Cloudflare lança imposição do primeiro AS no BGP para conter sequestros de rotas

O Border Gateway Protocol (BGP) é o protocolo essencial para o roteamento de tráfego na internet, interconectando milhares de Sistemas Autônomos (ASes), que são redes operadas por entidades distintas como provedores de internet (ISPs) ou grandes organizações. No entanto, o BGP foi projetado em uma era de confiança, sem mecanismos de autenticação ou criptografia inerentes, o que o torna vulnerável a ataques e erros. Duas das vulnerabilidades mais críticas são o sequestro de rotas (BGP hijacking) e os vazamentos de caminho (path leaks). O sequestro de rotas ocorre quando um AS anuncia indevidamente a propriedade de blocos de endereços IP, redirecionando o tráfego para si. Já os vazamentos de caminho acontecem quando um AS compartilha rotas com outros ASes que não deveriam recebê-las, causando um tráfego de internet subótimo ou desviar o tráfego de sua rota legítima.

Para mitigar essas ameaças, a indústria desenvolveu o Resource Public Key Infrastructure (RPKI), uma estrutura criptográfica que permite validar a origem de anúncios de rota. O RPKI utiliza Route Origin Authorizations (ROAs), que são atestados digitais que vinculam blocos de endereços IP a ASes autorizados a originá-los. Roteadores BGP podem então realizar a Validação da Origem da Rota (ROV), rejeitando anúncios de BGP onde o AS de origem não corresponde ao ROA criptograficamente assinado. Embora o RPKI seja eficaz para validar a origem, ele não verifica a integridade completa do AS_PATH, o atributo BGP que registra a sequência de ASes que um pacote deve atravessar para chegar ao seu destino. Esse AS_PATH pode ser manipulado por atores maliciosos, que podem forjá-lo (por exemplo, encurtando-o artificialmente para atrair tráfego ou realizando ataques de origem) para esconder sua identidade e desviar o tráfego.

É aqui que entra a imposição do primeiro AS (First AS enforcement in BGP). Este mecanismo é uma solução mais simples, porém eficaz, para casos de AS_PATHs forjados. Ele garante que o número do Sistema Autônomo (AS) do vizinho BGP que está anunciando uma rota seja sempre o primeiro AS na lista AS_PATH. Se um AS anuncia uma rota e seu próprio número de AS não é o primeiro na lista do AS_PATH, isso indica uma manipulação. Nesses casos, a imposição do primeiro AS instrui os roteadores a descartar a rota, prevenindo que o tráfego seja desviado por um caminho forjado. RFC 7606 já revisa o tratamento de erros para AS_PATHs malformados, sugerindo que tais rotas sejam descartadas.

A segurança do BGP é de suma importância porque, como espinha dorsal da internet, suas vulnerabilidades podem levar a interrupções massivas e globais. Incidentes históricos, como a interrupção mundial do YouTube em 2008 e o sequestro de BGP da Vodafone Idea em 2021, demonstraram como falhas no BGP podem afetar milhões de usuários e grandes plataformas. Mais recentemente, em 2017, serviços como Twitter e Google no Brasil foram afetados por um vazamento de BGP, e a Cloudflare também sofreu impactos de um grande vazamento de rota BGP em 2019, evidenciando a recorrência e o impacto desses eventos.

A adoção do RPKI tem crescido, com muitos dos grandes players da internet (como Google, Amazon e Cloudflare) já realizando a Validação da Origem da Rota (ROV) e filtrando rotas inválidas. Em 2023, cerca de 62,5% do tráfego da internet já passava por rotas validadas pelo RPKI. Contudo, a adoção não é universal, e há setores e regiões onde a implementação ainda é baixa, deixando lacunas de segurança. A imposição do primeiro AS em BGP AS_PATHs é vital porque complementa o RPKI, abordando um tipo específico de manipulação que o RPKI, por si só, não cobre totalmente: o forjamento do caminho. Ao garantir que o AS anunciante seja o primeiro no AS_PATH, esta técnica previne sequestros de rotas e vazamentos de caminho que dependem da alteração fraudulenta dessa lista. Isso adiciona uma camada de defesa contra o desvio malicioso de tráfego, intercepção de dados e outros propósitos nefastos, fortalecendo a resiliência geral da infraestrutura de roteamento global.

Para desenvolvedores e operadores de rede, o cenário de segurança do BGP exige uma abordagem multifacetada. Iniciativas como o MANRS (Mutually Agreed Norms for Routing Security) promovem as melhores práticas, incluindo a adoção do RPKI e outras medidas de proteção. Governos ao redor do mundo, incluindo a Casa Branca e agências como a FCC e o NIST nos EUA, estão intensificando o foco na segurança do BGP, emitindo recomendações para a adoção do RPKI e considerando futuras regulamentações. Isso significa que a implementação de mecanismos de segurança no BGP está se tornando uma prioridade não apenas técnica, mas também estratégica e regulatória.

A imposição do primeiro AS requer que os operadores configurem cuidadosamente as políticas BGP em seus roteadores para validar o AS inicial no AS_PATH. Embora seja uma medida relativamente simples, sua implementação pode ter um impacto significativo na prevenção de certos tipos de ataques de sequestro de rota e vazamentos de caminho que exploram a manipulação do AS_PATH. É um complemento valioso ao RPKI, que foca na validação de origem. Combinar a Validação da Origem da Rota (ROV) do RPKI com a verificação do primeiro AS no AS_PATH, além de filtragem de prefixos e autenticação de sessão BGP, cria uma defesa em camadas mais robusta contra as diversas ameaças ao roteamento da internet. A conscientização e a colaboração contínua entre os operadores de rede são cruciais para a ampla adoção e eficácia dessas medidas de segurança, garantindo uma internet mais estável e confiável para todos.