Aller au contenu
TortueTech
RubriquesÉditoriaux

BGP, la confiance par défaut

Éditorial

Internet achemine le trafic d'après des annonces que chaque réseau fait sur lui-même, et que les autres croient faute de mieux. RPKI permet enfin de vérifier qui a le droit d'annoncer une adresse, mais pas par où le trafic doit passer, et c'est encore la bonne volonté qui tient le reste.

Mis à jour le 25 septembre 2026~23 min de lecture12 sections

papy cyber

→ Lire l’explication complète de la marmotte

Un réseau de réseaux qui se croient sur parole

Section intitulée « Un réseau de réseaux qui se croient sur parole »

Il existe, au cœur d’Internet, un protocole que très peu de gens connaissent et dont presque tout dépend. Il ne transporte pas vos données. Il décide par où elles passent, ce qui, dans l’histoire des empires comme dans celle des réseaux, a toujours été la position la plus lucrative. Il s’appelle BGP, pour Border Gateway Protocol, et il repose sur un principe que l’on n’oserait proposer aujourd’hui dans aucun comité de sécurité sans provoquer un malaise : chaque réseau annonce aux autres les adresses qu’il sait joindre, et les autres le croient.

Il n’y a pas d’autorité centrale qui vérifie. Il n’y a pas, historiquement, de registre consulté au moment où l’annonce est reçue. Il y a des milliers de réseaux autonomes, opérés par des entreprises, des universités, des administrations, des fournisseurs d’accès de toutes tailles, qui se racontent mutuellement ce qu’ils savent faire, et qui bâtissent sur ces récits la carte du monde qu’ils utilisent pour acheminer le trafic. C’est un système de rumeurs à l’échelle planétaire, qui fonctionne étonnamment bien, et c’est précisément ce qui devrait nous inquiéter : on s’habitue très vite à ce qui fonctionne étonnamment bien.

Les éditoriaux précédents de cette série sont descendus d’étage en étage. Le premier montrait que le chiffrement de bout en bout laisse voir l’enveloppe. Le second, que la résolution de nom confie à un témoin la liste de ce qu’on consulte. Celui-ci descend au dernier sous-sol : l’endroit où l’on décide si les paquets envoyés à une adresse arrivent bien à la machine qui la porte.

La thèse est la suivante : le routage d’Internet est fondé sur des déclarations, pas sur des preuves ; RPKI a introduit une preuve pour l’origine d’une annonce, et c’est un progrès considérable, mais le chemin reste déclaratif, et ce qui empêche l’ensemble de s’effondrer n’est pas un protocole mais une communauté. C’est rassurant ou terrifiant selon l’estime qu’on porte au genre humain. J’ai, sur ce point, des opinions variables selon l’heure.

Comment Internet choisit un chemin

Section intitulée « Comment Internet choisit un chemin »

Rappelons le mécanisme, que la page consacrée à BGP, Internet et anycast expose plus en détail.

Internet est découpé en systèmes autonomes (AS), chacun étant un réseau sous une administration unique et identifié par un numéro. À l’intérieur d’un système autonome, le routage relève de protocoles internes, dont les délices et les pièges sont décrits dans la page sur le routage interne et la redistribution. Entre systèmes autonomes, c’est BGP, et BGP seul.

Chaque système autonome annonce à ses voisins les blocs d’adresses (les préfixes) qu’il détient, ainsi que ceux qu’il sait joindre par l’intermédiaire d’autres réseaux. Chaque annonce porte la liste des systèmes autonomes traversés, le chemin d’AS, qui sert d’abord à éviter les boucles : un réseau qui voit son propre numéro dans le chemin sait qu’il tourne en rond et ignore l’annonce. C’est à peu près la seule vérification intrinsèque du protocole, et elle est faite pour protéger le réseau de lui-même, pas des autres. On a prévu le cas où l’on se mordrait la queue ; on n’a pas prévu celui où l’on se ferait mordre.

Quand un routeur reçoit plusieurs annonces pour le même préfixe, il en choisit une, selon une procédure qui mêle des critères techniques (la longueur du chemin, notamment) et surtout des politiques commerciales : on préfère faire passer le trafic par un client qui paie plutôt que par un fournisseur qu’on paie, et par un pair gratuit plutôt que par un fournisseur payant. BGP n’est pas un protocole de plus court chemin ; c’est un protocole de politiques, où la géographie cède volontiers à la comptabilité.

Enfin, et c’est le point qui fait tout le sel de la suite, le routeur qui achemine un paquet choisit toujours l’annonce la plus spécifique qui couvre l’adresse de destination. Le mécanisme de décision est rappelé dans la page sur la décision de chemin. Si un réseau annonce un grand bloc et qu’un autre annonce un sous-bloc plus petit inclus dedans, c’est le plus petit qui l’emporte, partout où il est reçu, quelle que soit la longueur du chemin. C’est parfaitement logique pour l’ingénierie du trafic. C’est aussi, on va le voir, une invitation, rédigée en termes si courtois qu’il serait impoli de la décliner.

Le détournement, ou l’usurpation par simple affirmation

Section intitulée « Le détournement, ou l’usurpation par simple affirmation »

Puisque chacun croit ce qu’on lui annonce, il suffit d’annoncer ce qui n’est pas à soi. Un détournement de préfixe (prefix hijack) consiste pour un système autonome à annoncer un bloc d’adresses qui appartient à un autre. Les voisins, qui n’ont aucun moyen de savoir que l’annonce est illégitime, la propagent. Une partie d’Internet (celle pour qui la fausse annonce paraît meilleure que la vraie) envoie désormais le trafic destiné à la victime vers l’usurpateur.

Si l’usurpateur annonce un sous-bloc plus spécifique, c’est encore plus simple : il n’est même plus en concurrence avec la vraie annonce, il la remplace, puisque le plus spécifique l’emporte partout où il arrive. Le mécanisme ne demande ni compétence particulière, ni faille logicielle, ni accès à la victime. Il demande un routeur, une session BGP avec un voisin qui ne filtre pas, et une ligne de configuration. Le détournement BGP est une attaque qui ressemble trait pour trait à une erreur de frappe, et c’est d’ailleurs, le plus souvent, ce qu’il est.

Les incidents publics les plus connus sont en effet des accidents. En 1997, une erreur de configuration chez un petit opérateur l’a conduit à annoncer comme siennes une très grande partie des routes d’Internet, ce qui a perturbé une partie importante du réseau pendant plusieurs heures. En 2008, un opérateur pakistanais, chargé d’appliquer localement un blocage d’une grande plateforme de vidéo, a annoncé un préfixe plus spécifique de cette plateforme pour en capter le trafic national ; l’annonce a fui vers son fournisseur de transit, qui l’a propagée au reste du monde, et la plateforme est devenue injoignable à l’échelle planétaire pendant quelques heures. Personne n’avait piraté quoi que ce soit. Quelqu’un avait voulu censurer chez lui, et Internet, dans sa grande serviabilité, avait étendu la censure à tous.

Il existe aussi des détournements délibérés, plus rares, plus courts et plus ciblés. Le schéma est connu : annoncer brièvement les adresses de serveurs DNS faisant autorité, ou de services d’un fournisseur d’hébergement, capter le trafic pendant quelques dizaines de minutes, servir de fausses réponses, puis retirer l’annonce. En 2018, un détournement de ce type visant l’infrastructure DNS d’un grand fournisseur de services en nuage a servi à rediriger les utilisateurs d’un service de portefeuille de cryptomonnaies vers un site frauduleux. On retrouve là, assemblées, les pièces des deux éditoriaux précédents : on ne pirate ni la victime ni son serveur, on pirate le chemin qui mène à l’annuaire qui mène au serveur.

La fuite de routes, ou la bonne annonce au mauvais endroit

Section intitulée « La fuite de routes, ou la bonne annonce au mauvais endroit »

Le détournement consiste à annoncer ce qui n’est pas à soi. La fuite de routes (route leak) est plus subtile : elle consiste à annoncer des routes parfaitement légitimes, mais à des voisins à qui l’on n’aurait pas dû les annoncer.

Rappelons l’économie du routage. Un réseau client achète du transit à un ou plusieurs fournisseurs. Il reçoit d’eux les routes vers le reste d’Internet, et il est censé les garder pour lui : il n’a aucune raison de dire à son fournisseur B qu’il sait joindre, via son fournisseur A, la moitié du monde. S’il le fait, par erreur de filtre, par une redistribution mal maîtrisée, ou par l’intervention d’un optimiseur de trafic trop zélé, le fournisseur B peut préférer cette route (elle vient d’un client, et les politiques commerciales préfèrent les clients) et envoyer vers ce petit réseau un volume de trafic pour lequel il n’est absolument pas dimensionné. Le petit réseau s’effondre sous la charge, et avec lui tout ce qui passait désormais par lui.

La fuite de routes a une propriété remarquable : chaque annonce, prise isolément, est vraie. L’origine est la bonne. Le préfixe appartient bien à celui qui l’a créé. Seul le chemin est absurde, parce qu’il fait passer le trafic mondial par un réseau de quartier, comme si l’on détournait l’autoroute du Sud par la rue principale d’un village qui n’avait rien demandé. Aucune vérification portant sur l’origine ne peut détecter cela. Retenez ce point : il est la clé de tout ce qui suit.

RPKI : enfin, une preuve

Section intitulée « RPKI : enfin, une preuve »

Pendant des décennies, la seule défense contre ces problèmes a été le filtrage : chaque opérateur n’accepte de ses clients que les préfixes qu’ils sont censés annoncer, d’après des bases déclaratives (les registres de routage, dits IRR) dont la qualité va de l’excellent au fossile. C’est utile, c’est fait inégalement, et cela repose, dans certains cas, sur des bases que l’on peut remplir sans beaucoup de vérifications. On a donc protégé la parole donnée par un registre de paroles données, ce qui est une solution d’une grande cohérence intellectuelle.

La réponse structurelle s’appelle RPKI, pour Resource Public Key Infrastructure. Son principe est d’adosser l’attribution des adresses IP à une infrastructure à clés publiques. Les registres Internet régionaux, qui attribuent les blocs d’adresses et les numéros de systèmes autonomes, émettent des certificats qui attestent : « tel détenteur possède tel bloc ». Le détenteur peut alors signer une déclaration, appelée ROA (Route Origin Authorization), qui dit : « le préfixe P, jusqu’à la longueur maximale L, peut être annoncé par le système autonome N ».

Ces déclarations sont publiées dans des dépôts accessibles à tous. Des logiciels dits de validation (relying party), exploités par les opérateurs, les récupèrent, vérifient les signatures jusqu’aux ancres de confiance des registres, et produisent une liste propre de couples « préfixe, origine autorisée » qu’ils transmettent aux routeurs. Le routeur peut alors classer chaque annonce reçue en trois catégories : valide (une ROA couvre le préfixe et l’origine correspond), invalide (une ROA couvre le préfixe mais l’origine ou la longueur ne correspondent pas), ou inconnue (aucune ROA ne couvre le préfixe). C’est la validation d’origine (Route Origin Validation, ROV). Un opérateur qui applique ROV rejette les annonces invalides.

C’est une révolution discrète, et il faut le dire sans ironie, ce qui me coûte. Pour la première fois, un routeur peut vérifier cryptographiquement qu’un réseau a le droit d’annoncer un préfixe comme étant le sien. L’incident de 2008 aurait été, dans un monde entièrement équipé, arrêté à la première frontière : la plateforme de vidéo aurait publié une ROA, l’annonce pakistanaise aurait été invalide, et les voisins l’auraient jetée. RPKI a pris des années à décoller, puis s’est déployé de manière nette, notamment chez les grands opérateurs de transit, qui sont les mieux placés pour rendre la validation efficace puisqu’ils filtrent pour une grande partie d’Internet à la fois.

Fenêtre de terminal
# À quel système autonome appartient une adresse, et quel préfixe l'annonce ?
# (service public en lecture seule ; l'espace avant -v est voulu)
whois -h whois.cymru.com " -v 193.0.6.139"


# Statut RPKI d'un couple préfixe / origine, via l'API publique RIPEstat.
# Réponse attendue : un statut « valid », « invalid » ou « unknown ».
curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS3333&prefix=193.0.0.0/21"

Ces requêtes ne font qu’interroger des services publics. Elles permettent de répondre en une minute à une question que peu d’organisations se posent : les préfixes de mon organisation sont-ils couverts par une ROA, et avec la bonne origine ? Si la réponse est « unknown », rien ne protège vos adresses contre la première erreur de frappe venue.

Ce que RPKI ne règle pas : le chemin

Section intitulée « Ce que RPKI ne règle pas : le chemin »

Et maintenant, les limites, qui sont exactement là où l’on s’attend à les trouver.

RPKI valide l’origine, pas le chemin. Une ROA dit quel système autonome a le droit d’être au bout du chemin. Elle ne dit rien de ceux qui sont au milieu. Or, dans une annonce BGP, le chemin est une simple liste de numéros, que chacun peut écrire comme il l’entend. Un usurpateur qui veut détourner le préfixe de la victime n’a donc qu’à annoncer un chemin qui se termine par le numéro de la victime : « je sais joindre ce préfixe, et le chemin passe par moi puis par la victime ». L’origine est la bonne ; la validation d’origine est satisfaite ; l’annonce est « valide ». C’est ce qu’on appelle un détournement à origine forgée, et RPKI, par construction, ne le voit pas. Le chemin est plus long d’un saut, ce qui le rend un peu moins attrayant, mais pas assez pour qu’on puisse compter là-dessus.

Il y a un raffinement cruel. Si la ROA de la victime autorise une longueur maximale plus grande que ce qu’elle annonce réellement, l’usurpateur peut annoncer un sous-bloc plus spécifique avec l’origine forgée, et l’emporter alors partout où il arrive, puisque le plus spécifique gagne toujours. D’où la recommandation, donnée plus haut, de ne pas être généreux sur la longueur maximale : une ROA trop permissive est un laissez-passer rempli d’avance.

RPKI ne détecte pas les fuites de routes. On l’a vu : dans une fuite, l’origine est authentique. Seul le chemin est incorrect, et RPKI ne regarde pas le chemin.

Deux familles de mécanismes s’attaquent à ce problème. BGPsec fait signer chaque étape du chemin par le réseau qui la franchit, de sorte que le chemin entier devienne vérifiable. Il est normalisé ; il n’est, en pratique, presque pas déployé, parce qu’il n’apporte de protection que si tous les réseaux du chemin l’appliquent, qu’il impose des calculs cryptographiques lourds aux routeurs, et qu’aucun opérateur n’a intérêt à payer le premier pour un bénéfice qui n’existera que lorsque tous auront payé. C’est un bel exemple de protocole juste, élégant et vide, qui aurait sa place dans le cimetière évoqué au premier éditorial.

Plus récemment, une approche plus modeste, appelée ASPA (Autonomous System Provider Authorization), propose que chaque système autonome publie, toujours dans RPKI, la liste de ses fournisseurs de transit. Un routeur peut alors vérifier que le chemin annoncé est plausible : qu’il monte de client en fournisseur, puis redescend, sans cette forme de vallée absurde qui caractérise les fuites. ASPA ne prouve pas le chemin ; il en élimine les formes impossibles, ce qui suffit à arrêter une grande partie des fuites et une partie des détournements à origine forgée. Au moment où j’écris, sa normalisation et son déploiement sont en cours ; c’est typiquement le genre de sujet dont il faut vérifier l’état auprès des groupes de travail concernés avant de le tenir pour acquis.

Autrement dit : nous savons désormais vérifier qui a le droit de recevoir le courrier, pas qui a le droit de le transporter. C’est un progrès. Ce n’est pas une fin.

Pourquoi Internet tient quand même

Section intitulée « Pourquoi Internet tient quand même »

Arrivé ici, le lecteur est en droit de se demander comment un système aussi crédule parvient à fonctionner. La réponse, qui me semble l’une des plus instructives de toute l’informatique, est que la sécurité du routage n’est pas assurée principalement par le protocole. Elle l’est par un empilement de mécanismes humains, économiques et techniques, dont aucun n’est suffisant et dont l’ensemble est remarquablement robuste.

Le filtrage aux frontières. Les opérateurs sérieux filtrent ce qu’ils acceptent de leurs clients, limitent le nombre de préfixes qu’une session peut annoncer (au-delà, la session tombe, ce qui transforme une fuite massive en simple panne locale), et appliquent désormais largement la validation d’origine. Chaque filtre est imparfait ; leur superposition arrête la plupart des accidents à la première ou à la deuxième frontière.

La surveillance publique. Des collecteurs de routes, opérés par des organismes de recherche et des registres, enregistrent en continu ce qu’Internet s’annonce à lui-même, et ces données sont publiques. Des services d’alerte permettent à un détenteur d’adresses d’être prévenu, en quelques minutes, qu’une annonce inattendue concerne ses préfixes. Un détournement sur Internet est une opération conduite en public : tout le monde peut la voir, et beaucoup de gens regardent. Le cambrioleur opère en vitrine, ce qui ne l’empêche pas d’opérer, mais écourte sensiblement sa visite.

La communauté. Les opérateurs se connaissent. Ils se retrouvent dans des groupes d’opérateurs régionaux, des listes de discussion, des réunions techniques. Quand un incident éclate, ils s’appellent, et le réseau fautif est généralement joint, identifié et corrigé en quelques heures, parfois moins. Des initiatives collectives, comme les normes de sécurité du routage promues sous le nom de MANRS, formalisent des engagements minimaux. Internet tient en partie parce que les gens qui le font marcher ont leurs numéros de téléphone respectifs, ce qui est une garantie que l’on ne trouve dans aucune norme, et que l’on n’aimerait pas voir auditée.

L’intérêt bien compris. Un réseau qui propage des annonces fausses perd ses clients, sa réputation et, parfois, ses sessions avec les voisins qui décident de ne plus le croire. La rumeur a ses règles : celui qui ment trop souvent n’est plus écouté. C’est un mécanisme de régulation sociale, lent et imparfait, mais qui a le mérite de ne dépendre d’aucune autorité.

Le chiffrement de bout en bout. Enfin, parce que la plupart des connexions sensibles sont désormais protégées par TLS (voir la page sur les menaces réseau et leur détection pour le reste du tableau), un détournement se traduit le plus souvent par une panne plutôt que par une interception. On a déplacé une partie du problème du routage vers les couches supérieures, qui ont mieux appris à ne pas croire le réseau. C’est une forme de sagesse : quand on ne peut pas faire confiance au facteur, on met le courrier sous scellé.

Le meilleur argument contraire

Section intitulée « Le meilleur argument contraire »

La position que je défends dans cet éditorial est que le routage d’Internet reste fondamentalement déclaratif, et que c’est une fragilité. La position opposée mérite d’être exposée dans sa meilleure version, d’autant qu’elle est défendue par des gens qui font tourner Internet et savent de quoi ils parlent.

Premier argument : RPKI est une centralisation dangereuse. Avant RPKI, aucune autorité ne pouvait, d’un geste, rendre un réseau injoignable. Avec RPKI, un registre régional qui révoquerait un certificat, par erreur ou sur injonction d’une autorité, pourrait faire passer les annonces d’un réseau d’« inconnues » à « invalides », et donc les faire rejeter par tous ceux qui valident. On aurait remplacé un système de confiance distribué, imparfait mais sans maître, par une hiérarchie de certificats dont les racines sont peu nombreuses et soumises à des juridictions. La preuve a un prix, et ce prix est un point de contrôle. Pour un défenseur de l’Internet ouvert, ce n’est pas un détail.

Deuxième argument : la sécurité cryptographique du routage ajoute ses propres pannes. Un dépôt RPKI inaccessible, un logiciel de validation défaillant, une ROA mal renouvelée, et des préfixes légitimes peuvent devenir invalides ou disparaître. Chaque couche de vérification est une couche de plus où l’erreur humaine peut produire une coupure. Le protocole naïf, lui, avait au moins le mérite de ne jamais refuser une route correcte.

Troisième argument : ça marche. Malgré tous ces défauts, Internet achemine chaque jour un trafic gigantesque avec une disponibilité remarquable. Les incidents sont rares, courts, et largement accidentels. Un ingénieur prudent ne répare pas ce qui fonctionne en y ajoutant une complexité qui a elle-même un historique de pannes.

Je prends ces arguments au sérieux, le premier surtout. Le risque de centralisation est réel, et la communauté des opérateurs en a conscience : c’est en partie pour cela que la validation d’origine est conçue pour que l’absence de données retombe sur l’état « inconnu », accepté par défaut, plutôt que sur un rejet. Mais le troisième argument est exactement celui que j’ai appris à redouter. « Ça marche », dans une infrastructure fondée sur la confiance, signifie « personne de suffisamment déterminé n’a encore essayé à grande échelle ». Une serrure qui n’a jamais été forcée n’est pas une serrure solide : c’est une serrure chanceuse, ou une serrure devant laquelle personne ne s’est encore arrêté.

Ce que je ne sais pas

Section intitulée « Ce que je ne sais pas »

Je ne connais pas l’état exact du déploiement. La proportion d’annonces couvertes par une ROA, la proportion de réseaux qui appliquent la validation d’origine, et la part de l’espace d’adresses protégée par l’une et l’autre sont mesurées et publiées par plusieurs organismes. Ces chiffres évoluent vite, et je n’en ai aucun dont je sois assez sûr pour l’écrire. Ce que je sais, c’est que la tendance est nettement à la hausse, et que « nettement à la hausse » n’est pas « terminé ».

Je ne sais pas si ASPA sera déployé à temps pour compter. L’histoire de BGPsec montre qu’un mécanisme bien conçu peut rester lettre morte faute d’incitations. ASPA est conçu pour être utile même partiellement déployé, ce qui lui donne de meilleures chances. Je n’ai aucun moyen de dire s’il suffira.

Je ne sais pas mesurer les détournements délibérés. Les incidents accidentels sont bruyants, donc visibles. Un détournement délibéré, court, ciblé, sur un préfixe peu surveillé, peut passer inaperçu ou être pris pour une erreur. La proportion réelle des attaques parmi les anomalies de routage m’est inconnue, et je doute qu’elle soit connue de qui que ce soit avec précision.

Je ne sais pas comment la gouvernance de RPKI évoluera sous pression. La question de savoir ce que ferait un registre régional face à une injonction de révoquer les ressources d’un réseau n’est pas théorique. La manière dont elle sera tranchée, par qui et selon quel droit, dépasse de beaucoup la technique, et je me garderai bien de la prédire.

Ce qui reste

Section intitulée « Ce qui reste »

Trois éditoriaux pour descendre de l’application jusqu’au routage, et le même motif à chaque étage : ce qu’on protège le mieux n’est jamais ce qui décide de tout. Le contenu d’un message est chiffré, son enveloppe ne l’est pas. La réponse DNS est signée, la question est confiée à un témoin. L’origine d’une route est prouvée, son chemin est affirmé.

Trois choses me semblent acquises. Que BGP est un protocole de déclarations et de politiques, dans lequel la vérité d’une annonce n’a jamais été une propriété du protocole, et dans lequel l’annonce la plus spécifique l’emporte, pour le meilleur et pour le pire. Que RPKI est un progrès réel et suffisant contre les erreurs les plus fréquentes, à condition que les détenteurs d’adresses publient des ROA sobres et que les opérateurs valident, mais qu’il ne dit rien du chemin, et donc rien des fuites ni des origines forgées. Et que la solidité d’Internet ne tient pas au protocole mais à une communauté : des filtres superposés, une surveillance publique, des gens qui se téléphonent, et un intérêt partagé à ce que la rumeur reste à peu près honnête.

On peut trouver cela effrayant. Je le trouve plutôt émouvant, dans la mesure où l’émotion est permise à un papy devant une table de routage. L’infrastructure la plus critique de la planète repose, en dernier ressort, sur le fait que quelques milliers de personnes, qui ne se sont jamais vues pour la plupart, ont décidé de ne pas se mentir, et s’en tiennent globalement à cette résolution. C’est à peu près le programme de toute vie en société, et il est rarement aussi bien tenu.

Il faudra bien, pourtant, continuer à le vérifier. La confiance par défaut n’est pas un défaut de conception qu’un protocole viendra un jour corriger : c’est la condition de départ de tout réseau entre parties qui ne se doivent rien. La sécurité ne consiste pas à la supprimer. Elle consiste à savoir, à chaque étage, exactement à qui l’on fait confiance, et pour quoi.

🐝 Ce qui arrive si on s’en passe

Section intitulée « 🐝 Ce qui arrive si on s’en passe »

Une organisation qui tient ses adresses pour acquises, sans déclaration d’origine signée ni surveillance de ses préfixes, découvre un détournement comme une panne ordinaire : les tickets parlent de lenteur, les équipes cherchent du côté des serveurs, et l’annonce frauduleuse a souvent été retirée avant que quiconque pense à regarder le routage. Le diagnostic se fait alors après coup, en fouillant les archives des collecteurs publics, à condition de savoir qu’elles existent. Entre-temps, tout service joint sans chiffrement pendant l’épisode, à commencer par la résolution de noms, a pu recevoir des réponses fabriquées, et rien dans les journaux internes ne permet de dire lesquelles.

🦫 Explication de la marmotte 🍫

Section intitulée « 🦫 Explication de la marmotte 🍫 »

Internet est formé de milliers de réseaux indépendants, appelés systèmes autonomes. Pour que les données trouvent leur chemin entre eux, ces réseaux utilisent un protocole appelé BGP. Chaque réseau annonce à ses voisins les blocs d’adresses qu’il possède et ceux qu’il sait joindre, avec la liste des réseaux traversés. Les voisins choisissent parmi ces annonces selon des critères techniques et surtout commerciaux, et quand deux annonces se recouvrent, la plus précise l’emporte toujours. À l’origine, rien ne vérifie qu’une annonce est vraie. Un réseau peut donc annoncer des adresses qui ne sont pas à lui, par erreur ou volontairement, et capter le trafic destiné à un autre : c’est un détournement. Il peut aussi transmettre de vraies annonces à des voisins qui n’auraient pas dû les recevoir, et attirer un trafic qu’il ne peut pas absorber : c’est une fuite de routes. Le système RPKI permet aux détenteurs d’adresses de signer, grâce à des certificats délivrés par les registres qui attribuent les adresses, une déclaration indiquant quel réseau a le droit d’annoncer leurs blocs. Les routeurs rejettent alors les annonces dont l’origine ne correspond pas. Mais RPKI ne vérifie pas le chemin : un attaquant peut encore inventer un chemin qui se termine par le bon réseau, et les fuites passent. En attendant, Internet tient grâce aux filtres des opérateurs, à la surveillance publique des annonces, aux contacts entre opérateurs et au chiffrement des connexions.

À lire aussi

Pages voisines

La citent

BGP, la confiance par défaut

Elle cite

: les deux pages se citent l’une l’autre.