Resumo

  • O RFC 9511 cria uma superfície mínima de atribuição, sobretudo /.well-known/probing.txt, para que uma organização publique o objetivo, a validade e o contato de suas sondas de medição.
  • A etiqueta só oferece uma pista verificável. Ela não autentica o remetente, não demonstra intenção benigna e não retira da rede destinatária a autoridade para investigar, limitar ou bloquear.

O trabalho começa do lado que não pediu a medição

Uma medição ativa pode ser tecnicamente simples. O pesquisador envia ICMP, abre uma conexão TCP, executa traceroute ou testa o comportamento de uma opção IPv6. Na rede de destino, porém, o pacote aparece sem o enunciado da pesquisa. Pode acionar uma regra de detecção e parecer reconhecimento hostil.

O destinatário assume o custo inicial: recuperar captura e logs, medir frequência, consultar DNS reverso, localizar o titular do endereço e procurar um canal de abuso. Mesmo tráfego de baixa intensidade exige julgamento quando a outra parte não consentiu em participar.

O RFC 9511, publicado em novembro de 2023, parte dessa assimetria. Eric Vyncke, Benoît Donnet e Justin Iurman são os autores. O texto é Informativo e resulta da revisão da IETF; não é uma norma obrigatória, nem concede legitimidade universal a varreduras.

Seu objetivo é mais restrito: permitir que uma equipe, analisando um pacote posteriormente, encontre o que o emissor afirma estar fazendo e quem aceita ser contatado. O documento não cria uma autoridade central de medição, não adiciona confiança automática ao plano de controle e não instrui firewalls a liberar tráfego marcado.

Um endereço comum para uma afirmação limitada

O “Probe Description URI” pode apontar para um arquivo, um endereço de e-mail ou um telefone. O arquivo usa o caminho /.well-known/probing.txt e reaproveita a disciplina do security.txt do RFC 9116. Pode informar localização canônica, contato, data de expiração, idiomas preferenciais e uma descrição de uma linha.

A expiração impede que uma campanha encerrada continue falando em nome de uma organização. Um contato de equipe distribui atendimento e evita expor dados pessoais. Os idiomas preferenciais reduzem atrito em incidentes internacionais. O endereço canônico ajuda o analista a distinguir a versão apresentada como oficial de uma cópia intermediária.

O registro de Well-Known URIs da IANA lista probing.txt como sufixo permanente sob controle de mudança da IETF. A IANA torna o local previsível; não confirma o conteúdo publicado ali. O acordo global especifica onde uma organização fala. A rede receptora decide se a fala merece crédito.

Atribuição fora do pacote

No modo fora de banda, o analista usa o endereço de origem e, se disponível, o DNS reverso para derivar o local do arquivo. A consulta pode ser feita depois do evento, com base em uma captura. Como o pacote não muda, a identificação interfere menos na própria medição.

O endereço, contudo, não é uma identidade completa. Pode haver NAT, endereços dinâmicos ou nós operados por terceiros. A RIPE Atlas documenta uma rede mundial de probes e anchors hospedados de forma distribuída. Quem hospeda o equipamento, quem administra o endereço e quem solicita uma medição personalizada podem ser atores diferentes.

Por isso, origem observada, DNS, faixas publicadas, arquivo vigente e resposta do contato devem ser tratados como evidências que se reforçam. Nenhuma delas, sozinha, transforma o endereço em prova da organização responsável.

A explicação embarcada pode distorcer a amostra

No modo em banda, o URI viaja no próprio pacote. Pode começar o payload de ICMP, UDP ou TCP, ou ocupar uma opção Hop-by-Hop ou Destination Options do IPv6. Isso aproxima a declaração da sonda específica e ajuda quando não existe DNS reverso.

O custo aparece no comportamento do tráfego. Bytes adicionais podem ultrapassar o MTU do caminho. Um SYN TCP com dados pode receber tratamento diferente de um SYN comum. Uma opção IPv6 incomum pode ser descartada por sistemas intermediários. A identificação criada para explicar a medição pode mudar o resultado observado.

O RFC também evita recomendar uma sequência mágica opaca. Se middleboxes aprenderem a reconhecê-la, podem favorecer, atrasar ou bloquear apenas os pacotes marcados. A medição passaria a observar a reação ao rótulo, não somente as condições normais do caminho.

Não existe escolha universal. O modo fora de banda preserva melhor o pacote, mas depende do vínculo entre endereço e descrição. O modo em banda acompanha cada pacote, mas sofre maior risco de filtragem e viés. Combinar os dois melhora a confirmação cruzada; não produz assinatura criptográfica.

Atribuição não é autenticação

A fronteira mais importante do RFC é explícita: as informações não podem ser aceitas cegamente. Um agente malicioso pode copiar o URI de uma instituição conhecida, publicar uma descrição falsa ou usar o contato de um terceiro. A própria atribuição pode virar instrumento para direcionar reclamações contra alguém que não participou.

Se o destinatário não consegue confirmar os dados, ou não pretende gastar recursos nisso, deve tratar o fluxo como se nenhuma atribuição existisse. O arquivo não cria presunção de boa-fé, não substitui filtros ou limites de taxa e não converte atividade não solicitada em consentimento.

Autenticação exigiria um vínculo mais forte entre pacote, infraestrutura de origem, responsável pela campanha e uma identidade aceita pelo receptor. Autorização exigiria outra decisão: essa identidade pode medir este alvo, neste momento e nesta frequência? O RFC 9511 não promete nenhuma das duas. Ele oferece uma alegação que pode ser verificada.

Essa alegação ainda reduz trabalho. Uma validade atual, faixas coerentes e um contato monitorado transformam uma busca aberta em uma lista curta de verificações. O resultado pode ser encerrar um falso positivo com rapidez ou aplicar bloqueio mais preciso. O ganho é organizacional: aproximar o evento observado de alguém que assuma responsabilidade.

O exemplo público do NCSC

O documento cita uma prática semelhante do National Cyber Security Centre britânico. A página de informações de varredura do NCSC publica endereços de origem, informa DNS direto e reverso correspondente, descreve um cabeçalho HTTP identificador, apresenta precauções e oferece um canal de exclusão.

Cada elemento pode falhar isoladamente. Cabeçalhos são copiáveis; páginas ficam desatualizadas; endereços podem aparecer em outro contexto. A força operacional vem da concordância entre sinais e da existência de uma instituição que responde.

Publicar também redistribui custos. O remetente passa a manter faixas e prazos, responder reclamações, processar pedidos de exclusão e investigar uso indevido de seu nome. Transparência não termina quando o arquivo sobe ao servidor; ela exige disponibilidade contínua.

O papel de Eric Vyncke em um registro compartilhado

O perfil de Eric Vyncke no Datatracker da IETF o apresenta como diretor da Área de Internet e relaciona sua atuação a padrões, IPv6, telemetria e segurança. A página registra sete RFCs, incluindo o 9511. A lista de membros da IESG também o inclui entre os diretores atuais da área.

Isso estabelece contexto e participação, não propriedade exclusiva. O RFC 9511 tem três autores, usa mecanismos anteriores e passou por revisão coletiva. A IANA mantém o registro; operadores de medição publicam descrições; administradores de DNS mantêm associações; redes receptoras tomam decisões.

No RFC 7404, escrito com Michael Behringer, Vyncke examinou vantagens e limitações de usar somente endereços link-local em enlaces de infraestrutura IPv6 e evitou uma recomendação universal. A mesma disciplina reaparece aqui: definir uma opção implantável, expor onde ela ajuda e onde falha, e preservar a escolha contextual do operador.

Uma melhoria de legibilidade, não de poder

A atribuição pode oferecer propósito, contato, expiração e um local de atualização. Não prova intenção, não impede falsificação, não garante que a etiqueta sobreviva e não obriga o destinatário a permitir o tráfego.

Essa limitação combina com a arquitetura distribuída da Internet. Uma instituição global não precisa julgar toda sonda. Um formato pequeno, fácil de publicar e inspecionar pode melhorar decisões locais sem centralizá-las.

Limites das evidências

As fontes confirmam conteúdo, autoria e situação do RFC, o registro da IANA, as funções institucionais declaradas, a prática publicada do NCSC e o modelo da RIPE Atlas. Não medem adoção de probing.txt, uso por equipes de abuso ou redução de incidentes.

Também não demonstram que Eric Vyncke controla uma plataforma específica, decisões de empregadores ou respostas de redes destinatárias. O perfil pessoal deve preservar a coautoria e os limites de autoridade.

Fontes