Cyberpediapor Brain
PTDEENESFRITNL

BGP e RPKI: proteger as rotas da Internet

O BGP indica às redes por onde enviar o tráfego. As suas falhas (desvios, fugas) e a proteção RPKI, explicadas aos colaboradores.

Em 30 segundos

Onde acontece
Entre redes, fora da vista do colaborador e da empresa. O NIST fala de anomalias do plano de controlo do encaminhamento, como o desvio de prefixo BGP (prefix hijacking) e as fugas de rotas2.
O que provoca
Negações de serviço, desvios de tráfego indesejados e degradação do desempenho2.
A proteção dos operadores
RPKI, a validação de origem BGP e a filtragem de prefixos1.
O reflexo
Perguntar ao fornecedor de acesso ou de alojamento como protege as suas rotas e não confiar apenas na rede para a confidencialidade.

Do que se trata

Quando um colaborador abre um site ou envia uma mensagem, os dados atravessam várias redes, das quais a empresa não conhece nem o número nem os operadores. O protocolo BGP (Border Gateway Protocol) serve para escolher a rota entre essas redes. A agência norte-americana NIST descreve-o como o protocolo de controlo que distribui e calcula os caminhos entre as dezenas de milhares de sistemas autónomos que formam a Internet1.

Esta ficha explica o que este protocolo significa para um colaborador, o que as anomalias de encaminhamento podem provocar e que proteção (RPKI) o NIST recomenda. Indica também o que a fonte do NIST não diz, para não prometer mais do que está estabelecido.

Perguntas diretas

Para que serve o BGP?

O BGP distribui e calcula os caminhos entre os sistemas autónomos que compõem a Internet1. O colaborador nunca intervém neste mecanismo: depende das escolhas do seu fornecedor de acesso e das redes atravessadas.

Qual é o problema?

O NIST constata que, nos últimos anos, muitas anomalias do plano de controlo do encaminhamento, como o desvio de prefixo BGP e as fugas de rotas, provocaram negações de serviço, desvios de tráfego indesejados e degradação do desempenho2.

O que significa RPKI?

RPKI significa Resource Public Key Infrastructure. O NIST inclui-a, com a validação de origem BGP (BGP-OV) e a filtragem de prefixos, entre as tecnologias recomendadas para proteger o tráfego de controlo do encaminhamento entre domínios1. As fontes aqui citadas não detalham o seu funcionamento interno, pelo que esta ficha não o descreve.

Um colaborador pode proteger-se de um desvio de rota?

Não diretamente. Estas proteções são implementadas pelos operadores. O colaborador e o seu responsável podem, no entanto, colocar perguntas aos fornecedores, como se explica mais abaixo.

O RPKI resolve tudo?

As fontes aqui citadas não o dizem. O NIST apresenta o RPKI como uma tecnologia recomendada entre outras e acrescenta medidas contra a falsificação de endereços IP e contra os ataques de negação de serviço1. Uma publicação mais antiga do NIST sobre o BGP já avisava que as suas recomendações não constituíam uma defesa completa contra todas as ameaças3.

1Como funciona1 min

O NIST publica em dezembro de 2019 o guia SP 800-189, dedicado à troca de tráfego resiliente entre domínios (RITE). Dá orientações iniciais para proteger o tráfego de controlo do encaminhamento, impedir a falsificação de endereços IP e detetar e atenuar certas negações de serviço2. Substitui a publicação SP 800-54, saída em julho de 2007 e retirada a 17 de dezembro de 20193.

As recomendações de 2019 incluem muitas medidas sobre o BGP. Para o encaminhamento, citam o RPKI, a validação de origem BGP e a filtragem de prefixos1. Contra os ataques de negação de serviço, visam em primeiro lugar a falsificação de endereços IP, com a validação do endereço de origem (SAV) por listas de controlo de acesso e o uRPF (unicast Reverse Path Forwarding). Citam também a filtragem por buraco negro acionada remotamente (RTBH), o Flowspec e a limitação da taxa de respostas (RRL)1.

O texto de 2007 já explicava o que é o BGP e a sua importância para a Internet, e propunha boas práticas aplicáveis a quase todos os routers BGP então disponíveis. Notava que os protocolos melhorados propostos exigiam, em geral, alterações substanciais ao protocolo e podiam não funcionar com as implementações existentes3.

2O que fazer1 min

As fontes não se dirigem aos colaboradores: o que se segue aplica as suas constatações ao dia a dia, sem pretender que elas o prescrevam.

  • Responsável informático ou de compras: perguntar ao fornecedor de acesso ou de alojamento se aplica a validação de origem BGP, o RPKI e a filtragem de prefixos, que o NIST recomenda aos operadores1.
  • Responsável informático: pedir também ao fornecedor que verifique que os endereços de origem dos pacotes que emite são legítimos, o que cabe na validação do endereço de origem recomendada pelo NIST1.
  • Empresa visada por atividade criminosa: comunicá-la, pedir aos seus fornecedores de rede que remontem à origem do tráfego falsificado e partilhar a informação com a comunidade, aconselha a Google4.
  • Colaborador: tratar a rede como um terreno que não se controla. Os casos abaixo mostram que o tráfego passa por redes que ninguém controla de ponta a ponta, pelo que convém não confiar só nela a confidencialidade das comunicações.
3As armadilhas1 min

Acreditar que a rede da empresa é um circuito fechado é a primeira. O tráfego passa por redes de terceiros, fora do controlo da empresa.

A segunda armadilha é supor que uma proteção de encaminhamento basta. O NIST insere-a num conjunto de medidas que inclui também a prevenção da falsificação de endereços e a filtragem contra a negação de serviço1.

A terceira é confundir os diferentes incidentes de rede. Um ataque de negação de serviço inunda o alvo com tráfego inútil; segundo a Google, não expõe os dados dos utilizadores nem leva a um comprometimento, mas pode provocar uma falha e uma perda de confiança se não for rapidamente atenuado4.

4Casos reais2 min

Março de 2014: o YouTube inundado por navegadores

Segundo a Google, em março de 2014, JavaScript malicioso injetado em milhares de sites por um ataque de intermediário (man-in-the-middle) na rede levou centenas de milhares de navegadores a inundar o YouTube de pedidos, até um pico de 2,7 milhões de pedidos por segundo4. Não se trata de um desvio BGP, e o texto da Google não o apresenta como tal. Mostra que o tráfego pode ser modificado pelo caminho e virado contra um serviço, o que justifica a prudência do colaborador em relação à rede.

Setembro de 2017: uma negação de serviço de 2,5 Tbps

A Google diz ter absorvido em setembro de 2017 um ataque de 2,5 Tbps, culminar de uma campanha de seis meses. O atacante tinha usado várias redes para falsificar 167 milhões de pacotes por segundo dirigidos a 180 000 servidores CLDAP, DNS e SNMP expostos, que depois devolviam respostas volumosas à Google. O ataque não teve qualquer impacto4. A Google comunicou milhares de servidores vulneráveis aos respetivos fornecedores de rede e trabalhou com eles para encontrar a origem dos pacotes falsificados, de modo a que fossem filtrados4. O caso ilustra a falsificação de endereços IP que as recomendações do NIST procuram prevenir1.

Os desvios de tráfego da Google em 2018 e o incidente do YouTube e da Pakistan Telecom em 2008 não constam de nenhuma das fontes aqui citadas, pelo que não são descritos aqui.

Ficha

Identificador
CP-231
Ala
3. Protocolos e defesa
Competência Brain
Navegar em segurança (browse_safely)
Reflexo Brain
cr-059
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
4 fontes verificadas em 3 de novembro de 2026
Fontes4 fontes
  1. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation», 17 de dezembro de 2019. https://csrc.nist.gov/pubs/sp/800/189/final (consultado em 3 de novembro de 2026)
  2. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation», 17 de dezembro de 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (consultado em 3 de novembro de 2026)
  3. NIST, «Border Gateway Protocol Security», 17 de julho de 2007. https://csrc.nist.gov/pubs/sp/800/54/final (consultado em 3 de novembro de 2026)
  4. Google, «Identifying and protecting against the largest DDoS attacks», 17 de outubro de 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «BGP e RPKI: proteger as rotas da Internet», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/bgp-rpki-seguranca-rotas-internet/

BibTeX 
@misc{brain_cp231_pt_2026,
  author = {Brain},
  title = {BGP e RPKI: proteger as rotas da Internet},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/bgp-rpki-seguranca-rotas-internet/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0