Escolha a identidade, não o endereço IP. Por favor.

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Eu tiro muitas fotos. Às vezes, uso o Wi-Fi. Outras vezes, estou lá fora, perto do lago (pescando, se quer saber), e uso a conexão de dados móveis. Mesma casa. Mesmo local.

Ainda assim, as informações de geolocalização incorporadas às fotos tiradas no mesmo local variam dependendo de eu estar usando Wi-Fi ou a rede celular. Às vezes, estou “perto de Wrightstown”. Outras vezes, não. Quando uso um computador conectado por cabo, a situação fica ainda mais estranha. Enquanto escrevo isto, minha localização aparece como Appleton, Wisconsin, que fica cerca de 32 quilômetros ao sul daqui. Meu iPhone, sobre a mesma mesa, diz que estou na cidade de Lawrence (correto). Uma foto que enviei para o Facebook diz que estou perto de Wrightstown, a cerca de 8 a 16 quilômetros de distância.

Nem é preciso dizer que todos sabemos que, às vezes, a geolocalização baseada no endereço IP pode ser tanto uma arte quanto uma ciência. Como já trabalhei na área de GIS (há muito tempo, quando ainda me deixavam programar), conheço bem o malabarismo matemático necessário para associar coordenadas a nomes de lugares com precisão, sem acrescentar a exatidão questionável de um endereço IP. Considere esta situação extraordinária, causada pelas imprecisões da geocodificação por IP:

A MaxMind associa endereços IP, usados para conectar dispositivos à internet, a localizações físicas. A empresa afirmou que essas localizações não têm a pretensão de ser exatas.

James e Theresa Arnold afirmam que a empresa registrou a casa deles como a localização de mais de 600 milhões de endereços.

Eles afirmam que isso levou muitas pessoas a acreditar, erroneamente, que diversos crimes foram cometidos na propriedade.

"Na primeira semana após a família Arnold se mudar para o imóvel, dois agentes do Departamento do Xerife do Condado de Butler foram até a residência à procura de uma caminhonete roubada. Essa situação se repetiu inúmeras vezes ao longo dos cinco anos seguintes", afirmam os documentos apresentados a um tribunal do Kansas.

http://www.bbc.com/news/technology-37048521

Ainda bem que não sou da família Arnold*. E, embora este caso seja extraordinário, ele mostra que depender do endereço IP não é necessariamente uma boa ideia — especialmente se você o utiliza, em parte, para autorizar o acesso a aplicativos.

Sabemos que muitas instituições financeiras, em particular, confiam tanto no endereço IP quanto no dispositivo para verificar a validade das tentativas de login. Isso é bom se você quase sempre usa o mesmo dispositivo no mesmo lugar, pois seu endereço IP não muda tanto assim. Mas isso pode ser problemático para aplicativos móveis, que são cada vez mais “o meio” pelo qual as empresas se comunicam com os clientes. Meu endereço IP muda conforme me desloco e, às vezes, até mesmo quando não saio do lugar, devido às limitações do alcance do Wi-Fi fora de casa.

De qualquer forma, o endereço IP como meio de identificação há muito deixou de ser útil. Antigamente, cada pessoa que usava uma conexão de banda larga tinha seu próprio IP, pois o recebia diretamente do provedor via DHCP. Mas isso caiu em desuso quando o número de dispositivos conectados à Internet em uma residência ultrapassou o número de moradores. De acordo com pesquisas recentes, “há atualmente 734 milhões de dispositivos em uso nos lares dos EUA com acesso à Internet, uma média de 7,8 dispositivos conectados por residência.” Isso é mais que o dobro da média de 3,14 pessoas por domicílio nos EUA em 2015.

Isso significa que a ideia de um endereço IP por pessoa (e agora por dispositivo) é, em grande parte, inviável, considerando a quantidade limitada de endereços IP públicos IPv4 que os provedores têm para distribuir. De modo geral, cada residência usa apenas um IP público, e todos os demais dispositivos são roteados por aquela caixinha preta.

O IP, como meio de identificação inequívoca, está morto.

As credenciais, sejam elas tokens, nome de usuário e senha ou algum outro método ainda não descoberto, são a melhor forma de identificar — e, portanto, autenticar — os usuários. Elas também são a melhor maneira de proteger aplicativos atualmente, considerando o uso indevido de endereços IP em diversos tipos de ataque. Quando posso falsificar meu IP com a mesma facilidade com que falsifico meu agente de usuário, não é uma boa ideia considerá-lo uma fonte confiável de informações.

Também não é apropriado usá-los em listas de permissões ou de bloqueios, pois, francamente, os endereços IP podem ser alterados em questão de segundos na Internet. Dezenas de milhões de endereços IP são frequentemente identificados como participantes de ataques DDoS. Alguns intencionalmente; outros, por acaso, após uma visita ao site errado ou a compra do dispositivo errado. O bloqueio por endereço IP causa transtornos aos consumidores. Daqui para a frente, usar a reputação de IP não será nem de longe tão eficaz quanto já foi, na época em que a Internet era jovem, inocente e repleta de pessoas bem-intencionadas. Agora que a Internet está velha, calejada e infestada de invasores tão propensos a explorar seus dispositivos quanto qualquer outra coisa, precisamos buscar outra solução.

Precisamos adotar a identidade como o novo firewall para proteger o novo perímetro, que é a aplicação. Seja por meio da federação ou do gerenciamento tradicional de identidades corporativas, precisamos confiar mais na identidade do que no endereço IP para proteger nossos negócios sem fronteirase fornecer acesso a um conjunto cada vez mais móvel de usuários, tanto corporativos quanto consumidores.

* Curiosamente, a família da minha mãe é Arnold. Não temos nenhum parentesco, tenho certeza, mas, pensando bem…

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie