Résumé

  • La proposition publiée le 4 novembre 2019 voulait convertir un état précis du registre — « non alloué » — en un avertissement RPKI signé au moyen de ROA dont l’origine est AS0.
  • Le meilleur argument en sa faveur est opérationnel : pour de l’espace réellement non alloué, un signal authentifié et commun peut être plus cohérent que des listes privées que chaque réseau maintient séparément.
  • La même force cryptographique amplifie toutefois une erreur de classement ou un retrait tardif : une annonce par ailleurs légitime peut alors être vue comme Invalid par les opérateurs qui se fient au signal.
  • Un ROA AS0 ne supprime pas lui-même une route BGP. Chaque opérateur reste maître de la réaction locale : rejet, moindre préférence, surveillance ou absence d’action.
  • La conception défendable exige donc une portée exacte, une provenance visible, des contrôles de conflit, un historique vérifiable, un retrait coordonné avant tout changement légitime, une correction urgente et une observation indépendante.
  • La publication de Draft 1 ne prouve ni adoption, ni consensus, ni ratification, ni mise en œuvre, ni incident. Elle doit être jugée comme une proposition de service technique, non comme l’exercice d’un pouvoir public qu’AFRINIC ne possède pas.

Une négation technique placée au bord du registre

Le geste du 4 novembre 2019 paraît simple si on le réduit à une phrase : AFRINIC proposait de signer, avec AS0, des ROA couvrant de l’espace enregistré comme non alloué. Pourtant, cette phrase relie trois systèmes dont les vérités ne sont pas identiques. Il y a d’abord le registre, qui décrit un état administratif de la ressource. Il y a ensuite le RPKI, qui permet de publier une assertion signée dans une chaîne de certificats. Il y a enfin le routage, où des opérateurs autonomes observent les résultats de validation et décident de leur politique locale. La proposition tirait sa valeur de l’alignement de ces trois plans.

Son risque apparaissait dès qu’ils se désalignaient.

Un espace effectivement non alloué n’est pas censé avoir une origine publique ordinaire. Dans ce cas, un ROA AS0 peut exprimer de façon authentifiée qu’aucun ASN routable classique n’est attendu pour le préfixe couvert et ses sous-préfixes concernés. Si une annonce présente néanmoins une autre origine qui n’est pas autorisée par un ROA couvrant l’origine et la longueur observées, la validation peut la classer Invalid. Cette classification donne au réseau qui reçoit l’information un motif précis de regarder l’annonce avec suspicion. Elle ne lui dicte toutefois pas ce qu’il doit en faire.

Cette séparation est essentielle. Le registre peut produire l’objet, le dépôt peut le distribuer et le validateur peut calculer un état, mais le dernier geste reste celui du réseau. Un opérateur peut rejeter les routes Invalid, leur attribuer une préférence moindre, les placer sous surveillance, déclencher une investigation ou ne pas modifier son choix de route. Les RFC qui décrivent la validation d’origine et son usage n’instituent pas un bouton central capable d’effacer une route partout sur Internet. Elles fournissent un signal commun que des acteurs distribués interprètent selon leurs propres responsabilités.

Le mot « négatif » doit donc être compris avec précision. AS0 ne déclare pas qu’une personne a violé une loi, qu’un titulaire a perdu un droit, qu’un actif a été confisqué ou qu’un opérateur mérite une sanction. Il indique, dans le cadre technique du RPKI, qu’une origine routable ordinaire n’est pas attendue pour l’espace couvert. Sa validité cryptographique atteste que l’objet a été signé dans une chaîne appropriée ; elle ne garantit pas, à elle seule, que le classement « non alloué » était exact au moment pertinent. La cryptographie protège l’intégrité d’une assertion. Elle ne transforme pas l’assertion en vérité infaillible.

La première proposition AS0 d’AFRINIC se situait précisément à cette frontière. Elle envisageait de convertir l’état détenu par le teneur de registre en une assertion susceptible d’influencer des décisions de routage en de nombreux endroits. Le changement de format — d’une ligne dans une base de service à un objet signé — changeait aussi l’échelle des conséquences. Une erreur enfermée dans un registre exige déjà une correction. Une erreur publiée sous forme de signal de sécurité peut être récupérée automatiquement par des validateurs puis intégrée à des politiques d’opérateurs qui n’ont ni créé l’erreur ni contrôlé son retrait.

Il ne faut pas exagérer ce levier. AFRINIC ne devenait pas le pilote de tous les routeurs et ne recevait aucune compétence de puissance publique. Il faut néanmoins le prendre au sérieux. Un signal uniformément lisible, cryptographiquement vérifiable et facilement consommable peut être plus influent qu’une mention administrative peu visible. C’est d’ailleurs ce qui rendait l’idée utile. La gouvernance responsable ne consiste pas à nier cette utilité, mais à traiter la précision, le retrait et la correction comme des éléments constitutifs du mécanisme, et non comme des détails ajoutés après la publication.

Le meilleur argument pour Draft 1

L’hypothèse favorable mérite d’être formulée sans caricature. Les réseaux cherchent à distinguer les origines attendues des annonces suspectes. Lorsqu’une ressource est véritablement non allouée, AFRINIC se trouve dans une position plausible pour signaler cet état, puisqu’il maintient les données d’allocation correspondantes dans son service régional. Publier un objet signé au sein du même environnement de validation que les ROA positifs peut offrir un langage technique cohérent : les opérateurs n’ont pas à télécharger une liste obscure, à deviner sa provenance ni à synchroniser chacun une copie selon une méthode différente.

Une liste manuelle possède une faiblesse familière : sa qualité dépend de celui qui la compile, du moment où elle est mise à jour, du canal par lequel elle circule et de la discipline de chaque utilisateur. Deux opérateurs peuvent travailler à partir de versions différentes sans s’en apercevoir. Un signal RPKI, en revanche, s’insère dans un système conçu pour publier et valider des assertions d’origine. La proposition pouvait donc réduire le coût de surveillance de l’espace réellement non alloué et donner une indication plus facilement vérifiable qu’un inventaire privé non authentifié.

Cet argument n’exige aucune prétention souveraine. Il suffit d’admettre une mission de service étroite : tenir des dossiers exacts, publier une assertion techniquement circonscrite et permettre aux utilisateurs du service de l’observer. AFRINIC n’aurait pas besoin de déclarer une annonce « illégale » ni d’ordonner son rejet. L’organisation pourrait simplement dire, en substance technique, que son registre ne fait apparaître aucune allocation ordinaire pour l’espace couvert à cet instant. Les opérateurs resteraient libres d’attribuer à ce constat le poids qu’ils jugent proportionné.

La cohérence du signal peut également améliorer la qualité des questions. Une annonce confrontée à un ROA AS0 invite à vérifier plusieurs choses : le registre décrit-il correctement la ressource ? l’objet signé correspond-il à cet état ? l’annonce a-t-elle une explication légitime ? un changement de statut est-il en cours ? Le signal peut ainsi servir d’amorce à une investigation, plutôt que de verdict. Dans un déploiement prudent, il rend l’écart visible avant de prétendre le résoudre automatiquement.

Il serait donc trop facile de présenter Draft 1 comme une tentative intrinsèquement abusive. Le dossier documentaire établit la publication d’une proposition visant un vrai problème de sécurité du routage. Rien dans les preuves disponibles ne démontre une intention punitive, un incident, un titulaire lésé ou même une mise en production. La critique solide commence en reconnaissant que l’espace réellement non alloué appelle un avertissement utile, puis demande quelles garanties empêchent cet avertissement de survivre à la réalité qu’il était censé décrire.

Cette formulation change le centre du débat. La question n’est pas de choisir entre « sécurité » et « liberté », comme si toute précision affaiblissait le dispositif. Elle est de savoir quelle architecture rend le signal assez fiable pour que des opérateurs puissent s’y fier sans déléguer leur jugement. La portée exacte, la visibilité de la source, la détection des contradictions, la rapidité de retrait et l’observation extérieure renforcent la sécurité. Elles ne la tempèrent pas au nom d’une objection abstraite ; elles réduisent le risque que le système authentifie parfaitement une information devenue fausse.

Ce que la signature prouve — et ce qu’elle ne peut pas prouver

Un objet RPKI peut être correctement signé tout en reproduisant un mauvais état du registre. Cette distinction est la clé de l’analyse. La signature répond à une question d’authenticité dans une chaîne technique : l’objet vient-il du point de publication autorisé et son contenu a-t-il conservé son intégrité ? Elle ne répond pas automatiquement à une question de réalité : l’espace était-il réellement non alloué, aucun changement légitime n’était-il imminent, aucune contradiction n’avait-elle été omise ?

Le passage du registre au ROA AS0 comporte donc une dépendance forte. La qualité du signal aval ne peut pas dépasser durablement la qualité des données et des procédures en amont. Si le classement source est exact, le signal peut rendre cette exactitude exploitable. Si le classement est erroné, la signature peut rendre l’erreur plus facile à distribuer et plus difficile à ignorer. Il ne s’agit pas d’une faiblesse particulière à la cryptographie ; c’est le résultat normal d’un système qui garantit fidèlement la provenance d’une donnée sans pouvoir vérifier toute la réalité institutionnelle dont elle provient.

La prudence commande aussi de ne pas confondre Invalid avec « invalide » au sens juridique ou moral. Dans la validation d’origine, Invalid est un état calculé à partir de la relation entre une annonce observée et les autorisations couvrantes disponibles. Il indique une incompatibilité technique déterminée, non une décision sur la propriété, l’intention, la culpabilité ou l’abus. Une annonce légitime peut théoriquement rencontrer un état Invalid si la donnée d’autorisation est fausse, incomplète ou périmée. Inversement, le simple calcul d’un état ne dit pas quelle action opérationnelle est optimale dans toutes les circonstances.

Cette nuance protège à la fois le réseau et le registre. Elle protège le réseau parce qu’elle évite qu’une classification soit élevée au rang de jugement absolu. Elle protège le service de registre parce qu’elle lui assigne une responsabilité praticable : publier des données exactes, circonscrites, traçables et corrigibles. Exiger cette rigueur n’oblige pas AFRINIC à devenir arbitre de toutes les contestations imaginables. Cela lui interdit seulement de traiter l’autorité cryptographique de sa signature comme un substitut à la qualité de sa tenue de dossiers.

Le même principe s’applique à la réception par les opérateurs. Un réseau qui rejette automatiquement tout état Invalid prend une décision plus forte qu’un réseau qui commence par surveiller. Les deux peuvent utiliser la même donnée, mais leur exposition à un faux positif diffère. La proposition n’unifie donc pas les conséquences. Elle peut produire un langage commun sans produire une politique universelle.

Cette diversité explique pourquoi une erreur n’aurait pas nécessairement la forme d’une panne mondiale nette : elle pourrait se manifester de façon inégale, selon les réseaux, les chemins disponibles et les configurations locales, sans que le dossier de Draft 1 permette d’affirmer qu’une telle manifestation a eu lieu.

La limite documentaire doit rester visible. Les preuves disponibles ne fournissent pas le texte clause par clause de Draft 1, un délai exact de retrait, une cadence de publication ni l’inventaire des préfixes qui auraient été couverts. Il serait donc incorrect de reconstruire un mécanisme précis à partir de versions ultérieures ou d’informations générales sur AS0. L’objet de l’analyse est la condition de gouvernance ouverte par la première publication : dès qu’un registre propose de signer une négation fondée sur son propre état, sa capacité à détecter et annuler une erreur devient aussi importante que sa capacité à émettre l’objet.

La chaîne causale d’un faux signal

Le risque peut être décrit sans inventer d’incident. Première étape : le service de registre classe une ressource comme non allouée. Deuxième étape : ce classement déclenche ou justifie la création d’un ROA AS0. Troisième étape : l’objet est publié et récupéré par des validateurs qui acceptent la chaîne de confiance concernée. Quatrième étape : une annonce avec une origine ordinaire apparaît et reçoit un résultat Invalid en fonction des objets disponibles. Cinquième étape : chaque opérateur applique sa propre politique.

Le dommage éventuel ne vient donc pas d’un pouvoir magique du ROA, mais d’une succession d’actes techniques reliés par la confiance.

Dans le cas normal visé, cette chaîne fonctionne comme prévu : la ressource est bien non allouée, une origine ordinaire n’est pas attendue, le signal attire l’attention sur une annonce qui mérite un examen. Dans le cas d’erreur, la même chaîne devient un amplificateur. Le registre peut avoir mal classé la ressource, ne pas avoir encore reflété un changement légitime, ou conserver un objet négatif alors que l’état a évolué. L’annonce n’a pas changé de nature simplement parce que le registre est en retard ; c’est la représentation signée de son contexte qui n’est plus alignée.

Le point le plus sensible est la transition. Un ROA AS0 utile à midi peut devenir nuisible lorsque la ressource doit entrer légitimement en service. Le moment critique n’est pas seulement celui où une nouvelle inscription est ajoutée au registre. C’est celui où le signal négatif cesse d’être visible et où les parties dépendantes peuvent constater ce retrait. Si la délégation ou un autre usage légitime précède le retrait effectif et observable, les opérateurs qui continuent de voir l’ancien objet peuvent recevoir un état contraire à la nouvelle réalité.

Il ne suffit donc pas d’affirmer qu’un objet sera « retiré ». La qualité du dispositif se juge au chemin complet : décision de changement, mise à jour du registre, suppression ou remplacement de l’assertion négative, publication cohérente du nouvel état, observation par des validateurs indépendants et réévaluation par les réseaux. Le dossier ne permet pas d’imposer un chronomètre précis à Draft 1. Il permet en revanche d’établir une règle d’ordre : le retrait doit précéder, ou être coordonné de manière sûre avec, le commencement d’un usage légitime qu’il contredirait.

Une erreur de retrait peut être plus difficile à diagnostiquer qu’une erreur de publication initiale. Lorsqu’un objet apparaît à tort, sa création offre au moins un événement visible. Lorsqu’un objet qui devrait disparaître reste disponible, les acteurs doivent savoir si le problème se situe dans la décision, le registre, le dépôt, l’observation du validateur ou la politique locale. Sans provenance et historique, chacun peut voir un fragment différent et attribuer la faute au mauvais maillon. Le coût se déplace alors vers l’opérateur ou le client qui cherche à expliquer pourquoi une origine légitime est traitée avec méfiance.

Cette chaîne montre pourquoi la correction ne doit pas être conçue comme une faveur discrétionnaire. Si le signal provient d’un service de tenue de dossiers, un faux positif constitue d’abord un défaut de service à réparer. Il ne prouve ni mauvaise conduite du réseau, ni abus de la ressource, ni faiblesse du demandeur. La tâche est de vérifier l’authenticité de la contestation, de corriger le classement si nécessaire, de publier la correction, de permettre son observation indépendante et de laisser les opérateurs recalculer leur réponse.

Le retrait vaut autant que la publication

Les systèmes de sécurité valorisent naturellement l’émission : créer une assertion, la signer, la distribuer. Pour un signal négatif, la faculté d’annulation mérite pourtant la même place. Une publication rapide associée à un retrait opaque forme un mécanisme asymétrique : le système sait dire « non attendu » avec force, mais ne sait pas démontrer avec la même clarté quand cette déclaration a cessé d’être vraie.

La réversibilité n’est pas la promesse abstraite qu’une correction est toujours possible. Elle exige que le changement puisse être engagé par un canal connu, authentifié sans devenir inaccessible, exécuté assez vite pour limiter l’effet opérationnel et observé de l’extérieur. Elle suppose également que l’historique conserve les transitions. Sans trace, on ne peut pas distinguer un objet jamais retiré d’un objet retiré puis republié, ni mesurer si le service a corrigé la cause plutôt que le seul symptôme.

Le retrait doit aussi être traité comme une opération de continuité. Une organisation peut modifier correctement son registre interne alors que les utilisateurs du RPKI continuent de recevoir une vue ancienne ou incohérente. Protéger la continuité ne signifie donc pas protéger à tout prix une institution en place ou étendre ses prérogatives. Cela signifie protéger la cohérence des enregistrements, des objets publiés, du dépôt, des retraits et de ce que des validateurs distincts peuvent constater.

Cette définition conduit à une exigence concrète de preuve. Avant qu’une ressource change légitimement de statut, le service doit pouvoir établir que l’assertion négative incompatible a été retirée du chemin de publication et que ce retrait est observable. L’observation par une seule console interne ne suffit pas à elle seule à montrer ce que les parties dépendantes voient. Des vérifications indépendantes sont nécessaires, non pour créer une autorité concurrente, mais pour tester l’état réel du service depuis l’extérieur.

L’ordre des opérations compte davantage que l’identité de celui qui les décrit. Si une délégation est inscrite avant que le ROA AS0 ne soit effectivement retiré, la nouvelle inscription et l’ancien signal se contredisent. Si le retrait est effectué et observé avant l’usage, le risque de faux Invalid diminue. Le dispositif responsable cherche donc à supprimer la fenêtre de contradiction plutôt qu’à expliquer après coup que l’état interne était déjà correct.

Il faut enfin prévoir l’urgence sans convertir toute demande en vérité automatique. Une voie de correction robuste peut authentifier le demandeur, vérifier la ressource, relever les conflits et publier rapidement une décision de service. L’urgence concerne la restauration d’un état cohérent, pas l’abandon des contrôles. Plus le signal est susceptible d’alimenter des politiques automatiques, plus le service doit être préparé à distinguer vite une contestation fondée d’une demande erronée.

Les conséquences sont distribuées, mais les coûts sont réels

Un ROA AS0 ne provoque pas une conséquence uniforme. Cette réalité limite les affirmations possibles, mais elle n’annule pas les enjeux économiques. Un opérateur qui traite Invalid comme un motif de rejet peut avoir une réaction différente de celui qui l’utilise pour une alerte. Un réseau situé sur un chemin peut réagir alors qu’un autre ne le fait pas. La matérialisation du risque dépend donc des politiques volontaires et de l’environnement de routage, pas d’un ordre central.

Pour l’espace réellement non alloué, cette diversité peut être acceptable : certains réseaux renforcent immédiatement leur filtre, d’autres accumulent d’abord des observations. Le signal commun réduit néanmoins le coût de détection, puisqu’il évite à chaque acteur de reconstituer seul la liste de ce qui ne devrait pas être annoncé. La valeur économique se trouve dans une surveillance plus cohérente et dans une possible réduction du travail manuel.

Pour une ressource mal classée ou en transition, le coût change de côté. L’opérateur qui cherche à mettre l’espace légitimement en service peut devoir expliquer un état Invalid qu’il n’a pas créé. Il peut consacrer du temps à isoler le problème entre registre, RPKI, validateur et politique de transit. Ses clients peuvent rencontrer une accessibilité inégale. Sa réputation peut souffrir d’un symptôme que certains observateurs interprètent trop vite comme une erreur de configuration ou une annonce suspecte. Le dossier ne prouve aucun cas de ce type sous Draft 1 ; il montre pourquoi la conception devait l’anticiper.

L’incertitude sur le retrait a aussi un prix avant tout incident. Si un opérateur ne sait pas à quel moment une assertion négative cessera d’être visible, il ne peut pas planifier avec confiance l’activation d’une ressource nouvellement légitime. Il peut retarder le service, multiplier les vérifications privées ou demander des exceptions hors bande. Chacune de ces réponses consomme du temps et fragmente l’exploitation. Un chemin de retrait public, mesurable et reproductible réduit cette prime d’incertitude.

La répartition des responsabilités doit suivre la chaîne de contrôle. AFRINIC contrôle le classement qu’il maintient, le lien entre cet état et l’objet qu’il propose de publier, ainsi que le processus de retrait dans son service. Les validateurs observent et calculent. Les opérateurs contrôlent leur politique locale et assument les conséquences de disponibilité, de sécurité et de clientèle. Aucun acteur ne contrôle seul le résultat final. Cela rend la coopération nécessaire, mais ne justifie pas de dissoudre les responsabilités dans une notion vague de « communauté ».

Une correction bien conçue réduit également le besoin d’exceptions secrètes. Lorsque la provenance, le statut d’un défi, le retrait et la convergence des observations sont visibles, un opérateur peut réévaluer le signal sur une base commune. Lorsque tout est opaque, chaque réseau est tenté de construire son propre contournement. Le dispositif censé apporter une vérité cohérente finit alors par produire des réalités privées divergentes. La transparence opérationnelle est donc un moyen de préserver la valeur du RPKI, pas seulement une demande de gouvernance.

La preuve négative demande plus de discipline que l’intuition ne le suggère

Dire qu’une ressource est allouée renvoie à un enregistrement positif que l’on peut rattacher à une opération de service. Dire qu’elle n’est pas allouée paraît parfois plus simple : il suffirait de constater son absence de la liste positive. Mais la publication d’un signal négatif exige une vue complète et actuelle de l’état pertinent. Une omission, une synchronisation inachevée ou une transition mal ordonnée peut faire passer une absence temporaire pour une vérité durable.

Cette difficulté ne rend pas AS0 inutilisable. Elle impose des contrôles proportionnés à la portée du signal. La première question est celle du périmètre : quels espaces sont exactement couverts parce qu’ils sont enregistrés comme non alloués ? La deuxième est celle de la provenance : quel état du registre a déclenché l’objet et quand a-t-il été observé ? La troisième est celle du conflit : une autre donnée, une opération en cours ou une assertion existante contredit-elle la publication envisagée ? La quatrième est celle de la sortie : quelle transition retire l’objet avant qu’il ne soit incompatible avec un usage légitime ?

Une conception sûre refuse les catégories trop larges ou implicites. Elle ne transforme pas une incertitude, un désaccord ou un dossier incomplet en équivalent automatique de « non alloué ». Le signal AS0 décrit une condition technique étroite ; il ne doit pas devenir le réceptacle de toutes les situations que le registre ne sait pas résoudre. Plus la catégorie source est précise, plus la publication peut être auditée. Plus elle est vague, plus la signature risque de masquer l’ambiguïté sous une apparence de certitude.

Le contrôle de conflit avant publication est particulièrement important. Il cherche non pas à prouver une perfection impossible, mais à détecter les contradictions déjà visibles avant qu’elles ne soient distribuées. Un état de délégation en préparation, une assertion incompatible ou une modification non achevée devrait conduire à suspendre le signal négatif jusqu’à clarification. La publication automatique à faible friction peut sembler efficace, mais elle économise du travail au point du registre en transférant le risque vers les réseaux qui recevront l’objet.

Après publication, l’audit doit pouvoir relier chaque objet à l’état qui l’a justifié et à son historique de changement. Cette traçabilité permet de répondre à des questions élémentaires : pourquoi cet espace était-il couvert ? quand la condition a-t-elle changé ? le retrait a-t-il été publié ? que voient des validateurs indépendants ? Sans ces réponses, une signature valide prouve seulement que le service a signé quelque chose, alors que la confiance des opérateurs dépend de la justesse continue de ce quelque chose.

La discipline s’étend à la correction. Une contestation ne doit pas être enfermée dans une discussion institutionnelle indéfinie pendant que l’objet continue d’influencer le routage. Le service doit séparer la restauration technique urgente d’un état cohérent des débats plus larges qui pourraient exister autour d’un dossier. S’il apparaît que le signal ne correspond plus au registre exact ou qu’une transition légitime est confirmée, la priorité est de corriger le service. Une assertion négative périmée n’acquiert pas de légitimité supplémentaire parce qu’elle a été signée hier.