MOOC:Compagnon Act14-s7 - Revision history

Vlerouvillois: /* Valeur temporaire aléatoire */

2023-01-09T16:12:28Z

‎Valeur temporaire aléatoire

Vlerouvillois: /* Identifiant dérivé de l'adresse matérielle de l'interface */

2023-01-09T16:01:05Z

‎Identifiant dérivé de l'adresse matérielle de l'interface

Vlerouvillois: /* Représentation des subdivisions */

2023-01-09T15:38:31Z

‎Représentation des subdivisions

Jlandru at 09:06, 9 January 2023

2023-01-09T09:06:56Z

Jlandru: /* Références bibliographiques */

2023-01-06T17:19:24Z

‎Références bibliographiques

Jlandru: /* Valeur stable opaque */

2023-01-06T17:16:03Z

‎Valeur stable opaque

Jlandru: /* Valeur stable opaque */

2023-01-06T17:15:18Z

‎Valeur stable opaque

Jlandru: /* Valeur temporaire aléatoire */

2023-01-06T17:14:42Z

‎Valeur temporaire aléatoire

Jlandru: /* Valeur temporaire aléatoire */

2023-01-06T17:10:42Z

‎Valeur temporaire aléatoire

Jlandru: /* Valeur stable opaque */

2023-01-06T17:09:40Z

‎Valeur stable opaque

@@ Line 204: / Line 204: @@
 continuent d'utiliser l'ancienne valeur tandis que les nouvelles connexions utilisent la nouvelle adresse.
-La plupart des OS modernes ont opté, généralement par défaut, pour ce mode d'adressage plus discret. A l'issue de la procédure d'auto-configuration, l'interface dispose de plusieurs adresses construites sur le préfixe GUA ou ULA du réseau local :
+La plupart des OS modernes ont opté, généralement par défaut, pour ce mode d'adressage plus discret. À l'issue de la procédure d'auto-configuration, l'interface dispose de plusieurs adresses construites sur le préfixe GUA ou ULA du réseau local :
-* Une adresse principale avec un IID stable opaque (ne révélant pas d'information) utilisée pour les flux entrants (initialisation des connexions vers les services applicatifs "publics" de l'hôte). C'est cette adresse qui pourra être référencée dans les registres du service de nommage (DNS : Domain Name Service) ;
+* une adresse principale avec un IID stable opaque (ne révélant pas d'information) utilisée pour les flux entrants (initialisation des connexions vers les services applicatifs "publics" de l'hôte). C'est cette adresse qui pourra être référencée dans les registres du service de nommage (DNS : Domain Name Service) ;
-* Une (ou généralement plusieurs) adresse temporaire, périodiquement renouvelée, utilisée pour la discrétion des flux sortants (initialisation des connexions vers les services applicatifs externes à l'hôte).
+* une (ou généralement plusieurs) adresse temporaire, périodiquement renouvelée, utilisée pour la discrétion des flux sortants (initialisation des connexions vers les services applicatifs externes à l'hôte).
-'''''Nota :''''' ''Selon l'OS, l'IID temporaire aléatoire, peut également optionnellement être activé pour les adresses locales de lien. Quand bien même ces adresses LLA, purement locales et non routables, sont moins sujettes à la traçabilité.''
+'''''Nota :''''' ''Selon l'OS, l'IID temporaire aléatoire peut également optionnellement être activé pour les adresses locales de lien ; quand bien même ces adresses LLA, purement locales et non routables, sont moins sujettes à la traçabilité.''
 <!--Cette solution a été adoptée par Microsoft. Dans Windows XP, l'interface possède deux adresses IPv6 globales comme on le voit dans la figure 10. La première a un identifiant d'interface dérivé de l'adresse MAC. Elle sert aux applications attendant des connexions sur la machine (''i.e.'' les applications "serveur"). Cette adresse est stable et peut être publiée dans le DNS. La seconde possède un identifiant d'interface tiré aléatoirement. Elle est changée tous les jours ou à chaque redémarrage de la machine et sert aux applications clientes. Dans Windows 7, ce comportement est généralisé car l'identifiant d'interface de l'adresse permanente est également issu d'un tirage aléatoire. Cela permet d'éviter de donner la marque de la machine ou le type de carte contenu dans les premiers octets de l'identifiant d'interface. Elle est également présente, mais de manière optionnelle, sur les systèmes d'exploitation Linux, BSD et Mac OS. -->
-Bien entendu, pour que ces mécanismes aient un sens, il faut que l'équipement ne s'enregistre pas sous un même nom dans un serveur DNS inverse, et que l'enregistrement de cookies dans un navigateur Web pour identifier l'utilisateur soit verrouillée.<br>
+Bien entendu, pour que ces mécanismes aient un sens, il faut que l'équipement ne s'enregistre pas sous un même nom dans un serveur DNS inverse, et que l'enregistrement de cookies dans un navigateur Web pour identifier l'utilisateur soit verrouillé.<br>
 En contre-partie, on notera qu'il est dès lors plus difficile à un administrateur réseau, (RSSI) en charge de la sécurisation des infrastructures, de filtrer les machines ou d'analyser les journaux système, du fait de la volatilité de ces adresses (beaucoup de techniques de protection de la vie privée ont ce défaut).

@@ Line 141: / Line 141: @@
 valeurs sont difficilement mémorisables. -->
 Les caractéristiques des adresses matérielles de niveau 2 :
-* unicité garantie sur le lien local ;
+* unicité garantie sur le lien local,
-* stabilité tant que la carte réseau est inchangére ;
+* stabilité tant que la carte réseau est inchangée,
 sont des avantages pour la définition automatisée des identifiants d'interface. Cependant elles sont peu mémorisables pour l'administrateur.
@@ Line 148: / Line 148: @@
 chaque fois qu'un utilisateur nomade change de réseau, il change de préfixe,
 mais garde le même identifiant d'interface. Ce dernier pourrait donc
-servir à tracer les déplacements d'un individu<ref>Internet society. (2014) Deploy 360 programm [http://www.internetsociety.org/deploy360/blog/2014/12/ipv6-privacy-addresses-provide-protection-against-surveillance-and-tracking/ IPv6 Privacy Addresses Provide Protection Against Surveillance And Tracking]</ref>. Ce sujet de traçabilité et de respect de la vie privée a fait l'objet d'une prise de conscience collective suite aux révélations d'Edward Snowden quant à la surveillance de masse opérée par les états. Il faut cependant noter que la traçabilité par l'identifiant d'interface n'en est qu'un des éléments parmi d'autres. Les cookies mis en place par les services web ou les recoupements d'infos personnelles imprudemment déposées sur les réseaux sociaux sont bien plus efficaces ; mais ils ne s'agit plus d'un problème réseau. De plus comme les adresses MAC contiennent l'identification du matériel, les IID dérivés propagent à l'extérieur du réseau des informations sur  type de matériel.
+servir à tracer les déplacements d'un individu<ref>Internet society. (2014) Deploy 360 programm [http://www.internetsociety.org/deploy360/blog/2014/12/ipv6-privacy-addresses-provide-protection-against-surveillance-and-tracking/ IPv6 Privacy Addresses Provide Protection Against Surveillance And Tracking]</ref>. Ce sujet de traçabilité et de respect de la vie privée a fait l'objet d'une prise de conscience collective suite aux révélations d'Edward Snowden quant à la surveillance de masse opérée par les états. Il faut cependant noter que la traçabilité par l'identifiant d'interface n'en est qu'un des éléments parmi d'autres. Les cookies mis en place par les services web ou les recoupements d'infos personnelles imprudemment déposées sur les réseaux sociaux sont bien plus efficaces ; mais ils ne s'agit plus d'un problème réseau. De plus comme les adresses MAC contiennent l'identification du matériel, les IID dérivés propagent à l'extérieur du réseau des informations sur le type de matériel.
-<!-- Ces préoccupations de traçabilité jugés importants de nos jours, l'identifiant d'interface pour les adresses globales peut être généré aléatoirement. -->
+<!-- Ces préoccupations de traçabilité étant jugés importantes de nos jours, l'identifiant d'interface pour les adresses globales peut être généré aléatoirement. -->
 Initialement largement utilisés par les mécanismes d'auto-configuration, ces identifiants sont donc aujourd'hui en voie de désuétude en raison de ces problèmes de traçabilité.  Les principaux OS ont largement opté pour les IID temporaires aléatoires décrits au paragraphe suivant.  Seules les adresses locales de lien (LLA) ont conservé cet identifiant automatiquement déduit dès l'initialisation de l'interface. Ces adresses LLA étant purement locales et non routables, elles sont moins sensibles à la traçabilité.
@@ Line 179: / Line 179: @@
 </center>
-Dans l'exemple suivant, l'interface ethernet eth2 de l'hôte ''cos'' dispose de l'adresse matérielle MAC : <tt>52:54:00:8A:50:A5</tt>. L'adresse LLA <tt>fe80::5054:ff:fe8a:50a5</tt> allouée automatiquement à l'initialisation de l'interface dispose de l'IID <tt>'''5054:ff:fe8a:50a5'''</tt> déduit de l'adresse MAC en insérant les 16 bits réservés <tt>ff:fe</tt> entre l'identifiant IEEE du constructeur et le N° de série de l'interface. L'inversion du bit <tt>u</tt> traduit l'octet de poids fort de la valeur <tt>0x5'''2'''</tt> en <tt>0x5'''0'''</tt>.
+Dans l'exemple suivant, l'interface Ethernet eth2 de l'hôte ''cos'' dispose de l'adresse matérielle MAC : <tt>52:54:00:8A:50:A5</tt>. L'adresse LLA <tt>fe80::5054:ff:fe8a:50a5</tt> allouée automatiquement à l'initialisation de l'interface dispose de l'IID <tt>'''5054:ff:fe8a:50a5'''</tt> déduit de l'adresse MAC en insérant les 16 bits réservés <tt>ff:fe</tt> entre l'identifiant IEEE du constructeur et le n° de série de l'interface. L'inversion du bit <tt>u</tt> traduit l'octet de poids fort de la valeur <tt>0x5'''2'''</tt> en <tt>0x5'''0'''</tt>.
   cos:~$ ifconfig eth2
@@ Line 192: / Line 192: @@
 ===== Cas Particuliers =====
-Si une interface ne possède aucune adresse, par exemple l'interface utilisée pour les liaisons PPP (''Point to Point Protocol''), et si la machine n'a pas d'identifiant EUI-64, il n'y a pas de méthode unique pour créer un identifiant d'interface. La méthode conseillée est d'utiliser l'identifiant d'une autre interface si c'est possible (cas d'une autre interface qui a une adresse MAC), ou une configuration manuelle, ou bien une génération aléatoire avec le bit <tt>u</tt> positionné à 0. S'il y a conflit (les deux extrémités ont choisi la même valeur), il sera détecté lors de l'initialisation de l'adresse lien-local de l'interface, durant la phase le DAD (Duplicate Address Detection), et devra être résolu manuellement.
+Si une interface ne possède aucune adresse, par exemple l'interface utilisée pour les liaisons PPP (''Point to Point Protocol''), et si la machine n'a pas d'identifiant EUI-64, il n'y a pas de méthode unique pour créer un identifiant d'interface. La méthode conseillée est d'utiliser l'identifiant d'une autre interface si c'est possible (cas d'une autre interface qui a une adresse MAC), ou une configuration manuelle, ou bien une génération aléatoire avec le bit <tt>u</tt> positionné à 0. S'il y a conflit (les deux extrémités ont choisi la même valeur), il sera détecté lors de l'initialisation de l'adresse lien-local de l'interface, durant la phase de DAD (Duplicate Address Detection), et devra être résolu manuellement.
 ===== Opacité des identifiants d'interface =====

@@ Line 53: / Line 53: @@
 === Représentation des subdivisions ===
 Dans la suite de cette activité, nous raisonnerons sur la base d'un préfixe de 48 bits (espace SID de 16 bits). Les exemples décrits sur la base d'adresses documentaires pourront ainsi illustrer aussi bien un contexte de réseaux publics (un préfixe /48 unicast global) qu'un réseau privatif (préfixe /48 d'adresse locale unique ULA). Cependant, les règles d'ingénierie présentées pourront également se décliner de manière plus limitée sur des préfixes plus longs /56 ou /60 avec un espace SID réduit à 8 ou 4 bits.
-{{HorsTexte|Appréciation de l'étendue d'un préfixe|Afin de visualiser l'étendue d'un préfixe (1ère adresse, dernière adresse, nombre d'adresses,...) d'après sa longueur, vous pouvez vous aidez d'une calculatrice de préfixe CIDR telle que celle pointée à la rubrique [[#Ressources complémentaires]]  }}
+{{HorsTexte|Appréciation de l'étendue d'un préfixe|Afin de visualiser l'étendue d'un préfixe (1re adresse, dernière adresse, nombre d'adresses...) d'après sa longueur, vous pouvez vous aider d'une calculatrice de préfixe CIDR telle que celle pointée à la rubrique [[#Ressources complémentaires]]  }}
 Nous supposons que le préfixe pour notre activité est <tt>2001:db8:cafe::/48</tt>. Le préfixe est  obtenu :
 * soit par allocation de notre fournisseur d'accès dans le cadre d'un adressage unicast global routable sur l'Internet public,

@@ Line 8: / Line 8: @@
 Pour la partie identifiant d'interface, l'objectif est de définir un identifiant, si possible automatiquement, qui soit unique au sein du lien. Nous allons étudier les différentes techniques de constructions de ces identifiants.
 Mais avant, nous allons rappeler une caractéristique d'IPv6 dans l'utilisation des adresses unicast, à savoir la possibilité d'avoir plusieurs adresses unicast allouées à une interface de communication. Ces adresses multiples peuvent être utilisées simultanément ou l'une après l'autre. Un mécanisme de vieillissement est donc nécessaire pour limiter la validité d'une adresse.
 <center>

@@ Line 234: / Line 234: @@
 == Références bibliographiques ==
 <references />
 == Ressources complémentaires ==

@@ Line 218: / Line 218: @@
 ==== Valeur stable opaque ====
-L'identifiant d'interface dérivé de l'adresse matérielle pose le problème de la traçabilité des équipements nomades et de respect de la vie privée qui en découle. Cependant, il dispose de la propriété de stabilité (''on éteint la machine et on la rallume, on est sûr de retrouver la même adresse IPv6'') qui simplifie les tâches administratives (''Ainsi, lorsqu'on regarde le journal des connexions, on peut facilement retrouver la machine qu'on a repéré. Et la création d'ACL (Access Control List) est simple, puisque les adresses ne changent pas''). Le RFC 7217 propose une méthode de génération de l'IID opaque, ne révélant pas d'information relativement à la configuration matérielle, mais stable dans le temps. Le principe est de condenser (à l'aide d'une fonction de hachage telle que SHA-256 par exemple et de ne conserver que les 64 bits de poids faible) un secret (stocké dans une mémoire non volatile), un certain nombre de caractéristiques de la machine et le préfixe, de manière à avoir des identifiants stables, mais préservant quand même partiellement la vie privée de postes nomades : l'identifiant d'interface change quand la machine change de réseau, ne permettant plus de la suivre à la trace. Mais, si on reste sur le même réseau, l'adresse est stable. Le RFC 8064 a confirmé la prééminence de cette méthode sur la méthode dérivée de l'adresse MAC pour la procédure d'autoconfiguration sans état (''qui sera décrite dans la séquence 3'').
+L'identifiant d'interface dérivé de l'adresse matérielle pose le problème de la traçabilité des équipements nomades et de respect de la vie privée qui en découle. Cependant, il dispose de la propriété de stabilité (''on éteint la machine et on la rallume, on est sûr de retrouver la même adresse IPv6'') qui simplifie les tâches administratives (''Ainsi, lorsqu'on regarde le journal des connexions, on peut facilement retrouver la machine qu'on a repéré. Et la création d'ACL (Access Control List) est simple, puisque les adresses ne changent pas''). Le RFC 7217 propose une méthode de génération de l'IID opaque, ne révélant pas d'information relativement à la configuration matérielle, mais stable dans le temps. Le principe est de condenser (à l'aide d'une fonction de hachage telle que SHA-256 par exemple et de ne conserver que les 64 bits de poids faible) un secret (stocké dans une mémoire non volatile), un certain nombre de caractéristiques de la machine et le préfixe, de manière à avoir des identifiants stables, mais préservant quand même partiellement la vie privée de postes nomades : l'identifiant d'interface change quand la machine change de réseau, ne permettant plus de la suivre à la trace. Mais, si on reste sur le même réseau, l'adresse est stable. Le RFC 8064 a confirmé la prééminence de cette méthode sur la méthode dérivée de l'adresse MAC pour la procédure d'auto-configuration sans état (''qui sera décrite dans la séquence 3'').
-−
 <!-- L'idée est que la machine aurait une ou plusieurs adresses temporaires, une ou plusieurs adresses stables et qu'on utiliserait l'adresse temporaire pour les connexions sortantes, et l'autre pour les entrantes. Cela fournit une bonne protection de la vie privée, mais au prix de quelques inconvénients. Comme rien n'est gratuit en ce bas monde, ces adresses compliquent la vie de l'administrateur réseaux : interpréter le trafic qu'on voit passer est moins simple (beaucoup de techniques de protection de la vie privée ont ce défaut).-->