Pakistan Telecom: comment un blocage réseau local peut transférer des coûts mondiaux

Résumé

• Le 24 février 2008, Pakistan Telecom AS17557 a annoncé 208.65.153.0/24, une route plus spécifique dans l’espace d’adressage de YouTube, et PCCW AS3491 a propagé cette route, provoquant une redirection du trafic de YouTube à l’échelle mondiale.
• Les preuves publiques lient cette annonce de route à un contexte de blocage national de YouTube, mais la leçon de responsabilité n’est pas seulement la censure. C’est le transfert de coûts: un choix de contrôle local a imposé une réponse à la panne, une perte de trafic et un travail de réparation à YouTube, aux fournisseurs en amont, aux utilisateurs et à l’ensemble de la communauté de routage.
• Pakistan Telecom contrôlait la mise en œuvre du blocage local et l’origine de la route; PCCW contrôlait le point d’acceptation et de propagation en amont à fort effet de levier; YouTube contrôlait les contre-annonces d’urgence et la coordination du rétablissement; les utilisateurs n’avaient aucun contrôle significatif sur la défaillance du chemin.
• La validation d’origine RPKI n’existait pas en 2008 sous une forme mature et déployée, mais cet événement explique pourquoi les ROA modernes, le filtrage en amont et la surveillance des routes sont importants. Les annonces d’origine erronée peuvent être rendues rejetables lorsque les détenteurs de ressources publient une autorité précise et que les fournisseurs la valident.
• Un compte rendu post-incident équitable aurait expliqué pourquoi BGP a été utilisé pour le blocage, comment la prévention de l’exportation a échoué, quels filtres PCCW manquaient ou ont été contournés, et quelles preuves démontraient que des contrôles nationaux similaires ne pourraient plus s’échapper.

Registre des preuves et comment il est utilisé

Cet article traite le registre public comme des preuves stratifiées. Les rapports d’incident, les normes, les mesures de navigateur ou de routage, les documents réglementaires ou politiques, et les conseils actuels aux opérateurs sont utilisés pour différentes affirmations. Les sources rédigées par les entreprises sont attribuées comme des positions d’entreprise. Les normes et les conseils ultérieurs sont utilisés pour expliquer les contrôles et présenter les attentes en matière de responsabilité, et non pour inventer des faits privés ou imposer rétroactivement des obligations ultérieures lorsque le registre public ne le justifie pas.

Le préjudice a été exporté avant que la route ne soit retirée

L’incident Pakistan Telecom YouTube est souvent rappelé comme un détournement BGP classique. C’est exact, mais le prisme du transfert de coûts le rend plus utile. La route a apparemment été créée pour satisfaire un objectif de blocage national.

Le coût mondial a été supporté par des parties extérieures à cette décision de politique nationale: les utilisateurs de YouTube, les ingénieurs réseau de YouTube, PCCW et d’autres fournisseurs, les opérateurs réseau essayant de diagnostiquer la panne, les créateurs et les entreprises dépendant de la connectivité de YouTube, et la communauté de routage au sens large dont le modèle de confiance a de nouveau été montré comme fragile.

L’étude de cas du RIPE NCC constitue la colonne vertébrale technique. Pakistan Telecom AS17557 a annoncé 208.65.153.0/24, un préfixe plus spécifique dans le préfixe plus large 208.65.152.0/22 de YouTube. Comme les routeurs préfèrent le préfixe le plus long correspondant, le /24 pouvait l’emporter sur le /22 légitime pour les adresses de cette plage. PCCW Global AS3491 a transmis la route au reste d’Internet. YouTube a alors réagi en annonçant un /24 correspondant, puis deux /25, essayant de rétablir la connectivité en étant encore plus spécifique là où les réseaux acceptaient ces routes.

Le problème de transfert de coûts commence avec le choix du contrôle. Un blocage national peut être mis en œuvre par plusieurs mécanismes, chacun ayant des modes de défaillance différents. Le filtrage DNS, le blocage par proxy HTTP, le filtrage IP et le trou noir BGP comportent tous des risques. Un trou noir basé sur une route peut être opérationnellement tentant à l’intérieur d’un réseau car les routeurs comprennent déjà les préfixes et le transfert. Mais lorsque cette route s’échappe, le reste d’Internet l’interprète non pas comme « le Pakistan veut un blocage local », mais comme « AS17557 est un chemin vers les adresses de YouTube ».

Le système de routage ne connaît pas la frontière politique à moins que les opérateurs ne l’encodent.

Cette frontière a échoué. La panne mondiale n’était pas un effet secondaire naturel d’un désaccord politique; c’était une exportation évitable du plan de contrôle. Si un opérateur national utilise BGP pour mettre en œuvre un blocage local, il doit s’assurer que la route n’est pas exportée vers les fournisseurs amont ou les pairs. Elle doit être limitée, étiquetée, filtrée et surveillée comme locale uniquement. L’amont doit également rejeter les routes client que le client n’est pas autorisé à annoncer. Deux couches de prévention ont échoué dans la même direction.

L’événement déplace donc la responsabilité des excuses après-coup vers la conception d’incitations. Si les réseaux locaux peuvent externaliser le coût des méthodes de blocage rudimentaires, ils peuvent sous-investir dans le confinement. Si les fournisseurs amont ne sont pas mesurés ou pénalisés pour avoir propagé une fausse autorité, ils peuvent accepter plus de risques que le système mondial ne peut tolérer. Les incitations à la prévention devraient faire en sorte que la partie ayant le pouvoir de contrôle des routes supporte le coût des filtres faibles avant que les utilisateurs mondiaux ne le fassent.

PCCW n’était pas l’origine, mais l’amplificateur

Pakistan Telecom a émis la fausse route, mais le rôle de PCCW a été décisif car un fournisseur amont avec une portée plus large l’a propagée. C’est un schéma récurrent dans les incidents de routage. La première mauvaise annonce peut venir d’un client ou d’un pair. Le rayon de l’explosion dépend des grands réseaux qui y croient. Une route qui reste locale est une panne ou un échec politique local. Une route exportée par un fournisseur mondial devient un événement mondial.

Un fournisseur amont n’a pas besoin de connaître la raison politique derrière la route d’un client pour la filtrer. La question pertinente est plus simple: ce client est-il autorisé à annoncer ou à transiter ce préfixe? L’espace d’adressage de YouTube n’appartenait pas à Pakistan Telecom. Un filtre client propre au fournisseur aurait dû rejeter l’annonce. Si la route était destinée à être un trou noir local, cette intention aurait dû rendre l’exportation encore moins acceptable.

Le registre interne public de PCCW n’est pas disponible dans les sources examinées ici, donc l’article n’affirme pas la défaillance exacte du filtre. Le chemin de route observable suffit pour une conclusion de responsabilité opérationnelle: l’amont a accepté et propagé une autorité émise par un client pour l’espace de YouTube qui n’aurait pas dû être acceptée mondialement. La différence entre un filtre manquant, un filtre périmé, une exception d’urgence ou un contournement opérationnel importe pour la remédiation, mais pas pour le besoin fondamental de preuves de filtrage.

C’est là que les attentes modernes de type MANRS importent. Ce sont des normes volontaires qui n’existaient pas sous la même forme en 2008, mais elles expriment ce que l’incident a enseigné: filtrer les routes des clients, coordonner les contacts, maintenir des informations de routage vérifiables mondialement et empêcher la propagation d’informations de routage incorrectes. Le filtrage en amont n’est pas une courtoisie envers le réseau victime. C’est un devoir de sécurité et de disponibilité envers l’internet en tant que système interdépendant.

Le prisme du transfert de coûts clarifie également pourquoi les fournisseurs amont peuvent sous-investir. Rejeter les mauvaises routes nécessite de la maintenance, de la communication avec les clients et des frictions occasionnelles. Propager des routes est facile jusqu’à ce que cela échoue publiquement. Un marché mature devrait récompenser les fournisseurs capables de montrer une couverture de filtrage, une hygiène des objets de route, une validation RPKI, des contrôles de préfixe maximum et des métriques de réponse aux incidents.

Sans ces incitations, le coût d’un filtrage faible est payé par les utilisateurs en aval après que la route s’est déjà échappée.

YouTube a dû se rétablir de la revendication d’autorité de quelqu’un d’autre

YouTube n’a pas émis la fausse route AS17557. Il a quand même dû se rétablir. C’est la leçon de résilience inconfortable pour toute grande plateforme de contenu: la propriété des adresses et la compétence opérationnelle n’empêchent pas un autre système autonome de faire une fausse déclaration sur la connectivité. La plateforme doit surveiller le plan de contrôle mondial et être prête à répondre quand des réseaux externes croient la mauvaise partie.

La réponse de YouTube, telle que capturée par RIPE NCC et d’autres sources, a été une désagrégation d’urgence. Elle a annoncé le même /24 puis deux /25. L’objectif était de rendre les routes vers YouTube au moins aussi spécifiques ou plus spécifiques que la fausse route, amenant les routeurs qui acceptaient ces annonces à préférer les chemins vers YouTube. Cela a été efficace en partie mais pas propre. Les routes d’urgence plus spécifiques peuvent rétablir la connectivité, mais elles dépendent de l’acceptation par les réseaux et peuvent contribuer au stress de la table de routage mondiale.

Les devoirs de résilience de la plateforme incluent des enregistrements précis dans les registres de routage, des ROA quand elles sont disponibles, une surveillance de l’origine des routes, des relations avec les fournisseurs de transit, des contacts d’escalade, des alarmes de fuite de route et des actions d’urgence répétées. Ces devoirs ne sont pas du blâme de la victime. Ils reconnaissent que les grandes plateformes sont exposées aux défaillances externes du plan de contrôle. Une plateforme ne peut pas empêcher chaque fausse route, mais elle peut réduire le temps de détection et de rétablissement.

RPKI change la structure d’incitation pour les incidents modernes. Si l’espace d’adressage de YouTube dispose de ROA précises n’autorisant que l’origine légitime et des longueurs maximales appropriées, alors une route AS17557 d’origine erronée peut devenir invalide pour les réseaux qui effectuent une validation de l’origine des routes et rejettent les invalides. Cela n’aurait pas aidé en 2008 en tant que contrôle mature déployé, mais cela explique la direction de la responsabilité moderne. Les détenteurs de ressources publient une autorité vérifiable; les fournisseurs la rendent efficace par la validation et le rejet.

La conception des ROA doit également tenir compte du comportement d’urgence. Si une plateforme peut avoir besoin d’annoncer des /24 ou des préfixes plus spécifiques pendant une crise, les paramètres de longueur maximale doivent être choisis avec soin. Des valeurs maxLength trop larges peuvent rendre les annonces plus spécifiques non autorisées plus faciles à valider. Des paramètres trop étroits peuvent rendre invalide une désagrégation d’urgence légitime. L’événement de 2008 éclaire donc la gouvernance RPKI moderne: la sécurité des routes est une discipline de gestion du changement, pas une case à cocher.

Les contrôles nationaux ont besoin d’une conception à l’épreuve de l’exportation

L’incident n’est pas seulement une histoire de routage. C’est un avertissement sur les contrôles politiques mis en œuvre par le biais d’une infrastructure mondialement significative. Une autorité nationale peut émettre un ordre de blocage national. Un opérateur télécom peut être légalement ou politiquement tenu de le mettre en œuvre. Mais la méthode de mise en œuvre reste un choix d’ingénierie aux conséquences mondiales. Une mesure de censure locale ne devrait pas pouvoir enrôler accidentellement l’internet mondial.

Une conception à l’épreuve de l’exportation signifie que la route de blocage est uniquement locale par construction. Elle devrait être maintenue dans un contexte de routage qui ne l’annonce pas à l’extérieur, étiquetée avec des communautés honorées à chaque frontière, refusée par les filtres sortants, et vérifiée via des collecteurs externes. L’opérateur devrait disposer d’une surveillance confirmant que la route n’est pas visible en dehors de la frontière prévue. Il devrait avoir un chemin de retour documenté et l’autorité de retirer la route immédiatement si une visibilité apparaît ailleurs.

Pour les régulateurs et les autorités publiques, cela signifie que la faisabilité technique devrait faire partie de tout ordre de contrôle de réseau. Une injonction de bloquer un service est incomplète si elle n’exige pas la preuve que la méthode ne nuira pas aux réseaux non concernés. Les tribunaux, les régulateurs télécoms et les ministères n’ont pas besoin de devenir des experts BGP, mais ils peuvent exiger des opérateurs qu’ils certifient le confinement, les tests et les contacts d’urgence avant de déployer des contrôles qui touchent au routage mondial.

Ce principe s’étend au-delà de la censure. Les trous noirs DDoS, l’application de sanctions, les puits de malware, les retraits ordonnés par la justice et les réponses d’urgence aux abus peuvent tous créer des changements de route ou de DNS ayant une signification mondiale. Chaque contrôle doit être limité à l’autorité qui le justifie. Plus le contrôle est puissant, plus les preuves qu’il ne peut pas s’échapper doivent être solides.

Le registre de Pakistan Telecom manque de l’autopsie publique qui rendrait l’apprentissage complet. Il montre le chemin de route et le contexte public, mais pas la chaîne de décision interne, les preuves de test, les contrôles d’exportation ou la remédiation. Cette absence fait elle-même partie du registre de responsabilité. Une réparation qui ne peut pas être inspectée devient une promesse plutôt qu’un contrôle.

Les incitations à la prévention devraient suivre le rayon d’action évitable

La valeur politique durable de l’événement est qu’il révèle qui peut éviter le préjudice au moindre coût. Pakistan Telecom aurait pu éviter la propagation mondiale en n’utilisant pas BGP exportable pour un blocage national ou en contenant la route. PCCW aurait pu éviter l’amplification en filtrant les routes des clients. YouTube pouvait réduire l’exposition par la surveillance et l’autorité de route, mais il ne pouvait pas empêcher à moindre coût un autre réseau de faire la fausse déclaration initiale. Les utilisateurs n’avaient aucun contrôle.

La responsabilité devrait donc attribuer les attentes de prévention en fonction du pouvoir de contrôle. L’émetteur d’un blocage local doit prouver le confinement. L’amont doit prouver l’autorisation des routes client. Le détenteur d’adresses doit publier et surveiller l’autorité. Les grands réseaux doivent rejeter les routes invalides ou invraisemblables. Les organismes industriels et les régulateurs doivent rendre ces attentes suffisamment visibles pour que les clients puissent choisir des fournisseurs avec des preuves plutôt que des slogans.

Un bon dossier de preuves post-incident répondrait à des questions de base. Quelle route a été créée et pourquoi? Était-elle destinée uniquement à un trou noir local? Quels filtres sortants auraient dû l’arrêter? Pourquoi ont-ils échoué? Quel fournisseur amont l’a acceptée? Quel ensemble de routes l’amont pensait-il que le client était autorisé à annoncer? Quand la route a-t-elle été retirée? Quelles alertes se sont déclenchées? Qu’est-ce qui a changé ensuite? Sans ces réponses, le même schéma d’échec peut réapparaître sous une autre étiquette politique.

Le registre public soutient des conclusions solides sans en faire trop. Il soutient une origine non autorisée AS17557, une propagation par PCCW, des contre-annonces de YouTube, un contexte de blocage national et une panne mondiale involontaire. Il ne soutient pas l’invention d’une intention malveillante, de commandes internes exactes ou de conclusions de responsabilité légale. L’analyse de responsabilité est opérationnelle: contrôle pratique et coût externalisé.

Le résultat est simple mais exigeant. Un contrôle de réseau local qui peut s’échapper dans le BGP mondial n’est pas local. C’est un risque partagé pour l’infrastructure. La partie qui le choisit et l’amont qui le propage doivent assumer des devoirs de prévention proportionnels au rayon d’action qu’ils peuvent créer.

Le détournement de route a transformé une externalité en panne

Une externalité est un coût imposé à quelqu’un en dehors de la décision. Le détournement de YouTube en 2008 est une externalité de routage typique. Une décision de blocage national et sa mise en œuvre technique ont été prises dans l’environnement politique et télécom du Pakistan. Le coût de la panne est apparu sur l’ensemble de l’internet mondial. YouTube, ses utilisateurs, annonceurs, créateurs, fournisseurs de transit et opérateurs réseau ont supporté des coûts qu’ils n’avaient pas créés. C’est pourquoi l’incident reste plus qu’une célèbre histoire BGP. C’est un cas sur les incitations.

Si un opérateur local peut mettre en œuvre un blocage à moindre coût en injectant une route mais ne supporte pas le coût total lorsque cette route s’échappe, il peut choisir une méthode fragile. Si un fournisseur amont peut accepter largement les routes des clients et ne prête attention qu’après un incident public, il peut sous-investir dans les filtres. Si l’on attend d’une plateforme de contenu qu’elle absorbe le travail de reprise chaque fois que quelqu’un d’autre annonce son espace, la plateforme supporte des coûts de résilience qui devraient en partie incomber aux réseaux qui créent ou propagent une fausse autorité.

La défaillance du marché n’est pas abstraite. Elle se manifeste par des paquets suivant le mauvais chemin.

La conception d’incitations signifie rendre les contrôles préventifs moins coûteux que l’échec. Pour un opérateur télécom, cela peut signifier des contrôles de changement internes traitant toute route de trou noir pour un espace non possédé comme à haut risque, des vérifications automatisées par rapport aux collecteurs de routes externes, et une approbation de la direction pour tout contrôle de réseau imposé par une politique touchant BGP.

Pour un fournisseur amont, cela signifie des filtres de préfixes spécifiques au client, une validation RPKI, des limites de préfixe maximum, des vérifications de cohérence du chemin AS, et des droits contractuels de rejeter ou de couper les annonces anormales. Pour une plateforme, cela signifie une surveillance des routes et une autorité de route publiée. Chaque partie devrait trouver plus facile de faire la chose sûre que de réparer la chose non sûre après un préjudice mondial.

L’absence d’une autopsie publique de PTCL importe parce que les incitations sont façonnées par les preuves. Une route disparaît, les utilisateurs reviennent et le public peut passer à autre chose. Mais sans un enregistrement de ce qui a changé, les observateurs extérieurs ne peuvent pas savoir si le mécanisme de transfert de coûts a été supprimé. Pakistan Telecom a-t-il cessé d’utiliser BGP exportable pour le blocage? PCCW a-t-il modifié les filtres clients? YouTube a-t-il modifié la surveillance des routes? Les régulateurs ont-ils modifié les exigences techniques pour les blocages nationaux? Certaines réponses peuvent exister en privé.

La responsabilité publique exige qu’un nombre suffisant d’entre elles soient visibles.

Le transfert de coûts affecte également des cibles plus petites. YouTube disposait des ressources d’ingénierie et de la visibilité pour riposter. Un petit site de défense des droits de l’homme, un journal local, une banque, un portail hospitalier ou un serveur de mise à jour logicielle pourrait ne pas en avoir. Si un blocage national ou une route erronée s’échappe contre une cible moins visible, la même externalité peut durer plus longtemps parce que moins d’observateurs la remarquent. Le cas de YouTube n’est donc pas seulement celui d’une plateforme célèbre.

C’est un avertissement sur la façon dont les externalités de routage peuvent nuire à des parties moins visibles ayant moins d’options de rétablissement.

La correspondance du préfixe le plus long a rendu la route locale mondialement persuasive

La force technique derrière l’incident n’était pas complexe du point de vue du routeur. Une route vers 208.65.153.0/24 est plus spécifique qu’une route vers 208.65.152.0/22. Lorsque les deux sont présentes, le trafic pour les adresses à l’intérieur du /24 suit le /24. Les routeurs ne se demandent pas si la route plus étroite a été créée pour la censure, la maintenance, l’atténuation DDoS, une erreur ou un vol. Ils appliquent des règles de transfert. L’intention humaine disparaît une fois la route acceptée.

C’est pourquoi les contrôles des routes plus spécifiques sont si importants. La désagrégation peut être légitime. Les réseaux utilisent des routes plus spécifiques pour l’ingénierie de trafic, l’atténuation DDoS, la reprise d’urgence et le basculement partiel. Mais les routes plus spécifiques peuvent également écraser des annonces légitimes plus larges et attirer le trafic. Un réseau annonçant un préfixe plus spécifique pour un espace qu’il ne contrôle pas fait une affirmation puissante. Les fournisseurs amont devraient traiter cette affirmation avec scepticisme, surtout lorsque le préfixe appartient à un service mondialement connu.

Les annonces d’urgence /24 et /25 de YouTube montrent à la fois l’utilité et le désordre de la réparation plus spécifique. Annoncer un /24 correspondant pouvait concurrencer le faux /24, mais les routeurs choisiraient alors parmi les routes de longueur égale en fonction d’autres attributs BGP. Annoncer des /25 créait des routes encore plus spécifiques, mais tous les réseaux n’acceptent pas les annonces mondiales /25 car de nombreux fournisseurs filtrent les préfixes de plus de /24 en IPv4. La réparation était techniquement astucieuse et contrainte opérationnellement.

Elle illustre pourquoi la prévention à l’origine et en amont est meilleure que la désagrégation d’urgence par la victime.

RPKI change ce paysage mais ne supprime pas la nécessité d’une politique de préfixes prudente. Un ROA peut autoriser une origine légitime et fixer une longueur maximale. Si un /24 d’origine erronée apparaît, les réseaux de validation peuvent le classer comme invalide là où un ROA couvrant existe et le rejeter. Mais si le détenteur légitime a besoin de /25 d’urgence et que le ROA ne les permet pas, ces routes d’urgence peuvent également être invalides. Si le ROA permet trop de spécificité, il peut affaiblir la protection.

L’événement de YouTube est donc un exemple pratique pour la gouvernance de maxLength même s’il a précédé le déploiement mature de RPKI.

Un programme de sécurité des routes devrait cartographier ensemble les agrégats normaux, les annonces plus spécifiques planifiées pour l’ingénierie de trafic, les limites de désagrégation d’urgence et les valeurs maxLength des ROA. Traiter ces éléments comme des feuilles de calcul séparées invite à l’échec. La route qui sauvegarde la disponibilité dans une urgence peut créer une invalidité dans une autre. La fausse route qui devrait être rejetée peut sembler plausible si l’autorisation est trop large. La correspondance du préfixe le plus long est simple; gouverner ses conséquences ne l’est pas.

Les ordres gouvernementaux ne doivent pas contourner la responsabilité technique

Le contexte politique du blocage de YouTube est pertinent car il a créé la pression opérationnelle. Mais un ordre gouvernemental n’efface pas la responsabilité technique. Si un État exige d’un opérateur télécom qu’il bloque un service, l’opérateur a toujours des devoirs concernant la méthode, la portée, les tests et le confinement. L’État a également le devoir de ne pas exiger des contrôles qui nuisent de manière prévisible aux réseaux en dehors de son autorité. Un objectif de politique nationale ne peut pas justifier l’exportation accidentelle d’une fausse route vers le monde.

Ce principe devrait être explicite dans la réglementation des télécoms. Les ordres de blocage, les décisions de justice et les contrôles de réseau d’urgence devraient exiger une déclaration de confinement technique. Quel mécanisme sera utilisé? Quels systèmes sont affectés? Comment l’exportation est-elle empêchée? Quels tests vérifient que le contrôle est local? Qui surveille la visibilité mondiale? Qui peut retirer le contrôle s’il s’échappe? Quels fournisseurs amont ont été notifiés?

Si la réponse est « nous annoncerons le préfixe de quelqu’un d’autre dans BGP et espérons qu’il reste local », la méthode n’est pas assez mature pour être déployée.

Il en va de même pour la réponse privée aux abus. Un réseau peut avoir besoin de mettre en trou noir le trafic pendant une attaque DDoS ou de créer un puits pour une infrastructure malveillante. Ces actions peuvent être légitimes, mais elles doivent être délimitées. Un trou noir déclenché à distance à l’intérieur d’un fournisseur peut être sûr lorsque les communautés et les filtres sont corrects. Une route qui fuit vers le transit mondial peut créer des dommages collatéraux. Le principe commun est le confinement: la frontière opérationnelle du contrôle doit correspondre à l’autorité derrière le contrôle.

Le registre de Pakistan Telecom est précieux car il montre ce qui se passe lorsque cette frontière est absente. L’internet mondial n’a pas interprété la route comme une instruction juridique nationale. Il l’a interprétée comme une accessibilité. D’autres réseaux ont pris des décisions de transfert en conséquence. La raison juridique ou politique de la route était invisible pour BGP. Cette invisibilité n’est pas un bug que l’on peut souhaiter faire disparaître. C’est une contrainte de conception que les opérateurs doivent respecter.

Pour la responsabilité publique, les régulateurs devraient demander des rapports après action lorsque des contrôles s’échappent. Ces rapports ne devraient pas se concentrer uniquement sur la licéité ou la popularité de l’objectif politique initial. Ils devraient demander si la méthode était proportionnée, si le confinement existait, si un préjudice externe s’est produit, et si les contrôles futurs seront techniquement délimités. Un débat politique sur la censure et un débat d’ingénierie sur le confinement des routes sont distincts, mais l’incident de 2008 montre qu’ils peuvent entrer en collision.

Le filtrage en amont est une obligation de sécurité partagée

Les fournisseurs amont vendent de la portée. Cette portée est leur valeur et leur risque. Lorsqu’un fournisseur accepte la route d’un client, il peut rendre la route visible à une partie beaucoup plus large de l’internet. Le fournisseur a donc une obligation de sécurité partagée de savoir quels préfixes le client peut annoncer. Cette obligation n’est ni parfaite ni triviale, mais elle est centrale. Sans elle, chaque session client devient un chemin possible pour une fausse autorité.

En 2008, les registres de routes, les filtres manuels et les contacts opérationnels étaient disponibles mais inégaux. Aujourd’hui, RPKI, de meilleurs outils, les normes MANRS, les collecteurs de routes et les services de validation renforcent l’attente. Un fournisseur amont moderne devrait combiner plusieurs signaux: objets de route client, ROA, enregistrements contractuels, annonces précédentes, seuils de préfixe maximum, filtres de chemin AS et alarmes pour les changements soudains de préfixes célèbres. L’objectif n’est pas la pureté bureaucratique.

C’est d’empêcher un client de devenir accidentellement ou malicieusement le chemin de l’internet vers un réseau qu’il ne possède pas.

Le filtrage est également une question d’équité. Un fournisseur qui ne filtre pas peut imposer des coûts aux fournisseurs qui filtrent. Si un grand réseau de transit propage une fausse route, les réseaux distants doivent se démener pour la rejeter, les victimes doivent répondre et les utilisateurs souffrent. Le fournisseur non filtrant bénéficie d’une faible friction opérationnelle jusqu’à ce qu’un échec public se produise. C’est pourquoi les normes collectives telles que MANRS importent. Elles transforment le filtrage des routes d’un choix de qualité privé en une responsabilité communautaire.

Les clients devraient interroger leurs fournisseurs à ce sujet. Les entreprises achètent souvent du transit internet sur le prix, la capacité et la disponibilité. Elles devraient également demander si le fournisseur filtre les annonces des clients, valide RPKI, maintient des contacts NOC 24 heures sur 24 et participe à des initiatives de sécurité du routage. Un fournisseur qui ne peut pas répondre à ces questions peut encore livrer des paquets les jours normaux, mais il peut aussi être un amplificateur les mauvais jours.

Le détournement de YouTube a rendu visible l’amplification en amont. La propagation de PCCW a transformé la route locale de Pakistan Telecom en un problème mondial. La réparation a nécessité un retrait et des contre-annonces. Un meilleur système préventif aurait rejeté la route à la périphérie du client et laissé l’erreur nationale nationale. C’est la référence pour les futurs incidents.

La comparaison utile n’est pas le blâme, mais le pouvoir de contrôle

Une carte de responsabilité équitable ne devrait pas prétendre que chaque partie avait le même pouvoir. Pakistan Telecom avait un contrôle direct sur la mise en œuvre locale et l’origine de la route. PCCW avait un contrôle direct sur l’acceptation et l’exportation des routes des clients. YouTube avait le contrôle sur ses propres annonces de route, sa surveillance et sa réponse d’urgence. D’autres réseaux avaient le contrôle sur l’acceptation ou non de la route propagée. Les utilisateurs n’en avaient presque aucun. Les régulateurs avaient l’autorité politique mais pas nécessairement l’accès aux routeurs.

La distribution du contrôle est inégale, donc la distribution de la responsabilité devrait l’être aussi.

Cette carte du pouvoir de contrôle est plus utile que le blâme générique car elle identifie les points de prévention les moins coûteux. Le point le moins coûteux était d’empêcher la fausse route de quitter Pakistan Telecom. Le suivant était de la rejeter chez PCCW. Les points ultérieurs devenaient plus coûteux car la route était déjà entrée dans la convergence mondiale. La désagrégation d’urgence de YouTube était importante, mais c’était une réparation après l’échec de deux barrières antérieures.

Les réseaux distants rejetant la route étaient également utiles, mais demander à chaque réseau d’attraper une route après qu’un grand fournisseur amont l’a propagée est moins efficace que de l’arrêter à l’entrée.

La même carte peut guider les exercices d’incidents modernes. Supposons qu’un ordre gouvernemental, une erreur client ou une réponse DDoS crée une route pour un espace non possédé. L’émetteur devrait avoir des contrôles uniquement locaux. L’amont devrait rejeter les préfixes non autorisés. Le détenteur d’adresses devrait recevoir des alertes de surveillance de route. Les grands réseaux devraient rejeter les origines invalides. Les collecteurs de routes publics devraient rendre l’événement visible. Les contacts devraient être joignables en quelques minutes. Chaque couche réduit la durée et le rayon d’action.

Un exercice de conseil utile demanderait: quelle route notre réseau pourrait-il accidentellement exporter qui nuirait à quelqu’un d’autre? Quelle route client pourrions-nous accidentellement propager qui nuirait à l’internet? Quelle fausse route externe pourrait nuire à nos propres services? Ces trois questions couvrent les rôles d’émetteur, d’amplificateur et de victime. De nombreuses organisations occupent ces trois rôles à différents moments.

L’événement Pakistan Telecom perdure parce qu’il correspond aux trois questions. Il a commencé comme une défaillance de l’émetteur, est devenu une défaillance de l’amplificateur en amont et a forcé la victime à réparer. La leçon de responsabilité est de concevoir des incitations et des preuves pour que les deux premiers rôles préviennent le préjudice avant que le troisième rôle n’ait à improviser le rétablissement.

La décision du lecteur pour les incitations à la prévention

Un lecteur devrait considérer le registre de Pakistan Telecom comme un test de si les contrôles de routage imposent des coûts aux parties ayant le pouvoir de prévention. Si un réseau crée des routes de blocage locales, il devrait supporter la charge de prouver que ces routes ne peuvent pas s’échapper. Si un fournisseur amont vend du transit mondial, il devrait supporter la charge de prouver que les routes des clients sont autorisées. Si une plateforme possède un espace d’adressage critique, elle devrait supporter la charge de publier et de surveiller l’autorité de route.

Si les utilisateurs n’ont aucun contrôle, ils ne devraient pas être les premiers à payer le prix par la panne et la confusion.

Pour les opérateurs télécoms, la décision est de formaliser le confinement à l’exportation pour toute route qui ne représente pas une accessibilité ordinaire possédée ou client. Un blocage national, un trou noir DDoS, un puits de malware ou un filtre d’urgence devrait avoir une preuve de localité seule. Il devrait être testé de l’extérieur du réseau, pas seulement supposé à partir de la configuration interne. Un enregistrement de changement devrait expliquer pourquoi la méthode a été choisie et ce qui l’empêche de quitter la frontière prévue.

Pour les fournisseurs amont, la décision est d’arrêter de traiter le filtrage des clients comme une hygiène facultative. C’est une qualité centrale du produit. Les clients achètent du transit parce que le fournisseur peut atteindre le monde. Le monde dépend également que le fournisseur n’accepte pas de fausse accessibilité de la part des clients. Cette obligation devrait apparaître dans les contrats, les audits, les programmes de sécurité du routage et les rapports d’incidents publics.

Pour les plateformes et les fournisseurs de contenu, la décision est de se préparer sans accepter de blâme injuste. Les services comme YouTube ont besoin de surveillance des routes, de RPKI, de plans de désagrégation d’urgence et de contacts fournisseurs car des défaillances externes se produiront. Mais leur préparation ne doit pas devenir une excuse pour que les émetteurs et les fournisseurs amont sous-investissent. La résilience par la victime est un filet de sécurité, pas un substitut à la prévention par la partie qui peut arrêter la mauvaise route à la source.

Pour les décideurs politiques, la décision est d’exiger un confinement technique chaque fois que des ordres politiques touchent l’infrastructure réseau. Une injonction juridique nationale peut devenir un événement technique mondial si elle est mise en œuvre par des contrôles exportables. Le détournement de YouTube devrait être l’exemple de mise en garde dans tout processus politique qui envisage un blocage basé sur les routes ou une intervention réseau d’urgence.

L’incitation à la prévention devrait également être visible après l’incident. Un registre utile montrerait si l’émetteur a changé les méthodes de blocage local, si l’amont a changé les filtres clients, si les alertes de surveillance de route ont été ajustées, et si les contacts d’urgence ont fonctionné à la vitesse requise par l’incident. Sans ces preuves, le transfert de coûts reste largement externe: les utilisateurs perdent l’accès, la plateforme absorbe la panne publique, les chercheurs documentent la leçon, et le système de routage attend que le prochain opérateur la répète.

Un meilleur système d’incitations rend le point de prévention peu coûteux responsable. Le réseau qui peut arrêter une mauvaise route avant qu’elle ne parte devrait pouvoir prouver qu’il le fait maintenant. L’amont qui peut empêcher l’amplification devrait pouvoir montrer une couverture de filtrage et une gouvernance des exceptions. C’est ainsi qu’une erreur célèbre devient une prévention durable plutôt qu’un folklore.

Cela importe aussi pour les petits opérateurs. Toutes les fuites de route ne nuisent pas à une plateforme mondiale, mais chaque fuite teste la même économie. Si l’émetteur et l’amont peuvent éviter la plupart des coûts tandis que les victimes et les utilisateurs absorbent la panne, le sous-investissement reste rationnel. Si les contrats, les audits, les examens d’incidents publics et les normes communautaires rendent le confinement des routes visible, l’incitation change. La prévention devient une partie de la qualité de service.

Le cas de Pakistan Telecom est célèbre parce que la victime était YouTube; la leçon de responsabilité sous-jacente s’applique chaque fois que l’action locale d’un réseau peut être exportée en préjudice public pour un autre réseau.

Typographie

Le résultat

La norme de responsabilité est le contrôle pratique associé à des preuves publiques. Le registre le plus solide ne prétend pas que chaque acteur contrôlait chaque résultat. Il identifie qui pouvait prévenir la défaillance, qui pouvait la détecter, qui pouvait limiter le rayon d’action, qui pouvait notifier les parties affectées, qui pouvait réparer la relation de confiance, et quelles preuves démontrent que la réparation a atteint les systèmes et les personnes qui en dépendaient.