Veille
Derniers articles
Dernières analyses sur les opérateurs d'infrastructure, les décisions politiques, les mouvements de marché et les évolutions du pouvoir numérique.
IETF
Ross Callon et ce port UDP qui était de l’entropie, pas une session
Dans RFC 7510, un numéro placé là où l’on attend un port d’application sert à répartir des paquets MPLS entre plusieurs chemins. Le travail collectif auquel Ross Callon a participé rappelle qu’une information utile au routage ne devient ni une identité ni une autorisation.
Dossier
Le paquet était authentique, mais l’horloge restait fausse : NTS et l’autorité d’une mesure du temps
Deux serveurs de temps répondent à la même machine. Les deux réponses franchissent les contrôles de Network Time Security, mais leurs décalages diffèrent de 800 millisecondes. La cryptographie a réussi; la question décisive reste pourtant locale: quelle mesure, s’il y en a une…
Dossier
La route revenue avec son propre ASN
Le résumé de veille La route revenue avec son propre ASN explique le développement, les preuves publiques disponibles, les organisations concernées, le contexte régional, l’exposition au marché et les conséquences possibles pour l’infrastructure. Le contexte veille Dossier relie…
Histoire d'Internet
L’adresse qui ne voyageait pas avec sa marge
Dans un journal d’exploitation, `fe80::1%eth0` ressemble à une adresse complète. Copiée sur une autre machine, la chaîne demeure intacte, mais sa marge a perdu son auteur: `eth0` appartenait au vocabulaire du premier système. L’histoire des identifiants de zone IPv6 est celle…
Dossier
L’identifiant DNS avait changé, mais l’ancienne règle bloquait encore le courrier : l’autorité du cache MTA-STS
À 9 heures, le domaine destinataire a ajouté un MX de secours à sa politique HTTPS et modifié l’`id` TXT de `_mta-sts`. Un expéditeur a récupéré le nouveau fichier. Un autre n’a pas pu l’actualiser et détenait encore la politique `enforce` de la veille, non expirée. Tous deux ont…
Histoire d'Internet
Le nom que TLS devait entendre avant de pouvoir le cacher : comment SNI a rendu possible le HTTPS partagé
Le chiffrement du Web a rencontré un problème d’ordre: le serveur devait présenter le bon certificat avant de pouvoir lire la requête qui indiquait le bon site. SNI a avancé ce nom dans le ClientHello, libérant l’hébergement HTTPS d’une adresse par identité, mais exposant la…
IETF
La Final Review n’est pas un second vote sur la norme
Sur le tableau de suivi, trois voyants étaient allumés: un Internet-Draft déjà approuvé, une pull request encore ouverte et plusieurs validations d’auteurs manquantes. Une note en déduisait que « la norme était remise au vote ». Elle confondait une garde de fidélité avec une…
Dossier
Deux chemins, un seul lien saturé : les limites du multipath BGP
Voir deux next-hops dans une table de routage ne donne ni deux fois plus de capacité, ni une répartition moitié-moitié. Entre l'éligibilité BGP et les octets réellement transportés, plusieurs autorités techniques prennent successivement la main.
Dossier
Le message disait « DKIM réussi », sans dire qui avait fait le contrôle : l’autorité limitée d’Authentication-Results
Deux lignes portent le même `authserv-id` et le même `dkim=pass`. L’une a été fabriquée par l’expéditeur avant la connexion SMTP; l’autre a été ajoutée par le système destinataire après vérification. Pour un filtre qui ne lit que la syntaxe, elles se valent. Pour une chaîne de…
Histoire d'Internet
La ligne existait avant d’être prête
Qui peut déclarer qu’une ligne de configuration est prête ? Le gestionnaire peut demander sa création et fournir ses valeurs. L’équipement, lui, doit encore savoir si l’ensemble est assez complet, cohérent et soutenable pour entrer en service. Avec `RowStatus`, SNMP a transformé…
Histoire d'Internet
La mémoire confiée au client : comment les tickets TLS ont déplacé l’état du serveur
Un serveur TLS pouvait cesser de garder un dossier pour chaque visiteur en plaçant les éléments de reprise dans un objet chiffré rendu au client. Ce déplacement a allégé la mémoire locale, mais rendu plus décisifs les clés de ticket, leur durée de vie et le périmètre des machines…
Dossier
Le certificat n’avait pas changé, mais le service oui : la portée de l’autorité TLSA
Lors d’une maintenance, un service TLS est déplacé vers un port de secours sans changer de certificat. Le premier contrôle DANE reste vert; le second échoue. Ce n’est ni une incohérence de la cryptographie ni un caprice du client: l’enregistrement signé désignait le service…
Dossier
LOCAL_PREF : le pouvoir de choisir une sortie se joue dans l’AS
Une préférence BGP ne mesure ni la qualité d’une liaison ni la légitimité d’une annonce. Elle traduit un choix de l’opérateur. Pour en maîtriser les conséquences, il faut retrouver ce choix dans les routes reçues, les décisions internes et le trajet des paquets.
Histoire d'Internet
Deux chemins ne font pas deux destinataires
Une route de secours peut sauver une demande qui n'est pas arrivée. Elle ne donne pas le droit de poser à nouveau la même question à un téléphone qui a déjà répondu. SIP Outbound a dû inscrire cette différence dans la manière même de reconnaître les terminaux enregistrés.
IETF
Eric Vyncke et la sonde qui s’identifie sans devenir digne de confiance
Une équipe réseau ne reçoit pas d’abord l’intention du chercheur, mais un paquet inattendu et l’alerte qu’il a déclenchée. À travers le RFC 9511, Eric Vyncke et ses coauteurs proposent une façon sobre de rendre une sonde joignable et explicable, tout en refusant de confondre…
Tendances FAI régionaux Amérique du Nord
Lumen Technologies : le cash avant la fibre, l’épreuve après l’avance
Chez Lumen Technologies, un dollar peut désormais entrer avant la première épissure et avant qu’une route optique ait passé la recette technique et contractuelle du client. C’est la singularité financière de [Private Connectivity…
Histoire d'Internet
Le tiers qu’on ne contactait plus : ce que déplaçait l’agrafage OCSP
Faire vérifier un certificat pouvait obliger le visiteur à ouvrir une autre connexion. L’agrafage OCSP permettait au site de lui remettre une réponse déjà signée. Le détour disparaissait, mais ni l’autorité du signataire ni le travail nécessaire pour garder cette réponse…
Dirigeants
Aidan Casey et la charge cachée de l’informatique gérée
ARIN associe un dirigeant à cinq rôles de contact réseau, rendant visible le travail caché des services gérés sans prouver contrôle, résilience ni résultats.
Récits
Chez LACNIC, l’événement RDAP « dernière modification » date le registre, pas le transfert du réseau
Un horodatage de registre peut ancrer une enquête, mais il ne remplace pas l’événement qu’il faut réellement prouver. Les données RDAP de LACNIC rendent cette limite très nette: l’objet réseau et les entités qu’il contient ont des horloges différentes parce que chaque date…
ICANN
Le nom de domaine est devenu défendeur : Porsche.net et la voie in rem de l’ACPA
Une action qui désignait d’abord 128 noms de domaine comme défendeurs a révélé une question de contrôle très concrète: lorsque le titulaire ne peut pas être attrait dans une action personnelle ordinaire, par quel mécanisme un tribunal fédéral peut-il prendre autorité sur…