Résumé

  • La page actuelle de certification des ressources d’AFRINIC renvoie directement à un CPS RPKI de 48 pages, version 3.0, publié en mai 2020.
  • À la section V.8, AFRINIC affirme avoir reçu de l’IANA l’autorité exclusive sur les adresses IP et les numéros d’AS de « la région Asie-Pacifique ». Les pages d’AFRINIC et de l’IANA situent au contraire son ressort en Afrique et dans l’océan Indien.
  • Le CPS actuel d’APNIC reprend presque la même séquence de trois phrases et associe correctement APNIC à l’Asie-Pacifique. La ressemblance ne prouve ni le sens d’une copie ni l’identité d’un auteur.
  • Il s’agit d’un défaut dans un document public de contrôle, non de la preuve d’un certificat, d’une ROA, d’une allocation, d’une ancre de confiance, d’un état de route ou d’un service erroné.

Un document de 2020 maintenu à l’entrée du service

Un PDF ancien n’est pas nécessairement un document périmé. Tout dépend du chemin que l’institution propose encore au lecteur. Sur sa page consacrée à la certification des ressources, AFRINIC place un lien intitulé Certificate Practice Statement (CPS) parmi les documents de politique du service. Ce lien conduit sans avertissement d’archive à CPS.

Le fichier récupéré pour cette enquête compte 48 pages et 195 830 octets. Son empreinte SHA-256 est 2770e175edbd611c798d0036229a05f3e830843dc4ee202e35e5e944db91d5f0. La couverture le présente comme l’AFRINIC Certification Practice Statement for the Resource PKI, version 3.0, publiée en mai 2020. L’historique imprimé dans le document mentionne une version 1.0 en janvier 2011 et une version 2.0 en mars 2015.

La contradiction se trouve page 36, à la section V.8, CA or RA termination. Le texte dit qu’AFRINIC a reçu de l’IANA l’autorité exclusive pour gérer l’allocation d’espace d’adressage et de numéros d’AS dans « the Asia-Pacific region ». La phrase suivante invoque cette autorité pour expliquer l’établissement du RPKI d’AFRINIC dans sa région. La dernière indique qu’aucune disposition ne prévoit la cessation et le transfert de la fonction de CA à une autre entité.

La page a aussi été rendue sous forme d’image et examinée visuellement. La mention géographique ne vient donc ni d’une mauvaise reconnaissance de caractères, ni d’un moteur de recherche, ni d’un collage entre deux colonnes. Elle appartient au paragraphe tel que le public peut le lire.

Sa position rend l’erreur plus sérieuse qu’une adresse fautive en pied de page. La section V.8 relie une organisation, l’autorité que lui confère l’IANA, le territoire sur lequel cette autorité s’exerce et la continuité de la fonction de certification. La région sert de fondement à l’énoncé institutionnel.

Deux sources d’AFRINIC suffisent à établir son véritable ressort

Il n’est pas nécessaire d’interpréter une carte technique ou de déduire la réponse des allocations. La présentation d’AFRINIC la décrit comme le registre régional qui dessert l’Afrique et la région de l’océan Indien. Sa page sur la région de service distingue l’Afrique du Nord, de l’Ouest, du Centre, de l’Est et australe, ainsi que l’océan Indien.

L’IANA confirme cette répartition dans son guide des cinq RIR : AFRINIC couvre l’Afrique et des parties de l’océan Indien, tandis qu’APNIC couvre l’Asie et le Pacifique. Le rapport de reconnaissance d’AFRINIC de 2005 décrit déjà le territoire africain et insulaire du cinquième RIR et le passage des ressources à cette nouvelle structure.

Il n’y a donc pas deux frontières concurrentes entre lesquelles il faudrait arbitrer. Le constat publiable est plus précis : la section V.8 du CPS actuellement relié par AFRINIC associe le nom de l’institution à la région d’un autre RIR.

Les dates HTTP ne peuvent pas porter une conclusion plus large. La page HTML de certification renvoyait, lors de la capture, un en-tête Last-Modified du 20 août 2026. Le PDF renvoyait celui du 28 mai 2020. Ces valeurs identifient ce que les serveurs ont déclaré à propos des fichiers servis. Elles ne prouvent pas qu’un rédacteur ait relu chaque clause et chaque lien en août 2026. Une reconstruction du site ou une migration peut suffire à modifier la date du HTML.

APNIC fournit le miroir, pas la généalogie

Le meilleur terme de comparaison n’est pas un document général sur la géographie des RIR. C’est le CPS actuel d’APNIC, dont la section 5.8 suit presque exactement la même progression.

Elle énonce d’abord l’autorité confiée par l’IANA sur les ressources d’adressage et les numéros d’AS en Asie-Pacifique. Elle relie ensuite cette autorité à la mise en place du RPKI d’APNIC. Elle termine, elle aussi, par l’absence de dispositions pour transférer la fonction de CA à une autre entité. Dans ce texte, le nom et la région correspondent.

La similitude porte sur l’ordre et la fonction des trois phrases, pas seulement sur deux mots. Elle rend plausible l’usage d’un texte hérité ou d’un modèle commun. Mais les pièces publiques gelées ne contiennent ni historique de rédaction, ni commentaires d’auteur, ni journal d’approbation. Elles ne permettent pas de dire qu’AFRINIC a copié APNIC, qu’APNIC a copié AFRINIC, ou qu’une personne déterminée a oublié une substitution.

La comparaison reste utile à deux titres. Elle permet à chacun de vérifier le couple cohérent APNIC–Asie-Pacifique et le couple cohérent AFRINIC–Afrique et océan Indien. Elle montre aussi pourquoi une correction globale serait imprudente : remplacer le nom de la région ne décide pas, par lui-même, si la phrase voisine sur la transition de la CA doit être conservée.

Une phrase de CPS ne modifie pas une route

La proximité entre RPKI et exploitation du routage invite aux raccourcis. Le RFC 6484 décrit la relation entre la politique de certification du RPKI et le Certification Practice Statement de chaque CA. Le CPS est la déclaration publique de la façon dont une autorité dit appliquer la politique. Il est important pour la gouvernance, les abonnés et les parties utilisatrices. Il n’est pas, en lui-même, un certificat, une ROA, un manifeste, une CRL, une TAL ou le résultat d’un validateur.

Aucune source du dossier ne montre un certificat AFRINIC portant l’étiquette Asie-Pacifique. Aucune ne montre une adresse ou un ASN attribué à cette région à cause de la section V.8, ni APNIC privé d’une compétence. Il n’existe ici aucune preuve d’une modification de clé d’ancre de confiance, d’un objet de dépôt défectueux ou d’un changement des données validées.

Les observations ne relient pas davantage le paragraphe à un incident de routage. Elles ne montrent aucun préfixe devenu Invalid, NotFound ou inaccessible, aucune annonce rejetée, aucune compromission de clé ou de compte, et aucune interruption de service.

La dernière phrase de la section demande la même retenue. Le document public affirme qu’il n’existe pas de dispositions pour mettre fin à la fonction de CA et la transférer à une autre entité. Cela ne démontre pas qu’AFRINIC serait dépourvue de plan interne de continuité, de procédure de reprise ou d’autorité d’urgence. Ces dispositifs ne sont pas interchangeables avec le transfert public décrit dans le CPS.

Cette limite n’excuse pas le texte. Un CPS est précisément le document auquel une CA renvoie pour exposer sa pratique. Si le lien entre l’institution, son autorité et sa région est faux, le lecteur ne peut savoir s’il s’agit d’un mot isolé, d’un paragraphe hérité sans contrôle ou d’un défaut plus large de gestion des versions. La réponse proportionnée est une correction documentée : ni scénario de panne inventé, ni indifférence.

Une bonne correction laisse un reçu

La solution la plus rapide serait de remplacer Asia-Pacific par Africa and the Indian Ocean, puis de remettre le PDF au même emplacement. Le résultat visible serait meilleur, mais l’opération effacerait les réponses aux questions essentielles : quelle version a été corrigée, par qui, sous quelle autorité, à quelle date, et avec quel effet sur le reste de la section ?

AFRINIC peut répondre sans exposer de secrets d’exploitation. Un reçu public de correction devrait nommer le document stable, le numéro de la nouvelle version et la clause V.8. Il devrait reproduire l’ancien et le nouveau texte, donner les empreintes SHA-256 des deux PDF et classer chaque changement comme correction éditoriale, clarification ou modification de pratique.

Le reçu devrait identifier le rôle qui a autorisé la publication et la base de son pouvoir, puis distinguer l’heure d’approbation, l’heure de publication et l’heure de prise d’effet. Il devrait dire explicitement si la phrase sur l’absence de transition de la CA est maintenue, reformulée, remplacée ou régie par un autre instrument public.

Le PDF 3.0 devrait rester disponible à une adresse historique immuable. L’adresse longue durée du CPS courant devrait servir les octets annoncés pour le remplacement. Un avis ou un journal des changements pourrait relier les deux. Une lecture indépendante du statut HTTP, de l’ETag, de la longueur, de l’empreinte et de la section V.8 vérifierait ensuite que le serveur et le reçu racontent la même histoire.

Si aucune clé, aucun certificat, aucun objet de dépôt et aucun service n’a changé, la mention document correction only bornerait utilement l’effet. Elle est plus vérifiable qu’une assurance générale selon laquelle le RPKI n’aurait pas été touché.

Ce que l’âge du fichier ne permet pas de savoir

Le millésime 2020 ne dit pas quand l’expression fautive est apparue. Il faudrait retrouver les versions 1.0 et 2.0, puis authentifier leurs octets, pour déterminer si elle était déjà présente. Il est également possible qu’une note interne ou un document ultérieur la corrige sans que la page publique ait été mise à jour. La seule conclusion nécessaire ici est que l’entrée publique actuelle conduit toujours à la version 3.0.

Le dossier ne désigne pas non plus un responsable individuel. La rédaction, l’approbation juridique, l’exploitation de la CA et la publication web peuvent relever de bureaux différents. Une fonction inscrite dans un organigramme ne prouve pas l’auteur d’une phrase. Le prochain reçu doit faire apparaître la responsabilité de la correction, pas encourager une attribution rétrospective sans preuve.

Enfin, la cohérence du texte d’APNIC ne transforme pas sa phrase sur la succession en règle recommandée pour AFRINIC. Le parallèle établit l’origine probable d’une structure rédactionnelle, non la justesse d’une politique. Toute modification des modalités de continuité serait un acte de gouvernance distinct et devrait être publiée comme tel.

Rendre la réparation reconstructible

Une clôture solide tient en une chaîne que n’importe quel lecteur peut refaire : ouvrir l’adresse actuelle, identifier la version, vérifier l’empreinte, lire la région corrigée, connaître le sort réservé à la phrase de transition et retrouver le fichier remplacé.

Cette chaîne permettrait à AFRINIC de reconnaître une erreur documentaire sans lui attribuer une panne qui n’est pas prouvée. Elle donnerait aux parties utilisatrices un contrôle public sans révéler de matériel privé. Elle transformerait surtout une faute embarrassante en exemple de maintenance institutionnelle.

L’erreur a pu rester visible parce qu’une adresse stable donne une impression d’actualité à des octets anciens. La bonne décision est donc limitée : corriger le ressort d’AFRINIC, revoir explicitement le reste de la clause V.8, préserver la version 3.0 et publier la preuve autorisée de ce qui a — ou n’a pas — changé.

Sources