A segurança dos anúncios de rotas na Internet tem se tornado uma preocupação cada vez mais relevante em um mundo digital cada vez mais interconectado. O RPKI (Resource Public Key Infrastructure) surge como uma solução inovadora e eficaz para combater os ataques cibernéticos. Além disso, ele garante a autenticidade das informações transmitidas pelos roteadores.
Ao permitir a validação das informações de roteamento com base em chaves criptográficas, o RPKI estabelece um sistema confiável de verificação da origem e autorização dos anúncios de rotas na Internet. Com isso, evita-se a propagação de rotas falsas e a manipulação maliciosa do tráfego de rede. Logo, é possível proteger organizações e usuários contra ataques, como sequestro de rotas e ataques de negação de serviço (DDoS).
Neste artigo, exploraremos em detalhes como o RPKI traz segurança para os anúncios de rotas na Internet. Ademais, veremos como essa infraestrutura de chave pública está revolucionando o cenário do roteamento na Internet e promovendo um ambiente mais seguro e confiável.
RPKI e BGP
Todos os dias, os porteiros de condomínios no Brasil e no resto do mundo atendem prestadores de serviço que comparecem para resolver os mais diversos problemas. Em geral, a pedido de algum morador. São funcionários das operadoras de telecomunicações, dos fabricantes de elevadores, concessionárias de serviços públicos, além de tantos outros profissionais. Mas como ter certeza de que aquele é o prestador de serviço legítimo?
As pessoas responsáveis pela administração e manutenção da Internet enfrentam esse mesmo tipo de dúvida todos os dias. Quais organizações estão autorizadas a utilizar um protocolo como o BGP, por exemplo, que faz os anúncios de rotas? No passado, não havia esse tipo de preocupação. Contudo, os últimos anos mostrou que era preciso acrescentar camadas de segurança no uso desse protocolo. Hoje, há um movimento entre os gestores dos sistemas autônomos (abreviados como “AS”, que são os conjuntos de IPs administrados por determinadas organizações) para que implantem a infraestrutura RPKI (Resource Public Key Infrastructure). Dessa forma, é possível assegurar maior segurança ao anúncio de rotas nas operações com o BGP.
O RPKI associa cada anúncio de rota com o AS que o publicou
O RPKI é um método criptográfico para assinatura de registros, que associa cada anúncio de rota do BGP com o número do AS que o publicou. Muitos AS já fizeram a sua implantação – como os grandes operadores de rede internacionais -, mas muitos ainda usam o BGP sem a garantia do RPKI. Portanto, sem assinatura no registro de cada rota. Esses registros ficam na mesma situação de um prestador de serviço que pede acesso ao condomínio, mas não tem credenciais para exibir. Em abril de 2018, um anúncio malicioso (sem assinatura RPKI) desviou para um endereço na Ucrânia o tráfego destinado à empresa MyEtherWallet, na Alemanha. Por conta disso, o desvio favoreceu o roubo de um valor equivalente a US$ 160 mil dos usuários da MyEtherWallet.
Esse e outros fatos no dia-a-dia da Internet mostraram a necessidade de implantação do RPKI como camada de segurança. Quando a Internet foi inventada e começou a operar, quando ainda era uma rede pequena e administrada por poucas pessoas, elas usavam o BGP anunciando novas rotas. Faziam também as correções ou atualizações necessárias de um AS. Contudo, todos sabiam que aquelas alterações tinha sido feitas por alguém responsável e com o conhecimento necessário.
Naquela época, ninguém precisava se identificar nem certificar o anúncio de uma rota. Afinal, aquelas pessoas eram os pesquisadores, os cientistas, os acadêmicos, gente dos laboratórios, gente das universidades e mais ninguém. Logo, era gente que se encontrava em conferências, reuniões, congressos, pessoas que por causa disso podiam confiar uma nas outras. Essa confiança mútua permitiu que, desde esse início, os protocolos que organizam a Internet, como o BGP, não precisassem das camadas de segurança.
A segurança da Internet não é mais baseada em confiança
Entretanto, com o passar dos anos, a Internet começou a crescer, tornando-se finalmente a rede de todas as redes, e de interesse para muitos outros grupos. Começou, então, a existir a necessidade de segurança, para impedir que pessoas não autorizadas tivessem acesso a essas operações fundamentais da rede. Hoje, a quantidade de pessoas que opera a Internet é tão grande, que é impossível todos os operadores se conhecerem. Por causa disso, ficou inviável administrar as operações simplesmente com base em confiança mútua.
No caso do BGP, a segurança está implementada pelo RPKI, para impedir que pessoas não autorizadas manipulem ou mesmo sabotem o protocolo. Todavia, claro que alguém pode errar num anúncio de rota, devido às complexidades de configuração do BGP. Dependendo do erro, o resultado poderá ser uma rota mais longa para determinado endereço, e um aumento da latência na resposta. Mas o erro – ou uma sabotagem – pode também bloquear o acesso a grandes blocos de endereços IP, como já aconteceu no passado.
O BGP é fundamental. E a sua segurança, pelo RPKI, também. Ele é um protocolo projetado para o intercâmbio de roteamento entre os sistemas autônomos. Para exemplificar, você pode entender as funções do BGP como as mesmas de painel de avisos num aeroporto, exibindo a lista de voos de partida. Uma pessoa que vai viajar para a capital de outro país em geral chega ao aeroporto sabendo apenas o seu destino e o horário do voo. Entretanto, a principal informação que ela precisa para chegar ao avião está no número do seu voo. Todos os dias, várias empresas fazem voos para aquele mesmo destino. Porém, somente aquele voo identificado no cartão de embarque tem, na sua lista de passageiros, o nome daquela pessoa associado ao número da sua poltrona e aos seus documentos pessoais.
Informações precisas sobre cada destino
Para que ela consiga embarcar, basta olhar o painel e localizar ali o número do voo. Ao lado dele, estará identificado o terminal em que se encontra a aeronave e a sala para o embarque dos passageiros. Com essas informações – terminal e sala de embarque -, o passageiro conseguirá chegar ao avião e será transportado até o seu destino. O BGP faz a mesma coisa com as rotas, indicando em suas tabelas o caminho para alcançar um determinado endereço da Internet.
Mas quem garante que os dados no quadro de avisos do aeroporto foram inseridos pelas pessoas autorizadas? Ou quem garante que determinado AS está autorizado a anunciar rotas pelo seu BGP? No caso do aeroporto, a resposta está nas várias camadas de segurança implantadas para a operação do painel de avisos – logins, senhas e outros fatores de autenticação. E no caso do BGP, a camada fundamental de segurança está no RPKI. Criando uma identidade única para cada registro, associada a um certificado, o RPKI atribui confiança à rota publicada. Dessa forma, reduz o risco de interferências indesejáveis à operação de toda a Internet.