Roteamento Seguro com BGP

1. Introdução e a arquitetura da Internet global

A Internet global não é uma entidade monolítica centralizada, mas uma vasta federação de mais de oitenta mil redes autônomas independentes, conhecidas na engenharia de telecomunicações como Sistemas Autônomos ASN (Autonomous System Numbers). Cada ASN representa uma operadora de telecomunicações, um provedor de acesso à Internet, uma rede acadêmica ou uma corporação que administra seu próprio bloco de endereçamento IP (Internet Protocol) e define suas políticas internas de tráfego.

O elemento que mantém essa malha planetária coesa e interoperável é o protocolo BGP (Border Gateway Protocol), atualmente em sua versão 4 padronizada pela RFC 4271. O BGP atua como o sistema nervoso central das comunicações interdomínio, calculando trajetórias de roteamento através de vetores de caminhos compostos pela concatenação de identificadores de Sistemas Autônomos (o atributo AS_PATH).

O relacionamento comercial e técnico entre diferentes ASNs dita diretamente como os anúncios de rotas devem ser exportados e aceitos, conforme discriminado na Tabela 1.

2. Operação do protocolo e a sessão de transporte TCP

Diferentemente dos protocolos de gateway interior (como OSPF e IS-IS), que utilizam difusões diretas na camada de enlace ou pacotes IP nativos, o BGP é uma aplicação de camada 7 que utiliza uma sessão TCP (Transmission Control Protocol) confiável na porta 179 para a troca determinística de informações de roteamento.

2.1 Mensagens Fundamentais do Protocolo

• OPEN: Utilizada para negociar a sessão entre os roteadores vizinhos (peers), incluindo identificador de BGP, número de ASN local e recursos suportados (capabilities como suporte a endereçamento de 32 bits e famílias de endereços IPv4/IPv6).
• UPDATE: A mensagem mais relevante da operação; comunica a adição de novos caminhos viáveis (anúncios de prefixos com seus atributos) ou a revogação de caminhos que deixaram de ser alcançáveis (withdrawals).
• KEEPALIVE: Mensagens periódicas de pulso (heartbeat) trocadas para confirmar que o enlace e o processo vizinho continuam em operação normal na ausência de atualizações frequentes.
• NOTIFICATION: Enviada imediatamente antes do encerramento forçado de uma sessão quando um erro de protocolo, expiração de temporizador ou inconsistência de cabeçalho é detectada.

2.2 A Máquina de Estados Finitos do BGP

O ciclo de vida de uma sessão BGP transita metódica e sequencialmente por seis estados padronizados:

1. Idle: Ponto de partida operacional; o roteador recusa conexões e aguarda o início do processo de peering ou a expiração do temporizador de repouso.
2. Connect: O roteador tenta ativamente estabelecer a conexão TCP na porta 179 com o endereço do peer vizinho configurado.
3. Active: Falha na etapa de conexão anterior; o roteador aguarda ativamente uma tentativa de conexão originada pelo par remoto.
4. OpenSent: O handshake TCP foi concluído com sucesso e a mensagem inicial OPEN foi enviada, aguardando a resposta do par.
5. OpenConfirm: A mensagem OPEN do par foi recebida e validada; aguarda-se a primeira mensagem KEEPALIVE de confirmação.
6. Established: A sessão de emparelhamento está plenamente estabelecida; a partir deste ponto ocorre a troca contínua de mensagens UPDATE com as rotas.

3. Ameaças críticas: sequestros de prefixos (BGP Hijacking)

O defeito fundamental do modelo clássico do BGP é a presunção tácita de veracidade: se um roteador vizinho anuncia que possui um caminho viável para um determinado bloco de endereçamento IP, o receptor aceita a rota e a insere em sua tabela de encaminhamento FIB (Forwarding Information Base), a menos que filtros estritos tenham sido implementados.

O sequestro de prefixos BGP (BGP Hijacking) acontece quando um Sistema Autônomo malicioso ou desconfigurado passa a anunciar publicamente um bloco de endereços IP que pertence legitimamente a outra organização. Os dois mecanismos predominantes dessa agressão são:

3.1 Sequestro de Prefixo Exato (Exact-Prefix Hijacking)

O atacante anuncia para seus provedores de trânsito o mesmo prefixo anunciado pelo proprietário legítimo (por exemplo, o bloco 198.51.100.0/24). Pela regra de desempate do BGP, roteadores mais próximos geograficamente ou topologicamente do atacante passarão a enviar seus pacotes para o destino ilegítimo, enquanto roteadores mais próximos da vítima manterão o tráfego legítimo, gerando um sequestro parcial do fluxo global.

3.2 Sequestro de Subprefixo (Sub-Prefix Hijacking)

Este é o método mais destrutivo e agressivo. Caso a vítima legítima anuncie um bloco agregado como 203.0.113.0/22, o atacante anuncia duas rotas mais específicas: 203.0.113.0/24 e 203.0.114.0/24. Pela regra de encaminhamento de pacotes do protocolo IP, o critério de maior coincidência de bits (longest prefix match) tem precedência matemática absoluta sobre métricas de caminho ou tamanho de AS_PATH. O resultado é que praticamente cem por cento do tráfego mundial destinado àquelas faixas é desviado para a infraestrutura do sequestrador, permitindo espionagem, interceptação de certificados TLS e interrupção completa dos serviços legítimos.

4. Vazamentos de rotas (Route Leaks) e exaustão de recursos

Enquanto os sequestros deliberados frequentemente decorrem de dolo, os vazamentos de rotas (Route Leaks), definidos na RFC 7908, representam a causa mais frequente de lentidão generalizada e apagões parciais na Internet. Tratam-se de erros de configuração de operadores que violam a separação estrita de políticas de trânsito e peering.

4.1 A Anatomia de um Vazamento de Rota Acidental

Considere uma organização multihomed conectada a duas grandes operadoras de trânsito independentes (Operadora A e Operadora B). Por um equívoco de filtragem de exportação (ausência de route-map restritivo), o roteador da empresa recebe a tabela de rotas da Operadora A e a reexporta integralmente para a Operadora B com seu próprio ASN precedido. A Operadora B passa a entender que a pequena rede do cliente é um atalho de alta velocidade para alcançar o mundo inteiro. Em segundos, gigabits de tráfego de trânsito internacional convergem para os enlaces limitados da organização, saturando a banda física, gerando descarte massivo de pacotes e derrubando serviços globais de terceiros.

4.2 Mitigação Preventiva com Max-Prefix Limit

Para proteger os roteadores contra o recebimento involuntário de milhares de rotas que poderiam esgotar a memória RAM da Routing Information Base (RIB) e travar a CPU do plano de controle, é mandatório estabelecer limites máximos de prefixos recebidos para cada sessão de emparelhamento:

# Exemplo de configuração de proteção no FRRouting / Cisco IOS
router bgp 65001
 neighbor 192.0.2.2 remote-as 65002
 neighbor 192.0.2.2 maximum-prefix 50 80 restart 15

Nessa parametrização, caso o vizinho ultrapasse 40 rotas (80% do limite de 50), o roteador registra alarmes de aviso em log. Se o limite de 50 rotas for excedido, a sessão BGP é imediatamente derrubada, prevenindo travamento catastrófico de memória e restabelecendo o emparelhamento apenas após 15 minutos.

5. Proteção da camada de transporte e do plano de controle

Por assentar-se sobre o protocolo TCP, a sessão BGP herda todas as vulnerabilidades inerentes à camada de transporte caso os pacotes não sejam autenticados. Atacantes com capacidade de forjar pacotes IP (spoofing) podem injetar pacotes TCP RST (Reset) para forçar o encerramento indevido de sessões de roteamento fundamentais.

5.1 Autenticação de Pacotes: Do MD5 ao TCP-AO

• Autenticação TCP MD5 (RFC 2385): Método histórico amplamente disseminado. Utiliza uma chave secreta compartilhada para calcular um hash MD5 gravado na opção TCP 19 em cada segmento. Embora eficiente contra injeções cegas, o algoritmo MD5 apresenta vulnerabilidades conhecidas a colisões e exige recálculo intensivo em software.
• Opção de Autenticação TCP-AO (RFC 5925): Substituto criptograficamente moderno do TCP MD5. Suporta algoritmos modernos como HMAC-SHA-1 e AES-CMAC, além de gerenciamento e rotação dinâmica de chaves criptográficas sem necessidade de derrubar a sessão ativa de emparelhamento.

5.2 O Mecanismo de Segurança GTSM (RFC 5082)

O GTSM (Generalized TTL Security Mechanism), anteriormente regulado pela RFC 3682, é uma solução de engenharia simples, elegante e extremamente poderosa para proteger sessões de eBGP diretas entre enlaces adjacentes. Em vez de enviar pacotes com TTL baixo e verificar se chegaram vivos, o transmissor envia todos os pacotes BGP com o campo TTL (Time to Live) fixado em 255 (o valor máximo de 8 bits). O roteador receptor descarta compulsoriamente qualquer pacote cujo TTL recebido seja inferior a 254.

Como qualquer roteador intermediário que encaminhe um pacote IP decresce o TTL em pelo menos uma unidade, é fisicamente impossível que um invasor externo situado a múltiplos saltos de distância na Internet forje um pacote com TTL=254 ou 255. O tráfego fraudulento é descartado diretamente no circuito integrado de encaminhamento (ASIC), antes de consumir recursos do processador principal.

6. Filtragem tradicional com bases IRR e filtros de prefixo

Antes da introdução de certificados criptográficos digitais, a segurança de anúncios BGP apoiava-se primariamente nos registros públicos de roteamento IRR (Internet Routing Registry) e na linguagem formal de políticas RPSL (Routing Policy Specification Language).

6.1 Geração Automatizada de Listas de Prefixo com bgpq4

Operadores responsáveis não criam listas de prefixos (prefix-lists) manualmente para seus clientes de trânsito ou pares em IXPs. Utilizam-se ferramentas como bgpq4 para consultar bancos de dados IRR confiáveis (como RADB, RIPE, LACNIC ou NTT) com base no identificador de conjunto de sistemas autônomos (AS-SET) do par, gerando filtros determinísticos que são aplicados automaticamente aos roteadores:

# Gerando lista de prefixos IPv4 segura para o cliente AS-EMPRESA
bgpq4 -l AS-EMPRESA-IN -S RADB,RIPE -4 AS-EMPRESA

# Gerando filtro restritivo de caminhos AS_PATH
bgpq4 -f 65001 -S RADB,RIPE -4 AS-EMPRESA

7. RPKI: arquitetura e validação de origem de rota (ROV)

A tecnologia RPKI (Resource Public Key Infrastructure) revolucionou a segurança do roteamento ao ancorar a autoridade sobre blocos de endereçamento IP em uma infraestrutura de chaves públicas de hierarquia estrita administrada pelos RIRs (Regional Internet Registries), tais como LACNIC, Registro.br, ARIN e RIPE NCC.

7.1 Estrutura de uma Autorização de Origem de Rota (ROA)

O detentor legítimo de um bloco de endereços alocado pelo Registro.br gera, através do portal de administração, um documento assinado digitalmente denominado ROA (Route Origin Authorization). O objeto ROA declara com precisão três parâmetros mandatórios:

• Prefixo Autorizado: O bloco de endereços IP correspondente (exemplo: 200.0.120.0/22).
• ASN de Origem: O número do Sistema Autônomo exclusivo que tem permissão legal de injetar esse anúncio no BGP (exemplo: AS 262500).
• Comprimento Máximo (Max-Length): O tamanho mais específico que esse bloco pode assumir ao ser anunciado (exemplo: /24). Se o detentor declarar max-length 22, qualquer tentativa de anunciar blocos /23 ou /24 será considerada ilegítima pela Internet.

7.2 Validação de Origem de Rota (ROV) no Roteador

Os roteadores de borda não consultam a base mundial de certificados diretamente para cada pacote recebido, o que inviabilizaria o desempenho da CPU. Utiliza-se um software validador intermediário (como Routinator, OctoRPKI ou StayRTR) que sincroniza os repositórios criptográficos globais e repassa a tabela compilada de validação para os roteadores via protocolo leve RTR (RPKI-to-Router, RFC 8210).

Ao receber um anúncio UPDATE via BGP, o roteador avalia o status do prefixo em três categorias:

Valid (Válido)

Existe pelo menos um objeto ROA que coincide exatamente com o prefixo, o ASN de origem e não excede o parâmetro max-length. A rota é aceita com prioridade máxima.

NotFound (Não Encontrado)

Não existe nenhuma autorização ROA cadastrada para aquele bloco de endereçamento no mundo. A rota é tratada conforme a política padrão de trânsito (habitualmente aceita para garantir conectividade global com redes legadas).

Invalid (Inválido)

Existe um registro ROA para o prefixo, mas o ASN que o anunciou é diferente do ASN autorizado, ou o prefixo anunciado é mais específico do que o max-length estipulado. Trata-se de um indicativo claro de sequestro de rotas ou vazamento grave.

8. Avanços na segurança de caminho: ASPA e BGPsec

Apesar da robustez inquestionável do RPKI na validação de origem de rotas (ROV), essa tecnologia resolve apenas metade do problema de segurança da Internet. Um atacante experiente pode realizar um ataque de falsificação intermediária de caminho: ele forja o ASN legítimo da vítima na última posição do atributo AS_PATH e anuncia a rota para seus próprios pares. O validador ROV enxerga a origem correta e classifica a rota falsificada como válida.

8.1 ASPA (Autonomous System Provider Authorization)

Para preencher essa lacuna sem exigir a substituição de toda a base de roteadores mundiais, o IETF concebeu o mecanismo ASPA. O detentor de um ASN registra em seu repositório RPKI um objeto criptográfico declarando quais são os seus provedores autorizados de trânsito. Os roteadores que implementam validação de caminho verificam se a sequência de saltos no atributo AS_PATH respeita as relações cliente-provedor declaradas, detectando vazamentos de rota e falsificações intermediárias com facilidade matemática.

8.2 BGPsec (RFC 8205)

O BGPsec é a extensão formal que introduz assinaturas digitais por salto no atributo BGPsec_Path. Cada roteador intermediário que propaga um anúncio assina criptograficamente a transição para o próximo ASN utilizando sua chave privada. Embora represente o ápice teórico da segurança criptográfica de caminho, o BGPsec enfrenta severos entraves de adoção prática devido ao elevado custo computacional em hardware e à exigência de que todos os sistemas do caminho suportem a extensão sem interrupção.

9. Técnicas de remediação de ataques: RTBH e BGP Flowspec

Além da validação de legitimidade de rotas, o BGP é uma ferramenta de engenharia defensiva indispensável para mitigar ataques massivos de negação de serviço distribuído (DDoS) na velocidade do tráfego de rede.

9.1 Remotely Triggered Black Hole (RTBH)

O RTBH permite que um Sistema Autônomo sob ataque comunique aos seus provedores de trânsito ou ao Route Server de um IXP que determinado endereço IP específico da sua rede deve ter seu tráfego descartado imediatamente na borda externa. Isso é realizado injetando um anúncio /32 (em IPv4) marcado com uma comunidade BGP especial, padronizada globalmente pela RFC 7999 como BLACKHOLE (valor reservado 65535:666). Ao receber a comunidade, o provedor direciona os pacotes destinados àquele IP para uma interface Null0 antes que o tráfego atinja o enlace saturado do cliente.

9.2 BGP Flowspec (RFC 8955)

Enquanto o RTBH atua como um machado (derruba todo o tráfego do IP vitimado, completando a negação de serviço para aquele host específico), o BGP Flowspec opera como um bisturi de alta precisão. Ele estende o BGP para disseminar regras de filtragem detalhadas (origem, destino, portas TCP/UDP, flags e tipos de pacote ICMP) diretamente para a tabela de hardware dos roteadores do provedor de trânsito, aplicando descarte cirúrgico ou limitação de taxa (rate-limiting) apenas aos pacotes característicos do ataque.

10. Aderência ao framework global MANRS

O MANRS (Mutually Agreed Norms for Routing Security) é uma iniciativa internacional impulsionada pela Internet Society que estabelece uma linha de base operacional voluntária para elevar a resiliência coletiva da Internet. Fazer parte do MANRS demonstra maturidade de engenharia perante a comunidade global de conectividade.

10.1 As Quatro Ações Obrigatórias do MANRS para Provedores

1. Filtragem (Filtering): Impedir a propagação de informações incorretas de roteamento aplicando filtros rigorosos em anúncios de clientes e pares com base em IRR e RPKI.
2. Anti-Spoofing: Impedir que pacotes com endereços IP de origem forjados saiam da infraestrutura do cliente, empregando mecanismos como uRPF (Unicast Reverse Path Forwarding) em modo estrito ou ACLs de saída.
3. Coordenação Global (Coordination): Manter contatos técnicos, de segurança e de NOC rigorosamente atualizados em bases públicas acessíveis, especialmente na plataforma PeeringDB e nas bases de Whois dos RIRs.
4. Validação Global (Global Validation): Publicar dados de roteamento atualizados e assinar certificados RPKI (ROAs) para cem por cento dos blocos de IP próprios e de clientes.

11. Monitoramento, telemetria e detecção precoce de anomalias

Mesmo com todas as defesas ativas, uma organização operando um Sistema Autônomo precisa de visibilidade contínua sobre como seus prefixos estão sendo enxergados pela comunidade global da Internet.

11.1 Plataformas de Coleta e Monitoramento Público

Sistemas distribuídos como o RIS (Routing Information Service do RIPE NCC), o projeto Route Views da Universidade de Oregon e o Hurricane Electric Looking Glass coletam e consolidam tabelas de roteamento de centenas de pontos de presença globais. Ferramentas automatizadas como BGPmon, Cloudflare Radar e alertas do Registro.br notificam o engenheiro de telecomunicações no momento exato em que:

• Um ASN desconhecido passa a originar um bloco de endereços pertencente à sua organização.
• Um anúncio de subprefixo não autorizado surge na tabela global.
• Um certificado ROA atinge a data limite de expiração ou perde validade criptográfica.

12. Conclusão

A segurança do ecossistema de roteamento global é uma responsabilidade compartilhada por todos os operadores que administram um Sistema Autônomo. Uma falha de configuração em um pequeno provedor de acesso regional pode ecoar instantaneamente em escala planetária, degradando a confiabilidade das transações digitais, a segurança de dados e a continuidade de serviços essenciais.

A implementação diligente de validação RPKI com descarte compulsório de anúncios inválidos, a proteção estrita das sessões de transporte com GTSM e TCP-AO, a filtragem automatizada de prefixos via IRR e o cumprimento rigoroso dos princípios do MANRS formam a espinha dorsal de uma infraestrutura interdomínio resiliente e preparada para enfrentar os desafios de segurança cibernética das próximas décadas.

Glossário

AS_PATH (Autonomous System Path)

Atributo fundamental do BGP que lista sequencialmente os números de Sistemas Autônomos que um anúncio de rota percorreu até alcançar o receptor, utilizado para evitar loops de roteamento e determinar o caminho preferencial.

ASPA (Autonomous System Provider Authorization)

Extensão criptográfica do RPKI que registra a relação formal entre um Sistema Autônomo e seus provedores de trânsito autorizados, prevenindo vazamentos de rotas e falsificação intermediária de caminhos.

BGP (Border Gateway Protocol)

Protocolo padronizado de roteamento de vetor de caminhos utilizado para trocar informações de alcançabilidade entre redes independentes que compõem a Internet global.

CoPP (Control Plane Policing)

Mecanismo de hardware em roteadores corporativos que impõe limitação de taxa e filtragem ao tráfego direcionado à CPU principal, prevenindo ataques de negação de serviço contra o plano de controle.

GTSM (Generalized TTL Security Mechanism)

Prática de proteção padronizada pela RFC 5082 que envia pacotes com TTL=255 e rejeita qualquer pacote cujo TTL seja inferior a 254, impedindo que atacantes externos forjem sessões BGP à distância.

IRR (Internet Routing Registry)

Base de dados distribuída mantida por operadoras e centros regionais para armazenar registros de políticas de roteamento e conjuntos de prefixos na linguagem formal RPSL.

MANRS (Mutually Agreed Norms for Routing Security)

Iniciativa global capitaneada pela Internet Society que estabelece requisitos mandatórios de filtragem, anti-spoofing, coordenação e validação para elevar a resiliência de roteamento da Internet.

ROA (Route Origin Authorization)

Objeto criptográfico assinado digitalmente pelo detentor do bloco IP no repositório RPKI que autoriza formalmente determinado ASN a anunciar um prefixo específico com limite de extensão.

ROV (Route Origin Validation)

Processo pelo qual um roteador avalia em tempo real a validade criptográfica de um anúncio BGP comparando a origem anunciada com os certificados ROA distribuídos via RPKI.

RTR (RPKI-to-Router Protocol)

Protocolo leve de rede definido na RFC 8210 utilizado para transferir a tabela de validação RPKI processada de um servidor validador para os roteadores de borda.

RTBH (Remotely Triggered Black Hole)

Técnica operacional que utiliza comunidades BGP especiais para solicitar ao provedor de trânsito o descarte antecipado de todo o tráfego destinado a um endereço IP sob ataque de negação de serviço.

uRPF (Unicast Reverse Path Forwarding)

Mecanismo de segurança em roteadores que valida se o endereço IP de origem de um pacote que entra por uma interface coincide com a rota reversa na tabela de roteamento, descartando pacotes com endereços forjados.

Apêndice A, checklist operacional de hardening BGP para ASNs

O checklist técnico a seguir deve ser empregado em auditorias semestrais e procedimentos de aceitação operacional em roteadores de borda para garantir conformidade com as melhores práticas mundiais de engenharia de roteamento.

Cartilha CiberLab · Ciência Embarcada · Lucas Rayan Guerra