A segurança em protocolos de roteamento, especificamente o BGP (Border Gateway Protocol), refere-se à implementação de mecanismos criptográficos e filtros rigorosos para evitar que rotas de tráfego de internet sejam sequestradas ou vazadas acidentalmente. Como o BGP original foi desenhado com base na confiança mútua entre provedores de internet (ISPs), ele não possui validação nativa de quem anuncia os blocos de IPs. Para proteger o BGP, é necessário implementar soluções como o RPKI (Resource Public Key Infrastructure) para validar a origem das rotas e adotar as normas de segurança da iniciativa MANRS.
Principais Aprendizados
- O BGP opera por confiança: sem configurações extras, ele aceita qualquer rota anunciada, permitindo o BGP Hijacking.
- A adoção do RPKI é a medida mais eficaz atualmente para garantir que apenas os donos legítimos de um IP possam anunciá-lo.
- A segurança do roteamento global depende de um esforço conjunto dos provedores, guiado por iniciativas como o MANRS.
Por que o BGP é o Calcanhar de Aquiles da Internet?
A internet é uma rede de redes. Para que essas diferentes redes (chamadas de Sistemas Autônomos ou ASNs) se comuniquem, elas utilizam o BGP. O grande problema é que o BGP foi criado na década de 1980, uma época em que a rede era pequena e todos os participantes se conheciam. A premissa era a confiança absoluta.
Hoje, ao conectar grandes redes WAN ao redor do mundo, essa confiança cega se tornou uma vulnerabilidade crítica. Se um roteador mal configurado ou malicioso anunciar ao mundo que ele é o melhor caminho para os servidores de um banco, o protocolo BGP, por padrão, acreditará nisso e redirecionará o tráfego global para lá.
Principais Ameaças ao BGP: Hijacking e Route Leaks
A falta de autenticação nativa abre portas para dois problemas principais que afetam a estabilidade e a confidencialidade dos dados em escala global.
1. BGP Hijacking (Sequestro de BGP)
Ocorre quando um AS anuncia falsamente que possui os endereços IP de outro AS. O tráfego legítimo é então desviado para o invasor. Isso pode ser usado para censura, negação de serviço ou para interceptar dados não criptografados, facilitando ataques Man-in-the-Middle em escala global. Segundo relatórios da Cloudflare sobre BGP Hijacking, incidentes desse tipo ocorrem milhares de vezes por ano, muitas vezes de forma intencional por atores estatais.
2. Route Leaks (Vazamento de Rotas)
Geralmente causado por erros humanos. Ocorre quando um provedor de menor porte acidentalmente anuncia que pode rotear o tráfego de grandes provedores (Tier 1). O resultado é um congestionamento massivo, derrubando serviços em regiões inteiras, como já aconteceu com gigantes da tecnologia no passado.
Como Proteger o Roteamento BGP? (Soluções Atuais)
Para mitigar essas falhas de design, a comunidade de engenharia da internet desenvolveu um conjunto de ferramentas e boas práticas.
Filtros de Rota (Route Filtering)
A linha de frente da defesa. Consiste em configurar roteadores de borda para aceitar apenas anúncios de rotas de prefixos IP que o cliente ou parceiro comprovadamente possui. Isso impede que erros de digitação de um cliente derrubem a rede do provedor.
RPKI (Resource Public Key Infrastructure)
O RPKI funciona como um certificado digital para endereços IP. Ele vincula um bloco de IP ao seu ASN correspondente através de criptografia. Quando um roteador recebe uma atualização de rota, ele consulta um servidor RPKI para verificar se o ASN anunciante tem permissão criptográfica para anunciar aquele IP (Validação de Origem da Rota - ROV). Se a assinatura for inválida, a rota é descartada.
BGPsec: O Futuro da Segurança
Enquanto o RPKI valida a origem, o BGPsec foi projetado para validar o caminho completo (Path Validation). Ele garante que nenhum roteador intermediário alterou o percurso da rota, garantindo a segurança ponta-a-ponta, de forma semelhante ao que a criptografia em trânsito faz para aplicações web. No entanto, sua adoção ainda é baixa devido ao alto custo computacional exigido dos roteadores.
A Iniciativa MANRS e a Responsabilidade Global
A segurança do BGP não pode ser resolvida por uma única empresa. É um esforço comunitário. É por isso que a Internet Society criou a iniciativa MANRS (Mutually Agreed Norms for Routing Security).
O MANRS exige que provedores de internet, provedores de nuvem e pontos de troca de tráfego (IXPs) se comprometam com quatro ações básicas:
- Filtragem: Impedir a propagação de informações de roteamento incorretas.
- Anti-spoofing: Impedir tráfego com endereços IP de origem falsificados, o que ajuda a mitigar o impacto de ataques DDoS.
- Coordenação: Manter informações de contato globais atualizadas para respostas rápidas a incidentes.
- Validação Global: Publicar dados de roteamento (como ROAs no RPKI) para que outros possam validar suas rotas.
Perguntas Frequentes
O que é BGP Hijacking?
BGP Hijacking, ou sequestro de BGP, é um ataque cibernético onde um sistema autônomo (AS) malicioso ou mal configurado anuncia falsamente a propriedade de blocos de endereços IP de terceiros. Isso faz com que o tráfego da internet seja desviado para o atacante, permitindo interceptação ou causando interrupção de serviços.
Como o RPKI melhora a segurança do BGP?
O RPKI melhora a segurança do BGP utilizando certificados digitais para provar matematicamente que um determinado Sistema Autônomo (ASN) tem autorização para anunciar um bloco de IPs específico. Isso permite que roteadores descartem anúncios de rotas falsos (inválidos), mitigando o sequestro de rotas.
Por que o BGP não foi criado com segurança desde o início?
O BGP foi desenvolvido na década de 1980 para a ARPANET, precursora da internet atual. Naquela época, a rede era composta por um número muito pequeno de instituições acadêmicas e governamentais que confiavam plenamente umas nas outras. O foco era a resiliência e a conectividade, não a segurança contra atores maliciosos.
0 Comentários