Résumé

  • Le 23 octobre 2003, Leslie Nobile, directrice des services d'enregistrement d'ARIN, présenta à ARIN XII des cas où une modification non autorisée des données WHOIS pouvait faire paraître un tiers habilité à agir sur une adresse IP ou un numéro de système autonome. Les anciens blocs aux contacts périmés étaient particulièrement exposés.
  • Entre avril et octobre, ARIN avait ouvert 110 dossiers signalés ou découverts par ses équipes : 84 clos, 15 encore en enquête et 11 sans élément attestant un détournement. Cette répartition décrit le traitement des signalements; la présentation ne donne aucun total de routes effectivement annoncées par des imposteurs.
  • Nobile distingua les enquêtes et outils déjà employés par ARIN des remèdes proposés. Dans la salle, la vérification renforcée, les contrats, les frais et le sort des titulaires historiques déclenchèrent une discussion sur le coût de la sécurité et l'autorité du registre.

Un sceau d'entreprise pour un particulier ?

Après la présentation de Leslie Nobile à ARIN XII, quelqu'un souleva une difficulté que les solutions élégantes oublient volontiers. Une vérification à l'aide d'un identifiant fiscal ou de documents de société revêtus d'un sceau officiel fonctionne pour une société constituée. Des personnes physiques détenaient aussi des allocations anciennes. Certaines n'avaient aucun sceau à produire et aucune envie de confier un numéro personnel au registre. Le détail paraissait administratif; il déterminait qui pourrait faire corriger un enregistrement légitime.

Nobile avait placé cette question devant l'assemblée avec un rapport sur les détournements de ressources. À l'époque, elle dirigeait les services d'enregistrement d'ARIN. Dans ses diapositives originales, ARIN décrivait des personnes ciblant surtout d'anciens blocs d'adresses IP pour modifier sans autorisation leurs données d'enregistrement dans le WHOIS. Une fois les fausses informations visibles, le tiers semblait détenir un pouvoir sur le dossier de la ressource. Les adresses et les numéros de systèmes autonomes figuraient dans le périmètre.

Le mécanisme tient à la confiance accordée à l'annuaire. Un opérateur cherche le contact d'un bloc; une institution veut savoir qui peut en demander la mise à jour; un technicien consulte une entrée pour résoudre un problème. Une fiche contrefaite peut répondre à ces questions avec l'assurance tranquille d'une base officielle. Nobile montrait ainsi un vol d'apparence avant tout : le dossier conférait une crédibilité au faux interlocuteur, puis d'autres décisions pouvaient suivre.

Le chiffre présenté était précis. D'avril à octobre 2003, ARIN avait ouvert 110 dossiers à la suite de signalements ou de découvertes internes. Au moment de la réunion, 84 étaient clos, 15 restaient sous enquête et 11 n'avaient livré aucun indice de détournement. Ces groupes totalisent 110. La présence des onze dossiers sans preuve empêche de transformer la file d'enquête en palmarès d'attaques réussies. ARIN ne fournissait pas dans ces diapositives le nombre de blocs effectivement annoncés sur Internet par des usurpateurs.

Comment une vieille adresse devient une porte

La séquence type montrée par ARIN partait d'un bloc historique, parfois absent des tables de routage et doté de contacts anciens ou manquants. L'attaquant pouvait examiner les noms de domaine liés à la fiche, enregistrer un domaine expiré ou ressemblant, puis modifier progressivement les données de contact, d'organisation et de réseau. L'annonce de la ressource sur le réseau apparaissait comme une étape possible au bout de la chaîne. Le schéma expose une méthode; la liste des 110 dossiers ne détaille pas le parcours de chacun.

Les dossiers historiques posaient une difficulté singulière. Des ressources avaient été attribuées avant la création d'ARIN. Leur titulaire pouvait être parfaitement légitime, avec des coordonnées devenues vieilles et sans relation contractuelle récente avec le registre. Plus une fiche restait silencieuse, plus il devenait difficile de distinguer une mise à jour tardive d'une usurpation soigneusement préparée. Le mot « historique » décrivait l'origine du bloc; il n'identifiait pas la personne qui pouvait agir aujourd'hui.

Une autre diapositive recensait 45 entrées de classe C historiques, 48 de classe B et une de classe A, ainsi que quatre allocations directes et une réattribution. Ces catégories de fiches étaient présentées séparément de l'état des enquêtes. Elles expliquent pourquoi les anciens contacts occupaient tant de place dans le problème opérationnel. La sécurité de l'annuaire dépendait de preuves que la fiche elle-même ne pouvait toujours fournir.

ARIN attribuait au phénomène des effets directs : des opérateurs trompés, un WHOIS moins fiable, des questions de responsabilité, du travail supplémentaire, des réponses ralenties et des coûts de personnel et d'avocats. Le faux contact n'avait pas besoin de modifier chaque route pour coûter cher. Il suffisait déjà de forcer des équipes à vérifier ce que leur propre registre semblait affirmer.

Ce qu'ARIN faisait déjà

Nobile prit soin de séparer les outils en service des idées à discuter. Selon les diapositives de 2003, ARIN avait repéré des motifs révélateurs de modifications non autorisées, recherchait les cas signalés ou découverts, tenait des dossiers et adaptait ses procédures. Le registre coopérait avec les forces de l'ordre et avec d'autres registres régionaux. Il avait conçu un nouvel attribut d'état dans la base, capable de verrouiller une fiche.

Toutes les enquêtes n'étaient pas transmises aux autorités, et les détails individuels restaient hors de la communication publique. Le public recevait les chiffres agrégés et la description du procédé. Cette limite expliquait pourquoi la réunion devait débattre d'un dispositif général à partir de données de dossiers plutôt que d'histoires nominatives de victimes.

Les pistes supplémentaires occupaient plusieurs pages. ARIN envisageait des preuves d'identité plus fortes, des recours juridiques, des changements dans les contrats, un historique visible des modifications WHOIS, de meilleurs logiciels de validation et une authentification plus stricte. La vérification périodique des données et un registre distinct des ressources historiques figuraient aussi parmi les possibilités. Dans ce dernier scénario, certaines mises à jour auraient pu être impossibles sans adhésion à un registre régional, ou possibles pour les serveurs de noms et les contacts après validation contre paiement.

La présentation posait ces choix sur la table; leur mise en œuvre demanderait des actes ultérieurs.

Un journal public des changements aurait aidé à lire une fiche comme une histoire au lieu d'une photographie instantanée. Un verrouillage pouvait interrompre les modifications suspectes. Une demande de pièces renforcées risquait de retenir aussi les bons titulaires à l'entrée, surtout les personnes physiques évoquées dans la salle. Un registre historique distinct promettait un partage différent des coûts, mais aurait également changé les conditions de service offertes à ceux qui possédaient déjà une ressource. Chaque solution déplaçait le même problème : qui peut prouver qu'il est la bonne personne, et à quel prix ?

La salle refuse un remède simple

Les minutes du 23 octobre conservent un débat autrement plus vivant qu'un tableau de mesures. Un participant souhaitait un historique des modifications afin que les fournisseurs d'accès puissent évaluer une entrée WHOIS. Un autre proposait qu'ARIN téléphone d'abord aux titulaires historiques et leur expose les risques avant de déplacer leurs fiches. Certains approuvaient une base séparée pour éviter que les membres payants financent seuls la conservation d'anciens dossiers.

Un détenteur de blocs historiques répliqua que lui imposer de nouveaux frais poserait une question de droit et de consentement : son allocation avait précédé ce contrat. D'autres soutenaient que tout titulaire dont ARIN gérait encore la fiche devait contribuer à sa maintenance. La salle discutait à la fois de sécurité, de facturation et du pouvoir d'un registre né après certaines attributions. Rien dans les 110 dossiers ne réglait à lui seul ce désaccord.

La question soulevée au départ par le sceau d'entreprise résume cette tension. Une exigence de preuve n'est utile que si le titulaire réel peut la satisfaire et si l'attaquant ne le peut pas. Un règlement fait pour les entreprises peut exclure un particulier honnête. Une procédure trop légère peut rendre à l'imposteur son badge de papier. Les participants cherchaient une règle assez forte pour protéger la fiche et assez praticable pour que son vrai titulaire garde accès au guichet.

Les responsabilités de Nobile donnent sa mesure à l'épisode. ARIN décrivit ensuite dans son rapport annuel 2004 son service comme chargé des ressources numériques, des annuaires d'enregistrement et de routage, des délégations DNS inverses et de l'assistance aux demandeurs. Le rapport annuel 2003 mentionne son exposé sur les détournements. Son service recevait les demandes et devait vérifier les dossiers qui arrivaient.

Sa recommandation finale aux opérateurs était presque banale : tenir à jour les fiches d'organisation et de ressources, et choisir une authentification plus forte quand elle existait. Replacée après le schéma du domaine expiré, du contact périmé et des modifications successives, cette phrase devient une consigne de survie pour une adresse longtemps négligée. La fiabilité de l'annuaire dépend de petites informations que quelqu'un doit continuer à entretenir.

Nobile apporta au public une file de dossiers, un chemin d'attaque et un éventail de réponses coûteuses. Les participants ajoutèrent ce qu'une diapositive ne pouvait résoudre seule : la diversité des détenteurs et des arrangements sous lesquels leurs adresses avaient été attribuées. La copie d'une fiche WHOIS peut être convaincante. Rendre de nouveau crédible la personne derrière la fiche demande davantage qu'un champ supplémentaire.