Résumé

  • RFC 1036 imposait le champ Approved: aux messages destinés aux groupes Usenet modérés et recommandait que le modérateur y inscrive son adresse électronique.
  • Le champ indiquait un état de traitement, pas une identité vérifiée : un texte historique ultérieur précise qu’il était impossible d’authentifier l’approbation déclarée.

Une décision devait accompagner le message

Usenet ne recevait pas chaque article dans une base centrale où un responsable unique aurait validé la version finale. Les articles circulaient entre des sites qui choisissaient leurs flux de groupes et conservaient leurs propres copies. Pour qu’une règle de modération fonctionne à travers ces relais, le message devait transporter une indication lisible par les logiciels : pouvait-il être diffusé normalement, ou devait-il encore passer par une étape de contrôle ?

La norme RFC 1036, publiée en décembre 1987, donne à cette indication un nom bref : Approved. Le champ figure parmi les en-têtes généralement facultatifs, mais devient obligatoire pour un groupe modéré. Le modérateur devrait l’ajouter et y mettre son adresse postale électronique. Cette adresse donnait un contact concret et rendait la décision repérable par le logiciel. La norme ne décrit cependant ni signature numérique, ni clé, ni répertoire fiable qui permettrait au site destinataire de confirmer que l’adresse correspond bien au modérateur reconnu.

Deux choses pouvaient donc se confondre. Le groupe exigeait qu’une décision humaine ait eu lieu ; le champ permettait au logiciel de reconnaître que cette décision était revendiquée. Il ne montrait pas la revue elle-même, ne décrivait pas ses critères et ne prouvait pas qui l’avait menée. Le mot indiquait un statut, l’adresse une destination de contact. Aucun des deux n’était un reçu cryptographiquement authentifié.

Le même champ accompagnait les commandes de groupe

L’exemple de RFC 1036 donne une forme précise à Approved:. Un bilan du lectorat daté du 1er octobre 1986 est distribué dans news.lists et news.groups ; son en-tête comprend un champ Approved qui désigne l’adresse du modérateur. Le champ Xref indique aussi les numéros locaux sur l’hôte seismo. L’exemple montre comment une adresse suivait un article ordinaire dans le réseau. Il ne mesure ni la fréquence d’usage ni les vérifications opérées par chaque site.

Le champ intervenait aussi dans un contexte plus lourd de conséquences. RFC 1036 décrit une commande newgroup qui demande la création d’un groupe et peut demander qu’il soit modéré. Les sites devraient ignorer cette commande si l’en-tête ne contient pas Approved. Une commande rmgroup, qui demande la suppression du groupe sur tous les hôtes, doit satisfaire à la même condition. Le document recommande la prudence parce que la suppression a une portée réseau. Le champ aidait donc le logiciel à distinguer une commande ordinaire d’une commande portant une déclaration d’approbation, sans pour autant authentifier l’autorité invoquée.

Cette réutilisation révèle la limite d’un protocole distribué : il peut rendre une décision lisible partout sans rendre sa source vérifiable partout. Chaque site pouvait vérifier la présence d’un champ, mais cette présence ne démontrait pas que la boîte aux lettres appartenait au modérateur ou à l’administrateur habilité. La norme fournissait un point de contrôle commun ; des règles et relations locales apportaient la confiance.

Le texte historique a nommé la faille de confiance

La chronologie de « Son of 1036 » est importante. RFC 1849 a été publié comme document historique en mars 2010 pour conserver un projet qui, selon son auteur, avait largement circulé au début des années 1990 et était devenu une référence de fait pour les développeurs de logiciels de nouvelles. Le document précise qu’il constitue un contexte historique, pas une recommandation actuelle d’implémentation.

Il sépare plus clairement les rôles logiciels. Un agent de publication prend en charge la contribution d’un utilisateur local : il peut la préparer, vérifier sa conformité et l’acheminer vers la distribution. Un relais reçoit des articles déjà préparés d’autres relais et les transmet. Pour un groupe modéré, l’absence de Approved signalait à l’agent de publication qu’il s’agissait d’une contribution de lecteur à envoyer au modérateur. Un relais devait écarter l’article non approuvé au lieu de le transformer en courriel de demande. Un même programme pouvait assurer les deux fonctions, mais les responsabilités restaient distinctes.

Le projet historique formule ensuite la limite explicitement : aucun moyen ne permettait d’authentifier un en-tête Approved pour établir que l’autorisation annoncée avait réellement été donnée, et aucun mécanisme ne maintenait une liste actuelle des approbateurs légitimes. Il présente l’authentification cryptographique comme une piste, tout en signalant la difficulté des systèmes sans accès en temps réel à des serveurs de clés. Cela décrit une lacune du protocole ; ce n’est pas la preuve qu’une fraude particulière a eu lieu.

RFC 5537, publié plus tard, formalise le chemin d’injection : un agent transmet la contribution non approuvée au modérateur du premier groupe modéré de la liste, généralement par courrier électronique. Approbation et injection restent séparées du relais ordinaire. Cette norme ultérieure explicite la division du travail, mais il ne faut pas la projeter telle quelle sur toutes les installations des années 1980.

Ce que le champ faisait, et ce qu’il laissait ouvert

Approved: n’était pas inutile faute de preuve cryptographique. Il donnait aux logiciels éloignés une condition commune pour traiter les articles et une adresse pratique pour la modération. La décision éditoriale pouvait ainsi accompagner un système de publication distribué. Mais cette portabilité s’arrêtait à la frontière des relations de confiance entourant le champ.

Le réseau pouvait transporter une déclaration d’approbation ; le texte seul ne pouvait pas établir l’autorité derrière cette déclaration. Revue humaine, gestion des adresses, politique locale et traitement logiciel demeuraient des éléments différents. La norme réservait un emplacement à la décision, sans créer un moyen universel de prouver qui l’avait prise.

Sources