Résumé

  • La résolution 202201.673 a ratifié une politique qui demandait à AFRINIC de créer et de publier des ROA AS0 sur les ressources IPv4 et IPv6 relevant de son administration et enregistrées comme non allouées ou non assignées.
  • L’acte institutionnel est affirmatif : sélectionner un ensemble de préfixes, autoriser une signature, publier les objets et les maintenir. AS0 exprime, lui, une intention négative sur l’origine attendue des routes.
  • Un validateur peut qualifier d’« Invalid » une origine ordinaire en conflit avec ces objets, mais cette qualification est technique. Chaque réseau choisit ensuite de surveiller, de déprioriser, de rejeter ou de ne rien changer.
  • Le meilleur argument en faveur du dispositif est la réduction de l’utilité des annonces non autorisées portant sur un inventaire enregistré comme inutilisé. Son risque symétrique est qu’un objet périmé ou erroné propage un faux positif jusque dans les décisions locales des opérateurs.
  • La ratification ne prouve ni délégation, ni signature effective, ni publication en dépôt, ni observation par un validateur, ni décision de routage, ni incident, ni bénéfice mesuré.
  • Un service défendable exige une portée étroite, une dérivation déterministe, un retrait avant allocation, une correction rapide, un historique public des versions et un avis explicite rappelant la liberté des opérateurs.

Une résolution courte, un acte technique substantiel

Le mot important de la résolution n’est pas « interdire ». C’est « publier ». La décision du Conseil d’administration d’AFRINIC a ratifié une proposition portant le nom AFPUB-2019-GEN-006-DRAFT03, consacrée aux ROA RPKI pour l’espace d’adressage AFRINIC non alloué et non assigné.

Derrière cette formule se trouve une opération matérielle, même si elle est accomplie par du logiciel : prendre l’état faisant autorité dans les registres, en déduire les préfixes entrant exactement dans le champ adopté, créer des objets cryptographiquement signés, les placer dans un dépôt consultable, puis les retirer ou les corriger lorsque l’état de l’inventaire change.

Cette opération est affirmative parce qu’AFRINIC doit agir avec ses propres moyens de certification. Le numéro de système autonome zéro ne transforme pas cette action en simple absence. Dans un ROA AS0, le zéro exprime qu’aucun système autonome ordinaire n’est attendu comme origine des préfixes couverts. Mais cette intention négative doit être inscrite dans un objet positif : quelqu’un sélectionne une portée, déclenche une signature, publie un résultat et en assume la maintenance. Une phrase de politique devient ainsi une assertion vérifiable émise par un service privé.

Pourquoi cela compte-t-il ? Parce qu’un espace enregistré comme non utilisé peut tout de même apparaître dans le système de routage à la suite d’une annonce non autorisée. Un opérateur qui ne dispose que d’une table de routes voit une origine et un préfixe ; il lui faut encore déterminer si cette association était attendue. Un ROA AS0 couvrant le préfixe apporte une information supplémentaire, vérifiable par la chaîne RPKI : selon les données publiées par le registre, aucune origine ordinaire ne devrait être autorisée à l’annoncer.

Le signal peut donc réduire l’ambiguïté autour d’une ressource enregistrée comme non allouée ou non assignée. Il peut faciliter la surveillance et rendre certaines annonces moins utiles à ceux qui voudraient exploiter l’inventaire vacant. C’est le meilleur argument en faveur de la politique, et il mérite d’être formulé sans caricature. Un registre chargé de tenir des enregistrements exacts peut légitimement fournir une assertion de sécurité étroitement liée à ces enregistrements.

Ce que le signal ne fait pas

La chaîne d’effet s’arrête toutefois plusieurs fois avant une décision de routage. Un objet publié doit d’abord être récupéré et contrôlé par un validateur. Celui-ci compare ensuite une annonce observée avec l’état RPKI et peut lui attribuer la catégorie technique « Invalid » si une origine ordinaire entre en conflit avec le ROA AS0. Cette majuscule appartient au vocabulaire d’un calcul de validation ; elle n’est ni un jugement de droit, ni une conclusion sur la propriété, ni une déclaration de culpabilité.

Après le calcul vient une autre décision, prise ailleurs. Chaque réseau détermine sa propre politique : consigner le résultat, déclencher une enquête, réduire la préférence d’une route, la rejeter, ou ne modifier aucun comportement. La résolution ne se connecte pas à distance aux routeurs. Elle ne transforme pas la non-adoption en faute. Elle fournit une donnée signée susceptible d’influencer une politique locale, sans dicter cette politique.

Cette séparation protège à la fois le sens technique du dispositif et sa limite institutionnelle. AFRINIC est un registre privé fondé sur ses membres, un teneur de livres techniques et un coordinateur. Le Conseil peut engager l’organisation à exploiter un service dans ce périmètre. Il ne devient pas pour autant législateur, régulateur, police, procureur, autorité de confiscation ou tribunal de droit public. La publication d’un ROA ne prononce rien contre une personne ; elle décrit l’état que le registre affirme pour un ensemble de ressources à un instant donné.

La sécurité dépend du retrait autant que de la signature

Un signal exact aujourd’hui peut devenir dangereux demain. Si une ressource couverte est sur le point d’être allouée ou assignée, le ROA AS0 doit être révoqué et retiré avant que la nouvelle utilisation légitime commence. L’ordre des opérations est capital. Publier l’objet après l’allocation, même brièvement, risquerait de faire apparaître une origine attendue comme techniquement contraire à un état périmé du dépôt.

La politique ratifiée intégrait ce principe de retrait avant allocation ou assignation. Elle laissait aussi aux détenteurs la possibilité de créer des ROA AS0 pour les ressources placées sous leur compte ou leur administration. Pour les ressources récupérées, l’entrée dans le dispositif supposait que la récupération fût achevée. Ces éléments montrent que la portée ne devait pas être une catégorie vague d’« adresses que le registre n’aime pas », mais une dérivation depuis des états précis, avec des exclusions et des transitions explicites.

La discipline de preuve demeure tout aussi importante. Le dossier établi montre que la proposition a été ratifiée en janvier 2022. Il ne montre pas qu’un préfixe déterminé a ensuite été sélectionné, qu’une clé a signé un objet, qu’un dépôt l’a publié, qu’un validateur l’a observé ou qu’un opérateur a changé une route. Il n’établit aucun incident, aucun dommage, aucun faux positif et aucun bénéfice mesuré. Confondre le mandat avec l’exécution produirait un récit plus spectaculaire, mais moins exact.

La résolution mérite donc d’être comprise pour ce qu’elle autorisait : une publication cryptographique affirmative sur un inventaire mouvant. Le dispositif est utile s’il reste aussi étroit que la donnée qui le fonde, aussi réversible que l’inventaire l’exige et aussi observable que le permet un historique public. Il cesse d’être défendable si l’opacité, la lenteur de correction ou le langage de coercition font oublier que l’assertion demeure un service technique soumis à la vérification et au choix des réseaux.