Résumé

  • RFC 6493 rend découvrables, dans un objet signé, les coordonnées minimales du responsable d’un certificat d’AC RPKI, mais précise qu’il ne s’agit ni d’un certificat d’identité ni d’un substitut à WHOIS.
  • Un objet entièrement validé prouve que la signature, les contrôles d’objet de la RFC 6488 et les contrôles de version et de profil de la RFC 6493 ont réussi ; il ne prouve ni la surveillance du canal, ni l’accusé de réception, ni le pouvoir d’ordonner une correction.
  • Un registre de réponse doit séparer validité de l’objet, portée du contact, joignabilité, accusé de réception, pouvoir d’agir et escalade ou transfert achevé.

Le problème pratique visé par l’enregistrement Ghostbusters est précis. Un opérateur peut constater qu’un certificat situé entre une Route Origin Authorization et l’ancre de confiance a expiré, va expirer ou dépend d’une liste de révocation devenue obsolète. Les noms contenus dans les certificats RPKI n’ont volontairement pas de signification humaine fiable. RFC 6493 fournit donc un moyen de joindre le responsable du certificat d’AC concerné.

La réponse prend la forme d’un objet signé dont la charge utile est une vCard fortement limitée. Elle peut désigner une personne ou une fonction responsable du certificat et contenir une adresse postale, un numéro de téléphone ou une adresse électronique. L’enveloppe vCard, sa version et le nom formaté sont obligatoires, ainsi qu’au moins un canal. L’objectif est de publier le minimum nécessaire, pas un annuaire du personnel.

Cette sobriété pose aussi une frontière. RFC 6493 affirme que l’enregistrement n’est pas un certificat d’identité. Il atteste des coordonnées déclarées par le responsable de l’AC sous laquelle le certificat d’entité finale a été émis. Il ne remplace pas non plus les données WHOIS d’un registre de ressources : il décrit le responsable d’un certificat d’AC, pas nécessairement le titulaire des ressources.

La validation répond à une autre question circonscrite. L’objet suit le modèle signé de RFC 6488. La partie utilisatrice vérifie l’objet avec son certificat EE, contrôle la version, extrait la vCard et confirme le respect du profil. La charge utile n’est remise à l’application qu’après la réussite de ces étapes. On dispose alors d’une preuve solide qu’un contenu signé déterminé a passé les contrôles prévus.

On ne sait toujours pas si la boîte est lue aujourd’hui. RFC 6493 avertit que les coordonnées sont autodéclarées et qu’elles n’ont pas été vérifiées par l’AC qui a émis le certificat supérieur. L’enregistrement est facultatif et une AC peut en publier zéro, un ou plusieurs. Une personne, une fonction administrative ou un centre d’exploitation peuvent être nommés sans que soient connus les horaires d’astreinte, le délai d’accusé de réception, le pouvoir délégué, le remplaçant ou la voie d’escalade.

Cette distinction devient critique lorsqu’un certificat ou une CRL menace une validation en production. Envoyer un message ne signifie pas joindre un responsable. Joindre quelqu’un ne signifie pas qu’il peut modifier un certificat, publier un objet corrigé ou déclencher une procédure de continuité. Un contact signé ne doit pas devenir, par raccourci, la preuve d’une chaîne complète de commandement.

Un registre de réponse peut conserver six états sans modifier le protocole. Il inscrit d’abord le hash de l’objet, l’heure de validation, le chemin de certificats et le résultat. Il décrit ensuite la portée déclarée du contact et les types de canaux présents. Il consigne un test de joignabilité limité, sans exposer les détails sensibles. Puis viennent l’accusé de réception du problème, la vérification du pouvoir d’agir ou de devoir escalader, et enfin le transfert, l’action accomplie ou l’échec explicite à joindre une personne autorisée.

Ce registre est une proposition éditoriale de gouvernance, non une exigence des RFC. Il ne doit ni publier les astreintes privées, ni créer un fichier de surveillance, ni transformer des coordonnées en preuve d’identité. Il empêche simplement six affirmations différentes d’être réduites au mot « contacté ». Le résultat d’un test reste local et ne prouve ni un déploiement universel, ni l’état d’une autre AC.

La publicité des coordonnées entraîne aussi un coût. RFC 6493 relève les risques d’appels abusifs et de spam. Les tests doivent donc être proportionnés, limités et protégés contre le harcèlement, tout en permettant la rotation des canaux sans effacer la preuve historique de l’ancien objet.

Number Resource Society peut demander aux institutions des preuves bornées sur l’utilité actuelle des contacts signés et la clarté de l’escalade. Elle ne peut ni certifier une AC, ni vérifier une identité, ni exploiter le dépôt, ni déclarer l’incident clos. Ces pouvoirs restent chez les acteurs qui contrôlent le certificat et sa publication.

Sources