Résumé

  • En février 2020, la résolution 202002.550 a consigné la déclaration du conseil d’administration d’AFRINIC selon laquelle un audit interne avait révélé ce que l’organisation qualifiait de malversations substantielles dans l’allocation de ressources IP. Elle a aussi rendu publics le signalement déjà effectué auprès du Central CID et la décision de coopérer avec des services étrangers compétents si nécessaire.
  • Une correction fiable ne commence pas par l’écrasement d’une ligne WHOIS. Elle exige de figer l’état antérieur, l’historique des changements, l’identité technique des intervenants, leurs autorisations, les horodatages, les dossiers d’allocation et les pièces de l’audit, afin que la correction ne détruise pas la preuve qu’elle prétend tirer au clair.
  • AFRINIC pouvait légitimement auditer ses propres fichiers, empêcher de nouvelles modifications non autorisées, conserver et transmettre des éléments, isoler une inscription contestée, corriger une erreur suffisamment établie et renforcer ses contrôles. Elle ne pouvait ni exercer une contrainte policière, ni poursuivre, juger, punir, confisquer ou trancher souverainement un titre disputé.
  • La qualité institutionnelle de la réponse dépend du raccord entre plusieurs systèmes qui ne doivent pas être confondus : la conservation probatoire, la saisine des enquêteurs publics, la continuité d’un registre exact, la notification des titulaires concernés, la possibilité de contester et la fermeture démontrable des défaillances de contrôle.
  • La résolution a eu une valeur réelle parce qu’elle a exposé une découverte interne, un renvoi vers la police et une disposition à la coopération internationale. Elle n’a toutefois constitué ni une décision de culpabilité, ni un relevé complet des preuves, ni un jugement sur la propriété des ressources concernées.

L3 — Figer la preuve avant de corriger le registre

Imaginons la scène sans lui ajouter de théâtre. Un auditeur ouvre un dossier d’allocation et constate que trois représentations d’une même opération divergent. Le formulaire ou la correspondance à l’origine de la demande indique un bénéficiaire et un motif. La chaîne d’approbation interne montre quelles personnes ont examiné le dossier et sous quelles habilitations. La base publique, elle, affiche un autre état, ou un état dont le cheminement ne peut être expliqué par les validations conservées. La divergence appelle une action immédiate. Elle n’autorise pourtant pas une correction immédiate et silencieuse.

Copier la ligne WHOIS visible au moment de la découverte serait insuffisant. Une ligne finale est une photographie sans le mouvement qui l’a produite. Elle ne dit pas si une valeur a été introduite lors de l’allocation initiale, changée lors d’une maintenance ordinaire, importée par un outil, approuvée au moyen d’un compte privilégié, ou modifiée après une demande apparemment régulière. Elle ne conserve pas nécessairement la valeur précédente.

Elle n’explique pas davantage si l’acteur apparent était bien la personne qui utilisait le compte, si l’action entrait dans son périmètre d’autorisation, ni quelles pièces justificatives l’accompagnaient. Pour un enquêteur, un titulaire affecté ou un réviseur interne, le résultat seul ne remplace donc pas le processus.

La première opération raisonnable est un gel probatoire ciblé. Ce gel porte sur l’état original des fichiers et des bases, mais aussi sur les journaux de modification, les identifiants techniques, les horodatages, les tickets, les courriels professionnels pertinents, les approbations, les pièces communiquées par le demandeur et les feuilles de travail de l’audit. Il faut distinguer la donnée observée de la copie de travail, consigner quand et comment chaque élément a été extrait, calculer si possible une empreinte d’intégrité et limiter les manipulations ultérieures.

Une liste des pièces et de leurs détenteurs permet ensuite d’expliquer ce qui a été remis, par qui et à quel moment. Sans cette discipline, l’organisation risque de produire un assemblage exact dans son contenu apparent, mais fragile quant à son origine et à sa continuité.

Préserver ne signifie pas déclarer authentique toute donnée trouvée. La préservation est plus modeste et plus robuste : elle maintient disponible ce qui existait, y compris les incohérences, afin qu’un processus compétent puisse les examiner. Un journal peut être incomplet, un compte peut avoir été partagé, une approbation peut être ambiguë. Ces limites doivent accompagner la pièce au lieu d’être effacées par une narration trop assurée. La valeur probatoire d’un ensemble dépend justement de la capacité à séparer le fait observé, l’inférence interne et la conclusion d’une autorité publique.

Cette séquence évite un paradoxe central. Si AFRINIC corrige la base avant de préserver l’état antérieur et le chemin des changements, elle peut détruire une partie de l’explication recherchée par les enquêteurs et par les titulaires concernés. Si elle attend indéfiniment au nom de la preuve, elle laisse une inscription possiblement erronée guider des décisions opérationnelles, administratives ou contractuelles. Le bon enchaînement n’est donc ni « corriger d’abord » ni « ne rien toucher ».

Il consiste à figer l’état et les traces, à isoler ce qui est contesté, puis à maintenir un service de registre aussi exact que possible au moyen d’une décision documentée et révisable.

L’isolement d’une inscription contestée est différent d’une confiscation. Sur le plan technique, il peut s’agir de suspendre certains changements, d’exiger une seconde approbation, de signaler une anomalie dans les outils internes ou de placer le dossier dans une file spécialisée. Sur le plan institutionnel, il faut préserver les droits et la continuité du titulaire qui dépend de l’exactitude du registre. Une mesure transitoire doit donc avoir un motif consigné, un périmètre limité, une durée surveillée et une voie de réexamen. Le contrôle d’une base de données ne donne pas au gestionnaire le pouvoir de transformer une incertitude en verdict.

La résolution 202002.550 apparaît dans la section de février 2020 du registre du conseil d’administration. La publication ne précise pas le jour exact de la résolution. Elle rapporte que, selon le conseil, un audit interne récent avait « révélé » une malversation substantielle dans l’allocation de ressources IP. Elle indique aussi que l’affaire avait été signalée au Central CID de la police locale pour enquête, envisage une dimension internationale et décide qu’AFRINIC coopérerait avec les services étrangers concernés. Ces formulations établissent ce que le conseil a déclaré et décidé.

Elles ne démontrent pas qu’une personne déterminée était coupable, ni même quelle conclusion une enquête publique finirait par retenir.

Le choix des mots importe d’autant plus que les documents officiels utilisent un vocabulaire chargé. La résolution emploie les termes de malversation et de fraude. La mise à jour publiée le 21 février parle d’un « vol allégué ». La déclaration d’août indique qu’AFRINIC avait des raisons de croire à une appropriation indue et ajoute que l’enquête pénale se poursuivait. Dans chaque cas, il s’agit d’une qualification ou d’une croyance attribuée à l’organisation, non d’une conclusion judiciaire que le lecteur pourrait reprendre comme un fait établi. Le maintien de cette attribution n’affaiblit pas l’analyse.

Il protège la séparation entre l’alerte privée et le jugement public.

La mise à jour du 21 février fournit un raccord chronologique utile. AFRINIC y déclarait que la Mauritius Police Force avait ouvert une enquête et que l’organisation lui apportait son soutien. Le même texte décrivait, séparément, la poursuite des travaux sur les contrôles internes, des activités présentées comme visant la récupération de ressources et une mise à jour de WHOIS. Ce parallélisme est révélateur : le volet policier et le volet administratif avançaient en même temps, mais ils ne constituaient pas une seule procédure.

Le registre avait ses propres erreurs potentielles à examiner; la police avait la responsabilité de l’enquête publique.

La déclaration du 25 août ajoute une description rétrospective des pratiques adoptées. AFRINIC disait avoir suivi des procédures de diligence afin de conserver suffisamment d’éléments pour les affaires en cours. Elle rapportait un examen complet des allocations WHOIS existantes, la prise de contact avec des titulaires affectés, l’annulation de certaines inscriptions et le maintien d’une enquête pénale distincte. Là encore, ces éléments décrivent les actes et les affirmations de l’organisation.

Les documents accessibles ne livrent ni inventaire exhaustif des pièces, ni registre de conservation, ni empreintes, ni reçus de remise, ni dossier policier. On ne peut donc pas reconstruire publiquement la chaîne de possession de chaque élément.

Cette absence ne prouve pas qu’une chaîne fiable n’existait pas. Elle définit ce que le public peut vérifier. Une gouvernance sérieuse doit vivre avec cette distinction entre ce que l’organisation peut détenir confidentiellement, ce qu’elle peut communiquer à des enquêteurs et ce qu’elle peut publier sans compromettre une procédure ou des données personnelles. Mais la confidentialité ne devrait pas devenir une formule dispensant de rendre compte.

Même si le détail des pièces reste protégé, les membres peuvent recevoir une description du protocole : catégories d’éléments gelées, fonctions responsables, séparation des accès, existence d’un reçu de transfert, règles de conservation, nombre d’exceptions de contrôle ouvertes et critères de clôture.

La préservation doit en outre précéder les entretiens internes susceptibles d’influencer les traces. Dès qu’une divergence sérieuse apparaît, les droits d’administration doivent être revus, les suppressions automatiques interrompues sur les systèmes concernés et les sauvegardes pertinentes protégées. Cette précaution ne suppose la culpabilité de personne. Elle empêche seulement qu’une rotation normale des journaux, une opération de maintenance ou un changement de personnel rende les faits plus difficiles à établir.

La restriction d’accès doit viser le risque technique et être enregistrée; elle ne doit pas devenir une sanction professionnelle improvisée ou une accusation publique.

Il faut aussi préserver les relations entre les pièces. Un dossier d’allocation pris isolément peut sembler régulier. Un événement de base de données pris isolément peut ressembler à une correction habituelle. C’est leur jonction qui permet de voir si l’action correspondait à une demande, à une autorisation et à une justification. La preuve utile réside ainsi dans un graphe temporel : demande reçue, contrôle effectué, décision approuvée, droit d’accès utilisé, modification exécutée, publication observée, exception détectée. Chaque lien doit pouvoir être soutenu par une pièce ou qualifié d’inférence.

Remplacer ce graphe par une narration unique rend l’examen plus simple en apparence et moins fiable en réalité.

La résolution est importante parce qu’elle rend visible le passage entre la découverte interne et la saisine externe. Toutefois, elle ne publie pas ce niveau de détail. Elle ne dit pas quels instantanés ont été pris, quels journaux ont été conservés, quelles autorisations ont été rapprochées ni comment la remise à la police a été documentée. Elle ne fournit pas non plus de mesure achevée de l’efficacité des contrôles réparés.

Une lecture responsable doit donc tenir ensemble deux propositions : la décision de divulguer et de saisir la police était institutionnellement utile; les informations publiques ne permettent pas de certifier l’intégralité de la chaîne probatoire ou l’achèvement du traitement.

La correction du registre exige sa propre piste. L’entrée antérieure ne doit pas disparaître du système de preuve lorsque l’entrée publique est rectifiée. Le dossier de correction devrait conserver la valeur précédente, la nouvelle valeur, le motif, les éléments sur lesquels la décision s’appuie, l’auteur de la proposition, l’approbateur indépendant et l’heure de mise en œuvre. Si la correction est provisoire, cette qualité doit être explicite. Si elle est contestée, le dossier doit contenir l’objection, les pièces nouvelles et l’issue du réexamen.

Cette séparation autorise deux vérités simultanées : le service courant peut afficher la meilleure donnée disponible, tandis que l’historique conserve ce qui est nécessaire à l’enquête et à la contestation.

La notification du titulaire est un élément de contrôle, pas une faveur de communication. Une organisation ou un opérateur peut dépendre de l’inscription pour expliquer son usage, répondre à des partenaires, gérer des incidents et défendre une continuité de service. Si une divergence le concerne, il doit savoir quelle inscription est examinée, quelle mesure provisoire a été prise, sur quelle catégorie d’éléments elle repose et comment fournir une réponse. L’avis doit toutefois éviter de diffuser des détails qui compromettraient une enquête ou exposeraient des tiers.

La difficulté n’abolit pas l’obligation : elle impose une notification calibrée, traçable et assortie d’un canal de contestation.

Le rapport annuel 2020 d’AFRINIC situe le travail de contrôle dans un champ plus large. Il indique que l’audit a examiné la garde légitime et les processus d’allocation des ressources IPv4 historiques et non historiques, puis rapporte l’ajout de plusieurs niveaux de vérification aux processus internes et externes. Cette synthèse officielle soutient l’existence d’un effort de réparation. Elle ne remplace pas les feuilles de travail, la liste complète des exceptions ou un test ultérieur montrant que les nouvelles couches fonctionnaient dans la durée. Renforcer un contrôle sur le papier et démontrer sa performance sont deux étapes distinctes.

Une réparation crédible commence par la cause du décalage. Un contrôle à quatre yeux est utile seulement si le second regard est indépendant, informé et techniquement capable de refuser. Une séparation des privilèges n’a de sens que si aucun compte générique ne contourne les rôles. Une revue des pièces n’est efficace que si les documents peuvent être rapprochés d’une source et si les exceptions interrompent réellement l’opération. Les nouveaux contrôles doivent produire des traces faciles à revoir. Autrement, l’organisation ajoute des cases à cocher sans réduire la possibilité qu’une décision et sa représentation publique divergent à nouveau.

La fermeture des exceptions mérite la même attention que leur détection. Chaque incohérence identifiée devrait avoir un propriétaire opérationnel, une échéance, une classification du risque et une preuve de résolution. La clôture ne peut pas signifier simplement que la ligne visible a été modifiée. Elle doit montrer que l’état probatoire a été sauvegardé, que le titulaire a été traité équitablement, que la correction a été approuvée, que la cause du défaut a été comprise et que le contrôle préventif ou détectif a été testé. Une exception qui réapparaît indique soit que la cause était mal comprise, soit que le remède n’était pas appliqué.

Ce travail explique pourquoi la résolution ne devrait pas être lue comme un simple communiqué de crise. Son intérêt institutionnel tient à la charnière qu’elle expose. Un signal issu de la comptabilité technique doit être converti en ensemble probatoire sans être déformé; cet ensemble doit être transmis à une autorité publique sans que le registre usurpe son rôle; l’inscription courante doit être corrigée sans effacer l’historique; enfin, la défaillance qui a permis la divergence doit être fermée. Si un seul raccord manque, la réponse devient soit inefficace, soit injuste.