Deux heures quatorze : tout le monde voyait le détournement, une seule entreprise pouvait y mettre fin

Résumé

• Le dimanche 24 février 2008 à 18 h 47 UTC, AS17557 Pakistan Telecom a commencé à annoncer 208.65.153.0/24 ; AS3491 PCCW Global a propagé l'annonce, les routeurs du monde entier l'ont reçue et le trafic destiné à YouTube a été redirigé vers le Pakistan.
• L'incident s'est terminé à 21 h 01 UTC, quand AS3491 a retiré tous les préfixes originaires d'AS17557 — deux heures et quatorze minutes après son début, par la même relation commerciale qui avait porté la route non autorisée jusqu'au reste du monde.

La chronologie tient dans une main. Selon l'étude de cas publiée par le RIPE NCC, AS17557 Pakistan Telecom commence à annoncer 208.65.153.0/24 à 18 h 47 UTC. AS3491 PCCW Global propage l'annonce, les routeurs du monde l'acceptent, et les requêtes destinées à YouTube arrivent au Pakistan.

Quatre-vingts minutes plus tard, la victime répond. À 20 h 07 UTC, AS36561, le système autonome de YouTube, annonce le même préfixe, 208.65.153.0/24. À 20 h 18 UTC, elle annonce les deux moitiés plus spécifiques, 208.65.153.128/25 et 208.65.153.0/25.

Ce geste mérite plus de respect qu'on ne lui en accorde d'ordinaire, et moins de crédit qu'on ne lui en attribue. Selon la règle du préfixe le plus long, un /25 l'emporte sur un /24 partout où le réseau l'accepte — et c'est précisément la limite de la manœuvre. Elle fonctionnait parce que le /24 non autorisé restait dans la table, moins spécifique que le remède. C'était de l'auto-assistance soumise à une règle que l'attaquant pouvait employer aussi : elle n'a retiré ni l'origine non autorisée ni la liberté, pour un autre réseau, de continuer à préférer la route du détournement.

La victime pouvait concurrencer le détournement. Elle ne pouvait pas y mettre fin.

Ce qui y a mis fin, c'est un retrait. À 21 h 01 UTC, AS3491 PCCW Global retire tous les préfixes originaires d'AS17557 Pakistan Telecom, et le détournement cesse. Deux heures et quatorze minutes, mesurées depuis la première annonce.

La partie qui avait propagé la mauvaise route est celle qui l'a retirée. Voilà le fait que ce dossier ne cesse d'enseigner et que les récits continuent de contourner. Propagation et terminaison passaient par une seule relation commerciale : un client annonce, un amont exporte, et ce même amont finit par cesser d'exporter. Aucun registre n'a été consulté pour décider si l'annonce voyagerait. Aucun régulateur n'a donné d'instruction pendant ces deux heures. Une présentation du NANOG 42 de février 2008 confirme la même succession — un amont qui propage la route au monde entier, puis un retrait après pression et coordination entre opérateurs — et il faut le dire nettement : c'est une corroboration des rôles, pas une citation d'horaires.

Cette soirée a donc produit deux formes de pouvoir, détenues par des acteurs différents. La surveillance du routage a rendu la panne lisible pendant qu'elle durait ; le RIPE NCC indique que son Routing Information Service et des outils comme BGPlay ont servi à détecter et analyser l'événement, et qualifie l'annonce initiale de non autorisée. La lisibilité vaut cher. C'est elle qui transforme un incident en fait documenté plutôt qu'en rumeur, qui permet à une victime d'établir le dommage, qui rend la conduite d'un opérateur redevable devant une trace. Mais un moniteur est un capteur.

Un capteur ne rejette aucune route.

L'actionneur, lui, était une décision d'exploitation d'un fournisseur de transit. Cette phrase dérange quiconque préférerait que la sécurité du routage soit administrée par une autorité disposant d'un interrupteur. Ce n'est pas le cas. Les registres d'adresses décrivent qui détient un bloc ; ils ne commandent pas les routes que d'autres réseaux acceptent. Cet écart n'est pas un scandale, c'est l'architecture : le routage est une interconnexion volontaire entre réseaux exploités indépendamment, et aucun d'eux ne peut ordonner à un autre de cesser de porter un préfixe.

En février 2008, le levier existant se trouvait du côté du transit, à l'intérieur d'une relation commerciale, et c'est l'entreprise qui le détenait qui l'a actionné.

La responsabilité, ici, est répartie et doit être décrite ainsi. L'origine a annoncé un bloc pour lequel elle n'avait aucune autorisation. L'amont a admis cette annonce et l'a exportée vers le monde. Les réseaux récepteurs l'ont acceptée. Chacune de ces trois étapes était un endroit où l'événement pouvait rester plus petit. Ne nommer que la première, comme le font la plupart des récits, transforme une défaillance systémique en gêne nationale et laisse la mécanique exactement en l'état.

D'où la question durable. Une réparation qui dépend de la discrétion d'un intermédiaire, exercée deux heures après le début d'une panne, n'est pas un contrôle : c'est de la chance accompagnée d'un récit plausible. La réparation durable est ex ante et distribuée : autorisation authentifiée de l'origine, filtrage des préfixes clients en bordure de fournisseur, validation d'origine côté opérateur, alertes reliées à un chemin d'escalade convenu d'avance, retrait d'urgence répété avant d'en avoir besoin. Ce sont des mesures candidates, non la description de ce qui était déployé en 2008.

L'essentiel est la direction : avancer la décision, la répartir entre plus de mains, la rendre auditable, pour que le jugement d'une seule entreprise ne soit plus la seule chose entre une erreur de configuration et une panne mondiale.

Une limite, sur le dossier examiné ici. Les documents lus pour ce briefing ne contiennent aucun cas documenté de registre, de régulateur ou de système de validation automatisé ayant arrêté l'annonce ; ils ne contiennent pas non plus d'export brut de collecteurs, de correspondance entre les parties ni de contrat de transit. L'action décisive qu'ils nomment est le retrait par l'amont. Là où une question dépend de pièces que cette lecture n'a pas couvertes, la réponse honnête est qu'elle reste ouverte — pas que les acteurs sont restés inactifs.