L'expérience qui a révélé une réécriture silencieuse

Le 24 juillet, deux ingénieurs de Cloudflare ont publié le résultat d'une expérience volontairement bruyante. Iliana Xygkou et Bryton Herdes ont annoncé des préfixes IPv4 et IPv6 depuis le réseau de Cloudflare, AS13335, chacun portant une valeur différente dans un ancien champ BGP appelé ORIGIN. Ils ont ensuite retiré les préfixes pour forcer l'internet à chercher des chemins, ont lu avec l'outil BGPKIT ce qui revenait des collecteurs RIPE RIS et RouteViews et des flux BMP de Cloudflare, puis ont comparé la valeur envoyée avec celle que voyait le reste du monde.

Les valeurs ne correspondaient pas. ORIGIN est l'un des attributs les plus anciens de BGP et consigne la manière dont une route est entrée dans le protocole: IGP, EGP ou INCOMPLETE, dans cet ordre de préférence. Près de 70% des chemins IPv4 observés, et 67% des chemins IPv6, sont arrivés avec ORIGIN ramené à IGP, la valeur la plus favorable. Environ 10% de leurs 352 pairs IPv4 directs pratiquaient la réécriture, avec une proportion voisine sur 315 pairs IPv6.

Le mécanisme explique le mobile. ORIGIN est consulté lors de la sélection du meilleur chemin quand deux routes sont à égalité sur la Local Preference et sur la longueur de l'AS_PATH, et la valeur d'ORIGIN la plus basse gagne. La réécrire vers IGP fait passer un chemin devant ses concurrents sans toucher à l'AS_PATH, le champ que tout le monde surveille. Aujourd'hui 89,8% des routes portent IGP, 3,5% portent EGP et 6,7% portent INCOMPLETE, une répartition qui paraît propre surtout parce qu'une grande partie est fabriquée en transit.

Les chiffres désignent les plus grands réseaux

Ce qui compte n'est pas l'ampleur, c'est la concentration. Cloudflare a trouvé que 26% des 50 plus grands systèmes autonomes selon AS Rank manipulent ORIGIN, ainsi que 20% des 100 premiers, et que 20,3% de tous les réseaux qui réécrivent se situent dans ce top 50. Six des seize réseaux Tier-1 le font. Les réseaux les plus capables d'attirer du trafic sur leurs propres chemins sont, de façon disproportionnée, ceux qui forcent le champ qui arbitre les cas serrés.

Un détail paraît commercial et non accidentel. Un seul réseau Tier-1 réécrit ORIGIN sur les routes apprises de ses pairs tout en préservant la valeur sur celles apprises de ses clients. Ce n'est pas la signature d'un gabarit oublié sur un routeur: c'est une règle qui traite différemment le trafic de transit payé et le trafic de peering gratuit.

Le gain était mesurable dans le test lui-même. Les réseaux qui réécrivaient ont gagné 12 chemins IPv4 supplémentaires passant par eux, soit 18% de plus, et 33 chemins IPv6 supplémentaires, soit 40% de plus. Tout est là: la réécriture d'un seul attribut, invisible pour le réseau qui l'avait défini, a déplacé une part notable des chemins candidats vers celui qui réécrivait.

L'appréciation de Cloudflare est nette. Elle n'a trouvé aucune justification technique valable à cette pratique et pointe deux dommages: les réseaux qui respectent la RFC sont désavantagés face à ceux qui ne la respectent pas, et le trafic est détourné d'opérateurs alternatifs qui auraient autrement remporté l'arbitrage. Sa proposition est de retirer complètement à l'attribut son influence sur la sélection des routes, en commençant par des implémentations qui ramènent à IGP toute route reçue et annoncée.

Là où un argument de résilience cède en silence

La conséquence opérationnelle ne porte pas vraiment sur ORIGIN, mais sur ce que prouve la phrase "nous sommes multi-opérateurs". Le multi-opérateur vous donne plus d'une sortie physique, et cette part est réelle. Il ne vous donne pas la maîtrise du chemin par lequel le trafic revient réellement vers vous, car la plupart des attributs exprimant une préférence ne sont qu'indicatifs dès qu'ils franchissent votre frontière. La Local Preference est l'exception qui compte: vous la définissez sur vos propres routeurs, elle passe avant ORIGIN dans l'ordre de décision et elle ne traverse jamais une frontière eBGP, ce qui en fait la seule préférence que personne d'autre ne peut écraser.

Cette distinction compte désormais par écrit. Avec NIS2, la résilience réseau se démontre et ne se déclare pas, et la diversité de chemins fait partie des affirmations les plus faciles à avancer dans un questionnaire fournisseur. Si un seul réseau central peut ramener vers lui une part mesurable des chemins candidats en réécrivant un attribut, alors une affirmation de diversité fondée sur des annonces, et non sur des contrats et sur la Local Preference, est une affirmation que vous ne pourrez pas étayer devant un contrôle.

La direction de la normalisation devrait aussi raccourcir votre attente. Un projet de l'IETF intitulé "Scrubbing BGP ORIGIN Attribute", publié le 3 novembre 2025, met à jour les RFC 4271 et RFC 7606 pour rendre l'attribut semi-optionnel et autoriser explicitement sa remise à IGP. Sa propre mesure de la default-free zone en septembre 2025 a trouvé environ 9% de routes portant INCOMPLETE et moins de 1% portant EGP. Lisez la direction avec honnêteté: le processus de normalisation va vers la légitimation de la réécriture plutôt que vers son encadrement, donc ce comportement ne sera pas corrigé à votre place.

Trois vérifications avant votre prochain renouvellement de transit

Posez la question à laquelle la mesure permet enfin de répondre. D'abord, demandez par écrit à chaque opérateur de transit ce qu'il fait des attributs BGP de vos annonces, et s'il traite différemment les routes apprises de pairs et celles apprises de clients. Ensuite, cessez d'utiliser ORIGIN comme signal d'orientation où que ce soit dans votre politique, puisque la mesure montre qu'il ne survit pas aux premiers sauts. Enfin, déplacez l'expression réelle de votre préférence vers la Local Preference à votre frontière et vers des communautés dont vous avez confirmé le respect auprès de l'opérateur, puis testez-le au lieu de le supposer.

Chiffrez ensuite la réponse. En Europe, les contrats de transit se cotent le plus souvent en euros par Mbps engagé, et en livres au Royaume-Uni, et le traitement des routes n'y figure presque jamais. Si vous payez un surcoût pour un deuxième ou un troisième opérateur précisément afin de tenir une diversité de chemins, cette diversité mérite d'être inscrite au contrat comme un engagement de traitement des routes. Un opérateur qui refuse de dire ce qu'il fait de vos attributs vous a déjà appris quelque chose d'utile sur les chemins qui vous appartiennent vraiment.

À lire ensuite: Un seul message a atteint les clés SSH  |  Une IA de test a piraté une entreprise pour tricher