Sequestro de BGP

Sequestro de prefixo exato (Exact-Match Hijacking)

Nesta modalidade, o invasor anuncia exatamente o mesmo comprimento de prefixo que o detentor legítimo alocou (por exemplo, ambos anunciam um bloco `/22`). Como os dois anúncios possuem a mesma máscara de rede, os roteadores da Internet avaliam o desempate com base nas políticas locais (`LOCAL_PREF`) e no comprimento do atributo AS-Path.

Nesse cenário, os sistemas autônomos situados topologicamente mais próximos do atacante ou que recebam o anúncio forjado através de um cliente comercial (conforme as diretrizes econômicas de Gao-Rexford) encaminham seus pacotes para o caminho fraudulento, enquanto aqueles mais próximos da vítima mantêm a rota legítima. O ataque resulta em uma partição da rede, capturando apenas uma fração do tráfego global.

Sequestro de sub-prefixo (More-Specific / Sub-prefix Hijacking)

Esta é a modalidade mais agressiva de sequestro. O atacante anuncia um prefixo mais longo e específico contido dentro do bloco do detentor legítimo (por exemplo, a vítima anuncia o bloco agregado `/22`, e o invasor anuncia separadamente uma das sub-redes `/24` contidas nele).

Na arquitetura da pilha TCP/IP, a regra universal de comutação e encaminhamento em roteadores é a do Mais Longo Casamento de Prefixo (Longest Prefix Match - LPM): ao receber um pacote destinado a um endereço IP, o roteador encaminha-o obrigatoriamente para a entrada de rota que possuir a máscara mais específica (mais bits fixos em 1).

Como consequência matemática da regra LPM, 100% do tráfego global destinado àquela faixa de endereços é forçosamente direcionado para o atacante, sobrepondo-se e anulando qualquer atributo de preferência local, métrica de engenharia ou comprimento de AS-Path.

A eficácia do sequestro por sub-prefixo na Internet pública encontra limite físico nas políticas de filtragem da zona desprovida de rota padrão (Default-Free Zone - DFZ), onde roteadores de trânsito descartam anúncios IPv4 mais específicos que `/24` e IPv6 mais específicos que `/48` (RFC 7454 / BCP 194). Dessa forma, blocos que já são originados como `/24` não podem sofrer sub-prefix hijacking na DFZ global.

Sequestro com forja de caminho (AS-Path Forgery / Type-1 Hijack)

Para contornar defesas que analisam a legitimidade do originador, invasores avançados realizam a falsificação do caminho de sistemas autônomos (AS-Path Forgery). O atacante anuncia o prefixo inserindo o ASN legítimo da vítima no final do atributo AS-Path, colocando o seu próprio ASN como o salto adjacente imediato.

Essa técnica apresenta elevada sofisticação: como o ASN de origem aparente continua sendo o da organização legítima, o anúncio é avaliado como criptograficamente válido por implementações básicas de RPKI ROV (que validam unicamente a origem, e não a sequência do caminho). Esse vetor de ataque impulsionou o desenvolvimento de novas normas internacionais, como o protocolo BGPsec (RFC 8205) e a tecnologia ASPA (Autonomous System Provider Authorization).

O incidente AS7007 (1997)

Em 25 de abril de 1997, um roteador pertencente ao Sistema Autônomo 7007 (operado pelo provedor MAI Network Services) descarregou acidentalmente a sua tabela de rotas inteira na Internet, desmembrando todos os blocos alocados em milhares de anúncios `/24` mais específicos repassados à operadora Sprint (AS1239). Por força do Longest Prefix Match, grande parte do tráfego da Internet nos Estados Unidos foi direcionada para um enlace saturado, provocando o primeiro apagão generalizado de conectividade da história da rede comercial e catalisando a criação de filtros de prefixos rígidos.

Paquistão Telecom e YouTube (2008)

Em 24 de fevereiro de 2008, o Ministério das Comunicações do Paquistão ordenou o bloqueio ao YouTube em território nacional. Para cumprir a determinação, a estatal Pakistan Telecom (AS17557) configurou internamente um anúncio BGP falso para o prefixo `/24` (`208.65.153.0/24`), contido dentro do bloco agregado `/22` legítimo do serviço (`208.65.152.0/22`), apontando-o para descarte nulo.

Por falha nos filtros de exportação, a Pakistan Telecom vazou o anúncio para sua operadora de trânsito internacional (PCCW Global de Hong Kong), que o propagou imediatamente para o restante do mundo. O YouTube permaneceu mundialmente inacessível durante cerca de duas horas, até que a equipe de engenharia do serviço de vídeos anunciasse prefixos ainda mais fragmentados em `/25` (`208.65.153.0/25` e `208.65.153.128/25`) para recuperar o controle do tráfego via LPM.

Indosat (2014)

Em abril de 2014, a operadora indonésia Indosat anunciou acidentalmente rotas para mais de 320.000 prefixos que não lhe pertenciam, incluindo blocos da Apple, Microsoft, Akamai e dezenas de grandes bancos globais. Durante várias horas, o tráfego intercontinental foi atraído para os enlaces da Indonésia, gerando colapso de conectividade em diversas regiões do planeta.

Sequestro de DNS da Amazon Route 53 e MyEtherWallet (2018)

Em 24 de abril de 2018, ocorreu um dos primeiros casos documentados de sequestro de BGP executado com motivação criminosa direta de enriquecimento ilícito. Criminosos utilizaram o ASN 10242 para anunciar prefixos `/24` pertencentes ao serviço de servidores de nomes Amazon Route 53 (`205.251.192.0/24` e `205.251.193.0/24`).

Com as consultas DNS redirecionadas para servidores controlados pelos atacantes, usuários que acessavam a carteira de criptomoedas MyEtherWallet recebiam respostas DNS forjadas que apontavam para um servidor falso na Rússia. O servidor falso interceptou chaves privadas e credenciais, resultando no roubo de aproximadamente 150.000 dólares em Ethereum.

Desvio de tráfego de serviços financeiros por Rostelecom (2020)

Em abril de 2020, a operadora estatal russa Rostelecom anunciou mais de 200 prefixos pertencentes a grandes corporações de tecnologia e infraestrutura financeira, incluindo Google, Amazon, Facebook, Cloudflare, Mastercard e Visa. O desvio durou cerca de duas horas e reascendeu debates nos órgãos reguladores internacionais sobre o uso de sequestros de BGP como vetor de inteligência e espionagem cibernética estatal.

Retirada maciça de rotas do Facebook / Meta (2021)

Em 4 de outubro de 2021, uma falha interna durante rotina de manutenção no backbone do Facebook desconectou seus centros de dados. Diferente de um sequestro perpetrado por terceiros, os sistemas automatizados de proteção da rede emitiram mensagens em massa de cancelamento de rotas (BGP Route Withdrawal), retirando os anúncios de DNS e borda da Internet global. O evento resultou no apagão mundial dos serviços Facebook, WhatsApp e Instagram por mais de seis horas, evidenciando o poder crítico do plano de controle do BGP sobre a estabilidade da economia conectada.

RPKI e Validação de Origem de Rota (ROV)

A Resource Public Key Infrastructure (RPKI, RFC 6480) é uma infraestrutura de chave pública hierárquica baseada em certificados X.509 que vincula criptograficamente um bloco de endereços IP ao seu proprietário legal e aos ASNs autorizados a anunciá-lo.

• Autorização de Origem de Rota (ROA): O detentor do bloco cria um objeto assinado digitalmente perante o seu registro regional (como o LACNIC ou Registro.br), denominado ROA (Route Origin Authorization). O ROA define taxativamente qual ASN tem permissão para originar o prefixo e qual é o comprimento máximo de máscara permitido (maxLength).
• Validação de Origem de Rota (ROV - RFC 6811): Servidores validadores locais (como Routinator e StayRTR) baixam periodicamente as bases de ROAs mundiais dos RIRs e alimentam os roteadores de borda através do protocolo RTR (RFC 6810 / RFC 8210). O roteador classifica cada anúncio recebido em três estados:
  • Valid (Válido): O anúncio coincide com um ROA cadastrado em ASN e não excede o maxLength.
  • Invalid (Inválido): O ASN originador diverge do ROA OU o prefixo é mais específico do que o permitido pelo maxLength (característica típica de sequestro). As diretrizes mundiais recomendam o descarte sumário (política Drop Invalid).
  • NotFound / Unknown (Não Encontrado): Não há ROA emitido para aquele prefixo, sendo a rota processada convencionalmente.

Internet Routing Registry (IRR)

Os bancos de dados do Internet Routing Registry (como RADB, RIPE e TC.br) armazenam declarações formais de políticas e topologia de roteamento expressas na linguagem padronizada RPSL (RFC 2622). Operadoras utilizam ferramentas automatizadas (como BgpQ4) para gerar filtros de prefixo rígidos que bloqueiam na borda qualquer anúncio de clientes que não tenha sido previamente documentado no registro.

Iniciativa MANRS

Aprovada pela Internet Society, a iniciativa MANRS (Mutually Agreed Norms for Routing Security) reúne centenas de operadoras de trânsito, provedores de acesso e pontos de troca de tráfego comprometidos com quatro ações mandatórias: 1. Filtragem estrita: Validação de prefixos para impedir anúncios forjados; 2. Anti-spoofing: Bloqueio de falsificação de endereços de origem utilizando filtros BCP 38 / RFC 2827; 3. Coordenação comunitária: Manutenção de contatos de emergência atualizados em plataformas públicas como o PeeringDB; 4. Validação global: Implementação generalizada de RPKI.

Inovações normativas recentes: ASPA e RFC 9234

• ASPA (Autonomous System Provider Authorization): Extensão em padronização no grupo SIDROPS da IETF que adiciona autenticação criptográfica ao próprio caminho de sistemas autônomos (AS-Path), visando impedir sequestros sofisticados onde o invasor forja o caminho (Type-1 hijack) para contornar o RPKI ROV básico.
• BGP Roles e OTC (RFC 9234): Padroniza a classificação explícita de papéis nas sessões BGP (Provedor, Cliente, Par Mútuo) e introduz o atributo Only to Customer (OTC), prevenindo de forma totalmente autônoma vazamentos acidentais de rotas entre redes concorrentes.