--- id: CP-231 slug: bgp-rpki-seguranca-rotas-internet lang: pt title: "BGP e RPKI: proteger as rotas da Internet" description: O BGP indica às redes por onde enviar o tráfego. As suas falhas (desvios, fugas) e a proteção RPKI, explicadas aos colaboradores. canonical_url: https://startbrain.io/cyberpedia/pt/articles/bgp-rpki-seguranca-rotas-internet/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/bgp-rpki-seguranca-rotas-internet.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «BGP e RPKI: proteger as rotas da Internet», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/bgp-rpki-seguranca-rotas-internet/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-059 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/bgp-rpki-seguranca-rotas-internet/ fr: https://startbrain.io/cyberpedia/fr/articles/bgp-rpki-securite-routes-internet/ en: https://startbrain.io/cyberpedia/en/articles/bgp-rpki-internet-routing-security/ de: https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/ es: https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet/ it: https://startbrain.io/cyberpedia/it/articles/bgp-rpki-sicurezza-rotte-internet/ nl: https://startbrain.io/cyberpedia/nl/articles/bgp-rpki-beveiliging-internetroutes/ sources: - "n": 1 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/189/final published: "2019-12-17" accessed: "2026-11-03" - "n": 2 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation" publisher: NIST url: https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation published: "2019-12-17" accessed: "2026-11-03" - "n": 3 title: Border Gateway Protocol Security publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/54/final published: "2007-07-17" accessed: "2026-11-03" - "n": 4 title: Identifying and protecting against the largest DDoS attacks publisher: Google url: https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks published: "2020-10-17" accessed: "2026-11-03" --- # BGP e RPKI: proteger as rotas da Internet Quando um colaborador abre um site ou envia uma mensagem, os dados atravessam várias redes, das quais a empresa não conhece nem o número nem os operadores. O protocolo BGP (Border Gateway Protocol) serve para escolher a rota entre essas redes. A agência norte-americana NIST descreve-o como o protocolo de controlo que distribui e calcula os caminhos entre as dezenas de milhares de sistemas autónomos que formam a Internet [1]. Esta ficha explica o que este protocolo significa para um colaborador, o que as anomalias de encaminhamento podem provocar e que proteção (RPKI) o NIST recomenda. Indica também o que a fonte do NIST não diz, para não prometer mais do que está estabelecido. ## Em 30 segundos - Onde acontece: entre redes, fora da vista do colaborador e da empresa. O NIST fala de anomalias do plano de controlo do encaminhamento, como o desvio de prefixo BGP (prefix hijacking) e as fugas de rotas [2]. - O que provoca: negações de serviço, desvios de tráfego indesejados e degradação do desempenho [2]. - A proteção dos operadores: RPKI, a validação de origem BGP e a filtragem de prefixos [1]. - O reflexo: perguntar ao fornecedor de acesso ou de alojamento como protege as suas rotas e não confiar apenas na rede para a confidencialidade. ## Perguntas diretas ### Para que serve o BGP? O BGP distribui e calcula os caminhos entre os sistemas autónomos que compõem a Internet [1]. O colaborador nunca intervém neste mecanismo: depende das escolhas do seu fornecedor de acesso e das redes atravessadas. ### Qual é o problema? O NIST constata que, nos últimos anos, muitas anomalias do plano de controlo do encaminhamento, como o desvio de prefixo BGP e as fugas de rotas, provocaram negações de serviço, desvios de tráfego indesejados e degradação do desempenho [2]. ### O que significa RPKI? RPKI significa Resource Public Key Infrastructure. O NIST inclui-a, com a validação de origem BGP (BGP-OV) e a filtragem de prefixos, entre as tecnologias recomendadas para proteger o tráfego de controlo do encaminhamento entre domínios [1]. As fontes aqui citadas não detalham o seu funcionamento interno, pelo que esta ficha não o descreve. ### Um colaborador pode proteger-se de um desvio de rota? Não diretamente. Estas proteções são implementadas pelos operadores. O colaborador e o seu responsável podem, no entanto, colocar perguntas aos fornecedores, como se explica mais abaixo. ### O RPKI resolve tudo? As fontes aqui citadas não o dizem. O NIST apresenta o RPKI como uma tecnologia recomendada entre outras e acrescenta medidas contra a falsificação de endereços IP e contra os ataques de negação de serviço [1]. Uma publicação mais antiga do NIST sobre o BGP já avisava que as suas recomendações não constituíam uma defesa completa contra todas as ameaças [3]. ## Como funciona O NIST publica em dezembro de 2019 o guia SP 800-189, dedicado à troca de tráfego resiliente entre domínios (RITE). Dá orientações iniciais para proteger o tráfego de controlo do encaminhamento, impedir a falsificação de endereços IP e detetar e atenuar certas negações de serviço [2]. Substitui a publicação SP 800-54, saída em julho de 2007 e retirada a 17 de dezembro de 2019 [3]. As recomendações de 2019 incluem muitas medidas sobre o BGP. Para o encaminhamento, citam o RPKI, a validação de origem BGP e a filtragem de prefixos [1]. Contra os ataques de negação de serviço, visam em primeiro lugar a falsificação de endereços IP, com a validação do endereço de origem (SAV) por listas de controlo de acesso e o uRPF (unicast Reverse Path Forwarding). Citam também a filtragem por buraco negro acionada remotamente (RTBH), o Flowspec e a limitação da taxa de respostas (RRL) [1]. O texto de 2007 já explicava o que é o BGP e a sua importância para a Internet, e propunha boas práticas aplicáveis a quase todos os routers BGP então disponíveis. Notava que os protocolos melhorados propostos exigiam, em geral, alterações substanciais ao protocolo e podiam não funcionar com as implementações existentes [3]. ## O que fazer As fontes não se dirigem aos colaboradores: o que se segue aplica as suas constatações ao dia a dia, sem pretender que elas o prescrevam. - Responsável informático ou de compras: perguntar ao fornecedor de acesso ou de alojamento se aplica a validação de origem BGP, o RPKI e a filtragem de prefixos, que o NIST recomenda aos operadores [1]. - Responsável informático: pedir também ao fornecedor que verifique que os endereços de origem dos pacotes que emite são legítimos, o que cabe na validação do endereço de origem recomendada pelo NIST [1]. - Empresa visada por atividade criminosa: comunicá-la, pedir aos seus fornecedores de rede que remontem à origem do tráfego falsificado e partilhar a informação com a comunidade, aconselha a Google [4]. - Colaborador: tratar a rede como um terreno que não se controla. Os casos abaixo mostram que o tráfego passa por redes que ninguém controla de ponta a ponta, pelo que convém não confiar só nela a confidencialidade das comunicações. ## As armadilhas Acreditar que a rede da empresa é um circuito fechado é a primeira. O tráfego passa por redes de terceiros, fora do controlo da empresa. A segunda armadilha é supor que uma proteção de encaminhamento basta. O NIST insere-a num conjunto de medidas que inclui também a prevenção da falsificação de endereços e a filtragem contra a negação de serviço [1]. A terceira é confundir os diferentes incidentes de rede. Um ataque de negação de serviço inunda o alvo com tráfego inútil; segundo a Google, não expõe os dados dos utilizadores nem leva a um comprometimento, mas pode provocar uma falha e uma perda de confiança se não for rapidamente atenuado [4]. ## Casos reais ### Março de 2014: o YouTube inundado por navegadores Segundo a Google, em março de 2014, JavaScript malicioso injetado em milhares de sites por um ataque de intermediário (man-in-the-middle) na rede levou centenas de milhares de navegadores a inundar o YouTube de pedidos, até um pico de 2,7 milhões de pedidos por segundo [4]. Não se trata de um desvio BGP, e o texto da Google não o apresenta como tal. Mostra que o tráfego pode ser modificado pelo caminho e virado contra um serviço, o que justifica a prudência do colaborador em relação à rede. ### Setembro de 2017: uma negação de serviço de 2,5 Tbps A Google diz ter absorvido em setembro de 2017 um ataque de 2,5 Tbps, culminar de uma campanha de seis meses. O atacante tinha usado várias redes para falsificar 167 milhões de pacotes por segundo dirigidos a 180 000 servidores CLDAP, DNS e SNMP expostos, que depois devolviam respostas volumosas à Google. O ataque não teve qualquer impacto [4]. A Google comunicou milhares de servidores vulneráveis aos respetivos fornecedores de rede e trabalhou com eles para encontrar a origem dos pacotes falsificados, de modo a que fossem filtrados [4]. O caso ilustra a falsificação de endereços IP que as recomendações do NIST procuram prevenir [1]. Os desvios de tráfego da Google em 2018 e o incidente do YouTube e da Pakistan Telecom em 2008 não constam de nenhuma das fontes aqui citadas, pelo que não são descritos aqui. ## Fontes 1. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation», 17 de dezembro de 2019. https://csrc.nist.gov/pubs/sp/800/189/final (consultado em 3 de novembro de 2026) 2. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation», 17 de dezembro de 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (consultado em 3 de novembro de 2026) 3. NIST, «Border Gateway Protocol Security», 17 de julho de 2007. https://csrc.nist.gov/pubs/sp/800/54/final (consultado em 3 de novembro de 2026) 4. Google, «Identifying and protecting against the largest DDoS attacks», 17 de outubro de 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/bgp-rpki-seguranca-rotas-internet/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.