Zakir Durumeric et les limites de la cartographie de l'internet exposé

Résumé

• Zakir Durumeric est professeur assistant en informatique à Stanford University, co-fondateur de Censys et contributeur principal de l'écosystème de mesure ZMap
• ZMap et les outils associés transforment les réponses des systèmes accessibles sur Internet en preuves structurées sur les services, domaines et certificats, mais n'établissent pas à eux seuls la propriété ou la vulnérabilité
• Censys commercialise la mesure externe continue pour l'analyse de la surface d'attaque, intégrant la couverture, l'attribution, la fraîcheur et les processus de correction dans son produit
• L'importance plus large de Durumeric réside dans le fait de rendre observables les défaillances systémiques de déploiement tout en exposant les limites éthiques et institutionnelles de la mesure active à grande échelle

En 2013, ZMap a changé l'échelle de temps de la mesure d'Internet

En 2013, une équipe de recherche de l'University of Michigan a montré que l'espace d'adresses IPv4 publique pouvait être scruté sur un seul port en moins d'une heure via une connexion gigabit dans des conditions appropriées. Cette réalisation ne signifiait pas qu'Internet avait été entièrement cartographié. Elle a changé la rapidité avec laquelle les chercheurs pouvaient poser une question étroite à une très grande population et répéter l'exercice suffisamment souvent pour mesurer le changement.

Zakir Durumeric a été le concepteur central et l'auteur principal de l'article original sur ZMap, travaillant avec Eric Wustrow et au sein d'un groupe de recherche plus large incluant J. Alex Halderman et d'autres collaborateurs. L'analyse d'Internet existait bien avant ZMap, et ce projet n'était pas l'œuvre d'une seule personne. Sa contribution a été de repenser la mesure active à large échelle autour de la vitesse, de la reproductibilité et d'une séparation claire entre la découverte initiale et l'analyse plus approfondie des protocoles.

Cette distinction est importante car l'Internet public ne possède pas d'inventaire complet et continuellement mis à jour. Les organisations ont souvent une vue imparfaite même de leurs propres systèmes. Les adresses cloud changent, des services oubliés restent en ligne et l'infrastructure peut survivre à l'équipe qui l'a créée. Aucune autorité centrale n'enregistre chaque service, certificat, domaine et déploiement logiciel accessible publiquement.

La mesure active aborde le problème de l'extérieur. Un système envoie une sonde contrôlée à une adresse ou un nom sélectionné et enregistre la réponse. Répétée sur une large population, la méthode peut montrer à quel point un protocole est déployé, la rapidité avec laquelle une vulnérabilité est corrigée, si des paramètres non sécurisés persistent ou comment les pratiques de certificat évoluent.

Les preuves résultantes sont puissantes et limitées. Une analyse montre ce qu'un système a présenté à un point de mesure pendant un intervalle défini. Les pare-feu, le routage réseau, l'anycast, les équilibreurs de charge, les politiques géographiques et les limites de débit peuvent tous altérer le résultat. Une adresse peut représenter une plateforme cloud, un service partagé, une charge de travail temporaire ou un client caché derrière un point de terminaison contrôlé par un fournisseur.

La contribution de Durumeric n'était donc pas une prétention à posséder une copie parfaite d'Internet. Il a contribué à créer une méthode pour observer systématiquement de grandes parties de sa surface exposée, tout en laissant aux chercheurs et aux utilisateurs la responsabilité de décider ce que ces observations signifient.

Michigan a fourni l'environnement pour un type de scanner différent

Durumeric a effectué son doctorat en informatique et ingénierie à l'University of Michigan. L'institution offrait un cadre où la sécurité des réseaux, l'ingénierie des systèmes, la cryptographie et la recherche empirique sur Internet pouvaient être combinées. Cette combinaison était nécessaire car l'analyse à l'échelle d'Internet dépend de plus qu'un simple générateur de paquets rapide.

Un programme de mesure fonctionnel nécessite un accès au réseau, des méthodes de génération de cibles, des performances de réception, un traitement des données, une expertise protocolaire et des procédures pour traiter avec les organisations contactées par l'analyse. Les chercheurs doivent également choisir une question suffisamment étroite pour justifier de contacter une large population. L'ingénierie et la conception de la recherche sont indissociables.

Les scanners conventionnels maintiennent généralement un état pour chaque cible et tentative de connexion. Cette approche est appropriée lorsqu'un administrateur souhaite des informations détaillées sur un réseau défini, mais elle devient coûteuse lorsque la population cible contient des milliards d'adresses possibles. La mémoire, les délais d'attente et le suivi des connexions deviennent des contraintes avant que l'enquête n'atteigne l'échelle d'Internet.

ZMap a été conçu autour de sondages à grande vitesse sans état. Pour une enquête TCP de base, il peut transmettre un paquet soigneusement construit sans conserver un objet de connexion conventionnel pour chaque destination. Le scanner valide les réponses de retour et transmet les résultats à un pipeline de traitement séparé.

La conception déplace plutôt que supprime la complexité. ZMap doit construire des paquets pouvant être reconnus lorsque les réponses reviennent, distinguer les réponses valides du trafic non lié et empêcher son propre système de réception de devenir le goulot d'étranglement. La génération de cibles doit répartir le trafic à travers l'espace d'adressage plutôt que de diriger une rafale soutenue vers un seul réseau.

Le classement pseudo-aléatoire des cibles aide à répartir la charge opérationnelle. Une analyse séquentielle pourrait contacter chaque adresse dans un grand préfixe avant de passer au suivant, créant un flux concentré vers une organisation. Une permutation distribue ces sondes plus largement et permet de diviser une analyse entre des travailleurs correctement configurés sans contacter à plusieurs reprises les mêmes cibles.

La vitesse était importante parce que les analyses longues créent des ensembles de données incohérents en interne. Si une étude prend plusieurs semaines, les services peuvent être créés, supprimés ou reconfigurés avant que l'exécution ne se termine. Une fenêtre de collecte plus courte donne aux chercheurs un instantané plus cohérent et leur permet de répéter la mesure après une divulgation, un changement de politique ou une campagne de remédiation.

La vitesse augmente également la responsabilité. Un scanner peut atteindre de nombreux réseaux en peu de temps, déclencher des alertes de sécurité et exposer des défauts dans des équipements fragiles. Les limites de débit, les infrastructures sources identifiables, les pages explicatives publiques, les adresses de contact surveillées et les procédures d'exclusion appartiennent donc au système de mesure plutôt que d'être des mesures de relations publiques optionnelles.

Le scanner n'était que la première étape

Une réponse à une sonde de base répond rarement à la question de recherche à elle seule. Un TCP SYN-ACK peut indiquer qu'un port est atteignable, mais il n'établit pas le protocole d'application, la version du logiciel, la configuration de sécurité ou l'identité de l'organisation qui exploite le service. La contribution plus large de Durumeric consiste en partie à traiter l'analyse comme un système de données par étapes plutôt qu'un seul exécutable.

ZMap identifie efficacement les points de terminaison répondants. ZGrab, et plus tard ZGrab2, effectuent des interactions plus coûteuses au niveau de la couche application contre la population plus petite qui a répondu. Les outils connexes interrogent le système de noms de domaine, traitent le matériel cryptographique et évaluent les certificats par rapport aux règles techniques.

Cette séparation rend la mesure à large échelle plus pratique. L'étape de découverte peut utiliser une interaction minimale, tandis que les négociations plus approfondies sont réservées aux systèmes pertinents pour l'étude. Cela améliore également la reproductibilité, car chaque étape peut enregistrer sa configuration, sa version d'outil et sa sortie structurée.

ZGrab2 peut interagir avec des services incluant HTTP, Transport Layer Security, Secure Shell et les protocoles de messagerie. Ses modules établissent des négociations documentées et enregistrent des champs lisibles par machine plutôt que de s'appuyer sur des analystes pour inspecter les bannières individuelles. Les chercheurs peuvent alors comparer les versions de protocole, les propriétés des certificats et le comportement des services sur de grandes populations.

Les preuves restent spécifiques à l'interaction proposée. Un serveur peut se comporter différemment lorsqu'il reçoit une autre version de protocole, un nom de domaine via Server Name Indication, un contenu de demande différent ou un identifiant client. Un équilibreur de charge ou une passerelle de sécurité peut répondre à la place de l'application sous-jacente. L'affirmation précise est que le point de terminaison a produit une réponse particulière à une sonde particulière.

ZDNS étend la même approche au système de noms. De grands ensembles de requêtes peuvent être exécutés via un cadre reproductible et renvoyés sous forme d'enregistrements structurés. Les chercheurs peuvent examiner le déploiement des enregistrements, l'infrastructure faisant autorité, le comportement du résolveur et les dépendances de domaine sans adapter un outil de recherche à usage général en un système par lots non documenté.

Les résultats DNS dépendent du temps, du choix du résolveur, de l'état du cache, de la géographie et de la politique réseau. Les systèmes de diffusion de contenu dirigent souvent différents clients vers différentes adresses, tandis que les serveurs faisant autorité peuvent appliquer des limites de débit ou des réponses adaptées. ZDNS facilite la collecte de ces observations; il ne transforme pas une réponse en une propriété permanente d'un domaine.

Les outils cryptographiques, y compris ZCrypto et ZLint, ajoutent une autre couche analytique. Les certificats et les objets associés peuvent être analysés et vérifiés par rapport à des profils techniques définis. À grande échelle, les chercheurs peuvent identifier les objets mal formés, les clés faibles, les extensions inhabituelles, les erreurs d'émission répétées et les changements dans les pratiques des autorités de certification.

Un résultat de lint a une signification plus étroite qu'un verdict de sécurité. Certains contrôles concernent la conformité aux normes ou l'interopérabilité, tandis que d'autres identifient des conditions ayant des conséquences de sécurité plus directes. La règle, le contexte du certificat, le comportement du logiciel et la date affectent tous l'interprétation.

Ensemble, les outils forment un pipeline: découvrir un point de terminaison répondant, établir une conversation de protocole, collecter des preuves structurées et analyser l'objet résultant. Chaque étape filtre la population et introduit des hypothèses. Le travail de Durumeric a contribué à rendre ces hypothèses suffisamment reproductibles pour être inspectées plutôt que cachées dans une analyse monolithique.

Les preuves à l'échelle de la population ont changé la réponse de sécurité

L'écosystème ZMap est devenu important parce que les chercheurs l'ont utilisé pour relier les faiblesses des protocoles et des logiciels au déploiement réel. Une vulnérabilité peut être grave en théorie et rare en pratique, ou techniquement simple et présente sur des millions de systèmes. La mesure à l'échelle d'Internet fournit des preuves sur cette différence.

Les premiers travaux de Durumeric comprenaient des études à grande échelle de HTTPS et de l'infrastructure à clé publique. Des enquêtes larges pouvaient montrer quelles versions de protocole restaient utilisées, comment les certificats étaient émis, où les clés publiques étaient réutilisées et si les changements de sécurité recommandés avaient atteint les systèmes déployés. Ces questions ne peuvent pas être résolues de manière fiable par quelques sites Web sélectionnés ou des déclarations de fournisseurs.

Une première enquête a examiné les clés cryptographiques produites lors de la défaillance du générateur de nombres aléatoires Debian OpenSSL divulguée en 2008. Le défaut a fortement réduit l'espace de clé possible, permettant aux chercheurs de comparer les clés publiques observées sur Internet avec des valeurs faibles connues. L'étude a montré que des clés vulnérables pouvaient rester déployées longtemps après que la faille logicielle sous-jacente soit devenue publique.

La leçon s'étendait au-delà du défaut particulier. La publication d'un correctif ou d'un avis n'établit pas la remédiation. Les clés, les certificats et les systèmes peuvent persister à travers les changements de personnel, les migrations et les frontières organisationnelles. La mesure peut vérifier si une faiblesse historique est encore visible plutôt que de supposer que la divulgation a mis fin au risque.

Heartbleed a démontré la valeur et la difficulté de la mesure rapide lors d'un événement de sécurité actif. La vulnérabilité OpenSSL, divulguée en avril 2014, pouvait permettre à un attaquant de récupérer de la mémoire à partir de services TLS affectés dans certaines conditions. Les chercheurs ont utilisé l'analyse à l'échelle d'Internet pour estimer l'exposition et surveiller comment la population changeait après la divulgation.

La réponse nécessitait plus que l'application de correctifs logiciels. Les clés et certificats potentiellement compromis devaient également être remplacés, et les pratiques de révocation étaient inégales. Les preuves de population ont montré la différence entre la disponibilité d'un correctif et l'achèvement de la remédiation sur l'infrastructure déployée.

Tester une vulnérabilité peut être plus intrusif que d'identifier un port ouvert. Une sonde peut exercer le comportement défectueux et, dans certains cas, récupérer des données. Les chercheurs doivent limiter ce qu'ils collectent, minimiser la rétention et peser la valeur publique de la mesure par rapport à la charge imposée aux systèmes distants.

La recherche Logjam a combiné l'analyse cryptographique avec des preuves sur le déploiement de paramètres Diffie-Hellman. Elle a examiné les configurations faibles de qualité export et la réutilisation de groupes premiers communs, montrant comment un précalcul coûteux contre un paramètre largement partagé pouvait affecter de nombreux services plutôt qu'un seul point de terminaison.

DROWN a exposé une autre forme de dépendance inter-systèmes. La prise en charge du protocole SSLv2 obsolète sur un service pouvait mettre en danger les connexions TLS modernes dans des conditions spécifiées, en particulier lorsque la même clé RSA était réutilisée. Les données à l'échelle d'Internet ont aidé à révéler les relations entre les services qui pouvaient avoir été gérés par différentes équipes mais partageaient du matériel cryptographique.

Ces projets étaient des efforts de recherche collective, et Durumeric ne doit pas recevoir seul le crédit de leurs contributions cryptographiques ou analytiques. Son importance réside dans le fait d'avoir contribué à créer la capacité de mesure grâce à laquelle les faiblesses théoriques des protocoles pouvaient être comparées au déploiement à grande échelle.

L'enquête Mirai a étendu cette approche à un écosystème d'abus. Le botnet a compromis des appareils connectés à Internet via des identifiants par défaut largement connus et a généré de grandes attaques par déni de service distribué. Les chercheurs ont combiné l'analyse avec l'analyse de logiciels malveillants, la télémétrie réseau et les observations de l'infrastructure d'attaque pour étudier sa croissance et ses cibles.

Les réponses de service pouvaient aider à identifier les populations d'appareils probables, mais l'attribution de produit restait incertaine. Les bannières peuvent être trompeuses, les appareils peuvent partager des adresses publiques et les fabricants peuvent réutiliser des composants logiciels. La recherche a montré la valeur des preuves de population tout en démontrant pourquoi un modèle de réponse ne doit pas être traité comme une identité d'appareil incontestable.

À travers ces cas, la mesure a changé la conversation sur la sécurité. Les chercheurs pouvaient estimer la prévalence, comparer la remédiation dans le temps et identifier les paramètres par défaut ou les dépendances partagés. Ils ne pouvaient pas corriger les systèmes affectés, contraindre les propriétaires à agir ou garantir que chaque adresse avait été correctement attribuée.

Censys a transformé un instrument de recherche en service commercial

La mesure à l'échelle d'Internet a commencé à acquérir un rôle opérationnel différent lorsque les données sont devenues continuellement consultables. Censys est né de l'environnement de recherche de l'University of Michigan et a indexé des informations sur les hôtes, les services et les certificats afin que les utilisateurs puissent interroger les résultats plutôt que d'exploiter eux-mêmes le pipeline complet de collecte.

Durumeric a co-fondé Censys avec David Adrian. L'entreprise a développé des produits commerciaux autour du renseignement sur Internet, de la gestion de la surface d'attaque et de l'enquête sur les menaces. Le matériel public associé au profil identifie Durumeric comme fondateur et directeur général en plus de son rôle à la faculté de Stanford.

La transition du système de recherche à l'entreprise a changé ce qu'il fallait maintenir. Un projet de recherche peut démontrer une méthode et publier un ensemble de données. Un service commercial doit collecter en continu, exploiter une infrastructure de stockage et de recherche, mettre à jour les modules de protocole, résoudre les questions des clients, protéger les activités sensibles et fournir un accès fiable.

Censys change l'économie de la visibilité de l'extérieur. Avant que les ensembles de données Internet partagés ne soient largement disponibles, une organisation pouvait construire son propre système d'analyse ou commander des évaluations périodiques. Maintenir une collecte mondiale, des analyseurs de protocole, des index historiques et des modèles d'attribution nécessitait des ingénieurs spécialisés et une infrastructure substantielle.

Une plateforme partagée répartit ce coût entre les clients. Les équipes de sécurité peuvent rechercher des certificats, des noms d'hôte, des services et des adresses associés à leur organisation, puis comparer les résultats avec les inventaires internes. La différence peut révéler des systèmes oubliés, des environnements de test exposés, des services tiers et des actifs créés en dehors des processus normaux.

Le résultat reste une piste plutôt qu'un enregistrement d'actif automatiquement vérifié. Une adresse cloud peut appartenir à un fournisseur tandis que l'application appartient à l'un de ses clients. Un certificat peut porter un ancien nom d'entreprise. Un domaine peut pointer vers un fournisseur, une cible d'acquisition ou un service géré. Les organisations doivent rapprocher l'observation de l'extérieur avec les contrats, les comptes cloud et les enregistrements de propriété internes.

L'entreprise commercialise également des preuves historiques. Les enquêteurs en sécurité ont souvent besoin de savoir ce qui était visible avant un incident, un changement de certificat ou une divulgation. Un enregistrement du moment où un service est apparu pour la première fois, du certificat qu'il présentait et de l'évolution de son comportement de protocole peut aider à reconstruire une chronologie d'exposition.

Les données historiques nécessitent la même prudence que les analyses actuelles. Un point de terminaison peut être manqué pendant un cycle de collecte en raison de perte, de maintenance ou de filtrage. Un changement dans le comportement de l'analyseur peut créer une tendance apparente. L'absence d'un ensemble de données n'est pas une preuve qu'un service était indisponible, et la présence à une adresse ne prouve pas que la même organisation la contrôle aujourd'hui.

Censys est donc mieux décrit comme une couche de preuves externes continuellement construite plutôt que comme un inventaire complet d'Internet. Sa valeur dépend de la couverture, de la fréquence de collecte, du support des protocoles, de l'attribution, des procédures de correction et de la capacité à montrer aux utilisateurs comment une conclusion a été atteinte.

Le problème le plus difficile commence après la réponse d'un service

Trouver un point de terminaison répondant est souvent plus facile que de décider ce qu'il représente. Une adresse est un emplacement réseau, pas une identité commerciale stable. Les enregistrements de routage peuvent identifier le système autonome annonçant un préfixe, tandis que les données d'enregistrement peuvent identifier un détenteur de ressource. Ni l'un ni l'autre n'identifie nécessairement le client, l'application ou l'équipe responsable du service.

Les noms DNS, les certificats, le contenu Web et les bannières de protocole peuvent renforcer l'attribution. Ils peuvent également être génériques, obsolètes ou délibérément trompeurs. Les fournisseurs cloud possèdent des plages d'adresses utilisées par des milliers de clients, et les réseaux de diffusion de contenu terminent les connexions pour le compte d'organisations dont les systèmes d'origine sont ailleurs.

L'attribution combine donc plusieurs signaux et devrait produire un niveau de confiance plutôt qu'une réponse catégorique. Les acquisitions, les filiales, les sous-traitants et les fournisseurs de services gérés rendent le problème plus difficile. Un résultat attribué incorrectement peut faire perdre du temps à un client, mal orienter une divulgation ou nuire à la réputation d'une organisation qui ne contrôle pas le système.

La même prudence s'applique à l'identification du logiciel. Une bannière peut indiquer un produit et une version tandis qu'un fournisseur a rétroporté un correctif de sécurité sans changer la chaîne affichée. Un proxy inverse peut exposer son propre logiciel plutôt que l'application derrière lui. Un service peut imiter un autre produit ou être intentionnellement configuré comme un pot de miel.

Une version visible associée à une vulnérabilité n'est pas une preuve d'exploitabilité. La fonctionnalité pertinente peut être désactivée, un contrôle compensatoire peut être en place ou l'empreinte peut être erronée. Inversement, une réponse générique peut cacher un produit affecté. La mesure soutient la priorisation; la confirmation nécessite des preuves supplémentaires.

IPv6 rend la couverture de la population plus difficile. L'espace d'adresses IPv4 publique est vaste mais énumérable. IPv6 est trop grand pour être analysé adresse par adresse, de sorte que les chercheurs construisent des ensembles de cibles candidates à partir du DNS, des données de routage, des certificats, des traceroutes, des observations passives et des modèles d'attribution d'adresses.

Ces méthodes introduisent un biais de sélection. Les systèmes absents des sources de noms publiques ou des certificats peuvent rester invisibles. Le schéma d'adressage d'un fournisseur peut être plus facile à déduire que celui d'un autre, tandis que les adresses orientées vers la confidentialité ou changeant rapidement sont difficiles à suivre. Une enquête IPv6 décrit généralement la population cible construite plutôt que l'espace d'adressage complet du protocole.

L'infrastructure cloud introduit une forme différente d'instabilité. Les adresses peuvent être réattribuées rapidement, les charges de travail peuvent n'exister que pendant une courte période et les services gérés peuvent séparer le point de terminaison visible de l'organisation fournissant l'application. Un enregistrement qui était correct au moment de la collecte peut devenir trompeur s'il est présenté sans contexte temporel et d'attribution.

Les certificats fournissent une deuxième vue de l'infrastructure. Les journaux publics peuvent exposer les noms de domaine, les émetteurs, les clés et les périodes de validité avant qu'un service ne soit accessible par analyse. Combinés aux observations DNS et d'hôte, ils peuvent identifier des relations qu'aucune source unique ne révèle.

Un certificat ne prouve toujours pas que chaque nom listé est actif ou contrôlé par l'opérateur actuel. Les certificats peuvent survivre aux services, inclure des noms internes ou être émis lors de travaux de déploiement abandonnés. L'accord entre sources augmente la confiance, tandis que le désaccord expose souvent la limitation qui nécessite une enquête.

Cette traduction de la réponse paquet en revendication organisationnelle est à la fois le goulot d'étranglement commercial et analytique. Les clients ne paient pas seulement pour savoir qu'une adresse a répondu. Ils ont besoin de savoir quel actif il peut représenter, pourquoi il leur a été associé, quand les preuves ont été collectées et quelle action le résultat justifie.

La mesure peut exposer la dépendance de l'infrastructure

Une fois plusieurs sources de preuves combinées, la mesure d'Internet peut décrire plus que des hôtes individuels. Un service peut dépendre d'une plateforme cloud, d'un opérateur de nom de domaine, d'une autorité de certification, d'un réseau de diffusion de contenu et d'un fournisseur d'identité. La concentration de ces dépendances peut avoir de l'importance même lorsque chaque service individuel est correctement configuré.

Les recherches plus larges de Durumeric ont examiné comment les relations d'infrastructure visibles peuvent être formalisées et mesurées. Les enregistrements DNS, les certificats, les informations de routage et les réponses de service peuvent montrer que de grandes populations dépendent d'un nombre limité de fournisseurs. Une panne ou un changement de politique chez l'un de ces fournisseurs peut donc affecter des organisations qui semblent indépendantes.

Les preuves publiques ne peuvent pas révéler tous les arrangements contractuels ou opérationnels. Un enregistrement DNS montre le fournisseur actuel mais pas le plan de migration du client. Un émetteur de certificat fait partie de la chaîne de confiance mais peut ne pas être le seul émetteur disponible. Une adresse cloud ne révèle pas si une charge de travail peut basculer ailleurs.

La mesure peut néanmoins rendre la concentration suffisamment visible pour être enquêtée. L'objet d'étude devient le graphe de service autour d'une organisation plutôt que l'adresse seule. Cela élargit la mesure active de la recherche de vulnérabilités à l'économie et à la gouvernance de l'infrastructure numérique.

La même capacité peut être utilisée à mauvais escient si une dépendance visible est présentée comme un contrôle permanent. Les organisations peuvent changer de fournisseurs, maintenir des sauvegardes non divulguées ou utiliser des systèmes internes qu'un scanner externe ne peut pas voir. Les preuves de dépendance sont les plus fortes lorsqu'elles identifient une relation observable et les plus faibles lorsqu'elles prétendent connaître la stratégie de résilience complète du client.

L'analyse responsable est un système d'exploitation, pas une clause de non-responsabilité

L'analyse à l'échelle d'Internet contacte des systèmes dont les opérateurs n'ont pas individuellement demandé la mesure. Même une sonde techniquement valide et peu coûteuse peut déclencher une alerte d'intrusion, consommer du temps de personnel ou exposer un défaut dans un ancien équipement. Un fonctionnement responsable nécessite donc un processus permanent plutôt qu'une déclaration de bonnes intentions.

Les sources de mesure doivent être identifiables. Le DNS inverse et une page d'information publique peuvent expliquer le but du trafic, les protocoles impliqués et comment contacter l'opérateur. Le canal de contact doit être surveillé, et l'organisation doit avoir l'autorité pour interrompre une analyse lorsqu'un effet inattendu est signalé.

Les demandes d'exclusion créent à la fois une sauvegarde éthique et une limitation méthodologique. Retirer un réseau des analyses futures respecte la décision de l'opérateur mais crée un angle mort. La population exclue peut être systématiquement différente des cibles restantes si les réseaux critiques, sensibles à la sécurité ou fragiles sont plus susceptibles de se retirer.

Les chercheurs doivent préserver la version de la liste de blocage et expliquer comment les exclusions affectent l'ensemble de données. La population précise peut être l'espace d'adressage ciblé et routable restant après les plages réservées, les retraits, les échecs et les restrictions locales, plutôt qu'une revendication non qualifiée sur l'ensemble de l'Internet public.

Le débit est un autre choix politique. Une source avec une bande passante suffisante peut transmettre plus rapidement qu'un petit réseau de destination ou un appareil fragile ne peut confortablement recevoir. L'ordonnancement aléatoire répartit le trafic, mais un réseau détenant un grand bloc d'adresses peut encore recevoir de nombreuses sondes. Les enquêtes répétées créent également un fardeau cumulatif.

Le contenu de la sonde importe plus que l'étiquette attachée à l'outil. Une négociation de base est différente d'une tentative d'authentification, d'une vérification d'exploit ou d'une demande qui récupère des données non intentionnelles. ZMap fournit un cadre pour envoyer des paquets; le chercheur ou l'opérateur choisit l'interaction et assume la responsabilité de son effet.

La gestion des plaintes améliore également la qualité de la mesure. Un opérateur peut expliquer qu'une réponse provenait d'un équipement intermédiaire, d'un pot de miel ou d'une plateforme partagée. Les commentaires peuvent révéler de fausses hypothèses dans la méthode de collecte. Un scanner qui ne traite les organisations distantes que comme des cibles perd à la fois sa légitimité et des preuves utiles.

L'infrastructure effectuant l'analyse a besoin de sa propre sécurité. Elle traite des paquets et des données d'application non fiables, de sorte que des réponses mal formées peuvent cibler les analyseurs ou consommer des ressources. Les plateformes de mesure ont besoin de validation des entrées, d'isolation, de gestion des dépendances et de réponse aux vulnérabilités comme tout autre service exposé.

L'accès aux données et aux systèmes de génération de paquets nécessite également un contrôle. Un scanner compromis pourrait être redirigé vers un trafic nuisible, tandis qu'un ensemble de données volé pourrait révéler des relations d'infrastructure précieuses pour les attaquants. Les observations brutes, les listes de cibles et les recherches des clients ne doivent pas être traitées comme des artefacts de recherche inoffensifs.

Le double usage ne peut pas être éliminé du domaine. Les mêmes empreintes de service peuvent soutenir l'inventaire et la reconnaissance. Les enregistrements historiques peuvent aider à la reconstruction d'incidents et à la planification des attaquants. La publication d'outils abaisse les barrières pour les chercheurs légitimes et pour les utilisateurs abusifs.

Restreindre les outils de recherche publics n'éliminerait pas l'analyse à grande échelle par des attaquants compétents. Le modèle de gouvernance le plus réaliste est de préserver des méthodes transparentes, des paramètres par défaut sûrs, une conduite documentée et une responsabilité pour chaque opérateur. Durumeric ne contrôle pas toutes les organisations qui téléchargent ZMap, tout comme le développeur d'un utilitaire réseau ne contrôle pas chaque paquet généré ultérieurement avec lui.

Le nettoyage des données peut changer le résultat autant que l'analyse

La mesure à l'échelle d'Internet produit des enregistrements mal formés, dupliqués, incomplets et contradictoires. Les chercheurs doivent décider comment gérer les tentatives répétées, les délais d'attente, les redirections, les certificats partagés, les erreurs de protocole et les bannières qui ne correspondent pas au schéma attendu.

Ces décisions modifient la population décrite. Une adresse peut héberger des centaines de domaines. Un service peut apparaître via de nombreuses adresses. Une application à charge équilibrée peut renvoyer différents certificats pendant la même enquête. Une mise à jour de l'analyseur peut classer une ancienne réponse différemment du logiciel utilisé dans une étude antérieure.

Un projet défendable enregistre le pipeline de traitement des données aussi soigneusement que la configuration de génération de paquets. Les versions des outils, les listes de cibles, les exclusions, les horodatages, le comportement de nouvelle tentative et l'attrition étape par étape aident les autres chercheurs à comprendre comment le décompte final a été produit.

Les exigences de fraîcheur dépendent de l'utilisation prévue. Une étude d'adoption de protocole peut tolérer des instantanés périodiques, tandis que la réponse aux incidents et la gestion de la surface d'attaque nécessitent des observations plus actuelles. Chaque enregistrement doit porter un temps de collecte et suffisamment de provenance pour distinguer une découverte en direct du contexte historique.

Les faux positifs et les faux négatifs ont également des coûts opérationnels différents. Une fausse attribution peut envoyer une équipe de sécurité vers un actif qu'elle ne possède pas. Un service manqué peut laisser une exposition réelle non découverte. Les recherches générales peuvent signaler l'incertitude sur une population, tandis que l'application automatisée ou les alertes client de gravité élevée nécessitent des preuves plus solides.

Le seuil approprié dépend donc de l'action attachée aux données. Une plateforme de recherche peut exposer des associations possibles pour enquête. Elle ne devrait pas convertir chaque signal faible en un actif organisationnel définitif simplement parce qu'un résultat catégorique est plus facile à afficher.

Aucun point de mesure ne voit l'ensemble d'Internet

La mesure active atteint les cibles par les routes, le filtrage et les politiques disponibles pour le réseau du scanner. Une enquête depuis l'Amérique du Nord peut recevoir des réponses différentes de celle menée en Asie, en Afrique ou au Moyen-Orient. Le géorepérage, la censure, l'anycast et l'hébergement régional peuvent tous modifier le résultat observé.

Une adresse annoncée depuis plusieurs emplacements peut renvoyer l'instance sélectionnée par le routage Border Gateway Protocol pour la source du scanner. Un changement de route peut modifier la réponse même lorsqu'aucune configuration d'application n'a changé. Les informations de routage peuvent aider à interpréter une analyse, mais les enregistrements du plan de contrôle ne révèlent pas chaque décision de transfert.

Les points de vue distribués améliorent la perspective et augmentent le coût. Chaque source a besoin d'un fonctionnement sécurisé, de détails de contact identifiables et de conformité avec la loi et les politiques des fournisseurs dans sa juridiction. Plus d'emplacements ne créent pas une vue universelle; ils produisent plusieurs vues dont les différences peuvent elles-mêmes devenir des preuves.

C'est pourquoi « à l'échelle d'Internet » devrait décrire l'étendue de la cible plutôt que l'omniscience. Une plateforme peut contacter une grande partie de l'espace IPv4 public et ne voir que la version de chaque service disponible depuis ses chemins sélectionnés.

La mesure passive fournit un contraste utile. Elle enregistre le trafic traversant un point d'observation et peut montrer comment les utilisateurs réels interagissent avec les protocoles. Elle est limitée aux liens disponibles pour le chercheur et peut impliquer des données utilisateur bien plus sensibles qu'une sonde active contrôlée.

Les deux méthodes répondent à des questions différentes. L'analyse active peut montrer combien de points de terminaison répondent à une interaction définie. Les données passives peuvent montrer combien de trafic observé utilise un protocole. Un service très utilisé et un million de services rarement utilisés produisent des résultats très différents sous ces mesures.

La diversité institutionnelle compte également. Le Center for Applied Internet Data Analysis, ou CAIDA, développe une topologie, un routage et une infrastructure de mesure à partir d'une base institutionnelle distincte à l'University of California San Diego. L'écosystème ZMap se concentre plus directement sur les services accessibles sur Internet, le déploiement cryptographique et l'infrastructure exposée.

Les projets peuvent se compléter sans partager le contrôle organisationnel. Des instruments et des ensembles de données indépendants permettent aux chercheurs d'identifier les angles morts et empêchent un collecteur de devenir la source incontestée de vérité sur Internet.

Stanford a élargi l'agenda de mesure

Durumeric est professeur assistant en informatique à Stanford University, où ses travaux couvrent la sécurité, la confiance, la sécurité et la mesure d'Internet. L'université lui donne une nouvelle base institutionnelle pour les étudiants, les collaborateurs et la recherche à long terme tandis que Censys exploite l'environnement de collecte et de produit commercial.

Les deux rôles sont connectés mais distincts. La recherche académique est censée produire des connaissances généralisables et résister à l'examen public. Une entreprise doit protéger les clients, maintenir les services, différencier les produits et générer des revenus. La transparence sur le financement, l'affiliation et l'accès aux données est importante lorsque la recherche utilise une infrastructure commerciale.

Les travaux ultérieurs de Durumeric s'étendent au-delà des hôtes exposés et du déploiement cryptographique. Les mesures actives peuvent examiner la censure en comparant comment les protocoles, les domaines et les services se comportent à travers les réseaux et les régions. Une connexion échouée peut résulter du filtrage, du routage, de la congestion ou de la politique du serveur, de sorte que les études les plus solides utilisent des expériences répétées et plusieurs points de vue.

La même approche empirique s'est étendue au harcèlement, à la désinformation et à d'autres systèmes en ligne nuisibles. Ces sujets impliquent des personnes, des plateformes et du contenu plutôt que de simples paquets. Les données peuvent être plus sensibles, et les classifications automatisées peuvent affecter des individus vulnérables ou la parole politique.

Cet agenda plus large montre une continuité dans la méthode plutôt que la similarité du sujet. Les chercheurs construisent un ensemble de données sur un système distribué, testent un comportement observable et déclarent ce que les preuves peuvent et ne peuvent pas établir. Les obligations éthiques augmentent lorsque les objets de mesure sont des personnes et des activités sociales plutôt que des réponses de protocole publiques.

L'enseignement distribue la capacité au-delà d'un seul laboratoire. Les étudiants formés à la mesure vont dans les universités, les entreprises de sécurité, les institutions publiques et les plateformes technologiques. L'impact infrastructurel d'un groupe académique comprend les outils et les articles qu'il produit, mais aussi les chercheurs qui transportent ces méthodes ailleurs.

Les récompenses de Durumeric reflètent l'établissement du domaine. Sa reconnaissance a inclus la sélection pour les Innovators Under 35 du MIT Technology Review en 2015 et un Sloan Research Fellowship. Une rétrospective de 2024 sur dix ans de ZMap a documenté son adoption dans la recherche académique et industrielle.

Les récompenses ne valident pas chaque ensemble de données ou revendication commerciale. Leur signification est que la mesure active à l'échelle d'Internet est passée d'une expérience de systèmes inhabituelle à une composante reconnue de la recherche en sécurité et en infrastructure.

Outils ouverts et cartes propriétaires coexistent maintenant

ZMap et de nombreux outils associés sont des logiciels open source. Les chercheurs peuvent inspecter leur comportement, reproduire les méthodes et adapter les modules sans dépendre entièrement d'un fournisseur commercial. Les organisations ayant la capacité nécessaire peuvent exploiter leurs propres mesures.

La disponibilité ouverte ne rend pas l'analyse à l'échelle d'Internet peu coûteuse ou simple. Elle nécessite un accès réseau, du calcul, du stockage, de l'ingénierie de protocole, des contacts opérationnels et un examen éthique. Un déploiement mal géré peut causer des dommages même lorsque le code sous-jacent est public et techniquement solide.

La maintenance est un autre point de concentration. Les protocoles changent, les analyseurs ont besoin de correctifs de sécurité et les nouveaux systèmes d'exploitation affectent les performances. La permission légale de bifurquer un projet ne crée pas les ingénieurs nécessaires pour maintenir une alternative crédible.

Censys ajoute un fonctionnement continu, un support produit, une attribution et une interface consultable. Les revenus d'abonnement peuvent financer l'ingénierie et l'infrastructure que de courtes subventions de recherche peuvent ne pas soutenir. Les clients reçoivent la commodité et dépendent des choix de collecte, du rythme de mise à jour et du modèle de données du fournisseur.

Le fonctionnement commercial change également la divulgation. Une équipe de recherche peut publier des méthodes et des ensembles de données sélectionnés, tandis qu'une entreprise a des raisons de protéger l'enrichissement propriétaire, l'activité des clients et la logique du produit. La tension n'est pas résolue en étiquetant un côté ouvert et l'autre fermé.

Les questions pertinentes sont quelles méthodes de collecte restent inspectables, comment les erreurs peuvent être contestées et si la recherche d'intérêt public conserve un accès significatif. Une carte commerciale peut être précieuse sans être acceptée comme une autorité publique neutre.

La concentration pourrait devenir un problème plus important à mesure que les équipes de sécurité, les gouvernements et les chercheurs s'appuient sur un petit nombre de fournisseurs de renseignements externes. Les données partagées peuvent réduire le trafic d'analyse dupliqué et créer une monoculture de mesure. Si un fournisseur change de couverture ou de classification, de nombreux utilisateurs peuvent hériter du même angle mort.

Un système pluriel comprendrait des outils ouverts, plusieurs collecteurs commerciaux et académiques, des méthodes transparentes et des mécanismes de comparaison. Des ensembles de données indépendants imposent un coût, mais ils empêchent également l'interprétation d'une plateforme de devenir l'inventaire officiel de facto d'Internet.

Durumeric a rendu Internet plus observable, pas plus gouvernable

L'impact infrastructurel de Durumeric peut être retracé à travers plusieurs étapes liées. La recherche sur les systèmes a repensé l'analyse à grande vitesse; ZMap a rendu la méthode réutilisable; ZGrab2, ZDNS et les outils cryptographiques ont transformé les réponses de base en preuves structurées; les études de sécurité ont relié ces preuves aux faiblesses systémiques; et Censys a converti la mesure continue en un service utilisé par les défenseurs et les enquêteurs.

Stanford étend le programme de recherche à la dépendance infrastructurelle, à la censure, aux abus et à la sécurité en ligne. Chaque étape implique différents collaborateurs et institutions, et aucune ne doit être réduite à la réalisation d'une seule personne.

Durumeric a une autorité directe au sein de son groupe de recherche et une responsabilité exécutive chez Censys, sous réserve des contraintes universitaires, corporatives, du conseil d'administration et légales. Il peut influencer les questions de recherche, la direction du produit, le personnel et le fonctionnement des systèmes de mesure.

Il ne possède pas les hôtes, les réseaux, les domaines ou les certificats enregistrés par ces systèmes. Il ne peut pas contraindre une organisation à corriger un service, à répondre à une divulgation ou à accepter une attribution. Il ne contrôle pas chaque analyse effectuée avec ZMap ni chaque interprétation construite à partir de sa sortie.

Son autorité est méthodologique, institutionnelle et commerciale. Il a aidé à définir comment les observations peuvent être recueillies et rendues utiles à grande échelle. Les conséquences restent réparties entre les propriétaires de systèmes, les opérateurs de réseau, les fournisseurs cloud, les chercheurs, les clients et les institutions publiques.

Cette limite est le fait central du profil. La mesure à l'échelle d'Internet peut révéler des défaillances systémiques qu'aucun opérateur unique ne peut observer. Elle ne peut pas fournir la gouvernance nécessaire pour les corriger. La visibilité peut créer une pression, des preuves et une responsabilité, mais la remédiation dépend toujours des personnes et des organisations ayant autorité sur l'infrastructure affectée.

Pourquoi BTW suit Zakir Durumeric

BTW suit Durumeric parce que l'infrastructure numérique ne peut pas être sécurisée ou gouvernée efficacement lorsque sa surface visible de l'extérieur est inconnue. Son travail a aidé à transformer l'analyse large d'un exercice spécialisé lent en une capacité de mesure reproductible utilisée par les chercheurs et les défenseurs commerciaux.

Le même travail expose les limites de l'autorité fondée sur les données. Une carte peut être incomplète, périmée ou incorrectement attribuée. Un service accessible n'est pas nécessairement vulnérable, et une adresse n'est pas une identité organisationnelle stable. Une plateforme de mesure peut améliorer la responsabilité tout en créant de nouveaux risques de confidentialité, de double usage et de concentration.

La carrière de Durumeric est donc une étude de cas de la mesure devenant une infrastructure. Michigan a fourni l'environnement de recherche, la communauté ZMap a créé une base technique réutilisable, Censys a ajouté un fonctionnement commercial continu et Stanford soutient une enquête et une formation supplémentaires.

Le résultat n'est pas un inventaire central d'Internet. C'est une couche de preuves externes puissante dont la valeur dépend de méthodes transparentes, de données actuelles, d'un fonctionnement responsable et de la pluralité institutionnelle.

Le prochain test n'est pas de savoir si l'analyse peut devenir plus rapide. C'est de savoir si les organisations produisant ces cartes peuvent rendre les conclusions importantes traçables, corrigibles et comparables sans permettre à une vue partielle de se durcir en vérité de terrain incontestée.

Preuves principales et questions non résolues

Les preuves principales pour ce profil incluent les dossiers de Stanford University, l'historique professionnel et de publication de Durumeric, la documentation du projet ZMap, le leadership de Censys et le matériel produit, et des études évaluées par des pairs utilisant l'écosystème de mesure. Ensemble, ces sources établissent ses rôles, la conception et l'influence de ZMap, son implication dans Censys et le programme plus large de recherche en sécurité Internet.

Les sources du projet et de l'entreprise décrivent leurs propres outils et opérations. Elles ne doivent pas être traitées comme une preuve indépendante d'une couverture complète, d'une attribution précise dans tous les cas ou de l'efficacité de chaque fonctionnalité de produit commercial.

Les questions non résolues concernent à la fois la qualité de la mesure et le pouvoir institutionnel. La couverture externe reste difficile à travers IPv6, les systèmes cloud de courte durée, les services filtrés régionalement et les réseaux qui excluent les scanners. Les erreurs d'attribution peuvent affecter les résultats de recherche, les flux de travail des clients et les revendications publiques, pourtant les taux d'erreur complets ne sont pas établis publiquement.

Le développement commercial soulève d'autres questions. Il n'est pas toujours clair quels ensembles de données, méthodes de collecte et procédures de correction resteront inspectables publiquement à mesure que les services payants se développent. Les collecteurs indépendants font face à des coûts d'exploitation substantiels, tandis que la dépendance à un seul ensemble de données partagé peut réduire la diversité méthodologique.

Les organisations mesurées ont également besoin de moyens crédibles pour contester ou corriger les enregistrements inexacts sans transformer le retrait en un moyen de cacher des preuves publiques légitimes. Les plateformes de recherche doivent empêcher les mêmes capacités utilisées pour la défense de devenir une source bon marché de reconnaissance nuisible.

Ces tensions détermineront si la mesure active d'Internet se développe comme une couche de preuves publiques plurielle ou se consolide en un petit nombre de cartes propriétaires.