{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Por que a Internet ainda est\u00e1 online?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A Internet parece uma estrutura forte, independente e inquebr\u00e1vel. Em teoria, a robustez da rede \u00e9 suficiente para sobreviver a uma explos\u00e3o nuclear. Na pr\u00e1tica, a Internet pode cair por causa de um simples roteador. Tudo isso porque a Internet \u00e9 um emaranhado de contradi\u00e7\u00f5es, vulnerabilidades, erros e v\u00eddeos de gatinhos. A base da Internet, o protocolo BGP, cont\u00e9m uma s\u00e9rie de problemas. \u00c9 surpreendente que ainda funcione. Al\u00e9m dos erros dentro da pr\u00f3pria Internet, tamb\u00e9m \u00e9 atacada por todos os lados: grandes provedores de Internet, corpora\u00e7\u00f5es, governos e ataques DDoS. O que fazer com isso e como viver com isso?<\/p>\n

\"Por
\n
\nA resposta \u00e9 conhecida Aleksey Uchakov<\/b> (Night_Snake<\/a><\/noindex>) \u00e9 o l\u00edder da equipe de engenheiros de rede da empresa IQ Option. Sua principal tarefa \u00e9 garantir a disponibilidade da plataforma para os usu\u00e1rios. Na transcri\u00e7\u00e3o da apresenta\u00e7\u00e3o de Aleksey na\u00a0Saint HighLoad++ 2019<\/a><\/noindex> , falaremos sobre BGP, ataques DDoS, o interruptor da Internet, erros de provedores, descentraliza\u00e7\u00e3o e os casos em que um pequeno roteador fez a Internet entrar em hiberna\u00e7\u00e3o. No final, algumas dicas sobre como sobreviver a tudo isso.
\n<\/a><\/noindex>
\n

\r\n \"Por\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

O dia em que a Internet quebrou<\/h2>\n

\nVou citar apenas alguns incidentes em que a conectividade da Internet foi afetada. Isso ser\u00e1 suficiente para uma imagem completa.<\/p>\n

\u00abIncidente AS7007\u00bb<\/b>. A primeira vez que a Internet quebrou foi em abril de 1997. Um erro no software de um roteador do sistema aut\u00f4nomo 7007 fez com que, em determinado momento, o roteador anunciasse sua tabela de roteamento interna e enviasse metade da rede para um black hole.<\/p>\n

\u00abPaquist\u00e3o contra YouTube\u00bb<\/b>. Em 2008, alguns corajosos do Paquist\u00e3o decidiram bloquear o YouTube em seu pa\u00eds. Fizeram isso de tal modo que meio mundo ficou sem os v\u00eddeos de gatinhos.<\/p>\n

\u00abCaptura de prefixos VISA, MasterCard e Symantec pela Rostelecom\u00bb<\/b>. Em 2017, a Rostelecom, por engano, come\u00e7ou a anunciar os prefixos da VISA, MasterCard e Symantec. Como resultado, o tr\u00e1fego financeiro foi desviado por canais controlados pelo provedor. O vazamento durou pouco tempo, mas causou inc\u00f4modo nas empresas financeiras.<\/p>\n

\u00abGoogle contra Jap\u00e3o\u00bb<\/b>. Em agosto de 2017, o Google come\u00e7ou a anunciar, em parte de seus uplinks, os prefixos de grandes provedores japoneses NTT e KDDI. O tr\u00e1fego foi desviado para o Google como se fosse de tr\u00e2nsito, provavelmente por erro. Como o Google n\u00e3o \u00e9 um provedor e n\u00e3o permite tr\u00e1fego de tr\u00e2nsito, uma parte significativa do Jap\u00e3o ficou sem Internet.<\/p>\n

\u00abDV LINK capturou os prefixos do Google, Apple, Facebook, Microsoft\u00bb<\/b>. Em 2017, o provedor russo DV LINK come\u00e7ou a anunciar, sem motivo aparente, as redes do Google, Apple, Facebook, Microsoft e de alguns outros grandes players.<\/p>\n

\u00abA eNet dos EUA capturou os prefixes do AWS Route53 e do MyEtherwallet\u00bb<\/b>. Em 2018, um provedor de Ohio ou algum de seus clientes anunciou as redes do Amazon Route53 e da carteira de criptomoedas MyEtherwallet. O ataque foi bem-sucedido: mesmo com o certificado autoassinado, que mostrava um aviso ao usu\u00e1rio ao acessar o site do MyEtherwallet, muitas carteiras foram comprometidas e parte da criptomoeda foi roubada.<\/p>\n

Houve mais de 14.000 incidentes semelhantes apenas em 2017! A rede ainda \u00e9 descentralizada, por isso n\u00e3o \u00e9 tudo e n\u00e3o todos que s\u00e3o afetados. Mas os incidentes ocorrem na casa das milhares, e todos est\u00e3o relacionados ao protocolo BGP, no qual a internet opera.<\/p>\n

BGP e seus problemas<\/h2>\n

\nProtocolo BGP - Border Gateway Protocol<\/b>, foi descrito pela primeira vez em 1989 por dois engenheiros da IBM e da Cisco Systems em tr\u00eas \"guardanapos\" - folhas de formato A4. Esses \"guardanapos\"<\/a><\/noindex> ainda est\u00e3o no escrit\u00f3rio principal da Cisco Systems em S\u00e3o Francisco como uma rel\u00edquia do mundo das redes.<\/p>\n

Na base do protocolo, est\u00e1 a intera\u00e7\u00e3o de sistemas aut\u00f4nomos<\/b>\u00a0\u2014 Autonomous Systems ou, em resumo, AS. Um sistema aut\u00f4nomo \u00e9 apenas um ID que est\u00e1 vinculado a redes IP em um registro p\u00fablico. Um roteador com esse ID pode anunciar essas redes ao mundo. Assim, qualquer rota na internet pode ser representada como um vetor, que chamamos de AS Path<\/b>. O vetor consiste em n\u00fameros de sistemas aut\u00f4nomos que devem ser percorridos para alcan\u00e7ar a rede de destino.<\/p>\n

Por exemplo, existe uma rede composta por um determinado n\u00famero de sistemas aut\u00f4nomos. \u00c9 necess\u00e1rio ir do sistema AS65001 para o sistema AS65003. O caminho de um sistema \u00e9 representado pelo AS Path no diagrama. Ele consiste em dois aut\u00f4nomos: 65002 e 65003. Para cada endere\u00e7o de destino, existe um vetor AS Path que consiste nos n\u00fameros dos sistemas aut\u00f4nomos que precisamos percorrer.<\/p>\n

\"Por
\n
\nQuais s\u00e3o os problemas do BGP?<\/p>\n

BGP \u00e9 um protocolo de confian\u00e7a<\/h3>\n

\nO protocolo BGP \u00e9 baseado em confian\u00e7a. Isso significa que, por padr\u00e3o, confiamos em nosso vizinho. Essa \u00e9 a caracter\u00edstica de muitos protocolos que foram desenvolvidos no in\u00edcio da internet. Vamos entender o que significa \u2018confiar\u2019.<\/p>\n

N\u00e3o h\u00e1 autentica\u00e7\u00e3o do vizinho<\/b>. Formalmente, existe o MD5, mas o MD5 em 2019 \u2013 \u00e9 algo\u2026<\/p>\n

N\u00e3o h\u00e1 filtragem<\/b>. O BGP possui filtros e eles est\u00e3o descritos, mas n\u00e3o s\u00e3o utilizados, ou usados de forma inadequada. Depois explicarei por qu\u00ea.<\/p>\n

Muito f\u00e1cil configurar a vizinhan\u00e7a<\/b>. A configura\u00e7\u00e3o da vizinhan\u00e7a no protocolo BGP em quase qualquer roteador \u00e9 apenas algumas linhas de configura\u00e7\u00e3o.<\/p>\n

N\u00e3o \u00e9 necess\u00e1rio ter direitos de gerenciamento do BGP<\/b>. N\u00e3o precisa fazer exames que validem suas qualifica\u00e7\u00f5es. Ningu\u00e9m vai retirar os direitos por configurar o BGP b\u00eabado.<\/p>\n

Dois problemas principais<\/h3>\n

\nRoubo de prefixos - prefix hijacks<\/b>. O roubo de prefixo \u00e9 o an\u00fancio de uma rede que n\u00e3o pertence a voc\u00ea, como no caso do MyEtherwallet. N\u00f3s pegamos alguns prefixos, negociamos com o provedor ou o hackeamos, e atrav\u00e9s dele anunciamos essas redes.<\/p>\n

Vazamentos de rotas - route leaks<\/b>. Com vazamentos \u00e9 um pouco mais complicado. Um vazamento \u00e9 uma altera\u00e7\u00e3o no AS Path<\/b>. No melhor dos casos, a altera\u00e7\u00e3o causar\u00e1 um maior atraso, pois precisar\u00e1 seguir um caminho mais longo ou passar por um link menos eficiente. No pior caso, repetiremos o que aconteceu com o Google e o Jap\u00e3o.<\/p>\n

O pr\u00f3prio Google n\u00e3o \u00e9 um operador nem um sistema aut\u00f4nomo de tr\u00e2nsito. Mas quando anunciou seu provedor as redes de operadores japoneses, o tr\u00e1fego atrav\u00e9s do Google via AS Path aparecia como mais priorit\u00e1rio. O tr\u00e1fego foi direcionado para l\u00e1 e foi descartado simplesmente porque as configura\u00e7\u00f5es de roteamento dentro do Google s\u00e3o mais complicadas do que apenas filtros na borda.<\/p>\n

Por que os filtros n\u00e3o funcionam?<\/h3>\n

\nNingu\u00e9m se importa<\/b>. Essa \u00e9 a principal raz\u00e3o - ningu\u00e9m se importa. O administrador de um pequeno provedor ou de uma empresa que se conectou a um provedor via BGP pegou um MikroTik, configurou o BGP nele e nem sabe que \u00e9 poss\u00edvel configurar filtros.<\/p>\n

Erros de configura\u00e7\u00e3o<\/b>. Algu\u00e9m estava depurando, errou na m\u00e1scara, colocou a rede errada - e aqui estamos novamente, com um erro.<\/p>\n

N\u00e3o h\u00e1 capacidade t\u00e9cnica<\/b>. Por exemplo, os provedores de telecomunica\u00e7\u00f5es t\u00eam muitos clientes. A maneira inteligente seria atualizar automaticamente os filtros para cada cliente - monitorar quando ele tem uma nova rede, que ele alugou sua rede para algu\u00e9m. Monitorar isso \u00e9 complicado, e fazer manualmente \u00e9 ainda mais dif\u00edcil. Por isso, implementam filtros relaxados ou nem os colocam.<\/p>\n

Exce\u00e7\u00f5es<\/b>. Existem exce\u00e7\u00f5es para clientes favoritos e grandes. Especialmente no caso de interconex\u00f5es entre operadores. Por exemplo, a TransTelecom e a Rostelecom t\u00eam v\u00e1rias redes e entre elas uma interconex\u00e3o. Se a interconex\u00e3o falhar, ningu\u00e9m ficar\u00e1 feliz, por isso relaxam os filtros ou os removem completamente.<\/p>\n

Informa\u00e7\u00f5es desatualizadas ou incorretas em IRR<\/b>. Os filtros s\u00e3o baseados em informa\u00e7\u00f5es que est\u00e3o registradas em\u00a0IRR \u2014 Registro de Roteamento da Internet<\/b>. Estes s\u00e3o os registros dos registradores regionais da internet. Muitas vezes, os registros cont\u00eam informa\u00e7\u00f5es desatualizadas ou irrelevantes, ou at\u00e9 mesmo ambas.<\/p>\n

Quem s\u00e3o esses registradores?<\/h3>\n

\"Por
\n
\nTodos os endere\u00e7os na internet pertencem a uma organiza\u00e7\u00e3o IANA \u2014 Autoridade de N\u00fameros Atribu\u00eddos da Internet<\/b>. Quando voc\u00ea compra uma rede de IP de algu\u00e9m, voc\u00ea n\u00e3o compra os endere\u00e7os, mas o direito de us\u00e1-los. Os endere\u00e7os s\u00e3o um recurso intang\u00edvel e, por acordo geral, todos pertencem \u00e0 ag\u00eancia IANA.<\/p>\n

O sistema funciona assim. A IANA delega a gest\u00e3o de endere\u00e7os IP e n\u00fameros de sistemas aut\u00f4nomos para cinco registradores regionais. Eles concedem sistemas aut\u00f4nomos LIR \u2014 registradores de internet locais<\/b>. Em seguida, os LIR alocam endere\u00e7os IP para usu\u00e1rios finais.<\/p>\n

A desvantagem do sistema \u00e9 que cada um dos registradores regionais mant\u00e9m seus registros \u00e0 sua maneira. Cada um tem sua pr\u00f3pria vis\u00e3o sobre quais informa\u00e7\u00f5es devem constar nos registros, quem deve ou n\u00e3o verificar. Como resultado, temos a bagun\u00e7a que existe hoje.<\/p>\n

Como mais podemos combater esses problemas?<\/h3>\n

\nIRR \u2014 qualidade med\u00edocre<\/b>. Com o IRR est\u00e1 claro \u2014 a situa\u00e7\u00e3o \u00e9 ruim.<\/p>\n

Comunidades BGP<\/b>. Esta \u00e9 uma certa atribui\u00e7\u00e3o descrita no protocolo. Podemos anexar, por exemplo, uma comunidade especial ao nosso an\u00fancio, para que o vizinho n\u00e3o envie nossas redes para seus vizinhos. Quando temos um link P2P, trocamos apenas nossas redes. Para que uma rota n\u00e3o acabe em outras redes por engano, anexamos uma comunidade.<\/p>\n

Comunidades n\u00e3o s\u00e3o transitivas<\/b>. Isso \u00e9 sempre um acordo entre duas partes, e essa \u00e9 sua desvantagem. N\u00e3o podemos anexar qualquer comunidade, exceto uma que seja aceita por padr\u00e3o por todos. N\u00e3o podemos ter certeza de que todas as comunidades ser\u00e3o aceitas e interpretadas corretamente. Portanto, no melhor dos casos, se voc\u00ea negociar com seu uplink, ele entender\u00e1 o que voc\u00ea deseja por meio da comunidade. Mas o vizinho pode n\u00e3o compreender, ou o operador simplesmente pode descartar sua marca, e voc\u00ea n\u00e3o conseguir\u00e1 o que queria.<\/p>\n

RPKI + ROA resolve apenas uma pequena parte dos problemas<\/b>. RPKI \u00e9 Infraestrutura de Chave P\u00fablica de Recursos\u00a0<\/b> \u2014 um quadro especial para assinar informa\u00e7\u00f5es de roteamento. \u00c9 uma boa ideia for\u00e7ar os LIRs e seus clientes a manter uma base de dados atualizada do espa\u00e7o de endere\u00e7os. Mas h\u00e1 um problema com isso.<\/p>\n

O RPKI tamb\u00e9m \u00e9 um sistema hier\u00e1rquico de chaves p\u00fablicas. A IANA possui uma chave a partir da qual s\u00e3o geradas as chaves RIR, e a partir delas as chaves LIR? com as quais assinam seu espa\u00e7o de endere\u00e7amento atrav\u00e9s de ROAs \u2014 Autoriza\u00e7\u00f5es de Origem de Rota:<\/p>\n

\u2014 Eu garanto que este prefixo ser\u00e1 anunciado em nome desta aut\u00f4noma.<\/i><\/p>\n

Al\u00e9m do ROA, existem outros objetos, mas falaremos sobre eles outra hora. Aparentemente, parece ser uma ferramenta boa e \u00fatil. Mas n\u00e3o nos protege de vazamentos de forma alguma e n\u00e3o resolve todos os problemas com o roubo de prefixos. Por isso, os participantes n\u00e3o est\u00e3o com muita pressa para implement\u00e1-la. Embora j\u00e1 tenhamos garantias de grandes players como a AT&T e grandes IXs de que prefixos com registros ROA inv\u00e1lidos ser\u00e3o descartados. <\/p>\n

Talvez eles fa\u00e7am isso, mas ainda temos uma enorme quantidade de prefixos que n\u00e3o est\u00e3o assinados de forma alguma. Por um lado, n\u00e3o est\u00e1 claro se eles est\u00e3o sendo anunciados de forma v\u00e1lida. Por outro lado, n\u00e3o podemos descart\u00e1-los por padr\u00e3o, porque n\u00e3o temos certeza se isso \u00e9 certo ou n\u00e3o.<\/p>\n

O que mais h\u00e1?<\/h3>\n

\nBGPSec<\/b>. Isso \u00e9 uma coisa legal, concebida por acad\u00eamicos para a rede de cavalos-ponis cor-de-rosa. Eles disseram:<\/p>\n

\u2014 Temos RPKI + ROA \u2014 um mecanismo de verifica\u00e7\u00e3o da assinatura do espa\u00e7o de endere\u00e7amento. Vamos criar um atributo BGP separado e cham\u00e1-lo de Caminho BGPSec. Cada roteador assinar\u00e1 com sua pr\u00f3pria assinatura os an\u00fancios que ele passa para os vizinhos. Assim, teremos um caminho confi\u00e1vel de an\u00fancios assinados que poderemos verificar.<\/i><\/p>\n

Teoricamente \u00e9 bom, mas na pr\u00e1tica h\u00e1 muitos problemas. O BGPSec quebra muitas mec\u00e2nicas existentes do BGP sobre a escolha do next-hop e o gerenciamento do tr\u00e1fego de entrada\/sa\u00edda diretamente no roteador. O BGPSec n\u00e3o funciona at\u00e9 que 95% dos participantes do mercado implementem, o que por si s\u00f3 \u00e9 uma utopia.<\/p>\n

O BGPSec tem enormes problemas de desempenho. No hardware atual, a velocidade de verifica\u00e7\u00e3o de an\u00fancios \u00e9 de aproximadamente 50 prefixos por segundo. Para compara\u00e7\u00e3o: a tabela atual da internet tem 700.000 prefixos, que seria carregada em 5 horas, durante as quais mais 10 vezes mudaria.<\/p>\n

BGP Open Policy (BGP baseado em pap\u00e9is)<\/b>. Uma proposta recente com base no modelo Gao-Rekford<\/b>. Esses s\u00e3o dois cientistas que estudam o BGP.<\/p>\n

O modelo Gao-Rekford se resume ao seguinte. Simplificando, no caso do BGP, existem um n\u00famero limitado de tipos de intera\u00e7\u00e3o:<\/p>\n