Résumé

  • Les exigences de la RFC 8247 concernent une capacité d’implémentation et une possibilité d’interopérabilité, non l’algorithme négocié par une paire donnée.
  • Offre, sélection, politique locale, authentification, SA, paquet ESP et résultat de service sont des reçus distincts.

Une obligation de mise en œuvre répond à une question de conception : quels algorithmes doivent exister pour que des produits aient au moins un terrain commun ? Elle ne répond pas à la question d’un audit : quel algorithme ces deux pairs ont-ils effectivement employé à cet instant ?

La RFC 8247 rappelle que IKE négocie les paramètres d’une Security Association IPsec, mais que les pairs peuvent négocier des algorithmes différents selon leur politique locale. Un tableau « MUST implement » ne tient donc pas lieu de trace de proposition et de choix. Une implémentation peut posséder un transform sans l’offrir ; un répondant peut sélectionner une autre option admise ; une politique peut refuser une option disponible. L’exigence n’est ni offre ni acceptation.

Même une sélection observée ne termine pas la chaîne. Il faut encore une authentification réussie et une IKE SA identifiée. Une Child SA introduit ses propres sélecteurs, clés et durées. Un constat sérieux joint identités des pairs, propositions, transform retenu, résultat d’authentification, identifiants de SA et horodatages.

La portée de la RFC ferme une autre confusion : elle ne met pas à jour les algorithmes de chiffrement des paquets ESP. Une recommandation pour IKEv2 ne devient pas un état du plan de données. Pour affirmer qu’ESP a chiffré un paquet, il faut la SA et l’observation ESP ; pour affirmer la réception, il faut l’observation du pair ; pour affirmer un service, il faut le résultat applicatif.

Le temps reste une condition. La RFC indique qu’un algorithme utilisé aujourd’hui n’est pas assuré de devenir obligatoire demain. Le registre IANA nomme des transforms, mais ne décrit pas une configuration vivante. Les notes de Heng Lu commandent alors de conserver le fait minimal : obligation dans un texte, support déclaré par un build, offre, sélection, SA créée, paquet observé. Aucun ne doit emprunter le nom du suivant.

Wouters est l’un des quatre auteurs d’un standard collectif. Cette attribution ne le rend pas responsable d’un produit ou d’un réseau. La leçon utile est que le socle d’interopérabilité et la sécurité effectivement négociée sont deux registres séparés.

Sources