Fraqueza no sistema de roteamento da Internet pode causar interrupções nos principais serviços e permitir que hackers possam espionar comunicações.

Internet routingEngenheiros de TI estão estudando a maneira mais fácil de consertar uma fraqueza existente há muito tempo no sistema de roteamento da Internet que tem o potencial de poder causar interrupções nos principais serviços e permitir que hackers possam espionar dados.
O problema envolve os roteadores usados por organizações e empresas que tenham um bloco de endereços IP.
Esses roteadores se comunicam constantemente com outros roteadores (ocorrendo às vezes mais de 400.000 entradas), atualizando suas informações internas sobre a melhor maneira de chegar a outras redes que usam um protocolo chamado “Border Gateway Protocol” (BGP).
“BGP” permite que roteadores encontrem o melhor caminho quando, por exemplo, uma rede usada para recuperar uma página web a partir de Coreia do Sul não está funcionando corretamente.
Alterações deste tipo implicam no fato de que as informações de roteamento sejam distribuídas rapidamente aos roteadores ao redor do mundo em apenas cinco minutos.
Mas os roteadores não verificam se a rota dos “anúncios”, como são chamados, estão corretas.
Erros na entrada da informação, ou, pior ainda, um ataque malicioso, podem causar a indisponibilidade de uma rede.
Esta situação também pode causar, por exemplo, que o tráfego de uma empresa de Internet seja encaminhado através de outra rede tortuosa que não precisasse passar, abrindo a possibilidade do tráfego vir a ser interceptado.
Este ataque é conhecido como “rota de sequestro”, e não pode ser interrompido por qualquer produto de segurança.
Quando problemas de roteamento surgem é muito difícil dizer se este é decorrente da obtenção de resultados impróprios porque “dedos gordos” manipularam inadequadamente um roteador ou se ele é decorrente de uma ação má intencionada, segundo afirmou Joe Gersch, diretor de operações da “Secure64”, uma empresa que faz software para servidores de “Domain Name System” (DNS), afirmando ainda que isto poderia ser um ensaio para a guerra cibernética.
Gersch também afirmou sobre dados mostrarem que cerca de um terço do mundo não pode chegar a partes da Internet ao mesmo tempo devido a problemas de roteamento.
Em fevereiro, um erro fez com que o roteamento do tráfego internacional para a operadora australiana “Telstra” fluísse através da rede da sua concorrente, “Dodo”, uma vez que a mesma não podia lidar com o aumento do mesmo.
Em um incidente bem conhecido, a “Pakistan Telecom” cometeu um erro com “BGP” após o governo do Paquistão ordenar em 2008 que os “ISP’s” bloqueassem o “YouTube”, o que acabou fazendo com que os serviços do “Google” ficasse “off line”.
Em março de 2011, um pesquisador observou que o tráfego destinado ao “Facebook” na rede da “AT&T” estranhamente passou por um tempo pela China.
Normalmente os pedidos iam diretamente para o provedor de rede do “Facebook”, muito embora pela primeira o tráfego viesse primeiramente pela “China Telecom” e, em seguida, para a “SK Broadband” na Coréia do Sul antes do roteamento para o “Facebook”.
Embora o incidente tenha sido caracterizado como um erro, ele somente ocorreu para que o tráfego não criptografado do “Facebook” pudesse ser espionado.
Segundo Dan Massey, professor associado de ciência do computador na “Colorado State University”, o problema maior é que grande parte da infraestrutura crítica simplesmente confia que os jogadores irão se comportar corretamente, ressaltando que num sistema verdadeiramente global como a internet, se deve assumir que as organizações ocasionalmente cometem erros involuntários.
Ainda segundo Dan Massey, é necessário imaginar o que um determinado adversário pode ser capaz de fazer, inclusive ataques a infraestrutura crítica, tais como centrais elétricas, as quais se tornaram cada vez mais dependentes da Internet.
A solução é ter roteadores que verifiquem se os blocos de endereços IP anunciados pelos roteadores de outros, na verdade pertencem a suas redes.
Um dos métodos propostos, “Resource Public Key Infrastructure” (RPKI), usa um sistema de certificados criptografados que verificam se um bloco de endereços IP na verdade pertence a uma determinada rede.
“RPKI” é complexo, e sua implantação tem sido lenta.
Recentemente alguns especialistas apresentaram um método alternativo, apelidado de “Rover” para verificação da origem das rotas, o qual poderia ser mais fácil.
O método “Rover” tem sido amplamente adotado e armazenaria as informações legítimas de rota dentro do “DNS”, sendo que as mesmas podem ser assinadas com “DNSSEC”, o protocolo de segurança que permite que os registros de “DNS” possam ser assinados criptograficamente.
Outra grande vantagem do método com Rover é que nenhuma mudança precisa ser feita nos roteadores existentes, além de poder trabalhar ao lado do “RPKI”.
Joe Gersch, que foi o autor de duas especificações de como nomear uma rota e sobre o tipo de registro que pode ser inserido no “DNS”, afirmou que toda a infraestrutura necessária para assegurar a resposta se uma rota é legítima ou não já existe.
Por fim, o especialista informou que as especificações estão atualmente num estado denominado “internet daft”, situação anterior à criação de uma “Internet Engineering Task Force”, sendo necessário que as mesmas sejam devidamente documentadas por um grupo de trabalho para que possam tornar-se padrão.

Fonte: Jeremy Kirk do IDG News Service

Deixe uma resposta