A principios de abril de 2020, un incidente del Border Gateway Protocol envió el tráfico destinado a sitios importantes como Google y Facebook a un desvío a través de una telecomunicaciones rusa durante más de una hora: no fue un hackeo, sino el routing basado en la confianza fallando una vez más. Las fugas de BGP ocurren constantemente por accidente, pero el protocolo también puede ser secuestrado para espiar o interceptar; ese mismo mes, agencias de EE. UU. se movilizaron para bloquear a China Telecom por actividad que incluía ataques BGP. Cloudflare recibe culpas cuando algo falla en cualquier parte, y no podía arreglar el protocolo por sí misma, así que su CEO, Matthew Prince, dijo que era hora de empezar a señalar y avergonzar públicamente.
El sitio que lanzó, Is BGP Safe Yet, prueba la propia conexión del visitante: ofrece una ruta legítima y una inválida y carga una página a través de cada una. Un ISP que ha desplegado las comprobaciones criptográficas y los filtros de rutas detecta la ruta falsa y carga solo la página real; un ISP que acepta ambas falla, de forma visible. Cloudflare estimó que alrededor de la mitad de internet ya estaba protegida gracias a pesos pesados como AT&T, Telia de Suecia y NTT de Japón, lo suficiente para que incluso los usuarios de ISP sin protección a menudo mantengan alternativas funcionales durante un incidente.
El diseño se apoya en dos palancas a la vez: los consumidores obtienen una forma de comprobar con un clic algo que nunca podrían ver, y los actores de la industria obtienen una manera fácil de ver y ser vistos. Cloudflare reconoció limitaciones —algunos fabricantes de routers aún carecían de soporte para las protecciones—, pero esperaba que la presión pública impulsara a ambos.
Hacer que la higiene de protocolos sea comprobable por terceros: servir una ruta válida y una inválida, y dejar que el propio navegador del visitante revele si su ISP filtra.
BGP es un protocolo basado en la confianza de más de 40 años; ningún participante por sí solo, ni siquiera Cloudflare, puede asegurarlo: la adopción tiene que ser amplia para importar.
Los no adoptantes eran invisibles: nada le decía a un consumidor que su ISP era el que aceptaba rutas secuestradas.
Una prueba por conexión convierte un estándar de infraestructura abstracto en un veredicto reputacional que nombra a ISP individuales.
La seguridad mejora para todos a medida que crece la cobertura, así que avergonzar a los rezagados multiplica el valor de los primeros adoptantes.
No se puede obligar a adoptantes interdependientes a asegurar un sistema compartido, pero se puede hacer visible la no adopción ante sus clientes.
El sitio se puso en marcha el 17 de abril de 2020, y Cloudflare atribuyó a AT&T, Telia y NTT el mérito de estar entre quienes ya filtraban rutas; los proveedores de equipos de backbone que no habían incorporado soporte para las protecciones seguían siendo la otra mitad del retraso.
CONSULTA LAS PRUEBAS
Las fuentes
- You Can Now Check If Your ISP Uses Basic Security Measures WIRED · wired.com ·