Résumé

  • RFC 1273 décrivait à l’avance une étude d’un an : six campagnes devaient tenter treize services TCP dans environ 12 700 domaines ; le document ne présentait pas encore le résultat longitudinal.
  • Une connexion réussie était aussitôt fermée, sans échange applicatif. Refus et expiration recevaient des limites distinctes ; aucun de ces états ne suffisait à établir l’usage réel, la sécurité ou l’intention d’une organisation.
  • L’annonce générale pouvait provoquer une modification des services, et l’autorisation individuelle produire un groupe autosélectionné. La réponse combina publication préalable, origine identifiable, retrait sur demande et statistiques sans noms de sites.

Un protocole public pour une réponse encore absente

RFC 1273 est un mémo informatif de novembre 1991. Il annonce des campagnes prévues pour janvier, mars, mai, juillet, septembre et novembre 1992. Cette chronologie empêche de lire le texte comme le compte rendu d’une tendance déjà mesurée.

Ce que la communauté pouvait alors examiner était la fabrique du futur résultat. Le programme devait parcourir environ 12 700 domaines et tenter treize services : daytime, netstat, FTP, Telnet, SMTP, DNS, Finger, portmap, rlogin, rsh, UUCP, klogin et krcmd ou kshell. L’étude visait l’accessibilité au niveau des services, non la simple connectivité IP.

Les auteurs associaient cette accessibilité à la disposition des organisations à participer au calcul interorganisationnel. Mais une association de recherche n’est pas une identité de fait. Le programme observait une réponse TCP sur une machine choisie ; la « disposition » appartenait à une institution réelle, à ses politiques et à son histoire. Il fallait garder les deux niveaux séparés.

Le succès s’arrêtait à l’établissement TCP

Lorsque la connexion aboutissait, le logiciel la fermait immédiatement. Aucun contenu applicatif ne circulait. RFC 1273 précisait que le mécanisme de sécurité derrière le service ne serait pas testé et que l’étude ne portait pas sur la sécurité du réseau.

Une réussite signifiait donc une chose étroite : à cet instant, cette cible acceptait l’établissement d’une connexion. Elle ne prouvait pas qu’un identifiant serait accepté, qu’un message serait livré, qu’un fichier serait accessible, qu’une réponse DNS serait correcte ni qu’un service était autorisé pour le chercheur.

Les échecs n’étaient pas davantage interchangeables. Après trois refus de connexion, le programme cessait de tenter ce service dans le domaine pour la campagne. Après trois expirations sur des machines du domaine, il abandonnait le domaine, avec la possibilité de revenir le lendemain pour laisser passer un problème transitoire. Le refus et le silence conduisaient à deux branches différentes ; ni l’un ni l’autre ne révélait seul sa cause.

Les enregistrements DNS de services connus auraient fourni une voie moins intrusive. Le texte les jugeait pourtant trop incomplets et incohérents, puisqu’ils n’étaient pas nécessaires au fonctionnement du réseau. Une inscription déclarée et une connexion observée étaient deux preuves différentes. Leur désaccord ne permettait pas de choisir automatiquement laquelle représentait l’organisation entière.

Les plafonds faisaient partie de la preuve

Une réussite arrêtait les tentatives supplémentaires pour ce service et ce domaine. Les plafonds de refus et d’expiration limitaient les échecs. Le pire cas calculé atteignait 37 demandes de connexion par domaine, mais la moyenne attendue était inférieure.

Une campagne d’essai d’août 1991 consigna 50 549 recherches DNS et 73 760 tentatives de connexion en une dizaine d’heures, sans dépasser vingt opérations réseau simultanées. Le processus était centralisé, ses journaux et sa charge surveillés, et son arrêt restait immédiatement possible.

Ces chiffres sont le reçu d’un essai déclaré par ses auteurs. Ils ne prouvent ni l’exécution des six campagnes futures ni l’absence de gêne locale. La part du trafic d’une dorsale et le temps perdu par un administrateur distant ne mesurent pas la même chose.

Prévenir pouvait changer ce qui serait compté

Les premières annonces passèrent par alt.security et par des messages individuels. Environ la moitié de ces messages furent renvoyés comme non distribuables. Selon RFC 1273, leur charge réseau et administrative dépassa largement celle de la collecte ; certains sites estimèrent que l’avis lui-même leur imposait un travail inutile.

Une annonce large avait en outre le pouvoir de rendre certains services moins ou plus accessibles avant la mesure. Une demande d’autorisation adressée à chaque site aurait sélectionné ceux qui acceptaient de répondre—précisément un groupe probablement moins enclin à se déconnecter. Le dispositif éthique devenait aussi une variable expérimentale.

Cette difficulté méthodologique n’abolissait pas l’autorité des opérateurs. RFC 1262 conservait la règle générale de la charge minimale, du contact des fournisseurs et de l’autorisation explicite avant une charge indue. RFC 1273 décrivait le compromis de cette étude : publication préalable du plan, annonces ciblées sur des listes, compte testnet identifiable par Finger, contact direct avec le responsable et possibilité de retrait.

La traçabilité ne garantissait pas que chacun avait reçu un message. Elle devait permettre à celui qui détectait l’activité de l’identifier, de la questionner et d’y mettre fin pour son site.

Publier le total sans publier la carte

La liste brute des services accessibles pouvait servir de carte opérationnelle. Les auteurs prévoyaient donc de garder les données brutes privées et de ne publier que des statistiques globales détachées des sites constituant les observations.

Ce choix séparait la mesure de sa surface publique. Il ne démontrait ni anonymat parfait ni consentement universel ; il déclarait qui devait conserver le détail et quelle projection le lecteur recevrait.

Les sources de cet article sont RFC 1273, pour le plan nommé, les essais, l’annonce et la garde des données, et RFC 1262, uniquement pour la frontière voisine de la recommandation générale. Elles ne livrent aucun résultat longitudinal achevé, aucune cause de changement, aucune politique actuelle et aucune preuve qu’un hôte mesuré représentait son institution.

L’intérêt historique du document tient à son ordre : la méthode fut mise en circulation avant la conclusion. L’observation ne pouvait donc effacer rétroactivement le plan, la charge, l’avis et les incertitudes qui l’avaient produite.