non ambiguë et vérifiable par n'importe qui.

Là où les moniteurs commencent à se contredire : 194.0.132.0/24

RIPEstat liste 194.0.132.0/24 comme l'un des quatre préfixes IPv4 de l'AS210973 https://stat.ripe.net/resource/AS210973. Qrator Radar ne le mentionne pas du tout dans sa fenêtre observée https://radar.qrator.net/as/210973/connectivity/prefixes. Hurricane Electric n'en compte que trois préfixes IPv4 dans son tableau et le passe sous silence https://bgp.he.net/AS210973. NLNOG IRR Explorer va plus loin : pour ce préfixe, il signale que des objets de route existent et qu'un ROA existe, mais que le préfixe n'est pas vu dans le DFZ — la table de routage mondiale https://irrexplorer.nlnog.net/asn/AS210973.

Trois explications restent possibles et aucune n'est démontrable avec les données publiques : une annonce volontairement non faite, une annonce filtrée par les pairs, ou une annonce trop peu visible pour franchir les seuils statistiques des bases de données. RIPEstat lui-même utilise par défaut une fenêtre et des seuils de pairs qui peuvent inclure ou exclure des annonces de faible visibilité. L'incertitude est ici structurelle, pas accidentelle — et c'est précisément ce type d'incertitude que les miroirs commerciaux effacent silencieusement quand ils affichent « le » jeu de préfixes d'un réseau.

Des étiquettes de registrant qui ne s'accordent avec personne

Sur les deux préfixes 212.236.x, les étiquettes des miroirs commerciaux ne convergent ni entre elles, ni avec le registre canonique. IPinfo attribue 212.236.10.0/24 à l'AS210973 de la DATAMATIX Datensysteme GmbH, mais avec un identifiant de registre « RSD-SUB1 », un domaine d'ASN « crashcars.at », et un préfixe chevauchant plus large — 212.236.0.0/16 — attribué à AS8245 Video-Broadcast GmbH https://ipinfo.io/AS210973/212.236.10.0/24. Sur 212.236.9.0/24, le même miroir affiche l'identifiant « DATAMATIX-01 » mais un domaine d'ASN « video-broadcast.at », et attribue le /24 voisin à « Rapid Solution Development » https://ipinfo.io/AS210973/212.236.9.0/24. Hurricane Electric montre pour 212.236.10.0/24 un origin AS210973 au nom de la DATAMATIX mais un registrant de préfixe « Rapid Solution Development », et pour 212.236.9.0/24 un registrant « Clemens Schmikal » — un nom de personne https://bgp.he.net/net/212.236.10.0/24 https://bgp.he.net/net/212.236.9.0/24.

Rien de tout cela n'est dans le registre RIPE. Les objets de route RIPE pour les deux préfixes 212.236.x sont origin AS210973 mais maintenus par AS8245-MNT — le mainteneur de Video-Broadcast — et datés du 16 août 2021 https://bgp.he.net/net/212.236.10.0/24 https://bgp.he.net/net/212.236.9.0/24. Les annonces plus larges 212.236.0.0/19, /18 et /16 sont faites par AS8245 Video-Broadcast GmbH, et un objet de route /19 par AS8245 a été créé le 17 mai 2026 https://bgp.he.net/net/212.236.10.0/24 https://bgp.he.net/net/212.236.9.0/24. Un miroir d'adresse IP sur un point de l'espace 212.236.x renvoie encore vers un autre opérateur, AS43855, pour des adresses voisines https://ipinfo.io/212.236.10.1, et un service de résolution commerciale traduit 212.236.9.0/24 par des métadonnées qui ne sont pas celles de la DATAMATIX https://btw.media/en/datamatix-as210973-operational-capability.

Que signifient ces étiquettes ? Aucune des hypothèses vérifiables n'est confirmée par les sources publiques : héritage d'anciens titulaires, attribution heuristique de clients en aval, ou simple bruit de données de miroirs. Ce qui est certain, c'est que les étiquettes ne sont pas des objets de registre. Elles sont dérivées, pas canoniques — et elles se contredisent.

Des objets de route en conflit RPKI ailleurs

Sur 149.62.35.0/24 et sur 2a10:fd00::/32 — les deux seuls préfixes dont le registre RIPE attribue clairement l'espace à la DATAMATIX elle-même — IRR Explorer signale des objets de route invalides au sens RPKI : des objets RIPE coexistant avec des origines AS24953 et AS210973, alors que le DFZ n'en montre qu'un seul https://irrexplorer.nlnog.net/asn/AS210973. En d'autres termes, même sur les blocs dont la propriété enregistrée ne fait aucun doute, la couche des objets de routage reste en désaccord interne avec la couche cryptographique. Pour les deux préfixes 212.236.x, en revanche, IRR Explorer conclut « Everything looks good » — cohérence entre BGP, RPKI et objet de route RIPE https://irrexplorer.nlnog.net/asn/AS210973, alors que ce sont eux dont les étiquettes de miroir sont les plus contestées.

Le tableau est donc inversé par rapport à l'intuition : la propreté apparente d'une vue commercialisée ne coïncide pas avec la propreté du registre. Aucun miroir seul ne peut trancher.

Un autre désaccord de miroir, côté sociétés

La divergence n'est pas propre au routage. Le miroir du registre des sociétés evi.gv.at affiche un capital social de 36 000 EUR https://www.evi.gv.at/f/240683x, alors que Firmenabc, un autre miroir du même enregistrement autrichien, affiche 34 000 EUR https://www.firmenabc.at/datamatix-datensysteme-gmbh_HkT. Les deux reflètent le même FN 240683x ; la différence tient probablement à des bases ou des dates de reporting distinctes, mais elle est indémontrable depuis l'extérieur. Le même phénomène — deux miroirs, deux chiffres, aucune adjudication publique possible — se produit donc aussi sur la couche juridique.

La hiérarchie qui ressort de l'exercice

Mis bout à bout, le corpus retenu autorise une gradation explicite de la fiabilité, du plus fondé au plus fragile. Premier plan : les objets de registre canoniques — l'aut-num RIPE, les objets organisation, les attributions d'espace — et les artefacts de routage signés, les ROA, vérifiés sur deux consoles indépendantes https://bgp.he.net/AS210973 https://console.rpki-client.org/AS210973.html https://console-ams.rpki-client.org/AS210973.html. Deuxième plan : les registres officiels des sociétés et leurs miroirs, convergents sur l'identité et la gouvernance https://www.evi.gv.at/f/240683x https://datamatix.at/impressum.html. Troisième plan : les objets de route IRR avec des maintainers nommés, qui portent une trace d'auteur mais peuvent entrer en conflit avec RPKI https://bgp.he.net/net/212.236.10.0/24 https://bgp.he.net/net/212.236.9.0/24 https://irrexplorer.nlnog.net/asn/AS210973. Quatrième plan : les étiquettes de miroirs commerciaux — registrants dérivés, domaines d'ASN, listes de préfixes — qu'aucune source publique ne permet de vérifier et qui, dans ce cas, se contredisent https://ipinfo.io/AS210973/212.236.10.0/24 https://ipinfo.io/AS210973/212.236.9.0/24.

Ce classement n'est pas une théorie. Il est appliqué ci-dessus à un seul réseau et produit, à chaque étage, un jugement différent de celui des étiquettes commerciales. Un lecteur qui suivrait l'inverse — les miroirs d'abord — conclurait que le réseau appartient à « Rapid Solution Development », que son domaine est crashcars.at ou video-broadcast.at selon le jour, et qu'il annonce trois ou quatre préfixes IPv4 selon la source. Un lecteur qui suit les registres conclut que l'opérateur est identifiable, que l'autorisation d'annonce est propre, et que tout le reste est contesté.

Ce que les données ne prouvent pas

Plusieurs limites doivent être dites clairement. La divergence des miroirs est documentée mais pas explicable : cet article ne peut pas dire pourquoi IPinfo affiche « RSD-SUB1 » ni pourquoi Hurricane Electric affiche « Clemens Schmikal ». La liste des préfixes réellement annoncés dépend de la fenêtre d'observation et des seuils de chaque moniteur ; 194.0.132.0/24 reste invisible dans le DFZ selon IRR Explorer tout en figurant chez RIPEstat https://stat.ripe.net/resource/AS210973 https://irrexplorer.nlnog.net/asn/AS210973. Les figures de capital social divergent entre miroirs https://www.evi.gv.at/f/240683x https://www.firmenabc.at/datamatix-datensysteme-gmbh_HkT. Et une signature RPKI valide n'établit ni la propriété d'un bloc ni la nature des relations commerciales qui relient la DATAMATIX à Video-Broadcast ou à NETPLANET — les trois pairs observés étant AS24953 NETPLANET (fournisseur v4/v6), AS8218 Zayo (fournisseur v4) et AS8245 Video-Broadcast (fournisseur v4) https://bgp.he.net/AS210973 https://bgpthingy.xindi.eu/asn/210973. La couverture antérieure de BTW avait déjà montré que cette dépendance amont est enchevêtrée sous une racine commune https://btw.media/en/datamatix-as210973-entangled-upstreams, et que le préfixe 149.62.35.0/24, pourtant clairement enregistré au nom de la société, garde des objets de route contradictoires https://btw.media/en/datamatix-as210973-prefix-attribution. Une analyse antérieure avait aussi posé la question plus large : que prouve un système autonome sur un entreprise qui conçoit ses produits pour fonctionner sans réseau https://btw.media/en/datamatix-as210973-operational-capability.

Les miroirs restants du corpus retenu complètent le cercle sans le refermer : worldip reproduit le titulaire avec ses propres lacunes https://worldip.io/asn/210973, le miroir whois.ipip.net en fait autant http://whois.ipip.net/AS210973, ipgeolocation.io attache sa propre attribution à l'ASN https://ipgeolocation.io/browse/asn/AS210973 tandis que sa page pour l'AS43855 voisin renvoie l'espace adjacent à un tout autre réseau https://ipgeolocation.io/browse/asn/AS43855, le miroir whisper.security ajoute un énième rendu indépendant https://canon.whisper.security/asn/210973, et une requête réseau sur 212.236.9.0/24 renvoie son propre jeu d'étiquettes https://www.bigdatacloud.com/network-lookup/212.236.9.0/24. La fiche de répertoire du sujet est tenue à https://btw.media/fr/directory/datamatix.