Sourcehut e Codeberg estão ambos atualmente sofrendo um ataque DDoS

Artigo original ↗ Discussão no Hacker News ↗

Forjas Git independentes, Sourcehut e Codeberg, estão enfrentando ataques DDoS prolongados, tirando serviços importantes do ar e evidenciando como plataformas menores, financiadas por doações, são vulneráveis a interrupções relativamente baratas. Comentadores especulam sobre motivações que vão de resgate e censura de conteúdo hospedado a vinganças de guerra cultural, ao mesmo tempo em que observam que a mitigação comercial eficaz por provedores como Cloudflare pode ser proibitivamente cara. O incidente reacende preocupações mais amplas sobre a centralização da proteção contra DDoS, possíveis alternativas técnicas como limitação de taxa baseada em proof-of-work ou hospedagem mais distribuída, e a dificuldade de defender infraestrutura aberta sem comprometer seus princípios.

Motivações para o DDoS

  • Múltiplas motivações especulativas:
    • Rancor pessoal contra o forge ou sua equipe, incluindo disputas anteriores e animosidade de guerra cultural.
    • Tentativa de resgate/extorsão, embora alguns desconfiem disso porque ambos os serviços são financiados por doações e não são ricos.
    • Desejo de suprimir ou remover conteúdo específico hospedado, na esperança de que os operadores cedam sob pressão.
    • “Dry run” para testar técnicas antes de atacar alvos maiores.
    • Motivos políticos mais amplos/de ator estatal; foi feita comparação com ataques anteriores ligados ao Estado contra o GitHub.

Cloudflare, preços e trade-offs de mitigação

  • A discussão foca em por que eles não “usam simplesmente Cloudflare” ou algo semelhante:
    • Os planos empresariais parecem baratos no papel, mas interações de vendas supostamente revelam custos reais muito mais altos, especialmente para protocolos não HTTP e tráfego mais pesado.
    • Alguns veem preços opacos e venda casada como desanimadores; outros dizem que os planos padrão de autoatendimento funcionam se você não precisar de recursos especiais.
    • O uso de SSH e email pelo Sourcehut faz com que a proteção pronta para uso apenas para HTTP seja insuficiente; proteção parcial (somente web) é proposta como medida provisória.

Ideias de descentralização e replicação

  • Várias propostas para tornar hospedagem de código-fonte mais difícil de sofrer DDoS:
    • Distribuição de repositórios no estilo BitTorrent/IPFS, possivelmente combinada com assinaturas ou blockchains para uma “source of truth” canônica.
    • Réplicas de Git e balanceamento de carga baseado em DNS ou esquemas avançados multi-master.
    • Sistemas existentes como Radicle, Fossil, modelos no estilo Keybase e git-bug para issues descentralizadas são mencionados.
  • Desafios apontados: mutabilidade, consenso sobre o estado mais recente, comprometimento de chaves e complexidade muito maior.

Alvo cultural e pessoal

  • Alguns lembram alegações anteriores de que os ataques podem estar enraizados em ódio contra desenvolvedores transgênero ou na postura pública antagonista do mantenedor.
  • Outros argumentam que isso dá muito trabalho para uma vingança pessoal e sugerem motivos financeiros ou estratégicos.
  • Vários comentaristas enfatizam que turbas organizadas de ódio e assédio de guerra cultural contra indivíduos e pequenas comunidades são comuns online.

Proof-of-work e limitação de taxa

  • Entusiastas defendem limitação de taxa baseada em proof-of-work (PoW) como eficaz contra alguns ataques na camada de aplicação.
  • Céticos observam:
    • Preocupações com desperdício de energia.
    • Relevância limitada quando o próprio link de rede está saturado (como o Codeberg relata).
    • Fricção prática para clientes sem JavaScript ou sem navegador, especialmente dada a filosofia avessa a JS do Sourcehut.
  • Soluções alternativas como ferramentas externas de PoW e tokens de longa duração são discutidas.

O DDoS está “resolvido” e quem paga?

  • Alguns presumiam que DDoS é um problema resolvido por grandes CDNs; outros contrapõem:
    • Isso centraliza a web em torno de poucas corporações, em conflito com a ética de forges independentes de FOSS.
    • A verdadeira “solução” exigiria melhor tratamento de abuso a montante e incentivos para ISPs, não apenas centros de limpeza pagos.
  • O custo é uma grande limitação: tanto Sourcehut quanto Codeberg dependem de doações e taxas de associação limitadas, e usuários observam que a participação/doações são baixas em relação ao uso, especialmente no caso do Codeberg e de sua configuração de pagamento centrada na Europa.