Veille
Derniers articles
Dernières analyses sur les opérateurs d'infrastructure, les décisions politiques, les mouvements de marché et les évolutions du pouvoir numérique.
Histoire d'Internet
L’accusé qui ne pouvait nommer le paquet arrivé : quand Karn apprit à TCP à refuser une mesure
Deux départs peuvent conduire au même accusé de réception. Un segment a été émis, son délai a expiré, puis les mêmes octets ont été réémis. Quand l’ACK progresse enfin, il confirme la réception du préfixe, mais ne désigne pas l’envoi qui l’a provoqué. L’algorithme de Karn a fait…
Dossier
La réponse DNS était sûre. Le choix de l’hôte ne l’était pas encore : SSHFP et l’autorité d’une empreinte
Un opérateur a saisi `ssh db`. Le suffixe de recherche fourni par le réseau a transformé ce nom court en un autre nom complet. La réponse SSHFP était DNSSEC Secure et correspondait exactement à la clé présentée. La cryptographie avait authentifié l’hôte choisi par la machine, pas…
Dossier
La signature était valide, pas l'adresse From : DKIM et l'autorité d'un domaine signataire
Le message présentait `bank.example` comme domaine From et passait DKIM. Pourtant, la signature appartenait à `receipt-alert.example`, domaine de l'attaquant. Le calcul était authentique; l'autorité avait été attribuée au mauvais nom.
Dossier
Le condensé était exact, l'expéditeur restait inconnu : `Content-Digest` et l'autorité d'une somme de contrôle HTTP
Le fichier de configuration était hostile, mais son empreinte était impeccable. Le service a recalculé `Content-Digest`, affiché « vérifié », puis exécuté la modification. Il n'y avait ni collision cryptographique ni corruption réseau: l'attaquant avait librement choisi le…
Histoire d'Internet
Le masque que le silence fit mal deviner : comment ICMP amorça un sous-réseau
Une machine vient de démarrer. Elle possède une adresse IPv4, mais ignore encore où finit son voisinage direct. Elle diffuse une demande de masque et n’entend rien. L’ancien protocole lui permet alors d’adopter provisoirement le masque non sous-réseauté de sa classe d’adresse…
Dossier
L’en-tête désignait le client, pas l’adresse du pair : `Forwarded` et l’autorité d’une chaîne de mandataires
L’origine ne devait recevoir que les requêtes de deux mandataires inverses. Pourtant, un accès direct subsistait. Un visiteur y a placé l’adresse d’administration autorisée en tête de `X-Forwarded-For`, puis a franchi le contrôle IP. Le parseur avait fidèlement lu la chaîne.…
Dossier
Le nom a choisi le contexte TLS, pas le droit d’agir : l’autorité limitée du SNI
Dans le journal de la passerelle, `tenant-a.example` apparaissait trois fois: dans le ClientHello, dans le nom du certificat choisi et dans l’étiquette de politique. Cette répétition avait pris l’allure d’une preuve. Pourtant, la première occurrence venait d’un client encore…
Histoire d'Internet
L’étiquette qu’un pare-feu ne pouvait effacer sans risque : l’option de sécurité IPv4 en réseau fermé
Un équipement intermédiaire retire une option IPv4 qu’il juge archaïque. Le paquet continue sa route, mais le geste n’est pas neutre: dans un réseau à plusieurs niveaux de sécurité, l’étiquette disparue pouvait commander l’admission du contenu. À l’arrivée, l’absence peut…
Dossier
La signature du certificat était valide, pas la poignée de main : l’autorité de `Finished` en TLS 1.3
Le compteur de sécurité avait déjà enregistré une session authentifiée lorsque CertificateVerify a été accepté. Le message suivant, `Finished`, était faux; le client a fermé avec `decrypt_error`. La clé du certificat avait apporté une preuve exacte, mais l’exploitation lui avait…
Histoire d'Internet
Le jeton qui prouvait un chemin de retour : les DNS Cookies sans identité
Une petite option EDNS a permis à un serveur DNS de tirer une conclusion limitée mais utile d’une adresse source UDP: non pas qui parlait, mais qu’un interlocuteur à cette adresse apparente avait reçu une réponse antérieure et savait en restituer le jeton.
IETF
Le paquet marqué avant d’être perdu : la longue controverse de l’ECN sur la congestion
L’ECN a introduit un geste presque paradoxal dans le réseau: prévenir de la congestion sans détruire le paquet qui porte l’avertissement. Derrière deux bits d’en-tête se trouve pourtant une chaîne de responsabilités beaucoup plus vaste, du gestionnaire de file au destinataire, du…
Histoire d'Internet
Le test qui réussissait sans rien dire : ce que Discard pouvait réellement prouver
Le poste d’essai envoie un flux connu vers le port 9. Aucun accusé ne revient, aucun compteur n’est annoncé, aucun message ne clôt l’expérience. C’est exactement le comportement demandé par RFC 863. La difficulté n’est donc pas d’obtenir une réponse, mais d’empêcher le silence…
Dossier
Le navigateur parlait HTTP/2, pas nécessairement l’origine : l’autorité d’ALPN s’arrête à la connexion TLS
Le navigateur a proposé `h2` et `http/1.1`. Le point de présence a choisi `h2`, terminé la négociation TLS et reçu des trames HTTP/2 valides. Un inventaire a alors déclaré l’origine « native HTTP/2 ». Il manquait une seconde connexion: après terminaison, le proxy traduisait…
Histoire d'Internet
L’horloge sans grammaire : pourquoi Daytime s’adressait aux humains
Le port 13 répond, la ligne est lisible et le serveur ferme proprement la connexion. Pourtant, rien dans la norme ne permet d’affirmer que le prochain serveur placera l’année, le mois ou le fuseau au même endroit. Avec Daytime, réussir l’échange ne signifiait pas obtenir une date…
Dossier
L’AC figurait dans la liste. L’identité restait interdite : l’autorité limitée de `certificate_authorities` dans TLS
Le certificat client remontait vers un nom d’autorité annoncé par le serveur. La bibliothèque l’a choisi, la clé privée a signé, le chemin a été validé. Pourtant, l’application a refusé l’opération: ce sujet n’appartenait pas au locataire demandé. L’échec n’était pas…
Dossier
Le statut était signé, mais déjà en retard : l’autorité d’une réponse OCSP agrafée
À 10 h 07, l’autorité révoque le certificat. À 10 h 11, le serveur présente encore une réponse OCSP `good`, dûment signée, dont le `nextUpdate` se situe plusieurs heures plus tard. Aucun octet n’a été falsifié. La réponse est authentique, recevable dans son intervalle déclaré et…
Histoire d'Internet
Les réponses une pour une qui ne s'arrêtaient plus : la boucle formée par Echo et Chargen
Un troisième entité a organisé l'échange, puis s'est tu. Chargen répond à l'adresse d'Echo; Echo renvoie les octets à Chargen; chaque réponse justifie la suivante. Pris séparément, aucun service ne produit plus d'un datagramme. Ensemble, ils fabriquent une cause qui se renouvelle…
Dossier
Le socket s’est fermé, pas la transaction : `close_notify` et l’autorité d’une fin TLS
Le reçu de paiement avait traversé le réseau. Le serveur avait même envoyé une fermeture TLS régulière. Pourtant, l’écriture en base avait échoué juste après. L’incident n’était pas une contradiction cryptographique: `close_notify` attestait la fin des messages TLS émis par le…
Histoire d'Internet
L’octet nul qui donnait un sens au retour chariot : la ponctuation invisible de Telnet
Le caractère le moins spectaculaire du flux pouvait être le plus décisif. Après un retour chariot, `NUL` ne faisait rien sur l’imprimante virtuelle; pourtant, il disait exactement ce que `LF` ne devait pas faire. Grâce à ce silence explicite, deux machines différentes pouvaient…
Dossier
Le ticket avait survécu, pas la session : la reprise TLS 1.3 et l’autorité de l’état transporté
Après la bascule régionale, le nouveau nœud a accepté un ticket TLS 1.3 émis avant la révocation du rôle administrateur. Le raccourci cryptographique était valide: le client connaissait la PSK de reprise et le binder authentifiait le nouveau ClientHello. Pourtant, aucune de ces…