Resumo

  • A proposta 2026-02 está em discussão e não é política vigente. O gatilho combina uma notificação autenticada com 14 dias acumulados em uma lista de infraestrutura aprovada, dentro de uma janela móvel de 30 dias.
  • O artigo 3.4 permite retirar os prefixos da lista ou comprovar isolamento administrativo como correção inicial. Para suspender as restrições, o artigo 3.6 prevê retirar os prefixos da lista ou excluir o “ROA apropriado” quando o RPKI estiver envolvido.
  • Um ROA indica que o titular do recurso autorizou um sistema autônomo a anunciar certos prefixos. Esse registro, por si só, não prova que uma operação de phishing, malware, DDoS ou spam tenha cessado.

Três momentos, três perguntas de evidência

A comunidade RIPE abriu a discussão de uma proposta sobre abuso de rede em escala de infraestrutura. A versão 1.0 foi publicada em 13 de outubro de 2026; o calendário oficial aponta o encerramento da discussão em 11 de novembro. Até a data de corte, não há registro público de adoção, implementação ou de um caso tratado sob esse procedimento. O texto descreve obrigações propostas, não uma medida já aplicada pela RIPE NCC.

O escopo foi desenhado para atividades sustentadas: estruturas de comando e controle de DDoS, redes sistêmicas de hospedagem ou distribuição de malware, conjuntos de hospedagem de sites de phishing e infraestrutura de botnets de spam automatizado. O texto distingue esses casos da infecção isolada de um dispositivo de consumo e exclui conjuntos residenciais ou dinâmicos de assinantes quando assim forem designados pelo titular ou por um registro global de roteamento.

Antes de qualquer restrição, a proposta exige uma trilha documental. Uma notificação autenticada seria um chamado de suporte à RIPE NCC, apresentado por uma operadora afetada ou por um CERT nacional, com telemetria automatizada verificável de uma lista aprovada e marcas de tempo ou assinaturas criptográficas. O artigo 3.1 define a duração: 14 dias acumulados em qualquer período móvel de 30 dias na lista aprovada. O Security Working Group manteria um registro das listas; elas dependeriam de telemetria automatizada e objetiva, excluiriam redes residenciais e dinâmicas e conservariam um histórico público verificável.

O processo passa então por três pontos de evidência que não são intercambiáveis:

Etapa Registro ou ação previsto O que pode mostrar O que não mostra sozinho
Abertura 14 dias em 30 em lista aprovada e notificação autenticada Que um endereço apareceu em determinada lista durante a janela exigida Se o endereço corresponde ao titular correto ou qual ação encerrou a atividade
Correção inicial Retirar os prefixos identificados das listas ou comprovar isolamento administrativo Mudança no estado da lista ou ação de isolamento associada ao prazo de correção Quem verificou o isolamento, por qual método ou por que a entrada saiu da lista
Restabelecimento Retirar os prefixos da lista ou, se houver RPKI, excluir o “ROA apropriado” Mudança na lista ou em um registro de autorização de origem Se a operação denunciada cessou e por que aquele ROA é o remédio pertinente

A questão não é se listas são inúteis ou se uma denúncia persistente jamais poderia justificar uma resposta administrativa. É se cada etapa mede a mesma coisa. O artigo 3.1 começa pela história da lista; o 3.4 aceita uma mudança nela ou um isolamento verificado; o 3.6 volta à lista e acrescenta um registro de autorização de rotas. O texto não diz se essa última alternativa comprova isolamento, resolve uma denúncia sobre origem de rota ou funciona como um caminho administrativo independente.

O ROA responde a uma pergunta mais estreita

A RFC 9582 define a função de uma Route Origin Authorization: permitir que uma parte confiável verifique se o titular de um bloco de endereços autorizou um sistema autônomo a originar rotas para os prefixos enumerados. Esse vínculo é relevante para a segurança do roteamento. Ele não descreve o serviço hospedado naquele endereço, o tráfego produzido, se um host foi comprometido ou se a operadora isolou o sistema após uma denúncia.

O RPKI pode ser diretamente pertinente quando a denúncia trata de uma origem de rota não autorizada, ou quando a autorização de origem participa do mecanismo alegado. Nesse caso, associar o prefixo, o sistema autônomo, o ROA e o chamado permitiria explicar por que excluir ou substituir a autorização corrigiria o problema. Mas as quatro classes da proposta não são todas incidentes de origem de rota. Um conjunto de hospedagem de phishing pode operar atrás de uma rota autorizada; a existência do ROA não mostra que ele tenha viabilizado a atividade.

Faltam duas ligações concretas. O que caracteriza um caso “em que o RPKI está envolvido”? E qual ROA é “apropriado” quando o titular tem vários prefixos, origens ou autorizações? As respostas definem o que a operadora terá de mudar e que fundamento a RIPE NCC aceitará para remover o estado público de não conformidade.

Excluir um ROA muda o registro de autorização. Dependendo dos outros dados e das políticas locais de roteamento, a mudança pode afetar a avaliação de anúncios por algumas redes. As fontes não sustentam um resultado uniforme. Mais importante: nenhum desses possíveis efeitos prova que o serviço apontado pela lista parou. O sistema pode continuar ativo, uma rota pode aparecer por outro caminho, ou o titular pode excluir o ROA por uma razão sem relação com a denúncia. A existência de um objeto RPKI não deve ser tomada como explicação suficiente para o caso.

O contato de abuso tem outra função

A RIPE-705 organiza a camada de contato: estabelece o atributo abuse-c nos registros aplicáveis, prevê uma caixa de e-mail para receber denúncias e exige validação anual e acompanhamento segundo as políticas e procedimentos pertinentes. A própria RIPE NCC descreve esse registro como um meio de encaminhar relatos ao titular de recursos adequado.

Encaminhar um relato não decide se os fatos estão corretos, se a operadora isolou um prefixo ou qual restrição registral viria depois. A proposta 2026-02 criaria uma cadeia administrativa diferente: aviso eletrônico a contatos jurídico, administrativo e de faturamento; sete dias úteis para corrigir a situação a partir da entrega confirmada; e, se a condição não for atendida, restrições intermediárias e um estado público de “abuso não conforme” na base RIPE.

O texto diz que pretende preservar as alocações e evitar a desconexão imediata. Também reconhece que restrições detalhadas dependem de acordo da comunidade e de outro documento RIPE. Ainda assim, terceiros podem reutilizar um estado público em ferramentas ou decisões comerciais, mesmo que a alocação permaneça intacta. É preciso saber qual evidência sustenta o estado, como corrigi-lo e quando a remoção ficará registrada.

O proponente chama a falta persistente de correção de descumprimento contratual. Essa é a justificativa apresentada, não uma conclusão jurídica já estabelecida. O processo de políticas da RIPE continua aberto e orientado por consenso. A pergunta operacional é mais simples: quais provas acompanham cada mudança de estado?

Um recibo de evidências para cada notificação

O processo pode manter suas etapas e exigir um recibo probatório por caso sem divulgar telemetria sensível. Esse recibo deve conectar o identificador da notificação ao prefixo exato, à versão e ao histórico da lista, às datas de observação, à atribuição ao titular, à ação de isolamento e a quem a verificou. Se a rota fizer parte da alegação, deve apontar também o ROA pertinente. As datas de entrega, prazo, restrição, correção e restabelecimento devem completar a sequência.

Isso mantém separadas quatro perguntas: que comportamento foi observado; que autorização de origem existia; que medida de contenção foi adotada; e que estado administrativo a RIPE NCC publicou. Se a denúncia envolver origem de rota, a mudança do ROA pode integrar a resposta, acompanhada de evidência de que o problema mudou. Se envolver um serviço hospedado, excluir uma autorização sem vínculo demonstrado com esse serviço não deveria contar como prova de isolamento.

Um endereço pode sair de uma lista porque a atividade terminou, porque a lista corrigiu um erro, porque seus critérios mudaram ou porque acabou a janela de observação. Cada causa tem um significado diferente para o titular. O arquivo público ajuda a reconstruir a linha do tempo, mas não explica necessariamente por que a entrada foi retirada.

A RIPE-781 descreve quatro fases abertas de desenvolvimento de políticas, consenso e apoio administrativo da RIPE NCC, inclusive análise de impacto e do trabalho necessário para implementar uma mudança. A discussão pode testar não só o prazo de 14 dias, mas também as provas que ligam o endereço ao titular, o comportamento ao objeto de autorização e a correção à retirada do estado público.

A proposta acaba de abrir esse debate. A fronteira mais clara é mirar infraestrutura sustentada e deixar de fora conjuntos residenciais e dinâmicos. A lacuna probatória é mais precisa: o processo começa com uma lista, admite isolamento na correção inicial e introduz outro objeto para o restabelecimento. Até que essa relação seja explicada, apagar um ROA mostra que uma autorização de roteamento mudou. Isso não basta para encerrar um caso de abuso.

Fontes