Summary

  • L’option IPv4 de type 130 associait à chaque datagramme un niveau de classification et, éventuellement, plusieurs autorités de protection.
  • Elle n’assurait aucun chiffrement : son utilité reposait sur un domaine où hôtes, routeurs et protocoles de routage partageaient le même vocabulaire de sécurité.

Un octet qui n’était pas une simple échelle

La classification tenait dans un octet, mais ses valeurs n’étaient pas ordonnées comme des nombres ordinaires. La RFC 1108 retenait des codages espacés et déclarait erronées les valeurs réservées ou absentes de la liste. Une comparaison arithmétique ne suffisait donc pas : il fallait reconnaître la table définie par la norme.

Autour de cet octet, l’option formait un objet variable. Son type valait 130, elle ne pouvait apparaître qu’une fois et sa longueur minimale était de trois octets. Le bit de copie imposait sa reproduction dans tous les fragments. Après la classification pouvait venir une carte de bits désignant plusieurs programmes dont les règles de protection s’appliquaient; ce champ pouvait aussi être absent.

Ces autorités ne délivraient pas elles-mêmes une accréditation. Elles indiquaient les ensembles de règles concernés. La distinction est essentielle : le paquet transportait une étiquette et des références de politique, non une preuve autonome de conformité.

La RFC visait trois usages liés : valider l’émission, valider la remise et s’assurer que la route présentait un niveau de protection convenable pour toutes les autorités indiquées. Dès lors, le mécanisme ne pouvait rester cantonné aux extrémités. Pour choisir des chemins en fonction des étiquettes, les protocoles de routage devaient eux aussi diffuser l’information de sécurité appropriée.

Le dispositif liait donc la syntaxe du paquet à une organisation complète du réseau. Sans dictionnaire commun des classifications, sans politique locale et sans connaissance des routes protégées, les bits demeuraient ambigus. Et même dans un domaine cohérent, ils ne chiffraient pas le contenu, ne prouvaient pas l’identité de l’émetteur et ne garantissaient pas l’application uniforme des règles.

Pourquoi la règle générale ne suffit pas

La RFC 7126 a réexaminé les options IPv4 dans un contexte où elles suscitaient souvent filtrage et traitement exceptionnel. Pour le type 130, elle a toutefois relevé des usages dans certains environnements de haute sécurité ainsi que des implémentations connues à l’époque. Elle en a déduit qu’un rejet systématique à toutes les frontières pouvait casser des déploiements légitimes.

Cette prudence ne démontre aucune diffusion générale. Les sources ne donnent ni part de déploiement actuelle, ni configuration universelle des pare-feu, ni liste contemporaine des autorités. Elles établissent seulement qu’une option peu adaptée au transit ordinaire peut conserver une fonction dans un périmètre fermé où les participants ont coordonné sens et contrôle.

Sources