Leslie Nobile contou 110 casos. O carimbo e a conta ficaram para a ARIN.

Resumo

• Leslie Nobile, diretora de Serviços de Registro da ARIN, apresentou em 23 de outubro de 2003 um relatório sobre alterações não autorizadas no Whois. A falsificação podia fazer um terceiro parecer autorizado a agir sobre registros de endereços IP e números de sistema autônomo, principalmente em blocos antigos.
• A ARIN abriu 110 casos comunicados ou descobertos entre abril e outubro: 84 encerrados, 15 em investigação e 11 sem indícios de sequestro. A apresentação descreveu um método típico que poderia terminar no anúncio de uma rede; não informou quantas rotas chegaram a ser anunciadas dessa forma.
• Nobile explicou investigações e travas de registro que a ARIN já relatava usar. A reunião debateu propostas adicionais de verificação, histórico de mudanças e separação de recursos legados, junto com os custos e os direitos dos titulares anteriores à ARIN.

Quem banca a desconfiança?

O registro da reunião ARIN XII guarda uma discussão que começa com segurança e termina em orçamento. Uma proposta era exigir mais documentos para alterar dados de registro: número fiscal, papéis empresariais com selo oficial. Um participante lembrou que havia alocações feitas a pessoas físicas. Elas não tinham carimbo de sociedade e poderiam rejeitar a entrega de um número pessoal à ARIN. Um controle desenhado para uma empresa deixaria um titular legítimo na porta.

Leslie Nobile havia levado o problema até ali. Como diretora de Serviços de Registro da ARIN, apresentou em Chicago, em 23 de outubro de 2003, um relatório original sobre sequestros de recursos. Segundo a definição da própria ARIN, pessoas visavam sobretudo blocos antigos de IP e faziam mudanças não autorizadas nos registros do Whois. A base passava a exibir informação falsa, dando ao estranho uma aparência de autoridade sobre o recurso. Endereços IP e números de sistema autônomo apareciam no escopo.

O Whois é consultado para descobrir quem responde por um bloco, qual organização consta do registro e como contatá-la. Uma ficha adulterada pode orientar uma mensagem, uma verificação ou a decisão de aceitar outro pedido de alteração. O atacante precisava que a informação falsa fosse vista como resposta do próprio cadastro. É esse empréstimo de credibilidade que tornava o episódio mais grave do que um endereço de e-mail digitado errado.

Nobile abriu sua tabela com 110 casos reportados à ARIN ou detectados internamente entre abril e outubro de 2003. Na data da apresentação, 84 estavam encerrados, 15 pendentes e 11 não apresentavam evidência de sequestro. São três estados de uma fila de investigação. Os 11 sem prova permanecem na soma e impedem que o total seja vendido como 110 ataques confirmados. A mesma apresentação não dá o número de anúncios de rota efetivamente feitos por falsos titulares.

A ficha velha como peça de teatro

Uma das lâminas da ARIN desenha o percurso típico. Primeiro, um bloco legado sem rota ativa e com contatos desatualizados ou ausentes. Depois, pesquisa sobre o domínio associado. O intruso registra um domínio expirado ou parecido, modifica aos poucos os contatos, a organização e os dados da rede e, possivelmente, passa a anunciar o bloco. O desenho é uma sequência de risco; a tabela de 110 casos não detalha o trajeto de cada processo.

Por que um endereço antigo oferecia essa abertura? Algumas atribuições tinham sido feitas antes de a ARIN existir. O titular podia continuar legítimo, mas a pessoa citada como contato havia saído, a empresa mudara de nome ou o domínio deixara de ser renovado. O registro precisava permitir uma correção real e bloquear a imitação. O agressor explorava a dificuldade de provar, depois de muitos anos, quem tinha direito à atualização.

Uma página separada do relatório classifica 45 registros legados de classe C, 48 de classe B e um de classe A, além de quatro alocações diretas e uma reatribuição. Essa é a divisão das fichas ali examinadas, enquanto a tabela de 84, 15 e 11 descreve estados dos processos. Os números ajudam a localizar a preocupação prática de Nobile nos cadastros antigos. Ser antigo era uma característica do recurso, jamais uma prova de que seu titular havia desaparecido.

A ARIN listou efeitos que já sentia: operadores induzidos a erro, confiança menor no Whois, responsabilidade jurídica, carga de trabalho, respostas mais lentas e gastos com equipe e advogados. Mesmo antes de uma rota falsa circular, uma mudança duvidosa obriga analistas a voltar à pergunta que a base deveria ajudar a responder: quem é a pessoa do outro lado do pedido?

A trava existia; várias propostas ainda eram propostas

As medidas que a ARIN dizia adotar em 2003 estavam agrupadas no relatório. A equipe buscava padrões de alterações indevidas, pesquisava todo caso reportado ou encontrado, documentava e acompanhava investigações, ajustava procedimentos e cooperava com autoridades e outros registros regionais. Havia desenvolvido um novo atributo de status para travar registros no banco. Nobile também explicou que a ARIN encaminhava apenas parte dos incidentes à polícia e mantinha reservados os detalhes das investigações individuais.

Em outras páginas, o verbo mudou. A ARIN discutia a possibilidade de reforçar a identificação dos solicitantes, alterar contratos, mostrar o histórico de mudanças do Whois, melhorar softwares de validação, fazer verificações periódicas e endurecer autenticação e autorização. Um cadastro separado de recursos legados foi apresentado como outra opção. Nele, os titulares poderiam ter condições específicas para atualizar servidores de nomes e contatos, inclusive validação remunerada. Essas páginas desenhavam alternativas; a existência de uma alternativa no slide não registra sua implantação.

O histórico de mudanças teria uma utilidade imediata: permitir que outros vissem a sequência em que um domínio, um contato e uma organização haviam mudado. Uma trava podia interromper um pedido suspeito enquanto a equipe investigava. Documentos mais rigorosos podiam dificultar a vida do impostor e também a de um titular individual sem papel timbrado. É por isso que a pergunta do carimbo não era um detalhe de secretaria. Ela testava se a solução reconheceria os próprios titulares que pretendia proteger.

Contratos antigos, conta nova

A ata da reunião traz posições diferentes. Alguns viam num registro legado separado uma maneira de deixar de cobrar dos membros pagantes toda a manutenção de recursos antigos. Um participante queria que a ARIN procurasse esses titulares, explicasse os riscos e conversasse antes de transferir suas fichas. Outro defendia um histórico público das alterações para que os provedores avaliassem melhor o que o Whois mostrava. Um detentor de bloco antigo contestou a ideia de novas taxas sem uma relação contratual que as autorizasse.

Cada proposta colocava a despesa em mãos diferentes. A equipe da ARIN poderia fazer mais verificações caso a caso, com o tempo e os custos jurídicos descritos por Nobile. O titular antigo poderia ser chamado a fornecer documentos e pagar por atualizações. Os membros atuais poderiam continuar financiando a manutenção da base comum. Os operadores que consultavam o Whois poderiam receber mais histórico e assumir parte da avaliação. Uma base segura tem preço; a reunião discutia quem teria poder para cobrar e quem teria meios para comprovar sua identidade.

Nobile conhecia a ponta operacional desse dilema. O relatório anual de 2004 da ARIN atribui ao seu departamento a distribuição de recursos numéricos, a manutenção de diretórios de registro e roteamento, as delegações reversas de DNS e o atendimento aos solicitantes. O relatório de 2003 registra sua apresentação sobre sequestros. A política debatida em Chicago chegaria à mesa de uma equipe que precisava responder a pessoas concretas.

No fim, a orientação aos operadores era direta: manter atualizadas as próprias fichas e as dos clientes; usar autenticação mais forte quando disponível. A frase ganha outra força depois de ver o roteiro de contatos esquecidos e domínio vencido. Atualizar uma pessoa de contato pode parecer uma tarefa pequena até que um terceiro tente ocupar o lugar dela no cadastro.

O relatório de Nobile expôs uma fila de casos e um tipo de poder emprestado. O impostor buscava a aparência de falar pela ARIN porque falava através da ficha publicada por ela. A resposta exigia investigações, travas e uma regra para tratar titulares antigos com justiça operacional. No caminho, a reunião descobriu que o preço da confiança no Whois também tinha de entrar na contabilidade.