Radar Tech: a Internet passou a verificar as rotas que antes só confiava — e o que isso ensina sobre fronteiras de confiança

O que apareceu nas últimas 24 horas

Um dado técnico, publicado esta semana e muito comentado, resume uma mudança silenciosa na base da Internet: o RPKI (Resource Public Key Infrastructure) passou a proteger 70,3% das rotas anunciadas globalmente, contra 54% um ano antes. É um salto de 16 pontos percentuais em doze meses — mais do que a soma dos dois anos anteriores, que subiram 3,9 e 3,2 pontos.

Para quem não vive de roteamento, o contexto: a Internet funciona porque redes independentes (ASes) anunciam umas às outras, via BGP, quais blocos de endereços elas conseguem entregar. Historicamente isso se apoiava em confiança — ninguém verificava se o anúncio era legítimo. O RPKI muda isso: quem detém um bloco publica um registro assinado (um ROA) dizendo quais redes podem anunciar aquele bloco, e quem verifica pode rejeitar anúncios que não batem.

O caso que originou tudo é de 2008: o Paquistão tentou bloquear o YouTube internamente e, ao anunciar uma rota mais específica, teve o anúncio aceito pelo provedor de trânsito e propagado globalmente — o YouTube ficou fora do ar para o mundo por cerca de duas horas. Foi exatamente esse tipo de erro, acidental ou deliberado, que o RPKI nasceu para impedir.

Por que isso é uma história de arquitetura

A notícia é frequentemente lida como "assunto de operadores de rede". Mas o que aconteceu ali é o mesmo movimento que todo time de software precisa fazer em algum momento: trocar confiança por verificação.

A Internet viveu décadas com uma premissa implícita — "se um par anunciou a rota, é porque pode". É a mesma premissa que aparece, disfarçada, em quase todo sistema grande:

• "se o serviço interno chamou, é porque está autorizado" — e aí a fronteira de confiança nunca foi desenhada;
• "se o pacote veio do nosso repositório, é confiável" — e aí a dependência nunca foi conferida na origem;
• "se o dado chegou do parceiro, está certo" — e aí a integração virou superfície de ataque.

O BGP é o exemplo em escala planetária de um sistema que funcionou por décadas sem provar nada e agora está migrando, prefixo a prefixo, para "nao confie, verifique". O salto de 16 pontos em um ano não veio de uma lei nem de um comitê: veio de operadores decidindo que valia a pena rejeitar anúncios não comprovados — e aceitar o custo disso.

O padrão que se desenha

Três movimentos que a história do RPKI ensina e que qualquer arquiteto pode aplicar na semana seguinte:

• Toda afirmação de origem precisa de um artefato que a comprove. O ROA é a versão de roteamento de uma ideia geral: a assinatura que diz "esta entidade pode fazer isto". Sem o artefato, a afirmação é uma hipótese — e hipótese não sustenta uma decisão de acesso.
• Verificar tem custo, e o custo é o motivo pelo qual a maioria posterga. Ativar validação de origem significa ter onde falhar e o que bloquear. Sistemas que nunca precisaram rejeitar nada são exatamente os que não têm política nenhuma: o dia em que a rota errada chega, não há plano B.
• A migração é incremental por natureza. Ninguém trocou o BGP de uma vez. Se protegeu um prefixo, depois outro, até virar maioria. O mesmo vale para retirar confiança implícita de um sistema: você endurece uma integração por vez, mede o que quebra, e segue.

A leitura do dia

O RPKI é, no fundo, zero-trust aplicado à camada de rede — e a lição vale para muito além dela. A pergunta de arquitetura do dia não é "o RPKI vai chegar a 100%?", mas sim: quantas fronteiras do nosso sistema ainda tratam dado como confiável apenas porque a origem "parece" legítima — e quantas delas nós conseguiríamos rejeitar hoje, se precisássemos?

Se a resposta for "nenhuma", você não tem uma fronteira de confiança. Tem uma suposição auditada por ninguém. E toda suposição desse tipo é, um dia, o incidente que ninguém previu.

Nota: toda decisão de fronteira de confiança, verificação de origem e resposta a incidente deve ser revisada por quem responde pelo sistema. Uma saída de IA organiza a decisão e aponta as lacunas — não substitui o julgamento de quem assume o risco.