Résumé

  • La révision 13 permet à un Vérificateur de recevoir de nouvelles preuves après un démarrage, une mise à jour, une relève d’unité de contrôle ou un changement matériel.
  • Rejeu, nonce, identifiant d’époque, horloge TPM signée et battement de cœur renforcent continuité et fraîcheur sans démontrer à eux seuls l’absence d’omission.
  • Production, transport, séquence/rejeu, fraîcheur, évaluation, autorisation du Relying Party et résultat doivent conserver des traces séparées.

Un équipement admis le matin peut avoir changé avant midi. Il redémarre, installe un logiciel, bascule vers une autre unité de contrôle ou voit une carte de transfert apparaître ou disparaître. Le sondage ne révèle ces changements qu’à la prochaine interrogation. draft-ietf-rats-network-device-subscription-13 propose donc au Vérificateur de s’abonner à un flux YANG <attestation> reposant sur RFC 8639.

L’ouverture de l’abonnement transporte un nonce, une sélection de PCR et éventuellement un filtre. L’équipement peut rejouer les extensions de PCR correspondantes depuis son démarrage, signaler la fin du rejeu, puis fournir une TPM Quote liée au nonce. Ensuite, une notification d’extension précède la Quote associée, attendue en quelques secondes et au plus tard dix secondes après. Un battement de cœur rend également observable une période sans nouvelle Quote.

Le progrès est réel : une modification et sa preuve distante se rapprochent. Mais la continuité visuelle du flux invite à confondre sept questions.

La première concerne la production. L’équipement a-t-il mesuré l’événement pertinent ? Une Quote lie les PCR sélectionnés ; elle ne prouve pas qu’un événement hors de ce périmètre ne devait pas être mesuré. Le filtre réduit volontairement le flux. Une signature protège le périmètre choisi, elle ne le rend pas exhaustif.

La deuxième porte sur le transport. La notification est-elle arrivée par le bon abonnement, pour le bon équipement et la bonne session ? Protéger le canal ne renseigne pas sur ce qui n’y a jamais été déposé.

La troisième traite de la séquence et du rejeu. Le projet prévoit des mécanismes importants : reconstruction bornée par le démarrage, marqueur de fin de rejeu, ordre entre extension et Quote, traitement des compteurs reset/restart et battement de cœur. L’exploitation doit vérifier ces frontières, conserver l’identifiant d’abonnement, le filtre et les reconnexions, puis expliquer tout intervalle vide. Deux messages valides autour d’un trou ne remplissent pas ce trou.

La quatrième est la fraîcheur. Un nonce dessine une période de défi approximative ; un identifiant d’époque central ou une demande de Quote RFC 9684 peuvent la renouveler. Les valeurs TPM 2.0 signées de clock, reset et restart aident à détecter dérive et changement de cycle de vie. Selon RFC 9334, une course subsiste néanmoins : la fraîcheur resserre le moment possible de création, elle ne transforme pas une mesure passée en état présent permanent. Le projet laisse en outre une partie de la politique de fraîcheur hors bande.

La cinquième est l’évaluation. Le Vérificateur a toujours besoin de Reference Values, d’Endorsements et d’une politique d’évaluation. RFC 9683 souligne que les valeurs de référence peuvent être contradictoires, incomplètes ou ambiguës. Une signature correcte identifie la protection des déclarations, pas la pertinence du référentiel.

La sixième est l’autorisation. Dans RATS, le Vérificateur produit un Attestation Result ; le Relying Party applique sa propre politique à une opération précise. Un résultat peut autoriser l’inventaire mais pas l’accès au réseau. La validité cryptographique ne confère pas silencieusement un pouvoir métier au Vérificateur.

La septième est le résultat. Même un refus justifié ne prouve pas son application par le point de contrôle, le déplacement du trafic ou la disparition du risque. Cette dernière preuve appartient au système qui agit.

Au 9 septembre 2026, la révision 13 reste un Internet-Draft actif. Le Datatracker l’indique soumis à l’IESG, en « AD Followup », avec Proposed Standard comme statut visé. Ce n’est ni une approbation RFC ni une preuve de déploiement. Le texte vaut par l’amélioration du flux de faits, pas par une fusion imaginaire entre observer, juger et agir.

Sources