Summary

  • Petros Gigis explicou na RIPE 92 que contadores e anúncios BGP não conseguem, sozinhos, confirmar que pacotes vistos numa nova entrada vieram do endereço de origem declarado.
  • openPenny remove deliberadamente alguns pacotes TCP de uma amostra e observa se há retransmissão. No relato técnico de Gigis, testes com 12 perdas distribuídas entre vários fluxos tiveram taxas de falso positivo tão baixas quanto uma em um milhão nas condições ensaiadas.

O painel marca uma mudança de entrada. Pode ser uma alteração séria no caminho dos dados; pode ser um pacote mentiroso com o endereço de outra rede no campo de origem. Petros Gigis quer impedir que a segunda hipótese mobilize operadores como se fosse a primeira.

Um ISP de trânsito vê fluxos passando, mas não recebe a visão completa de quem termina a conexão. NetFlow e sFlow informam volume e ponto de entrada; BGP mostra anúncios. Quando Jen Linkova perguntou na RIPE 92 por que não bastava verificar o handshake TCP, Gigis respondeu com essa diferença de posição: a rede no meio do caminho não dispõe do estado de conexão que um serviço de destino possui.

O desenho do openPenny tem uma observação passiva e um ensaio ativo. A primeira examina cópias do tráfego sem mexer nos pacotes em trânsito. A segunda desvia uma fatia escolhida para uma máquina de análise local, elimina poucos pacotes TCP e espera pela retransmissão. Uma conversa verdadeira reage à falta de dados; um fluxo unidirecional com origem falsificada não responde da mesma forma. A página oficial da apresentação descreve o uso de hardware x86 e processamento de pacotes para a proposta.

Os 12 descartes divulgados por Gigis foram distribuídos entre fluxos, não impostos a cada conexão. O falso positivo chegou a uma ocorrência por milhão nos testes citados. Perdas externas, balanceamento, variações de TCP e tentativas de imitar retransmissões mudam o desafio em produção. A resposta positiva identifica tráfego não falsificado dentro do conjunto observado; a rota inteira e a causa do desvio ainda precisam ser apuradas.

A diferença é concreta para o plantão. Um alarme baseado em tráfego forjado pode consumir horas de investigação de um problema inexistente. Um desvio de dados real pode escapar dos observadores BGP. Gigis instala uma pergunta antes do telefonema ao vizinho ou da mudança de política: o tráfego que disparou a suspeita consegue provar que há uma conexão de verdade?

Fontes: transcrição original da RIPE 92 · página oficial da fala · perfil RACI · texto técnico de Gigis.