Domaine principal
Infrastructure
Au sein de la facette Domaine principal, l'analyse Infrastructure regroupe les articles par domaine principal afin que les lecteurs puissent suivre un périmètre précis de l'infrastructure Internet, de la gouvernance, des marchés de connectivité ou du capital numérique. Cette page rassemble les articles associés, les preuves publiques, les institutions, les entreprises, les personnes, l'exposition régionale, les dépendances opérationnelles et le contexte de marché qui pourraient sinon être répartis entre différentes pages de catégories. Elle explique le domaine, la classe d'acteurs probable, le contexte de marché ou de gouvernance, ainsi que les sources que les lecteurs devraient utiliser pour comparer les signaux. Opérateurs, analystes et lecteurs de gouvernance peuvent voir comment un même domaine se manifeste à travers les événements, les profils, les évolutions de marché, les preuves issues de sources publiques, les dépendances régionales et les décisions d'infrastructure à plus long cycle au fil du temps.
Dossier
Le paquet masquait sa longueur exacte, mais le rythme parlait encore : EDNS Padding et les limites de la confidentialité DNS
Chiffrer une requête DNS retire le nom du regard indiscret, mais pas nécessairement sa silhouette. EDNS Padding ajoute des octets pour brouiller cette silhouette. La protection réelle dépend toutefois d'une chaîne de choix: la politique du client, celle du serveur…
Récits
Une seule IP source a concentré 38,76 % des requêtes WHOIS d’APNIC pendant une heure
Le résumé de veille Une seule IP source a concentré 38,76 % des requêtes WHOIS d’APNIC pendant une heure explique le développement, les preuves publiques disponibles, les organisations concernées, le contexte régional, l’exposition au marché et les conséquences possibles pour…
Dossier
L’enregistrement liait les options, pas la connexion : SVCB, HTTPS et l’autorité du client
Un service peut publier avant toute requête HTTP le serveur, le protocole et le port qu’il préfère. Le client doit encore déterminer si cet ensemble est intelligible, joignable, conforme à sa politique et capable de prouver l’identité de l’origine.
Dossier
Le compteur avait atteint sa limite. Le nom de fichier a ouvert une nouvelle époque : manifestes RPKI et pouvoir de reprise
Un manifeste RPKI peut être correctement signé, récent et exact, tout en restant irrecevable parce qu'un validateur garde en mémoire un prédécesseur impossible à dépasser. La RFC 9981 offre une sortie étroite: changer le nom du manifeste, recommencer la comparaison des numéros et…
Dossier
Le flux était valide, mais la réponse venait d’ici : RPZ et pouvoir local sur la résolution DNS
Une liste de menaces peut arriver intacte, à l’heure et depuis le bon éditeur. Il reste pourtant à décider qui elle touche, ce que le résolveur répond et à quel moment une recommandation externe devient une affirmation locale.
Récits
Chez AFRINIC, un doublon a disparu du compteur — pas du jeu final de 30 847 VRP
Entre deux validations achevées à moins de vingt minutes d'intervalle, le Routinator public d'AFRINIC a compté une VRP valide et un doublon de moins. Le total final destiné aux routeurs n'a pas bougé: 30 847. Cette petite variation ne révèle ni la VRP concernée, ni la ROA qui la…
Dossier
L’empreinte concordait, mais la zone était fausse : ZONEMD et les limites de l’intégrité cryptographique
Une preuve cryptographique peut être impeccable tout en couvrant une décision erronée. Avec ZONEMD, l’enjeu n’est donc pas seulement de vérifier une zone DNS, mais de ne pas demander au condensat de juger ce qui relève encore de l’exploitation.
Récits
RIPE a clos la mise à niveau, puis la consultation des documents a échoué deux fois
Le samedi 22 août à 17 h 56 CEST, RIPE NCC a déclaré terminée la maintenance d’Alfresco. Le lundi, la création de documents fonctionnait encore, mais certains fichiers ne pouvaient plus être consultés ou téléchargés. Un nouvel incident a commencé le mercredi; le jeudi, une…
Dossier
Le signal était signé. La délégation ne l’était pas encore : CDS/CDNSKEY et le pouvoir de publier le DS
CDS et CDNSKEY permettent à un opérateur de demander une modification du lien DNSSEC sans recopier une empreinte à chaque rotation. Mais une demande signée n’est pas encore le DS du parent: elle doit être située dans le bon état de confiance, admise par l’agent parental, publiée…
Dossier
Le catalogue était valide. La suppression ne l’était pas : DNS Catalog Zones et pouvoir de provisionnement
Un catalogue DNS peut être irréprochable au regard du protocole et pourtant porter une décision désastreuse. Lorsque sa liste de membres devient vide, l’authentification du transfert prouve l’origine du message; elle ne prouve ni l’intention de supprimer, ni le droit d’effacer…
IETF
David Meyer et l’adresse dont la localisation est devenue un bail
LISP maintient un identifiant d’extrémité pendant que ses points d’attache changent. Ce gain apparent de stabilité dépend pourtant d’une information périssable: l’association EID-RLOC doit être autorisée, publiée, résolue, mise en cache puis confirmée par un chemin réel. David…
Dossier
La réponse avait expiré, pas la panne : DNS serve-stale et le pouvoir au-delà du TTL
Conserver un ancien RRset peut empêcher une panne d’autorité de devenir une panne d’application. Mais dès que le TTL est dépassé, ce n’est plus la zone qui garantit l’usage courant de la donnée: c’est le résolveur qui décide d’exécuter une mémoire limitée, avec ses propres…
IETF
Alan DeKok et la variante de RADIUS qui a confié la confiance à TLS
Avec RADIUS/1.1, Alan DeKok ne prétend pas faire disparaître l'ancien protocole d'un trait de plume. Il décrit un passage beaucoup plus exigeant: sur chaque liaison protégée, deux pairs doivent convenir explicitement que TLS assumera désormais le travail autrefois partagé avec le…
Histoire d'Internet
Mark Andrews et le serveur DNS qui a survécu à son remplaçant
Nommer un successeur ne suffit pas à provoquer une migration. Le rôle de Mark Andrews auprès de BIND 9 pendant le chantier BIND 10 rappelle une obligation souvent absente des récits de rupture: tant qu'un logiciel répond aux requêtes de production, il faut encore le corriger, le…
IETF
Joe Abley et l’ancre qui devait dire où commençait la confiance
DNSSEC ne peut vérifier une chaîne qu’après qu’un résolveur a choisi son point de départ. Le travail de Joe Abley sur le format de publication de l’ancre racine rend ce premier choix visible: une signature peut authentifier un fichier, mais elle ne peut pas ordonner à un…
APRICOT
Anurag Bhatia et l’écart de routage incapable de s’expliquer seul
Une route absente est d’abord une observation, pas un diagnostic. À APRICOT 2020, Anurag Bhatia a comparé plusieurs vues BGP et isolé des dizaines de milliers de préfixes inégalement visibles. Le résultat utile n’était pas un palmarès des réseaux fautifs, mais une méthode pour…
IETF
Vint Cerf et les neuf exceptions cachées dans « tout le monde »
La déclaration de Vint Cerf selon laquelle Internet est pour tout le monde est souvent citée comme une promesse. Son architecture la plus utile se trouve dans la réserve répétée neuf fois par la RFC 3271: il ne le sera pas si certaines conditions restent sans réponse.
IETF
Geoff Huston et la valeur IPv6 par défaut qui s’est retirée
Pendant une décennie, `/48` a semblé résoudre proprement une question difficile: combien d’espace IPv6 attribuer à un site ordinaire ? Geoff Huston a cosigné le texte qui a retiré cette réponse unique sans abandonner les protections qu’elle devait garantir.
IETF
Ray Bellis et la connexion DNS devenue une session
Une socket TCP peut rester ouverte sans que les deux extrémités aient convenu de l’état qu’elle conserve. La RFC 8490 a rendu cette différence explicite pour le DNS: la connexion relève du transport; la session est un ensemble reconnu de droits, de minuteries et d’obligations de…
Tendances FAI régionaux Europe et Moyen-Orient
Les 120 heures de VOLZ exigent un registre des domaines de panne
VOLZ associe un chiffre précis à la continuité de son réseau: selon l’opérateur, les batteries de 14 grands nœuds de communication à Kyiv peuvent assurer leur alimentation pendant 120 heures, avec des groupes électrogènes disponibles en cas d’urgence. Cette précision est utile.…