BGP · Islamabad, 2008 · Menlo Park, 2021

II

Para entender por qué eso es posible hay que mirar el protocolo, y el protocolo no es un misterio. Está escrito, es público y funciona sin cambios de fondo desde 1989.

Internet no es una red. Son unas setenta mil redes independientes [sistemas autónomos] que se han puesto de acuerdo en hablarse. Cada una tiene un número, y entre ellas usan el Protocolo de Pasarela de Frontera, que en 1989 Kirk Lougheed y Yakov Rekhter bosquejaron durante una reunión del IETF sobre el reverso de tres servilletas.

Lo que hace es sencillo; cada red le dice a sus vecinas qué bloques de direcciones sabe alcanzar y por qué camino. Las vecinas eligen la ruta que prefieren y se lo cuentan a las suyas. Cuando hay dos rutas al mismo sitio gana la más específica — un anuncio de mil direcciones gana a uno de cuatro mil que las contenga — y ésa es la regla que usó Islamabad.

Esa tabla no es pequeña. Un encaminador que quiera hablar con todo internet guarda hoy cerca de un millón de rutas, y las recalcula cada vez que alguna de las setenta mil redes cambia de opinión sobre algo. Es una estructura de datos. Cabe en la memoria de un equipo de bastidor, y con ella se decide el tráfico de un continente.

No hay en el protocolo base ningún mecanismo que compruebe que quien anuncia un bloque tenga derecho a anunciarlo. Un sistema autónomo dice lo que sabe alcanzar. Los demás lo creen.

Eso no es un fallo que se les escapara, es el diseño. En 1989 las redes que se hablaban eran unos cientos, sus administradores se conocían por el nombre y la confianza era más barata que la verificación. El mecanismo nunca se cambió, porque sustituir el sistema de encaminamiento del mundo entero mientras está encendido no es una operación que nadie quiera encabezar.

III

El 4 de octubre de 2021, a las 15:39 UTC, Facebook hizo lo mismo que Pakistan Telecom pero al revés. En lugar de anunciar rutas ajenas, retiró las propias.

Lo que había detrás era una tarea de mantenimiento rutinaria: un comando que evaluaba la capacidad de la red troncal. El comando se ejecutó mal y tiró todas las conexiones del troncal a la vez, dejando los centros de datos aislados entre sí.

Ahí entró en juego una pieza que estaba funcionando exactamente como la habían diseñado. Los servidores de nombres de Facebook comprueban continuamente si pueden hablar con los centros de datos, y si no pueden, dejan de anunciarse al mundo; la idea es que un servidor averiado no siga recibiendo consultas que no puede atender [una comprobación de salud, escrita por alguien prudente]. Como ninguno podía hablar con nada, todos se retiraron a la vez.

En el espacio de unos minutos, los nombres de Facebook, Instagram y WhatsApp dejaron de resolverse. No es que los servidores estuvieran caídos; es que habían borrado de las tablas del mundo la indicación de dónde encontrarlos.

Duró unas seis horas. Lo que las alargó no fue el diagnóstico. Fue que el acceso remoto a los equipos pasaba por la misma red que se había desconectado, de modo que había que ir físicamente a los centros de datos; y los lectores de las puertas consultaban sistemas que también habían desaparecido.

IV

Las dos historias tienen la misma forma y conviene no suavizarla con la palabra error.

En 2008, un operador anunció una ruta falsa y el resto del mundo la aceptó porque el protocolo acepta. En 2021, un operador retiró sus rutas verdaderas y el resto del mundo las olvidó porque el protocolo olvida. Ninguna de las dos veces hizo falta romper nada: bastó con usar el mecanismo tal como está escrito.

Y lo que es más incómodo, en los dos casos el sistema funcionó según lo previsto. La red paquistaní no fue atacada; el servidor de nombres de Facebook no falló. Cada pieza hizo su trabajo y el resultado fue que un país apagó un sitio para todos y que una empresa se borró a sí misma del mapa.

Conviene además deshacer una frase que se repite mucho — aquella de que la red interpreta la censura como una avería y la rodea. En Islamabad no la rodeó: la propagó, y la propagó deprisa y a todo el mundo, porque el mecanismo que se describe como resistencia es en realidad obediencia a lo que digan los vecinos. Lo que hace robusta a una red frente a un cable cortado la hace frágil frente a un vecino que se equivoca, y son la misma propiedad mirada por los dos lados.

Hay una variante con dinero, por si la lectura técnica no basta. En abril de 2018 alguien anunció rutas hacia los servidores de nombres de Amazon, desvió a los usuarios de una cartera de criptomonedas a una copia del sitio y se llevó el equivalente a unos ciento cincuenta mil dólares en dos horas. El procedimiento fue el de Islamabad, con otro propósito.

V

Existe el remedio y existe desde hace años. Se llama validación del origen de ruta [RPKI]. Los titulares de bloques de direcciones firman criptográficamente un certificado que dice qué sistema autónomo tiene derecho a anunciarlos, y las redes que lo comprueban descartan los anuncios que no cuadran.

Está desplegado en una parte grande del mundo, no en todo, y protege contra el anuncio del origen equivocado — no contra un camino falsificado más adelante en la cadena. Las extensiones que cubrirían eso llevan más de una década discutiéndose.

Mientras tanto, lo que decide por dónde viaja el tráfico de este texto, de un pago, de un historial clínico o de una orden de compra, sigue siendo lo que unas setenta mil redes se cuentan unas a otras sobre sí mismas.

Baran había diseñado un encaminamiento en el que cada nodo aprendía los caminos del tráfico que le pasaba por encima, sin autoridad central y sin necesidad de fiarse de nadie. Lo que se construyó aprende de lo que le dicen los vecinos, y se fía.