Résumé

  • Les données publiques peuvent distinguer une association administrative, une autorisation de routage et une activité BGP observée, mais chacune répond à une question différente.
  • Le dossier actuel ne relie pas encore DFINFRA à une capacité démontrée de contrôler les annonces, les retraits ou la continuité opérationnelle de l’AS210860.

Le vrai changement d’état n’est pas l’apparition d’un nom

Les précédentes publications consacrées à DFINFRA et à l’AS210860 ont établi une limite importante : la présence d’un nom dans un registre ne prouve ni la propriété juridique, ni l’exploitation du réseau, ni la maîtrise des routeurs. La présente enquête déplace la question. Elle ne demande plus seulement ce que les registres associent à l’ASN, mais quelle chaîne de contrôle devrait être observable pour attribuer à DFINFRA une position opérationnelle et en déduire une exposition économique.

Cette distinction est essentielle parce qu’un numéro de système autonome peut être administrativement rattaché à une organisation tout en étant exploité par une autre. Une ressource peut être sponsorisée par un registre local, maintenue par un prestataire, annoncée par un opérateur de transit ou configurée par une équipe dont le nom n’apparaît dans aucun objet public. Inversement, une société peut disposer d’un rôle commercial ou institutionnel réel sans être le détenteur direct des identifiants techniques visibles dans les bases de routage.

Le premier niveau de vérification est donc administratif. Le point de départ est la réponse RDAP de l’AS210860, ainsi que l’objet aut-num de la base RIPE. Ces sources sont conçues pour exposer le titulaire déclaré, les entités associées, le statut, les contacts, les mainteneurs et les événements d’enregistrement. Une identité DFINFRA dans les champs pertinents appuierait une association administrative. Elle ne démontrerait pas que DFINFRA contrôle une session BGP ou peut ordonner la prochaine modification de route. [https://rdap.db.ripe.net/autnum/210860] [https://rest.db.ripe.net/ripe/aut-num/AS210860.json] [https://apps.db.ripe.net/db-web-ui/lookup?source=ripe&key=AS210860&type=aut-num]

Même la capacité à modifier un objet de registre doit être interprétée avec prudence. Un mainteneur autorisé peut modifier une fiche sans exploiter le réseau correspondant. Un sponsor, un laboratoire d’automatisation ou un fournisseur de services gérés peut disposer des droits de maintenance tandis qu’un autre acteur dirige effectivement les annonces. Les champs import et export, lorsqu’ils sont publiés, décrivent une politique déclarée ; ils ne garantissent pas qu’une session existe encore ni qu’elle fonctionne comme indiqué.

L’autorisation de routage ne remplace pas l’observation

Le deuxième niveau est constitué par les objets IRR. La recherche inverse sur l’origine AS210860 peut identifier des objets route ou route6, les préfixes concernés, leur mainteneur et les dates de création ou de modification. Un objet correspondant peut montrer qu’une origination a été déclarée ou autorisée dans une base de routage. Il ne prouve pas qu’un préfixe est actuellement annoncé, qu’un routeur accepte cette politique ou que DFINFRA est l’acteur qui exécute la décision. [https://rest.db.ripe.net/search.json?query-string=AS210860&inverse-attribute=origin&type-filter=route&type-filter=route6&source=ripe] [https://www.radb.net/query?keywords=AS210860]

Cette séparation explique pourquoi les résultats IRR doivent être confrontés aux observations BGP. Un objet peut subsister après le retrait d’une route. Une annonce peut être visible sans objet IRR correspondant. Plusieurs registres peuvent également conserver des objets redondants, anciens ou contradictoires. Le registre décrit une intention administrative ou une autorisation dans un système donné ; le routage observé décrit un état opérationnel vu par certains collecteurs.

Le même raisonnement vaut pour le RPKI. Une ROA valide peut autoriser AS210860 à originer un préfixe donné, sous une longueur maximale donnée. Elle constitue un signal cryptographique d’autorisation par le détenteur du préfixe ou par une partie déléguée. Elle ne prouve ni l’existence d’une annonce actuelle, ni la présence d’une session BGP, ni l’identité de la personne qui contrôle le routeur. Une ROA peut être créée ou maintenue par un titulaire de préfixe, un sponsor ou un opérateur de ressources distinct de l’exploitant quotidien. [https://rpki.cloudflare.com/?view=asn&asn=210860]

Le point économiquement important est que ces couches n’ont pas la même portée. Une identité de registre peut rendre une organisation visible aux partenaires et aux régulateurs. Un objet IRR peut faciliter l’acceptation d’une route par des réseaux qui utilisent cette base. Une ROA peut modifier la manière dont des validateurs classent une annonce. Mais aucune de ces couches ne suffit à établir que DFINFRA peut maintenir un service, rediriger un trafic ou restaurer une connectivité après une interruption.

Ce que les observations BGP pourraient établir

Les points de terminaison RIPEstat consacrés aux préfixes annoncés et à l’état du routage sont les bons instruments pour vérifier si AS210860 est effectivement visible depuis les collecteurs RIPE RIS. Une liste de préfixes observés, accompagnée d’un intervalle de mesure, démontrerait une activité d’origination vue par ce réseau de capteurs. Un état de routage largement visible indiquerait qu’un acteur — directement ou par l’intermédiaire d’un fournisseur — maintient une activité de routage suffisamment propagée. [https://stat.ripe.net/data/as-overview/data.json?resource=AS210860] [https://stat.ripe.net/data/announced-prefixes/data.json?resource=AS210860] [https://stat.ripe.net/data/routing-status/data.json?resource=AS210860]

Les mises à jour BGP peuvent aller plus loin. Une séquence datée d’annonces, de retraits et de réannonces permettrait de tester la capacité à activer, maintenir ou interrompre un état de routage. Une comparaison avec l’historique de l’objet aut-num, les modifications d’objets de route ou les changements de ROA pourrait révéler une corrélation temporelle. Mais cette corrélation ne serait pas automatiquement une attribution. Une variation peut provenir d’un fournisseur de transit, d’un changement de meilleure route, d’une réinitialisation de session ou d’un événement affectant un collecteur. [https://stat.ripe.net/data/bgp-updates/data.json?resource=AS210860] [https://stat.ripe.net/widget/bgplay#w.resource=AS210860]

Les voisins ASN observés peuvent ensuite identifier des candidats au transit, au peering ou à la fourniture d’accès. Une adjacency répétée dans les chemins BGP peut corroborer une relation de connectivité. Elle ne prouve pas, à elle seule, la nature commerciale de cette relation. Un route server, un réseau frère, un chemin préparé ou une couverture limitée des collecteurs peuvent donner une image incomplète. [https://stat.ripe.net/data/asn-neighbours/data.json?resource=AS210860]

L’enjeu n’est donc pas de trouver une ligne qui dise « DFINFRA contrôle AS210860 ». L’enjeu est de rechercher une convergence : une identité administrative cohérente, une autorisation compatible, une activité de routage observée sur une période donnée, une connectivité identifiable et un élément indépendant reliant un changement à DFINFRA. Sans cette convergence, le dossier reste un ensemble de signaux parallèles.

L’auto-attribution peut renforcer le dossier sans le clore

PeeringDB fournit un autre type de preuve. Une fiche associant AS210860 à un nom DFINFRA, à un site web contrôlé par l’entreprise, à des contacts correspondants, à des échanges ou à des installations constituerait une auto-attribution publique. Elle pourrait réduire l’incertitude sur l’identité commerciale présentée au marché. Mais PeeringDB est alimentée par les opérateurs et peut être incomplète, ancienne ou déclarative. Une présence affichée dans un échange ne prouve pas qu’une session BGP est active à l’instant observé. [https://www.peeringdb.com/api/net?asn=210860]

Les services d’observation publics tels que bgp.tools ou les visualisations de BGP offrent des recoupements utiles sur les préfixes, les fournisseurs et la visibilité. Leur accord avec RIPEstat renforcerait l’existence d’une activité observable, tout en laissant ouverte la question de l’attribution. Les collecteurs ne voient pas toute la table mondiale et les fenêtres de mesure ne coïncident pas nécessairement. [https://bgp.tools/as/210860] [https://bgp.he.net/AS210860]

Cette prudence n’est pas une faiblesse éditoriale. Elle empêche de transformer une probabilité technique en accusation commerciale. Une entreprise peut être responsable d’une relation client, d’un contrat de connectivité ou d’une marque de service sans être le détenteur qui manipule les routeurs. À l’inverse, un opérateur technique peut exercer un contrôle effectif sans être visible dans les documents commerciaux. Le contrôle pertinent dépend du droit de décision, pas seulement du nom affiché.

Le mécanisme économique reste conditionnel

Pourquoi cette distinction intéresse-t-elle les investisseurs, les clients et les responsables publics ? Parce que le contrôle d’une ressource de routage peut, lorsqu’il est établi, produire des effets sur la continuité, la négociation avec les transitaires, la visibilité d’un service et la capacité à répondre à un incident. Une organisation qui peut effectivement annoncer ou retirer un préfixe dispose potentiellement d’un levier sur l’accessibilité. Une organisation qui ne possède qu’un lien administratif ou une relation de parrainage n’a pas nécessairement ce levier.

Le mécanisme doit donc être décrit comme une chaîne conditionnelle : identité et droits administratifs ; autorisation de l’origination ; capacité d’annoncer ; propagation par des voisins ; continuité du service ; pouvoir de modifier ou de restaurer l’état ; enfin, capacité à convertir cette position technique en revenus, dépendance client ou pouvoir de négociation. Une rupture à n’importe quel maillon réduit la portée économique de la conclusion.

Le dossier actuel ne permet pas de mesurer le nombre de préfixes, la durée de visibilité, la qualité des chemins, les clients, les volumes de trafic ou les revenus associés à AS210860. Il serait donc infondé d’en déduire une taille d’activité, une part de marché ou une exposition financière. Ce que l’enquête peut établir est plus borné : elle définit les conditions observables qui sépareraient une association registrale d’un rôle opérationnel ayant une importance économique.

Ce qui manque encore pour fermer la chaîne

La prochaine étape doit être temporelle. Il faut conserver un état de référence daté pour l’objet de registre, les objets IRR, les ROA, les préfixes observés, les voisins et les annonces BGP. Il faut ensuite rechercher une modification identifiable — nouvelle origination, retrait, changement de chemin, renouvellement d’autorisation ou restauration — et la rapprocher d’une action attribuable à DFINFRA : déclaration publique, changement de politique, mise à jour d’un objet contrôlé, documentation d’un fournisseur ou preuve contractuelle.

Même cette méthode ne transformerait pas automatiquement une corrélation en preuve directe. Elle établirait une attribution circonstancielle plus solide. La question décisive resterait celle de la capacité : qui pouvait donner l’ordre, qui détenait les identifiants, qui pouvait maintenir l’annonce, et qui pouvait l’annuler ? Les données de chemin BGP nomment des systèmes autonomes, pas les personnes qui les administrent.

La conclusion actuelle est donc limitée mais exploitable. Les sources publiques identifient une zone d’enquête autour de DFINFRA et de l’AS210860. Elles permettent de séparer le registre, l’autorisation, l’observation et l’auto-description. Elles ne démontrent pas encore que DFINFRA possède, exploite ou contrôle opérationnellement l’ASN, et les instantanés de cette recherche ne fournissent pas les valeurs dynamiques nécessaires pour trancher cette question.

Le signal qui changerait véritablement l’état de connaissance serait une série datée reliant une action de DFINFRA à une modification de routage ou d’autorisation, puis montrant que cette capacité est durable et réversible. Avant cette observation, le marché doit traiter l’association comme une hypothèse à tester, non comme un actif opérationnel établi.