Declaração sobre a interrupção em curso no Sourcehut

Artigo original ↗ Discussão no Hacker News ↗

Um ataque DDoS sustentado tirou do ar a plataforma de alojamento de código aberto SourceHut, expondo o grau de dependência dos serviços mais pequenos de fornecedores de rede a montante e de fornecedores especializados de mitigação. Os comentadores analisam por que razão até grandes plataformas cloud podem continuar vulneráveis, o papel de fornecedores como Cogent e Cloudflare, e o elevado custo de proteger serviços não-HTTP, como Git via SSH. O incidente também levanta questões mais amplas sobre as motivações dos atacantes, a praticidade de bloquear geograficamente ou fazer blackholing do tráfego, e se os protocolos atuais da Internet tornam a proteção cara contra DDoS um custo inevitável para fazer negócio online.

Natureza da interrupção e tratamento a montante

  • Vários comentadores relatam problemas de DNS ou de acessibilidade até mesmo na página de estado da interrupção, partilhando arquivos e espelhos de estado.
  • Resumo dos acontecimentos: um grande ataque DDoS contra o Sourcehut levou o respetivo fornecedor a montante (Cogent) a aplicar nullroute ou blackhole ao tráfego.
  • Alguns dizem que a Cogent “desativou a vítima” devido a um mau tratamento de DDoS e falhas administrativas; outros esclarecem que o nullrouting sob ataque é comum, e que o verdadeiro problema foi o mau apoio/comunicação.
  • Várias pessoas caracterizam a Cogent como de baixo custo, com uma reputação de longa data de resposta crua a DDoS (blackhole primeiro).

Cloud vs auto-hospedagem e economia de DDoS

  • Há debate sobre se usar uma grande cloud teria evitado isto.
    • Um lado: grandes clouds + serviços pagos de DDoS têm mais capacidade e ferramentas.
    • O outro lado: continuam a ser apenas servidores atrás de load balancers e podem ser sobrecarregados ou tornar-se inacessíveis se as redes a montante cortarem caminhos.
  • A hospedagem em cloud pode simplesmente mudar o modo de falha: em vez de indisponibilidade, arrisca-se uma “negação de dinheiro” através de enormes custos de escalabilidade/largura de banda.

Cloudflare, preços e limites de protocolo

  • Há confusão sobre a “proteção DDoS ilimitada” da Cloudflare: os comentadores observam que, na verdade, só se aplica a HTTP(S).
  • Proteger serviços não-HTTP (por exemplo, git via SSH, TCP/UDP arbitrário) requer produtos como Spectrum ou Magic Transit, que têm preços empresariais e/ou são medidos, o que explica o orçamento incomportável mencionado pelo Sourcehut.
  • Alguns argumentam que não se deve esperar que a Cloudflare subsidie a proteção; outros sugerem que poderia haver valor de PR ou margem para negociação.
  • Há críticas ao marketing de “ilimitado” em geral, e ceticismo de que tráfego HTTP verdadeiramente ilimitado seria tolerado na prática.

Motivações e intervenientes por trás do DDoS

  • Motivações especuladas: extorsão, censura, ressentimentos ideológicos ou mera perturbação “for the lulz”.
  • Exemplos citados incluem ataques ligados a estados contra plataformas de programadores e DDoS de resgate em mercados da darknet.
  • Alguns veem os ataques atuais como possivelmente um sinal de capacidade para futuros clientes pagantes; outros pensam que os alvos foram escolhidos para prejudicar comunidades de código aberto.

Mudança geográfica e configuração multi-site

  • A mudança planeada do Sourcehut para um site na UE/Amesterdão (AMS) já existia antes do ataque, mas o incidente acelerou-a.
  • Os comentadores observam que a relocalização por si só não vai parar um atacante determinado; os benefícios dependem da mitigação DDoS integrada do novo fornecedor e dos respetivos upstreams.
  • Alguns discutem ocultar novos intervalos de IP e fazer a transição pública apenas depois de já estarem protegidos.

Impacto mais amplo no ecossistema

  • O Codeberg e outros sites relacionados com código aberto terão também sofrido DDoS na mesma altura, levantando suspeitas de uma campanha contra forges.
  • A indisponibilidade do Hacker News foi atribuída por alguns a danos colaterais do nullrouting agressivo da Cogent em torno do ataque ao Sourcehut.

Opiniões sobre as políticas e postura do Sourcehut

  • A comunicação clara do Sourcehut durante a interrupção é amplamente elogiada.
  • É referida a sua posição contra certos tipos de projetos (por exemplo, criptomoedas); alguns veem isso como uma curadoria de princípios, outros como um juízo de valor indesejado.
  • Há tensão entre o bloqueio anterior do reverse proxy da Cloudflare por razões filosóficas e a necessidade atual de proteção DDoS em escala industrial.

Preocupações estruturais / de protocolo

  • Vários comentadores enquadram o DDoS em grande escala como uma falha fundamental dos protocolos e da economia atuais da Internet, não apenas como uma falha operacional.
  • Argumenta-se que pagar fornecedores especializados em DDoS se tornou um custo de facto para operar qualquer serviço voltado para o público, o que alguns consideram problemático mas atualmente inevitável.