Dos horas y catorce minutos: todos veían el secuestro, una sola empresa podía terminarlo

Resumen

• El domingo 24 de febrero de 2008, a las 18:47 UTC, AS17557 Pakistan Telecom empezó a anunciar 208.65.153.0/24. AS3491 PCCW Global propagó el anuncio, los routers del mundo lo recibieron y el tráfico destinado a YouTube fue redirigido a Pakistán.
• El episodio terminó a las 21:01 UTC, cuando AS3491 retiró todos los prefijos originados por AS17557: dos horas y catorce minutos después de empezar, a través de la misma relación comercial que había llevado la ruta no autorizada al resto del mundo.

La cronología cabe en una mano. Según el estudio de caso del propio RIPE NCC, AS17557 Pakistan Telecom comienza a anunciar 208.65.153.0/24 a las 18:47 UTC. AS3491 PCCW Global propaga el anuncio, los routers de todo el mundo lo aceptan y las peticiones dirigidas a YouTube acaban en Pakistán.

Ochenta minutos más tarde responde la víctima. A las 20:07 UTC, AS36561, el sistema autónomo de YouTube, anuncia el mismo prefijo, 208.65.153.0/24. A las 20:18 UTC anuncia las dos mitades más específicas, 208.65.153.128/25 y 208.65.153.0/25.

Ese movimiento merece más respeto del que suele recibir y menos mérito del que suele atribuírsele. Por la regla del prefijo más largo, un /25 gana a un /24 allí donde el receptor lo acepta, y ahí está justamente el límite del truco: funcionaba porque el /24 no autorizado seguía en la tabla, menos específico que el remedio. Era autoayuda dentro de una regla que el atacante podía usar igual. No eliminó el origen no autorizado ni obligó a ninguna otra red a preferir la versión de YouTube. La víctima podía competir con el secuestro. No podía terminarlo.

Lo que lo terminó fue un retiro. A las 21:01 UTC, AS3491 PCCW Global retira todos los prefijos originados por AS17557 Pakistan Telecom y el secuestro se detiene. Dos horas y catorce minutos desde el primer anuncio.

La parte que había propagado la mala ruta fue la que la retiró. Ese es el hecho que este caso no deja de enseñar y que las versiones habituales no dejan de esquivar. Propagación y terminatoria corrieron por una sola relación comercial: un cliente anuncia, un proveedor de tránsito lo exporta, y ese mismo proveedor deja de exportarlo. Ningún registro fue consultado para decidir si el anuncio viajaría. Ningún regulador dio una instrucción durante esas dos horas. Una presentación del NANOG 42 de febrero de 2008 confirma la misma secuencia —el tránsito propagó la ruta por el mundo y el incidente terminó cuando se retiró esa ruta tras presión y coordinación entre operadores— y conviene decirlo con claridad: es corroboración de roles, no una cita de horarios.

Aquella noche produjo dos formas de poder, y las tenían manos distintas. La monitorización de rutas hizo legible la falla mientras ocurría; el RIPE NCC registra que su Routing Information Service y herramientas como BGPlay sirvieron para detectar y analizar el episodio, y califica el anuncio original de no autorizado. La legibilidad vale mucho. Es lo que convierte un incidente en hecho documentado en lugar de rumor, lo que permite a una víctima probar el daño, lo que hace que la conducta de un operador responda ante un registro. Pero un monitor es un sensor. Los sensores no rechazan rutas.

El actuador fue una decisión operativa de un proveedor de tránsito. Es una frase incómoda para quien preferiría que la seguridad del enrutamiento la administrara una autoridad con un interruptor. No es así. Los registros de direcciones describen quién tiene un bloque; no controlan qué rutas aceptan otras redes. Esa brecha no es un escándalo, es la arquitectura: el enrutamiento es interconexión voluntaria entre redes operadas de forma independiente, y ninguna puede ordenar a otra que deje de portar un prefijo.

En febrero de 2008 la palanca existente estaba del lado del tránsito, dentro de una relación comercial, y la accionó la empresa que era dueña de esa palanca.

La responsabilidad aquí está repartida y así debe describirse. El origen anunció un bloque sin autorización. El tránsito admitió ese anuncio y lo exportó al mundo. Las redes receptoras lo aceptaron. Cada uno de esos tres pasos era un lugar donde el episodio podía haber sido menor. Nombrar solo el primero, como hacen casi todos los relatos, convierte una falla sistémica en una vergüenza nacional y deja la maquinaria exactamente como estaba.

De ahí la pregunta que importa. Una reparación que depende de la discreción de un intermediario, ejercida dos horas después de iniciada la caída, no es un control: es suerte con una narrativa plausible. La reparación duradera es previa y distribuida: autorización autenticada del origen, filtrado de prefijos de clientes en el borde del proveedor, validación de origen en el lado del operador, alertas conectadas a una escalada acordada y un retiro de emergencia que alguien haya ensayado antes de necesitarlo.

Son controles candidatos, no una descripción de lo desplegado en 2008. Lo importante es la dirección: adelantar la decisión, repartirla entre más manos y hacerla auditable, para que el juicio de una sola empresa no sea lo único que separa un error de configuración de una caída global.

Un límite sobre el material revisado aquí. Los documentos leídos para este informe no contienen ningún caso documentado de un registro, un regulador o un sistema de validación automatizado que detuviera el anuncio, y tampoco contienen exportaciones crudas de colectores, correspondencia entre las partes ni contratos de tránsito. La acción decisiva que nombran es el retiro del proveedor de tránsito. Donde una pregunta depende de documentos que esta revisión no cubrió, la respuesta honesta es que sigue abierta, no que los actores estuvieran inactivos.