Résumé

  • Un tag valide montre que l’émetteur a observé l’Initial du client et que les octets contrôlés du Retry n’ont pas été altérés accidentellement.
  • Il n’authentifie ni le serveur nommé, ni l’acceptation future du jeton, ni la validation déjà acquise de l’adresse cliente.
  • L’enquête doit séparer validation du tag, retour du jeton, validation côté serveur et résultat TLS authentifié.

Une capture montre un Retry QUIC au tag valide. Le tableau de bord le baptise « défi serveur authentifié » et déclare l’adresse cliente validée. Le paquet ne prouve ni l’un ni l’autre.

La section 5.8 du RFC 9001 fixe une garantie étroite. Le tag de 128 bits est calculé avec AEAD_AES_128_GCM sur un texte clair vide. Les données associées forment un pseudo-paquet : le Retry sans son tag, précédé de la longueur et de la valeur de l’Original Destination Connection ID, l’ODCID. Pour QUIC v1, la clé et le nonce sont indiqués par la norme. L’ODCID provenant de l’Initial, un tag valide prouve que l’émetteur a vu cet Initial et permet d’écarter une corruption accidentelle.

Ce n’est pas une authentification du pair. Les paramètres de calcul de QUIC v1 sont publics et le Retry ne contient aucun champ protégé. Le tag ne remplace donc ni le certificat ni le Finished de TLS. Il n’identifie pas l’instance qui a répondu, ne prouve pas son autorité sur le nom de service et n’exclut pas un équipement présent sur le chemin.

La section 17.2.5 du RFC 9000 décrit l’étape cliente. Un Retry au tag invalide ou au jeton vide doit être rejeté, et un client n’en traite qu’un par tentative. S’il l’accepte, il envoie un nouvel Initial, reprend le SCID du Retry comme DCID et y copie le jeton. Le Retry observé demande donc une preuve de retour ; il ne constitue pas cette preuve achevée.

La limite côté serveur apparaît en section 8.1.2 du RFC 9000. Si le client retourne un jeton qu’un attaquant ne peut fabriquer pour sa propre adresse, le serveur peut établir qu’il l’a reçu. Il doit encore valider ce jeton puis refuser ou poursuivre la connexion. Une trace arrêtée au Retry sortant ne prouve ni l’acceptation du jeton ni la validation de l’adresse cliente.

Conservez un reçu corrélé : version QUIC, cinq-tuple et heure de l’Initial, ODCID, DCID et SCID du Retry, octets exacts, résultat du tag, empreinte du jeton, cinq-tuple et heure de l’Initial suivant, empreinte retournée, résultat de validation serveur, domaine ou instance de validation, certificat et Finished TLS, puis issue de la connexion. Ce dossier distingue dérive de secrets anycast, expiration, changement de chemin et mauvais routage sans transformer un contrôle limité en preuve d’identité.