No início de abril de 2020, um incidente com o Border Gateway Protocol enviou o tráfego destinado a grandes sites como Google e Facebook para um desvio por uma operadora russa por mais de uma hora — sem invasão, apenas o roteamento baseado em confiança falhando de novo. Vazamentos de BGP acontecem constantemente por acidente, mas o protocolo também pode ser sequestrado para espionagem ou interceptação; naquele mesmo mês, agências dos EUA agiram para bloquear a China Telecom por atividades que incluíam ataques de BGP. A Cloudflare é culpada quando algo quebra em qualquer lugar, e não podia consertar o protocolo em si — então o CEO Matthew Prince disse que era hora de começar a apontar e envergonhar publicamente.
O site que ela lançou, Is BGP Safe Yet, testa a própria conexão do visitante: oferece uma rota legítima e uma inválida e carrega uma página por cada uma. Um ISP que implantou as verificações criptográficas e os filtros de rota detecta a rota falsa e carrega apenas a página real; um ISP que aceita ambas falha, de forma visível. A Cloudflare estimou que cerca de metade da internet já estava protegida graças a gigantes como AT&T, a sueca Telia e a japonesa NTT — o suficiente para que, mesmo usuários de ISPs desprotegidos, muitas vezes continuem tendo alternativas funcionais durante um incidente.
O design se apoia em duas alavancas ao mesmo tempo: os consumidores ganham uma forma de um clique para verificar algo que nunca conseguiriam enxergar, e os players do setor ganham uma forma fácil de ver e ser vistos. A Cloudflare reconheceu limites — alguns fabricantes de roteadores ainda não tinham suporte para as proteções — mas esperava que a pressão pública movesse ambos.
Tornar a higiene de protocolo testável por terceiros: servir uma rota válida e uma inválida, e deixar o próprio navegador do visitante revelar se seu ISP filtra.
O BGP é um protocolo baseado em confiança com mais de 40 anos; nenhum participante isolado, nem mesmo a Cloudflare, pode protegê-lo sozinho — a adoção precisa ser ampla para fazer diferença.
Os não adotantes eram invisíveis: nada informava ao consumidor que seu ISP era o que aceitava rotas sequestradas.
Um teste por conexão converte um padrão abstrato de infraestrutura em um veredito reputacional que nomeia ISPs individuais.
A segurança melhora para todos à medida que a cobertura cresce, então envergonhar os retardatários multiplica o valor dos primeiros adotantes.
Você não pode forçar adotantes interdependentes a proteger um sistema compartilhado, mas pode tornar a não adoção visível para os clientes deles.
O site entrou no ar em 17 de abril de 2020, com a Cloudflare creditando AT&T, Telia e NTT entre os que já filtravam rotas; os fabricantes de equipamentos de backbone que não haviam incorporado suporte às proteções continuavam sendo a outra metade do atraso.
CONFIRA AS EVIDÊNCIAS
As fontes
- You Can Now Check If Your ISP Uses Basic Security Measures WIRED · wired.com ·