Résumé

  • Une clé autorisée à signer une reprise ECH exercerait un pouvoir propre sur la confidentialité.
  • Le suivi de disponibilité ne suffit pas à rendre compte de ce pouvoir.

Un service peut répondre de nouveau sans que toute l'histoire de sa reprise soit racontée. C'est la question que soulève une proposition de configurations ECH signées : qui autorise le changement, et pas seulement qui remet le trafic en circulation ?

ECH chiffre le message TLS interne. La norme actuelle utilise le certificat du nom public pour authentifier les configurations de reprise. Le projet de signatures confierait ce rôle à des clés désignées dans la configuration initiale. Une instruction signée peut demander une reprise sans ECH.

Pour l'exploitant, la distinction mérite un responsable identifié. Compter les connexions réussies ne dit pas qui a signé une instruction modifiant leur confidentialité. Il faut pouvoir expliquer cette décision, même lorsque la panne semble résolue.

Le texte reste un projet individuel du 6 juillet 2026, sans approbation comme norme. La distribution initiale par DNS et l'authentification de l'origine ne disparaissent pas. Ce travail en cours offre donc surtout une bonne question d'exploitation : à qui remet-on la clé de secours ?