Résumé

  • La proposition 2026-02 est en discussion, pas en vigueur. Son déclencheur repose sur une présence prolongée dans une liste d’infrastructures approuvée.
  • Pour lever les restrictions, l’article 3.6 prévoit soit le retrait des préfixes de la liste, soit, « lorsque le RPKI est concerné », la suppression du « ROA approprié ».
  • Un ROA atteste une autorisation d’origine de route. À lui seul, il ne montre pas que l’hébergement, le botnet ou l’activité signalée a cessé.

Analyse

Le dossier change de preuve en cours de route

La version 1.0 de la proposition a été publiée le 13 octobre 2026. La page des propositions en cours indique une phase de discussion jusqu’au 11 novembre. À la date de cette analyse, rien ne montre une adoption, une mise en œuvre ou un cas traité sous ce texte. Il faut le lire comme une proposition, non comme une description des pratiques actuelles de RIPE NCC.

Le projet cible des opérations malveillantes soutenues à l’échelle d’infrastructures : commande et contrôle pour DDoS, hébergement ou distribution systémique de logiciels malveillants, réseaux d’hébergement de sites de phishing et infrastructure de botnets de spam automatisé. Il distingue ces activités d’un appareil grand public compromis isolément et exclut explicitement les plages résidentielles ou dynamiques.

Cette délimitation est un élément réel du projet. Avant les restrictions, il exige une notification authentifiée sous forme de ticket RIPE NCC d’un opérateur de réseau affecté ou d’un CERT national, étayée par la télémétrie d’une liste approuvée, des horodatages ou des signatures, et 14 jours cumulés de présence sur une fenêtre glissante de 30 jours. Le Security Working Group tiendrait un registre des listes retenues, avec des critères de télémétrie automatisée, d’exclusion des réseaux résidentiels et d’archives publiques.

Le texte passe ensuite par trois questions différentes :

Étape Élément du projet Ce qu’il peut établir Ce qu’il ne prouve pas seul
Déclenchement Présence sur une liste approuvée pendant 14 jours sur 30 La présence d’une adresse dans une liste au cours d’une période La justesse du rattachement au détenteur ou la fin de l’activité
Remédiation initiale Retrait des préfixes de la liste ou isolement administratif vérifié Un changement de liste ou une action d’isolement La méthode de vérification et la raison du retrait
Rétablissement Retrait de liste ou suppression du ROA approprié si le RPKI est concerné Un changement de liste ou d’autorisation de routage La cessation de l’activité qui avait motivé le signalement

L’objection porte sur l’alignement entre le fait signalé, la mesure corrective et la condition qui met fin au statut public. L’article 3.4 accepte un isolement vérifié pendant le délai de remédiation. L’article 3.6 n’en fait plus une voie explicite de rétablissement et introduit la suppression d’un ROA. Le projet ne dit pas si cette suppression prouve l’isolement, corrige une origine de route contestée ou constitue une voie administrative distincte.

Un ROA certifie une autorisation, pas un comportement

RFC 9582 définit le rôle d’un Route Origin Authorization : le détenteur d’un espace d’adresses autorise un système autonome à annoncer des préfixes déterminés. Cette relation est essentielle à la sécurité du routage. Elle ne décrit ni le service exploité sur l’adresse, ni le trafic produit, ni l’isolement d’un hôte après une plainte.

Le RPKI peut être directement pertinent si la notification concerne une origine de route non autorisée ou une autorisation qui participe au mécanisme signalé. Dans ce cas, le projet pourrait relier le préfixe, l’origine, le ROA et le ticket, puis expliquer pourquoi une modification d’autorisation corrige le problème. Mais les catégories de menace énumérées ne sont pas toutes des incidents d’origine de route. Un site de phishing peut être hébergé derrière une route autorisée. La présence d’un ROA ne démontre pas qu’il a rendu l’activité possible.

Deux formulations restent donc à définir. Que signifie « lorsque le RPKI est concerné » ? Et quel est le ROA « approprié » si le détenteur possède plusieurs préfixes ou autorisations ? La réponse change l’action demandée et le fondement sur lequel RIPE NCC lèverait l’indicateur public.

Supprimer un ROA modifie un enregistrement d’autorisation. Selon les autres données et les politiques de routage locales, cela peut changer la manière dont certains réseaux évaluent une annonce; les sources ne démontrent pas une conséquence uniforme. Surtout, cela ne montre pas que le service signalé a cessé. Le texte doit relier la suppression à une allégation de routage précise au lieu de traiter la présence d’un objet RPKI comme une explication suffisante.

La politique de contact répond à une autre question

RIPE-705 organise la couche de contact : un attribut abuse-c, une boîte accessible pour les signalements et une validation annuelle, avec suivi sous les politiques et procédures en vigueur. RIPE NCC présente cet enregistrement comme un moyen d’orienter les rapports vers le détenteur approprié.

Acheminer un rapport ne décide pas s’il est exact, si l’opérateur a isolé un préfixe ou quelles restrictions devraient suivre. La proposition ajouterait une chaîne distincte : notification aux contacts juridiques, administratifs et de facturation; délai de sept jours ouvrables à partir de la réception confirmée; puis restrictions intermédiaires et statut public si la condition n’est pas remplie.

Le projet dit vouloir préserver les affectations et éviter une déconnexion immédiate. Il reconnaît aussi que des restrictions bien définies dépendent d’un autre document RIPE. Un statut public peut être repris par des tiers même si l’affectation reste intacte. Il faut donc savoir quel élément le justifie, comment le corriger et comment dater son retrait.

Le proposant qualifie l’échec persistant de manquement contractuel dans son argumentaire. C’est son raisonnement, pas une conclusion juridique établie. La discussion RIPE reste ouverte et fondée sur le consensus. La question immédiate est plus concrète : quelles preuves doivent accompagner chaque transition de statut ?

Un reçu de preuve par notification

Le mécanisme peut conserver ses étapes tout en exigeant un reçu de preuve par dossier, sans publier la télémétrie sensible. Ce reçu devrait relier l’identifiant de notification, le préfixe exact, la version et l’historique de la liste, les dates d’observation, le rattachement au détenteur, l’action d’isolement et son vérificateur éventuels, ainsi que le ROA concerné si le routage fait partie de l’allégation. Il devrait aussi dater la remise, le délai, les restrictions, les corrections et le rétablissement.

Cette séparation maintient quatre questions distinctes : quel comportement a été observé, quelle autorisation de routage existait, quelle mesure de confinement a été prise et quel statut administratif RIPE NCC a publié. Si le signalement porte sur l’origine des routes, une modification du ROA peut faire partie de la réponse, avec une preuve que le problème a changé. S’il porte sur un service d’hébergement, une suppression sans lien avec ce service ne devrait pas tenir lieu de preuve d’isolement.

Une adresse peut aussi disparaître d’une liste parce que l’activité a cessé, parce que la liste a corrigé une erreur, parce que ses critères ont changé ou parce que la fenêtre d’observation s’est terminée. Ces causes n’ont pas la même signification pour le détenteur. Une archive publique aide à reconstituer l’historique, mais n’explique pas pourquoi une entrée a disparu.

RIPE-781 prévoit quatre phases, un processus ouvert et des décisions par consensus. RIPE NCC apporte un soutien administratif, notamment une analyse des effets possibles et du travail de mise en œuvre. La discussion peut donc tester non seulement les 14 jours requis, mais aussi la preuve reliant l’adresse au détenteur, le comportement à un objet d’autorisation et la correction au retrait d’un statut public.

La proposition vient d’ouvrir cette discussion. Sa garantie la plus concrète est de cibler des infrastructures soutenues tout en excluant les accès résidentiels et dynamiques. Son problème probatoire est plus précis : elle démarre avec une liste, accepte une action d’isolement au stade de la remédiation, puis introduit un autre objet au rétablissement. Tant que le lien n’est pas explicité, supprimer un ROA prouve que l’autorisation de routage a changé. Cela ne suffit pas à clore un dossier d’abus.

Sources