💻 computer science

Understanding the Stealthy BGP Hijacking Risk in the ROV Era

Este artigo introduz o conceito de sequestro de BGP furtivo, uma ameaça na qual rotas maliciosas evadem a detecção pelas vítimas devido à implantação parcial de Validação de Origem de Rota (ROV), e o aborda por meio do primeiro estudo empírico de incidentes do mundo real e do desenvolvimento do SHAMAN, um framework de alta eficiência que revela um risco global significativo com até 99,5% de probabilidade de sucesso para ataques direcionados.

Autores originais: Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu, Jianping Wu

Publicado 2026-06-23

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu, Jianping Wu

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

O Panorama Geral: O Livro de Endereços da Internet

Imagine que a Internet é um sistema postal global massivo. Cada computador e servidor tem um endereço (um prefixo IP), e cada agência de correios (chamada de Sistema Autônomo ou AS) tem um livro de regras sobre como entregar correspondência. O protocolo que mantém esses livros de regras sincronizados é chamado de BGP.

O problema? O livro de regras antigo tem uma enorme falha de segurança: qualquer pessoa pode entrar em uma agência de correios e dizer: "Ei, eu sou o dono deste endereço! Enviem todo o correio deste bairro para mim!". Se as outras agências acreditarem nelas, enviarão todo o tráfego para lá. Isso é chamado de BGP Hijacking (Sequestro de BGP). Geralmente, isso é óbvio porque a correspondência se perde ou vai para o lugar errado imediatamente.

O Novo "Segurança": ROV

Para corrigir isso, a comunidade da internet introduziu um sistema de segurança chamado RPKI e ROV (Validação de Origem de Rota).

A Analogia: Imagine uma lista de "Proprietário Verificado". Antes de uma agência de correios aceitar uma nova instrução de entrega, ela verifica essa lista. Se a instrução diz: "Eu sou o proprietário", mas a lista diz: "Não, não é você", a agência rejeita a instrução falsa.

A Armadilha: Nem todas as agências de correios contrataram esse segurança ainda. No momento da escrita do artigo, apenas cerca de 10% das agências de correios do mundo usam ROV. O restante ainda está usando o livro de regras antigo e inseguro.

A Armadilha "Silenciosa": O Sequestro Invisível

É aqui que entra a principal descoberta do artigo. Os autores descobriram que ter alguns seguranças na verdade cria um novo tipo de sequestro invisível, chamado Stealthy BGP Hijacking (Sequestro de BGP Silencioso).

A Analogia do Ladrão Invisível:

A Vítima (AS A): Uma agência de correios que tem contratado o segurança (ROV).
O Alvo (AS E): Um negócio legítimo que possui um endereço específico.
O Ladrão (AS G): Um criminoso tentando roubar o tráfego destinado ao Alvo.
O Intermediário (AS C): Uma agência de correios que não tem um segurança contratado.

Veja como o roubo acontece sem que a Vítima saiba:

O Ladrão tenta dizer à Vítima: "Eu sou o dono do endereço do Alvo!"
O segurança da Vítima (ROV) verifica a lista, vê que o Ladrão é falso e bloqueia a mensagem. A Vítima nem sequer sabe que o Ladrão existe.
No entanto, o Ladrão diz ao Intermediário (AS C). O Intermediário não tem segurança, então acredita no Ladrão.
A Vítima envia a correspondência para o Alvo. A correspondência viaja através do Intermediário.
O Intermediário, acreditando no Ladrão, desvia a correspondência para a casa do Ladrão.
O Resultado: A Vítima pensa: "Estou enviando a correspondência para o Alvo", mas a correspondência está sendo roubada pelo Ladrão. Como o segurança da Vítima bloqueou o anúncio do roubo, a Vítima permanece completamente inconsciente. É um roubo "silencioso".

O Que os Pesquisadores Fizeram

Os autores, liderados por Yihao Chen e colegas, queriam entender o tamanho desse problema. Eles não podiam apenas esperar que as pessoas relatassem, porque as vítimas não sabem que estão sendo roubadas.

O Trabalho de Detetive (Estudo Empírico): Eles construíram um sistema para escanear os "registros de correspondência" da internet (tabelas de roteamento) de diferentes pontos de observação. Eles procuraram por discrepâncias: "Vejo uma rota para o Alvo, mas não vejo uma rota para o Ladrão, contudo, o caminho para o Alvo passa por alguém que poderia falar com o Ladrão".
- Eles encontraram 318 incidentes reais de alta confiança ocorrendo.
- Descobriram que esses ataques costumam ser de curta duração, mas acontecem quase diariamente.
O Supercomputador (Framework SHAMAN): Para entender o risco total, eles precisavam simular toda a internet. Os métodos existentes eram muito lentos (levando meses para calcular rotas para o mundo inteiro).
- Eles construíram uma ferramenta chamada SHAMAN (nomeada em homenagem a um guia que navega por perigos invisíveis).
- O Truque de Mágica: Em vez de simular cada agência de correios uma por uma, eles usaram uma abordagem de "matriz matemática" (como uma planilha gigante) para calcular todas as rotas possíveis de uma só vez.
- A Aceleração: Eles reduziram o tempo para mapear as rotas de toda a internet de mais de 3 meses para apenas 5,22 horas.

As Descobertas Chocantes

Usando sua ferramenta super rápida, eles analisaram 8,3 bilhões de rotas possíveis. Aqui está o que descobriram:

A Taxa de Sucesso: Mesmo com os seguranças em vigor, uma tentativa de sequestro "silencioso" aleatória tem 14,1% de chance de sucesso.
O Perigo Direcionado: Se um ladrão focar especificamente em uma vítima e uma rota específica, a taxa de sucesso pode saltar para 99,5%. É um roubo quase garantido.
A "Faca de Dois Gumes": O ROV é ótimo para impedir o sequestro óbvio (onde o ladrão anuncia a rota e todos veem), mas como ele esconde o ladrão da vítima, ele acidentalmente torna o sequestro silencioso muito mais provável.
Os "Poucos Vitais": O risco não é distribuído uniformemente. Apenas 2,9% das agências de correios "Intermediárias" são responsáveis por 80% de todos esses roubos silenciosos. Se você consertar essas poucas, você resolve a maior parte do problema.
O Futuro: À medida que mais agências de correios contratam seguranças, o risco aumentará por um tempo, mas eventualmente, se todos tiverem um segurança, o risco cairá de volta para zero. Estamos atualmente na fase de "risco crescente".

Resumo

O artigo revela um paradoxo: A segurança parcial cria um novo tipo de invisibilidade. Ao bloquear anúncios ruins para alguns, mas não para outros, a internet criou um ponto cego onde o tráfego pode ser roubado sem que o proprietário jamais saiba. Os autores construíram uma ferramenta matemática rápida para mapear esse perigo e mostraram que, embora o risco seja atualmente significativo, ele está concentrado em um pequeno número de locais chave, oferecendo um caminho claro para a solução.

Resumo Técnico: Compreendendo o Risco de Sequestro de BGP Sigiloso na Era do ROV

1. Declaração do Problema

O Border Gateway Protocol (BGP) é vulnerável ao sequestro (hijacking), onde Sistemas Autônomos (ASes) maliciosos anunciam falsamente prefixos IP para desviar o tráfego. Para mitigar isso, a comunidade implementou a Validação de Origem de Rota (ROV) utilizando a Infraestrutura de Chave Pública de Recursos (RPKI). ASes habilitados para ROV verificam anúncios BGP contra Autorizações de Origem de Rota (ROAs) e descartam rotas inválidas.

No entanto, a implementação do ROV é atualmente parcial e incompleta. Este artigo identifica uma ameaça de segurança inesperada decorrente desta implementação parcial: o Sequestro de BGP Sigiloso (Stealthy BGP Hijacking).

O Mecanismo: Em um ambiente ROV parcial, um AS vítima (protegido por ROV) pode não receber o anúncio da rota maliciosa porque um AS vizinho habilitado para ROV filtra o anúncio. Consequentemente, a tabela de roteamento da vítima carece de uma rota para o sequestrador, tornando o ataque invisível no plano de controle.
A Realidade: Apesar de a tabela de roteamento da vítima parecer limpa, o tráfego destinado a um alvo legítimo pode atravessar um AS "legado" (não-ROV) no caminho dos dados. Se este AS legado aceitar a rota maliciosa (por exemplo, devido a preferências de política ou anúncios de sub-prefixo), ele desvia o tráfego da vítima para o sequestrador.
A Lacuna: Este tipo de sequestro é "sigiloso" porque a vítima permanece inconsciente da rota maliciosa, tornando as defesas padrão de plano de controle ineficazes. Antes deste trabalho, não havia incidentes reais documentados, nenhuma caracterização sistemática e nenhuma ferramenta para avaliar a escala deste risco.

2. Metodologia

Os autores empregam uma abordagem de duas frentes: um estudo empírico para descobrir instâncias no mundo real e um framework analítico para avaliar o risco global.

A. Descoberta Empírica (Heurísticas)

Para identificar o sequestro sigiloso no mundo real, os autores formalizaram o risco e desenvolveram heurísticas baseadas em discrepâncias de tabelas de roteamento observadas através de múltiplos pontos de visualização (coletores RouteViews).

Definição Formal: Uma 3-tupla "vítima-alvo-sequestrador" $(u, v, w)$ $(u, v, w)$ constitui uma instância de sequestro sigiloso se:
1. A vítima $u$ possui uma rota válida para o alvo $v$ .
2. A vítima $u$ não possui uma rota para o sequestrador $w$ (devido ao filtro de ROV).
3. Um AS intermediário $a_i$ no caminho de $u$ para $v$ possui uma rota para $w$ e encaminha o tráfego para $w$ .
Heurísticas: Os autores propuseram heurísticas "frouxas" (loose) e "estritas" (strict) para detectar essas instâncias, cruzando a validade do RPKI, conflitos de IRR e incompatibilidades de WHOIS.
Coleta de Dados: Eles analisaram snapshots diários de RIB de janeiro a fevereiro de 2025, capturando 1.393 potenciais incidentes. Após a deduplicação e validação contra uma base de conhecimento ampla (RPKI, IRR, WHOIS), eles curaram um conjunto de dados de alta confiança com 318 incidentes reais cobrindo 2.178 rotas.

B. Framework Analítico (SHAMAN)

Para ir além da observação e realizar uma avaliação de risco determinística em escala de Internet, os autores desenvolveram o SHAMAN, um framework de inferência de rotas BGP.

Consolidação de Entrada: O SHAMAN agrega dados de implementação de ROV de três fontes (APNIC, RoVista, Cloudflare) para construir uma visão precisa de quais ASes estão habilitados para ROV.
Compressão de Topologia: Ele reconstrói a topologia da Internet e a comprime removendo ASes de conexão única (single-homed), que podem ser derivados de seus upstreams, reduzendo a contagem de vértices em ~36%.
Inferência de Rota Baseada em Matrizes:
- Em vez de simulação tradicional, o SHAMAN utiliza uma abordagem baseada em matrizes com um esquema exclusivo de codificação de um byte para prioridade de rota (codificando Preferência Local e Comprimento de Caminho).
- Ele realiza atualizações iterativas de matriz para inferir rotas completas de nível de AS tanto para "alcance benigno" (caminhos legítimos) quanto para "alcance malicioso" (caminhos onde o ROV bloqueia a propagação).
- Esta abordagem reduz o tempo para gerar rotas em escala de Internet de mais de três meses (usando o estado da arte como o BGPsim) para 5,22 horas.
Avaliação de Risco: Usando as rotas inferidas, o SHAMAN avalia exaustivamente todas as tuplas "vítima-alvo-sequestrador" para calcular a probabilidade de sucesso do sequestro sigiloso sob os níveis atuais de implementação de ROV.

3. Principais Contribuições

Formalização e Heurísticas: A primeira definição formal de sequestro de BGP sigiloso e a derivação de heurísticas para detectá-lo via discrepâncias em tabelas de roteamento.
Primeiro Estudo Empírico: O primeiro rastreamento de sequestro sigiloso no mundo real, resultando em um conjunto de dados curado de 318 incidentes de alta confiança e um serviço de monitoramento de longo prazo.
Framework SHAMAN: Um novo framework de alto desempenho para avaliação sistemática de risco que integra dados de ROV de múltiplas fontes e utiliza operações de matriz para inferência de rotas eficiente em escala de Internet.
Análise de Risco Abrangente: A primeira avaliação exaustiva do risco de sequestro sigiloso através de 8,3 bilhões de rotas geradas, fornecendo insights estatísticos sobre prevalência, distribuição e drivers topológicos.

4. Principais Resultados

Probabilidade de Sucesso: Sob a implementação atual de ROV parcial, a probabilidade geral de sucesso para o sequestro de BGP sigiloso é de 14,1%. Em contraste, sem ROV, este risco é 0% (pois os ataques seriam diretos e visíveis).
Ataques Direcionados: Embora o risco médio seja de 14,1%, ataques direcionados (pares específicos vítima-alvo-sequestrador) podem atingir uma probabilidade de sucesso de até 99,5%.
Faca de Dois Gumes: A implementação parcial do ROV reduz com sucesso o risco de sequestro direto (o sequestro direto de sub-prefixo cai de ~100% para ~42%), mas simultaneamente introduz e amplifica o risco de sequestro sigiloso.
Concentração de Risco:
- Poucos Vitais: Uma pequena fração de ASes impulsiona a maior parte do risco. Especificamente, 2,94% dos ASes críticos de risco (245 de 8.323) e 2,24% dos ASes habilitados para ROV (36 de 1.608) são responsáveis por 80% de todos os casos de sequestro sigiloso.
- Distribuição Geográfica: Os potenciais sequestradores estão concentrados na Europa, América do Sul e América do Norte. As vítimas estão principalmente na América do Norte, enquanto os alvos estão concentrados na América do Sul e no Sul da Ásia.
Padrão de Evolução: O risco segue um padrão de "ascensão-e-declínio". À medida que a adoção do ROV aumenta de 0%, o risco sigiloso sobe (atingindo o pico nos níveis atuais). As simulações dos autores sugerem que, uma vez que a adoção do ROV ultrapassa 40%, o risco começa a declinar significamente, aproximando-se de zero com a adoção quase universal.
Precisão do Framework: A validação contra o conjunto de dados do mundo real mostra que o SHAMAN atinge até 95,9% de precisão ao nível de incidente.
Desempenho: O SHAMAN alcança uma aceleração de 500 vezes sobre os métodos existentes (BGPsim), gerando rotas para 77.600 ASes em 5,22 horas.

5. Significância e Alegações

O artigo afirma preencher uma lacuna crítica na pesquisa de segurança de BGP ao expor um vetor de ameaça anteriormente inexplorado, criado pela transição para RPKI/ROV.

Consequência Não Intencional: O trabalho destaca que a implementação parcial de segurança pode criar novas superfícies de ataque invisíveis. O "sigilo" é um subproduto do estado misto atual do ecossistema, não uma falha do próprio ROV.
Insights Acionáveis: Ao identificar que uma minoria de ASes (os "poucos vitais") responde pela grande maioria do risco, o artigo argumenta a favor de estratégias de mitigação focadas. Implementar contramedidas avançadas (como ROV++ com reroteamento proativo) nesses ASes chave específicos poderia neutralizar efetivamente a maior parte da ameaça.
Avanço Metodológico: A introdução do SHAMAN demonstra que a avaliação de risco determinística em escala de Internet é viável com inferência eficiente baseada em matrizes, indo além de amostragem limitada ou simulações lentas.

Os autores concluem que, embora o ROV seja essencial, a fase atual de implementação parcial é um período de vulnerabilidade sigilosa intensificada. Eles defendem a continuidade do monitoramento e a mitigação direcionada nos ASes de alto risco identificados até que a adoção global do ROV atinja um limiar onde o risco naturalmente colapse.