Sujet
Automatisation de la sécurité
Au sein de la facette Sujet, la veille thématique Automatisation de la sécurité rassemble des articles qui partagent un même sujet, un même signal ou un même thème de suivi. Cette page offre aux lecteurs un parcours plus riche à travers les reportages associés, les preuves issues de sources publiques, les acteurs du marché et les implications pour l’infrastructure, avec suffisamment de contexte pour comprendre pourquoi le sujet compte pour les mouvements d’entreprises, les décisions de gouvernance, l’exposition régionale et le risque opérationnel. Les lecteurs peuvent comparer les signaux récurrents, les organisations concernées, les preuves publiques, le contexte du marché, la continuité de service, les achats, la concurrence, la conformité et les questions de planification stratégique liées au sujet, au lieu de se contenter d’une liste succincte d’articles correspondants. Elle explique ce que couvre le sujet, quels acteurs ou politiques de l’infrastructure sont impliqués, quelles preuves étayent la couverture et pourquoi le sujet peut être important pour les opérateurs, les clients, les investisseurs et les lecteurs de politiques publiques.
Dossier
Le réflecteur avait choisi depuis la mauvaise ville : BGP ORR et le pouvoir de calculer la meilleure sortie d’autrui
Un réflecteur central peut choisir une sortie depuis un lieu où aucun trafic client ne passe. BGP Optimal Route Reflection lui permet de calculer depuis la position logique du client. Le mécanisme rétablit une perspective absente, mais crée aussi un pouvoir délégué: un système…
Dossier
Le réflecteur de routes avait caché le choix : BGP ADD-PATH et le pouvoir d’exposer les alternatives
Un réflecteur de routes simplifie l’iBGP en ne montrant souvent à ses clients que le chemin qu’il a lui-même préféré. Cette économie de sessions est aussi une économie d’information. ADD-PATH permet de faire coexister plusieurs chemins pour un préfixe, sans toutefois décider…
Dossier
La route était valide. Le réflecteur l’a prise pour une boucle : identités de cluster BGP et pouvoir de supprimer la joignabilité
Les sessions restaient établies et l’origine annonçait toujours le préfixe. Pourtant, à l’ouest du réseau, la route avait disparu. Le réflecteur avait trouvé sa propre identité dans `CLUSTER_LIST` et appliqué une règle de sécurité parfaitement normale à une topologie décrite par…
Dossier
La politique avait changé, pas les routes : BGP Route Refresh et le pouvoir de réévaluer
Modifier une politique BGP entrante change une règle; cela ne remet pas spontanément devant elle les routes déjà jugées. Route Refresh permet de demander au voisin de réannoncer son export actuel sans détruire la session. La demande évite une rupture, mais elle ne restaure ni le…
Dossier
La route portait une demande, pas une contrainte : BGP NO_EXPORT et le pouvoir de propager
Une route marquée `NO_EXPORT` semble porter son propre verrou. Pourtant, rien ne traverse la session pour désactiver à distance la politique du voisin. La communauté formule une limite commune; ce sont les systèmes du destinataire qui doivent la conserver, l'interpréter et…
Dossier
Le voisin a suggéré une porte, nous avons choisi d’entrer : BGP MED et pouvoir consultatif
Un système autonome peut inscrire un petit nombre sur une interconnexion et un plus grand sur une autre pour indiquer par où il préférerait recevoir le trafic. Le voisin peut écouter, réécrire ou ignorer ces nombres. MED est utile parce qu’il coordonne sans transférer la décision…
Dossier
La route a choisi trois fois, le voisin n’en a entendu qu’une : MRAI et l’autorité temporelle de BGP
Un routeur BGP peut changer plusieurs fois de meilleur chemin sans livrer chaque décision à son voisin. Ce silence n’est ni une panne ni une hésitation. MRAI sépare volontairement le rythme de la sélection locale de celui de l’annonce extérieure. Il économise des UPDATE et du…
Dossier
Le serveur qui ne gardait rien : SYN cookies et admission sans état
Un serveur exposé ressemble d’ordinaire à un vestiaire qui ouvrirait une fiche dès qu’une personne crie un numéro depuis la rue. Le SYN cookie inverse la dépense: le serveur remet d’abord un reçu compact, puis n’ouvre la fiche que lorsque ce reçu revient dans le troisième paquet.…
Dossier
La clé installée deux fois : KRACK et le pouvoir d’une retransmission
Une trame perdue doit pouvoir être renvoyée. Mais une retransmission authentique ne devrait pas remettre à zéro l’histoire d’une clé déjà active. KRACK a révélé cette confusion de pouvoirs dans le fonctionnement concret de WPA2, sans découvrir le mot de passe ni la clé négociée.
Dossier
L’échec qui choisissait le chiffrement : POODLE et l’autorité cachée du repli
Un échec de négociation TLS ne disait pas pourquoi la connexion avait échoué. Pourtant, certains clients en déduisaient que le serveur exigeait un protocole plus ancien. POODLE a rendu visible ce glissement: celui qui pouvait provoquer l’échec pouvait aussi orienter la tentative…
Dossier
L’en-tête devenu programme : Shellshock et le pouvoir caché dans l’environnement
Shellshock a révélé une délégation que personne n’avait formulée: une donnée fournie par un client pouvait traverser CGI, devenir variable d’environnement, puis être relue par Bash comme du code. L’incident oblige à examiner les droits créés par la composition des interfaces, pas…
Dossier
Slammer : le correctif publié n’avait pas révoqué le code vulnérable
Six mois séparaient le premier bulletin de Microsoft de l’épidémie. Dix minutes ont suffi au ver pour atteindre l’essentiel de sa population vulnérable accessible. Entre ces deux durées se trouve une erreur de gouvernance familière: confondre la mise à disposition d’un remède…
Dossier
Cinq minutes pour déplacer une route : memcached et l’autorité sur la bande passante
À 17 h 21, le déséquilibre entre trafic entrant et sortant déclenche une alerte chez GitHub. À 17 h 26, une commande retire des annonces BGP. Entre ces deux instants, l’incident révèle surtout une chose: le trafic d’autrui ne se gouverne pas depuis un seul point.
Créateurs
Jakub Kicinski: comment Linux rend les fonctionnalités réseau maintenables
Une nouvelle carte réseau peut arriver avec une capacité impressionnante et une échéance commerciale. Linux doit se poser une question plus lente: la fonctionnalité peut-elle être comprise par d'autres matériels, observée par les opérateurs, reproduite par les tests et soutenue…
Dossier
La réponse qui a gagné la course : Kaminsky, le DNS et l’entropie derrière la confiance
Le faux paquet n’avait pas à démontrer qu’il venait de l’autorité compétente. Il devait coïncider avec une question encore ouverte et franchir la ligne d’arrivée avant la vraie réponse. En 2008, cette règle minimale est devenue une course que l’attaquant pouvait relancer à…
Dossier
La règle arrivée partout avant que son coût soit connu : la panne WAF de Cloudflare en 2019
Le 2 juillet 2019, le réseau de distribution de Cloudflare a accompli sa mission en quelques secondes; le contrôle qui le précédait avait vérifié la décision de sécurité, mais pas la quantité de calcul que cette décision pouvait exiger du monde entier.
Entreprises institutionnelles mondiales
NTT DATA et Palo Alto Networks fixent un objectif d'alliance de 1 milliard USD
NTT DATA et Palo Alto Networks élargissent leur ingénierie conjointe et leurs services de sécurité gérés dans le cadre d'une alliance mondiale visant 1 milliard USD d'activité d'ici 2029.
Dossier
La page qui empruntait la mémoire d’un autre client : la frontière révélée par Cloudbleed
Un document mal formé déclenchait l’erreur, mais les octets divulgués pouvaient appartenir à un client sans rapport avec lui: Cloudbleed a séparé brutalement l’arrêt de la fuite et la reprise de ce qui avait déjà franchi la frontière.
Dossier
Le certificat valable pour le mauvais usage : Flame et l’autorité cachée dans la finalité
Flame n’a pas volé la clé privée racine de Microsoft. Le logiciel a exploité une chaîne de licences dont les choix cryptographiques, les habitudes d’émission et la confiance héritée pouvaient être recomposés en pouvoir de signer du code.
Dossier
La requête disparue qui continuait à travailler : ce que Rapid Reset révèle de l’annulation
HTTP/2 autorise un client à renoncer à une requête sans rompre toute la connexion; Rapid Reset a montré qu’une annulation parfaitement valide pouvait devenir une facture illimitée pour les files d’attente du serveur.