Résumé

  • Le 21 août, APNIC a annoncé la vente achevée de son bureau du 6 Cordelia Street et son installation temporaire au rez-de-chaussée du 35 Boundary Street, nouvelle adresse pour la remise physique des avis et documents ; la boîte postale et les numéros de téléphone restent inchangés.
  • Le CPS RPKI encore diffusé par APNIC donne le 6 Cordelia comme contact et affirme que l’organisme possède l’immeuble où les opérations d’autorité de certification sont menées dans une zone protégée ; il place séparément les ordinateurs et modules cryptographiques dans deux centres de données externes.
  • La mise à jour est partielle : les fiches Hostmaster et Network Operations portent la boîte postale et des dates de modification du 26 août, alors que l’objet d’organisation APNIC Research and Development, un contact d’infrastructure et la description de route de 1.0.0.0/24 gardent l’ancienne rue dans WHOIS/RDAP.
  • Le bon livrable n’est pas un remplacement global de texte, mais un registre de changement versionné qui qualifie la fonction de chaque adresse, son état transitoire, son responsable et la preuve de sa vérification.

Une adresse n’est pas un type unique de donnée

Le communiqué d’APNIC est plus précis qu’un simple avis de déménagement. Il confirme que la vente du bureau de South Brisbane est terminée. Il donne le rez-de-chaussée du 35 Boundary Street comme adresse temporaire. Il y dirige la signification physique des avis, documents et correspondances. Il conserve en revanche PO Box 3646 pour le courrier et ne change pas les téléphones. Le futur site permanent reste à déterminer.

Cette répartition constitue déjà un petit modèle de données. Adresse de signification, adresse postale et bureau temporaire contiennent des chaînes proches, mais ne répondent pas à la même demande. Leur cycle de vie peut donc diverger sans contradiction. La boîte postale n’est pas en retard parce qu’elle n’a pas suivi les salariés ; le communiqué affirme justement qu’elle ne bouge pas.

La difficulté apparaît lorsque l’ancienne rue a été réutilisée ailleurs sans étiquette visible. Dans la base de numéros Internet, une adresse peut qualifier une organisation, un rôle de contact ou un texte descriptif lié à une route. Dans un CPS, elle peut être insérée dans une déclaration de contrôle physique. L’œil voit chaque fois « 6 Cordelia Street ». L’institution, elle, doit savoir si elle parle de réception de documents, d’identité organisationnelle ou de pratique de sécurité.

C’est pourquoi la cohérence ne se mesure pas au nombre d’occurrences effacées. Elle se mesure à la capacité de donner une destination exacte à chacune.

Le 26 août prouve que la propagation a commencé

La consultation publique APNIC-HM montre deux changements intervenus cinq jours après l’annonce. APNIC Hostmaster utilise PO Box 3646 et indique une modification à 00:40:00 UTC le 26 août. Network Operations utilise la même boîte et porte l’horodatage de la seconde suivante. Ces éléments ne démontrent pas quelle valeur a été modifiée lors de chaque opération, mais ils montrent que les objets ont été touchés et qu’ils affichent une adresse postale compatible avec l’annonce.

Il serait donc inexact de raconter un registre resté entièrement figé. Mais la requête visant 1.0.0.0 révèle que la propagation n’est pas achevée. L’organisation ORG-ARAD1-AP, APNIC Research and Development, se trouve toujours au 6 Cordelia dans l’affichage capturé. Le contact d’infrastructure AIC3-AP conserve l’ancienne adresse dans son libellé. La description de la route 1.0.0.0/24 associe encore le groupe de recherche d’APNIC à cette rue. Le contact IRT lié, lui, emploie la boîte postale. RDAP rend visible un assemblage matériellement comparable.

Ces champs n’ont pas tous la même portée. Une description de route n’indique ni l’origine autorisée d’un préfixe ni l’endroit où passe son trafic. L’adresse d’une organisation ne prouve pas où travaille aujourd’hui chaque équipe. Un horodatage last modified ne certifie pas non plus qu’un humain a réévalué toutes les valeurs de la fiche. Les données montrent un état de publication, pas un incident réseau.

Elles montrent néanmoins un problème opérable : un lecteur ne dispose d’aucun statut public lui permettant de distinguer l’information historique, la valeur toujours valable et la correction encore en cours.

Le CPS transforme la rue en affirmation de contrôle

Le CPS RPKI élève l’enjeu d’un degré. Dans ses coordonnées, le document nomme encore le 6 Cordelia pour le directeur Infrastructure and Development. Surtout, sa section 5.1.1 affirme que les opérations des autorités de certification RPKI d’APNIC, y compris celles hébergées pour les membres, se déroulent dans une zone physiquement protégée d’un immeuble appartenant à APNIC à cette adresse.

La phrase n’est pas une décoration géographique. Elle lie propriété, accès protégé et pratique de certification. La même section décrit des bureaux, des salles de réunion et une salle machine depuis laquelle APNIC exploite à distance deux centres de données externes. Le passage suivant précise que ces centres externes hébergent les systèmes de CA et les modules cryptographiques, dont l’accès physique est réservé à certains employés par carte.

La distinction entre bureau et centres de données interdit les raccourcis alarmistes. Rien dans les sources gelées n’indique qu’un ordinateur de CA, une clé ou un module cryptographique a quitté un centre de données. Rien ne révèle une interruption de validation, un accès indu ou une baisse de protection. APNIC dit que ses opérations continuent normalement, et aucune mesure contraire ne figure au dossier.

Ce qui manque est la situation de la partie « immeuble de bureaux ». La vente achevée a-t-elle coïncidé avec la fin de toute utilisation opérationnelle ? APNIC bénéficie-t-elle d’une occupation transitoire ? Le rôle de la salle machine a-t-il été transféré sans que le détail puisse être publié ? Le CPS reste-t-il exact pour quelques semaines selon une convention non mentionnée dans l’avis général ? Les documents accessibles ne permettent pas de trancher.

La rigueur consiste à maintenir cet inconnu, puis à lui attribuer une échéance. Elle ne consiste ni à accuser APNIC d’exploiter un CPS faux avec intention, ni à présenter la possibilité d’une transition comme un fait établi.

Remplacer Cordelia par Boundary créerait peut-être une erreur neuve

Un automatisme de recherche-remplacement ferait disparaître le symptôme le plus visible. Il pourrait en même temps fabriquer une affirmation sans fondement. APNIC dit que le 35 Boundary est un bureau temporaire et le point de remise physique. Elle ne dit pas qu’elle possède cet immeuble. Elle ne dit pas que la zone protégée ou la salle machine du CPS y a été recréée. Insérer la nouvelle rue dans la phrase de propriété rendrait le document plus récent et potentiellement moins vrai.

La boîte postale illustre l’erreur inverse : la remplacer serait aller contre l’avis de déménagement. Quant à la description de route, rien n’oblige à la poursuivre de bâtiment en bâtiment. Si la rue ne contribue plus à l’identification ou à l’exploitation du préfixe, sa suppression contrôlée peut être préférable à une nouvelle valeur temporaire.

Il faut donc commencer par une taxonomie. Quelle occurrence sert à la signification légale ? Laquelle indique où écrire ? Laquelle nomme un bureau ouvert aux personnes ? Laquelle identifie un responsable ? Laquelle soutient une assurance de contrôle physique ? Laquelle n’est qu’un texte hérité dans un objet de registre ? À chaque classe correspondent une autorité et une preuve différentes.

Cette classification protège aussi la sécurité. Le registre de changement n’a pas à publier une nouvelle implantation détaillée des dispositifs RPKI. Il peut dire que la déclaration du CPS a été remplacée, qu’un contrôle demeure dans des installations externes et que la nouvelle formulation a reçu l’approbation requise, sans fournir de plan, de procédure d’accès ni de coordonnées sensibles.

Le registre de changement doit accepter les états transitoires

Un dossier de relocalisation vérifiable peut tenir dans un tableau versionné. Son en-tête fixerait un identifiant, un propriétaire, l’heure de l’annonce, la date d’effet et la version. Chaque ligne pointerait vers un champ public précis ou une clause du CPS, plutôt que vers un site web entier.

Viennent ensuite la fonction sémantique, l’ancienne valeur et la destination prévue. Le champ d’autorité indiquerait qui peut valider la modification : juridique, installations, équipe de registre, responsable de rôle, gouvernance de l’autorité de certification. Un état contrôlé empêcherait de réduire le monde à fait ou à faire : ancien énoncé faux, encore vrai jusqu’à une condition, maintenu volontairement, sans objet pour le bureau temporaire, en attente de confirmation.

Il faut décomposer le CPS en plusieurs lignes. L’adresse de contact, la propriété de l’immeuble, la zone protégée, le rôle de la salle machine et les deux centres externes ne sont pas un seul contrôle. Une modification de l’adresse de contact ne dit rien sur l’emplacement des modules cryptographiques. Inversement, le maintien des centres externes ne valide pas automatiquement la phrase de propriété au 6 Cordelia.

WHOIS/RDAP mérite la même finesse. Une organisation, un rôle opérationnel, un IRT, une ressource et une description de route peuvent être gérés selon des procédures différentes. Le dossier devrait conserver la vérification de chaque sortie publique, l’échéance des lignes ouvertes et l’historique des corrections. La version antérieure ne devrait pas disparaître lors de la clôture : elle explique le chemin suivi.

La date HTTP du PDF n’est pas une chronologie juridique

Au moment de la capture, l’URL durable du CPS redirigeait vers un PDF servi avec une valeur HTTP Last-Modified du 17 mai 2021. Cette donnée aide à identifier le fichier observé. Elle ne permet pas d’affirmer la date d’adoption de chaque disposition, ni de prouver à elle seule qu’aucune révision n’a eu lieu selon un autre calendrier documentaire.

Le CPS précise qu’une nouvelle version est publiée dans le dépôt et que l’URL durable est mise à jour lorsque le texte est amendé. C’est donc à cette adresse que la prochaine vérification devra être faite. Une nouvelle date de fichier sera un indice ; la question substantive restera la formulation des contrôles liés au bureau.

Une relocalisation possède plusieurs horloges. La transaction immobilière, l’occupation des salariés, le changement d’adresse pour la signification, la mise à jour des contacts et la prise d’effet d’une pratique de sécurité ne tombent pas forcément le même jour. Réduire ces événements à un seul horodatage retire précisément l’information nécessaire pour auditer la transition.

Une institution fiable sait montrer une transition incomplète

APNIC n’a pas besoin de prétendre que tous ses systèmes publics changent en une seconde. Elle doit pouvoir montrer pourquoi certains ne changent pas, et qui ferme les autres. Les deux mises à jour du 26 août sont déjà une donnée utile : elles empêchent le récit paresseux d’une immobilité totale. Le CPS et les autres occurrences empêchent, à l’inverse, de conclure trop vite à la clôture.

Si l’ancienne affirmation de propriété reste vraie pendant une occupation transitoire, le document peut donner une condition de fin sans révéler d’information sensible. Si elle est devenue fausse lors de la vente, la nouvelle version peut indiquer sa date d’effet. Si la salle machine n’a plus le rôle décrit, il faut réécrire ce rôle tout en laissant intacts les contrôles réellement appliqués aux centres de données. Si une rue n’a plus d’utilité dans la description d’une route, elle peut être retirée avec une trace d’audit.

Le but n’est pas d’obtenir zéro résultat pour « Cordelia ». Le but est que chaque résultat restant soit compréhensible. Une adresse bien gérée n’est pas seulement correcte ; elle porte une fonction déclarée, une autorité identifiable et un état temporel vérifiable.

Sources