Duas horas e catorze minutos: todos viam o sequestro, uma empresa podia encerrá-lo

Resumo

• No domingo, 24 de fevereiro de 2008, às 18h47 UTC, a AS17557 Pakistan Telecom começou a anunciar 208.65.153.0/24; a AS3491 PCCW Global propagou o anúncio, roteadores no mundo inteiro o aceitaram e o tráfego destinado ao YouTube foi desviado para o Paquistão.
• O episódio terminou às 21h01 UTC, quando a AS3491 retirou todos os prefixos originados pela AS17557 — duas horas e catorze minutos depois do início, pela mesma relação comercial que levara a rota não autorizada ao mundo.

A cronologia cabe numa mão. Segundo o estudo de caso do próprio RIPE NCC, às 18h47 UTC a AS17557 Pakistan Telecom começa a anunciar 208.65.153.0/24. A AS3491 PCCW Global propaga o anúncio, roteadores pelo mundo o aceitam, e as requisições destinadas ao YouTube vão parar no Paquistão.

Oitenta minutos depois, a vítima responde. Às 20h07 UTC, a AS36561, sistema autônomo do YouTube, anuncia o mesmo prefixo, 208.65.153.0/24. Às 20h18 UTC, anuncia as duas metades mais específicas, 208.65.153.128/25 e 208.65.153.0/25.

Esse movimento merece mais respeito do que costuma receber e menos mérito do que costuma levar. Pela regra do prefixo mais longo, um /25 vence um /24 onde quer que a rede aceite — e é exatamente aí que o truque termina. Funcionava porque o /24 não autorizado continuava na tabela, menos específico que o remédio. Era autossocorro dentro de uma regra que o atacante também podia usar: não removeu a origem não autorizada nem obrigou qualquer outra rede a preferir a versão do YouTube. A vítima podia competir com o sequestro. Não podia encerrá-lo.

O que encerrou foi uma retirada. Às 21h01 UTC, a AS3491 PCCW Global retira todos os prefixos originados pela AS17557 Pakistan Telecom, e o sequestro para. Duas horas e catorze minutos desde o primeiro anúncio.

A parte que havia propagado a rota ruim foi a que a retirou. Esse é o fato que este caso não cansa de ensinar e que as recontagens não cansam de contornar. Propagação e encerramento passaram por uma única relação comercial: um cliente anuncia, um trânsito exporta, e esse mesmo trânsito deixa de exportar. Nenhum registro foi consultado para decidir se o anúncio viajaria. Nenhum regulador emitiu instrução durante aquelas duas horas. Uma apresentação do NANOG 42, de fevereiro de 2008, confirma a mesma sequência — o trânsito propagou a rota pelo mundo e o incidente terminou com a retirada, após pressão e coordenação entre operadores. Vale dizer com clareza: é corroboração de papéis, não citação de horários.

Aquela noite produziu duas formas de poder, em mãos diferentes. O monitoramento de rotas tornou a falha legível enquanto ela corria; o RIPE NCC registra que seu Routing Information Service e ferramentas como o BGPlay foram usados para detectar e analisar o episódio, e classifica o anúncio original como não autorizado. Legibilidade vale muito. É o que transforma um incidente em fato documentado em vez de boato, o que permite à vítima provar o dano, o que torna a conduta de um operador prestável de contas a um registro. Mas um monitor é sensor. Sensores não rejeitam rotas.

O atuador foi uma decisão operacional de um provedor de trânsito. É uma frase incômoda para quem preferiria que a segurança de rotas fosse administrada por uma autoridade com um interruptor. Não é. Registros de endereços descrevem quem detém um bloco; não controlam quais rotas outras redes aceitam. Essa lacuna não é escândalo, é a arquitetura: roteamento é interconexão voluntária entre redes operadas de forma independente, e nenhuma delas pode ordenar a outra que pare de carregar um prefixo. Em fevereiro de 2008 a alavanca existente estava do lado do trânsito, dentro de uma relação comercial, e foi acionada pela empresa que a possuía.

A responsabilidade aqui é distribuída e deve ser descrita assim. A origem anunciou um bloco sem autorização. O trânsito admitiu esse anúncio e o exportou ao mundo. As redes receptoras o aceitaram. Cada um desses três passos era um lugar onde o episódio podia ter sido menor. Nomear só o primeiro, como fazem quase todas as recontagens, transforma uma falha sistêmica em vergonha nacional e deixa a engrenagem exatamente como estava.

Daí a pergunta que dura. Um reparo que depende da discrição de um intermediário, exercida duas horas depois do início de uma queda, não é controle: é sorte com uma narrativa plausível. Reparo durável é prévio e distribuído: autorização autenticada do prefixo, filtragem de prefixos de clientes na borda do provedor, validação de origem no lado do operador, alertas ligados a uma escalada acordada de antemão e retirada de emergência que alguém já ensaiou antes de precisar. São controles candidatos, não a descrição do que estava implantado em 2008.

O ponto é a direção: adiantar a decisão, reparti-la entre mais mãos, torná-la auditável, para que o julgamento de uma única empresa não seja a única coisa entre um erro de configuração e uma queda global.

Um limite sobre o material revisado aqui. Os documentos lidos para este briefing não trazem nenhum caso registrado de registro, regulador ou sistema de validação automatizada que tenha interrompido o anúncio, e também não contêm exportação bruta de coletores, correspondência entre as partes ou contrato de trânsito. A ação decisiva que nomeiam é a retirada pelo trânsito. Onde a pergunta depende de documentos que esta leitura não cobriu, a resposta honesta é que segue aberta — não que os atores estivessem inertes.