Résumé

  • Le paquet Version Negotiation transporte une liste non protégée de versions que son émetteur présente comme acceptables.
  • L’écho des identifiants de connexion donne une assurance limitée que l’Initial a été observé ; il n’authentifie ni le serveur nommé ni sa politique de production.
  • Un relevé exploitable relie le paquet brut à la version ensuite choisie et aux informations de version authentifiées pendant la négociation.

Un tableau d’exploitation affiche trois versions QUIC pour une adresse de périphérie. La donnée vient d’une seule capture : un Initial, une réponse Version Negotiation, trois valeurs. L’outil transforme aussitôt cette liste en inventaire du serveur. C’est aller plus loin que la trace.

La section 6.1 du RFC 9000 prévoit la réponse quand la version choisie par le client n’est pas acceptable. Elle contient les versions que le serveur accepterait et peut être produite sans conserver d’état. Le serveur peut aussi limiter ses réponses. L’absence de paquet ne vaut donc pas inventaire négatif exhaustif.

Le format apporte un lien étroit. Selon la section 17.2.1, la version vaut zéro, le DCID reprend le SCID du client et le SCID reprend le DCID de l’Initial. Cet écho donne une certaine assurance que l’émetteur a vu l’Initial. Le reste est une suite de versions sur 32 bits.

Voir l’Initial ne signifie pas être authentifié comme service. La section 12.1 est sans ambiguïté : Version Negotiation ne bénéficie d’aucune protection cryptographique. Un équipement sur le chemin voit les identifiants nécessaires. Le paquet ne porte ni certificat TLS, ni preuve Finished, ni paramètre de transport authentifié.

Les règles du client réduisent les erreurs grossières sans changer cette nature. La section 6.2 impose à un client qui ne prend en charge que QUIC v1 d’abandonner la tentative après réception d’un paquet admissible. Elle prévoit deux exceptions : écarter le paquet après le traitement réussi d’un autre paquet, et écarter une liste qui contient la version initialement choisie. Ces règles limitent certaines injections ou réponses périmées ; elles ne signent pas une politique de parc.

La preuve plus forte vient de la négociation. La RFC 9368 §3 définit des informations de version comprenant une Chosen Version et des Available Versions, échangées par un mécanisme authentifié. En QUIC v1, elles passent par le paramètre version_information. Sa section 9 précise que la sécurité dépend de cette authenticité, assurée par les paramètres de transport authentifiés de QUIC v1.

Il faut donc conserver une chaîne. L’Initial dit ce que le client a tenté. Le paquet non protégé dit ce qu’un émetteur a annoncé dans ce contexte. Le nouvel Initial dit quel choix a suivi. La négociation authentifiée fixe la version choisie et, lorsque le mécanisme compatible est employé, les versions disponibles. La connexion achevée montre ce qui a réellement fonctionné.

Pour un incident isolé, cette chaîne explique une nouvelle tentative avec une autre version ou un abandon. Elle ne prouve pas que tous les nœuds anycast proposent la même liste, que chaque version est encore activée, que l’application fonctionne dessus, ni que le service nommé a envoyé la première réponse. Un inventaire exige des sondes autorisées sur plusieurs chemins, l’identité TLS, les informations authentifiées, l’identité de version logicielle et un échange applicatif réussi.

Le reçu doit garder la version offerte, l’heure et le quintuplet, les DCID et SCID initiaux, les octets du paquet reçu, les identifiants répercutés, la liste dans son ordre d’origine, le résultat des règles de rejet, la prochaine version tentée, la version négociée, version_information, l’identité TLS, le nœud ou la livraison et l’issue. Une baisse de version observée n’est pas encore une attribution de rétrogradation : celle-ci réclame la transcription authentifiée et les ensembles réellement disponibles.

Le paquet conserve ainsi toute son utilité : il marque une bifurcation de compatibilité. Il ne devient ni certificat serveur, ni manifeste de livraison, ni promesse valable pour tout le parc.