Résumé

  • L’ancienne règle de TFTP autorisait les deux extrémités à réémettre leur datagramme courant lorsqu’elles recevaient un doublon ancien ; après un ACK retardé, tout le reste du fichier pouvait ainsi circuler par paires.
  • RFC 1123 a cassé cette boucle en interdisant à l’émetteur de DATA de renvoyer le bloc courant à cause d’un ACK dupliqué ; RFC 1350, dont Karen Sollins est l’autrice, a pérennisé la correction en attribuant explicitement la révision de 1992 à Noel Chiappa.

Le test le plus trompeur d’un transfert TFTP est celui qui ne vérifie que le fichier final. Dans le scénario du « Sorcerer’s Apprentice », les numéros de bloc restent compréhensibles et le contenu peut être reconstitué sans erreur. Ce qui se dérègle est la quantité de travail nécessaire pour l’obtenir. À partir d’un retard, le réseau transporte deux exemplaires de chaque échange ; le transfert peut finir juste, mais trop tard.

Cette distinction explique la gravité du défaut relevé par RFC 1123. Il ne corrompait pas nécessairement les octets. Il transformait une mesure de prudence locale en amplificateur de charge. Puisque le retard initial venait souvent de la congestion, la réponse au retard produisait davantage de congestion et donc davantage de raisons de réémettre.

Karen Sollins apparaît comme autrice de RFC 783 en 1981 puis de RFC 1350 en 1992. Ces documents ne présentent pas TFTP comme son invention solitaire. RFC 1350 attribue la conception d’origine à Noel Chiappa, puis une refonte à Chiappa, Bob Baldwin et Dave Clark, avec les commentaires de Steve Szymanski. Il cite d’autres participants aux modifications ultérieures et précise que Chiappa a réalisé la révision de mai 1992 corrigeant le défaut du Sorcerer’s Apprentice.

La contribution de Sollins se lit donc dans une chaîne d’architecture et de maintenance. Elle a donné une forme durable à un protocole volontairement réduit, conservé les raisons de ses choix et porté dans un standard une correction issue du retour d’expérience. C’est moins spectaculaire qu’une invention attribuée à une seule personne, mais plus fidèle à la façon dont une infrastructure survit.

Le doublon ancien pilotait le bloc présent

TFTP repose sur UDP et ajoute lui-même un mécanisme de livraison fiable. Dans l’échange de base, l’émetteur envoie un bloc DATA puis attend l’ACK correspondant. RFC 1123 décrit une fenêtre effective d’un seul segment de 512 octets. Cette discipline stop-and-wait limite le débit sur les chemins longs, mais elle produit une machine d’états petite, appropriée à un chargeur d’amorçage.

Le défaut se déclenche sans perte définitive. A envoie DATA X. B le reçoit et répond ACK X. Cet ACK reste un moment dans le réseau. Le minuteur de A expire ; A renvoie DATA X. B reconnaît le doublon et émet un second ACK X.

Le premier ACK finit par arriver. A passe normalement à DATA X+1. Puis le second ACK X rejoint l’émetteur. L’ancienne règle lui permet de réagir à ce doublon en renvoyant son datagramme courant, qui n’est plus X mais X+1. B accuse réception des deux exemplaires. Le premier ACK X+1 fait avancer vers X+2 ; le second provoque une nouvelle copie de X+2. La cadence double continue tant qu’une perte ne la brise pas.

Le terme de « syndrome de l’apprenti sorcier » saisit cette dynamique : ce n’est pas la première action qui paraît déraisonnable, mais l’absence d’une règle pour arrêter la répétition. Chaque extrémité croit aider l’autre en répétant ce qu’elle vient de dire. Ensemble, elles donnent à un message périmé le pouvoir de créer une action actuelle.

La correction n’interdit pas tous les renvois

RFC 1123 formule l’interdiction du côté qui produit DATA : un ACK dupliqué ne doit jamais suffire à renvoyer le bloc DATA courant. L’émetteur conserve un minuteur de retransmission ; l’absence prolongée de l’ACK attendu reste une raison valable d’agir. En revanche, un accusé portant sur un état plus ancien ne peut pas commander le présent.

Le récepteur peut encore répondre à un DATA dupliqué par un nouvel ACK. Cela remplace utilement un ACK réellement perdu. L’important est que cette répétition soit sans effet si l’émetteur a déjà avancé. La correction crée donc une asymétrie réfléchie : une copie peut informer, mais elle ne possède pas nécessairement l’autorité de relancer la production.

Le minuteur adaptatif et le recul exponentiel, également exigés par RFC 1123, traitent une autre dimension. Ils réduisent les réémissions prématurées et freinent la charge lorsque le chemin souffre. Ils ne corrigent pas la transition d’état fautive. Un excellent calcul de temporisation peut diminuer la probabilité de la boucle ; seule la règle sur l’ACK ancien la rend inoffensive.

Ce détail est transposable à bien d’autres protocoles. Une opération peut être idempotente dans un composant et déclencher une opération non idempotente chez son voisin. Tester séparément les deux extrémités ne révèle pas forcément le cycle. Il faut injecter un doublon au moment où leurs états ont divergé.

La simplicité répondait à une contrainte matérielle

RFC 1350 explique que TFTP sait essentiellement lire et écrire des fichiers. Le protocole de base ne liste pas les répertoires et ne prévoit pas d’authentification utilisateur. « Trivial » désigne cette surface réduite, non l’absence d’enjeu.

RFC 906 proposait TFTP pour l’amorçage réseau parce qu’un client suffisamment petit pouvait tenir dans une ROM ou une EPROM. La première image logicielle n’avait pas besoin de toutes les fonctions de FTP ; elle devait permettre à la machine d’atteindre le programme suivant. La lenteur d’une fenêtre d’un bloc était acceptable dans ce rôle initial.

Cette économie de moyens crée toutefois une dette particulière. Un code enfoui dans un micrologiciel est souvent plus difficile à mettre à jour qu’une application. Une phrase ambiguë dans un standard peut être reproduite par plusieurs fournisseurs, puis traverser des générations d’équipements au nom de la compatibilité. Une petite machine d’états mérite donc une spécification plus précise, pas moins.

Les extensions ont ensuite négocié des options, des tailles de bloc et des temporisations. RFC 2347 a introduit un paquet OACK distinct et demandé d’omettre une option non reconnue, plutôt que de modifier silencieusement le comportement de base. Ces extensions accroissent l’efficacité ; elles ne donnent pas à un ancien ACK le droit de ressusciter un bloc courant.

La sécurité fixe une autre limite. RFC 1350 constate l’absence d’authentification. RFC 1123 recommande un contrôle configurable des chemins et le rejet silencieux des requêtes de diffusion, susceptibles d’exploiter la faiblesse du contrôle d’accès. Un protocole minimal peut être adapté à un segment d’amorçage fermé et inadapté à un service de fichiers exposé.

Une autrice de standard n’efface pas la collectivité

La biographie publiée par MIT CSAIL rattache Sollins à un champ bien plus large : systèmes et applications en réseau, gestion distribuée des noms, authentification, nommage global, information conçue pour durer et problèmes d’échelle extrême. Elle mentionne ses études à Swarthmore et au MIT, ainsi qu’un passage comme responsable de programme pour la recherche réseau à la National Science Foundation en 1999 et 2000.

La boucle TFTP rend tangible une question commune à ces travaux : comment un système distribué maintient-il le sens d’un message lorsque le temps et l’ordre ne sont plus fiables ? La correction ne réclame pas davantage de données ; elle retire une interprétation. Un ACK relatif à l’ancien bloc redevient une information sur l’ancien bloc, et non un ordre concernant le nouveau.

Robert Braden a dirigé RFC 1123, dont l’exemple détaille le mécanisme et impose la correction. Chiappa est crédité de la révision de 1992. Sollins signe les spécifications TFTP qui conservent la filiation, les objectifs et les limites. La valeur éditoriale n’est pas d’aplatir ces rôles, mais de montrer comment une faute devient une règle interopérable : observation, explication, attribution et publication ont chacune un propriétaire.

Cette provenance protège aussi l’avenir. Si une implémentation est réécrite pour un nouveau contrôleur ou une nouvelle pile d’amorçage, le développeur doit comprendre pourquoi le doublon est ignoré. Sans le récit de l’échec, la condition peut sembler superflue et disparaître lors d’une « simplification ».

L’intégrité du fichier ne mesure pas l’intégrité du protocole

Une validation moderne doit reproduire le calendrier du défaut. Il faut retarder ACK X au-delà de l’expiration, laisser partir une seconde copie de DATA X, puis livrer les deux ACK après que l’émetteur a avancé. DATA X+1 ne doit apparaître qu’une fois. Le même essai doit être conduit avec perte, réordonnancement, numéros de blocs proches de leur limite et négociation d’options.

Il faut enregistrer le nombre de paquets par bloc, les transitions de la machine d’états et l’évolution du minuteur. Le hachage du fichier final reste nécessaire, mais il ne révèle pas une amplification. Dans un équipement ancien, conserver la version exacte du micrologiciel et la capture réseau peut constituer la seule preuve reproductible.

La présence actuelle de TFTP doit enfin être constatée, non supposée. Certains appareils ne l’emploient qu’en usine ou en secours ; d’autres exposent encore un serveur. La question héritée du travail de Sollins est alors très concrète : quand un message ancien revient, le logiciel le reconnaît-il comme le reste d’une action passée, ou lui permet-il de fabriquer du travail présent ?

Sources